第一篇：信息系統審計方法淺談

信息系統審計方法淺談

隨著當前信息技術的發展，地方各級資金管理部門投入大量資金，開發了各種各樣的信息系統軟件，用于管理資金或實行會計電算化，信息系統的建設的合法性、軟件開發的規范性、系統運行的安全性以及程序設置合規性等問題，成為審計關注的重點，開展信息系統審計成為審計機關避免“假賬真審”、降低審計風險題中應有之義。

信息系統審計主要目標是確認信息系統的合法性、可靠性、機密性、有效性和安全性等，通過審查信息系統的運行狀況，發現信息系統在使用和管理過程中存在的問題，確定是否存在漏洞和缺陷，有無非法和錯誤的處理和控制的薄弱環節，客觀評價系統的現狀，促進被審計調查單位進一步加強信息系統管理，完善信息系統功能，保證資金的安全與完整，防范利用計算機系統進行欺詐與舞弊，并提出具有建設性的建議。

信息系統審計重點內容主要有以下三個方面：

一、信息系統運行方面，主要包括：

1、系統安全性，審查信息系統的物理安全性，是否可以有效防止被非法使用，相關安全制度是否齊全，機房進出是否執行登記制度等；中心機房是否建設為標準機房，電源是否為單獨供電或雙路供電并配備UPS電源，服務器是否配置機柜；機房內是否擺放紙箱等可燃物品，墻體地板、天花等是否按防火標準建設或改造，是否配備防雷設施，地板是否經過防火、防靜電處理，配備防靜電設施；是否建有磁帶庫、虛擬帶庫等系統以備份系統數據，是否建有冗災備份系統，以確保數據信息安全。

2、系統可靠性，審查硬件、軟件是否有效能夠保證業務的正常運行，操作系統和數據庫是否為正版軟件并及時更新，數據庫是否能夠滿足運行需要，系統是否存在漏洞，是否易受病毒、木馬、黑客等攻擊，導致數據丟失、篡改等；殺毒軟件病毒庫及防火墻是否及時更新。

3、系統機密性，審查數據訪問權限的保密性，是否存在數據被非法用戶訪問，不相容的權限是否設置單選或者禁用，是否存在同時操作前臺和后臺，既能辦理業務，又能審核業務等，隱私數據的保密是否有力；操作系統及數據庫是否加密存儲用戶口令，系統日志是否保留用戶登錄、操作系統模塊和業務模塊的相關信息；是否存在大量共享文件夾及文件，導致系統安全風險。

4、系統合法性，審查信息系統的開發、管理、運營是否符合法律、法規、規章的規定。重要信息是否為必填項或符合規范錄入要求。

5、系統效益性，查信息化建設是否堅持成本節約原則，資源的利用是否堅持效率性原則，信息系統是否達到信息化建設目標。

二、信息系統管理方面，主要包括：

1、內部控制制度，主要審查信息系統是否建立相關內部控制及實際執行，關注各個控制

措施之間的相關性，業務運行結果是否與財務數據一致，某一控制是否存在補償性或是重疊性的控制。

2、保障措施，主要審查各個環節、各個業務部門之間的聯接、系統運營后勤保障、售后服務合同簽訂及后期實施情況等，查看是否存在薄弱環節，是否能有效保障系統的正常安全運行。

三、政策執行方面，主要包括：

1、政策執行，主要地方政策是否符合中央或省級政策的有關條目及法律法規的規定。

2、業務流程，主要審查信息系統是否嚴格按照流程進行運營，是否存在漏洞等。信息系統審計主要采取的方法：

1、座談及現場察看，采取與信息化部門、用戶及相關人員進行座談，查閱與信息系統相關的文檔、程序等，實地查看機房、業務終端、器材等。

2、計算機輔助審計，利用AO軟件的查詢、計算、分類、抽樣選擇、排序、數據文件聯結、比較、合并等功能進行審查。

3、測試數據，通過測試數據樣本，評價信息系統是否能夠正確處理所有業務數據，是否能夠對處理過程實施一定控制。

4、應用程序檢查，檢查系統軟件開發過程中是否設置相應控制措施。

5、聘請計算機專家，為審計師提供指導及其他有價值的信息。

6、整體測試，在軟件系統內置入虛構實體，并以測試資料或正式資料，針對該實體進行處理，以驗證其正確性。

第二篇：信息系統審計

1、信息系統審計的概念，內容，流程？

答：（1）概念信息系統審計是指根據公認的標準和指導規范，對信息系統從規劃、實施到運行維護各個環節進行審查評價，對信息系統及其業務的完整性、有效性、效率性、安全性等進行監測、評估和控制的過程，以確定預定的業務目標得以實現，斌提出一系列改進建議的管理活動。

（2）內容：主要包括內部控制系統審計、系統開發審計、應用程序審計、數據文件審計等。a.內部控制系統審計。信息系統的內部控制系統由兩個子系統構成：一是一般控制系統，它是系統運行環境方面的控制，為應用程序的正常運行提供外圍保障。另一子系統是應用控制系統，它是針對具體的應用系統和程序而設置的各種控制措施。

b.系統開發審計。是指對信息系統開發過程所進行的審計，這是一種事前審計。

c.應用程序審計。其決定了數據處理的合規性、正確性。對應用程序的審計，可以對程序直接進行審查，也可以通過數據在程序上的運行進行間接測試。

d.數據文件審計。在信息系統中，各種憑證、賬簿及報表中的數據均以數據文件的形式存儲在硬盤或軟盤等存儲介質中，對數據文件進行審計，可以將該文件打印出來進行檢查，也可以在計算機內直接進行審查。

（3）流程：主要的分為準備階段、實施階段、終結階段。

a.準備階段：

1、明確審計任務。

2、組成信息系統審計小組。

3、了解被審計系統的基本情況。

4、制定信息系統審計方案；

b.實施方案：

1、對被審計系統的內部控制制度進行健全性調查和符合性測試。

2、對帳表單證或數據文件的實質性審查；

c.終結階段：

1、整理歸納審計資料。

2、撰寫審計報告。

3、發出審計結論和決定。

4、審計資料的歸檔和管理。

2、常見的IT治理標準有哪些，各自的作用是什么？

答：常見的IT治理標準有ITIL，COBIT，BS 7799，PRINCE2。

（1）ITIL（Information Technology Infrastructure Library），即信息技術基礎構架庫，一套被廣泛承認的用于有效IT服務管理的時間準則。1980年以來，英國政府商務辦公室為解決“IT服務質量不佳”的問題，逐步提出和完善了一整套對IT服務的質量進行評估的方法體系。

