信息安全审计报告精选(九篇)

第1篇：信息安全审计报告范文

一、信息系统审计的内涵

信息系统审计的内涵与财务报表审计有较大的不同。以下通过对信息系统审计的定义、目标和类型来阐述信息系统审计的内涵。

1.信息系统审计的定义

由于信息系统审计的发展很快，因此对其始终没有一个通用的定义。下面分别介绍三种比较有代表性的定义。（1）日本通产省情报处理开发协会信息系统审计委员会1996年对信息系统审计定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一系列活动”。该定义中强调独立性的问题。（2）信息系统审计领域的著名专家威伯教授的定义（1999）是：“信息系统审计是收集并评估证据，以判断一个计算机系统是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。（3）信息系统审计影响最大的国际组织——国际信息系统审计和控制协会（ISACA）的定义是：信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率的利用组织的资源并有效果的实现组织目标的过程”。该定义比威伯的更详细一些。

通过对相关信息系统审计定义的分析，本文认为，所谓的信息系统审计，是指通过对被审单位的信息系统组成部分的审查来获取和评价审计证据，由此对信息系统的安全性、可靠性、数据的完整性以及信息系统能否经济的使用组织资源并有效地实现组织目标发表审计意见。我们必须清楚的识别信息系统审计、IT审计、审计工程之间的区别。一般而言，1T审计（计算机审计）包括信息系统审计和审计工程。信息系统审计的研究对象是企业的信息系统或信息资产，采用的研究方法是传统的审计方法和计算机技术等；而审计工程的研究对象是企业的电子财务和业务数据，研究方法采用计算机技术、系统工程方法和数学理论等。

2.信息系统审计的目标

审计本质上是根据审计目标对收集的证据进行分析评价并得出结论的过程。一切的审计活动都是为了实现一定的审计目标，并围绕审计目标来进行。可以说，审计目标是审计工作的“纲”。它贯穿审计活动的各个方面和审计过程的始终。（1）真实性。信息系统中的数据要真实的反映企业的生产经营活动。要通过数字签名等一系列技术手段和保留不可更改记录、定期审计等管理手段确保数据的真实性。（2）完整性。完整性信息不被偶然或蓄意的删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成、存储和传输。（3）合法性。系统在购买、使用、开发、更新、维护、转移等过程中必须符合相关法律、法规、准则、行规以及企业内部的规定等。（4）安全性。安全性是指信息系统在遭受各种因素破坏的情况下，仍然能够正常运行的概率。威胁信息系统安全的因素有外部和内部两种。外部主要是黑客的入侵、病毒的攻击、线路的侦听等；内部主要是被授权的用户访问和修改、删除等操作。安全性是真实性的基础之一。（5）可靠性。可靠性是指信息系统在遭受非人因素破坏或人为差错影响的情况下仍然能够正常运行的概率。威胁信息系统可靠性的因素包括自然灾害对硬件和坏境的破坏以及误操作对软件和硬件的破坏等。可靠性也是真实性的基础之一闭。（6）效果和效率。效果是指应用信息系统以后，企业在生产控制、管理质量、提品和服务等方面产生的变化。效率是指信息系统的应用在企业劳动生产率的提高方面所起的作用。

3.信息系统审计的类型

根据信息系统审计的定义和审计目标，我们可以将信息系统审计分为三个基本类型：（l）信息系统的真实性审计是对传统审计的补充，防止“错”账真审。（2）信息系统的安全性审计是对企业信息资产安全性的审核，防止由信息系统造成的经营风险。（3）信息系统的绩效审计是对信息系统投入产出比的审核。

二、信息系统审计的特点

信息系统审计具有其独特的特点，具体特点如下：

1.信息系统审计是一个过程。它是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程，它贯穿于信息系统生命周期的全过程。

2.信息系统审计的对象具有综合性和复杂性。信息系统审计的对象是以计算机为核心的信息系统，它包含了除财务信息以外的其他与生产经营流程有关的所有信息系统，其实质是审计对象及内容的拓展。从纵向（生命周期）看，覆盖了信息系统从规划、分析、设计到维护的全生命周期的各种业务；从横向（信息系统构成）看，它包含对软硬件审计、应用程序审计、安全审计等。从这个意义看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。

3.信息系统审计拓展了传统审计的目标。传统审计目标仅仅包括了“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号--计算机信息系统环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行会计报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”，由此可见EDP审计、电算化审计和计算机审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括信息资产的安全性、数据的完整性以及系统的可靠性、有效性和效率性。

4.信息系统审计是事后、事前、事中审计的结合体。注册会计师所执行的财务报表审计往往是年度审计，属于事后审计。而信息系统审计是事后、事前、事中审计兼而有之。如信息系统在开发过程中，由审计人员介入所进行的审计属于事中审计，此项审计相对于系统运行后而对其所进行的审计而言又可以看作是事前审计；信息系统运行后，对其在一定期间的运作情况所进行的审计则为事后审计。

5.信息系统审计的内容更加宽泛。信息系统审计包含了一切与信息系统有关的审计，除了整个生命周期过程及相关业务的审计外，随着信息技术的发展，还必将包括联网审计、电子商务审计、网站审计、ASP审计和XBRL审计等。

6.信息系统审计是一种基于风险基础审计的理论和方法。很多组织都能意识到技术带来的潜在好处，然而成功的组织还能够理解和管理好与采用新技术相关的很多风险。信息系统有着与生俱来的风险，这些风险用不同方式冲击着信息系统，审计者面临着审计什么、何时审计以及如何帮助信息系统的管理者管理和控制风险从而实现企业的战略目标的问题。

三、信息系统审计的过程

审计过程是审计工作从开始到结束的整个过程。信息系统审计一般可以分为计划阶段、实施阶段和报告阶段。由于信息系统审计的对象和具体业务不同，每个阶段所包括的具体内容与财务审计也不同。

1.计划阶段

计划阶段是信息系统审计过程的起点。科学合理的审计计划有利于帮助审计人员有的放矢的去调查、取证，形成正确的审计结论，实现审计目标。计划阶段的主要任务包括：调查被审单位的基本情况和内部控制；初步评价审计风险；确定重要性水平；制定审计计划。（1）调查被审单位的基本情况，初步评价固有风险为了做好审计工作，审计人员首先应了解被审单位的基本情况。需要了解的基本情况包括：第一，被审单位的业务性质和生产经营情况。第二，被审单位的组织结构和管理水平。第三，被审单位信息系统一般情况，即信息系统的结构，所使用的软硬件和网络设施以及运行环境。第四，被审单位应用系统及其所处理的交易和事项的类型。（2）调查被审单位信息系统内部控制，评价控制风险在计划阶段，审计人员应了解被审单位的内部控制特别是信息系统内部控制，对内部控制的健全和有效性进行评估，初步确定控制风险的大小。（3）评估审计风险，确定重要性水平。为了合理使用审计资源，有效的实现审计目标，在制定审计计划时审计人员应评估审计风险，确定重要性水平。重要性水平是指在审计事项中，能够容忍出现差错的程度和大小。（4）编制审计计划。在对被审单位的风险进行初步评估，确定重要性水平后，审计人员应当编制审计计划。审计计划的内容应当包括：被审单位的基本情况、审计的范围和重点、审计的步骤和时间安排、审计人员分工、运用的信息系统审计方法、审计中应当注意的事项和其他内容等。

2.实施阶段

实施阶段是根据计划阶段确定的范围、重点、步骤和方法，进行有针对性的取评价，并形成审计结论的过程。主要由符合性测试和实质性测试两个阶段构成。（1）实施符合性测试。符合性测试的目的是检查内部控制措施是否健全有效。计人员需要对被审单位的控制系统进行识别、测试和评价。测试的性质、范围和程度。为了达到这个目的，审从而确定后续的实质性控制系统识别。审计人员通过与相关人员面谈、调查问卷以及查阅信息系统和控制系统说明文件等方，识别被审单位的控制系统以及控制环境，并将调查情况记录在审计工作底稿中。（2）实施实质性测试。实质性测试是对信息系统控制进行的详细测试，以获得这些控制在审计期间是否真实存在并合法有效的审计证据。实质性测试主要通过测试必要的数据，对信息系统达到特定的控制目标的程度进行评价。

第2篇：信息安全审计报告范文

目前，企业社会责任会计信息披露的内容尚无统一标准，“全球契约”提出了包括人权、劳工、环境等十项基本原则，不同国家对社会责任会计信息披露内容规定也各具特色。基于利益相关者理论、可持续发展理论和社会契约理论，我国企业社会责任会计信息披露内容应包括以下五个方面：一是企业收益。市场经济体制下企业管理目标为追求利益最大化，这项内容是社会责任会计信息披露的一个重要部分。二是环境与资源。减少环境污染、节约社会资源是企业应该重点履行的社会责任。三是社会公益。社会公益不仅包括企业对社会和所在地区的福利，而且包括对国家的贡献。如对希望工程捐款；对公众提供医疗保健服务；对所在地区社会保险、医疗卫生、文化教育等事业给予的支持力度；为社区提供的就业岗位数量；企业在生产经营过程中遵守国家法律法规及主动纳税情况等。四是人力资源。人力资源管理主要包括人力资源开发和利用两个方面。人力资源开发应该披露员工培训支出信息；人力资源利用应披露为改善员工工作环境、薪酬待遇所做的努力，员工生产安全问题的投入，员工失业安置等方面。五是产品安全。产品安全方面的信息不仅关系到消费者的自身利益，还关系到企业的长期生存和发展，有利于提升企业的认知度。

