IT内审那点事 之 内部审核工作流程
IT内审那点事 之 内部审核工作流程
从事IT内部审计已经3年多了。国内IT审计可以说刚刚起步,可以借鉴的地方太少。在这我整理了一下3年内审工作的心得,希望能给大家有所帮助。
一、内审存在的意义
当组织已经建立了环境管理体系,并按规范进行运行,则必须同时建立定期审核制度,以确定体系是否符合计划安排。如果没有一个内部审核环节,体系运行就不能保持或改进。所以内审起到的是监督和审查的作用。
二、审核工作基本步骤
审计工作大致有以下几个步骤:
1. 审核计划
2. 启动审核
3. 文件审核
4. 现场审核准备
5. 现场审核
6. 审核报告
7. 完成审核
8. 审核跟踪
三、审核计划,
内审人员在审计工作启动前应做好审核计划,审核计划应包括:
1. 审核目标和范围
2. 审核标准
3. 被审核的组织或职能部门
4. 流程的结构、顺序和关系
5. 需要会见的关键人员
6. 关注或高优先级(风险)
7. 区域参考文档(程序、许可等)
8. 开发工作文档
9. 审核组成人员
已个人经验而言,在审计前最好再做一份审计底稿,预先罗列出所关注的问题。审计底稿能帮助审计人员关注焦点问题,确保不会遗漏问题。同时也助于提问的连贯性及对时间的掌控。审计底稿是可复用的。
四、启动审核
发起内审的起始会议,会议应包括以下内容:
1. 介绍
2. 确认审核目标、范围和标准
3. 确认关注区域
4. 确认审核计划
5. 协商会议时间和参加人员
6. 阐述报告的方式
由主任审核员主持,而不是被审核组织,作为主任审核员应掌握和维持整个会议的主导权。
五、文件审核
文件审核的目的是审核公司的制度文件与标准文档要求是否一致,若公司制度文件与标准向冲突,则将开出不符项的审计建议。
六、现场审核
现场审核包括
1. 面谈
2. 抽样
3. 观察
4. 收集数据
七、审核报告
现场审核完毕后,将审计发现的问题归纳总结,出具审计报告。审核发现大致分为3类
1. 重大不符合项:
a) 未执行或不符合一个或多个标准制度适用的控制要求
b) 造成系统性或区域性严重失效的不符合
c) 可能造成严重后果的不符合事项
2. 轻微不符合项
a) 孤立的人为错误
b) 文件偶尔未被遵守,造成后果不太严重
c) 对系统不会造成重要影响
3. 观察项或建议项
a) 证据稍不足,估计存在问题,需提醒注意
b) 已经发现问题,尚不构成不符合,但发展下去有可能成为不符合
c) 其他需要提醒被审核方注意的事项
八、完成审核
主任审计员发起内部审计结项会议,会议内容包括:
1) 审核情况通报
2) 审计发现通报
3) 审计关闭时间要求
会后,被审核部门应对审计发现提交辩解和整改时间。
九、审核跟踪
内审工作完成后,审核人员应依据对方许诺关闭审核发现时间点,对不符项进行审核跟踪,从而关闭不符项。 跟大家交流一个ITIL的概念吧:ITIL培训报名时IT服务人员为参加ITIL培训而通过电话或者互联网的模式向培训机构进行报名,IT运维管理社区通过不定期的组织ITIL培训报名来组团进行培训,从而为培训人员节省一定的费用,同时IT运维管理社区通过每周四的ITIL讲堂进行ITIL知识的传播,为广大IT服务人员服务。 跟大家交流一个ITIL的概念吧:如果要参加ITIL Foundation的考试,从ITIL题库中一定量的ITIL题来做还是比较重要的,目前在百度文库中网友提供了一部分的ITIL题库。在IT运维管理社区上,IT运维管理社区网友收集了一系列的ITIL题库以便于其他网友下载,是目前国内最全、最完整的ITIL题库集合。
页:
[1]