信息化之后，很多传统的控制点消失了：不需要手工签字、不需要纸质单据流转、不需要人工核对。取而代之的是权限配置和操作留痕。控制是否有效，取决于两件事：谁能做什么，做了什么有没有记录。
一、权限管理的三种测试
测试一：职责分离测试（SoD）。把系统中的关键权限列出来，看是否存在互斥权限集中在同一账号的情况。互斥组合至少包括：
- 供应商主数据维护 ＋ 采购订单创建 ＋ 付款审批；
- 客户主数据维护 ＋ 销售订单创建 ＋ 收款核销；
- 凭证录入 ＋ 凭证审核 ＋ 过账；
- 存货出入库 ＋ 库存调整 ＋ 盘点结果录入；
- 系统管理员 ＋ 业务操作权限。
测试方法：导出用户权限矩阵（用户 × 角色 × 权限），用脚本匹配互斥组合。一个 200 人的企业，通常能匹配出 10-30 个冲突点。
测试二：超级用户测试。系统管理员是否有业务数据的修改权限？很多 ERP 的管理员账号权限过大，可以改任何数据、删任何记录。规范的做法是管理员只负责账号和配置，不接触业务数据。
测试三：离职与调岗账号测试。导出系统账号清单，与人力资源的在职名单比对。离职人员的账号是否已停用？调岗人员的权限是否已调整？这一项最容易发现问题，因为企业往往只记得收门禁卡，忘了停系统账号。
二、操作日志的取证要点
日志是电子证据的核心，但要满足三个条件才有证明力：
条件一：完整性。日志是否覆盖全部关键操作（新增、修改、删除、审批、过账），是否有断档。有些系统只记录登录日志，不记录数据修改日志，这样的日志没有价值。
条件二：不可篡改性。日志是否可以被管理员删除或修改。规范的做法是日志单独存储、只写不改、定期归档到独立介质。
条件三：可追溯性。每条日志是否包含操作人、操作时间（精确到秒）、操作对象（单据号）、操作前后的值。缺少“修改前的值”，就无法判断改了什么。
实务中最常见的问题是：系统有日志，但企业从不看。审计时要做的不是查日志有没有，而是用日志去验证业务。比如抽取 20 笔已过账凭证，查其操作日志，看是否有“反过账—修改—重新过账”的记录。
三、数据备份的验证方式
备份不是“有备份文件”就行，要验证三件事：
验证一：备份是否按计划执行。查看备份日志，核对备份时间、大小、是否成功。空文件、0 字节的备份是常见问题。
验证二：备份能否恢复。做一次恢复演练，从备份文件恢复到测试环境，看数据是否完整、系统是否可用。很多企业的备份从未恢复过，真出事时才发现文件损坏。
验证三：备份是否异地存放。备份文件与生产系统在同一台服务器、同一个机房，遇到火灾、勒索病毒就一起没了。
勒索病毒是当前最现实的威胁。一家企业被加密后，如果备份也在同一网络里，基本无解。规范的做法的 3-2-1 原则：3 份副本、2 种介质、1 份异地。
四、一个可以修改已过账凭证的案例
某制造企业使用某国产 ERP，年营收 6 亿元。审计在做会计分录测试时，要求导出全部凭证及其修改日志。
系统管理员表示“系统不记录修改日志，只能看到当前状态”。审计转而检查权限配置，发现财务经理的账号同时拥有“凭证录入”“凭证审核”“凭证过账”“反过账”四项权限。
进一步测试：审计用测试账号（在测试环境中）尝试对一张已过账凭证执行反过账，成功，且修改后重新过账，系统没有任何提示或审批要求。
这个发现的意义是：所有关于凭证的审计证据都失去了可靠性，因为任何有权限的人都可以在不留痕的情况下修改历史数据。
后续核查发现，2022 年 12 月有 14 张凭证在次年被修改，涉及金额 2800 万元，主要是把费用调到次年、把收入提前到当年。企业最终调整报表，净利润下调 2100 万元。
整改措施：启用凭证修改审批流、分离录入与审核权限、开启全量操作日志、日志独立存储并每月归档。
五、测试清单与结论口径
信息系统审计的结论要落到具体控制点上，笼统写「系统运行正常」没有意义。
| 控制点 | 测试方法 | 合格标准 |
|---|---|---|
| 账号生命周期 | 抽取离职、调岗人员账号 | 离职当日停用，调岗权限同步调整 |
| 权限隔离 | 矩阵比对＋越权访问尝试 | 不存在不相容职务集中于单一账号 |
| 操作日志 | 抽取关键操作回溯 | 日志完整、不可删改、留存不少于六个月 |
| 数据备份 | 实际执行一次恢复演练 | 可完整恢复，耗时在可接受范围 |
| 变更管理 | 抽查上线记录与测试报告 | 先测试后上线，有审批留痕 |
结论表述要与证据强度匹配：测试覆盖充分且未发现例外的，可表述为控制有效；发现个别例外但已整改的，应说明例外数量与整改情况；无法取得日志或备份数据的，应作为范围受限事项披露，而不是默认合格。
六、常见问题
以下问题取自客户咨询中出现频率最高的几处，答案与正文相应章节对应，可结合自身情形对照使用。
问：信息系统审计的权限测试怎么做？
答：先取得用户清单与角色矩阵，再抽取离职人员、调岗人员、外部供应商账号，验证是否及时停用或降权；随后用普通账号尝试访问高权限功能，验证权限隔离是否有效。测试要留痕，包括截图与操作记录。
问：系统日志要保存多久？
答：《网络安全法》要求采取监测记录网络运行状态、网络安全事件的技术措施，并按规定留存网络日志不少于六个月。财务与业务系统的关键操作日志，建议保存时间不短于一个完整审计周期，以便回溯。
问：备份有效性怎么验证？
答：不能只看是否配置了备份任务，要实际执行一次恢复演练：抽取某一时点的备份数据，在隔离环境恢复，核对数据完整性与可用性，并记录恢复耗时。只有恢复成功的备份才算有效备份。