2 我国企业社会责任会计信息披露存在的问题及案例分析

2.1 我国企业社会责任会计信息披露存在的问题

①披露形式单一缺少独立会计科目。我国企业社会责任报告的披露包括采用财务报告形式披露和运用专门的社会责任报告形式披露。财务报告披露是运用会计的程序和方法在财务报表中进行披露，但没有设立专项社会责任相关会计科目。采用专门的社会责任报告披露的，大多为采用附注的形式对社会责任履行情况进行告知和评价。这两种披露形式均不利于社会责任会计信息使用者获取有效信息。②披露的内容不够规范。由于我国会计信息披露制度还不够完善，缺乏统一的会计信息披露准则，大多数公司仅采用文字叙述的方式对社会责任报告进行披露，披露内容各不相同，企业之间不具有可比性。而且大部分披露也仅披露其履行社会责任做出的努力，并未披露给社会带来的负面效应。③缺少独立第三方对社会责任报告的审计。我国目前社会责任报告尚处于初步发展阶段，尚未形成真正的社会责任报告规范，大部分社会责任会计信息披露以自愿为主，没有形成独立第三方进行审计的制度。也因如此，企业自主公布的社会责任会计信息的真实性和可靠性尚有待考察。

2.2 案例分析――中国平安2012企业社会责任报告

2.2.1 案例介绍

中国平安保险（集团）股份有限公司（以下简称“中国平安”）是中国第一家股份制保险企业，自2004年开始以企业公民报告的形式披露企业在履行社会责任方面所做的努力，是我国披露社会责任会计信息较早的企业。中国平安社会责任报告披露的内容较为全面，而且从2009年开始在企业社会责任报告中提供了第三方的审验声明，在我国企业当中处于先进水平，其提供的企业社会责任报告极具代表性。为确保公司社会责任管理工作的可持续性，中国平安于2011年成立了CSR绩效非正式工作小组，通过制定《企业社会责任信息报告制度》明确工作小组各层级职责，规范CSR信息报告流程，有效提升企业社会责任管理。中国平安2012社会责任报告主体部分主要包括股东、客户、员工、环境和社会以及合作伙伴五个方面，具体如表1所示。同时，2012年中国平安由安永华明会计师事务所出具了《企业社会责任独立鉴证报告》，对其社会责任报告的实质性和回应性做出了鉴定。

2.2.2 案例分析结论

中国平安属于行业中发展较好、社会责任会计信息披露较全面的企业，但通过对中国平安社会责任报告的详细分析，仍发现其中存在一些较为突出的问题。一是虽然社会责任报告所涵盖的内容比较充分，但是披露内容缺少统一的会计科目，不利于信息使用者做出合理的决策。二是只在公司网站上进行了披露，披露渠道较为单一，对于不常使用网络的信息使用者造成一定的困难。三是披露的内容不够规范，仅用个别指标来反映社会责任的履行情况，指标不够全面，并且由于缺乏统一标准，很难与其他企业进行比较，这些问题在一定程度上制约其社会责任会计信息披露的质量。

3 完善我国企业社会责任会计信息披露的对策

3.1 增强企业社会责任意识

首先，建立专门的社会责任管理机构，负责监管企业社会责任实施，处理社会责任事故，管理社会责任报告编制事宜等。其次，建立社会责任履行情况的奖惩机制，根据履行社会责任的情况对企业进行奖罚。最后，加强对企业的鼓励和引导，促使企业将社会责任理念主动纳入企业文化体系，增强全员社会责任感，促使企业自愿、积极地披露真实可靠的社会责任会计报告。

3.2 开展社会责任会计理论研究

社会责任会计信息理论的完善程度直接决定着实务操作水平。国家应努力培养高素质的会计人才，促进领军人物的交流与合作，借鉴国外先进的研究成果，建立专门的研究机构，解决社会责任会计理论和实践中的难题，逐步建立适合我国国情的社会责任会计理论体系。

3.3 制定社会责任会计准则及相应的指南

为进一步规范企业社会责任会计信息披露情况，财政部门应尽快制定社会责任准则及其应用指南，明确规定企业社会责任披露的内容和披露方式，逐步实现社会责任会计信息披露的具体化、规范化。一是对不同行业的社会责任履行情况进行调研，结合不同的行业特色，制定各行业社会责任披露指南。二是在指南中明确社会责任强制性披露信息和自愿性披露信息。自愿性披露中，可提出一些参照性意见。

3.4 构建社会责任会计信息披露评价指标体系

目前，我国尚未建立起社会责任会计信息披露评价指标体系，应借鉴国外经验，并根据社会责任会计信息披露的五大内容制定适合我国情况的企业社会责任会计信息披露评价指标体系，具体如表2所示。

第3篇：信息安全审计报告范文

XBRL特性及审计线索分析

XBRL是建立在XML基础上发展起来的一种标记语言，一方面它继承了XML语言的优势，另一方面又在继承的基础上赋予了许多新的特性，为信息使用者提供了更加方便、高效的信息应用平台。它的新特性，从审计的角度又该如何把握审计线索，进行过程审计和事后审计，是应用XBRL财务报告后所带来的新问题。

1、多种格式输出特性及审计

XBRL根据行业分类标准，编写XBRL的实例文档，根据XBRL样式表生成XBRL财务报告，根据XBRL的特性，同一份XBRL实例文档，采用不同的样式表，可以生成多种样式的企业报告，所有财务报告的编制工作可以一次性完成，实现“数出一门，资料共享”，因为减少了数据的重复输入，降低了数据出错风险，保证了数据的一致性，真正地提高了财务报告的编制效率。此外，采用诸如可以在浏览器上显示、可以转换成不同的数据格式传输，还可以打印成纸质财务报告等多种格式进行输出，方便了信息使用者对财务报告的综合利用。因此，审计时一是着重审计同源数据的来源的合法性、合理性和合规性，二是审计格式的差异对财务报告数据是否产生差异，三是审查样式表设计的合理性，是否能最大限度地对信息进行披露。

2、跨平台使用特性及审计

XBRL文件可以在Windows、unix和Linux等不同的操作系统下无需进行任何转换和修改就可以直接使用。在不同的财务软件或管理软件中，不管是采用何种或何种版本的数据库，只要转换成XBRL格式文件，就可实现数据的传输和交换，将使信息以免费自由的使用且可允许任何人去撷取其所要的资讯，而不会有任何的错误且资料可以跨平合使用，使XBRL成为在互联网上企业财务信息和非财务信息报告的一种通用语言。因此，审计时应着重分析跨平台使用的XBRL的脚本文件，通过“下钻”(Drill-Down)功能查看XBRL格式文件，并从标记作为审计数据来源的线索。

3、数据跟踪特性及审计

XBRL是采用标记对数据和文本进行标记的，这就使不同的信息之间建立了一条有效地跟踪相关的信息线索，可以用倒查方法自上向下地跟踪和考察数据源直到底层的数据，这种跟踪和链接关系极大地方便了信息使用者阅读和分析企业财务报告。因此，审计时应对数据的链接关系进行跟踪，通过数据的来源线路查核数据的正确性，同时审核与某数据有关联关系的相关数据的来源及正确性，通过这种关系线路实现“查一涉十”的审计效果。

4、多语种特性及审计

XBRL可以通过添加语言标签的方法，对数据和文本进行翻译，从而实现企业报告的多语种输出，解决了企业特别是跨国公司财务报告不同语言之间的转换问题。普华永道会计事务所于2002年11月11在日本东京举行的第六届国际XBRL大会上，利用SYSTRAN公司的技术将一份XBRL格式的日文财务资料演示转换成了英文格式而取得成功，这个案例表示XBRL已消除了企业报告中的语言障碍，使XBRL财务报告已实现了国际间的交流与合作。因此，审计时把握语言翻译的准确性，特别是对有特定含义会计用语和财务数据的翻译是否准确，有无误译，避免信息使用者出现曲解其意的现象。

5、精确搜索特性及审计

因为XBRL在采集数据或文本时是使用标签描述数据或文本的含义，在对数据进行搜索时，不是像网页文件HTML那样只是根据字面内容进行搜索，而是根据数据或文本标签的语义进行定位的，搜索引擎就能够非常快速和准确地找到信息使用者所搜索的特定信息，还可通过其他应用程序对搜索结果中的数据可以进行求和等处理。因此，审计时应根据搜索引擎对数据的定位指向是否存在偏差，特别是要注意运用其他应用程序对搜索的数据结果进行再处理的过程是否严密，结果控制是否是否准确，保证与源数据所体现的财务信息一致。

XBRL的审计效用

XBRL的应用，改变了企业财务信息的报告方式，同时给审计工作带来了许多实质性的功用，主要表现在：

1、实时报告，实现连续审计

XBRL是采用计算机可识别的语言对经济业务数据进行标记的方法来取数的，企业财会部门可以实时对财务数据进行编报，缩短了数据在财务部门停留的时间，减少了数据被修改的可能性，使审计部门可以通过XBRL可以直接拿到原始数据，随时了解企业的经营状况，实行连续审计，及早发现企业的财务问题，保证企业财务信息的真实和可靠，保护信息使用者的权益。

2、在线披露，实现实时审计

XBRL技术已突破了定期报告财务报告的局限，可以做到在线披露和实时，审计人员据此可以实时地了解企业的财务状况，从而做到在线监控、实时审计。

3、超级链接，实现跟踪审计

通过XBRL具有超级链接功能，为审计人员提供了审计线索，使审计人员在阅读财务报告时实行跟踪审计，在更短的时间里查询数据来源的正确性、真实性和全面性，改变了过去到企业现场查实数据的做法，节约了人力，提高了审计能力。

4、电子报告，提高审计效率

XBRL改变了传统纸质财务报告的报告方式，通过专题网站在网上企业的财务信息和非财务信息，且采用了更加详细的XBRL样式表，使审计人员可以不受时间和空间的限制而自主地审查和下载企业财务报告，并且利用相关软件可以非常便利地将数据进行再处理和再利用，生成不同的审计报告，提高了审计效率。

XBRL对审计的影响

审计工作是对企业提供的财务报告进行合法性、合规性和正确性进行审计，其审计方式也必须与不断变化着的财务报告形式和内容而更新。随着网络财务信息披露的发展，审计工作也必将面临对网络财务信息进行审计的需求。XBRL以高效快捷见长的财务报告形式改变了信息的披露方式，对新时期的审计工作造成了影响，也带来了新的挑战。

