核心观点
ISACA 的信息技术审计框架 (ITAF) 是一个综合性的框架，为 IT 审计和鉴证业务提供结构化方法、指导和技术支持。它通过定义标准、指导原则和工具和技术，帮助从业人员在强制性要求与专业判断和实际支持之间取得平衡，从而提供客观、可靠且符合企业目标的业务服务。
框架组成部分
ITAF 由三个相互关联的组成部分构成：
- 标准：制定强制性要求，涵盖职业伦理、独立性、客观性、应有的谨慎以及对知识、能力和技能的不断展示等方面。标准分为三类：
- 通用标准 (1000 系列)：建立适用于所有业务的基本原则。
- 执行标准 (1200 系列)：规定执行业务的要求，包括规划、监督、风险评估、资源管理、证据收集和专业判断的应用等。
- 报告标准 (1400 系列)：规定沟通结果的要求，具体说明报告类型、沟通方法和要传递的信息。
- 准则：为 IT 审计和鉴证从业人员提供开展业务的实用指导，解释如何在实际环境中应用标准，并提供了规划、执行、测试和报告的方式、方法和辅助材料。
- 工具和技术：推动标准和准则应用的辅助手段，包括模板、检查清单、审计程序和程序范例，可提高效率、可比性和业务一致性。
使用 ITAF
ITAF 适用于多种类型的 IT 审计和鉴证业务，例如 IT 控制评估、网络安全和隐私审查、云和第三方鉴证以及监管审计等。通过应用 ITAF，从业人员可以提供客观、可靠且符合企业目标的业务服务，并确保这些业务的一致性、质量和可信度。
关键标准
ITAF 包含多项关键标准，例如：
- 通用标准 1001：审计章程：规定 IT 审计和鉴证职能应在审计章程中正式确定，章程应概述该职能的目的、权限、职责和责任。
- 通用标准 1002：组织独立性：确保 IT 审计和鉴证职能部门在运作时不会出现利益冲突或受到不当影响。
- 通用标准 1003：审计师的客观性：IT 审计和鉴证从业人员必须在所有业务中保持公正和不偏不倚的心态。
- 通用标准 1004：合理预期：IT 审计和鉴证从业人员应合理预期能够按照标准、在适当的范围内并在管理层的合作下开展工作。
- 通用标准 1005：应有的职业谨慎：IT 审计和鉴证从业人员的行为应符合 ISACA 的《职业伦理规范》，做到正直、审慎、判断公正。
- 通用标准 1006：业务熟练：对于 IT 审计和鉴证行业来说，熟练程度是高质量完成可信业务的关键。
总结
ITAF 为 IT 审计和鉴证从业人员提供了一个全面的框架，帮助他们有效地规划、执行和报告业务，并确保业务的质量和可信度。通过遵循 ITAF 的标准、准则和工具和技术，从业人员可以为企业增加价值，并建立一个更加可信与合乎道德的数字世界。