（2）COBIT，（Control Objectives for Information and related Technology）：信息和相關技術的控制目標。它是由信息系統審計與控制協會，于1996年推出的用于IT審計的知識體系。作為IT治理的核心模型，其包括34個信息技術過程控制，并歸集為IT規劃和組織、系統獲得和實施、交付與支持以及信息系統運行性能監控4個領域。目前COBIT是國際上公認的IT管理與控制標準。

（3）BS 7799（ISO/IEC17799）：國際信息安全管理標準體系。該標準包括信息系統安全管理和安全認證兩大部分，是參照英國國家標準BS 7799而來的。它是一個詳細的安全標準，包括安全內容的所有準則，由10個獨立的部分組成，每一節都覆蓋了不同的主題和區域。該體系主要解決企業的信息安全管理上的問題，為企業提供了一個完整的管理框架，不斷改進信息安全管理水平，使機構或企業的信息安全以最小代價達到需要的水準。

（4）PRINCE2（Projects In Controlled Environments）是一種對項目管理的某些特定方面提供支持的方法。PRINCE2描述了一個項目如何被切分成一些可供管理的階段，以便高效地控制資源的使用和在整個項目周期執行常規的監督流程。PRINCE2的視野并不僅僅限于對具體項目的管理，還覆蓋了在組織范圍對項目的管理。

3、常見的信息系統開發方法，對其中的一到兩種展開說明？

答：常見的信息系統開發方法有軟件開發生命周期法、原型法、面向對象法、計算機輔助開發方法、基于組件的開發方法、基于Web應用開發方法。以下對軟件開發生命周期法進行

說明。

軟件開發生命周期法（Software Development Life Cycle，SDLC）是系統分析員和系統開發者常用的軟件開發方法。軟件開發生命周期法能夠生產高質量的軟件，滿足業務和用戶的需求，在開發進度和成本控制下進行軟件開發生產，是一種有效保證成本，提高效益的軟件開發方法。通過應用傳統的SDLC方法，已經成功開發出了大量的業務應用系統。其各個階段及其基本內容如下：

1、第一階段——可行性研究。確定實施系統在提高生產效率或未來降低成本方面的戰略利

益，確定和量化新系統可以節約的成本，評價新系統的成本回收期。

2、第二階段——需求定義。一是定義需要解決的問題，二是定義所需的解決方案及方案應

當具有的功能和質量要求。該階段還要確定是采用定制開發的方法還是供應商提供的軟件包。

3、第三階段A——系統設計（當決定自行開發軟件時）。以需求定義為基礎，建立一個系

統基線和子系統的規格說明，以描述系統功能如何實現，各個部分之間接口如何定義，系統如何使用已選擇的硬件、軟件和網絡設施等。

4、第三階段B——系統獲取（當決定購買現成軟件包時）。以需求定義為基礎，向軟件供

應商發出請求建議書（RFP）。商品軟件的選擇要從多方面進行考慮。

5、第四階段A——系統開發（當決定自行開發軟件時）。使用系統設計說明書來設計編程

和實現系統過程。在這個階段，要進行各個層次的測試，以驗證和確認開發的系統。

6、第四階段B——系統配置（當決定購買現成軟件包時）。如果決定選用商品化的軟件包

時，需要按照企業的需求進行系統客戶化工作，對系統進行剪裁。這種剪裁最好是通過配置系統參數來實現，而不是通過修改程序源代碼。

7、第五階段——系統實施。這個階段是在最終用戶驗收測試完成、用戶簽署正式文件后進

行。系統還需要通過一些認證和鑒定過程，來評價應用系統的有效性。

8、第六階段——實施后維護。隨著一個新系統或徹底修改的系統的成功實施，應當建立正

式的程序來評估系統的充分性和評價成本效益或投資回報。這樣可為后續的系統開發項目管理提供改進意見。

當一個項目的需求穩定、定義準確時，生命周期法使用起來最有效，改方法適用于在開發工作的早期建立總體的系統構架。

4、IT服務管理的定義，包括哪些內容？

答：（1）IT服務管理（IT Service Management，ITSM）有以下兩種使用比較廣泛的定義：

1、IT服務管理是一種以流程為導向、以客戶為中心的方法。它通過整合IT服務于企業業

務，提高了企業的IT服務提供和服務支持的能力和水平。

2、IT服務管理是一套通過SLA（服務級別協議）來保證IT服務質量的協同流程。它融合了系統管理、網絡管理、系統開發管理等管理活動以及變更管理、資產管理、問題管理等許多流程理論和實踐。

（2）ITIL主題框架包括6個主要模塊，即服務管理、業務管理、ICT（信息與通信技術）基礎設施管理、貫穿業務和IT基礎設施的應用管理、IT服務管理實施規劃和集中的安全管理。

08信息2班0804100229徐怡

第三篇：信息系統審計重點

信息系統審計

電子計算機在數據處理的發展過程可分為三個階段：數據的單項處理階段、數據的綜合處理階段、數據的系統處理階段。

數據處理電算化以后，對傳統的審計產生了巨大的影響，主要表現在：

1、對審計線索的影響~~~~

2、對審計方法和技術的影響~~~~~~

3、對審計人員的影響~~~~~

4、對審計準則的影響~~~~~~ 信息系統審計的定義：信息系統審計是根據公認的標準和指導規范，對信息系統從規劃、實施到運行維護各個環節進行審查評價，對信息系統及其業務應用的完整性、有效性、效率性、安全性等進行檢測、評估和控制的過程，以確認預訂的業務目標得以實現，并提出一系列改進建議的管理活動。

信息系統的主體：有勝任能力的信息系統獨立審計機構或人員 信息系統審計的對象：被審計的信息系統

信息系統審計工作的核心：客觀地收集和評估證據

信息系統審計的目的是評估并提供反饋、保證及建議。關注之處被分為三類：可用性、保密性、完整性。

信息系統審計的特點：審計范圍的廣泛性、審計線索的隱蔽性、易逝性、審計取證的動態性、審計技術的復雜性。（真是為一道簡答題。在P6，詳細看一下各段內容，概括下再答題）信息系統審計目標：

