信息科技审计章程 - 网安 - 专业的网络安全产业、社区、知识平台

信息科技审计是一项独立客观的监督、评价及咨询活动,以风险为导向，通过运用系统化、规范化的方法，检查评价并改善信息科技风险管理、内部控制和IT治理效果，促进组织稳健发展和战略目标的顺利实现。

为保证信息科技审计职能和目标的实现，信息科技审计应对所有组织业务和实体（包括分支机构和外包的业务活动等）所涉及的信息科技活动实施监督和评价。

审计权限

为保证审计活动的独立性及客观性，审计部门应被授权以下事项：

审计部门履行审计职责，具有如下知情权：

审计部门履行审计职责，具有如下检查权：

审计部门履行审计职责，具有如下取证权：

审计部门履行审计职责，具有如下临时处置权：

对审计对象正在进行的严重违反法律法规行为，或在取证过程中，有证据认为审计对象可能转移、隐匿、篡改或毁弃审计证据的，审计组报经审计部门负责人同意，有权协同有关部门封存资料、封存资产和勒令终止非法行为；
对阻碍审计工作、拒绝报送和提供审计资料的行为，有权责令审计对象排除审计障碍；
审计对象拒绝排除审计障碍，导致审计工作无法正常进行时，审计部门有权撤回审计组，出具拒绝发表审计意见的审计报告；
审计部门对拒绝接受或不配合审计、拒绝提供资料或提供虚假资料、打击报复或陷害审计人员的有权向上级报告，要求及时予以制止并做出处理。

审计部门履行审计职责，具有如下建议权：

审计部门有权在组织范围内以适当方式公布审计结果。

审计部门有权对审计意见的落实情况进行追踪、监督和评价，并有权将情况向组织各级管理层反映，向董事会报告。

审计原则

所有信息科技审计工作，包括审计项目的选择、审计的范围、程序、频率、时间安排和报告内容等审计事项等均不应受到除审计委员会以外的任何部门机构因素的影响，以保证报告的独立性和客观性。但可以应管理层要求追加审计项目或其他相关的检查。

审计部门应独立于所审计的业务工作，并应独立于日常内控工作。

审计部门在实施审计时为保持客观和公正，不参与信息科技日常管理活动，不参与选择或实施信息科技内控措施。但可以应管理层的要求，对加强信息科技内部控制提出建议，对内部控制程序有关的具体事项提出意见。

审计人员应当密切关注审计对象管理活动中的重要事项。

审计人员对不影响评价信息科技管理活动的遵循性和有效性的次要事项，可以适当降低关注程度。

审计人员应当对审计对象出现重大风险事项的可能性保持警惕和关注。审计人员必须遵守信息科技审计程序，使用适当的审计技巧和专业判断，严格执行审计方案确定的审计步骤。

当审计人员持有足够证据怀疑审计对象有不正当行为时，必须向审计委员会或董事会报告，可以进行必要的调查或跟踪审计。

审计人员不能对审计对象存在重大风险事项与否给予绝对保证。

审计质量控制

审计委员会应与审计部门负责人确定各项审计工作的总体范围和计划，包括人员配备的充分性、预算以及其他任何可能影响此等审计有效、按计划进行的事项。

审计部门应严格按照规范的审计程序和审计指引实施审计项目，并定期开展自我评价，以评估信息科技审计工作的有效性，从而保证审计目标、内部审计部的权限和职责按照本章程的规定得以有效执行。

审计业务外包

如果存在以下两种情况时，审计项目可以实施外包：

外包审计工作的内容需经审计委员会慎重考虑后认为是必要的，考虑因素包括现有审计范围、工作计划、需要利用多少外审资源等。

提供审计外包服务的机构应当是独立的，具有专业胜任能力，并且财务状况良好，拥有相关的专业知识和专家。