第一篇 现代内部审计基础 2
第1章 内部审计基础 2
1.1内部审计历史与背景 3
1.2本书架构 5
第2章 内部审计通用知识体系 7
2.1何谓CBOK——来自其他职业的经验 7
2.2国际内部审计师协会CBOK研究基金会 8
2.3内部审计师需要懂什么 12
2.4现代内部审计CBOK展望 12
第二篇 内部控制的重要性 14
第3章 内部控制框架：COSO标准 14
3.1有效内部控制的重要性 14
3.2内部控制标准：相关背景 15
3.2.1 1977年《反海外贿赂法》对内部控制的定义 16
3.2.2《反海外贿赂法》之后的情况 17
3.3 Treadway委员会成立的背景 17
3.3.1早期AICPA准则：审计准则公告（SAS）第55号 18
3.3.2 Treadway委员会报告 19
3.4 COSO内部控制框架 20
3.4.1控制环境 21
3.4.2风险评估 25
3.4.3控制活动 26
3.4.4信息与沟通 27
3.4.5监督 29
3.5 COSO内部控制框架的其他维度 32
3.6内部审计CBOK需求 32
第4章 萨班斯法案及其他规定 33
4.1萨班斯法案的关键要素 33
4.1.1第Ⅰ章：公众公司会计监督委员会 34
4.1.2第Ⅱ章：审计师的独立性 37
4.1.3第Ⅲ章：公司的责任 39
4.1.4第Ⅳ章：强化财务信息披露 42
4.1.5第Ⅴ章：分析师利益冲突 46
4.1.6第Ⅵ章至第Ⅹ章：舞弊责任和白领犯罪 46
4.1.7第Ⅺ章：公司舞弊责任 47
4.2根据第5号审计准则实施404条款评价 48
4.2.1 404条款：当今内部控制的评价 48
4.2.2实施404条款合规性审计 49
4.3第5号审计准则与内部审计 54
4.4萨班斯法案的影响 55
第5章 其他内部控制框架——CobiT 56
5.1 CobiT简介 56
5.2 CobiT框架 57
5.2.1 CobiT要素：IT资源 59
5.2.2 CobiT要素 59
5.3 CobiT在内部控制评估中的应用 60
5.3.1规划与组织 62
5.3.2取得与应用 63
5.3.3交付与支持 64
5.3.4监控与评估 66
5.4 CobiT在萨班斯法案404条款评价中的应用 69
5.5 CobiT认证框架指南 70
5.6 CobiT的未来展望 71
第6章 COSO企业风险管理框架 72
6.1风险管理基础 72
6.1.1风险识别 73
6.1.2关键风险评估 75
6.1.3定量风险分析 77
6.2 ERM简介 79
6.3 ERM的关键要素 81
6.3.1内部环境 81
6.3.2目标设定 83
6.3.3事件识别 84
6.3.4风险评估 86
6.3.5风险应对 87
6.3.6控制活动 88
6.3.7信息与沟通 89
6.3.8监控 90
6.4 ERM的其他维度——企业风险目标 91
6.4.1运营风险管理目标 91
6.4.2报告风险管理目标 91
6.4.3合规性风险管理目标 92
6.5企业层面的风险 93
6.5.1涵盖整个组织的风险 93
6.5.2业务单元风险 93
6.6风险的整合分析 94
6.7审计风险与ERM流程 94
6.8风险管理与ERM未来展望 95
第三篇 计划与实施内部审计 98
第7章 实施有效的内部审计 98
7.1内部审计组织与计划 98
7.2内部审计准备活动 99
7.2.1确定审计目标 101
7.2.2审计进度安排与时间预算 101
7.2.3初步调查 102
7.3开始审计 103
7.3.1内部审计现场调查 105
7.3.2内部审计现场调查的记录 106
7.3.3内部审计现场调查的结果 106
7.4制定和准备审计方案 107
7.4.1审计方案格式及其制定 108
7.4.2审计证据的类型 110
7.5实施内部审计 111
7.5.1内部审计现场工作程序 112
7.5.2审计现场工作技术支持 113
7.5.3审计管理人员对现场工作的监控 113
7.5.4潜在的审计发现 114
7.5.5审计方案与进度调整 115
7.5.6向管理层报告初步审计发现 115
7.6完成现场审计工作 116
