核心考點(diǎn)一：信息技術(shù)對(duì)企業(yè)財(cái)務(wù)報(bào)告和內(nèi)部控制的影響
核心考點(diǎn)二：信息技術(shù)一般控制
核心考點(diǎn)三：信息處理控制
核心考點(diǎn)四：公司層面信息技術(shù)控制
核心考點(diǎn)五：信息技術(shù)一般控制、信息處理控制和公司層面控制的關(guān)系
核心考點(diǎn)六：信息技術(shù)對(duì)審計(jì)過(guò)程的影響
核心考點(diǎn)七：計(jì)算機(jī)輔助審計(jì)技術(shù)和電子表格的運(yùn)用
核心考點(diǎn)八：不同信息技術(shù)環(huán)境下的問(wèn)題
核心考點(diǎn)一：信息技術(shù)對(duì)企業(yè)財(cái)務(wù)報(bào)告和內(nèi)部控制的影響
1、信息技術(shù)對(duì)企業(yè)內(nèi)部控制的影響
信息系統(tǒng)對(duì)控制的影響，取決于被審計(jì)單位對(duì)信息系統(tǒng)的依賴程度。相關(guān)控制可能同時(shí)包括自動(dòng)控制與手工控制，自動(dòng)控制能有效處理大流量交易及數(shù)據(jù)，比較不容易被繞過(guò)，自動(dòng)信息系統(tǒng)、數(shù)據(jù)庫(kù)及操作系統(tǒng)的相關(guān)安全控制可以實(shí)現(xiàn)有效的職責(zé)分離。
2、運(yùn)用信息技術(shù)產(chǎn)生的風(fēng)險(xiǎn)
| 風(fēng)險(xiǎn)點(diǎn) | 情形 |
|---|---|
| 處理錯(cuò)誤 | 可能會(huì)錯(cuò)誤地處理數(shù)據(jù)，也可能會(huì)處理錯(cuò)誤的數(shù)據(jù) |
| 安全控制隱患 | 非授權(quán)訪問(wèn)、非授權(quán)交易、虛假交易、系統(tǒng)程序和系統(tǒng)內(nèi)數(shù)據(jù)的不當(dāng)改變、交易的不當(dāng)記錄，以及信息技術(shù)人員越權(quán)訪問(wèn)和處理等 |
| 數(shù)據(jù)丟失 | 數(shù)據(jù)丟失風(fēng)險(xiǎn)或數(shù)據(jù)無(wú)法訪問(wèn)風(fēng)險(xiǎn)，如系統(tǒng)癱瘓 |
| 人為干預(yù) | 不適當(dāng)?shù)娜斯じ深A(yù)，或人為繞過(guò)自動(dòng)控制 |
核心考點(diǎn)二：信息技術(shù)一般控制
1.信息技術(shù)一般控制（以下或簡(jiǎn)稱“一般控制”）的定義和影響
（1）一般控制是指為保證信息系統(tǒng)安全，對(duì)整個(gè)信息系統(tǒng)及外部各種環(huán)境要素實(shí)施的、對(duì)所有應(yīng)用或控制模塊有普遍影響的控制。
（2）一般控制通常會(huì)對(duì)部分或全部財(cái)務(wù)報(bào)表認(rèn)定做出間接貢獻(xiàn)，某些情況下，也可能對(duì)實(shí)現(xiàn)信息處理目標(biāo)和財(cái)務(wù)報(bào)表認(rèn)定做出直接貢獻(xiàn)。
2.一般控制的內(nèi)容
| 內(nèi)容 | 含義 |
|---|---|
| 程序開(kāi)發(fā) | 確保系統(tǒng)的開(kāi)發(fā)、配置和實(shí)施能夠?qū)崿F(xiàn)管理層的信息處理控制目標(biāo) |
| 程序變更 | （1）確保對(duì)程序和相關(guān)基礎(chǔ)組件的變更經(jīng)過(guò)請(qǐng)求、授權(quán)、執(zhí)行、測(cè)試和實(shí)施，以達(dá)到管理層信息處理控制目標(biāo)； （2）包括代碼類的常規(guī)變更、配置類的變更和緊急變更 |
| 程序和數(shù)據(jù)訪問(wèn) | （1）確保分配的訪問(wèn)程序和數(shù)據(jù)的權(quán)限經(jīng)過(guò)用戶身份認(rèn)證并經(jīng)過(guò)授權(quán)； （2）包括安全活動(dòng)管理、安全管理、數(shù)據(jù)安全、操作系統(tǒng)安全、網(wǎng)絡(luò)安全和物理安全 |
| 計(jì)算機(jī)運(yùn)行 | （1）確保業(yè)務(wù)系統(tǒng)根據(jù)管理層的控制目標(biāo)完整準(zhǔn)確地運(yùn)行，確保運(yùn)行問(wèn)題被完整準(zhǔn)確地識(shí)別并解決，以維護(hù)財(cái)務(wù)數(shù)據(jù)的完整性； （2）包括問(wèn)題和故障管理、數(shù)據(jù)備份和恢復(fù)、災(zāi)難恢復(fù)等 |
核心考點(diǎn)三：信息處理控制
1.信息處理控制的定義和要素
（1）信息處理控制是指與被審計(jì)單位信息系統(tǒng)中下列兩方面相關(guān)的控制：①信息技術(shù)應(yīng)用程序進(jìn)行的信息處理；②人工進(jìn)行的信息處理。
