公司内部控制审计工作底稿-实施阶段-信息系统测试模版.xls

信信息息系系统统一一般般控控制制（ITGCITGC）测测试试说说明明ITGC穿穿行行测测试试程程序序本底稿帮助我们记录了解穿行测试,测试和评估ITGCs”中所描述的我们对ITGC的穿行测试。我们选择每个ITGC的一次发生来执行穿行测试。穿行测试包含所适用的手动和自动的ITGC。在执行ITGC穿行测试时，我们采用能够帮助识别和评价ITGC的框架ITGC“主要控制程序”。框架基于三个“ITGC种类”（“管理变更”、“逻辑存取”和“其他ITGC”，包括IT运行）的目标。对于与这一IT环境相关联的应用程序，我们应确定所有这些应用程序是由相同的ITGC支持的。如果确定这些应用程序是由不同的ITGC支持的我们可能必须执行额外的ITGC穿行测试(或考虑识别多个IT技术环境)。例如，如果应用程序A是由不同于应用程序B的程序变更控制支持的，我们应对两组ITGC都执行穿行测试。对于将对其执行ITGC穿行测试的应用程序，我们应确定逻辑存取路径的每个要素对于控制对相关财务程序和数据的访问的关键程度。这可以帮助我们确定ITGC穿行测试将包括的逻辑存取路径要素的范围。在执行每个ITGC穿行测试时：我们应记录处理程序是否是根据最初的了解及时执行，例如我们应向客户人员询问其对于客户所规定的程序的了解，以确认我们对客户ITGC设计的理解并确定ITGC设计的完整性。我们应警惕公司所规定的程序和ITGC中的例外情况。我们应评定客户是否设计了程序以确保适当的不相容职责的分工，并且确定那些执行程序的客户人员是否承担了不相容的职责。这些不相容职责包括能够访问IT系统的多个部分，因此可能导致不适当的行为发生。我们可以询问相关人员，当遇到处理差错时他们会做什么、他们遇到过的差错类型有哪些、差错被发现后出现了什么情况，以及差错是如何解决的。在ITGC穿行测试过程中的询问应包括能够帮助识别ITGC被滥用或由于舞弊或内控缺陷导致重大误报风险的问题。我们应评估我们的询问结果是否有助于识别因舞弊而发生误报的风险。对我们询问的回答可能有助于印证管理层所作的答复，或者提供与管理层逾越控制的可能性相关的信息。当我们询问其他人的结果表明管理层有逾越控制的可能性，我们应考虑跟进他们对舞弊的认知或嫌疑。我们应使用客户人员在执行ITGC时通常会使用的相同源文件和信息技术。执行ITGC穿行测试所选中的项目和使用的证据应由相关的技术来源系统化地生成。如果客户无法提供系统生成的信息，将很可能需要额外程序来验证所提供信息的完整性和准确性。当IT环境发生重大变化时，我们应评价这些变化的性质及其对ITGC的影响，并确定是否应对变化前后的ITGC分别进行穿行测试。我们应评估在执行穿行测试过程中所获得审计证据的数量，是否足以确定ITGC设计有效及ITGC是否被执行。如果穿行测试未能确认我们对于ITGC的初步了解，我们可能需要重新评估依赖ITGC的策略，并确定对相关应用程序控制、依赖IT的手工控制及电子审计证据的影响。如有必要，当我们的穿行测试表明与我们对ITGC的理解有差别时，我们应修改我们的程序记录。我们应确定缺失或无效的ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目，我们应将这些缺陷包括在“控制缺陷汇总”中以便进一步评估。结结论论在完成ITGC穿行测试程序后，我们应就测试结果是否确认了我们对ITGC的了解、ITGC是否得以有效设计及已执行得出结论。对于每个ITGC，我们应就已识别的ITGC是否已得以有效设计及已执行作出结论。如果无法得出ITGC得以有效设计及已被执行的结论，我们可能需要重新评估依赖ITGC的策略，并确定对相关应用程序控制、依赖IT的手工控制及电子审计证据的影响。我们应确定缺失或无效的ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目，我们应将这些缺陷包括在“控制缺陷汇总”中以便进一步评估。如有必要，当我们的穿行测试表明与我们对ITGC的理解有差别时，我们应修改我们的程序记录。我们应确定缺失或无效的ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目，我们应将这些缺陷包括在“控制缺陷汇总”中以便进一步评估。在执行ITGC穿行测试时，我们采用能够帮助识别和评价ITGC的框架ITGC“主要控制程序框架基于三个“ITGC种类”（“管理变更”、“逻辑存取”和“其他ITGC”，包括IT运行）的目标。