13.2.4 實施指南
IT審計的實施指南是IT審計師實施審計業務的方法指引。它對IT審計流程、人員組織形式、具體的IT審計策略、審計證據的獲取、IT審計報告的編寫方法、IT審計的跟蹤等方面給出了策略性的指導意見。
除了對IT審計的相關標準必須熟悉之外，IT審計師必須對計算機信息系統的其他標準和規范也有比較深刻的了解和認識，這樣才能使IT審計工作得以順利實施。
13.2.5 與相關IT標準的關系
我們目前所指的IT審計標準一般是指ISACA制定的信息系統審計準則。IT審計標準是一套以管理為核心，以法律法規為保障，以技術為支撐的信息系統審計框架體系。它同時是一套規范化的管理框架，詳細地描述了審計方、開發方、用戶方的關系及各方的定位、權利、義務和職責等，并從標準的角度對IT審計師能力考核的限定、IT審計機構的資質認定給予了限定。從目標上講，IT審計標準跟著眼的目的是信息系統的安全性、穩定性、有效性。
ISO 9000是一組國際標準，和信息系統相關的標準有：ISO 9001，ISO 9000-3，ISO 9004-2和ISO 9002。
軟件能力成熟度模型CMM(Capability Maturity Model for Software)是卡內其·梅隆大學完成的對一個組織軟件的開發能力進行評價的模型，它側重于對軟件開發過程和開發方法論的考察。CMM是一個5級的模型。
IT審計與ISO 9000認證、軟件能力成熟度模型CMM認證是三種不同的標準體系，面向不同的領域，不可以簡單地互相替代。但是它們之間有共同之處，它們都著眼于質量管理。在IT審計的具體實施過程中，可以利用到ISO 9000標準和CMM模型作為具體評估的工具和手段。IT審計在對開發方的人員管理、文檔管理和質量管理等方面進行審計時，可以參照ISO 9000標準和CMM的相關內容。如開發方通過ISO 9001認證或取得CMM某級別的證書等都可以作為IT審計師的評估依據。
13.2.6 ISACA
信息系統審計與控制協會(ISACA)的全稱為：Information System Audit and Control Association。它創始于1967年，當時是由從事同類職業的人所組成的小團體——計算機系統的審計和控制對他們各自機構的運作都變得愈發關鍵——因此他們聚集起來討論制定信息集中化資源和本領域指導準則和必要性。在1969年，這個團體正式組建為EDP審計師協會。在1976年，這個協會成立一項教育基金來開展大規模的研究工作，以拓展信息產業管理與控制領域和知識與價值。
今天，ISACA在全球有兩萬八千多名成員，他們的組成非常具有多元化。這些成員在100多個國家生活和工作，并涵蓋眾多專業信息技術的相關職業，比如信息系統審計師、顧問、教導員、信息系統安全專家、管理者、首席信息官和內部審計師等。有些職業是本領域新興的，其他為中級管理人員，另外還有許多人擔任最高級的職位。他們幾乎遍及所有行業，包括財政金融、公共會計、政府與公共部門、公用事業和制造業。這種多元性使眾多成員能夠相互學習，并在許多專業問題上廣泛交流彼此的觀點。該特點一直被認為是ISACA的強勢之一。
ISACA的另一個強勢就是它的分會網絡。ISACA的分會目前有170多個，遍布世界100多個國家，可提供成員教育、資源共享、支持、專業網絡，以及其他由當地分會提供的諸多利益。
在ISACA創立30年來，已成為一個為信息管理、控制、安全和審計專業設定規范的全球性組織。它的信息系統審計和信息系統控制標準為全球執業者所遵從。它的研究工作針對那些挑戰其重要原則的疑難專業事項。它的國際信息系統審計師(CISA)認證得到全球的公認，并有三萬多名專業人員得到認證。它最新推出的國際信息安全經理(CISM)認證特別針對信息安全管理的審計事務。它出版了領先于信息控制領域的技術性期刊，即《信息系統控制期刊》(Information Systems Control Journal)。它舉辦一系列國際性會議，并且把焦點集中于信息系統保障、控制、安全和信息技術管理專業的技術秘管理主題上。ISACA與其附屬的信息技術管理機構領導著信息技術控制界，并在不斷變化的國際環境下為其執業者提供信息技術專業所需的要素，保證他們得到良好的服務。
13.2.7 中國的相關標準和法律法規
中國目前尚沒有明確的針對IT審計的國家標準。關于IT審計的相關信息，在《審計法實施條例》、《國務院辦公廳關于利用計算機信息系統開展審計工作的有關問題的通知》(國辦發[2001]88號)等文件中均有描述。目前在《中華人民共和國審計法》中尚無IT審計的相關內容。
IT審計的法律地位，是指計算機審計在審計法中的地位，法律是否認可審計機關具有進行IT審計的權利。《中華人民共和國審計法》出臺時尚沒有對IT審計做出規定，國家有關計算機審計的規定最初見于《審計法實施條例》。《審計法實施條例》第30條：“審計機關有權檢查被審計單位運用電子計算機管理財政收支、財務收支的財務會計核算系統。被審計單位應當向審計機關提供運用電子計算機儲存、處理的財政收支、財務收支電子數據以及有關資料。”這是目前審計機關開展IT審計的唯一行政法規性依據。不過，該條對IT審計的規定也僅限于對“被審計單位運用電子計算機管理財政收支、財務收支的財務會計核算系統”的檢查，并沒有對IT審計的整個內涵做出描述和規范。同時，它僅是原則性的規定，在實踐中也顯得缺乏可操作性。按照審計法的規定，被審計單位必須要接受審計，但不接受IT審計的行為是否是不接受審計行為，目前審計法對此沒有具體規定。
審計機關開展IT審計的另一項重要依據是《國務院辦公廳利用計算機信息系統開展審計工作有關問題的通知》(國辦發[2001]88號)。然而在該文件中關于計算機審計的內容也僅局限于“被審計單位運用計算機管理財政收支、財務收支的信息系統(計算機信息系統)”的檢查，檢查的重點主要在計算機信息系統是否標準、是否存在舞弊功能、系統所生成的電子數據是否真實等三個方面，對IT審計的內容已經有了比較完整的描述。但是它對IT審計手段、IT審計實施過程中必須遵循的規范、準則，以及IT審計報告的內容、形式等都沒有涉及，在內容上也沒有完全涵蓋IT審計的整個生命周期。盡管如此，這已是我國IT審計的重大進步，至少在國務院辦公廳的立法級次上有了合法性的認可。
為了更好的開展審計工作，保障IT審計的順利進行，《審計法》應當明確確認IT審計的法律地位，確定IT審計是必要的、合法的審計方式，同時完善IT審計所必須遵循的標準、規范等，賦予審計機關和獨立審計機構IT審計的職權，把IT審計納入審計的內涵之中。相信IT審計將會在將來的審計法中得到明晰的表述。
