这是2027高项免费连载第009篇，篇号按本免费系列独立编排，与72讲课程的讲号不同。
同学们好，我是老孙。
真题速评第二篇，讲教材第 3 章信息系统治理，重点是其中的信息技术审计。
这一块是很多同学最头疼的地方。原因有两个。
第一个原因是名词太像。治理体系、治理机制、治理域、治理任务；审计范围、审计证据、审计工作底稿、审计流程、审计技术。每个词都是"审计某某"或者"治理某某"，读着读着就串了。
第二个原因是离日常太远。项目进度、成本、质量，大家在工作里多少碰过；但信息技术审计，绝大多数同学这辈子没见过，读起来完全没有画面感。
老孙今天不从概念讲起，直接看题。看完六道真题你会发现一个非常清楚的规律：这一块的题，几乎全是从教材里的几张表格直接挖出来的。 找到这几张表，这一块就好拿分了。
本文历史题目按本地整理题库与教材交叉核对，用于辨析考点；整理材料不冒充官方重新发布的原卷。
一、先看六道题
请先自己做一遍，再往下看解析。
第一题（2023 年下半年第 1 批第 6 题）
以下关于审计工作底稿，说法错误的是（ ）。其中一项写的是："综合类工作底稿是指审计人员在审计实施阶段为执行具体审计程序所形成的审计工作底稿"。
第二题（2023 年下半年第 2 批第 54 题）
以下关于审计证据的说法中，错误的是（ ）。其中一项写的是："合法性是指审计证据与审计事项之间必须有实质性联系"。
第三题（2024 年上半年第 2 批第 32 题）
在确定信息技术审计范围时，（ ）需要根据审计的目的和投入的审计成本来确定。
A. 物理范围 B. 组织范围 C. 逻辑范围 D. 总体范围
第四题（2024 年上半年第 2 批第 13 题）
在信息技术审计流程中，"深入调查并调整审计计划"属于（ ）的工作内容之一。
A. 审计准备阶段 B. 审计终结阶段 C. 后续审计阶段 D. 审计实施阶段
第五题（2024 年上半年第 1 批第 65 题）
信息技术审计常用的审计技术不包括（ ）。
A. 审计抽样技术 B. 大数据审计技术 C. 产品分析技术 D. 风险评估技术
第六题（2024 年上半年第 1 批第 68 题）
信息技术治理活动的主要任务聚焦在全局统筹、价值导向、机制保障、创新发展、文化助推五个方面。其中"指导建立规范过程管理和痕迹管理"属于（ ）。
A. 全局统筹 B. 机制保障 C. 创新发展 D. 价值导向
答案依次是：第一题那一项、第二题那一项、D、D、C、B。 第六题之后，第四节还有一道单独拿出来讲的真题。
二、逐题拆解
第一题：工作底稿的定义被安错了类
教材把审计工作底稿分为三类：综合类工作底稿、业务类工作底稿和备查类工作底稿。
| 底稿类型 | 教材的说明 |
|---|---|
| 综合类工作底稿 | 审计人员在审计计划阶段和审计报告阶段，为规划、控制和总结整个审计工作并发表审计意见所形成的 |
| 业务类工作底稿 | 审计人员在审计实施阶段为执行具体审计程序所形成的 |
| 备查类工作底稿 | 审计人员在审计过程中形成的、对审计工作仅具有备查作用的 |
选项里说综合类是"审计实施阶段为执行具体审计程序所形成"，这其实是业务类的定义。
记法：综合类管首尾，计划和报告两头；业务类管中间，实施阶段干具体活儿；备查类管备用，只起查阅作用。
第二题：审计证据的特性被互换
教材列的审计证据特性有五项。
| 特性 | 教材的说明 |
|---|---|
| 充分性 | 根据所获证据足以对被审计对象提出一定程度保证的结论，是对证据数量的要求 |
| 客观性 | 审计证据必须是客观存在的事实材料 |
| 相关性 | 审计证据与审计事项之间必须有实质性联系 |
| 可靠性 | 审计证据能够反映和证实客观经济活动特征的程度 |
| 合法性 | 审计证据必须符合法定种类，并依照法定程序取得 |
选项里说合法性是"证据与审计事项之间必须有实质性联系"，这是相关性的定义，被安到了合法性头上。
记法：五个特性各看一个关键词。充分看数量，客观看事实，相关看联系，可靠看程度，合法看程序。
第三题：审计范围四个维度
教材列的信息技术审计范围有四个维度。
| 范围 | 教材的说明 |
|---|---|
| 总体范围 | 需要根据审计目的和投入的审计成本来确定 |
| 组织范围 | 明确审计涉及的组织机构、主要流程、活动及人员等 |
| 物理范围 | 具体的物理地点与边界 |
| 逻辑范围 | 涉及的信息系统和逻辑边界 |
题干说"根据审计的目的和投入的审计成本来确定"，这就是总体范围的原话。
第四题：审计流程的阶段
教材把信息技术审计流程分成几个阶段，其中准备、实施、终结三个阶段的工作内容是考点。