7.7实施单项业务内部审计 117
第8章 内部审计专业实务准则 118
8.1内部审计专业实务准则 118
8.1.1 IIA准则制定的背景 119
8.1.2 IIA现行准则：有哪些变化 120
8.1.3 2009版内部审计新准则 120
8.2 IIA准则的内容 121
8.2.1内部审计属性准则 121
8.2.2内部审计工作准则 123
8.3 HA和ISACA的职业道德规范 126
第9章 测试、评估与评价审计证据 129
9.1收集适当的审计证据 129
9.2审计评估与评价技术 130
9.3内部审计判断抽样 131
9.4统计抽样简介 132
9.4.1统计抽样概念 133
9.4.2制订统计抽样计划 136
9.4.3审计抽样类型 138
9.5货币单位抽样 146
9.5.1货币单位抽样示例 146
9.5.2实施货币单位抽样测试 148
9.5.3评价货币单位抽样结果 148
9.5.4货币单位抽样的优势和局限性 149
9.6变量抽样与分层变量抽样 149
9.7其他审计抽样技术 151
9.7.1多阶段抽样 151
9.7.2重复抽样 151
9.7.3贝叶斯抽样 152
9.8如何有效运用审计抽样技术 152
第10章 编制审计方案与确定审计范围 155
10.1内部审计范围与目标的确定 155
10.2内部审计能力与目标的评估 158
10.3审计时间与资源约束 159
10.4向审计委员会和管理层“兜售”审计范围 160
10.5编制审计方案 161
10.5.1审计方案格式及其制定 161
10.5.2审计证据的类型 163
10.6审计范围与审计方案的调整 164
第11章 控制自我评估与标杆法 165
11.1 CSA的重要性 165
11.2 CSA模型 166
11.3实施CSA流程 166
11.3.1实施协调性CSA评价 168
11.3.2实施问卷调查式CSA评估 169
11.3.3实施管理层分析式CSA评估 169
11.4评价CSA结果 170
11.5标杆法与内部审计 171
11.5.1应用标杆法改进流程 171
11.5.2标杆法和IIA的GAIN构想 173
11.6更好地理解内部审计活动 176
第四篇 组织与管理内部审计活动 178
第12章 内部审计章程与内部审计职能的建立 178
12.1建立内部审计职能 178
12.2内部审计章程 179
12.3内部审计人员 180
12.3.1 CAE的职责 180
12.3.2内部审计管理层职责 181
12.3.3内部审计人员职责 182
12.3.4信息系统审计专家 183
12.3.5其他内部审计专家 184
12.4内部审计部门的组织模式 184
12.4.1集权式与分权式内部审计组织结构 185
12.4.2组织内部审计职能 186
12.5内部审计政策与程序 189
12.6内部审计的职业发展 190
第13章 内部审计关键胜任能力 191
13.1内部审计关键胜任能力的重要性 191
13.2内部审计访谈技巧 192
13.3分析技术 193
13.4测试与分析技术 193
13.5内部审计存档技术 194
13.6审计建议与整改措施 196
13.7内部审计沟通技巧 197
13.8内部审计谈判技巧 197
13.9对学习的承诺 198
13.10内部审计核心胜任能力的重要性 199
第14章 了解项目管理 200
14.1项目管理流程 200
14.1.1项目管理知识体系 201
14.1.2制订项目管理计划 203
14.2 PMBOK方案与项目组合管理 205
14.3组织流程成熟度模型 207
14.4运用项目管理提高内部审计计划的有效性 208
14.5项目管理最佳实践与内部审计 208
第15章 计划与实施内部审计 209
15.1了解内部审计环境 209
15.2记录与了解内部控制环境 210
15.3实施适当的内部审计程序 212
15.4结束现场审计工作 212
15.5实施内部审计 213
第16章 通过流程建模和工作底稿记录审计结果 214
16.1内部审计存档要求 214
16.2适用于内部审计师的流程建模 215
16.2.1了解流程建模层次结构 216