1、保護資產的完整性

2、保證數據的準確性

3、提高系統的有效性

4、提高系統的效率性

5、保證信息系統的合規性與合法性

信息系統的主要內容：內部控制系統審計（分為一般控制系統、應用控制系統，對信息系統的內部控制系統進行審計的目的是在內部控制審計的基礎上對信息系統的處理結果進行審計、加強內部控制，完善內部控制系統）系統開發審計(信息系統開發審計是對信息系統開發過程進行的審計，審計目的一是要檢查開發的方法、程序是否科學，是否含有恰當的控制；二是要檢查開發過程中產生的系統文檔資料是否規范。)應用程序審計（審查應用程序有兩個目的，意識測試應用控制系統的符合性，二是通過檢查程序運算和邏輯的正確性達到實質性測試目的）數據文件審計（審計目的一是對數據文件進行實質性測試，二是通過數據文件的審計，測試一般控制或應用控制的符合性，但主要是為了實質性測試）（這是道簡答題，在P8各個小概括下）

信息系統審計的基本方法：繞過信息系統審計、通過信息系統審計 信息系統審計的步驟（大題P11）：

準備階段：明確審計任務，組成信息系統審計小組，了解被審計系統的基本情況，指定信息系統審計方案，發出審計通知書 實施階段：對被審計系統的內部控制制度進行健全性調查和符合性測試，對賬表單證或數據文件的實質性審查

終結階段：整理歸納審計資料，撰寫審計報告，發出審計結論和決定，審計資料的歸檔和管理

國際信息系統審計準則：由信息系統審計與控制協會（ISACA）頒布和實施的。ISACA是國際上唯一的信息系統審計專業組織，通過制定和頒布信息系統審計標準、指南和程序來規范審計師的工作，它由三個層次構成： 審計標準（審計標準是整個信息系統準則體系的總綱，是制定審計指南和作業程序的基礎和依據）審計指南（審計指南為審計標準的應用提供了指引，信息系統審計師在審計過程中應考慮如何應用指南以實現審計標準的要求，在應用過程中靈活運用專業判斷并糾正任何偏離準則的行為）

作業程序（作業程序提供了信息系統審計師在審計過程中可能遇到的審計程序的示例）信息系統審計師應具備的素質（大題P18-19）

應具備的理論知識:傳統審計理論、信息系統管理理論、計算機科學、行為科學理論

應具有的實踐技能：參加過不同類別的工作培訓、參與專業的機構或廠商組織的研討會，動態掌握信息技術的新發展對審計實踐的影響、具有理解信息處理活動的各種技術、理解并熟悉操作環境，評估內部控制的有效性、理解現有與未來系統的技術復雜性，以及它們對各級操作與決策的影響、能使用技術的方法去識別系統的完整性、要參與評估與使用信息技術相關的有效性、效率、風險等、能夠提供審計集成服務并為審計員工提供指導，與財務審計師一起對公司財務狀況做出說明、具備系統開發方法論、安全控制設計、實施后評估等、掌握網絡相關的安全實踐、信息安全服務、災難恢復與業務持續計劃、異步傳輸模式等通信技術。IT治理定義：德勒定義：IT治理是一個含義廣泛的概念，包括信息系統、技術、通信、商業、所有利益相關者、合法性和其他問題。其主要任務是保持IT與業務目標一致，推動業務發展，促使收益最大化，合理利用IT資源，IT相關風險的適當管理。

IT治理必須與企業戰略目標一致，IT對于企業非常關鍵，也是戰略規劃的組成，影響戰略競爭；IT治理和其他治理主體一樣，是管理執行人員和利益相關者的責任（以董事會為代表）；IT治理保護利益相關者的權益，使風險透明化，指導和控制IT投資、機遇、利益、風險；IT治理包括管理層、組織結構、過程，以確保IT維護和拓展組織戰略目標；應該合理利用企業的信息資源，有效的集成與協調；確保IT及時按照目標交付，有合適的功能和期望的收益，是一個一致性和價值傳遞的基本構建模塊，有明確的期望值和衡量手段；引導IT戰略平衡系統的投資，支持企業，變革企業，或者創建一個信息基礎架構，保證業務增長，并在一個新的領域競爭。

IT治理和IT管理的關系：IT管理是在既定的IT治理模式下，管理層為實現公司的目標二采取的行動，IT治理規定了整個企業IT運作的基本框架，IT管理則是在這個既定的框架下駕馭企業奔向目標。缺乏良好IT治理模式的公司，即使有很好的IT管理體系，就想一座地基不牢固的大廈；同時，沒有公司IT管理體系的流暢，單純的治理模式也只能是一個美好的藍圖，而缺乏實際的內容。

公司治理和IT治理：公司治理，驅動和調整IT治理。同時，IT能夠提供關鍵的輸入，形成戰略計劃的一個重要組成部分，即IT影響企業的戰略競爭機遇。IT治理標準：ITIL、COBIT BS7799 PRINCE2 IT治理成熟度模型：不存在、初始級、可重復級、已定義級、已管理級、已優化級（主要內容及其作用在P47-48）

信息系統內部控制：是一個單位在信息系統環境下，為了保證業務活動的有效進行，保護資產的安全與完整，防止、發現、糾正錯誤與舞弊、確保信息系統提供信息的真實、合法、完整，而制定和實施的一系列政策與程序措施。凡是與信息系統的建立、運作維護、管理和業務處理有關的部門、人員和活動，都屬于信息系統內部控制的對象，可分為一般控制和應用控制。

信息系統一般控制是應用于一個單位信息系統全部或較大范圍的內部控制，其基本目標為保證數據安全、保護計算機應用程序、防止系統被非法侵入、保證在意外中斷情況下的繼續運行等。

信息系統應用控制是用于對具體應用系統的控制，一個應用系統一般由多個相關計算機程序組成，有些應用系統可能是復雜的綜合系統，牽涉到多個計算機程序和組織單元，與此相對應，應用控制包括包含在計算機編碼中的日常控制及與用戶活動相關的政策和流程。良好的一般控制是應用控制的基礎，可以為應用控制的有效性提供有力的保障，某些應用控制的有效性取決于計算機整體環境控制的有效性。當計算機整體環境控制薄弱時，應用控制就無法真正提供合理保障。如果一般控制審計結果很差，應用控制審計結果很差，應用控制審計就沒有進行的必要。

