(壹)業務流程描述
業務流程表明壹項業務如何發生、處理、記錄和報告的自始至終的過程。它已經打破了部門的界限，因此不代表部門的職責分工。業務流程中的具體工作由那個部門和崗位完成應當在詳細的流程描述中體現。流程描述的形式主要包括流程圖和文字說明兩部分。流程圖是用圖形的形式對業務操作進行直觀的描述。文字說明是對流程圖的補充說明，要求每個步驟都必須進行文字說明，使壹個不熟悉業務的人也能明白業務是如何操作的。
(二)關鍵控制的確認
關鍵控制是公司在經營管理中，為了防範風險，實現控制目標而制定的最有影響力的壹項或多項控制。如果缺少這些控制，將會在很大程度上產生財務報告錯報、資產安全受到威脅和舞弊的風險。
1.確認關鍵控制的原則
在確認計算機會計信息系統業務流程的“關鍵控制文檔”即關鍵控制點和控制要點時，應以規避重要風險為目標，以統壹性、規範性和可操作性為原則，使確認的關鍵控制能起到規範控制體系，提高企業管理水平的作用。
2.確認關鍵控制的標準
(1)確認的關鍵控制，是在相關流程中影響力和控制力相對較強的壹項或多項控制，其控制作用是必不可少和不可替代的。如果缺少該項控制，將在很大程度上直接導致財務風險的產生。
(2)確認的關鍵控制，必須存在控制證據並能夠對控制過程進行驗證和測試。
(三)關鍵控制的審計方法
1.審前準備的主要工作
首先審計人員應取得被審計單位信息系統業務流程圖和信息系統總體控制規定、信息系統總體控制實施辦法等規章制度。然後，審計人員要確認被審計單位關鍵控制的完整性。通常，審計人員要檢查關鍵控制是否在流程圖和程序文件中進行了適當記錄。如果沒有，詢問原因並確定原因是否充分，並進行記錄。在此基礎上，編制審計測試計劃，明確審計的業務流程、時間、訪談的對象等，以保證測試工作有序進行。同時，審計人員還要根據關鍵控制及其頻率和控制方法，確定其樣本總體、樣本數量、測試期間和詳細的測試步驟，並進行記錄。
另外，在審前準備階段，審計人員應根據關鍵控制的執行頻率確定並記錄進行關鍵控制測試所需要抽取的樣本數量。樣本總體是指測試對象，確定正確的樣本總體是為了防止測試對象的不完整。在大多數情況下，樣本總體並不是關鍵控制所對應的控制實施證據。審計人員通過在樣本總體中抽取樣本和檢查控制實施證據，來驗證相關關鍵控制在樣本總體中是否有效的執行。
測試人工控制
控制發生頻率樣本數量
年 度1
季 度2
月 度2-5
每 周5-15
每 天20-40
每天數次25-60
針對能夠明確確定控制發生頻率的關鍵控制，只需要根據控制發生的頻率，確定測試需要抽取的樣本量；針對無法明確確定控制頻率的關鍵控制，也就是說控制是不定期發生的，或者說是根據業務的具體情況隨時可能發生的，需要首先確定壹個會計年度內業務發生的次數，然後確定控制發生的“折合”頻率和測試所需要的樣本量。
發生次數
折合頻率
樣本量
＞200
每日數次
40-60
500-200
每日壹次
20-40
15-50
每周壹次
5-15
＜15
每月壹次
2-5
2.現場審計階段所采用的審計方法
關鍵控制的審計方法主要包括詢問、觀察、檢查和重復執行四種。
(1)詢問：通過訪談，了解該業務人員是否真正理解所執行的控制，並對該業務人員的勝任能力做出判斷。在審計測試表中記錄將訪談的結果，並結合訪談結果，進壹步確定測試計劃，尤其是樣本總體和控制頻率的問題。
(2)觀察：見證正在執行的控制。通過觀察相關業務人員在系統中的操作，確認相關信息系統應用控制措施是否存在並按要求執行；確認流程圖和應用系統風險文檔描述的相關應用控制措施是否存在，如果存在，檢查系統相關設置、信息系統應用控制措施執行的系統提示（屏幕拷貝）等。