1、对审计模式的影响

审计模式是审计导向性的目的、范围和方法等要素的组合，主要规定了审计应从何处着手、如何着手以及何时着手等问题，审计模式主要有详细审计模式、会计报表审计模式、制度基础审计模式和风险导向审计模式四类。此外，传统审计一般都是事后审计，XBRL实时的财务报告信息要求审计部门事后审计向实时审计和连续审计转变，成为审计人员面临的一个重要挑战。

2、对审计业务内容的影响

传统审计主要审核和出具被审计企业财务报告的真实性、合法性和合规性的审计报告，XBRL格式报告的出现，在信息披露的时间和形式并增进了披露的内容，还可能要求提供连续信息的可信度和完整性的连续鉴证，此外，面对审计信息使用者多样化的需求也给扩宽了审计人员的业务范围和内容，审计人员要面对海量的数据，利用专业的数据处理能力去甄别信息以满足各种信息需求。

3、对审计工具的影响

XBRL是利用现代先进的网络传输技术报告企业财务报告，其采用的披露工具和媒体已发生了根本性的变化，因此审计工具也应予以更新，需要相应的新的审计软件和技术来进行审计，比如下载和提取数据的工具、抽样程序、数字分析软件、审计自动化软件、嵌入式审计模块、集成测试工具、协同审计工具、数据挖掘技术、人工智能技术等，同时随着信息的实时化，同步分析的难度也加大。

4、对审计成本的影响

审计人员在采用传统审计模式和审计方法对财务报表审计基础上，也对XBRL的实例文档进行验证和审计，这样就增加审计成本。这部分成本应由谁来承担?是财务报告公司、审计结果的一般享用者、自愿的XBRL参与公司还是由审计部门来承担?美国证券交易委员会(SEC)自愿计划是在SEC注册的公司自愿参与的，为了鼓励参与，自愿计划未对XBRL文档验证提出要求，自愿者可以自愿提供XBRL文档的验证信息。因此这部分验证成本是否应由自愿参加的公司自身来负担的?

5、对审计风险的影响

由于XBRL对源数据的标记和实时报告，XBRL的实施可以使审计人员通过数据的波动而更容易地发现公司异常的交易活动，更加准确地进行风险评价，在一定程度上降低了审计风险。当企业的财务信息以XBRL文档实时流动时，通过标记抽取的数据可能会发生存在某种错误或是未经审计的变化，当审计人员未发现这种在财务报表中额外存在的错误风险而出具XBRL文档的验证报告时，又增加了审计人员的责任和风险，这可能影响审计人员承接XBRL业务的积极性，进而影响XBRL的发展。

一些建议

1、由审计署牵头尽快制定XBRL的相关审计规范

XBRL的发展时间虽不长，但其所显示出来的优势已让世界瞩目，在发达国家迅速发展的态势已表明以后的财务报告将会越来越多地采用XBRL，将会成为财务报告的主要形式。我国虽还不是XBRL国际组织的成员，但已在上交所和深交所应用，如何对XBRL格式的财务报告进行审计还没有具体的执业规范。因此，应由审计署牵头尽快制定针对XBRL财务报告的审计规范，规范对XBRL格式报告的审计目标、审计内容、审计程序和审计方法等，增强信息使用者对XBRL报告的可信度，以促进我国XBRL的发展。

2、审计重点应向内部控制和风险控制转移

XBRL是新一代的财务报告形式，除对XBRL的报告结果进行审计外，更重要的是应对生成XBRL的过程的内部控制体系进行审计，即以结果导向的审计程序改为持续的过程导向的审计程序，重点审计XBRL结构控制的合理、合法、合规性，检查是否对所有事项均认真进行标记，以减少重大错报事项的产生。同时，对XBRL报告产生的可控和不可控审计风险进行合理的估计，对检查和评估内在控制风险，对系统的安全机制、防火墙、关键信息加密和授权密码等进行详细的测试，以保证达到XBRL最优级的风险控制。

3、重点审计XBRL实例文档的合规性

第4篇：信息安全审计报告范文

摘要：从系统的、整体的、动态的角度，参照国家对主机审计产品的技术要求和对部分主机审计软件的了解，结合实际的终端信息安全管理需求，从体系架构、安全策略管理、审计主机范围、主机行为监控、综合审计及处理措施等方面提出主机审计系统的设计思想，达到对终端用户的有效管理和控制。

关键词：网络；安全审计；主机审计；系统设计

1引言

随着网络与信息系统的广泛使用，网络与信息系统安全问题逐渐成为人们关注的焦点。

网与因特网之间一般采取了物理隔离的安全措施，在一定程度上保证了内部网络的安全性。然而，网络安全管理人员仍然会对所管理网络的安全状况感到担忧，因为整个网络安全的薄弱环节往往出现在终端用户。网络安全存在着“木桶”效应，单个用户计算机的安全性不足时刻威胁着整个网络的安全[1]。如何加强对终端用户计算机的安全管理成为一个急待解决的问题。

本文从系统的、整体的、动态的角度，参照国家对安全审计产品的技术要求和对部分主机审计软件的了解，结合实际的信息安全管理需求，讨论主机审计系统的设计，达到对终端用户的有效管理和控制。

2安全审计概念。

计算机网络信息系统中信息的机密性、完整性、可控性、可用性和不可否认性，简称“五性”，安全审计是这“五性”的重要保障之一[2]。

凡是对于网络信息系统的薄弱环节进行测试、评估和分析，以找到极佳途径在最大限度保障安全的基础上使得业务正常运行的一切行为和手段，都可以叫做安全审计[3]。

传统的安全审计多为“日志记录”，注重事后的审计，强调审计的威慑作用和安全事件的可核查性。随着国家信息安全政策的改变，美国首先在信息保障技术框架（IATF）中提出在信息基础设置中进行所谓“深层防御策略（Defense2in2DepthStrategy）”，对安全审计系统提出了参与主动保护和主动响应的要求[4]。这就是现代网络安全审计的雏形，突破了以往“日志记录”

等浅层次的安全审计概念，是全方位、分布式、多层次的强审计概念，符合信息保障技术框架提出的保护、检测、反应和恢复（PDRR）动态过程的要求，在提高审计广度和深度的基础上，做到对信息的主动保护和主动响应。

3主机审计系统设计。

安全审计从技术上分为网络审计、数据库审计、主机审计、应用审计和综合审计。主机审计就是获取、记录被审计主机的状态信息和敏感操作，并从已有的主机系统审计记录中提取信息，依据审计规则分析判断是否有违规行为。

一般网络系统的主机审计多采用传统的审计，系统的主机审计应采用现代综合审计，做到对信息的主动保护和主动响应。因此，网络的主机审计在设计时就应该全方位进行考虑。

3.1体系架构。

主机审计系统由控制中心、受控端、管理端等三部分组成。管理端和控制中心间为B/S架构，管理端通过浏览器访问控制中心。对于管理端，其操作系统应不限于Windows,浏览器也不是只有IE。管理端地位重要，应有一定保护措施，同时管理端和控制中心的通讯应有安全保障，可考虑隔离措施和SHTTP协议。

主机审计能够分不同的角色来使用，至少划分安全策略管理员、审计管理员、系统管理员。

安全策略管理员按照制定的监控审计策略进行实施；审计管理员负责定期审计收集的信息，根据策略判断用户行为（包括三个管理员的行为）是否违规，出审计报告；系统管理员负责分配安全策略管理员和审计管理员的权限。三员的任何操作系统有相应记录，对系统的操作互相配合，同时互相监督，既方便管理，又保证整个监控体系和系统本身的安全。控制中心是审计系统的核心，所有信息都保存在控制中心。因此，控制中心的操作系统和数据库最好是国内自己研发的。控制中心的存储空间到一定限额时报警，提醒管理员及时备份并删除信息，保证审计系统能够采集新的信息。

3.2安全策略管理。

不同的安全策略得到的审计信息不同。安全策略与管理策略紧密挂钩，体现安全管理意志。在审计系统上实施安全策略前，应根据安全管理思想，结合审计系统能够实现的技术途径，制定详细的安全策略，由安全员按照安全策略具体实施。如安全策略可以分部门、分小组制定并执行。安全策略越完善，审计越彻底，越能反映主机的安全状态。

主机审计的安全策略由控制中心统一管理，策略发放采取推拉结合的方式，即由控制中心向受控端推送策略和受控端向控制中心拉策略的方式。当安全策略发生更改时，控制中心可以及时将策略发给受控端。但是，当受控端安装了防火墙时，推送方式将受阻，安全策略发送不到受控端。由受控端向控制中心定期拉策略，可以保证受控端和控制中心的通讯不会因为安装个人防火墙或其他认证保护措施而中断。联网主机（服务器、联网PC机）通过网络接收控制中心的管理策略向控制中心传递审计信息。单机（桌面PC或笔记本）通过外置磁介质（如U盘、移动硬盘）接收控制中心管理策略。审计信息存放在主机内，由管理员定期通过外置磁介质将审计信息传递给控制中心。所有通讯采用SSL加密方式传输，确保数据在传输过程中不会被篡改或欺骗。

为了防止受控端脱离控制中心管理，受控端程序应由安全员统一安装在受控主机，并与受控主机的网卡地址、IP地址绑定。该程序做到不可随意卸载，不能随意关闭审计服务，且不影响受控端的运行性能。受控端一旦安装受控程序，只有重装操作系统或由安全员卸载，才能脱离控制中心的管理。联网时自动将信息传到控制中心，以保证审计服务不会被绕过。

3.3审计主机范围。

信息系统中的主机有联网主机、单机等。常用操作系统包括Windows98,Windows2000,WindowsXP,Linux,Unix等。主机审计系统的受控端支持装有不同操作系统的联网主机、单机等，实现使用同一软件解决联网机、单机、笔记本的审计问题。