審計邏輯訪問安全策略：知所必需原則

審查離職員工的訪問控制：請辭、聘用合同期滿和非自愿離職 數據庫加密：一般采用公開密鑰加密方法 系統訪問控制及其審計：系統訪問就是利用計算機資源達到一定目的的能力，對計算機化的信息資源的訪問可以基于邏輯方式，也可以基于物理方式。物理訪問控制可以限制人員進出敏感區域。對計算機信息的物理訪問與邏輯訪問應當建立在“知所必需”的基礎上，按照最小授權原則和職責分離原則來分配系統訪問權限，并把這些訪問規則與訪問授權通過正式書面文件記錄下來，作為信息安全的重要文件加以妥善管理。身份識別與驗證（簡答題P65-66）：邏輯訪問控制中的身份識別與驗證是一種提供用戶身份證明的過程，在這個過程中，用戶向系統提交有效的身份證明，系統驗證這個身份證明后向用戶授予訪問系統的能力。可分為三類：“只有你知道的事情”“只有你擁有的東西”“只有你具有的特征” 例子：賬號與口令、令牌設備、生物測定技術與行為測定技術。邏輯訪問授權：一般情況下邏輯訪問控制基于最小授權原則，支隊因工作需要訪問信息系統的人員進行必要的授權。當用戶在組織變換工作角色時，在賦予他們新訪問權限時，一般沒有及時取消舊的訪問權限，這就會產生訪問控制上的風險。所以當員工職位有變動時，信息系統審計師就要及時審核訪問控制列表是否做了有效變更。災難恢復控制及其審計：信息系統的災難恢復和業務持續計劃是組織中總的業務持續計劃和災難恢復計劃的重要組成部分。恢復策略與恢復類型：熱站、溫站、冷站、冗余信息處理設施、移動站點、組織間互惠協議。BCP中多個計劃文件：業務持續性計劃（BCP）、業務恢復計劃（BRP）、連續作業計劃（COOP）連續支持計劃、IT應急計劃、危機通信計劃、事件響應事件、災難恢復計劃（DRP）、場所緊急計劃（OEP）

異地備份：完全備份、增量備份、差分備份

災難恢復與業務持續計劃的審計：主要任務是理解與評價組織的業務連續性策略，及其組織業務目標的符合性；參考相應的標準和法律法規，評估該計劃的充分性和時效性；審核信息系統及終端用戶對計劃所做的測試的結果，驗證計劃的有效性；審核異地存儲設施機器內容、安全和環境控制，以評估異地存儲站點的適當性；通過審核應急措施、員工培訓、測試結果，評估信息系統及其終端用戶在緊急情況下的有效反應能力；確認組織對業務持續性計劃的維護措施存在并有效。

應用控制概念：應用控制是為適應各種數據處理的特殊控制要求，保證數據處理完整、準確地完成而建立的內部控制。應用控制涉及各種類型的業務，每種業務及其數據處理尤其特殊流程的要求，這決定了具體的應用控制的設計需結合具體的業務。單另一方面。由于數據處理過程一般都是由輸入、處理和輸出三個階段構成，從這一共性出發，可將應用控制劃分為輸入控制、處理控制和輸出控制。應用控制也是由手工控制和程序化控制構成，但以程序化控制為主。

軟件維護的種類：糾錯行為化、適應性維護、完善性維護、預防性維護 服務管理：面向IT基礎設施管理的服務支持、面向業務管理的服務提供

IT服務提供流程主要面對付費的機構和個人客戶，負責為客戶提供高質量、低成本的IT服務。任務：根據組織的業務需求，對服務能力、持續性、可用性等服務級別目標進行規劃和設計，同時還必須考慮到這些服務目標所需要耗費的成本。主要包括服務水平管理、IT服務財務管理、能力管理、IT服務持續性管理和可用性管理5個服務管理流程。

IT服務的服務支持主要面向終端用戶，負責確保IT服務的穩定性與靈活性，用于確保終端用戶得到適當的服務，以支持組織的業務功能。服務支持流程包括體現服務接觸和溝通的服務臺職能和5個運作層次的流程，即配置管理、事務管理、問題管理、變更管理、發布管理。應用程序審計的內容：

審查程序控制是否健全有效：程序中輸入控制的審計、程序中處理控制的審計、程序中輸出控制的審計。

審查程序的合法性P168 簡單論述

審查程序編碼的正確性：目標和任務不明確、系統設計差錯、程序設計說明書錯誤、程序語法或邏輯錯誤

審查程序的有效性：在具體編寫程序前應簡化算術表達式及邏輯表達式、細心的分析多層嵌套循環，以確定能否把一些語句或表達式轉移到循環體制外、盡量避免采用多維數組、盡量避免采用指針及復雜的表、采用“快”的算法；不要把不同的數據類型混在一起；只要可能就采用整形數的算法運算和布爾表達式。應用程序審計方法：對應用程序進行審計，往往是計算機輔助審計方法與手工審計方法的結合。

檢測數據法：是指審計人員把一批預先設計好的監測數據，利用被審程序加以處理，并把處理的結果與預期的結果作比較，以確定被審程序的控制與處理功能是否恰當、有效的一種方法。

平行模擬法：是指審計人員自己或請計算機專業人員編寫的具有和被審計程序相同處理和控制的模擬程序，用這種程序處理當期的實際數據，并以處理的結果與被審計程序的處理結果進行比較，以評價被審程序的處理和控制功能是否可靠的一種方法 嵌入審計程序法：是指被審計信息系統的設計和開發階段，在被審的應用程序中嵌入為執行特定的審計功能而設計的程序段，這些程序段可以用來收集審計人員感興趣的資料，并且建立一個審計控制文件，用來存儲這些資料，審計人員通過這些資料的審核來確定被審程序的處理和控制功能的可靠性。

程序追蹤法：是一種對給定的業務，跟蹤被審程序處理步驟的審查技術。一般可由追蹤軟件來完成，也可利用某些高級語言或數據庫管理系統中的跟蹤指令被審查程序的處理。

第四篇：信息系統審計工作制度

信息系統審計工作

今天，信息系統已成為企業業務處理的中樞，信息系統的可靠、安全、效率左右著企業的命運。企業不僅要在內部設立信息系統審計部門，實施內部審計，還必須委托外部信息系統審計師站在第三方的客觀立場對信息系統進行全面的檢查與評價。要實施獨立的信息系統審計，確立信息系統審計制度是十分重要的。

