国际信息系统审计标准(中文版)

信息系统审计标准S1-审计章程导言01ISACA标准和其它相关指南包含强制性的基本原则和重要程序（以粗体标出）。02制定信息系统审计标准的目的是就审计章程在审计程序中的运用制定和提供指南。标准03信息系统审计职能或信息系统审计任务的目的、责任、授权方和义务应在审计章程或委托书中予以正确的登载。04审计章程或委托书应在组织内的适当层次得到同意和通过。注释05对于内部信息系统审计职能，应为所有进行中的业务活动制定一份审计章程。审计章程应通过年度审查。如果责任发生变动或变化，则应缩短审查周期。内部信息系统审计师可用委托书来进一步澄清或确认参与特定的审计或非审计任务。外部信息系统审计师参与每项审计或非审计任务通常应当准备委托书。06审计章程或委托书应足够详细以便能表达审计功能或审计任务的目的、责任和限制。07审计章程或委托书应定期审查，以确保（审计的）目的和责任已经记录在案。08如需有关准备审计章程或委托书进一步的信息，应参考下列指南：�信息系统审计指南G5，审计章程�COBIT框架，监控目标M4实施日期09此ISACA标准适用于所有信息系统的审计，于2005年1月1日起（之后）实施。信息系统（IS）审计的专业性和进行这类审计所需的技术，要求制定出专门适用于信息系统审计的标准。推进全球适用的标准以实现这个目标是信息系统审计与控制协会（ISACA®）的宗旨之一。信息系统审计标准的发展和传播是ISACA为审计业界作出专业贡献的基础。信息系统审计标准的框架提供了多层次的指引：�标准为信息系统审计和报告定义了强制性的要求。它们宣告：–根据ISACA职业道德规范中关于职业责任的规定，信息系统审计师的执行绩效所应达到的最低标准。–管理层和其他利益方对执业者在专业工作上的期待。–认证信息系统审计师（CISA®）资格持有人的相关特定要求。CISA资格持有人未能遵守上述标准的可能会导致ISACA董事会或相应ISACA委员会对其进行调查直至最终的纪律处分。�指南为信息系统审计标准的实施提供了指引。信息系统审计师在标准的实施程序中应参考指南，同时作出职业判断，对背离标准的做法应随时提供解释。信息系统审计指南的目标是为达到信息系统审计标准提供进一步信息。�程序为信息系统审计师提供审计项目中可以遵循的步骤范例。程序文件提供信息系统审计工作开展中如何达到相关标准的信息，但并非硬性规定。信息系统审计程序的目标是为达到信息系统审计标准提供进一步信息。COBIT®资源应被当作最佳操作实施指南的来源。COBIT框架强调，“保护企业的所有资产是管理层的责任，为履行这一责任以及实现企业的期望，管理层必须建立起一套完善的内部监控体系。”COBIT为信息系统管理环境提供了详细的监控和监控方法。基于特殊的COBIT信息技术程序选择和对COBIT信息标准的考虑来选用与特定审计范围最相关的材料。依COBIT框架中所定义，以下各项由IT管理程序进行组织。COBIT为商业及IT管理层以及信息系统审计师而计，所以它的运用有助于商业目标的理解，最佳操作实施的交流和围绕已经达成共识和广受尊重的标准参考体系的意见的形成。COBIT包括：�监控目标—广义上所需达到的最低限度良好监控之总括和详述。�监控实施—监控目标的实务原理和“如何实现”监控目标的指南。�审计指南—对于不同监控领域，如何理解和评估各种监控，考核监控的符合性和证实失控风险的指南。�管理方针—如何运用成熟度模型，指标和关键性成功因素等方法来评估和提高IT程序执行绩效的指南。它们提供一种针对管理层的框架应用于连续性和自发性的监控自我评估，特别专注于：–绩效衡量—IT功能支持商用需求效果如何？管理方针既可用于支持自我评估的专题研讨，也可被管理层作为IT管治方案的一部分，用以支持持续监督和程序改进的推行。–IT监控概况—哪些IT程序是重要的？哪些是监控的关键性成功因素？–监控意识—达不到目标会有哪些风险？