大學(xué)信息系統(tǒng)審計實施辦法

XXXX大學(xué)信息系統(tǒng)審計實施辦法第一章總則第一條為規(guī)范學(xué)校信息系統(tǒng)審計工作，根據(jù)《中國內(nèi)部審計準則》《教育部關(guān)于推進直屬高等學(xué)校內(nèi)部審計信息化建設(shè)的意見》《XXXX大學(xué)內(nèi)部審計工作規(guī)定》等規(guī)定，結(jié)合學(xué)校實際，制定本辦法。第二條本辦法所稱信息系統(tǒng)審計，是指審計處依法依規(guī)對學(xué)校及所屬單位的信息系統(tǒng)及其相關(guān)的信息技術(shù)內(nèi)部控制和流程實施的獨立、客觀的監(jiān)督、評價和建議。第三條開展信息系統(tǒng)審計的目的是通過對信息系統(tǒng)的安全性、可靠性和有效性進行審查和評價，以確定信息系統(tǒng)與相關(guān)資源能否適當?shù)乇Ｗo信息資產(chǎn)安全、維護數(shù)據(jù)完整、提供可靠信息、提高資源配置和使用效益，以促進學(xué)校實現(xiàn)信息技術(shù)管理目標。第四條審計處應(yīng)嚴格遵守保密規(guī)定，依法履行保密義務(wù)，健全和完善審計電子數(shù)據(jù)管理，落實數(shù)據(jù)采集、運用責任，確保相關(guān)數(shù)據(jù)安全。第二章審計內(nèi)容第五條信息系統(tǒng)審計的主要內(nèi)容包括信息系統(tǒng)的組織與管理控制、信息技術(shù)一般性控制及業(yè)務(wù)流程相關(guān)應(yīng)用控制等。（一）信息系統(tǒng)組織與管理控制審計的主要內(nèi)容包括信息系統(tǒng)建設(shè)規(guī)劃與學(xué)校整體發(fā)展目標的一致性，信息系統(tǒng)管理的組織結(jié)構(gòu)、工作機制，信息系統(tǒng)管理的制度體系、業(yè)務(wù)流程，關(guān)鍵崗位、人員與職責分工，對用戶的信息技術(shù)教育和培訓(xùn)等方面。（二）信息技術(shù)一般控制審計的主要內(nèi)容包括與網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)及人員有關(guān)的信息技術(shù)制度、措施和程序。對一般控制的審計應(yīng)當考慮標準化建設(shè)、信息系統(tǒng)規(guī)劃與設(shè)計開發(fā)、測試、運行與維護管理、安全管理、變更管理等內(nèi)容。（三）信息技術(shù)應(yīng)用控制審計的主要內(nèi)容包括業(yè)務(wù)層面為了合理保證信息系統(tǒng)準確、完整、及時完成業(yè)務(wù)數(shù)據(jù)的生成、記錄、處理、報告等功能而設(shè)計、執(zhí)行的信息技術(shù)控制。對應(yīng)用控制的審計應(yīng)當考慮與數(shù)據(jù)輸入、數(shù)據(jù)處理以及數(shù)據(jù)輸出環(huán)節(jié)相關(guān)的控制活動，包括授權(quán)與審批、系統(tǒng)配置控制、業(yè)務(wù)邏輯、異常情況報告和差錯報告、接口或轉(zhuǎn)換控制、一致性核對、工作流程控制、職責分離、系統(tǒng)訪問權(quán)限、系統(tǒng)計算等內(nèi)容。第六條審計人員可以根據(jù)實際需要利用計算機輔助審計工具和技術(shù)進行數(shù)據(jù)的驗證、關(guān)鍵系統(tǒng)控制或計算的邏輯驗證、審計樣本選取等。在充分考慮安全的前提下，可以利用可靠的信息安全偵測工具進行滲透性測試等。第七條根據(jù)上級主管部門要求和學(xué)校實際需要，審計處可以對信息系統(tǒng)進行全面審計，也可以選取部分審計內(nèi)容進行重點審計。第三章審計實施第八條審計處根據(jù)上級主管部門要求和學(xué)校內(nèi)部管理的需要，提出信息系統(tǒng)審計項目建議并列入年度審計工作計劃，經(jīng)審計委員會審定后實施。確需調(diào)減或者追加的，應(yīng)當按照原制定程序批準。第九條信息系統(tǒng)審計項目根據(jù)實際統(tǒng)籌安排實施，可單獨實施，也可以與其他審計項目合并實施。第十條信息系統(tǒng)審計采用自審、委托社會中介機構(gòu)審計或二者相結(jié)合的審計方式，必要時，可以聘請外部專家服務(wù)。委托審計程序按照學(xué)校委托審計管理相關(guān)規(guī)定執(zhí)行。第十一條審計組制定的信息系統(tǒng)審計項目實施方案及調(diào)整方案經(jīng)審計處處長批準后實施。第十二條審計處應(yīng)在實施信息系統(tǒng)審計前，向被審計單位送達審計通知書。如有特殊情況，經(jīng)審計處負責人批準，可直接持審計通知書實施審計。第十三條被審計單位應(yīng)當配合審計工作，為審計組分配相應(yīng)權(quán)限，為分析利用有關(guān)數(shù)據(jù)提供條件。及時提供與審計項目相關(guān)的內(nèi)部控制制度、數(shù)據(jù)、信息系統(tǒng)及其技術(shù)檔案等資料，對所提供資料的真實性、完整性負責并作出書面承諾，不得拒絕、拖延或提供虛假信息。第十四條信息系統(tǒng)審計可以根據(jù)具體情況運用訪談、調(diào)查、觀察、測試、程序代碼檢查等審計方法，以評估信息系統(tǒng)內(nèi)部控制的設(shè)計合理性和運行有效性。第十五條審計組按規(guī)定程序?qū)嵤┬畔⑾到y(tǒng)審計后形成審計報告并提交審計處。審計報告應(yīng)實事求是、邏輯清晰、定性準確、依據(jù)充分。第十六條審計處可根據(jù)情況書面征求被審計單位對審計報告的意見。被審計單位自接到審計報告之日起10個工作日內(nèi)提出書面意見；10個工作日內(nèi)未提出書面意見的，視同無異議。第十七條審計組應(yīng)當針對被審計單位提出的書面意見，進一步研究和核實，對審計報告作出必要的修改，經(jīng)審計處審核后報送主管校領(lǐng)導(dǎo)簽發(fā)。第十八條審計處將審計報告報送學(xué)校黨政領(lǐng)導(dǎo)，根據(jù)實際情況發(fā)送被審計單位及有關(guān)單位。第十九條學(xué)校相關(guān)部門應(yīng)按照學(xué)校審計結(jié)果運用的相關(guān)規(guī)定和要求，充分利用審計結(jié)果。第二十條審計處對實施完成的信息系統(tǒng)審計項目應(yīng)當建