（二） 我国的信息系统审计准则无法满足广泛的社会需求
近年来，复杂的信息系统在我国得到广泛应用，如公安综合网络信息系统、集团信息管理系统等。由于受到特定经济环境以及网状信息系统复杂性等多种不确定因素的影响，信息系统安全问题日趋严重，社会对信息系统审计准则的需求亦日益迫切。 如，２００６年 １０月 １０日中国民航信息网络股份有限公司离港系统主机发生故障，包括北京、上海、广州在内的众多机场的离港系统整体性瘫痪；２００９年 ９月 １７日，知名券商申银万国交易系统突然瘫痪，其位于全国各地的一百余个营业部均受到影响，近半个小时未能进行证券交易；２０１０年 ２月 ３日，民生银行因信息系统故障，全国范围所有业务无法办理；２０１１年１０月２５日，北京东城区３９家社区卫生服务站出现信息系统故障，近一周的时间无法为患者提供正常门诊与取药服务。 若要解决上述问题，则亟须一套成熟的信息系统审计准则对信息系统进行事前预警、事中控制与事后评价，显然，目前我国仅有的两项准则无法满足社会的需求。 信息系统审计准则在我国的需求主要体现在三个方面：一是信息系统内部控制与审计的需求。 对此，内审协会需要出台全面的准则与规范，为组织中内部审计人员评价信息系统的安全提供参考标准。 二是公共机构中信息系统外部审计的需求。 对此，审计署需要出台系列的信息系统审计准则，为政府审计人员提供明确的审计流程与技术方法。 三是公共机构之外的组织中信息系统外部审计的需求。 对此，中注协需要出台规范的信息系统审计准则，为社会审计人员提供清晰的参照标准与风险控制思路。
（三） 我国的信息系统审计准则多方制定主体间缺乏默契的协调机制
政府审计准则、内部审计准则、社会审计准则的出台机构分别为审计署、内审协会与中注协，它们应根据其自身服务范围制定相应的信息系统审计准则。 然而，尽管三方均需制定各自的准则，但是由于在信息系统审计的目标、原则、方法与技术方面只是形式的不同，而内容并未有实质差异，因此，审计署、内审协会、中注协有必要就信息系统审计的原则与方法等同质的方面作出统一的规范，然后再根据各自的特点进行修订。 多年来，我国信息系统审计准则出台过于零散，其原因之一是审计署、内审协会、中注协各自缺少对外交流机制，且彼此之间缺乏协调机制。 一项准则的出台，不仅仅需要制定主体之间相互协调，同时还需要集合制定主体之外的多方相关利益主体。 信息系统审计准则所需集合的外部主体主要有信息系统审计师、信息系统管理工程师、信息安全工程师、信息系统项目管理师、学术界以及其他利益相关者。 因为信息系统审计准则制定者的理性并非无限的，因而，将各利益主体有机协调于一体，将会尽可能地集合审计学学科、计算机科学学科以及信息安全学学科中理论界与实务界更多人的知识与经验，从而全面提高信息系统审计准则的质量。 在我国，尽管信息系统审计并非强制性审计，且耗费人力、财力集合各方主体完善相关准则从目前来看并不会产生更多的社会效益，但是从长远来看，缺少必要的多方互动机制并非明智之举，准则制定者应在引入多方主体的基础上采取听证会等方式，多听反对意见，广纳民意，集中民智。
四、信息系统审计准则体系的构建策略探析
构建并完善信息系统审计准则体系是一项系统工程，它不是简单工作的叠加，而是具体工作的有机整合。 我国的信息系统审计准则建设刚刚起步，准则制定主体将面临全新的挑战。 在此，笔者希望准则制定主体在信息系统审计准则制定上，尽可能坚持以下三个方向。
（一） 合理借鉴国外成熟的信息系统审计准则体系
国外信息系统审计准则体系相对成熟，我国的准则制定机构可以直接引入国外先进的信息系统审计准则研究成果及实践经验，这样不仅可以避免开展重复性工作，而且能快速站于更高的起点。 当然，“借鉴”并不意味着“照搬”，准则制定机构在“借鉴”中应关注国际趋同、中国特色和自主创新三点。
