1. A. 信息系统审计职能管理
   1. A1. IS审计职能的组织
      1. 内部
         1. 审计章程或审计委托书（S1）中描述责任、授权和义务
      2. 外部
         1. 合同
      3. 独立性
   2. A2. IS审计资源管理（S4）
   3. A3. 审计计划
      1. 年度计划
         1. 短期
            1. 年内
         2. 长期
            1. IT战略方针引起的风险
      2. 单项审计任务
         1. 步骤（S5）
            1. 了解业务
            2. 巡检关键设施
            3. 阅读背景资料
            4. 检查战略规划
            5. 访谈管理人员
            6. 审阅历史报告
            7. 适用IT的规章
            8. 识别外包活动
            9. 找出规定
            10. 风险分析、指定审计计划
            11. IT内控检查
            12. 审计目标和范围
            13. 指定审计方法和策略
            14. 分配人力资源
            15. 项目后勤
   4. A4. 法律、法规对IS审计计划的影响
      1. COSO
         1. COSO.jpg
      2. Basel II
2. B. ISACA IS审计准则和指南
   1. G5,S9,G9,G17,S2,G35
   2. B6. ITAF
3. C. 风险分析
   1. 风险定义：风险是特定的威胁利用资产的脆弱性从而对组织造成的一种潜在的损害（ISO/IEC 13335-1)
   2. 识别业务目标、信息资产或相关资源；实施风险评估；风险缓解；监控风险水平
4. D. 内部控制
   1. D1. 内部控制目标
      1. 内部会计控制
      2. 运营控制
      3. 管理控制
   2. D2. IS控制目标
      1. 应用控制领域
         1. 手工
         2. 自动化
         3. 结合
   3. D3. 信息及相关技术控制目标（COBIT）
   4. D4. 一般控制
      1. 内部会计控制
      2. 运营控制
      3. 管理控制
      4. 组织安全政策和规程
      5. 保证记录的总体政策
      6. 安全保护流程和实务
      7. 数据中心和IT资源
   5. D5. IS控制
5. E. 实施IS审计
   1. E1. 审计分类
      1. 财务审计
      2. 运营审计
      3. 综合审计
      4. 管理审计
      5. IS审计
         1. 专项审计
            1. 司法取证审计
   2. E2. 审计程序
      1. 获取和记录
      2. 风险评估和总体计划
      3. 详细计划
      4. 初步检查
      5. 评估
      6. 评估和验证符合型
      7. 符合性测试
      8. 实质性测试
      9. 报告
      10. 内审的追踪活动
   3. E3. 审计方法
   4. E4. 检测舞弊行为
   5. E5. 基于风险的审计
   6. E6. 审计风险和重要性
      1. 分类
         1. 固有风险
         2. 控制风险
         3. 检测风险
         4. 整体审计风险
      2. 重要性
   7. E7. 风险评估及处置
      1. 评估风险
         1. 过程
            1. 1、风险分析（量化风险的方法）
            2. 2、风险评价（对比风险值与风险标准）
      2. 处置风险
   8. E8. 风险评估技术
   9. E9. 审计目标
   10. E10. 符合性测试与实质性测试
       1. 符合性测试
          1. 验证控制的执行是否符合预期
          2. 既包括功能测试，也包括业务测试；既测试有无错误，也测试具体数据
          3. 不测试IS处理后的资料的正确性
       2. 实质性测试
          1. 证实实际处理的完整性
          2. 类型
             1. 交易和平衡进行测试
             2. 分析性复核
   11. E11. 证据
       1. 适当性（质量）
       2. 充分性（数量）
       3. 可靠性
          1. 人员的独立性
          2. 人员的资格
          3. 证据的客观性
          4. 证据的时效性
       4. 收集
          1. 检查IS组织结构
          2. 检查政策和规程
          3. 检查IS标准
          4. 检查IS文档
          5. 访谈适当的人员
          6. 观察工作流程和员工表现
   12. E12. 访谈和观察工作中的员工
       1. 实际职能
       2. 实际流程或程序
       3. 安全意识
       4. 报告关系
   13. E13. 抽样
       1. 方法
          1. 统计抽样
             1. 置信系数
          2. 非统计抽样
          3. 属性抽样
             1. 符合性测试
             2. 分类
             3. 属性抽样
             4. 停走抽样
             5. 发现抽样
          4. 变量抽样
             1. 实质性测试
             2. 分类
             3. 分层单位平均估计抽样
             4. 不分层单位平均估计抽样
             5. 差额估计
          5. 术语
             1. 置信系数
             2. 95%
             3. 风险水平
             4. 精度
             5. 样本和总体之间的可接受误差范围
             6. 预期差错率
             7. 属性抽样only
             8. 样本平均值
             9. 样本值的合计数除以样本量
             10. 样本标准差
             11. 可容忍误差率
             12. 总体标准差
             13. 样本量越大
             14. 变量抽样only
   14. E14. 使用其他审计师和专家服务
   15. E15. 计算机辅助审计技术（CAAT）
   16. E16. 评价审计强度和缺陷
       1. 补偿控制
       2. 重叠控制
       3. 判断审计发现的重要性水平
   17. E17. 沟通审计结果
       1. 报告的结构和内容
          1. 报告提要
             1. 审计目标
             2. 范围
             3. 期间
             4. 审计程序和测试性质及范围的总体说明
             5. IS审计方法和指导的说明
          2. 审计发现
             1. 重要性
             2. 接收人
          3. 审计师的保留意见和限制因素
          4. 详细的审计发现和建议
          5. 备忘录
             1. 不重要的审计发现
   18. E18. 管理审计建议的实施
   19. E19. 审计文档
       1. 记录
          1. 审计目标与范围的计划与准备
          2. 审计领域或执行走查
          3. 审计程序
          4. 审计步骤及审计证据
          5. 使用其他审计师和专家的服务内容
          6. 审计发现、结论及建议
          7. 审计文档与文件鉴定和时间的关系
          8. 建议包括
             1. 审计报告的副本
             2. 证据
6. F 控制自评估(CSA)
   1. F1. CSA的目标
      1. 分散控制监督到职能部门
      2. 教育管理人员设计和监督控制
      3. 授权员工对控制进行评估和设计
   2. F2. CSA的优点
   3. F3. CSA的缺点
   4. F4. 审计师在CSA中的角色
      1. 推动者
      2. 管理人员才是实施者
   5. F5. CSA中的技术手段
   6. F6. 传统审计方法与CSA方法的比较
7. G. IS审计过程的新变化
   1. G1. 电子工作底稿
   2. G2. 综合审计
8. H. 持续审计
   1. 比较
      1. 持续监控
         1. 是一种IS管理工具，一般基于自动化程序来满足既定的监督要求
      2. 持续审计
         1. 独立审计师对审计对象提供书面保证的一种方法，他是在审计对象发生事件的同时， 或短时之后，发表一系列审计师报告。一般都是用自动化的审计程序