对于与这一IT环境相关联的应用程序，我们应确定所有这些应用程序是由相同的ITGC支持的。如果确定这些应用程序是由不同的ITGC支持的，我们可能必须执行额外的ITGC穿行测试(或考虑识别多个IT技术环境)。例如，如果应用程序A是由不同于应用程序B的程序变更控制支持的，我们应对两组ITGC都执行穿行测试。对于将对其执行ITGC穿行测试的应用程序，我们应确定逻辑存取路径的每个要素对于控制对相关财务程序和数据的访问的关键程度。这可以帮助我们确定ITGC穿行测试将包括的逻辑存取路径要素的范围。我们应向客户人员询问其对于客户所规定的程序的了解，以确认我们对客户ITGC设计的理解并确定ITGC设计的完整性。我们应评定客户是否设计了程序以确保适当的不相容职责的分工，并且确定那些执行程序的客户人员是否承担了不相容的职责。这些不相容职责包括能够访问IT系统的多个部分，因此可能导致不适当的行为发生。我们可以询问相关人员，当遇到处理差错时他们会做什么、他们遇到过的差错类型有哪些、差错被发现后出现了什么情况，以及差错是如何解决的。在ITGC穿行测试过程中的询问应包括能够帮助识别ITGC被滥用或由于舞弊或内控缺陷导致重大误报风险的问题。我们应评估我们的询问结果是否有助于识别因舞弊而发生误报的风险。对我们询问的回答可能有助于印证管理层所作的答复，或者提供与管理层逾越控制的可能性相关的信息。当我们询问其他人的结果表明管理层有逾越控制的可能性，我们应考虑跟进他们对舞弊的认知或嫌疑。我们应使用客户人员在执行ITGC时通常会使用的相同源文件和信息技术。执行ITGC穿行测试所选中的项目和使用的证据应由相关的技术来源系统化地生成。如果客户无法提供系统生成的信息，将很可能需要额外程序来验证所提供信息的完整性和准确性。当IT环境发生重大变化时，我们应评价这些变化的性质及其对ITGC的影响，并确定是否应对变化前后的ITGC分别进行穿行测试。我们应评估在执行穿行测试过程中所获得审计证据的数量，是否足以确定ITGC设计有效及ITGC是否被执行。如果穿行测试未能确认我们对于ITGC的初步了解，我们可能需要重新评估依赖ITGC的策略，并确定对相关应用程序控制、依赖IT的手工控制及电子审计证据的影响。如有必要，当我们的穿行测试表明与我们对ITGC的理解有差别时，我们应修改我们的程序记录。我们应确定缺失或无效的ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目，我们应将这些缺陷包括在“控制缺陷汇总”中以便进一步评估。如有必要，当我们的穿行测试表明与我们对ITGC的理解有差别时，我们应修改我们的程序记录。我们应确定缺失或无效的ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目，我们应将这些缺陷包括在“控制缺陷汇总”中以便进一步评估。在完成ITGC穿行测试程序后，我们应就测试结果是否确认了我们对ITGC的了解、ITGC是否得以有效设计及已执行得出结论。对于每个ITGC，我们应就已识别的ITGC是否已得以有效设计及已执行作出结论。如果无法得出ITGC得以有效设计及已被执行的结论，我们可能需要重新评估依赖ITGC的策略，并确定对相关应用程序控制、依赖IT的手工控制及电子审计证据的影响。我们应确定缺失或无效的ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目，我们应将这些缺陷包括在“控制缺陷汇总”中以便进一步评估。信信息息系系统统一一般般控控制制（ITGCITGC）测测试试（穿穿行行测测试试）索索引引号号：ITGC-1被被审审计计单单位位：编编制制人人：编编制制日日期期：截截止止日日期期：复复核核人人：复复核核日日期期：一一、ITGCITGC测测试试目目的的对每个相关ITGC(IT GENERAL CONTROL)种类进行穿行测试。我们进行ITGC穿行测试以确认我们对于ITGC设计及其已被执行的理解。二二、ITGCITGC穿穿行行测测试试程程序序由于多个应用程序间存在通用的ITGC，因此，通常会对支持一组通用ITGC的IT技术环境执行穿行测试。IT技术环境的例子包括：跨越多个应用程序的通用管理变更控制、支持多个应用程序的技术平台，或拥有特定区域支持的应用程序通用的一组ITGC的数据中心。