因此，為了規范部門內部工作流程和質量控制，協助其他部門了解信息系統審計部門的業務支持范圍、工作內容及工作流程，促進部門間就項目中設計的信息系統審計業務范圍進行有效溝通，協調項目工作計劃的界定和質量管理，避免因項目中工作職責和工作范圍界定不明確而降低審計工作的效率和效果，特制訂此信息系統審計制度。

本制度主要內容包括信息系統審計部門應何時介入企業進行信息系統審計工作，為財務審計團隊提供信息系統審計業務支持的工作范圍及本部門其他的工作職責范圍，信息系統審計的工作程序及方法，以及信息系統審計對客戶能夠達成的效果等，特作以下介紹說明。

一、信息系統審計何時介入

信息系統審計（IT Audit）是信息系統鑒證業務中的一種。信息系統審計是根據業務和信息控制目標，針對信息系統環境內設定的控制，通過搜集和評估審計證據，對信息系統控制的有效性發表結論或意見的過程。

信息系統審計有四個層面：

1.它的目的是對信息系統控制的有效性發表評估結論或審計意見。有效性包括控制設計的有效性和執行有效性；

2.它的對象是信息系統環境中的各種控制流程或機制，包括IT 一般控制和應用控制；3）

3.它的內容是搜集和評估審計證據；

4.它的依據是業務控制目標，比如系統是否有效實施控制保證財務軟件計算的固定資產折舊程序是否準確。通過執行信息系統審計，可以協助財務審計團隊了解和評價信息系統的可靠性和安全性及財務數據的完整性和準確性。

財務審計團隊在財務審計業務計劃階段，需對客戶的信息系統環境進行調查，若客戶的信息系統環境評估結果為復雜時，需邀請信息系統審計人員介入共同探討審計計劃，根據業務系統的復雜度、實體業務性質、財務審計團隊人員的技能和知識、業務處理本質（如：是否為高度自動化）、交易數量及信息系統的管理方式（如：若信息系統由第三方管理，則需考慮是否需要SAS70或者相關的報告）確定信息系統審計業務支持服務范圍，并在信息系統審計計劃中以書面的形式記錄業務約定。若客戶的信息系統環境評估結果為不復雜時，信息系統審計工作可由審計團隊完成，必要時信息系統審計團隊可以提供知識和技術的支持和咨詢服務。

其中，若在計劃審計程序階段或者審計過程中了解到客戶業務處理過程高度自動化（如：銀行，保險，電信，和零售業等高度依賴電算化的企業環境和特定行業高度依賴信息系統處理業務），僅僅執行實質性程序無法提供足夠的審計證據時，在約定信息系統審計業務服務范圍時，需考慮同時包括應用控制審計及其他可以輔助財務審計團隊確認交易的真實性、完整性、準確性、截止性的審計程序。

在約定信息系統審計是否介入時，需要考慮如下因素：

?系統的復雜性；

? ?業務的本質；

? ?財務審計團隊的技能和知識；

? ?系統的位置（例如，如果包含一個服務組織，SAS70或相關的報告能否被使用）；

? ?處理的本質（例如高度自動化）和交易的數量。

在評估信息系統是否復雜時，我們認為以下特征是復雜信息系統的指標：

?客戶實施編程和/或開發；

?信息系統處理過程高度自動化，很少或者沒有人工干預；

?不同的系統接口；

?信息系統使用批處理（計劃任務）；

?實施了新系統或者系統間進行了轉換；

?使用了單點登錄（SSO）或者集中權限管理（CRM）系統。

二、信息系統審計業務范圍

信息系統審計是一個通過收集和評價審計證據，對信息系統是否能夠保護資產的安全、維護數據的完整、使被審計單位的目標得以有效地實現、使組織的資源得到高效地使用等方面作出判斷的過程。信息系統審計業務范圍包括：

（一）為財務審計團隊提供信息系統審計業務支持；

（二）支持企業內部控制審計；

（三）開展獨立的信息系統審計業務；

（四）對信息系統控制及安全方面提供獨立建議的咨詢服務。

（一）為財務審計團隊提供信息系統審計業務支持

信息系統審計業務為財務審計提供合理保證，其提供的支持服務內容包括：

1.信息系統一般控制：

?IT控制環境/關鍵職責分離；

?主要業務和財務系統的開發以及程序變更管理；

?IT系統運維管理，如數據批處理、數據備份、數據中心維護；

?業務和財務系統環境中關鍵的信息安全和權限控制管理，包括用戶賬戶和授權管理、應用系統安全、數據庫系統安全、操作系統安全、和網絡安全。

2.應用控制：

支持重要業務流程的各應用和接口系統中固化在程序中的關鍵控制點。這要根據財務審計團隊確定的業務流程而定。比如銷售、采購、庫存、應收、應付、總賬、資金、電子商務、銀行存貸等。

3.根據業務復雜性確定的其他控制：

如根據重大賬戶余額，交易類型或披露事項的重大錯報風險的評估結果，對依賴于計算機生成的信息執行信息（CGI）控制測試，計算機輔助審計（CAATs）測試，會計分錄測試（JET）等。

（二）支持企業內部控制審計

信息系統審計對企業的內部控制審計提供支持，對特定基準日內部控制設計與運行的有效性進行審計，其主要內容包括：

1.恰當地計劃內部控制審計工作；

2.實施審計工作，評價內部控制是否可以應對舞弊風險，測試內部控制設計與運行的有效性；

3.評價企業內部控制缺陷，按其影響程度分為重大缺陷、重要缺陷和一般缺陷；

4.獲取充分、適當的證據，為在內部控制審計中對內部控制有效性發表意見和對控制風險結果評估提供支持。

（三）開展獨立的信息系統審計業務

獨立的信息系統審計業務是通過實施信息系統審計工作，對公司、機構或組織是否達成信息技術管理目標進行綜合評價，并基于評價意見提出管理建議，協助組織信息技術管理人員有效地履行其受托責任以達成公司、機構或組織的信息技術管理目標。

獨立的信息系統審計業務也可通過實施信息系統審計工作來對公司、機構或組織所提供的專業化服務（如電子商務、人力資源與薪酬管理外包、在線數據備份等）進行綜合評價從而達到以下目標：

