2.获取信息系统风险管理相关资料,了解管理层风险偏好 及风险容忍程度、风险管理目标、风险管理策略和原则、风险 管理制度及流程、监控、评估及应对等。
3.获取组织信息系统风险管理清单,选取组织的重点业务流程与风险清单对比,检查风险评估计划、风险评估实施记录、风险评估报告、风险处置计划,评价组织风险识别、评估的准确性、适当性、完整性。
风险清单评估实例
信息系统战略规划风险
风险定义描述发生的条件发生的可能性
信息系统开发缺乏战略规划或规划不合理,造成信息系统缺乏可开展性、形成信息孤岛或重复建设,导致公司经营管理效率低下1. 系统开发没有经过规划2. 规划没有经过充分调研3. 规划没有经过充分论证低
信息系统需求分析管理风险
风险定义描述发生的条件发生的可能性
系统需求分析不当,不符合业务处理和控制的需要;或需求文档的表述不能全面、准确地表达业务需求;或在技术上、经济上及合规上不可行,导致系统开发失败或应用价值下降,甚至引发法律纠纷或受到处罚1. 系统需求不是由业务使用部门提出的2. 系统需求没有经过充分论证3. 需求文档文字表述不全面、不准确,没有准确表达业务需求 4.对需求实现在技术、经济及合规上的可行性没有进行充分论证中
4.获取组织信息系统的测试及运行数据,选取组织的重点 业务领域及重点工作环节,获取对应的数据,根据数据的内在 联系,利用平行模拟法,查找异常点及可能存在舞弊的动机及 机会,从而发现问题和风险。
第六节	信息系统项目管理审计
一、年度信息化项目计划
(一)业务概述
信息化项目:是指支撑组织战略实施,提高组织管理、决 策的效率、效果,以计算机、网络、通信等技术为手段建设和 服务的项目,包括咨询服务、软件产品采购、软件研发、系统 实施、硬件设备采购、系统集成、系统运行维护等。
项目年度计划:是指信息化项目年度计划的编制、上报、汇总、审批、发布等。项目计划编制一般应包括但不限于以下事项:项目建设背景、必要性、项目的目标、范围和主要内容、 初步业务需求分析、实施周期、投资估算以及系统所需要软硬件环境等内容。
信息化项目年度计划应遵循组织相关内部控制制度以及投 资、计划和信息化规章制度进行上报和审批。为了确保有效地 满足业务需求,在立项前应进行需求分析。分析过程