在下面的空白处，识别由此项穿行测试所涵盖的“IT 技技术术环环境境”及与“IT技术环境”相关的“应应用用程程序序”。ITIT 技技术术环环境境名名称称与与ITIT技技术术环环境境相相关关的的应应用用程程序序注：信息系统环境的技术构成包括：应用系统、数据库管理系统、操作系统、网络和互联网/远程访问等 常见的应用系统包括：金蝶、用友、SAP、Oracle Financials或者企业自行开发的应用系统等 常见的数据库管理系统包括：Oracle、DB2、Microsoft SQL Server等 网络是指共同分享沟通的计算机群和相关设备，通常共享存储在计算机服务器上的资源 互联网/远程访问是指把应用系统用户从外部资源链接到信息系统环境的方法、流程和技术对于计划依赖ITGC的应用程序，我们应对能够达到每个相关“ITGC 种类”目标的ITGC执行穿行测试。ITGC的失败可能对会计报表或披露产生影响时，应包括“其他ITGC”种类。选出应当执行穿行测试的“ITGC 种类”管理变更请选择逻辑存取请选择其他ITGC，包括IT运行请选择三三、ITGCITGC穿穿行行测测试试（一一）管管理理变变更更1 1、管管理理变变更更穿穿行行测测试试目标：只允许对应用程序、界面、数据库和操作系统进行经过适当授权、测试和批准的变更。记录我们对于客户针对“管理变更”种类的程序的了解或参考客户的ITGC文档。内内容容请请描描述述流流程程管理变更程序（授权、测试和批准）监控“管理变更种类”的ITGC管理变更的不相容职责的分工回回答答下下列列每每个个问问题题:安排开发或变更的人员不会批准程序开发或变更、将程序移入或移出生产环节，或执行对程序开发和变更相关控制的监控。请选择执行对程序开发和变更相关控制的监控的人员不会批准程序开发或变更、安排开发或变更，或将程序移入或移出生产环节。请选择如果如果对上面任一问题的回答为“NO(否)”，则应描述能够对不相容职责进行分工的替代控制。描述为“管理变更”种类所执行的ITGC穿行测试以及为确认我们对ITGC的设计及其已被执行的了解所获得的证据。2 2、管管理理变变更更程程序序（授授权权、测测试试和和批批准准）程程序序客客户户控控制制穿穿行行测测试试发发现现变更经过授权变更经过测试变更经过批准监监控控“管管理理变变更更种种类类”的的ITGC程程序序客客户户控控制制穿穿行行测测试试发发现现变更受到监控管管理理变变更更的的不不相相容容职职责责的的分分工工程程序序客客户户控控制制穿穿行行测测试试发发现现管理变更环境下不相容职责的分工（二二）逻逻辑辑存存取取1 1、逻逻辑辑存存取取穿穿行行测测试试目标:只允许经授权的人员访问数据和应用程序（包括程序、表格以及相关资源），并且这些人员只能执行明确授权的职能（例如：询问、执行和更新）。记录我们对于客户针对“逻辑存取”种类的程序的了解或参考客户的ITGC文档。内内容容请请描描述述流流程程一般系统安全设置密码设置对特许IT功能的访问对系统资源和实用程序的访问用户访问管理物理访问监控“逻辑存取”种类的ITGC逻辑存取的不相容职责的分工回回答答下下列列每每个个问问题题:不同人员批准用户访问权限、设置用户访问权限及监控访问违规/违规企图。请选择具有特许用户访问权限的人员不会执行对特许用户访问的监控。请选择如果对上面任一问题的回答为“NO(否)”，则应描述能够对不相容职责进行分工的替代控制。描述为“逻辑存取”种类所执行的ITGC穿行测试以及为确认我们对ITGC的设计及其已被执行的了解所获得的证据。2 2、一一般般系系统统安安全全设设置置一一般般系系统统安安全全设设置置程程序序客客户户控控制制穿穿行行测测试试发发现现一般系统安全设置是恰当的。密密码码设设置置程程序序客客户户控控制制穿穿行行测测试试发发现现密码设置是恰当的。对对特特许许 IT 功功能能的的访访问问程程序序客客户户控控制制穿穿行行测测试试发发现现对特许IT功能的访问限于适当人员。对对系系统统资资源源和和实实用用程程序序的的访访问问程程序序客客户户控控制制穿穿行行测测试试发发现现对系统资源和实用程序的访问限于适当人员。用用户户访访问问管管理理程程序序客客户户控控制制穿穿行行测测试试发发现现用户访问经授权且适当设置。物物理理访访问问程程序序客客户户控控制制穿穿行行测测试试发发现现对计算机硬件的物理访问限于适当人员。监监控控“逻逻辑辑存存取取”种种类类的的ITGC程程序序客客户户控控制制穿穿行行测测试试发发现现逻辑存取过程受到监控。