1.判斷一切與該公司、機構或組織所提供的專業化服務相關的流程、操作及管理是否合乎行業標準；

2.保障使用此類專業服務的公司或個人的信息安全性；

3.基于評價意見提出整改建議，從而幫助此類專業服務提供商更好地拓展市場與開放客戶群體。

信息系統審計部門能夠為客戶提供的獨立的信息系統審計業務內容包括：

?企業信息系統控制合規審計報告；

?企業信息系統運行和控制系統設計及評估；

?企業薩班斯法案審計服務；

?其他。

其目的是保證其信息技術戰略充分反映該組織的業務戰略目標，提高公司、機構或組織所依賴的信息系統的可靠性、穩定性、安全性及數據處理的完整性和準確性，提高信息系統運行的效果與效率，合理保證信息系統的運行符合法律法規及監管的相關要求。

（四）對信息系統控制及安全方面提供獨立建議的咨詢服務

信息系統咨詢業務是指結合信息系統安全、企業內部控制管理與外部審計等多方面的專業知識，提供與信息安全相關的信息化建設、信息安全診斷、信息技術認證及ERP系統相關的咨詢業務。

信息系統審計部門能夠為客戶提供的獨立的信息系統咨詢業務內容包括：

?企業信息系統戰略策劃和評估；

?企業信息系統執行及項目管理監理咨詢；

?企業信息系統安全評估；

?企業薩班斯法案咨詢服務；

?企業專業服務系統的行業評估；

?其他。

三、信息系統審計程序

（一）信息系統審計一般程序

審計程序一般可分為四個階段，即準備階段、實施階段、審計結論和執行階段、異議和復審階段。信息系統審計也可分為這四個階段，同時結合自身的特殊要求，運用本身特有的方法，對信息系統進行評價。

1.準備階段

初步調查被審計單位信息系統基本狀況，擬定科學合理的計劃，一般應包括以下主要工作：

（1）調查了解被審計單位信息系統的基本情況，如信息系統的硬件配置、系統軟件的選用、應用軟件的范圍、網絡結構、系統的管理結構和職能分工、文檔資料等，調查完成后將審前調查情況記錄下來。

（2）提前三天送達審計通知書，要求被審計單位對所提供資料的真實性、完整性作出書面承諾，明確彼此的責任、權利和義務。

（3）初步評價被審計單位的內部控制制度，以便確定符合性測試的范圍和重點。

（4）確定審計重要性、確定審計范圍。

（5）分析審計風險。

（6）制定審計實施方案。在審計實施方案中除了對時間、人員、工作步驟及任務分配等方面作出安排以外，還要合理確定符合性測試、實質性測試的時間和范圍，以及測試時的審計方法和測試數據。

在安排利用計算機輔助審計時，還需列出所選用的通用軟件或專用軟件。對于復雜的信息系統，也可聘請專家，但必須明確審計人員的責任。

2.實施階段

實施階段是審計工作的核心，也是信息系統審計的核心。主要工作是根據準備階段確定的范圍、要點、步驟、方法，進行取證、評價，綜合審計證據，借以形成審計結論，發表審計意見。實施階段的主要工作應包括以下兩個方面的內容：

（1）符合性測試。進行符合性測試應以系統安全可靠性的檢查結果為前提。如果系統安全可靠性非常差，不值得審計人員信賴，則應當根據實際情況決定是否取消內控制度的符合性測試，而直接進行實質性測試并加大實質性測試的樣本量。在信息系統的符合性測試項目中，主要內容應該是確認輸入資料是否正確完整，計算機處理過程是否符合要求。如果系統安全可靠性比較高，則應對該系統給予較高的信賴，在實質性測試時，就可以相應地減少實質性測試的樣本量。

（2）實質性測試。實質性測試應該是對被審計單位信息系統的程序、數據、文件進行測試，并根據測試結果進行評價和鑒定。進行實質性測試須依賴于符合性測試的結果，如果符合性測試結果得出的審計風險偏高，而且被審計單位有利用信息系統進行舞弊的動機與可能，并且被審計單位又不能提供完整的會計文字資料，此時審計人員應考慮對會計報表發表保留意見或拒絕表示意見的審計報告。進行實質性測試時，可考慮采用通過計算機和利用計算機進行審計的方法，具體包括：

①測試數據法：就是將測試數據或模擬數據分別由審計人員進行手工核算和被審計單位信息系統進行處理，比較處理結果，作出評價；

②受控處理法：就是選擇被審計單位一定時期（最好是12月份）實際業務的數據分別由審計人員和會計電算化系統同時處理，比較結果，作出評價。

（3）利用輔助審計軟件直接審查信息系統的數據文件。審計人員可利用現場審計實施系統軟件（AO）直接對數據進行數據轉換，數據查詢，抽樣審計，查賬，賬務分析等測試，得出結論，作出評價。

3.審計結論和執行階段

審計人員對信息系統進行符合性測試和實質性測試后，整理審計工作底稿，編制審計報告時，除對被審單位會計報表的合理性、公允性發表意見，作出審計結論外，還要對被審單位信息系統的處理功能和內部控制進行評價，并提出改進意見。

審計報告完成后，先要征求被審單位的意見，并報送審計機關和有關部門。審計報告一經審定，所作的審計結論和決定需通知并監督被審單位執行。

4.異議和復審階段

被審單位對審計結論和決定若有異議，可提出復審要求，審計部門可組織復審并作出復審結論和決定。特別是被審單位信息系統有了新的改進時，還需組織后續審計。

（二）信息系統審計協調程序

為財務審計團隊提供信息系統審計業務支持服務前，為了合理安排信息系統審計工作計劃，財務審計項目負責人與信息系統審計部門應執行下列協調程序：

1.財務審計項目負責人在制定當年審計計劃時應考慮所需信息系統審計部門進行審計支持的內容與實行時間；

2.財務審計項目負責人提前在9月底將所需信息系統審計時間告知信息系統審計部門，與信息系統審計部門討論確定服務內容，預約部門成員；

3.信息系統審計部門搜集所有信息系統審計需求，按照項目時間安排信息系統審計人員工作計劃，并與財務審計項目團隊、客戶協調；

4.信息系統審計部門及時完成外勤工作、底稿編制和底稿審核，并把結論書面告知財務審計項目團隊，并與財務審計團隊對信息系統審計部門的最后結論達成口頭或書面共識；

5.信息系統審計部門將按照事務所要求歸檔、保管底稿。

其他信息系統項目的工作計劃參照上述信息系統審計業務支持服務，與相關方及時溝通制定審計計劃，在制定的項目時間內完成工作。

（三）信息系統審計結果報告程序

信息系統審計部門實施信息系統審計的計劃、程序、證據、結論等底稿都會按照相應的審計準則進行記錄和保存。

1.在財務審計系統審計風險評估當中，信息系統審計部門不會出具某種審計報告，而是出具評估結論，一般以底稿備忘錄的形式提交給財務審計團隊。該備忘錄總結信息系統審計中評估的范圍、方法、時間/區間、結論、重大控制缺陷或風險點等內容。