–监控基准—其他人做了什么？如何衡量和比较结果？管理方针提供了对IT绩效的范例指标，可用于商业意义上对IT执行绩效的评估。关键的目标指标可以识别并衡量IT程序的成果，同时关键的执行绩效指标可以通过衡量程序的实现者来评估程序的执行绩效。透过成熟度模型和成熟度属性提供能力评估和基准，帮助管理层衡量监控能力，找到差距并提出相应改善策略。术语表可在ISACA的网站：上查阅。审计和审查这两个词可以互换使用。免责声明根据ISACA职业道德规范中对职业责任的规定，ISACA设计本指南作为执行绩效所应达到的最低标准。ISACA并未声明使用此产品一定会出现成功的结果。本出版物不能被视作包括所有合适的程序和测试，也不能被视作排斥通过合理引导获得同样结果的其它程序和测试。在决定任何具体的程序或测试的合理性时，监控专业人士应根据其自身的专业判断来判别由特定系统或信息技术环境产生的特定监控条件。ISACA标准管理委员会致力于为信息系统审计标准、指南和程序的制定作出广泛的咨询。在发布任何文件之前，标准管理委员会向全球提供公开草案，供大众评论。标准管理委员会也寻求相关领域的专家和相关人士对必要处提出咨询意见。标准管理委员会现有研发计划，欢迎ISACA成员和其它相关人士报告任何新出现问题及其所需的新标准。所有建议请电邮至([e-mail])。或传真[phone]）或写信（地址在文件末尾）至ISACA国际总部，收件人注明研究标准和学术关系主任。本材料于2004年10月15日颁布。S2-审计独立性引言01ISACA标准和其它相关指南包含强制性的基本原则和重要程序（以粗体标出）。02制定信息审计标准的目的是为审计程序中的独立性确立相应的标准和指南。标准03职业独立性对于所有与审计相关的事务，信息系统审计师应当在态度和形式上独立于被审计单位。04组织独立性信息审计职能应当独立于受审查的范围或活动之外，以确保审计工作完成的客观性。注释05审计章程或委托书中应当针对审计职能的独立性和义务做出相应的规定。06信息系统审计师应该在审计过程中随时保持态度和形式上的独立性。07如出现独立性受损的现象，无论是在实质上还是在形式上，应向有关当事人披露独立性受损的细节。08信息系统审计师应当在组织上独立于被审计的范围。09信息系统审计师、管理层和审计委员会（如果设立）应当定期对独立性进行评估。10除非被其他职业标准或管理机构所禁止，当信息系统审计师虽然参与信息系统项目，但是担当的并不是审计角色的时候，则并不要求信息系统审计师保持独立性，或者在形式上表现出独立性。11如需获得关于职业或组织独立性的进一步信息，请参考以下指南：�信息系统审计指南G17，非审计角色对信息系统审计师独立性的影响�信息系统审计指南G12，组织关系和独立性�COBIT框架，监控目标M4实施日期12此ISACA标准适用于所有信息系统的审计工作，于2005年1月1日起实施。信息系统审计与控制协会2004-2005年标准管理委员会Chair,SergioFleginsky,CISAPricewaterhouseCoopers,UruguaySveinAldalAldalConsulting,NorwayJohnBeveridge,CISA,CISM,CFE,CGFM,CQAOfficeoftheMassachusettsStateAuditor,USAClaudioCilli,Ph.D.,CISA,CISM,CIA,CISSPValuePartners,ItalyChristinaLedesma,CISA,CISMCitibankNASucursal,UruguayAndrewMacLeod,CISA,CIA,FCPA,MACS,PCPBrisbaneCityCouncil,AustraliaV.Meera,CISA,CISM,ACS,CISSP,CWAMicrosoftCorporation,USARaviMuthukrishnan,CISA,CISM,FCA,ISCANextLinxIndiaPrivateLtd.,IndiaPeterNiblett,CISA,CISM,CA,CIA,FCPAWHKDayNeilson,AustraliaJohnG.Ott,CISA,CPAAetnaInc.,USAThomasThompson,CISAErnst&Young,UAE©Copyright2004InformationSystemsAuditandControlAssociation3701AlgonquinRoad,Suite1010RollingMeadows,IL60008USA电话：[phone]传真：[phone]E-mail:[e-mail]网站：信息系统（IS）审计的专业性和进行这类审计所需的技术，要求制定出专门适用于信息系统审计的标准。推进全球适用的标准以实现这个目标是信息系统审计与控制协会（ISACA®）的宗旨之一。信息系统审计标准的发展和传播是ISACA为审计业界作出专业贡献的基础。信息系统审计标准的框架提供了多层次的指引：�标准为信息系统审计和报告定义了强制性的要求。它们宣告：–根据ISACA职业道德规范中关于职业责任的规定，信息系统审计师的执行绩效所应达到的最低标准。–管理层和其他利益方对执业者在专业工作上的期待。–认证信息系统审计师（CISA®）资格持有人的相关特定要求。CISA资格持有人未能遵守上述标准的可能会导致ISACA董事会或相应ISACA委员会对其进行调查直至最终的纪律处分。�指南为信息系统审计标准的实施提供了指引。信息系统审计师在标准的实施程序中应参考指南，同时作出职业判断，对背离标准的做法应随时提供解释。信息系统审计指南的目标是为达到信息系统审计标准提供进一步信息。�程序为信息系统审计师提供审计项目中可以遵循的步骤范例。程序文件提供信息系统审计工作开展中如何达到相关标准的信息，但并非硬性规定。信息系统审计程序的目标是为达到信息系统审计标准提供进一步信息。COBIT®资源应被当作最佳操作实施指南的来源。COBIT框架强调，“保护企业的所有资产是管理层的责任，为履行这一责任以及实现企业的期望，管理层必须建立起一套完善的内部监控体系。”COBIT为信息系统管理环境提供了详细的监控和监控方法。基于特殊的COBIT信息技术程序选择和对COBIT信息标准的考虑来选用与特定审计范围最相关的材料。依COBIT框架中所定义，以下各项由IT管理程序进行组织。COBIT为商业及IT管理层以及信息系统审计师而计，所以它的运用有助于商业目标的理解，最佳操作实施的交流和围绕已经达成共识和广受尊重的标准参考体系的意见的形成。COBIT包括：�监控目标—广义上所需达到的最低限度良好监控之总括和详述。�监控实施—监控目标的实务原理和“如何实现”监控目标的指南。�审计指南—对于不同监控领域，如何理解和评估各种监控，考核监控的符合性和证实失控风险的指南。�管理方针—如何运用成熟度模型，指标和关键性成功因素等方法来评估和提高IT程序执行绩效的指南。它们提供一种针对管理层的框架应用于连续性和自发性的监控自我评估，特别专注于：–绩效衡量—IT功能支持商用需求效果如何？管理方针既可用于支持自我评估的专题研讨，也可被管理层作为IT管治方案的一部分，用以支持持续监督和程序改进的推行。–IT监控概况—哪些IT程序是重要的？哪些是监控的关键性成功因素？–监控意识—达不到目标会有哪些风险？–监控基准—其他人做了什么？如何衡量和比较结果？管理方针提供了对IT绩效的范例指标，可用于商业意义上对IT执行绩效的评估。关键的目标指标可以识别并衡量IT程序的成果，同时关键的执行绩效指标可以通过衡量程序的实现者来评估程序的执行绩效。透过成熟度模型和成熟度属性提供能力评估和基准，帮助管理层衡量监控能力，找到差距并提出相应改善策略。术语表可在ISACA的网站：