16.2.2描述和记录关键流程 216
16.2.3流程建模与内部审计师 217
16.3内部审计工作底稿 218
16.3.1工作底稿标准 219
16.3.2工作底稿格式 220
16.3.3工作底稿文档管理 221
16.3.4工作底稿编制技术 224
16.3.5工作底稿复核流程 225
16.4内部审计文档管理 226
16.5内部审计档案管理的重要性 227
第17章 内部审计结果报告 228
17.1内部审计报告的目的与类型 228
17.2内部审计报告 229
17.2.1审计报告的模式 230
17.2.2审计发现的基本要素 232
17.2.3审计报告平衡表述指南 235
17.2.4可供选择的审计报告格式 236
17.3内部审计报告循环 237
17.3.1起草审计报告 239
17.3.2审计报告：跟踪和总结 241
17.3.3审计报告和工作底稿留存 242
17.4有效内部审计的沟通机会 242
17.5审计报告和理解内部审计 244
第五篇 信息技术对内部审计的影响 246
第18章 IT一般控制与ITIL最佳实践 246
18.1 IT一般控制的重要性 246
18.2客户端-服务器与小型系统的IT一般控制 247
18.2.1小型业务系统的一般控制 248
18.2.2小型系统的IT运营内部控制 251
18.2.3小型IT系统的IT一般控制审计 252
18.3大型机和遗留系统的组件和控件 255
18.3.1大型IT系统的特征 255
18.3.2经典的大型机或遗留计算机系统 257
18.3.3操作系统软件 257
18.4遗留系统一般控制审计 258
18.5 ITIL服务支持与交付系统最佳实践 262
18.5.1 ITIL服务支持事件管理 264
18.5.2服务支持问题管理 265
18.6服务交付最佳实践 269
18.6.1服务交付服务水平管理 269
18.6.2服务交付财务管理 271
18.6.3服务交付能力管理 272
18.6.4服务交付可用性管理 273
18.6.5服务交付连续性管理 274
18.7 IT基础架构管理审计 274
18.8内部审计CBOK对IT一般控制的要求 275
第19章 IT应用控制的审查与评价 276
19.1 IT应用控制的构成 277
19.1.1应用程序输入要素 277
19.1.2应用程序 279
19.1.3应用程序输出要素 283
19.2选择应用程序进行审计 283
19.3实施IT应用控制的基本步骤 284
19.3.1执行应用程序穿行测试 286
19.3.2制定应用控制目标 287
19.4完成IT应用控制审计 288
19.4.1阐明并测试内部控制审计目标 289
19.4.2完成应用程序控制审查 291
19.5 IT应用控制审计示例——客户端-服务器预算系统 292
19.5.1审查资本预算系统记录 292
19.5.2识别资本预算应用程序关键控制 293
19.5.3执行应用程序合规性测试 293
19.6正在开发的应用程序审计 294
19.6.1启用前审计的目标和障碍 294
19.6.2启用前审计目标 295
19.6.3启用前审计存在的问题 295
19.6.4启用前审计程序 296
19.7 IT应用控制审计的重要性 299
第20章 网络安全与隐私控制 300
20.1网络安全基础 300
20.1.1数据安全 301
20.1.2 TT密码的重要性 302
20.1.3病毒和恶意程序代码 303
20.1.4网络钓鱼和其他身份威胁 304
20.1.5 IT系统防火墙 305
20.1.6其他计算机安全问题 306
20.2 IT系统的隐私问题 306
20.2.1数据采集隐私问题 306
20.2.2在线隐私和电子商务问题 307
20.2.3无线电频率识别 307
20.2.4美国联邦隐私保护法的缺位 307
20.3 IT安全与隐私审计 308
20.4内部审计部门的安全与隐私 309
20.4.1审计师电脑安全与控制 310
20.4.2工作底稿安全 310
20.4.3审计报告与隐私 312
20.4.4内部审计安全与隐私标准和培训 312
20.5支付卡行业数据信息安全标准（PCI-DSS）基本原理 312