2.在獨立的信息系統審計業務和咨詢業務中，會出具獨立的審計報告。報告將以事務所名義簽發。

第五篇：審計信息系統

一、審計及審計軟件的簡介

審計是一項具有獨立性的經濟監督活動，獨立性是審計區別于其他經濟監督的特征；審計的基本職能不僅是監督，而且是經濟監督，是以第三者身份所實施的監督。審計的主體是從事審計工作的專職機構或專職的人員，是獨立的第三者，如國家審計機關、會計師事務所及其人員。審計的對象是被審計單位的財政、財務收支及其他經濟活動，這就是說審計對象不僅包括會計信息及其所反映的財政、財務收支活動，還包括其他經濟信息及其所反映的其他經濟活動。審計的基本工作方式是審查和評價，也即是搜集證據，查明事實，對照標準，做出好壞優劣的判斷。審計的主要目標，不僅要審查評價會計資料及其反映的財政、財務收支的真實性和合法性，而且還要審查評價有關經濟活動的效益性。

審計的重要性不言而喻，首先，審計具有強有力的制約作用。審計通過揭露和制止、處罰等手段，來制約經濟活動中各種消極因素,有助于各種經濟責任的正確履行和社會經濟的健康發展。其次，審計還具有促進作用，審計通過調查、評價、提出建議等手段,來促進、服務宏觀經濟調控,促進微觀經濟管理，以助于國民經濟管理水平和績效的提高。

然而隨著社會經濟與科技的不斷進步，審計的主體和客體的不斷擴充，純手工審計的方式盡管具有靈活運用的特點，但是因其效率低、錯誤率高而逐漸不能滿足人們的需要，這時審計軟件應運而生。審計軟件是指用于審查電算化系統或利用計算機輔助審計而編寫的各種計算機程序。廣義上講，審計軟件是指用于幫助完成審計工作的各種軟件工具。審計軟件可分為四種類型：第一種現場作業軟件、第二種法規軟件、第三種專用審計軟件、第四種是審計管理軟件。

在我們專業實習之前，我們參與過鼎信諾審計軟件的培訓，比較可惜的是，在正式參與審計時，我們并沒有利用專業審計軟件進行審計和數據處理，僅利用EXCEL便完成了所有審計工作，但我也通過查閱資料書籍和詢問事務所人員初步了解了中瑞岳華審計軟件——鼎信諾的基本功能和操作，同時我也將在下文中大致描述EXCEL在審計中的運用。

二、XX會計師事務所審計軟件——鼎信諾 簡介

鼎信諾審計系統作為XX會計師事務所的主要審計軟件，有如下11個主要功能：

1、前端數據采集

審計前端能夠從金蝶K3、金蝶KIS、用友7系列、用友8系列、用友通系列、速達3000、速達5000、新中大、久其、安易、博科、浪潮、遠光、遠方、小蜜蜂等常見財務軟件中取出數據；并且不需要安裝可直接運行；前端是完全免費，可以直接從公司網站上下載；對于定制的或者不常見的財務軟件，可通過粘貼數據到EXCEL取數模板的方式采集數據。

2、審計抽樣

審計人員憑經驗和職業判斷手工抽取樣本；也可以依據審計人員選擇的抽樣方法，如隨機、由大到小

或由小到大和條件（抽取筆數或金額），由計算機計算出各種統計數據（包括：樣本總量、已選樣本量、剩余樣本量、所占比例大小等等）；同時保留審計軌跡，并與抽樣結果一起反映到檢查表中。對于已抽出的憑證還可以生成憑證并打印出來。

3、自動生成實質性工作底稿

所有的實質性工作底稿都是自動生成的，實質性工作底稿包括：審計程序、審定表、明細表、檢查表等等。對于往來款中有核算項目的，也可自動在明細表中列示。工作底稿

4、往來款賬齡計算

往來款的實質性工作底稿中，系統可以依據多年的賬套數據計算出賬齡。

5、生成銀行函證和往來單位函證

在實質性工作底稿中選擇要發送函證的銀行或往來單位，修改系統提供的函證模板后，系統自動生成一頁一頁WORD格式的函證。

6、合并會計報表

系統根據母子公司間投資關系等信息自動產生權益抵消、收益抵消，內部往來抵消和內部購銷抵消四種抵消分錄，用戶還可以手工輸入抵消分錄。系統根據母子公司間投資關系自動產生包括全部母子公司的過渡表和集團合并會計報表。系統自動合成集團公司下屬全部單體公司的報表附注，合并報表附注同樣可以刷新到WORD中。

7、存貨和固定資產的測試

存貨或固定資產的實質性工作底稿中，系統可以自動提取前端已采集的相關數據，依據用戶選擇的不同方法進行測試。

8、數據分析

數據分析有報表分析、圖表分析和指標分析三種，從不同的角度分析審計風險。數據

9、審計調整

輸入一次審計調整后，該調整分錄涉及到的底稿、報表、附注都能自動更新數據。調整分錄，自動生成匯總表和審計會計報表。

10、生成未審會計報表

未審會計報表中，未審數是由科目得到，報表數是由企業提供。如果賬表之間存在差異，以紅色字體顯示，用戶可以據此進行賬表差異調整，例如：往來款科目的負值調整。

11、自動生成會計報表附注

系統提供了財政部和國資委頒布的會計報表附注模版，會計報表附注的內容和格式是可以修改的。修改后的附注能夠一次性全部刷新到WORD文檔中。

顯而易見，鼎信諾審計軟件大大節約了審計的時間，提高了效率，在于同學和學姐交流時，使用過該軟件的同學都普遍反映利用該軟件效率提高了不少，僅以抽憑為例，我們利用EXCEL導出數據抽憑需要至少一整天的時間才能完成一家公司的電子抽憑工作，而導出數據的憑證號在實際抽憑過程中很多都是錯的，而利用鼎信諾軟件則需要不到半天的時間就能完成同等規模公司的抽憑工作，并且憑證號都能夠對應的上。