１． 国际趋同。 当前，全球经济一体化趋势要求审计准则也趋向一体化。 ２０１０年 １１月 １０日，国际审计准则制定机构在与中国审计准则委员会的联合声明中高度评价中国审计准则的国际趋同成果。 审计作为一门学科不分国界，大量“吸收”国外成熟的信息系统审计标准，走“国际趋同”道路，将是我国发展审计准则的大势所趋。 信息系统审计准则的国际趋同是矛盾的统一体，我国的准则制定机构需要实现“推动趋同的积极因素”与“阻碍趋同的消极因素”二者作用的均衡。
２． 中国特色。 由于各个国家的国情不尽相同，因而外国成熟的理念不尽适于中国。 我国与国外审计文化的差异主要体现于三个层次：其一是物质文化差异，包括审计环境、审计条件等；其二是制度文化差异，包括审计规范、审计机构组织方式等；其三是精神文化差异，包括价值取向、行为方式等［１０］。 例如，国际政府审计准则由四部分组成，全部具体准则共计 １９１项条款，然而我国政府审计准则共分为六个部分，全部准则共计 ４７项条款［２］。 造成国内外差异的原因有诸多方面，其中一个是我国政府审计无论是实践经历还是理论研究都起步较晚。 正因如此，我国审计准则的制定与出台均是以实践经历为基础的，是紧紧围绕实践环节作出的程序性规定，在形式上和内容上拘泥于条条框框，难以达到“适度拓展性”与“适时适应性”等理论高度［１１］。 有鉴于此，我国的准则制定机构在“借鉴”中，需要充分认识国内外审计文化的差异，明确我国审计文化的特色，努力设计出适用于我国的高效的信息系统审计准则体系。

免费论文下载中心 ３． 自主创新。 我国对信息系统审计准则的制定不仅要做到中国特色，还要做到与时俱进并具有前瞻性。 为满足上述要求，准则制定机构在借鉴国外的基础上，需要做到基于自身的不断创新。 如ＩＳＡＣＡ采用的是会计师事务所的框架，美国审计署采用的是内部控制理论，二者构建的信息系统审计准则体系都主要以内部控制为基础［８］，然而当前我国大部分被审单位的内控体系尚在建设之中。 再如，国外有众多有关信息化的法规为 ＩＳＡＣＡ等体系做支撑，而我国尚缺［１１］。 类似问题的解决都有赖于我国信息系统审计准则制定机构的持续创新。 为了实现“持续创新”，我国有必要为信息系统审计准则的制定与组织设立专门的机构，加大人力、物力、财力的投入，增强准则制定的必要的动力机制，强化准则制定主体，最大限度地发挥相关机构的创新潜力。（二） 全面设计信息系统审计准则的完善方案
信息系统审计准则的制定必须科学规划，建立切合实际的信息系统审计准则制订方案并非无法完成。 笔者认为，全面的信息系统审计准则完善方案至少包括四项内容：一是确立准则制定相关主体的多方合作机制。 信息系统审计准则制定主体的知识具有有限性，因此制定主体不可能制定出适用于任何情况的最优规范，故准则制定机构需要扩大准则制定主体的代表性，将信息系统审计师、信息安全工程师、软件工程师、资深学者等多方主体纳入准则制定团队，这样一方面可以集思广益，提升准则质量，另一方面可以向利益相关者增设利益诉求的通道，促进其对准则的遵从。 二是融合信息技术与安全方面的法规及标准。 信息系统审计涉及信息管理等多门学科，仅以传统审计理论演绎信息系统审计理论还远远不够，因此，我国在制定信息系统审计准则过程中，还需要融合信息技术与安全方面的法规与标准，如《中华人民共和国计算机信息系统安全保护条例》、《信息系统通用安全技术要求》、《网络基础安全技术要求》、《操作系统安全技术要求》等都将会对准则制定大有帮助。 三是加强与信息系统审计有关的法规与准则的确立。 信息系统服务于信息经济，制定信息系统审计准则就应以有关信息经济的法律规范为基础。 当前，我国有关电子商务、电子政务的法律体系尚未完全建立，由此导致网上交易的安全问题、电子证据的篡改问题等在法律上难以认定，这些都将促使审计人员在信息系统业务运营的合法性审计工作中无法可循。 四是做好与信息系统审计准则建设相配套的其他工作。 ＩＳＡＣＡ机构的工作重点包括 ＩＳＡＣＡ准则建设等七项内容，且这些内容相互支撑。 我国在制定信息系统审计准则的动态过程中，也有必要做好与其相配套的其他工作，以便为准则的制定打下良好的基础。 信息系统审计准则制定的配套工作应该包括建立信息系统审计协会并明确会员的权利与义务，大力开展信息系统审计教育与培训等，只有如此，高水平的准则参与团队才能涌现，准则的制定质量与执行效果也才会大幅攀升。