20.6内部审计在隐私控制与网络安全方面发挥的作用 313
第21章 计算机辅助审计工具与技术（CAATT） 314
21.1 CAATT概论 314
21.2 CAATT的必要性 316
21.3 CAATT软件工具 318
21.3.1通用审计软件 319
21.3.2报告生成器语言 320
21.3.3台式机和笔记本电脑CAATT工具 321
21.3.4测试数据法 322
21.3.5专用审计测试与分析软件 324
21.3.6嵌入式审计程序 325
21.4选择适当的CAATT流程 327
21.5 CAATT应用步骤 328
21.6应用CAATT获取审计证据 329
第22章 业务连续性计划与IT灾难恢复 330
22.1 IT灾难与业务连续性计划现状 331
22.2业务连续性计划流程审计 332
22.2.1内部审计师集中式数据中心BCP审查 332
22.2.2客户端-服务器连续性计划内部审计程序 335
22.2.3台式机和笔记本电脑应用程序的连续性计划 336
22.3 IT业务连续性计划的制订 337
22.3.1风险、业务影响分析以及潜在紧急事件的影响 338
22.3.2为可能发生的紧急事件做准备 339
22.3.3灾难恢复：紧急事件的处理 341
22.3.4业务连续性计划培训 342
22.4业务连续性计划与服务协议 342
22.5业务连续性计划新技术——数据镜像技术 343
22.6业务连续性计划审计 344
22.7业务连续性计划未来展望 344
第六篇 内部审计与企业治理 346
第23章 与审计委员会沟通 346
23.1审计委员会的作用 346
23.2审计委员会组织与章程 347
23.3审计委员会财务专家与内部审计 351
23.4审计委员会对内部审计的责任 352
23.4.1 CAE的任命 352
23.4.2批准内部审计章程 353
23.4.3内部审计计划和预算审批 354
23.4.4审计委员会对重要的审计结果进行复核并采取措施 355
23.5审计委员会与外部审计师 356
23.6举报计划与行为准则 356
23.7审计委员会的其他职能 357
第24章 道德规范与举报计划 358
24.1企业道德规范、合规性与治理 358
24.1.1拟定使命声明 359
24.1.2理解道德风险环境 361
24.1.3总结道德规范调查结果：是否存在问题 363
24.2企业行为准则 363
24.2.1行为准则的内容 364
24.2.2与利益相关者沟通，确保遵守行为准则 365
24.2.3违反准则与纠正措施 366
24.2.4保持行为准则及时更新 367
24.3举报与热线职能 367
24.3.1联邦举报规则 368
24.3.2萨班斯法案举报规则与内部审计 369
24.3.3设置企业求助或热线职能 370
24.4企业道德规范审计 371
24.5改进公司治理实践 372
第25章 舞弊检测与预防 373
25.1舞弊概论 373
25.2红旗标志——内部审计师的舞弊检测符号 374
25.3公共会计师在舞弊检测中的作用 377
25.4 IIA舞弊检测与调查准则 379
25.5内部审计舞弊调查 380
25.6信息技术舞弊检测流程 381
25.7舞弊检测与内部审计师 383
第26章 HIPAA、GLBA及其他合规性要求 384
26.1 HIPAA：健康保险及其他 385
26.1.1 HIPAA病历记录隐私规则 385
26.1.2密码系统、公共密码基础框架（PKI）和HIPAA安全规则 387
26.1.3 HIPAA安全管理程序 388
26.1.4技术安全服务与机制 389
26.1.5 HIPAA和电子商务前瞻 389
26.2《格雷姆-里奇-比利雷法案》内部审计规则 390
26.2.1 GLBA财务隐私规则 390
26.2.2 GLBA安全维护规则 391
26.2.3 GLBA借口防备规定 392
26.3其他个人隐私和安全立法要求 393
第七篇 职业内部审计师 396
第27章 职业认证资格——CIA、CISA及其他 396
27.1注册内部审计师的职责与要求 396
27.1.1 CIA考试 397
