审计类型有哪些
常见 IT 审计分三类：内部审计（企业内审部门主导，关注内控有效性）、外部审计（会计师事务所、认证机构或监管检查）、专项审计（安全事件、外包到期、并购尽调等触发）。不同类型的目标与证据要求不同，但都依赖平时的记录与留痕。
怎么排布更省力
年度计划按风险排序，优先覆盖高风险领域，避免热点挤占全部资源；尽量把内审与外部审计的排期错开，让同批证据可以被复用，而不是同一事项反复准备。若同一事项连续被多轮审计，先合并检查项，再考虑简化流程。
基本信息
| 内部审计 | 由内审部门按年度计划执行，关注内控有效性 |
|---|---|
| 外部审计 | 会计师事务所、认证机构、监管机构，依据明确准则 |
| 专项审计 | 安全事件后、并购尽调、外包到期评估触发 |
| 计划方式 | 按风险排序，覆盖重点领域，错开多轮检查 |
典型使用场景
- 年度内审：按季度覆盖权限、变更、外包等主题
- 等保或体系认证：按标准条款准备证据
- 财务审计中的 IT 部分：对外部审计师提供控制说明
- 安全事件后：针对涉事系统启动专项检查
- 并购尽调：梳理目标公司的 IT 控制与合规状况
- 监管检查：按通知要求提供资料与访谈安排
年度审计计划示例
年度审计计划示例
Q1：权限与账号管理专项
Q2：变更与发布控制
Q3：外包与第三方供应商审计
Q4：灾备演练与业务连续性抽查
# 说明：计划按风险排序，重大事件触发时可调整
# 错开外部审计排期，同一批证据尽量复用类型对照
| 类型 | 实施方 | 关注点 |
|---|---|---|
| 内部审计 | 内审部门或受托第三方 | 内控设计与执行有效性 |
| 外部审计 | 事务所、认证与监管机构 | 按准则出具意见或证明 |
| 专项审计 | 内部或外部专家 | 特定事件或特定领域深查 |
不同审计的准则与术语不同，但证据基本一致：审批记录、系统日志、配置与报告。把证据按控制点整理成常备材料包，能显著降低每次被审的准备成本。