ICS 35.240.01 CCS L79 TCCUA 团 体 标 准 T/CCUA 006—2024 代替T/CCUA006-2020 信息系统审计机构服务能力评价 Evaluation of service capacity for information system audit institution 2024-12-27发布 2025-01-27实施 中国计算机用户协会 发布 T/CCUA 006—2024 目 次 前言. IHI 范围 2规范性引用文件 3 术语和定义 信息系统审计机构服务能力 4. 1 信息系统审计机构服务能力分级 4.2 三级信息系统审计机构服务能力 4.2.1 基本要求 4.2.2 审计工作实施能力 4.2.3审计人员素质能力 4.2.4审计质量控制能力， 4.2.5 审计结果报告能力 4. 3 三级信息系统审计机构服务能力 4.3.1 基本要求.. 4.3.2审计工作实施能力 4.3.3 审计人员素质能力 4.3.4 审计质量控制能力 4.3. 5 审计结果报告能力 4. 4 一级信息系统审计机构服务能力 4. 4. 1 基本要求.. 4.4.2 审计工作实施能力 4.4.3审计人员素质能力 4.4.4 审计质量控制能力 4.4.5 审计结果报告能力 5审计机构行为要求 信息系统审计机构服务能力评定 评定流程及方式 5.2初次能力评定 C. 2.1 申请 5.2.2资格审查.. 5.2.3现场评估审核 5.2.4专家评定. 6.3能力复评 附录A（规范性） 信息系统审计机构服务能力等级评定申请书格式. 附录B（规范性） 信息系统审计机构服务能力评价细则， 20 T/CCUA 006—2024 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件代替T/CCUA00G--2020《信息系统审计机构服务能力评价》，与T/CCUA00G-2020相比，除 结构调整和编辑性改动外，主要技术变化如下： 更改了范围的内容表述（见第1章）： b) c) 增加了信息系统审计机构服务能力评定的有效期（见4.1,2020版4.1）； (p 更改了信息系统审计机构各级服务能力的要求的内容表述（见第4章，2020版第4章）； e) 增加了审计机构行为规范性要求（见第5章）： f) 更改了信息系统审计机构服务能力评定的内容表述（见第6章，2020版第5章）； g) 增加了附录A信息系统审计机构能力等级评定申请书（见附录A） h) 更改了附录B信息系统审计机构能力评价要求的内容表述（见附录B，2020版附录A）。 本文件由中国计算机用户协会提出并归口。 本文件起草单位：中国计算机用户协会政务信息化分会、北京中帧四方资讯有限公司、北京国信新 网通讯技术有限公司、北京易迅博慧网络科技有限公司、广东省科技基础条件平台中心、北京经济管理 职业学院、国研数字科技（北京）有限公司、广东数字政府研究院、厦门市信息协会、中检（厦门）软 件测评有限公司、上海方宏会计师事务所（普通合伙）、新长城科技有限公司、北京德中锦科技有限公 司、北京瑞蚨善法信息科技有限公司、河南科评信息技术有限公司、北京微月科技有限公司、青岛赛迪 国软信息系统治理有限公司、北京致远互联软件股份有限公司。 本文件主要起草人：石跃军、姚琴、周云峰、唐群、李晓波、杜维成、江一山、曹红星、蔺海波 赵进延、张巍、张晶、张博、叶海燕、林奕冰、陈海章、徐锋、郝婧宇、彭维民、于丽丽、师玉芳、李 晓东、任保东。 本文件历次版本发布情况为： 2020年5月首次发布为T/CCUA00g-2020； 本次为第一次修订。 II T/CCUA 006—2024 信息系统审计机构服务能力评价 1范围 本文件规定了信息系统审计机构服务能力的基本要求、审计工作实施能力、审计人员素质能力、审 计质量控制能力、审计结果报告能力和评定要求 本文件适用于内部审计、社会审计，以及信息系统建设运维单位组织开展的信息系统审计。 2规范性引用文件 本文件没有规范性引用文件。 3术语和定义 下列术语和定义适用于本文件。 3. 1 信息系统审计 information system audit 对信息系统的管理控制、应用控制、数据控制、网络控制、安全控制进行检查，提出审计意见和建 议的活动。 3. 2 信息系统审计机构 information system audit organization 进行内部审计、社会审计中具有专门从事信息系统审计能力的机构 信息系统审计机构服务能力 4.1信息系统审计机构服务能力分级 信息系统审计机构服务能力分为三级，级别由高到低依次是一级、二级、三级。 