為了緩解這種壓力，CIO必須盡可能地發(fā)現(xiàn)IT系統(tǒng)的任何潛在風(fēng)險(xiǎn)，因?yàn)橐坏┻@些風(fēng)險(xiǎn)演變?yōu)槭鹿?，CIO必須為此承擔(dān)責(zé)任并付出代價(jià)。而信息系統(tǒng)審計(jì)的重要職責(zé)之一，就是幫助CIO發(fā)現(xiàn)這些潛在風(fēng)險(xiǎn)。

 

    IT 審計(jì)最早出現(xiàn)在IT應(yīng)用比較深入的金融業(yè)，后來(lái)逐漸擴(kuò)展到其他行業(yè)。IT審計(jì)的目標(biāo)是協(xié)助組織信息技術(shù)管理人員有效地履行其責(zé)任，以達(dá)成組織的信息技術(shù)管理目標(biāo)。組織的信息技術(shù)管理目標(biāo)是保證組織的信息技術(shù)戰(zhàn)略，充分反映該組織的業(yè)務(wù)戰(zhàn)略目標(biāo)，提高組織所依賴的信息系統(tǒng)的可靠性、穩(wěn)定性、安全性及數(shù)據(jù)處理的完整性和準(zhǔn)確性，提高信息系統(tǒng)運(yùn)行的效果與效率，保證信息系統(tǒng)的運(yùn)行符合法律、法規(guī)及監(jiān)管的相關(guān)要求。

 

    遺憾的是，并不是所有的CIO都認(rèn)為IT 審計(jì)是在幫他們――由于不了解，造成了很多CIO對(duì)IT審計(jì)的種種誤解和偏見。

 

    IT審計(jì)很重要的內(nèi)容之一就是發(fā)現(xiàn)系統(tǒng)的潛在風(fēng)險(xiǎn)，IT部門對(duì)IT風(fēng)險(xiǎn)一直是很關(guān)注的。

 

    IT風(fēng)險(xiǎn)是指在信息處理和信息技術(shù)運(yùn)用過(guò)程中產(chǎn)生的，可能成為影響組織目標(biāo)實(shí)現(xiàn)的各種不確定因素。IT風(fēng)險(xiǎn)包括組織層面的信息技術(shù)風(fēng)險(xiǎn)、一般性控制層面的信息技術(shù)風(fēng)險(xiǎn)，以及業(yè)務(wù)流程層面的信息技術(shù)風(fēng)險(xiǎn)等。

 

    我們的內(nèi)部IT審計(jì)師的主要工作就是評(píng)估現(xiàn)有IT基礎(chǔ)設(shè)施、組織、流程的風(fēng)險(xiǎn)，制定審計(jì)計(jì)劃，實(shí)施審計(jì)，并就發(fā)現(xiàn)的缺陷與管理層討論，跟蹤后續(xù)整改，改進(jìn)IT業(yè)務(wù)。

 

    與CIO看待IT系統(tǒng)風(fēng)險(xiǎn)的角度相比，IT審計(jì)師更測(cè)重于管理而非技術(shù)方面，比如在安全方面更側(cè)重于訪問(wèn)控制的措施，以及是否有定期回顧，還有就是該崗位的人員能否勝任工作，有無(wú)進(jìn)行過(guò)適當(dāng)培訓(xùn)以保障其勝任工作的能力等。

 

    當(dāng)IT審計(jì)作為其他綜合性內(nèi)部審計(jì)項(xiàng)目的一部分時(shí)，審計(jì)人員應(yīng)及時(shí)與其他相關(guān)的內(nèi)部審計(jì)人員溝通信息系統(tǒng)內(nèi)部審計(jì)的發(fā)現(xiàn)，并考慮依據(jù)審計(jì)結(jié)果，調(diào)整其他相關(guān)審計(jì)的范圍、時(shí)間及性質(zhì)。