根据国家有关规定，信息系统划分为不同安全域。安全域可通过划分虚拟网实现，也可通过设置安全隔离设备（如防火墙）实现。主机审计系统应考虑不同安全域中主机的管理和控制，即能够对不同网段的受控端和安装了防火墙的受控端进行控制并将信息收集到控制中心，以便统一进行审计。同时能给出简单网络拓扑，为管理人员提供方便。

3.4主机行为监控。

一般计算机使用人员对计算机软硬件尤其是信息安全知识了解不多，不清楚计算机的安全状态。主机审计系统的受控端软件应具有主机安全状态自检功能，主要用于检查终端的安全策略执行情况，包括补丁安装、弱口令、软件安装、杀毒软件安装等，形成检查报告，让使用人员对本机的安全状况有一个清楚的认识，从而有针对性地采取措施。自检功能可由使用人员自行开启或关闭。检查报告上传给控制中心。

主机审计系统对使用受控端主机人员的行为进行限制、监控和记录，包括对文档的修改、拷贝、打印的监控和记录，拨号上网行为的监控和记录，各种外置接口的禁止或启用（并口、串口、USB接口等）,对USB设备进行分类管理，如USB存储设备（U盘，活动硬盘）、USB输入设备（USB键盘、鼠标）、USB2KEY以及自定义设备。通过分类和灵活设置，增强实用性，对受控主机添加和删除设备进行监控和记录，对未安装受控端的主机接入网络拒绝并报警，防止非法主机的接入。

主机审计系统对接入计算机的存储介质进行认证、控制和报警。做到经过认证的合法介质可以从主机拷贝信息；未通过认证的非法介质只能将信息拷入主机内，不能从主机拷出信息到介质内，否则产生报警信息，防止信息被有意或者无意从存储设备（尤其是移动存储设备）泄漏出去。在认证时，把介质分类标识为非密、秘密、机密。当合法介质从主机拷贝信息时，判断信息密级（国家有关部门规定，信息必须有密级标识）,拒绝低密级介质拷贝高密级信息。

在认证时，把移动介质编号，编号与使用人员对应。移动介质接入主机操作时记录下移动介质编号，以便审计时介质与人对应。信息被拷贝时会自动加密存储在移动介质上，加密存储在移动介质上的信息也只能在装有受控端的主机上读写，读写时自动解密。认证信息只有在移动介质被格式化时才能清除，否则无法删除。有防止系统自动读取介质内文档的功能，避免移动介质接在计算机上（无论是合法还是非法计算机）被系统自动将所有文档读到计算机上。

3.5综合审计及处理措施。

要达到综合审计，主机审计系统需要通过标准接口对多种类型、多个品牌的安全产品进行管理，如主机IDS、主机防火墙、防病毒软件等，将这些安全产品的日志、安全事件集中收集管理，实现日志的集中分析、审计与报告。同时，通过对安全事件的关联分析，发现潜在的攻击征兆和安全趋势，确保任何安全事件、事故得到及时的响应和处理。把主机上一个个原本分离的网络安全产品联结成一个有机协作的整体，实现主机安全管理过程实时状态监测、动态策略调整、综合安全审计、数据关联处理以及恰当及时的威胁响应，从而有效提升用户主机的可管理性和安全水平，为整体安全策略制定和实施提供可靠依据。

系统的安全隐患可以从审计报告反映出来，因此审计系统的审计报告是很重要的。审计报告应将收集到的所有信息综合审计，按要求显示并打印出来，能用图形说明问题，能按标准格式（WORD、HTML、文本文件等）输出。但是，审计信息数据多，直接将收集的信息分类整理形成的报告不能很好的说明问题，还应配合审计员的人工分析。这些信息可以由审计员定期从控制中心数据库备份恢复。备份的数据自动加密，恢复时自动解密。审计信息也可以删除，但是删除操作只能由审计员发起，经安全员确认后才执行，以保证审计信息的安全性、完整性。

审计系统发现问题的修复措施一般有打补丁、停止服务、升级或更换程序、去除特洛伊等后门程序、修改配置和权限、专门的解决方案等。为了保证所有主机都能得到有效地处理，通过控制中心统一向受控端发送软件升级包、软件补丁。发送时针对不同版本操作系统，由受控端自行选择是否自动执行。因为有些软件升级包、软件补丁与应用程序有冲突，会影响终端用户的工作。针对这种情况，只能采取专门的解决方案。

在复杂的网络环境中，一个网往往由不同的操作系统、服务器，防火墙和入侵检测等众多的安全产品组成。网络一旦遭受攻击后，专业人员会把不同日志系统里的日志提取出来进行分析。不同系统的时间没有经过任何校准，会不必要地增加日志分析人员的工作量。系统应提供全网统一的时钟服务，将控制中心设置为标准时间，受控端在接收管理的同时，与控制中心保持时间同步，实现审计系统的时间一致性，从而提供有效的入侵检测和事后追查机制。

4结束语

系统的终端安全管理是一个非常重要的问题，也是一个复杂的问题，涉及到多方面的因素。本文从体系架构、安全策略管理、审计主机范围、主机行为监控、综合审计及处理措施等方面提出主机审计系统的设计思想，旨在与广大同行交流，共同推进主机审计系统的开发和研究，最终开发出一个全方位的符合系统终端安全管理需求的系统。

参考文献：

[1]网络安全监控平台技术白皮书。北京理工大学信息安全与对抗技术研究中心，2005.

第5篇：信息安全审计报告范文

一、发达国家变革的启示

面对财务会计报告的革命，发达国家率先行动：

1、全面收益报告（Comprehensive Income Reporting）。全面收益这一概念是美国财务会计准则委员会于1980年在第3号概念公告中首先正式引进的，该公告将全面收益定义为：“全面收益是指一个企业在一定期间由源于非业主的交易、事项及情况所引起的业主权益（净资产）之变动。它包括一定期间内除业主投资与对业主分配之外的所有业主权益变动。”在实务中，英国则率先采用两份报表报告全面收益。1992年，英国会计准则委员会了第3号财务报告准则“报告财务业绩（Reporting Financial Performance）”，该准则要求编制一份名为“全部已确认利得及损失表（Statement of Total Recognized Gains and Losses）”的报表，来作为“损益表（Profit and Loss Account）”的补充。美国财务会计准则委员会虽然未一项准则来要求报告全面收益，但在其迄今所的准则中基本遵从了收益总括观（all-inclusive income）。全面收益可分为两部分：一部分是净收益即已确认及实现的收入、费用、利得或损失；一部分是其他全面收益即已确认未实现的利得或损失。全面收益表（可称为第四财务报表）可以较好地报告能够快速成交的金融资产的未实现价值的变动，对于那些由于市场价格波动而引起的未实现收益也能够较好地确认，从而如实报告企业期间总括收益。

2、从传统财务报告的黑色模式向彩色模式的转变。美国证券交易委员会（SEC）沃尔曼（Wallman）先生提出了分层次的彩色报告模式，它将财务报告的内容按会计信息的质量特征分为多个不同层次。第一层次包括所有符合可定义性、相关性、可靠性和可计量性四个标准的信息，它们构成了传统财务报告的核心内容；第二层次是报告仅具有可定义性、相关性和可靠性，但不能可靠计量的信息，如某些无形资产信息、知识资本信息；第三层次是报告那些符合相关性、可靠性，但不符合可定义性和可计量性的信息，如衍生金融产品的信息；最后一个层次只报告那些仅符合相关性、而不符合其他几项标准的事项，如产品市场份额、公众形象、主要关联方等大量的非财务信息。彩色报告模式的应用，可更好地满足使用者差异性多层次的需求，更好地达到决策相关性目标。

3、实时报告（Real-Time Reporting）的尝试。现代网络信息技术的发展为企业状况的实时公开披露提供了可能，西方一些大公司已在进行实时报告的尝试，这使得信息使用者的决策将会更加面向未来。全面联机实时报告系统（Real-Time Reporting System）的建立，不仅需要强大的Internet技术支持，也需要企业建立和完善ERP系统。通过网上访问层层授权的方式，联机实时报告还可以治理会计信息所具有的“公共物品”特征的外部性缺陷，这使得某些会计信息得以以“私人物品”的面目出现，解决会计报告成本无法合理分摊的问题。联机报告的方式也为“量体裁衣”的报告提供了可能，为信息需求方的主动参与提供了硬件支持，可充分实现报告的“互动性”。

4、审计业务与咨询业务的分离。安然、世界通信、施乐、维旺迪公司审计失败的案例，无不从反面向我们证明审计业务与咨询业务分离的极端重要性，如同是安然和维旺迪咨询顾问的安达信，由于与上述两公司存在经济利益联系，又如何期望其提交的审计报告具有独立性和较高的可信度呢？目前发达国家正着手重塑独立审计体系，决心将咨询业务与审计业务分开，以提高独立审计的客观性与公正性。

第6篇：信息安全审计报告范文

传统审计是由独立的专职机构或人员接受委托或授权，对被审单位特定时期的会计报表及其他有关资料的公允性、真实性以及经济活动的合规性、合法性和效益性进行审查、监督、评价和鉴证的活动，其目的在于确定或解除被审单位的受托经济责任。随着网络技术的发展，企业的经营方式和管理模式发生了重大变化，财务管理系统逐渐由手工模式向网络自动模式发展，在自动化、无纸化、数据化的电子商务和高度信息化的网络财务系统下，传统审计面临巨大的挑战。[！]

(一)审计内外环境的改变

传统审计是在企业的手工会计信息系统环境下进行的。由经济业务产生纸性的原始凭证，会计人员根据原始凭证编制记账凭证，根据记账凭证登记明细账和总账，期末根据账簿编制会计报表。企业从原始凭证到报表每一步都有文字记录，都有经手人签字，整套账务系统都有纸介质保存，以便审阅。在传统经营条件下，企业资产和经营的安全可以通过建立健全的内控制度得以保证，企业根据《企业会计准则》和本单位实际情况所制定的会计政策中，明文规定内控制度，并可由审计人员通过盘询、模拟等方法进行内控制度的评审。

