本书系统地介绍了信息系统审计的产生与发展、特点、准则、IT治理、一般控制及审计、应用控制及审计、系统开发与获取审计、系统运营与维护审计、应用程序审计、数据文件审计等内容； 覆盖了信息系统审计课程教学的基本内容，同时结合了当前信息系统审计新方法、新技术的发展，具有很强的实用性与可操作性； 编排由浅入深，条理清晰，通俗易懂。
本书是江苏省高等学校精品立项教材，可作为高等学校信息管理与信息系统专业、审计学专业等专业“信息系统审计”课程的教材，亦可供从事信息系统审计的审计人员参考，同时还可作为专业培训教材。

　　在信息技术日新月异、信息系统日益普及的年代里，作为一名审计学等相关专业的学生或一名审计工作者，掌握信息系统审计的原理和方法是十分迫切的，也是完全必要的。
为适应审计学等相关专业的教学和我国审计形势发展的迫切需要，笔者编写了这本《信息系统审计》。本书在编写过程中，注意吸收和参考先进国家信息系统审计的基本理论和技术方法，并结合我国IT应用与信息系统审计发展的实际情况和笔者多年的研究成果，在内容上力求兼顾先进性和实用性，做到理论、方法与应用有机结合，有较强的可操作性。
本书共分8章，第1章论述了信息系统审计的基本知识，使读者对信息系统审计有一个概括性的了解； 第2章论述了IT治理的基本知识，使读者对IT治理的含义、IT治理与信息系统审计的关系有一定的了解； 第3、第4章论述了信息系统一般控制和应用控制及其审计方法； 第5~第8章系统地论述了系统开发与获取、系统运营与维护、应用程序、数据文件的控制与审计方法和技术。其中，第1章、第4章、第7章由张金城编写； 第2章由李庭燎编写； 第3章由余小兵编写； 第5、第6章由黄作明编写； 第8章由吕新民编写。张金城负责全书的主编和总纂工作。
本书可作为高等院校审计、信息管理与信息系统、会计等专业的教材； 对广大审计人员进行信息系统审计，对信息系统管理人员探讨加强信息系统的控制，对计算机工作人员研究计算机在实际业务中的应用和控制，对审计、会计、管理、计算机等专业师生的教学与科研，都具有很高的参考价值。

本书在编写过程中，自始至终得到了中华人民共和国审计署石爱中副审计长、南京审计学院院长王家新教授的指导、关心与大力支持，在此谨表示衷心的感谢。
由于信息技术突飞猛进、信息系统审计涉及的知识范围的广泛性，书中难免会有错误与不当之处，恳请广大读者予以指正。

