论信息系统审计准则在我国的需求与发展
国外有关于信息系统审计准则的发展已经趋于成熟，其中较为典型的有信息系统审计与控制协会（ＩＳＡＣＡ）制定的《信息系统准则体系》与《信息系统和技术控制目标》（ＣＯＢＩＴ），美国审计署制定的《联邦信息系统控制审计手册》（ＦＩＳＣＡＭ），国际内部审计协会制定的《基于风险的信息系统控制评价指南》（ＧＡＩＴ），以及英国、法国、德国与荷兰共同制定的《信息技术安全评估准则》（ＩＴＳＥＣ），这些准则与规范均为多个国家所广泛应用［８ ９］。 上述准则与规范中最为典型的应为 ＩＳＡＣＡ机构制定的准则体系，该体系框架见表２。 ＩＳＡＣＡ是集信息系统控制、管理、审计于一体的专业机构，总部在芝加哥，在全世界 １６０个国家约有９５０００名会员。 ＩＳＡＣＡ的任务包括注册信息系统审计师（ＣＩＳＡ）资格认证、制定 ＩＳＡ准则、组织ＣＩＳＡ资格考试等七项内容。 七项内容相互辅助，融为一体，且 ＩＳＡ准则的制定以其他六项为有机支撑。表２所阐释的 ＩＳＡＣＡ信息系统审计准则体系来源于 ＩＳＡＣＡ机构出版的《ＩＴ Ｓｔａｎｄａｒｄｓ， Ｇｕｉｄｅｌｉｎｅｓ， ａｎｄＴｏｏｌｓ ａｎｄ Ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ Ａｕｄｉｔ ａｎｄ Ａｓｓｕｒａｎｃｅ ａｎｄ Ｃｏｎｔｒｏｌ Ｐｒｏｆｅｓｓｉｏｎａｌｓ》［９］。 该体系总计３３０页，将信息系统审计准则分为审计标准、审计指南与作业程序三个部分，其中审计标准表述为 Ｓ１—Ｓ１６，规定了审计章程及审计过程所必须达到的基本要求，是 ＣＩＳＡ的执业行为的基本规范；审计指南表述为 Ｇ１—Ｇ４２，明确规范了 ＣＩＳＡ实施审计业务的具体标准，为 ＣＩＳＡ如何遵守审计准则提供指引；作业程序的表述为 Ｐ１—Ｐ１１，提供了信息系统审计业务的一般步骤，为 ＣＩＳＡ提供了 ＩＳ审计工作的具体思路。
（二） 我国的信息系统审计准则无法满足广泛的社会需求
近年来，复杂的信息系统在我国得到广泛应用，如公安综合网络信息系统、集团信息管理系统等。由于受到特定经济环境以及网状信息系统复杂性等多种不确定因素的影响，信息系统安全问题日趋严重，社会对信息系统审计准则的需求亦日益迫切。 如，２００６年 １０月 １０日中国民航信息网络股份有限公司离港系统主机发生故障，包括北京、上海、广州在内的众多机场的离港系统整体性瘫痪；２００９年 ９月 １７日，知名券商申银万国交易系统突然瘫痪，其位于全国各地的一百余个营业部均受到影响，近半个小时未能进行证券交易；２０１０年 ２月 ３日，民生银行因信息系统故障，全国范围所有业务无法办理；２０１１年１０月２５日，北京东城区３９家社区卫生服务站出现信息系统故障，近一周的时间无法为患者提供正常门诊与取药服务。 若要解决上述问题，则亟须一套成熟的信息系统审计准则对信息系统进行事前预警、事中控制与事后评价，显然，目前我国仅有的两项准则无法满足社会的需求。 信息系统审计准则在我国的需求主要体现在三个方面：一是信息系统内部控制与审计的需求。 对此，内审协会需要出台全面的准则与规范，为组织中内部审计人员评价信息系统的安全提供参考标准。 二是公共机构中信息系统外部审计的需求。 对此，审计署需要出台系列的信息系统审计准则，为政府审计人员提供明确的审计流程与技术方法。 三是公共机构之外的组织中信息系统外部审计的需求。 对此，中注协需要出台规范的信息系统审计准则，为社会审计人员提供清晰的参照标准与风险控制思路。
（三） 我国的信息系统审计准则多方制定主体间缺乏默契的协调机制