电子商务环境下，客户可以从网上了解商品、询问价格、签订合同、发送订单，企业可以通过网络确认交易、出口报关、发送商品（仅限于信息产品）、传递发货单，划账结汇等。经济业务产生的原始凭证以电磁信息的形式在网上传递并存储于磁性介质中，会计的确认、计量、记录和报告都集中由计算机按程序指令执行。因此审计人员面对的是企业的电算化会计信息系统和网络账务系统，企业的账务系统以程序语言的形式存放于计算机中，肉眼难以对会计处理流程及内控制度形成全面的感性认识。网络审计面对的企业内部环境是一整套电算化会计信息系统，它的合理有效性、安全程度直接影响到审计工作的质量和效率，如硬件设备的稳定性，上下兼容性，软件本身质量的高低及对企业实际情况的适应性等。而这些又受技术和人为的诸多因素影响，审计环境中不定因素增加。

我国目前已基本形成了以《中华人民共和国会计法》为中心，国家统一的会计制度为基础的相对较完整的法规体系，各行各业的会计处理都有一定的准则为指导，因此传统审计面对的是相对有序的外部环境。而网络经济时代，传统企业纷纷上网开展电子商务，参于竞争，甚至出现了没有经营场地，没有物理实体，没有确定办公地点的虚拟企业。这些企业只要在Internet的一个结点上租用一定的空间经过数字认证机构的认证即可在网上接受订单、寻找货源、进行买卖。正是由于市场准入条件的放宽和有关商务法律的不健全，外部环境的不稳定因素剧增，来自企业外部经营风险凸现，原有的内控制度效果减弱，从而增加了审计的风险。

(二)对审计目标的影响

根据我国独立审计准则，独立审计的目标是对被审单位会计报表的合法性、公允性及会计处理方法的一贯性表示意见。注册会计师收集证据的惟一目的就在于使自已能够对会计报表的合法性，公允性和一贯性表示意见并出具真实合法的审计报告。高质量的信息必须具备可靠性、及时性、相关性。在以历史成本和权责发生制为原则的传统会计中，会计报表作为对企业经济状况和经营成果的事后反映，主要考虑了可靠性，而及时性与相关性不足。

电子商务环境下，企业可以把公司简介、产品信息等放在企业网页上，普通客户随时上网查询，了解情况，且由于网络账务系统的共享性，投资者、有关特定信息使用者可随时通过获得授权上网查询企业的财务状况和经营成果，信息的及时性大大提高。作为事后反映的会计报表对投资者、信息使用者的重要性大大降低。在信息技术飞速发展的电子商务环境下，传统审计已不适应信息时代审计要求。

(三)审计风险复杂化

审计风险是指会计报表存在重大错报、漏报而审计人员审计后发表不恰当审计意见的可能性。传统审计中，注册会计师主要通过评审被审单位内控制度来确定实质性测试的性质、时间和范围，以此将审计风险降到最低，由于企业内控制度的有效性、完善性在传统会计系统中有据可查，较易检测。

电子商务环境下，传统的会计岗位职责被打破，内部控制制度发生了变更与转移，安全已不是企业内部所能完全控制的。以数据库为基础的实时审计发展使审计风险中包含的固有风险、控制风险、检查风险日益复杂化。计算机病毒和黑客攻击都可以从地球上任何一个角落通过网络威胁到会计信息系统的数据安全，网络审计的固有风险增大；由于在计算机中可以人为篡改数据且不留痕迹，企业在电子商务中要面对如何确认没有白纸黑字和签字盖章的电子订单交易，网上信息传递的保密等问题，控制风险更难确定，检查风险增大。且由于电子商务实行无纸化贸易，如果账务系统设计时考虑不周，可能到审计时才发现只留下业务处理的结果而不能追溯其来源，缺少审计线索。主要的审计证据来自于系统网络，属间接证据，其可靠性依赖于网络内控制度的健全有效性，审计人员仅仅通过常规的审计测试程序，难以确定企业有多少重大错报或漏报，会计报表的部分或全部认定是否真实、公允，审计风险难以控制。

(四)审计报告时效性滞后

传统的审计一般是在企业会 计报表完成后进行，审计人员完成外勤工作后经过一段时间的整理，编制审计报告。从企业会计报表报送到审计报告完稿，往往间隔几个月，其时效性不强，且往往发生期后事项，必须在审计报告中加以披露，而在电子商务环境下，由于企业的会计信息随时可通过授权获取，滞后几个月的审计报告对信息使用者用处已不大，为发挥审计报告的应有作用，必须加快审计报告的报告速度。

(五)传统审计业务受冲击

传统审计中，国内审计机构的主要业务是报表审计和验资，而会计咨询、会计服务业务发展缓慢。在电子商务环境下，由于信息实时性特点，信息使用者可随时通过获得授权查询相关信息，报表审计的作用下降。而同时信息使用者直接上网查询必然会遇到许多专业化问题，因而如何在网络中准确、及时地提供专业咨询服务成为审计机构的主要问题。并且其他行业利用网络也正逐步提供类似的信息咨询服务，如银行联网咨询等，审计业务受到前所未有的冲击。

(六)审计人员素质问题

传统审计的账账核对、账证核对、帐表核对等重要的审计工作，必须由有丰富财会知识和经验的审计人员完成，而这些工作在网络化条件下将失去意义，因为在计算机信息系统中，原始凭证、记账凭证、各种帐簿、会计报表等只是系统中同一个数据库，甚至是同一个数据表的数据按不同方式的输出，这些会计信息的正确与否，首先确定于计算机系统功能的正确性，因此网络审计对审计人员的计算机应用水平提出很高要求。

目前国内的审计人员不论在数量上还是质量上仍有较大不足，审计人员老龄化现象突出，部分审计人员虽在财会审计领域经验丰富，但对计算机技术、网络知识了解不多，这造成审计人员因为不懂网络经营与网络财会的特点，缺少应有的风险意识和安全控制知识，而不能识别审查和评价企业的风险与内控制度，难以对复杂的网络会计系统进行有效的评审，难以应付电子商务环境下的审计风险。而计算机专家可能不懂审计，审计人员之外的辅助人员越多，越依赖于他们，审计人员的独立性、客观公正受到威胁。因此迫切需要一大批既懂审计、又懂计算机网络技术的复合型人才。

二、网络审计理论体系的构建

（一）网络审计的目标

审计目标经历了详细审计、资产负债表审计、会计报表审计三个阶段后，停留在鉴定被审单位一定时期内的会计报表是否公正地反映其财务状况和经营业绩，以及所采用的会计政策和会计处理方法是否符合国家的会计准则，即仅是查错防弊目标上。在电子商务环境下，网络审计将由揭露会计资料的错弊转向包括揭露并指出其根源与后果，增加相关利益审计的多元化目标。

具体来说，原先的查错防弊目标仍存在，但应增加指出在系统中产生差错的根源以便完善系统和分析对利益相关者产生何种影响等内容。网络财务报告产生差错，有两种可能性。一是由于经济业务本身的处理差错，如记帐凭证出错、人为漏帐、多记业务等，这些出错原因与传统审计出现差错一致，需通过内控制度评测和抽样检查等传统方法，加以审计并作相应调整即可；另一种情况是经济业务本身处理是正确的，且不存在人为过失，而是由于网络财务系统中存在程序错误或安全漏洞使运行中产生错误结果。因为记账凭证输入后，入账、汇总、结账到产生报表都是由计算机在设定的程序指令下自动完成，因此财务系统设计的完善性及在使用过程中程序指令是否被改变等问题直接影响到最终网络财务报告的正确性。对后一种错误原因，审计人员应指出在哪段程序指令中出错或哪个财务子系统中有问题，找出差错源头，以便完善系统。

由于网络环境中，会计主体具有多元化和不确定性，被审单位的经济状况与其他利益相关者有着互动的联系，股东、合作企业、投资机构等成了相关利益群体，他们关注被审企业的财务状况，分析被审单位的经营业绩和发展趋势，并据以调整与被审单位之间的各种互动联系，因此需要在网络审计报告中分析对相关利益产生的影响。

(一)网络审计的假设

1.被审主体假设

电子商务环境下有两大类企业，一类是传统企业实现信息化，通过构建网站等方式参与电子商务，其财务系统是在原有手工财务系统的基础上发展起来的。另一类是虚拟企业，这些企业只是在Internet上租用空间，寻找资源、广告，或是整合信息并出售或是与网下的生产企业、运输企业等联合；或是“1＋1”型网网联合。虚拟企业通过合作进行竞争，具有高度的弹性与灵活性，在网络空间中迅速重构和解散，导致会计主体的多元化和不确定性。针对这类虚拟企业，被审单位主体应假设为“经济利益相关的独立体”。

2.审计环境假设

实现网络审计必须要有一个良好的环境，一是被审单位网络财务体系的建立和完善,企业内部实现数据一体化管理，建立网上交易活动的授权、确认制度以及相应的电子文件接受、签定、验证制度。并建立网上信息功能，实现网上在线信息披露机制，企业外部信息使用者可随时登录企业网站读取网页上的信息或根据授权通过防火墙身份检查，合法地利用数据库中心获取所需数据。二是企业网络财务系统中建立了审计子程序和审计接口。审计子程序中提供审计管理程序、审计执行工具、审计档案库，即在系统中建立内部审计系统；审计接口是指从被审单位的财务系统向审计应用软件中传送审计数据的规范和程序，即信息交换的通道。包括传送数据的格式、规范和完成传送作业的程序。