| 阶段 | 教材列的主要工作 |
|---|---|
| 审计准备阶段 | 明确审计目的及任务、组建审计项目组、搜集相关信息、编制审计计划 |
| 审计实施阶段 | 深入调查并调整审计计划、了解并初步评估信息技术内部控制、进行符合性测试、进行实质性测试 |
| 审计终结阶段 | 整理与复核审计工作底稿、整理审计证据、评价相关控制目标的实现、判断并报告审计发现等 |
"深入调查并调整审计计划"在实施阶段。这道题很多人会选准备阶段，因为"调整计划"听起来像是开工前的事。但教材的逻辑是：计划是在准备阶段编的，到了实施阶段一深入调查，发现情况和预想的不一样，才去调整它。 编计划在前，调计划在后。
第五题：审计技术四项
教材的口径是，审计技术包括风险评估技术、审计抽样技术、计算机辅助审计技术及大数据审计技术。
四项里没有"产品分析技术"。产品分析本身是范围管理中可使用的技术，但不在此处教材列出的审计技术清单内，属于跨体系借词，不能说这个技术是凭空造的。
第六题：治理任务五个方面
教材列的信息技术治理主要任务聚焦在全局统筹、价值导向、机制保障、创新发展、文化助推五个方面。其中讲机制保障时，教材写到组织要制定本组织的信息技术治理制度并实施，重点聚焦在指导建立规范过程管理和痕迹管理等方面。
所以题干里"指导建立规范过程管理和痕迹管理"属于机制保障。
记法：过程管理、痕迹管理、制度、责任，这些都是在"立规矩、防风险"，归机制保障。
三、这一块的出题规律：表格挖空
把六道题放在一起看，规律非常明显：每一道题都能在教材里找到一张对应的表或一个列举清单，题目就是把表格里的某一格挖掉、或者把两格对调。
| 真题 | 对应教材内容 | 出题手法 |
|---|---|---|
| 第一题 | 审计工作底稿分类表 | 两格定义对调 |
| 第二题 | 审计证据的特性表 | 两格定义对调 |
| 第三题 | 审计范围表 | 挖掉一格让你填 |
| 第四题 | 审计流程各阶段工作 | 把一项工作放到别的阶段 |
| 第五题 | 审计技术四项清单 | 塞进一个清单外的词 |
| 第六题 | 治理任务五方面 | 挖掉一项让你匹配 |
更关键的发现：教材课后题也是这么出的
翻到教材第 3 章最后的本章练习，你会发现同样的手法。
本章练习第 2 题问，指审计人员在审计实施阶段为执行具体审计程序所形成的审计工作底稿是哪一类，答案是业务类工作底稿。这和上面第一题考的是同一张表的同一格，一道正着问，一道把定义安到综合类头上反着问。
本章练习第 3 题让选关于信息技术审计范围描述不正确的一项，错的那一项写的是"逻辑范围需明确涉及的信息系统"。教材原文是逻辑范围涉及的是信息系统和逻辑边界，选项漏了半句。而上面第三题考的也是审计范围这张表，只是换成挖空总体范围。
这说明两类题覆盖了相同知识点，不能据此推断官方存在同一个出题池。 这个系列前面讲云计算、讲沟通渠道时已经发现过好几次了。第3章本章练习有七道选择题，这里挑的两道与列出的历史题覆盖相同知识。
四、最容易混的一组：内部控制审计与专项审计
上面六道题之外，还有一道题特别值得单独讲，因为它考的是这一块最容易混的一组分类。
先看题（2024 年上半年第 1 批第 44 题）
信息技术审计业务和服务通常分为信息技术内部控制审计和信息技术专项审计，（ ）属于信息技术内部控制审计。
A. 网络与信息安全审计 B. 信息系统生命周期审计 C. 应用控制审计 D. 数据审计
答案是 C，应用控制审计。
教材怎么分
教材说，信息技术审计业务和服务通常分为两大类。
内部控制审计，主要包括组织层面的控制审计、一般控制审计和应用控制审计。其中应用控制审计是针对业务流程层面运行的人工或自动化程序进行审计，主要包括输入控制、处理控制和输出控制的审计。
专项审计，主要是指根据当前面临的特殊风险或者需求开展的审计，审计范围是综合审计的某一个或几个部分。教材列举的专项审计包括：信息系统生命周期审计、信息系统开发过程审计、信息系统运行维护审计、网络与信息安全审计、信息系统项目审计、数据审计等。
怎么区分
回头看这道题的四个选项，A、B、D 三个都在专项审计的清单里，只有 C 在内部控制审计里。
区分的窍门是看名字的构词方式：
- 内部控制审计的三项，名字里都带"控制"：组织层面控制、一般控制、应用控制。
- 专项审计的各项，名字里都是一个具体的对象或主题：生命周期、开发过程、运行维护、网络与信息安全、项目、数据。
名称特征只帮助回忆本题选项；最终按定义和教材列举核对，不能把是否带“控制”二字当成所有审计事项的分类规则。
为什么要这样分
