信息系统审计准则[征求意见稿])

　　第一章　总　则

　　第一条　为了规范组织内部审计机构及人员开展信息系统审计活动，保证审计质量，根据《内部审计基本准则》制定本准则。

　　第二条　本准则所称信息系统审计，是指由组织内部审计机构及人员对信息系统及其相关的信息技术内部控制和流程开展的一系列综合检查、评价与报告活动。

　　第三条　本准则适用于各类组织的内部审计机构、内部审计人员及其从事的信息系统审计活动。

　　第二章　一般原则

　　第四条　信息系统审计的目标是协助组织信息技术管理人员有效地履行其受托责任以达成组织的信息技术管理目标。组织的信息技术管理目标是保证组织的信息技术战略充分反映该组织的业务战略目标，提高组织所依赖的信息系统的可靠性、稳定性、安全性及数据处理的完整性和准确性，提高信息系统运行的效果与效率，保证信息系统的运行符合法律法规及监管的相关要求。

　　第五条　组织中信息技术管理人员的责任是信息系统的开发、运行和维护，以及信息技术相关的内部控制的设计和执行；信息系统审计人员的责任是实施信息系统审计工作并出具审计报告。

　　第六条　从事信息系统审计人员的专业胜任能力是指在信息系统审计领域,胜任管理层与其他利益方的委托、履行其信息系统审计职能所应拥有的相关知识、技能和素质。信息系统审计人员应当熟悉内部审计业务并具备必要的信息技术及信息系统审计的专业知识。审计项目负责人员至少应具有三年以上信息系统审计相关工作经验，或六年以上相关行业的从业经验。组织应当建立信息系统审计人员培训制度，鼓励审计人员取得注册信息系统审计师等执业资格，以保证审计人员的专业胜任能力。必要时，信息系统审计可利用外部专家的服务。

　　第七条　信息系统审计是组织内部审计工作的重要组成部分，信息系统审计可作为独立的审计项目组织实施、或作为综合性内部审计项目的组成部分实施。 

　　第八条　信息系统审计划分为以下阶段：审计计划阶段、审计实施阶段、审计报告与后续工作阶段。 

　　第九条　审计人员应采用以风险为导向的审计方法进行信息系统审计，风险评估应贯穿审计的计划、实施、报告与后续工作各个阶段。

　　第三章　审计计划

　　第十条　内部审计人员在执行信息系统审计之前，需要确定审计目标并初步评估审计风险，估算完成信息系统审计或专项审计所需的资源，确定重点审计领域及审计活动的优先次序，明确审计组成员的职责，并以此制定信息系统审计计划。

　　第十一条　制定信息系统审计计划时，应遵循其他相关内部审计具体准则规定的因素，同时针对信息系统审计的特殊性，审计人员还应充分考虑以下因素：

　　(一)高度依赖信息技术、信息系统的关键业务流程及相关的组织战略目标；

　　(二)信息技术管理的组织架构；

　　(三)信息系统框架和信息系统的长期发展规划及近期发展计划；

　　(四)信息系统及其支持的业务流程的变更情况；

　　(五)信息系统的复杂程度；

　　(六)以前年度信息系统内、外部审计等相关的审计发现及跟进情况。

　　第十二条　信息系统审计作为其他综合性内部审计项目的一部分时，审计人员在审计计划阶段还应综合考虑相关内部审计的审计目标及要求。

　　第四章　信息技术风险评估

　　第十三条　进行信息系统审计时，审计人员应当识别组织所面临的与信息技术相关的内、外部风险，并采用适当的风险评估技术与方法，分析及评价其发生的可能性及影响程度，为确定审计目标、范围和方法提供依据。

　　第十四条　信息技术风险是指组织在信息处理和信息技术运用过程中产生的、可能影响组织目标实现的各种不确定因素。信息技术风险包括组织层面的信息技术风险、一般性控制层面的信息技术风险及业务流程层面的信息技术风险等。