3.货币结算假设

电子货币是实施电子商务的重要条件，它采用电子技术和通讯手段，在信用卡市场上流通，以法定货币单位去反映和实现商品的价值。电子货币的运用大大加快了资金流通速度，使资本市场交易更活跃，各种现实货币之间汇率变动更频繁。因此需要一个网上结算中心：网上银行。自从1996年美国纽约的安全第一网络银行（SFNB）成为全球首家Internet电子银行至今，已有1500多家网络银行在开展业务。网络企业的交易范围涉及全球，各种货币汇率不同，因此需要由一种统一计量单位，即电子货币来进行交易，网络审计要正常开展必须有一个完善的网络银行体系支持。

(三)网络审计的对象

电子商务环境下，网上经济交易、资本决策均可以瞬间完成，网络系统中各工作站同时使用一个信息来源，资源共享造成对网络系统的依赖性增大，因此网络审计的对象应从传统审计的会计报表及其他资料转为原始资料和系统功能。包括经济业务本身的合法性和真实性、原始凭证的录入工作准确性、网络会计信息系统的可靠性，系统研制开发的合理性、应用程序与数据文件的安全性等。并从侧重对历史评价转为对未来预测即从事后审计转为实时审计、全方位评价财务报告存在重大错误的风险要素等。

知识作为一种资本，逐渐超越了传统意义上的资本和劳动力两大生产要素，成为经济发展的第一要素，网络企业的主要资产也由传统的生产资料变成知识及其载体，会计信息使用者为满足竞争需要，关注无形资产的价值构成、收益情况和增值能力方面的信息，以及要求审计为经济决策的正确性和监控手段的有效性进行监督和评价，因而审计的工作重心转向无形资产，服务功能大为提高。

(四)网络审计组织

审计机构建立网络审计中心，配备功能强大的服务器、中继器等硬件设备和系统审计软件，开发面向不同对象信息系统的审计接口，并在审计机构和签字确认的单位同时形成原始数据的备份，在不同部门各自生成相关数据库，形成互相监督和牵制，保证审计线索的完整。审计组织内可分设工程技术部、程序检测部、财务审计部等。工程技术部负责被审单位网络财务系统硬件环境的审查；程序检测部负责对被审单位网络财务系统 的运行情况审查；财务审计部在前面部门工作的基础上，完成对具体业务的审查。接到审计任务时，由各审计部门派员组成审计小组协作完成工作。

(五)审计方法程序

1.接受委托

连接网络审计中心与被审单位网络财务系统的审计接口，进行数据传输初测，了解被审单位基本情况。

2.对被审单位网络财务系统功能进行评测

由工程技术部人员对网络硬件环境审查，包括各部件的兼容性，信息通道的畅通性，有无可疑的多余接口等；由程序检测部人员对系统功能检测，包括程序设计的合理性、可行性，操作的权限问题，实时监测系统的完善性等。结合两部门工作系统地分析审核客户服务器环境，进行风险评测。

3.对被审单位网络财务系统进行数据通讯的控制测试

(1)抽取一组会计数据进行传输，检查由于线路噪音造成数据失真的可能性。(2)检查有关的数据通讯记录，证实所有的数据接受是否有序、正确。(3)通过假设系统外一个非授权的进入请求，测试通讯回应技术的运行情况。(4)针对系统的安全性，对本次审计风险进行估测，决定下步审计工作的重心。

4.对原始资料进行实质性测试

在前几步骤中确定了财务系统的可信赖性后，由财务审计部人员调用审计系统的审计功能或使用审计软件对原始数据库审计，利用计算机强大的计算功能，对每笔重要业务审查、核对和分析；测试其原始凭证、入账、汇总的正确性，使用电子邮件向网络银行中心、客房单位进行函证，取得有关数据文件作为审计证据。对无形资产进行审计时，从无形资产的取得、保护、创新等方面入手，审查其经济性和效益性。

第7篇：信息安全审计报告范文

传统审计是由独立的专职机构或人员接受委托或授权，对被审单位特定时期的会计报表及其他有关资料的公允性、真实性以及经济活动的合规性、合法性和效益性进行审查、监督、评价和鉴证的活动，其目的在于确定或解除被审单位的受托经济责任。随着网络技术的发展，企业的经营方式和管理模式发生了重大变化，财务管理系统逐渐由手工模式向网络自动模式发展，在自动化、无纸化、数据化的电子商务和高度信息化的网络财务系统下，传统审计面临巨大的挑战。

(一)审计内外环境的改变

传统审计是在企业的手工会计信息系统环境下进行的。由经济业务产生纸性的原始凭证，会计人员根据原始凭证编制记账凭证，根据记账凭证登记明细账和总账，期末根据账簿编制会计报表。企业从原始凭证到报表每一步都有文字记录，都有经手人签字，整套账务系统都有纸介质保存，以便审阅。在传统经营条件下，企业资产和经营的安全可以通过建立健全的内控制度得以保证，企业根据《企业会计准则》和本单位实际情况所制定的会计政策中，明文规定内控制度，并可由审计人员通过盘询、模拟等方法进行内控制度的评审。

电子商务环境下，客户可以从网上了解商品、询问价格、签订合同、发送订单，企业可以通过网络确认交易、出口报关、发送商品（仅限于信息产品）、传递发货单，划账结汇等。经济业务产生的原始凭证以电磁信息的形式在网上传递并存储于磁性介质中，会计的确认、计量、记录和报告都集中由计算机按程序指令执行。因此审计人员面对的是企业的电算化会计信息系统和网络账务系统，企业的账务系统以程序语言的形式存放于计算机中，肉眼难以对会计处理流程及内控制度形成全面的感性认识。网络审计面对的企业内部环境是一整套电算化会计信息系统，它的合理有效性、安全程度直接影响到审计工作的质量和效率，如硬件设备的稳定性，上下兼容性，软件本身质量的高低及对企业实际情况的适应性等。而这些又受技术和人为的诸多因素影响，审计环境中不定因素增加。

我国目前已基本形成了以《中华人民共和国会计法》为中心，国家统一的会计制度为基础的相对较完整的法规体系，各行各业的会计处理都有一定的准则为指导，因此传统审计面对的是相对有序的外部环境。而网络经济时代，传统企业纷纷上网开展电子商务，参于竞争，甚至出现了没有经营场地，没有物理实体，没有确定办公地点的虚拟企业。这些企业只要在Internet的一个结点上租用一定的空间经过数字认证机构的认证即可在网上接受订单、寻找货源、进行买卖。正是由于市场准入条件的放宽和有关商务法律的不健全，外部环境的不稳定因素剧增，来自企业外部经营风险凸现，原有的内控制度效果减弱，从而增加了审计的风险。

(二)对审计目标的影响

根据我国独立审计准则，独立审计的目标是对被审单位会计报表的合法性、公允性及会计处理方法的一贯性表示意见。注册会计师收集证据的惟一目的就在于使自已能够对会计报表的合法性，公允性和一贯性表示意见并出具真实合法的审计报告。高质量的信息必须具备可靠性、及时性、相关性。在以历史成本和权责发生制为原则的传统会计中，会计报表作为对企业经济状况和经营成果的事后反映，主要考虑了可靠性，而及时性与相关性不足。

电子商务环境下，企业可以把公司简介、产品信息等放在企业网页上，普通客户随时上网查询，了解情况，且由于网络账务系统的共享性，投资者、有关特定信息使用者可随时通过获得授权上网查询企业的财务状况和经营成果，信息的及时性大大提高。作为事后反映的会计报表对投资者、信息使用者的重要性大大降低。在信息技术飞速发展的电子商务环境下，传统审计已不适应信息时代审计要求。

(三)审计风险复杂化

审计风险是指会计报表存在重大错报、漏报而审计人员审计后发表不恰当审计意见的可能性。传统审计中，注册会计师主要通过评审被审单位内控制度来确定实质性测试的性质、时间和范围，以此将审计风险降到最低，由于企业内控制度的有效性、完善性在传统会计系统中有据可查，较易检测。

电子商务环境下，传统的会计岗位职责被打破，内部控制制度发生了变更与转移，安全已不是企业内部所能完全控制的。以数据库为基础的实时审计发展使审计风险中包含的固有风险、控制风险、检查风险日益复杂化。计算机病毒和黑客攻击都可以从地球上任何一个角落通过网络威胁到会计信息系统的数据安全，网络审计的固有风险增大；由于在计算机中可以人为篡改数据且不留痕迹，企业在电子商务中要面对如何确认没有白纸黑字和签字盖章的电子订单交易，网上信息传递的保密等问题，控制风险更难确定，检查风险增大。且由于电子商务实行无纸化贸易，如果账务系统设计时考虑不周，可能到审计时才发现只留下业务处理的结果而不能追溯其来源，缺少审计线索。主要的审计证据来自于系统网络，属间接证据，其可靠性依赖于网络内控制度的健全有效性，审计人员仅仅通过常规的审计测试程序，难以确定企业有多少重大错报或漏报，会计报表的部分或全部认定是否真实、公允，审计风险难以控制。

(四)审计报告时效性滞后

传统的审计一般是在企业会计报表完成后进行，审计人员完成外勤工作后经过一段时间的整理，编制审计报告。从企业会计报表报送到审计报告完稿，往往间隔几个月，其时效性不强，且往往发生期后事项，必须在审计报告中加以披露，而在电子商务环境下，由于企业的会计信息随时可通过授权获取，滞后几个月的审计报告对信息使用者用处已不大，为发挥审计报告的应有作用，必须加快审计报告的报告速度。

(五)传统审计业务受冲击

传统审计中，国内审计机构的主要业务是报表审计和验资，而会计咨询、会计服务业务发展缓慢。在电子商务环境下，由于信息实时性特点，信息使用者可随时通过获得授权查询相关信息，报表审计的作用下降。而同时信息使用者直接上网查询必然会遇到许多专业化问题，因而如何在网络中准确、及时地提供专业咨询服务成为审计机构的主要问题。并且其他行业利用网络也正逐步提供类似的信息咨询服务，如银行联网咨询等，审计业务受到前所未有的冲击。