政府审计准则、内部审计准则、社会审计准则的出台机构分别为审计署、内审协会与中注协，它们应根据其自身服务范围制定相应的信息系统审计准则。 然而，尽管三方均需制定各自的准则，但是由于在信息系统审计的目标、原则、方法与技术方面只是形式的不同，而内容并未有实质差异，因此，审计署、内审协会、中注协有必要就信息系统审计的原则与方法等同质的方面作出统一的规范，然后再根据各自的特点进行修订。 多年来，我国信息系统审计准则出台过于零散，其原因之一是审计署、内审协会、中注协各自缺少对外交流机制，且彼此之间缺乏协调机制。 一项准则的出台，不仅仅需要制定主体之间相互协调，同时还需要集合制定主体之外的多方相关利益主体。 信息系统审计准则所需集合的外部主体主要有信息系统审计师、信息系统管理工程师、信息安全工程师、信息系统项目管理师、学术界以及其他利益相关者。 因为信息系统审计准则制定者的理性并非无限的，因而，将各利益主体有机协调于一体，将会尽可能地集合审计学学科、计算机科学学科以及信息安全学学科中理论界与实务界更多人的知识与经验，从而全面提高信息系统审计准则的质量。 在我国，尽管信息系统审计并非强制性审计，且耗费人力、财力集合各方主体完善相关准则从目前来看并不会产生更多的社会效益，但是从长远来看，缺少必要的多方互动机制并非明智之举，准则制定者应在引入多方主体的基础上采取听证会等方式，多听反对意见，广纳民意，集中民智。
四、信息系统审计准则体系的构建策略探析
构建并完善信息系统审计准则体系是一项系统工程，它不是简单工作的叠加，而是具体工作的有机整合。 我国的信息系统审计准则建设刚刚起步，准则制定主体将面临全新的挑战。 在此，笔者希望准则制定主体在信息系统审计准则制定上，尽可能坚持以下三个方向。
（一） 合理借鉴国外成熟的信息系统审计准则体系
国外信息系统审计准则体系相对成熟，我国的准则制定机构可以直接引入国外先进的信息系统审计准则研究成果及实践经验，这样不仅可以避免开展重复性工作，而且能快速站于更高的起点。 当然，“借鉴”并不意味着“照搬”，准则制定机构在“借鉴”中应关注国际趋同、中国特色和自主创新三点。
１． 国际趋同。 当前，全球经济一体化趋势要求审计准则也趋向一体化。 ２０１０年 １１月 １０日，国际审计准则制定机构在与中国审计准则委员会的联合声明中高度评价中国审计准则的国际趋同成果。 审计作为一门学科不分国界，大量“吸收”国外成熟的信息系统审计标准，走“国际趋同”道路，将是我国发展审计准则的大势所趋。 信息系统审计准则的国际趋同是矛盾的统一体，我国的准则制定机构需要实现“推动趋同的积极因素”与“阻碍趋同的消极因素”二者作用的均衡。
２． 中国特色。 由于各个国家的国情不尽相同，因而外国成熟的理念不尽适于中国。 我国与国外审计文化的差异主要体现于三个层次：其一是物质文化差异，包括审计环境、审计条件等；其二是制度文化差异，包括审计规范、审计机构组织方式等；其三是精神文化差异，包括价值取向、行为方式等［１０］。 例如，国际政府审计准则由四部分组成，全部具体准则共计 １９１项条款，然而我国政府审计准则共分为六个部分，全部准则共计 ４７项条款［２］。 造成国内外差异的原因有诸多方面，其中一个是我国政府审计无论是实践经历还是理论研究都起步较晚。 正因如此，我国审计准则的制定与出台均是以实践经历为基础的，是紧紧围绕实践环节作出的程序性规定，在形式上和内容上拘泥于条条框框，难以达到“适度拓展性”与“适时适应性”等理论高度［１１］。 有鉴于此，我国的准则制定机构在“借鉴”中，需要充分认识国内外审计文化的差异，明确我国审计文化的特色，努力设计出适用于我国的高效的信息系统审计准则体系。