中国教育在线

　　一、信息系统审计的内容

　　1．管理流程审计

　　信息技术管理流程审计主要评估与公司发展战略目标相一致的信息技术规划，评估信息技术工作条例或工作程序，评估信息技术部门的工作职责与工作分工，评估信息系统取得开发、购置、引进　的制度和流程，评估生产系统的运行维护的制度和流程，评估项目管理、项目监理的制度和流程，评估信息系统的安全管理制度，评估开发、测试、生产系统分岗制衡管理制度等。

　　2．技术平台审计

　　信息技术平台审计主要评估信息技术基础平台的运行与安全管理，包括网络运行与安全管理如路由器、网络设备、防火墙、通信线路等、硬件运行与安全管理如小型机、服务器、前置机、打印机、扫描仪、存储设备、ＰＣ、终端等、操作系统及数据库等运行平台的运行与安全管理如Ｕｎｉｘ、Ｗｉｎｄｏｗｓ、数据库、中间件、应用开发工具、应用发布工具、版本管理工具、项目管理工具、防/杀毒工具等。

　　3．信息系统项目审计

　　信息系统项目审计主要评估信息系统项目管理与项目监理的有效性。

　　项目管理审计主要评估项目启动、立项、需求分析、系统设计、开发、测试、试点、验收、推广过程的有效性，评价系统开发生命周期中的每一个程序是否均被严格执行，评价系统迁移的方案与效果，评价各类项目文档是否齐全。其目的是控制项目进展过程中的风险。

　　项目监理审计主要评估项目监理在信息系统建设过程中发挥的作用，评估项目监理是否有效保证了信息系统建设的质量、进度和成本符合项目立项时的要求。评估项目管理与项目监理间的责职是否清晰，分工是否明确。

　　4．生产系统审计

　　信息系统的上线与投产，仅仅是信息化的开始，大量的风险与问题将出现在信息系统的生产运行与维护阶段。保险公司内部一般均建立了核心业务系统、人员营销员等　管理系统、财务系统、精算系统、再保系统等生产系统，公司的生产经营活动大多要通过生产系统进行，生产系统审计便显得更为重要。

　　生产系统的审计首先是信息系统与业务流程吻合审计，主要评估实际业务操作流程与信息系统操作流程的吻合情况，评估信息系统对需求的满足度及信息系统操作流程与业务操作流程的吻合度。以退保操作流程为例，退保的典型处理方式是在信息系统中产生应付信息，而财务支付退保款后不再在系统中确认已付款，这就导致系统信息与实际情况不一致，致使流程与数据均不完整，流程被短路、数据被割裂，最终导致数据可用性差，并留下安全隐患。其次是评估与信息系统相关的风险。评估数据访问授权、系统功能授权、业务操作授权、业务审批　决定授权是否有效，是否拥有防止非法进行数据修改的措施。评估或测试信息系统中的关键控制点是否得到有效控制，如核赔中结案环节控制，需评估结案前的赔案信息状况，如资料是否完整，计算是否正确，会签、审批是否完成。同时需评估结案后的流程执行是否完整，如数据流是否与业务单证流一致。也可评估结案后对保单承保如结案后要求限制承保　、保全如结案后要求扣还保单质押借款　、生存给付如结案后要求中止生存给付或确保再给付几年等　的影响，测试该关键点对保单生命周期各环节的影响是否合理与正确。

　　二、信息系统审计流程

　　信息系统审计的工作流程主要包括确定审计范围、做好审计准备、进行审计评估、出具审计报告、提供管理咨询等过程。

　　可根据审计目标，确定审计范围。例如，是进行全面审计还是专项审计；是进行全公司审计还是部分分公司审计。在此基础上制定审计预案，审计预案中要确定审计依据、人员分工、审计工作程序、方法技巧、审计工作文档模板与案例、审计时间表，并注明需重点关注的地方，也可以将审计预案制作成审计工作手册，让每一个审计人员得到同样的信息。

　　进行审计评估时，应对照审计依据，了解被审计单位的信息技术管理流程、技术基础平台、生产系统运行环境与管理制度，通过关键点测试等方式做出公正、合理的评估。完成后还需出具详细的审计报告，对被审计信息系统或专项被审计对象进行鉴证，并提出必要的管理建议书，也可主动为被审计单位提供管理咨询，促进或帮助被审计单位提高信息系统管理水平。对于公司内部审计，还有一个通过提供管理咨询帮助其提高管理水平的过程，如总公司对分公司的审计，或公司内部对信息系统的审计，更多的责任或义务是通过内部审计发现信息技术管理中的不足，提出改进建议，并督促或辅导职能部门改进、完善。

分享到： 更多