用大白话理解：内部控制审计查的是日常的规矩和机制是不是在正常运转，比如业务系统录入数据时有没有校验、处理过程有没有防错、输出结果有没有核对，这是常规体检。专项审计是针对某件具体的事专门查一次，比如最近网络安全风险高就专门做一次安全审计、某个大项目上线前专门做一次项目审计，这是专科检查。
常规体检和专科检查，一个管面、一个管点，这样一想就不会混了。
五、学这一块的正确姿势
既然出题方式是表格挖空，学习方法就很清楚了。
第一步：把教材第 3 章的表格和清单全部找出来
第 3 章里和审计相关的表和清单，至少有这几个：审计范围、审计证据的特性、审计工作底稿分类、审计流程各阶段工作、审计技术、信息技术内部控制审计与专项审计。治理部分有治理体系框架的组成、治理域、治理任务五方面、治理机制的原则。
这些表格可以作为本次复习的检索地图，仍需结合本章概念与适用条件。
第二步：每张表只抓每一格的关键词
不要整句背。每一格抓一两个关键词，就像上面给的记法：充分看数量、合法看程序、综合类管首尾、总体范围看目的和成本。考试挖空或者对调，你只要能用关键词判断"这句话说的是哪一格"就够了。
第三步：用"对调"的方式自测
背完一张表，自己出题：把相邻两格的定义换一下，看自己能不能一眼识别出来。这就是出题人的手法，你用他的手法练自己，考场上就不会被骗。
第四步：用简短场景帮助理解，再回到准确表述
初学时不必先钻进复杂审计项目，但可以用场景区分两个对象：符合性测试关注控制是否按设计执行，实质性测试关注被检查内容本身。再回到教材核对定义和使用条件。记表格能帮助检索，理解对象才能应对换一种说法的题。
六、治理和审计是什么关系
最后简单说一下这两个概念的关系，帮大家把第 3 章的结构理顺。
教材第 3 章叫信息系统治理，下面两节，一节讲信息技术治理，一节讲信息技术审计。
治理是定方向、立规矩：信息技术要为组织的战略服务，钱投在哪、谁来决策、风险怎么控制、规矩怎么定。
审计是查规矩有没有落实：独立地检查信息技术的建设和运行是不是按规矩来的、控制是不是有效、风险是不是可控，然后出具结论。
打个比方：治理像是给一个家庭定下"每月收入怎么分配、大额开支要全家商量"的规矩；审计像是年底请一个外人来查账，看这一年是不是真的按规矩花的钱。先有治理定规矩，才有审计去检查。 两节的顺序就是这个逻辑。
七、考点锚定
| 年份批次 | 题号 | 考点 | 对应教材内容 |
|---|---|---|---|
| 2023 年下半年第 1 批 | 第 6 题 | 审计工作底稿分类 | 工作底稿分类表 |
| 2023 年下半年第 2 批 | 第 54 题 | 审计证据的特性 | 审计证据特性表 |
| 2024 年上半年第 2 批 | 第 32 题 | 审计总体范围 | 审计范围表 |
| 2024 年上半年第 2 批 | 第 13 题 | 审计实施阶段工作 | 审计流程各阶段 |
| 2024 年上半年第 1 批 | 第 65 题 | 审计技术四项 | 审计技术清单 |
| 2024 年上半年第 1 批 | 第 44 题 | 应用控制审计属于内部控制审计 | 内部控制审计与专项审计 |
| 2024 年上半年第 1 批 | 第 68 题 | 治理任务之机制保障 | 治理任务五方面 |
| 2023 年下半年第 3 批 | 第 6 题 | 顶层设计治理域的内容 | 治理域 |
| 2023 年下半年第 4 批 | 第 22 题 | 治理机制原则不包括公平 | 治理机制原则 |
本篇考法总结三句话：
第一句，治理与审计这一块，题目几乎全是从教材的表格和清单里挖空或对调出来的。
第二句，每张表每一格抓关键词：充分看数量、合法看程序、综合类管首尾、业务类管实施、总体范围看目的和成本。
第三句，教材第3章本章练习的两道题与所列历史题覆盖相同知识，课后题一定要做。
八、下一步
今天的动作：翻开教材第 3 章，把这一章里所有的表格和列举清单用笔标出来，数一数一共有几张。然后挑其中一张，比如审计证据的特性表，用上面说的"对调法"给自己出三道题。
做完你会发现，这一章看着难，其实是全书最有规律可循的一章。
这一块在收费文章里是第 9 讲和第 10 讲，分别讲治理和审计，还有治理与管理的深度辨析、审计在案例题里怎么出。想系统跟一遍的同学可以去看；想有人帮你把第 3 章这种名词密集的章节梳理成一张总表的同学，可以找老孙聊一对一，先确认服务范围与安排。
明天是计算站第二篇，正式进入挣值管理，先把计划价值、挣值、实际成本这三个基础值的实际含义讲清楚。
老孙保持日更，明天见。
#高项 #信息系统项目管理师 #软考