(六)审计人员素质问题

传统审计的账账核对、账证核对、帐表核对等重要的审计工作，必须由有丰富财会知识和经验的审计人员完成，而这些工作在网络化条件下将失去意义，因为在计算机信息系统中，原始凭证、记账凭证、各种帐簿、会计报表等只是系统中同一个数据库，甚至是同一个数据表的数据按不同方式的输出，这些会计信息的正确与否，首先确定于计算机系统功能的正确性，因此网络审计对审计人员的计算机应用水平提出很高要求。

目前国内的审计人员不论在数量上还是质量上仍有较大不足，审计人员老龄化现象突出，部分审计人员虽在财会审计领域经验丰富，但对计算机技术、网络知识了解不多，这造成审计人员因为不懂网络经营与网络财会的特点，缺少应有的风险意识和安全控制知识，而不能识别审查和评价企业的风险与内控制度，难以对复杂的网络会计系统进行有效的评审，难以应付电子商务环境下的审计风险。而计算机专家可能不懂审计，审计人员之外的辅助人员越多，越依赖于他们，审计人员的独立性、客观公正受到威胁。因此迫切需要一大批既懂审计、又懂计算机网络技术的复合型人才。

二、网络审计理论体系的构建

（一）网络审计的目标

审计目标经历了详细审计、资产负债表审计、会计报表审计三个阶段后，停留在鉴定被审单位一定时期内的会计报表是否公正地反映其财务状况和经营业绩，以及所采用的会计政策和会计处理方法是否符合国家的会计准则，即仅是查错防弊目标上。在电子商务环境下，网络审计将由揭露会计资料的错弊转向包括揭露并指出其根源与后果，增加相关利益审计的多元化目标。

具体来说，原先的查错防弊目标仍存在，但应增加指出在系统中产生差错的根源以便完善系统和分析对利益相关者产生何种影响等内容。网络财务报告产生差错，有两种可能性。一是由于经济业务本身的处理差错，如记帐凭证出错、人为漏帐、多记业务等，这些出错原因与传统审计出现差错一致，需通过内控制度评测和抽样检查等传统方法，加以审计并作相应调整即可；另一种情况是经济业务本身处理是正确的，且不存在人为过失，而是由于网络财务系统中存在程序错误或安全漏洞使运行中产生错误结果。因为记账凭证输入后，入账、汇总、结账到产生报表都是由计算机在设定的程序指令下自动完成，因此财务系统设计的完善性及在使用过程中程序指令是否被改变等问题直接影响到最终网络财务报告的正确性。对后一种错误原因，审计人员应指出在哪段程序指令中出错或哪个财务子系统中有问题，找出差错源头，以便完善系统。

由于网络环境中，会计主体具有多元化和不确定性，被审单位的经济状况与其他利益相关者有着互动的联系，股东、合作企业、投资机构等成了相关利益群体，他们关注被审企业的财务状况，分析被审单位的经营业绩和发展趋势，并据以调整与被审单位之间的各种互动联系，因此需要在网络审计报告中分析对相关利益产生的影响。

(一)网络审计的假设

1.被审主体假设

电子商务环境下有两大类企业，一类是传统企业实现信息化，通过构建网站等方式参与电子商务，其财务系统是在原有手工财务系统的基础上发展起来的。另一类是虚拟企业，这些企业只是在Internet上租用空间，寻找资源、广告，或是整合信息并出售或是与网下的生产企业、运输企业等联合；或是“1＋1”型网网联合。虚拟企业通过合作进行竞争，具有高度的弹性与灵活性，在网络空间中迅速重构和解散，导致会计主体的多元化和不确定性。针对这类虚拟企业，被审单位主体应假设为“经济利益相关的独立体”。

2.审计环境假设

实现网络审计必须要有一个良好的环境，一是被审单位网络财务体系的建立和完善,企业内部实现数据一体化管理，建立网上交易活动的授权、确认制度以及相应的电子文件接受、签定、验证制度。并建立网上信息功能，实现网上在线信息披露机制，企业外部信息使用者可随时登录企业网站读取网页上的信息或根据授权通过防火墙身份检查，合法地利用数据库中心获取所需数据。二是企业网络财务系统中建立了审计子程序和审计接口。审计子程序中提供审计管理程序、审计执行工具、审计档案库，即在系统中建立内部审计系统；审计接口是指从被审单位的财务系统向审计应用软件中传送审计数据的规范和程序，即信息交换的通道。包括传送数据的格式、规范和完成传送作业的程序。

3.货币结算假设

电子货币是实施电子商务的重要条件，它采用电子技术和通讯手段，在信用卡市场上流通，以法定货币单位去反映和实现商品的价值。电子货币的运用大大加快了资金流通速度，使资本市场交易更活跃，各种现实货币之间汇率变动更频繁。因此需要一个网上结算中心：网上银行。自从1996年美国纽约的安全第一网络银行（SFNB）成为全球首家Internet电子银行至今，已有1500多家网络银行在开展业务。网络企业的交易范围涉及全球，各种货币汇率不同，因此需要由一种统一计量单位，即电子货币来进行交易，网络审计要正常开展必须有一个完善的网络银行体系支持。

(三)网络审计的对象

电子商务环境下，网上经济交易、资本决策均可以瞬间完成，网络系统中各工作站同时使用一个信息来源，资源共享造成对网络系统的依赖性增大，因此网络审计的对象应从传统审计的会计报表及其他资料转为原始资料和系统功能。包括经济业务本身的合法性和真实性、原始凭证的录入工作准确性、网络会计信息系统的可靠性，系统研制开发的合理性、应用程序与数据文件的安全性等。并从侧重对历史评价转为对未来预测即从事后审计转为实时审计、全方位评价财务报告存在重大错误的风险要素等。

知识作为一种资本，逐渐超越了传统意义上的资本和劳动力两大生产要素，成为经济发展的第一要素，网络企业的主要资产也由传统的生产资料变成知识及其载体，会计信息使用者为满足竞争需要，关注无形资产的价值构成、收益情况和增值能力方面的信息，以及要求审计为经济决策的正确性和监控手段的有效性进行监督和评价，因而审计的工作重心转向无形资产，服务功能大为提高。

(四)网络审计组织

审计机构建立网络审计中心，配备功能强大的服务器、中继器等硬件设备和系统审计软件，开发面向不同对象信息系统的审计接口，并在审计机构和签字确认的单位同时形成原始数据的备份，在不同部门各自生成相关数据库，形成互相监督和牵制，保证审计线索的完整。审计组织内可分设工程技术部、程序检测部、财务审计部等。工程技术部负责被审单位网络财务系统硬件环境的审查；程序检测部负责对被审单位网络财务系统的运行情况审查；财务审计部在前面部门工作的基础上，完成对具体业务的审查。接到审计任务时，由各审计部门派员组成审计小组协作完成工作。

(五)审计方法程序

1.接受委托

连接网络审计中心与被审单位网络财务系统的审计接口，进行数据传输初测，了解被审单位基本情况。

2.对被审单位网络财务系统功能进行评测

由工程技术部人员对网络硬件环境审查，包括各部件的兼容性，信息通道的畅通性，有无可疑的多余接口等；由程序检测部人员对系统功能检测，包括程序设计的合理性、可行性，操作的权限问题，实时监测系统的完善性等。结合两部门工作系统地分析审核客户服务器环境，进行风险评测。

3.对被审单位网络财务系统进行数据通讯的控制测试

(1)抽取一组会计数据进行传输，检查由于线路噪音造成数据失真的可能性。(2)检查有关的数据通讯记录，证实所有的数据接受是否有序、正确。(3)通过假设系统外一个非授权的进入请求，测试通讯回应技术的运行情况。(4)针对系统的安全性，对本次审计风险进行估测，决定下步审计工作的重心。

4.对原始资料进行实质性测试

在前几步骤中确定了财务系统的可信赖性后，由财务审计部人员调用审计系统的审计功能或使用审计软件对原始数据库审计，利用计算机强大的计算功能，对每笔重要业务审查、核对和分析；测试其原始凭证、入账、汇总的正确性，使用电子邮件向网络银行中心、客房单位进行函证，取得有关数据文件作为审计证据。对无形资产进行审计时，从无形资产的取得、保护、创新等方面入手，审查其经济性和效益性。

第8篇：信息安全审计报告范文

一、对传统财务报告模式的分析

传统的财务报告模式是以三大财务报表（资产负债表、损益表、现金流量表）及其附注为主干，年报和中报为主要形式的分期财务报告模式。在这种模式下，企业会计以财务报告为内容、资产报告为核心、财务报表为主要表现形式对企业的资产使用。经营收益、现金流量状况财务信息进行确认表述和披露。这种传统的报告模式基本能适应工业经济时代经济发展的要求，能起到对经济的反映和监督作用，但是随着经济的发展，传统会计报告模式已经不适应知识经济特别是网络经济时代人们对会计信息的需求。

首先，由于企业经营活动的连续性，其会计信息的产生必然是连续不间断的，但是由于受到技术手段和信息生产成本、传输成本的限制，传统的会计报告模式只能以中报、年报等分期的形式来提供，这样，会计信息的披露只能是间断的。生产运动的连续性和财务信息披露的间断性之间的矛盾，使得会计信息的及时性受到了严重的挑战，其结果是：一方面当用户看到财务报告时，许多会计信息已是“遥远的历史”，从而失去了决策的相关性，而在网络时代，由干企业产品生产周期的缩短，企业原有市场份额或竞争优势可能在较短的时间内消失殆尽，加上衍生金融工具的广泛运用，一些表面财务状况良好的企业都有可能在短期内出现财务困难，甚至破产清算，以巴林银行破产案为例，1995年2月巴林银行因投机日经期货指数失败而宣布破产，而此时，巴林银行连1994年度的财务报告都尚未完成。在此环境下，传统财务报告模式的局限性可见一斑；另一方面，由于占信息优势的人可以利用信息披露的时间间隔进行内幕交易，造成投资者之间的信息不对称，破坏了证券市场信息公开、公平、公正的基本原则，损害了中小投资者的利益，同时使得证券市场的有效性大打折扣。这一点，从我国证券市场上很多庄股在中报年报公布前后的反常走势即可得到印证。

