信息系统一般控制（ITGC）测试说明 ITGC穿行测试程序 本底稿帮助我们记录了解穿行测试,测试和评估ITGCs”中所描述的我们对ITGC的穿行测试。 我们选择每个ITGC的一次发生来执行穿行测试。穿行测试包含所适用的手动和自动的ITGC。 在执行ITGC穿行测试时，我们采用能够帮助识别和评价ITGC的框架——ITGC“主要控制程序”。框架基于三个“ITGC种 类”（“管理变更”、“逻辑存取”和“其他 ITGC”，包括IT运行）的目标。 对于与这一IT环境相关联的应用程序，我们应确定所有这些应用程序是由相同的ITGC支持的。如果确定这些应用程序是由不 同的ITGC支持的，我们可能必须执行额外的ITGC穿行测试(或考虑识别多个IT技术环境)。例如，如果应用程序A是由不同于 应用程序B的程序变更控制支持的，我们应对两组ITGC都执行穿行测试。 对于将对其执行ITGC穿行测试的应用程序，我们应确定逻辑存取路径的每个要素对于控制对相关财务程序和数据的访问的 关键程度。这可以帮助我们确定ITGC穿行测试将包括的逻辑存取路径要素的范围。 在执行每个ITGC穿行测试时：我们应记录处理程序是否是根据最初的了解及时执行，例如 · · 我们应向客户人员询问其对于客户所规定的程序的了解，以确认我们对客户ITGC设计的理解并确定ITGC设计的完整性。 我们应警惕公司所规定的程序和ITGC中的例外情况。 · 我们应评定客户是否设计了程序以确保适当的不相容职责的分工，并且确定那些执行程序的客户人员是否承担了不相 容的职责。这些不相容职责包括能够访问IT系统的多个部分，因此可能导致不适当的行为发生。 · 我们可以询问相关人员，当遇到处理差错时他们会做什么、他们遇到过的差错类型有哪些、差错被发现后出现了什么 情况，以及差错是如何解决的。在ITGC穿行测试过程中的询问应包括能够帮助识别ITGC被滥用或由于舞弊或内控缺陷导致 重大误报风险的问题。 · 我们应评估我们的询问结果是否有助于识别因舞弊而发生误报的风险。对我们询问的回答可能有助于印证管理层所作 的答复，或者提供与管理层逾越控制的可能性相关的信息。当我们询问其他人的结果表明管理层有逾越控制的可能性，我们 应考虑跟进他们对舞弊的认知或嫌疑。 我们应使用客户人员在执行ITGC时通常会使用的相同源文件和信息技术。执行ITGC穿行测试所选中的项目和使用的证据应 由相关的技术来源系统化地生成。如果客户无法提供系统生成的信息，将很可能需要额外程序来验证所提供信息的完整性和 准确性。 当IT环境发生重大变化时，我们应评价这些变化的性质及其对ITGC的影响，并确定是否应对变化前后的ITGC分别进行穿行 测试。 我们应评估在执行穿行测试过程中所获得审计证据的数量，是否足以确定ITGC设计有效及ITGC是否被执行。如果穿行测试 未能确认我们对于ITGC的初步了解，我们可能需要重新评估依赖ITGC的策略，并确定对相关应用程序控制、依赖IT的手工 控制及电子审计证据的影响。 如有必要，当我们的穿行测试表明与我们对ITGC的理解有差别时，我们应修改我们的程序记录。我们应确定缺失或无效的 ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目，我们应将这些缺陷包括在 “控制缺陷汇总”中以便进一步评估。 结论 在完成ITGC穿行测试程序后，我们应就测试结果是否确认了我们对ITGC的了解、ITGC是否得以有效设计及已执行得出结论 。对于每个ITGC，我们应就已识别的ITGC是否已得以有效设计及已执行作出结论。 如果无法得出ITGC得以有效设计及已被执行的结论，我们可能需要重新评估依赖ITGC的策略，并确定对相关应用程序控制 、依赖IT的手工控制及电子审计证据的影响。 我们应确定缺失或无效的ITGC是否代表了一个或多个内部控制缺陷，并评估该缺陷是否为重大缺陷。对于综合审计项目， 我们应将这些缺陷包括在“控制缺陷汇总”中以便进一步评估。 于三个“ITGC种 些应用程序是由不 程序A是由不同于 和数据的访问的 TGC设计的完整性。 员是否承担了不相 发现后出现了什么 弊或内控缺陷导致 于印证管理层所作 制的可能性，我们 目和使用的证据应 供信息的完整性和 GC分别进行穿行 行。如果穿行测试 制、依赖