老周在一家城商行做了八年 IT 运维，去年行里新设了"科技风险与内控审计部"，他被调剂过去，第一件事就是面对审计署《信息系统审计指南》里那一长串检查项发呆。

"账是财务的事，系统不也是跑账的吗？为啥要单拉一支队伍审系统？"——这是老周最初的困惑，相信也是很多 IT 人的困惑。

账平了，不代表系统没问题

传统财务审计能核对账目对错，但核不到系统层面这几件事：

• 信贷系统里，一笔贷款的审批权限是不是被越级行使了？

• 核心系统的操作日志，是不是完整保留、没人篡改？

• ERP 里供应商主数据的增删改，有没有分离职责？

• 数据从业务系统流向报表系统的过程，有没有被"加工"？

这些事，账本上看不出来，但系统里全留着痕迹。这就引出了"信息系统审计"这个概念。

信息系统审计审的四个维度

按照业内通行框架，信息系统审计主要看四个维度：

🔍 安全性

访问控制、数据加密、漏洞防护、应急响应——防范数据泄露或被攻击。

🔧 可靠性

硬件、软件、数据是否稳定，能否无故障运行，数据是否准确。

📈 有效性

系统是否满足业务需求，流程是否高效，有没有提升工作效率。

📋 合规性

是否符合行业法规（如等保 2.0）、内部制度及数据隐私要求。

一次完整的审计是怎么跑的

老周跟着外请的审计团队走了一遍流程，大致分四步：

1. 规划：明确审哪家系统、审什么范围、投入多少资源

2. 实施：通过访谈、文档审查、技术测试（比如渗透测试）收集证据

3. 分析：对照审计标准，识别风险点（权限管控漏洞、数据备份缺失等）

4. 报告：出具审计结论，提出可落地的整改建议

这一圈走下来，老周才明白：信息系统审计师不是"系统管理员"，也不是"财务审计员"，而是站在中间那个既懂一点系统、又懂一点内控的跨界角色。

CCRC-ISA：这个方向的能力框架

在老周进修的过程中，接触到了 CCRC-ISA 这一人员能力认证。它的知识域正好覆盖了他工作里要面对的六大块：

依据 GB/T 42446 标准推出，通过评价的人员需要具备制定审计计划、识别资产/威胁/脆弱性、使用评估工具、出具审计报告等技能。

CCRC-ISA信息系统审计师认证办理北京青蓝智慧

丁老师：135-2209-4648

马老师：135-2173-0416

为什么这个方向越来越被重视

老周后来想通了一件事：当一家企业的核心业务全在系统里跑的时候，"系统被审计"就不再是一道选择题。

• 从监管侧看，《银行业金融机构重要信息系统投产及变更管理办法》《企业内部控制审计指引》等文件，都在把"信息系统要不要被审计、谁来审、按什么标准审"这件事往明面上推

• 从企业侧看，政务信息化、产业数字化走到现在，传统财务审计够不着系统层面的风险，必须靠信息系统审计补位

所以这两年，银行、证券、高端制造、信息服务等行业招人时，"信息系统审计"开始单独列岗，而不再是 IT 部门顺手兼着干。

老周现在的岗位 title 是"科技风险审计专员"。他常说一句话："账平了，不代表系统平。账是结果，系统是原因。"

💡 如果你也在 IT 运维、信息安全、内审风控这条线上，不妨了解一下信息系统审计的知识体系——它可能就是你下一个职业台阶的方向。