27.1.2 CIA资格的保持 406
27.2 IIA其他认证资格 406
27.2.1注册内部控制自我评估师（CCSA）考试要求 407
27.2.2注册政府审计师（CGAP）考试要求 408
27.2.3注册金融服务审计师（CFSA）考试要求 409
27.2.4 CIA专业认证考试的重要性 410
27.3注册信息系统审计师的要求 411
27.4注册信息安全经理资格 412
27.5注册舞弊审计师 413
27.6信息系统安全职业认证资格 414
27.7美国质量协会内部审计资格 414
27.8其他内部审计资格认证 415
第28章 作为企业顾问的内部审计师 416
28.1内部审计师担任企业顾问相关准则 416
28.2内部审计开展内部咨询活动所需要的能力 418
28.3最佳咨询实务 420
28.3.1第一步：接受咨询任务 420
28.3.2咨询约定书 421
28.3.3咨询流程：对“理应是……”与“是……”目标的界定 422
28.3.4咨询建议的实施 422
28.3.5记录与完成咨询业务 423
28.4内部审计服务拓展 423
第29章 持续审计与XBRL 424
29.1实施持续审计 425
29.1.1什么是持续审计监控流程 425
29.1.2应用CAA的资源 427
29.2持续审计的优点 429
29.3 XBRL——基于网络的可扩展商务报告语言 429
29.3.1 XBRL定义 430
29.3.2 XBRL的实施 431
29.4数据仓库、数据挖掘与联机分析处理 432
29.4.1存储工具的重要性 432
29.4.2数据仓库和数据挖掘 433
29.4.3在线分析处理 435
29.5新技术、持续结清与内部审计 436
第八篇 内部审计职业趋同——CBOK的要求 438
第30章 ISO27001、ISO9000和其他国际标准 438
30.1 ISO标准在当今世界的重要性 438
30.2 ISO标准概览 440
30.2.1 ISO9001质量管理体系与萨班斯法案 440
30.2.2 IT安全标准：ISO17799和ISO27001 444
30.2.3 IT安全技术要求：ISO27001 445
30.2.4服务质量管理：ISO20000 446
30.3 ISO19011质量管理体系审计 447
30.4 ISO标准与内部审计师 448
第31章 质量审计与ASQ标准 449
31.1质量审计师的职责 449
31.2质量审计师的作用 450
31.3实施ASQ质量审计 452
31.4质量审计师与IIA内部审计师 454
31.5内部审计部门的质量认证 454
31.5.1内部审计质量认证的价值 455
31.5.2内部审计质量认证的要素 456
31.5.3谁来实施QA 457
31.6内部审计质量认证的实施 458
31.6.1质量认证方法 459
31.6.2内部审计部门质量认证示例 460
31.6.3报告内部审计质量认证结果 464
31.7质量认证审计未来展望 465
第32章 六西格玛与精益制造技术 466
32.1六西格玛——背景与概念 466
32.2六西格玛应用 467
32.2.1六西格玛的领导职责 468
32.2.2启动六西格玛项目 470
32.3精益六西格玛 471
32.4六西格玛流程审计 473
32.5六西格玛在内部审计中的应用 474
第33章 国际内部审计与会计准则 475
33.1国际会计与审计准则演进 475
33.2财务报告准则趋同 476
33.3国际财务报告准则 478
33.4国际内部审计准则 478
33.5内部审计准则未来发展 479
第34章 适用于现代内部审计师的通用知识体系 480
34.1第一篇：现代内部审计基础 480
34.2第二篇：内部控制的重要性 481
34.3第三篇：计划与实施内部审计 481
34.4第四篇：组织和管理内部审计活动 482
34.5第五篇：信息技术对内部审计的影响 482
34.6第六篇：内部审计与企业治理 483
34.7第七篇：职业内部审计师 483
34.8第八篇：内部审计职业趋同——CBOK的要求 483
34.9适用于内部审计师的通用知识体系 484