D1(資訊系統稽核過程)的後半段是「執行」:怎麼取證、怎麼測、怎麼抽樣、怎麼報告、怎麼追蹤。題目常問「這時候稽核人員該怎麼做」,四個選項聽起來都專業,錯的那幾個往往只是順序錯、角色錯,或把「對方說的」當成「我查到的」。
下面十個觀念依稽核進行的順序排列。每個都講三件事:考試怎麼問、最常被哪種選項騙、怎麼分辨。
取證:自己看到、自己測的,勝過文件和說法
- 1. 證據的強弱:題目問最可靠、最能證明控制有效的證據,答案是稽核人員親眼看到、自己測出來的結果。由強到弱大致是:自己測、獨立第三方確認、系統直接產生的紀錄、主管簽核的文件、受稽核者整理的資料或截圖、管理階層聲明。訪談最常用,但單獨使用證據力最弱。最誘人的是政策、程序這類正式文件,它們只說明規定怎麼做,證明不了現在真的在做。
- 2. 證據取不到:受稽核者只肯給截圖這類間接證據時,先爭取更直接的方式,試過都取不到,才在報告揭露範圍限制。誘餌有兩頭:照單全收,或一開始就拒絕出具結論。
例遠距稽核時,受稽核者只願意提供系統畫面截圖,問最佳(BEST)做法。答案是請對方即時共享畫面、親眼看實際操作,或取得唯讀存取自己查。截圖可能被挑選、修改或已過時,當主要證據又不交代取證受限,會讓讀者誤以為證據充分;只靠口頭說明更弱;一開始就拒絕出具結論、終止查核,則太極端。
- 3. 走查、觀察、重新執行:題目問控制「設計」妥不妥,選走查(追一筆交易從頭到尾),但它證明不了整段期間持續有效。問分工、雙人控制有沒有真的在做,選觀察,但它只代表看到的那一刻。問運作有效、某個計算對不對,才選重新執行。拿權限設定去證明人有照分工做,是常見的誘餌;日誌能佐證誰做了什麼,證明不了核准流程有沒有走。
一句話分辨問自己:這份證據證明的是「現在真的在運作」,還是只證明「規定這樣做、有人說做了」?要選前者。
測試與抽樣:先分清楚在證明什麼
- 4. 遵循測試與實質測試:問控制有沒有照做,是遵循測試;問資料、金額本身對不對,是實質測試(也譯證實測試)。陷阱出在控制偏弱時:該做的是加做實質測試,不是把原本的樣本加大,也不是改去倚重別的控制。IT 一般控制失效時,系統產出的數字和建在上面的應用控制都不能倚賴,要直接驗資料。
- 5. 抽樣從哪裡開始:題目問怎麼查有沒有未授權的變更或漏記,樣本要從正式環境實際發生的事開始(例如實際改了什麼程式),再追到對應的核准。若從變更單出發去對照系統,只看得到有人申請過的,沒申請就上線的不在清單上。要驗證紀錄屬不屬實,才從紀錄出發去查有沒有真的發生。
- 6. 四種抽樣怎麼選:發現抽樣和停走抽樣最容易混,兩者都用在預期錯誤很少時。發現抽樣只要抽到一件就要進一步調查,專抓舞弊和重大缺失;停走抽樣是沒錯就提早停,目的只是少抽。題目沒提舞弊、重大缺失、一件就算異常,就選停走。
| 題目在問 | 選這個 | 要點 |
|---|---|---|
| 控制偏差的發生率(有/無) | 屬性抽樣 | 配遵循測試 |
| 金額、餘額的誤述 | 變量抽樣 | 配實質測試;金額懸殊時用分層或貨幣單位抽樣 |
| 抓舞弊、重大缺失 | 發現抽樣 | 抽到一件就查 |
| 預期錯誤少、想少抽 | 停走抽樣 | 沒錯就提早停 |
- 7. 樣本多大、抽得準不準:題目要你對整個流程下有效性結論,樣本就得能代表母體,選隨機的統計抽樣;判斷抽樣適合鎖定高風險項目,不宜用來推論整個母體。可容忍錯誤率越低、信賴水準越高、預期錯誤越多,樣本越大;內部控制經測試確認有效,才可以用較低的信賴水準、較小的樣本。經驗多、覺得熟悉,都不是少抽的理由。母體不完整,抽得再嚴謹也救不回來。
資料分析:能測全部,但不取代查證
- 8. 資料分析的定位:題目問資料分析的好處,答案是能測全部交易,把時間花在追離群值和根因;不是減少樣本數、提高資料可靠性或降低錯誤率,更不是「不用再測試」。要比對全部紀錄、找出所有異常時,用它而不是抽樣。前提是資料完整、直接取自來源系統,演算法的邏輯也要先驗證。它挑出來的是例外,要逐筆查證才算發現。
例稽核人員用工具測完全年所有採購交易,挑出 15 筆核准者與請購者是同一人,問最佳(BEST)的後續作法。答案是調閱這 15 筆的核准紀錄和補償控制(例如事後的主管複核),確認是不是真的破壞職務分工。直接列成發現、建議停掉核准權限,是還沒查證就下結論,還替管理階層做了決定;已經測過全部,再抽 30 筆人工複核,對這 15 筆沒有幫助;金額低於重大性門檻就不處理,忽略了風險在於同一個人自己請、自己核。
報告與溝通:屬實的發現不會因為對方反對而消失
- 9. 發現怎麼寫、意見分歧怎麼辦:完整的發現有現況、判準、原因、影響四項,再加建議。事實在實地作業時就要跟受稽核者確認,不是等報告才第一次提出;稽核期間已經改好的缺失,照樣寫進報告並註明改善。受稽核者不同意時,誘餌是要對方簽署免責聲明、請稽核委員會裁決,或因為被反對就刪掉發現。
不同意時的順序:先重新驗證證據(包括對方說的補償控制),再說明重要性與不改的風險,仍談不攏就找稽核部門自己的主管,最後把發現與管理階層的意見一起寫進報告。
追蹤稽核:看風險處理好了沒
- 10. 追蹤的重點:追蹤依據是報告裡的管理階層回應與承諾日期,要看的是風險有沒有被處理,不是有沒有照原建議做。改用別的做法時,先評估新做法夠不夠降低風險:夠就算已處理,不夠就重申原建議,評估後仍無效或逾期未辦才往上呈報。還沒改又沒說原因,先問為什麼。誘餌是還沒評估就報給高階主管、重列高風險,或單憑管理階層的聲明就結案。
例追蹤時,管理階層說前次發現的「備份沒有做還原測試」已改善,附上內部簽核的完成聲明,問下一步(NEXT)。答案是取得近期還原測試的紀錄與結果,必要時親眼看一次測試。聲明只證明對方說做了,拿來結案等於沒追蹤;但還沒查證就列為未改善、提報稽核委員會,同樣跳過最核心的查證;要求重跑完整的災難復原演練,則遠超過驗證所需。
一句話分辨沒照原案做不等於缺失。先看風險處理了沒,再決定要不要升級。
做免費試做時,答錯的題目回頭對照這十點,看是卡在哪一點。