编者
2009年2月

第1章信息系统审计概论

1.1信息系统审计的产生与发展

1.1.1电子数据处理系统对审计的影响

1.1.2信息系统审计的产生与发展

1.2信息系统审计的含义与特点

1.2.1信息系统审计的定义

1.2.2信息系统审计的特点

1.3信息系统审计目标

1.4信息系统审计的主要内容

1.4.1内部控制系统审计

1.4.2系统开发审计

1.4.3应用程序审计

1.4.4数据文件审计

1.5信息系统审计的基本方法

1.5.1绕过信息系统审计

1.5.2通过信息系统审计

1.6信息系统审计的步骤

1.6.1准备阶段

1.6.2实施阶段

1.6.3终结阶段

1.7信息系统审计准则

1.7.1信息系统审计准则的概念和作用

1.7.2国际信息系统审计准则

1.7.3我国信息系统审计规范体系

1.8我国信息系统审计人才培养策略

1.8.1信息时代呼唤信息系统审计师

1.8.2信息系统审计师应具备的素质

1.8.3信息系统审计师的培养

1.9金审工程简介

1.9.1金审工程的背景

1.9.2金审工程总体规划

1.9.3金审工程建设情况

1.9.4金审工程二期建设展望

思考题

第2章IT治理

2.1IT治理的定义

2.2IT治理的关键问题

2.2.1IT治理缺失的症状

2.2.2IT治理的关键问题

2.3IT治理与公司治理

2.3.1公司治理和公司管理

2.3.2IT治理和IT管理

2.3.3公司治理和IT治理

2.4IT治理标准

2.5建立IT治理的机制和方法

2.5.1IT治理机制

2.5.2IT治理方法

2.6IT治理的目标和范围

2.6.1IT治理目标

2.6.2IT治理范围

2.7IT治理成熟度模型

思考题

第3章信息系统一般控制及审计

3.1信息系统一般控制概述

3.2管理控制及其审计

3.2.1管理控制的基本内容

3.2.2管理控制审计

3.2.3管理控制测试

3.3系统基础设施控制及其审计

3.3.1信息系统环境控制

3.3.2信息系统硬件控制与审计

3.3.3系统软件控制

3.4系统访问控制及其审计

3.4.1逻辑访问控制

3.4.2物理访问控制

3.4.3对访问控制的审计

3.5系统网络架构控制及其审计

3.5.1局域网控制与审计

3.5.2客户机/服务器架构风险与控制

3.5.3互联网风险与控制

3.5.4网络安全技术

3.5.5网络架构控制的审计

3.6灾难恢复控制及其审计

3.6.1灾难与业务中断

3.6.2灾难恢复与业务持续计划

3.6.3灾难恢复与业务持续计划的审计

思考题

第4章信息系统应用控制及其审计

4.1输入控制

4.1.1数据采集控制

4.1.2数据输入控制

4.1.3会计信息系统输入控制

4.2处理控制

4.2.1审核处理输出

4.2.2进行数据有效性检验

4.2.3会计信息系统中几种特殊的处理控制技术

4.3输出控制

4.4应用控制的审计

4.4.1业务处理规程和输入控制的审查

4.4.2输出控制的审查

4.5内部控制审计实例

4.5.1被审单位基本情况

4.5.2被审信息系统——采购和付款系统说明

4.5.3内部控制制度

4.5.4收集审计证据

4.5.5审计证据的分析与报告

思考题

第5章信息系统开发与获取审计

5.1信息系统生命周期与审计

5.1.1信息系统审计师在信息系统开发中的职责

5.1.2信息系统开发与实施评价

5.2基于生命周期的信息系统开发方法

5.3信息系统的其他开发方法

5.3.1原型法

5.3.2面向对象的方法

5.3.3计算机辅助开发方法

5.3.4基于组件的开发方法

5.3.5基于Web应用开发方法

5.3.6快速应用开发方法

5.3.7敏捷开发

5.4信息系统开发团队、角色和责任

5.5项目管理

5.6软件配置管理

5.7与软件开发相关的风险

5.8软件开发过程的完善

5.8.1ISO 9126

5.8.2软件能力成熟度模型

5.8.3软件能力成熟度模型集成

5.9信息系统开发过程审计

5.9.1信息系统审计师对系统开发过程进行风险评估

5.9.2制订审计计划

5.9.3系统开发过程审计

思考题

第6章信息系统运营与维护审计

6.1信息系统的运营与维护工作存在的问题

6.2软件维护

6.2.1软件维护的种类

6.2.2软件维护的实施

6.2.3软件维护申请报告

6.2.4维护档案记录

6.2.5维护阶段的审计

6.3信息系统变更管理

6.4系统变更流程和迁移程序的审计

6.5IT服务管理

6.5.1IT服务管理产生的背景

6.5.2IT服务管理的发展历史

6.5.3IT服务管理的定义

6.5.4ITIL

6.5.5IT服务提供流程

6.5.6IT服务支持管理

6.5.7IT服务管理案例——如何建立一个基于ITIL的服务台

6.6信息系统生命周期的审计程序

思考题

第7章信息系统应用程序审计

7.1应用程序审计的内容

7.1.1审查程序控制是否健全有效

7.1.2审查程序的合法性

7.1.3审查程序编码的正确性

7.1.4审查程序的有效性

7.2应用程序审计方法

7.2.1程序编码检查法

7.2.2程序运行记录检查法

7.2.3程序运行结果检查法

7.2.4检测数据法

7.2.5整体检测法

7.2.6程序编码比较法

7.2.7受控处理法

7.2.8受控再处理法

7.2.9平行模拟法

7.2.10嵌入审计程序法

7.2.11程序追踪法

思考题

第8章信息系统数据文件审计

8.1数据文件的审计内容

8.2信息系统数据文件的审计流程

8.2.1审前准备阶段的工作实现

8.2.2审计实施阶段的工作实现

8.2.3审计终结阶段的工作实现

8.3计算机辅助数据文件审计技术方法与工具

8.3.1计算机辅助数据文件审计方法

8.3.2计算机辅助审计技术

思考题

参考文献