逻逻辑辑存存取取的的不不相相容容职职责责的的分分工工程程序序客客户户控控制制穿穿行行测测试试发发现现逻辑存取环境下的不相容职责分工。（三三）其其他他ITGC，包包括括IT运运行行1 1、其其他他ITGC，包包括括IT运运行行的的穿穿行行测测试试目标：正确备份支持财务信息的数据，以便在出现系统中断或数据完整性问题时，可以准确完整地恢复此类数据（即备份和恢复）。按计划执行程序，及时识别并消除按计划处理时产生的偏差（即时间安排）。及时识别、解决、复核和分析IT运行问题或事件(即问题和事件的管理及监控)。在相关控制的失败可能对会计报表或披露产生影响时，应包括其他ITGC，包括IT运行种类。记录我们对于客户针对“其他ITGC,包括IT运行”种类的程序的了解或参考客户的ITGC文档。内内容容请请描描述述流流程程财务数据的备份和恢复时间安排问题和事件的管理及监控2、描描述述为为“其其他他ITGC，包包括括IT运运行行”种种类类所所执执行行的的ITGC穿穿行行测测试试以以及及为为确确认认我我们们对对ITGC的的设设计计及及其其已已被被执执行行的的了了解解所所获获得得的的证证据据。财财务务数数据据的的备备份份和和恢恢复复程程序序客客户户控控制制穿穿行行测测试试发发现现财务数据已备份且可恢复。时时间间安安排排程程序序客客户户控控制制穿穿行行测测试试发发现现及时识别并消除按计划处理时产生的偏差。问问题题和和事事件件的的管管理理及及监监控控程程序序客客户户控控制制穿穿行行测测试试发发现现及时识别、解决、复核和分析IT运行问题或事件。三三、结结论论对每个相关ITGC(IT GENERAL CONTROL)种类进行穿行测试。我们进行ITGC穿行测试以确认我们对于ITGC设计及其已被执行的理解。由于多个应用程序间存在通用的ITGC，因此，通常会对支持一组通用ITGC的IT技术环境执行穿行测试。IT技术环境的例子包括：跨越多个应用程序的通用管理变更控制、支持多个应用程序的技术平台，或拥有特定区域支持的应用程序通用的一组ITGC的数据中心。在下面的空白处，识别由此项穿行测试所涵盖的“IT 技技术术环环境境”及与“IT技术环境”相关的“应应用用程程序序”。与与ITIT技技术术环环境境相相关关的的应应用用程程序序注：信息系统环境的技术构成包括：应用系统、数据库管理系统、操作系统、网络和互联网/远程访问等 常见的应用系统包括：金蝶、用友、SAP、Oracle Financials或者企业自行开发的应用系统等对于计划依赖ITGC的应用程序，我们应对能够达到每个相关“ITGC 种类”目标的ITGC执行穿行测试。ITGC的失败可能对会计报表或披露产生影响时，应包括“其他ITGC”种类。选出应当执行穿行测试的“ITGC 种类”目标：只允许对应用程序、界面、数据库和操作系统进行经过适当授权、测试和批准的变更。记录我们对于客户针对“管理变更”种类的程序的了解或参考客户的ITGC文档。请选择请选择描述为“管理变更”种类所执行的ITGC穿行测试以及为确认我们对ITGC的设计及其已被执行的了解所获得的证据。发发现现发发现现发发现现目标:只允许经授权的人员访问数据和应用程序（包括程序、表格以及相关资源），并且这些人员只能执行明确授权的职能（例如：询问、执行和更新）。记录我们对于客户针对“逻辑存取”种类的程序的了解或参考客户的ITGC文档。请选择请选择描述为“逻辑存取”种类所执行的ITGC穿行测试以及为确认我们对ITGC的设计及其已被执行的了解所获得的证据。发发现现发发现现发发现现发发现现发发现现发发现现发发现现发发现现目标：正确备份支持财务信息的数据，以便在出现系统中断或数据完整性问题时，可以准确完整地恢复此类数据（即备份和恢复）。按计划执行程序，及时识别并消除按计划处理时产生的偏差（即时间安排）。及时识别、解决、复核和分析IT运行问题或事件(即问题和事件的管理及监控)。在相关控制的失败可能对会计报表或披露产生影响时，应包括其他ITGC，包括IT运行种类。记录我们对于客户针对“其他ITGC,包括IT运行”种类的程序的了解或参考客户的ITGC文档。2、描描述述为为“其其他他ITGC，包包括括IT运运行行”种种类类所所执执行行的的ITGC穿穿行行测测试试以以及及为为确确认认我我们们对对ITGC的的设设计计及及其其已已被被执执行行的的了了解解所所获获得得的的证证据据。发发现现发发现现发发现现