IT 审计是什么
IT 审计独立评估信息系统相关控制的设计与运行有效性：覆盖治理、系统开发、运维变更、安全访问与外包合规。它不替业务做决定，而是通过取证为管理层提供保证，并给出可跟踪的整改建议。
基本要素
| 审计对象 | 治理机制、系统开发、变更与运维、访问控制、外包与合规 |
|---|---|
| 常用标准 | ISACA 的 ITAF、IIA 内部审计准则、ISO 19011 审核指南 |
| 工作方法 | 访谈、穿行测试、抽样验证、数据分析 |
| 产出 | 审计报告（发现、风险、建议）与整改跟踪台账 |
典型使用场景
- 年度审计计划：按风险排序选择本期审计范围
- 上市或外部审计前的内控自评，提前暴露控制缺口
- 重大系统上线后的专项审计，检查变更与权限是否有留痕
- 外包合作方管理：核查其服务等级与数据处理约定是否落实
- 事故后复盘：独立确认流程缺陷是偶发还是系统性
审计范围示例
审计范围示例
本期审计：变更管理与访问控制
关注点：审批留痕、职责分离、定期权限复核
方法：访谈责任人 → 抽取 20 笔变更穿行测试
→ 比对审批时间与发布时间 → 验证权限清单
底稿：保留证据链接与截图，标注抽样规则
输出：发现分级（高/中/低）+ 整改责任人与期限审计方法对照
| 方法 | 用途 | 局限 |
|---|---|---|
| 访谈 | 了解流程设计与岗位职责 | 口述与实际执行常有差异 |
| 穿行测试 | 顺着单笔业务走完流程验证控制 | 样本少，发现的是流程断点 |
| 抽样验证 | 用统计样本判断控制执行率 | 样本设计不当会误判整体 |
| 数据分析 | 全量扫描异常模式，如离职账号仍活跃 | 依赖数据质量与字段口径 |
只查文档不看执行是审计失效的主要原因：控制写在制度里、执行靠个人经验时，必须靠穿行测试与抽样验证才能发现真实差距。