4.2三级信息系统审计机构服务能力 4.2.1基本要求 审计机构应符合下列要求： a）在中华人民共和国境内注册成立，由中国公民、法人投资或国家投资的企事业单位； b) 具有固定的办公场所，产权关系明晰，独立经营核算，三年内无违法违规记录； c) 法定代表人或主要负责人仅限中华人民共和国境内的中国公民，且无犯罪记录； (p 单位经营状况良好，财务数据真实可信； e）具有良好的社会信用，未被国家列入信用信息公示系统的失信单位。 4.2.2审计工作实施能力 审计机构需符合下列要求： a) 具有信息系统审计的部门设置、岗位划分及职责界定，明确部门、岗位主要人员； b) 具有完善的公司治理机制，至少包括财务管理、档案管理、审计人力资源管理、培训教育等方 面的规章制度和运行流程； c) 审计机构提供案例、过程记录等资料，证明其具有信息系统审计相关工作1年以上经验，包括 不限于信息系统的财务、资产审计或安全测评、咨询服务及监理等。 4.2.3审计人员素质能力 3 T/CCUA 006—2024 审计机构需符合下列要求： a) 具有信息系统审计师中级证书人员不少于厂名，信息系统审计人员需持证上岗： b) 具有与信息系统审计相关的财务、信息技术、项目管理或法律等相关人员1名； c) 审计实施人员熟悉信息系统审计的相关法律法规、规章和标准。 4.2.4审计质量控制能力 审计机构需符合下列要求： 具有审计业务全流程的质量控制机制，至少包括审计计划、审前调查、审计实施、报告编写等 规章制度； b) 建立内部质量控制流程，明确审计人员职责、权限及相互关系； 在审计过程中至少指定1名专门负责质量控制人员，明确其质量控制职责。 4.2.5审计结果报告能力 审计机构需符合下列要求： a) 具有审计报告的内部审核流程、报告编写的规范性要求 b) 具有审计项目档案管理制度和能力； c) 具有审计报告和相关资料的保密制度 4.3二级信息系统审计机构服务能力 4.3.1基本要求 审计机构应符合下列要求： a) 在中华人民共和国境内注册成立，由中国公民、法人投资或国家投资的企事业单位； b) 具有固定的办公场所，产权关系明晰，独立经营核算，三年内无违法违规记录； c) 法定代表人或主要负责人仅限中华人民共和国境内的中国公民，且无犯罪记录； (p 单位经营状况良好，财务数据真实可信，需有国家审计或第三方审计的审计报告； 具有良好的社会信用，未被国家列入信用信息公示系统的失信单位； f) 通过信息系统审计机构服务能力三级评定的时间不少于1年。 4.3.2审计工作实施能力 审计机构需符合下列要求： 具有信息系统审计的组织体系，至少包含组织架构、部门设置、岗位划分及职责界定，明确部 门、岗位主要人员； 具有完善的公司治理机制，至少包括财务管理、档案管理、审计人力资源管理、培训教育等方 面的规章制度和运行流程； c) 提供实施案例、过程记录等资料，证明其具有信息系统审计案例不少于个。 4.3.3审计人员素质能力 审计机构需符合下列要求： a) 具有信息系统审计师中级证书人员不少于8名、高级证书人员不少于2名，信息系统审计人 员需持证上岗； b) 具有与信息系统审计相关的财务、项目管理或法律人员各至少1名； c) 具有信息技术中、高级人员至少1名； (p 审计机构每年组织审计业务和技术培训，审计师每年接受培训时长累计不少于8学时，并提供 培训记录档案； e) 审计实施人员熟悉信息系统审计的相关法律法规、规章和标准 4.3.4审计质量控制能力 审计机构需符合下列要求： 4 T/CCUA 006—2024 a) 具有审计业务全流程的质量控制机制，至少包括审计计划、审前调查、审计实施、报告编写等 规章制度； b) 建立内部质量控制流程，明确审计人员职责、权限及相互关系； c) 在审计过程中至少指定1名专门负责质量控制人员，明确其质量控制职责； (p 审计机构与参与审计人员签订《保密责任书》，保守在审计活动中知悉的国家秘密、工作秘密、 商业秘密、个人隐私等； e) 近三年未出现因信息系统审计服务不当引起的客户投诉或法律诉讼。 4.3.5审计结果报告能力 审计机构需符合下列要求： a) 具有审计报告的内部审核流程、报告编写的规范性要求： 具有审计项目档案管理制度和能力； c) 具有审计报告和相关资料的保密制度及执行能力； d）具有审计问题整改跟踪和提出建设性意见的能力。 4.4一级信息系统审计机构服务能力 4.4.1基本要求 审计机构应符合下列要求 在中华人民共和国境内注册成立，由中国公民、法人投资或国家投资的企事业单位 b) 具有固定的办公场所，产权关系明晰，独立经营核算，三年内无违法违规记录； 法定代表人或主要负责人仅限中华人民共和国境内的中国公民，且无犯罪记录； 单位经营状况良好，财务数据真实可信，需有国家审计或第三方审计的审计报告； 具有良好的社会信用