而且審計工作底稿實現電子化后，審計人員能方便地通過公司內部的局域網或審計小組現場的對等網實現信息共享，相互之間查閱審計底稿只需l要點點鼠標即可輕松實現，而且審計人員之間互不影響，從而可以極大提高審計效率。審計人員只需要進行初始的數據錄入，計算工作由計算機自動完成，計算結果準確無須驗算，可節約時間，提高審計效率。

利用鼎信諾軟件，審計底稿的素材范圍得到了進一步的擴充，錄音材料、錄像材料、電子照片均能構成審計底稿，搜集證據不再單一化，更加方便快捷，審計風險也得到了降低，同時資料也變得容易方便攜帶起來。

三、EXCEL軟件在審計中的應用

在事務所實習過程中，雖然我們并沒有機會接觸鼎信諾軟件的使用，但是利用EXCEL也方便了我們的審計工作。

首先，事務所提供了帶有公式鏈接和相應格式的EXCEL電子工作底稿和word底稿，企業財務軟件erp不支持win7的使用，因此我們只能將相關數據導出到記事簿中，然后再粘貼進EXCEL中進行整理和使用。起初我們接觸到的就是過期初數，平時我們認為簡單的復制粘貼，但是要知道底稿中有很多公式，因此我們在粘貼時需要選擇性粘貼，有一些審計調整要不要過進來也需要我們去自己把握。

接下來需要應用到的就是抽憑，刪除或者隱藏掉不可排序行后按照排序或者條件性篩選我們便可以選取數額較大的或者關聯方賬目進行抽憑。再對數據進行分析時，我們還可以運用凍結窗格等功能，這對數據的整理十分重要，尤其是凍結首行，這對每一筆分錄的借貸方更容易把控。

在填寫附注階段，在主表中有試算平衡表數據和明細表數據，只需要我們添加一個源公式，那么我們就能直接鏈接過來數據而不需要逐個粘貼，尤其是在試算平衡表中數據所變動的時候。這時，我們只需將附注中區域科目的明細下表科目鏈接到主表中，通過公式判斷便可以驗證數據是否一致。在逐個明細區域中，我們還是需要將主表中的數據鏈接過來，做一個簡單的減法公式，如果結果顯示的是“-”，那么證明兩個數據相同；如果結果顯示的是“0”，那么需要在該公式中復核加計round公式，若結果為“-”那么數據無誤，否則數據出現錯誤。這是因為我們的數據在小數點后兩位四舍五入，有時難免有誤差。

這只是一些基本的功能，其實EXCEL還有很多功用，例如：利用Excel編制集團公司的經審合并報表、利用Excel進行分析性復核、對數據進行保護等等。但令我印象最深刻的是在對固定資產和應收賬款賬齡的測算中的應用，如果數據量小手工計算也不礙事，但是數據一旦成百上千，那么就需要EXCEL公式的綜合運用了。

往來賬款(應收賬款、其他應收款、應付賬款等)的賬齡審計，是財務會計報表的基礎審計工作，企業往來款項的明細賬戶動輒成百上千，賬齡審計頗為繁瑣。而利用Excel進行往來賬款賬齡審計卻非常簡單方便。利用Excel進行賬齡審計，需要企業提供往來款項、分客戶明細賬戶編制的“年初數、本年累計借方發生額、本年累計貸方發生額、年末余額”格式的會計數據資料。目前越來越多的企業采用會計軟件進行核算，該資料可以利用會計軟件提供的“數據導出”功能導出為Excel格式獲得。將獲取資料置于一個Excel工作簿內。運用Excel的數據排序功能將年末余額為負數的數據(需要報表重分類)剔除后，就可以在A、B、C、D單元格中設定函數公式。一是賬齡1年以內的函數為：A＝IF(本年貸方發生額＞＝年初余額，年末余額，本年借方發生額)。二是接著利用Excel的數據排序功能，篩選出(年末余額一賬齡1年以內金額)＞0的明細賬戶，獲取其上年“年初數、本年累計借方發生額、本年累計貸方發生額、年末余額”格式的會計數據資料。在上表“單位名稱”列左側增加列，用以添加上年數據。賬齡1～2年的函數為：B＝IF(本年貸方發生額十上年貸方發生額)＞：上年初余額，年末余額一賬齡1年以內的金額A，上借方發生額)。三是篩選出(年末余額一賬齡)1年以內金額一賬齡1～2年的金額)＞0的明細賬戶，獲取其更前一個的數據。賬齡2～3年的函數為：C=IF((本年貸方發生額＋上年貸方發生額＋更上一年的貸方發生額)＞＝更上一個年初余額，年末余額—賬齡1年以內的金額A-賬齡1-2年的金額B，更上一個的借方發生額)。四是賬齡3年以上的函數為：n：年末余額一賬齡1年以內的金額A——賬齡1-2年的金額B——賬齡2--3年的金額C。輸入完畢后，模板將自動計算年末賬齡，方便準確。

四、審計軟件的優勢

如上文所述，審計電子化、信息化是一種高端審計方式，更是一種趨勢，實現審計電子化，即用審計軟件進行審計有如下優勢：

1、審計信息化具有審計人員協同作業的優勢。

審計信息化所面對的是比以前更加廣泛和復雜的網絡經濟活動，審計的具體內容除了企業的經濟活動和財務紀錄以外還包括其使用的系統網絡、外部網絡及相關的企業，因此進一步分工協作成為必要。由于網絡、計算機、現代通訊技術在審計中的運用，使得多個審計人員 協作、聯合審計成為可能，能使審計資源得到更廣泛而有效地配置和運用，從而大大提高審計能力。

2、審計信息化具備審計連續性優勢

審計信息化使得遠程審計與就地審計相結合，當前審計與以前審計、后續審計相結合，因此，使審計跨時空作業成為可能。而網絡經濟的無邊界性和復雜性又使得跨時空審計成為必要。跨時空作業使審計單位能夠綜合調用、管理機構內外的資源完成審計項目，將原本復雜繁重的審計任務改變成簡單、方便、快捷的審計作業。

3、審計信息化具有準確高效的優勢

審計信息化通過網絡可以充分發掘和發揮計算機高速準確的優勢及審計軟件的專業的優勢。對海量的網絡財務數據和業務數據進行檢索、查詢、追蹤、轉化、抽取、比較、歸類、合并、統計、信息檢索的高智能化，大大減輕審計人員收集資料以進行職業判斷的工作量。