原创 | 帅哥奥迪特教你入门企业的会计信息系统

IS 审计师一般需要有 IT 背景，有过在 IT 公司的从业经验，另外，最好是具有 CISA 认证， ITIL 认证等等。你要是既没有经验又没有认证，那就先得好好读 Barry 的书了。

IS 审计一般和财务审计同时开始，但会先于财务审计结束。由于 IS 审计是像财务审计提供一种环境上的保证，只有财务的系统不出问题，后面的财务审计才有意义。毕竟现在做账都是用信息系统嘛。

一般是和财务相关的系统，例如 SAP FICO，payroll 系统或 revenue 系统等等，其他跟财务无关的系统例如 OA 系统等就不纳入审计范围为了。在审计前我们会完成一个叫做 “Understand the entity's response to IT risks” 的文档，把客户的财务相关系统做一个简单的分析梳理，分析系统的复杂性，以便后面有的放矢地进行审计。

IS 审计的范围可以很广，数据分析、信息安全、网络、数据库等等都可以纳入审计范围； IS 审计也可以很专，你也可以针对防火墙的某一个参数提出建议。一般而言，信息系统审计可以分为信息系统的一般控制 （ITGC） 和应用控制 （ITAC） 。 ITGC 顾名思义，是提供一种一般性的，环境上的控制保证。四大中的每一家对 ITGC 的内涵定义均不同，差异很大，但实质上是一样的，一般划分为对数据和程序的权限、变更管理、程序开发和系统运营四个领域。 ITAC 是针对具体的系统提供控制保证，例如系统的数据处理、输入输出、接口管理等方面，三单匹配 ( Tree way match) 审计就是一种具体的审计场景。在国内的IT审计中 ITAC 越来越受到重视，但在澳洲应用的还比较少。所以我们还是重点关注 ITGC 。