ITAFTM2配套执行准则208_信息技术审计抽样_28页_1mb

ISACA 信息技术审计抽样准则 2208 总结

核心内容概述

ISACA 的 《信息技术审计抽样准则》（准则2208） 是其 ITAF™ 框架的一部分，旨在为 IT 审计和鉴证从业人员提供关于如何在不检查全部项目的情况下，通过抽样方法得出关于总体的有效结论的指导。准则强调了抽样方法的多样性，包括统计抽样、非统计抽样和数据驱动抽样，并提供了在不同情况下如何选择和应用这些方法的建议。

主要观点

• 抽样目的：抽样用于在无法检查全部项目时，通过样本获取充分且适当的审计证据，以支持审计结论。
• 抽样方法：包括统计抽样、非统计抽样和数据驱动抽样，以及混合方法。每种方法都有其适用场景，如统计抽样适用于需要可测量置信度的情况，而非统计抽样适用于快速评估或基于风险的测试。
• 抽样设计：应考虑审计目标、风险评估和抽样总体的特征，确保样本具有代表性、效率和可追溯性。
• 样本选择：应确保样本选择过程可控、无偏见，符合审计目标和数据特征。自动化和数据分析工具可提高样本选择的效率和准确性。
• 抽样结果的评价：从业人员应分析样本中发现的错误，评估其影响，并根据可容忍误差调整样本规模或方法。
• 文档记录：必须详细记录抽样目标、方法、参数、结果和相关工具的使用，确保审计过程的透明性和可复现性。

关键信息

抽样方法

• 统计抽样：基于概率选择样本，如随机、系统或分层抽样。适用于需要可量化结论的情况。
• 非统计抽样：依赖专业判断，适用于快速评估或探索性测试，但不支持总体推断。
• 数据驱动抽样：利用数据分析和自动化工具，提高样本选择的效率和精确度。
• 混合方法：结合多种抽样技术，以提高效率和鉴证范围。

抽样设计要点

• 样本设计需与审计目标一致，确保样本能代表总体特征。
• 分层方法有助于提高效率，将总体划分为不同层，集中测试高风险或高变异性领域。
• 抽样风险包括误受风险（未发现重大错报）和误拒风险（错误地认为存在重大错报）。

抽样总体的定义与验证

• 抽样总体应包括所有需审查的项目或数据元素，需验证其完整性、准确性与一致性。
• 在云环境中，需特别注意数据的动态性和可访问性，确保总体定义清晰。

抽样结果的评价

• 从业人员应评估样本中发现的错误，分析其性质、原因和重要性。
• 如果发现的错误超出可容忍误差，应重新评估抽样方法或扩大测试范围。
• 对于非统计抽样，结论应限制在样本项目上，不进行总体推断。

文档记录

• 抽样过程应详细记录，包括抽样目标、方法、参数、技术使用和结果。
• 文档应支持其他审计师理解、评估和重复审计过程，确保透明性和可追溯性。

附录内容

相关标准

• 1006 业务熟练：审计人员需具备执行所需工作的专业能力。
• 1201 规划中的风险评估：审计应考虑风险、审计目标和企业相关风险。
• 1204 执行与监督：审计人员需获取并保留充分证据，记录审计过程。
• 1205 证据：审计人员需确保证据的充分性和可靠性。

相关准则

• 2006 业务熟练：与1006标准相关。
• 2201 规划中的风险评估：与1201标准相关。
• 2204 执行与监督：与1005、1205、1401准则相关。
• 2205 证据：与1205准则相关。

术语与定义

术语	定义
属性抽样	根据是否具有某一特征选择总体的一部分
审计抽样	对总体中低于100%的项目实施审计程序，以获取有关总体特征的证据
非统计抽样	通过专业判断和经验选择样本，不支持数学结论
泊松分布	用于预测独立事件在特定时间段或空间内的发生可能性
总体	审计师从中选择样本以得出相关结论的整个数据集
抽样风险	样本不能代表总体的可能性
分层抽样	将总体划分为不同层，以获取代表性样本
统计分层	借助数学计算和概率推断总体特征
可容忍误差	审计人员愿意接受的最大误差或偏差
变量抽样	用于估计总体的平均值或总值，适用于货币金额等数量特征

总结

准则2208为 IT 审计和鉴证活动中的抽样方法提供了全面指导，涵盖样本设计、选择、评价和记录等关键环节。其目的是提高抽样活动的质量、一致性和透明度，使从业人员能够在数字化环境中得出可靠、基于证据的结论。准则还强调了对新兴技术（如人工智能、机器学习）的合理应用，以及在云环境和动态数据集中的特殊考虑。通过遵循这些准则，审计人员可以更有效地规划和执行审计工作，确保符合专业标准和审计目标。