其次，网络经济的到来，使得传统财务报告模式下单纯用货币计量提供的会计信息越来越不能满足信息使用者的要求，信息使用者们期望财务报告能够提供更多的面向未来的非货币信息，这些信息对于信息使用者的投资决策有着重要的参考价值。如：人力资源信息、企业外部环境、地理环境等等，如果单纯用货币计量。这些信息都只能排除在财务报告之外。因此，必须改进计量手段，扩大财务报告的信息容量，增加非货币化的信息，为使用者提供完整、全面的财务信息。

二、实时财务报告系统的实现及特点

企业要实现网上实时财务报告系统，首先要在企业内部局域网（Intranet）中实现企业的会计信息系统和管理信息系统的信息集成，这可以通过建立企业的中心数据库或称信息中心来实现，各信息子系统用户在终端上对企业经营活动和会计信息的记录，都将会在中心数据库中做出添加记录、更新记录、修改记录等操作；其次是将企业内部局域网（Intranet）与国际互联网（Internet）相连，建立自己的网站，网站中安装实时财务报告系统，而实时财务报告系统中所用到数据信息刚来源于企业内部局域网的中心数据库。这样就可以实现企业内部局域网和国际互联网上企业的网站之间的数据共享和同步更新。实时财务报告信息由网站技术人员对数据库信息进行网页化处理后上传到网站上供用户浏览，同时用户也可根据需求自己定制所需信息，通过ASP（ActiveSeverPages）等动态页面生成技术即时生成所需的财务信息页面。这样的网络实时财务系统具有以下的特点：

（1）信息提供的及时性。在信息高速公路上，由于企业网站上的财务信息直接来源于企业内部局域网中的中心数据库，这样，在任何时点，信息使用者都可以从网络上获得企业最新的财务报告，而不必等到一个会计期间结束后才可获得，即信息使用者可以实时了解到企业财务信息的变化情况，企业经营活动的延续性和信息披露的滞后性的矛盾也将不复存在。

（2）信息提供的全面性。随着网络经济的飞速发展，会计信息使用者已经不再满足于仅仅了解企业过去的财务信息，他们还要了解企业未来的以及非财务的信息。实时财务报告系统可以提供全方位的财务信息和非财务信息，既要对传统财务报告中涉及到但没有详细披露的财务信息作进一步的丰富充实，比如金融工具及无形资产、人力资源等信息，又要对传统财务报告中没有涉及到的非财务信息作出披露，这些非财务信息主要包括：经营业绩信息、前瞻性信息、背景信息等等。这些信息对于信息使用者评价企业过去，了解现在和预测企业未来是非常有用的。

（3）信息提供的多样性；在企业未来的网上实时财务报告系统中，将是一个精美多彩的多媒体界面，提供的信息形式也将是多种多样，在企业网站的超文本（HTML）格式的网页上，既有文本格式的文字信息和各种图片信息可供浏览，也有PDF格式的年报中报供下载，甚至可以提供视频流和音频流信息，比如，公司的介绍、重大财务活动可以以视频新闻的形式，一目了然，可听可视。

（4）信息分析的便利性。网上实时财务报告系统所提供的财务信息数据，可以被随意移植使用分析，并且可以直接使用网站上提供的财务分析软件加工出所需的财务分析指标，并且企业同期和历史的财务资料数据或同行业资料、表中某一数据所相关的其他数据，也可以按需求调出供分析使用。网上的实时财务报告系统，超越了传统财务报告披露方式在分析便利性上的局限性。

三、面临的问题

（1）网络实时财务报告系统在系统安全上的风险

财务报告系统的网络实时，实现了会计信息资源的共享，但同时也将自身暴露于风险之中，这些风险主要来自于企业内部的计算机舞弊的风险和网上黑客的恶意攻击。要对网上实时财务报告系统提供足够的安全保障，无疑应当从企业内部和外部双管齐下。首先要从制度上入手，在企业内部必须加强网络化电算化条件下的内部控制，加强用户权限管理，对输入、处理、输出环节要设定特定的控制程序。其次要从网络软硬件设备入手，在企业内部局域网（Intranet）和国际互联网（Internet）中安装设置防火墙（Firewall），建立虚拟专网（VPN）系统，保存详细的系统操作日志，设计授权和身份认证（CA）系统等。

第9篇：信息安全审计报告范文

[关键词] XBRL 实时审计 影响

XBRL（可扩展商业报告语言，eXtensible Business Reporting Language），是 XML（可扩展的标记语言，Extensible Markup Language）在财务报告信息交换方面的一种应用，是目前应用于非结构化信息处理尤其是财务信息处理的最新技术。它使得应用该技术的软件供应商、程序员和终端用户增强了创建、交换和比较商务报告信息的能力。XBRL能够向外部实体提供标准的方法，供它们自己的财务信息，并且这个财务报告一经，可以为更多的分析程序自动从中提取数据，并对它们的用户所关心的信息进行翔尽和客观的分析。

一、XBRL具有的优势

1.完全开放性。XBRL提供的数据都是免费的，不需要任何许可证，任何人、任何部门都可以免费注册使用，大大方便了财务信息的使用。

2.财务报告的利用方式丰富。利用XBRL可以完全打破传统的财务报告按年、按季、按月的模式，做到实时、在线披露。信息使用者可以根据自己的需要，实时地了解企业的最新财务状况，而不必等到一个会计期间结束。财务报告的格式也由通用式向自定义式转变，用户可以根据自己的需求来选取阅读的信息。

3.信息追踪功能。XBRL不仅可以搜索到财务报告披露的信息，还可以搜索到形成财务报告信息的初始信息，可以追根求源。

4.可跨平台使用。信息使用者可同时采用多家企业的财务信息，比较行业内、不同组织或公司内不同部门的数据，通过比较分析获得更多更有价值的信息。

虽然XBRL使得信息的使用和交换更加流畅，具有这么多的优势，但是XBRL财务报告传播中也存在一个关键的问题，就是财务报告是否可信。因此，在XBRL的推广应用中，必须要对XBRL报告进行审计。并且XBRL应用对审计业务、审计环境、审计风险、审计人员素质等等一系列方面都会产生重大影响。下面我们将仔细探讨对审计各方面的影响。

二、XBRL的应用对审计的影响

1.审计服务业务的影响。XBRL全面实施以后，注册会计师的认证服务进一步开拓。注册会计师必须对信息系统的可靠性进行认证。认证的范围包括：XBRL系统本身、XBRL系统和内部控制以及XBRL系统数据与信息。同时使用XBRL后，财务报告按使用者的要求编制，使用者需要大量的信息，但是又不知道如何从原始数据中获得，这时注册会计师就需要给使用者提供一个学习、交流的平台，使用者可以在此了解信息的产生过程，了解哪些财务数据或财务指标说明哪些可能存在的问题，这样，审计的咨询服务会进一步扩展。

2.审计人员自身素质的影响。采用XBRL以后，给审计人员提出了更高的要求。审计人员不仅要对被审计单位提供的电子文档、记录和数据的可靠性、相关性进行审计。还应更好的理解在电子实施系统中确保信息的有效性、合法性的实务流程和相关控制活动以及在连续审计环境下电子实施系统内部控制活动的有效性。因此审计人员必须掌握甚至精通信息系统及IT技术和一定的XBRL、XML技术和原理，对系统流程和控制十分精通。完全不懂得XBRL的审计人员就有可能被淘汰。

3.审计风险的影响。XBRI不限制任何人生产和电子化的财务信息，因特网上尤其是网站上的信息，能够在未授权的情况下被创建和篡改。财务数据通过互联网、传输和交换存在许多安全问题。如果企业单独通过互联网财务信息，需要建立防火墙、设置进入数据库的防伪认证系统等对企业的财务信息进行相应保护。 XBRL安全风险的加剧会增加注朋会计师执业的审计风险。同时网络审计的出现，使得审计报告的受众范围扩大，这也将增加审计人员的风险。

4.审计收费的影响。采用XBRL以后，财务报告成为了在线的、实时的披露系统。审计是实施财务报告质量的外部保证，为保证实时财务报告的质量，即时审计或实时审计应运而生，审计人员要随着被审计单位经济活动的发生随时进行审计。谁为审计买单这一问题将再次困扰大家，审计报告受众范围扩大审计实时等等这些变化都将使审计费用大大增加，增加的费用由被审单位承担、还是由受用者承担、还是共同承担？尚需进一步探讨。

5.审计工作效率的影响。XBRL的应用可以减少分析数据录入和转换的时间。XBRL能和许多不同的软件兼容，所以它能自动、方便地在不同系统平台上运行，使用者可以选择包括数字和文字信息在内的所有企业信息。当通过网络浏览器浏览网页或把数据导入电子表格运用程序以便计算和分析时， 应用软件能识别每一个数据。而且，XBRL数据一经创建及首次格式化， 无须第二次键入或重新格式化为任何特殊的报表形式， 这不仅大大降低了处理、计算和格式化财务信息的成本，而且同时也降低了手工输入或键入数据可能发生的错误率。XBRL的运用使得审计工作在时间地点和空间上的限制减少，可以大大减少审计人员数据录入和转换的时间，提高审计工作效率。

XBRL对审计的影响不仅仅是审计方法和技术的创新，而是通过方法和技术创新的传递作用，引发审计系统及制度等的一次彻底变革，也可以说将会引起一场审计革命。XBRL所带来的实时审计可行程度及其推广难度有多大，全世界范围内正在对其进行深入的研究，其研究价值和应用前景不可估量。

参考文献：

[1]张天西:网络财务报告.复旦大学出版社，2006

[2]姜彤彤:XBRL对审计的影响及建议.国际商务财会，2007