47、专业审计的全面指南

专业审计的全面指南

1. 审计方法论的起源

审计方法可能源自监管机构发布的要求，如美国注册会计师协会（AICPA）或美国政府管理与预算办公室。这些要求为审计工作提供了基本的框架和准则。

2. 制定审计计划

审计计划是为执行信息系统（IS）审计而设计的项目计划。它类似于项目计划，是跟踪任务、预测审计过程所需时间和资源的工具。审计计划会描述将使用的审计方法，列出里程碑以及审计中不同任务的顺序依赖关系。随着审计的进展，计划会根据进度里程碑进行更新，并且可能会因某些审计变化而进行调整。

在审计初期，审计计划不仅是一个高层次的规划，还用于组织风险评估阶段、确定审计目标以及对客户程序进行初步评估。需要注意的是，审计计划并不跟踪审计测试的细节，这些细节由审计测试程序来跟踪。

3. 收集信息——“PBC”列表

“由客户准备”列表，即“PBC列表”，是审计人员用于管理向客户索取信息的常用工具。它提供了一个综合列表，有助于主要联系人跟踪信息请求。在审计的多个阶段，都可能从客户那里获取信息。

3.1 初始信息请求

审计开始时，审计人员需要了解组织的相关信息，常见的请求包括：
- 组织结构图
- 公司名录
- 控制文档
- 系统文档
- 相关报告或其他信息

这些信息将用于审计的准备和执行。列表还可能会确定客户表示存在的文档，如信息安全政策文档。

3.2 客户的审计准备情况

在某些情况下，客户组织可能尚未为审计做好准备，例如：
- 公司希望进行首次SAS 70审计，但控制基