政府信息系统审计现状及发展策略
浅析政府信息系统审计现状及发展策略当前，被审计单位会计信息系统高速发展，会计电算化及信息化程度越来越高，大量的业务数据和财务数据都存储在计算机中，因而也存在着计算机会计舞弊的可能性。如果审计机关和审计人员停留在传统的纸质账目基础审计上，不对信息系统进行审计监督，势必产生较大的审计风险，影响审计工作质量。

　　一、信息系统审计概述

　　(一)信息系统审计的概念

　　信息系统审计是审计全过程的一个组成部分，目前还没有固定通用的定义，美国信息系统审计的权威专家RonWeber将它定义为"收集并评估证据以决定一个计算机系统(信息系统)是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源"。笔者认为，信息系统审计是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程。它是立足于组织的战略目标，为有效的实现组织战略目标而采取的一切活动过程。其业务范围包括与信息系统有关的所有领域，例如信息系统安全审计、网誉审计、电子签名审计业务等。

　　(二)信息系统审计的内容和方法

　　⒈对信息系统功能的审计。可分四个方面进行：输入控制审计、数据处理过程审计、输出控制审计、系统安全审计。

　　①输入控制审计。主要检查软件能否保证输入数据的正确性、可靠性和完整性，有没有设置对误操作的防范和纠正功能。实地观察输入界面录入要素是否全面，对关键要素的录入是否进行了约束，分析数据库数据，对系统输入的字段进行验证，主要验证关键字段格式是否规范，内容是否正确、完整，相关数据的关系是否正确、合法。采用测试数据进行测试，设计一些虚拟数据，提交系统进行处理，以测试系统输入控制是否存在。测试数据时要注意不要对信息系统数据造成影响。

　　②数据处理过程审计。主要检查软件处理过程的正确性和合法性。审查软件是否存在"后门"或"漏洞"，数据在处理过程中有无丢失、增加、重复或不恰当的改变;审查软件是否提供了支持系统进行非法处理或违法处理的功能。依据被审计单位的实际业务，设计一个模拟程序，将被审计单位的真实数据用模拟程序重新处理一遍，把处理的结果与被审程序的处理结果进行比较，以确定被审程序的处理和控制功能是否可靠或被修改。用一批预先设计好的检测数据(包括正常的、有效的业务和不正常的、无效的业务数据)，利用被审程序加以处理，并把处理的结果与预期的结果作比较，以确定被审程序的控制与处理功能是否恰当。

　　③输出控制审计。主要检查系统能否确保输出数据没有被丢失、误导、破坏，确保输出数据的完整性和正确性，确保输出结果只提交给有权使用的人员。查阅各种纸质资料、报表，并与电子数据比较，分析有无非法修改数据的情况;依据业务性质和需要，确定输出结果能否满足工作需要。

　　④系统安全审计。主要检查软、硬件配置和网络平台是否能够保证系统安全可靠地运行，有无数据丢失、损坏、泄密的风险。软件安全控制主要审查软件禁止非法使用和禁止越权使用的控制能力。包括软件内部固化的操作流程、角色设置、权限分配、密码控制。通过查阅软件设计文档、操作手册，实际操作等方法，分析系统中角色设置、权限分配是否合理、可靠。通过分析后台数据，检查操作人员的口令是否加密保存，有无空口令、弱口令，系统是否设置了操作日志。对重要数据，系统是否提供了有痕迹的更正功能。检查局域网与外接网络的联接方式，网络中安全设备的设置是否正确、有效，数据传输是否安全，是否建立了系统备份和系统恢复机制并有效运行，系统管理人员对系统的日常维护是否及时。

　　⒉对信息系统应用方面审计可分三个方面进行：内部控制审计、系统应用的合法性审计、信息系统的自我完善能力审计。

　　①内部控制审计主要审查信息系统环境下的内部控制的健全性、合理性和有效性。实际岗位设置、人员分工是否与软件中的角色设置、权限分配相适应，实际业务工作流程是否与软件固化的工作流程相适应，不相容职能分离控制措施及执行情况;

　　②系统应用的合法性审计主要通过对数据分析来完成;

　　③信息系统的自我完善能力审计主要从以下方面检查：一是是否建立了有效的应用情况反馈机制;二是信息部门能否及时修正系统的不足和错误。