(3)檢查：在存在控制實施證據的情況下運用，主要是對樣本進行檢查。通過檢查，確認信息系統總體控制措施在實際工作中是否執行，是否符合信息系統總體控制措施的描述；系統的具體反饋信息及控制措施是否有效和流程圖的標註是否正確等。
(4)重復執行：主要是重新執行控制活動以確定控制是否有效，通過對已實施控制的業務活動進行測試，檢查控制是否準確、有效。它比詢問、觀察和檢查更加深入，應該充分記錄樣本的要素以便重復執行。
3.現場實施階段的測試原則
(1)審計人員必須按照事先確定的測試步驟進行審計測試。
(2)訪談原則上要求就實施控制的每個崗位進行訪談，以確保獲取最直接的信息。但如果審計人員能夠肯定判斷從壹個或幾個崗位上訪談所獲取的信息已經足夠支持測試所需要了解的內容和信息，那麽根據被審計單位的實際情況，可以不用訪談每個崗位。可以將同壹部門或崗位執行的控制合並進行訪談，以便提高工作效率。
(3)選取樣本，如果從測試起始時間到測試截止時間，由於業務發生量的限制，無法取得要求的樣本量，則應該選取已有的全部樣本。
(4)被審計單位提交樣本總體清單，由測試人員在清單中隨意指定所要抽取的樣本。確認後的樣本不能隨意更改，以保證樣本能夠代表總體。
4.現場實施階段需要關註的潛在問題
在審計測試過程中，審計人員應重點關註以下幾個方面的內容：
(1)內控制度中的控制措施在實際中沒有執行
指經過訪談和重復執行，發現內部規章制度中所描述的控制措施，在實際工作中沒有執行或不存在。
(2)實際執行的控制措施沒有在內控制度中進行描述
指經過訪談和重復執行，發現在實際中執行的重要控制沒有在內部規章制度中進行描述。如果審計人員在重復執行的過程中發現某項重要控制或業務步驟在實際中存在，但是卻沒有體現在流程圖和內部規章制度中，應該作為問題進行記錄。
(3)有關人員不了解如何實施控制造成控制措施只是例行手續
指在對執行控制的崗位人員進行訪談的過程中，發現該控制崗位的執行人員對其所實施的控制執行不到位，對所要控制的對象不理解或對其所包含的內容不明確，只是進行形式上的簽字或簽章等。
(4)執行中缺乏必要的實施證據
在重復執行過程中，未發現或不存在書面的或者其他能夠證明控制已實施的證據（如有簽字、蓋章的書面表單等）。
(5)控制缺乏必要的規章制度或制度不完善
現有控制措施在規章制度中沒有體現（即缺乏相關規章制度）或有矛盾之處。
(6)應有的控制措施不存在或不完善
在重復執行過程中，如果審計人員發現應有的關鍵控制沒有執行或記錄，可以作為問題進行記錄。
(四)綜合評價
現場審計測試結束後，要對測試結果進行分析，包括分析被測試單位的信息系統總體控制是否完整、是否得到適當的記錄；實際執行過程中的差異，例外事項主要發生在哪個環節、哪個部門、哪個崗位以及發生頻率，結合訪談結果，分析例外事項發生的具體原因，進而提出建議，並對被審計單位計算機會計信息系統的內部控制情況進行綜合評價。綜合評價主要從以下重點入手：
1.企業的組織機構是否健全，職責分工是否明確；
2.反映制度的各種文件是否規範；
3.各種管理制度、會計制度及審計制度是否完整；
4.業務處理與記錄程序是否完善、正確；
5.授權、批準、執行、記錄、核對、報告手續是否完備；
6.關鍵控制是否都建立有必要的控制措施；
7.內部控制制度及有關措施是否經濟有效。
在相當長的時間裏由於人們對計算機會計信息系統比較陌生，內部控制措施不明確，審計方法不得要領，所以審計人員只得沿用對手工會計的審計方法，很少能夠對內部控制進行有效的審計，漏洞較多，不足以確保會計系統的安全。因此，提高對內部控制的認識，加強對其內涵和技術的研究，重視對內部控制的審計，仍是當前會計電算化和審計領域的壹個關鍵課題。審計人員應掃除思想顧慮，加強學習，努力掌握壹定的計算機知識，並結合本企業的實際情況、運用壹套新的技術方法和衡量標準，對計算機會計信息系統內部控制的健全性、合理性和有效性進行綜合評價。