（2）信息處理控制既包括人工進(jìn)行的控制，也包括自動(dòng)化控制。與人工控制類似，系統(tǒng)自動(dòng)化控制關(guān)注的要素包括：①完整性；②準(zhǔn)確性；③存在和發(fā)生等。
（3）信息處理控制一般要經(jīng)過(guò)輸入、處理及輸出等環(huán)節(jié)。
2.信息處理控制的審計(jì)關(guān)注點(diǎn)
（1）系統(tǒng)自動(dòng)生成報(bào)告；
（2）系統(tǒng)配置和科目映射；
（3）接口控制；
（4）訪問(wèn)和權(quán)限。
核心考點(diǎn)四：公司層面信息技術(shù)控制
公司層面信息技術(shù)控制代表了該公司信息技術(shù)控制的整體環(huán)境，包括該公司對(duì)于信息技術(shù)的重視程度和依賴程度、信息技術(shù)復(fù)雜性、對(duì)于外部信息技術(shù)資源的使用和管理情況、信息技術(shù)風(fēng)險(xiǎn)偏好等。常見(jiàn)的公司層面信息技術(shù)控制包括但不限于：
（1）信息技術(shù)規(guī)劃的制定；
（2）信息技術(shù)年度計(jì)劃的制定；
（3）信息技術(shù)內(nèi)部審計(jì)機(jī)制的建立；
（4）信息技術(shù)外包管理；
（5）信息技術(shù)預(yù)算管理；
（6）信息安全和風(fēng)險(xiǎn)管理；
（7）信息技術(shù)應(yīng)急預(yù)案的制定；
（8）信息系統(tǒng)架構(gòu)和信息技術(shù)復(fù)雜性。
注：信息技術(shù)對(duì)企業(yè)內(nèi)部控制影響：信息系統(tǒng)對(duì)控制的影響，取決于被審計(jì)單位對(duì)信息系統(tǒng)的依賴程度，高度自動(dòng)化系統(tǒng)的企業(yè)更加依賴信息技術(shù)；自動(dòng)化控制能有效處理大量交易及數(shù)據(jù)，比較不容易被繞過(guò)；人工控制和自動(dòng)化控制在防范被審計(jì)單位重大錯(cuò)報(bào)方面各具優(yōu)勢(shì)，例如自動(dòng)化控制擅長(zhǎng)處理大量的常規(guī)信息，而人工控制更擅長(zhǎng)處理少量例外數(shù)據(jù)或特殊情況。
采用電子商務(wù)的方式進(jìn)行交易，即買賣雙方借助信息技術(shù)作連接，不謀面地進(jìn)行各種商貿(mào)活動(dòng)。在此模式下，交易信息在網(wǎng)上傳輸，容易被攔截、篡改或不當(dāng)獲取，被審計(jì)單位的會(huì)計(jì)信息系統(tǒng)可能與交易對(duì)方的系統(tǒng)相連接，產(chǎn)生了互相依賴的風(fēng)險(xiǎn)，即交易一方的風(fēng)險(xiǎn)部分取決于交易對(duì)手如何識(shí)別和管理其自身系統(tǒng)中的風(fēng)險(xiǎn)。
信息技術(shù)一般控制包括程序開(kāi)發(fā)、程序變更、程序和數(shù)據(jù)訪問(wèn)以及計(jì)算機(jī)運(yùn)行四個(gè)方面；信息技術(shù)一般控制旨在保證信息系統(tǒng)的安全。
信息處理控制：財(cái)務(wù)系統(tǒng)定期生成分析報(bào)告；財(cái)務(wù)系統(tǒng)中設(shè)定各科目映射關(guān)系。
一般控制：計(jì)算機(jī)運(yùn)行故障管理。
公司層面控制：信息系統(tǒng)的外包和預(yù)算管理。
注冊(cè)會(huì)計(jì)師在進(jìn)行財(cái)務(wù)報(bào)表審計(jì)時(shí)，如果依賴相關(guān)信息系統(tǒng)生成的財(cái)務(wù)信息和報(bào)告作為審計(jì)工作的依據(jù)，則需要在整個(gè)過(guò)程中考慮信息的準(zhǔn)確性、完整性、授權(quán)體系及訪問(wèn)限制四個(gè)方面。
信息處理控制是指與被審計(jì)單位信息系統(tǒng)中下列兩方面相關(guān)的控制：
（1）信息技術(shù)應(yīng)用程序進(jìn)行的信息處理；
（2）人工進(jìn)行的信息處理。
信息技術(shù)外包管理、信息安全和風(fēng)險(xiǎn)管理屬于公司層面信息技術(shù)控制。
信息技術(shù)一般控制包括程序開(kāi)發(fā)、程序變更、程序和數(shù)據(jù)訪問(wèn)以及計(jì)算機(jī)運(yùn)行四個(gè)方面，程序開(kāi)發(fā)的管理方法即為評(píng)價(jià)一般控制的考慮因素，而非公司層面信息技術(shù)控制情況。
公司層面信息技術(shù)控制情況包括該公司對(duì)于信息技術(shù)的重視程度和依賴程度、信息技術(shù)復(fù)雜性、對(duì)于外部信息技術(shù)資源的使用和管理情況、信息技術(shù)風(fēng)險(xiǎn)偏好。