（三） 科学建立信息系统审计准则的内容框架
信息系统审计准则取材于审计主体、审计过程、审计方法以及审计风险管理，反过来又对它们加以规范。 结合 ＩＳＡＣＡ准则，审计署、内审协会、中注协在确定信息系统审计准则体系框架时，有必要将该体系划分为三个层次（见图 １）：一是信息系统审计基本准则层次。 信息系统审计基本准则是信息系统审计准则的总纲，是审计机构与审计人员进行信息系统审计时应遵循的基本规范，是制定信息系统审计具体准则与信息系统审计指南的依据。 信息系统审计基本准则的主要内容应该包括总则、一般准则、作业准则、报告准则、不正当及非法行为、信息系统管理与附则等方面。 二是信息系统审计具体准则层次。 信息系统审计具体准则是审计机构和人员在进行信息系统审计时评价审计事项与作出审计决定应当遵循的具体规范。 信息系统审计具体准则的主要内容应该包括职业道德准则、审计证据准则、审计工作底稿准则、审计报告准则、审计抽样准则、内部控制评价准则、审计结果沟通准则等多个方面。 当然，在上述具体准则中需要融入有关信息系统技术与安全的多方面的专业知识，应该列示信息系统风险评估，入侵检测，防火墙、病毒及其他恶意代码、加密技术的管理控制评价等多项审计流程。 三是信息系统审计指南层次。 信息系统审计指南是为审计机构与审计人员进行信息系统审计提供的具有可操作性的指导意见。 由于当前网络经济的迅速发展与日趋复杂，我国出台的信息系统审计指南要尽可能全面细致，未来出台的信息系统审计操作指导性建议至少应该包括应用系统评审、访问控制、系统开发与维护、实物与环境安全、不正当及非法行为、Ｂ２Ｂ与 Ｂ２Ｃ的电子商务审核、移动计算、系统开发生命周期审核以及虚拟专用网络等各个方面。 科学的准则框架能够为信息系统审计准则的需求方（开发主体、用户主体、审计主体）提供规范化、专业化的管理框架，并能够明确它们的定位、权利与职责，笔者期待大家的共同努力。

参考文献

［１］中华人民共和国审计署．审计署“十二五”审计工作发展规划［Ｒ／ ＯＬ］．（２０１１０７０１）［２０１２０７１０］．．
［２］中华人民共和国审计署．中华人民共和国国家审计准则（第 ８号令）［ＥＢ／ ＯＬ］．（２０１００９０１）［２０１２０７１０］．ｈｔｔｐ：／ ／ ｗｗｗ． ａｕｄｉｔ． ｇｏｖ． ｃｎ／ ｎ１９９２１３０／ ｎ１９９２１６５／ ｎ１９９３６７６／２６０１５３９． ｈｔｍｌ．
［３］中国内部审计协会．内部审计具体准则第２８号———信息系统审计［ＥＢ／ ＯＬ］．［２０１１０５０７］［２０１２０７１０］． ｈｔｔｐ：／ ／ ｗｗｗ． ｃｉｉａ． ｃｏｍ． ｃｎ／ ｄｏｃｓ／ ｆｇ＿ｘｇ＿ｎｓｚｚ／２０１１０５０７／１３０４７５４３０６５３４． ｈｔｍｌ．
［４］庄明来．计算机审计与信息系统审计之比较［Ｊ］．会计之友，２０１０（５）：８２８５．
［５］中华人民共和国审计署．计算机审计［ＥＢ／ ＯＬ］．［２０１２０７１０］． ｈｔｔｐ：／ ／ ｗｗｗ． ａｕｄｉｔ． ｇｏｖ． ｃｎ／ ｃｙｓｉｔｅ／ ｄｏｃｐａｇｅ／ ｃ３４０／２００３０１／０１０９＿３４０＿６７０． ｈｔｍ．
［６］李学柔，秦荣生．国际审计［Ｍ］．北京：中国时代经济出版社，２００２．
［７］王会金，刘国城．中观经济主体信息系统审计的理论分析及实施路径探索［Ｊ］．审计与经济研究，２００９（５）：２７３１．
［８］李春青，周座．“国外引进”还是“自主发展”？ ———对我国政府信息系统审计发展途径的探讨［Ｊ］．南京审计学院学报，２０１２（１）：５１５７．
［９］ＩＳＡＣＡ． Ａｂｏｕｔ ＩＳＡＣＡ［ＥＢ／ ＯＬ］．［２０１２０７
１０］． ．
［１０］徐春．试论中国特色审计文化理念的构建与作用机制［Ｊ］．科技情报开发与经济，２００５（５）：１５４１５５．［１１］马佳迪．我国政府审计准则与国际审计准则之比较［Ｊ］．财会月刊，２０１１（８）：３２３３．
［１２］唐志豪，冯占国，吴桂英．信息系统审计理论与实务［Ｍ］．北京：清华大学出版社，２０１２．