两种不同IT环境都须关注
SSQM 1要求取得或发展、实施、维护及使用适当科技，支持质量管理和项目。SSA 315（2021修订）则涉及被审计实体信息系统，以及报表和认定层次风险。两者相关但不同：事务所工具可靠，不证明客户系统可靠；检查客户控制，也不替代事务所质量管理。2025年发布日期及对2023年主题检查的引用说明背景。科技支持判断和证据，不能代替问责。
识别全部事务所资源及功能
应与流程和工具负责人一起盘点应用、基础设施、流程及人员。执业系统包括独立性及轮换、背景和冲突、归档和工时、人员规划、培训、评核及内部沟通；项目工具包括审计流程、重算核对脚本，以及提取、验证和分析工具。一项应用可服务多个目标。内部RPA、Python、SQL、采购工具和网络资源都须纳入，并了解设计、本地准备及所需调整。遗漏共享冲突系统，可能忽视不完整企业关联图及非鉴证服务带来的独立性威胁。
评估科技风险并批准合适工具
常见风险为上线前评估不足、维护薄弱、外部或网络资源未评估、用户不熟悉，以及网络入侵或改动。应对包括设计功能认证、多场景验收测试、试点、访问及变更控制、支持台、修补、反馈和采用情况监控。培训应涵盖研习、指引、方法和底稿要求，包括适用范围、正确操作及结果理解。应检查网络控制和本地责任、供应商SOC、服务标准、绩效及问题追踪。只允许评估并批准的工具，更新或替换后重检。网络提供资源不转移事务所责任。
网络防范覆盖设备、供应商及连续性
原文例子包括防火墙、VPN、静态和传输加密、入侵预防检测、漏洞及渗透测试、终端保护、反恶意软件、USB和网页共享限制，以及邮件网页监控。供应商调查可包含信息安全SOC，以及更新和保密条款。意识培训、演练、事件应对、IT应急、备份及恢复测试支持连续性。这些是控制实例，不是要求采用每项产品。未识别网络质量风险的事务所，也会遗漏监控，使保密、可靠性及营运暴露于风险。
质量监控不能只靠询问
最低监控包括关键应对、额外高风险应对、新增或修订应对，以及上一年例外。应检查证据、重做或观察，而非只询问负责人或查批准；样本按风险及控制频率调整。验收复核应确认功能完整、场景代表性及上线前解决问题。临时安装应检查用途和安全评估，并核实授权用户及时间等条件。须了解网络检查的范围、时间、程度和结果，决定额外本地监控及年度质量系统影响。
评估缺陷并针对原因整改
须判断发现是否影响数据完整性或应用可靠性、系统相互依赖是否扩大影响，以及缓解控制是否运作。调查根因，并制定即时、过渡和长期行动。修订风险及应对重新输入质量系统，整改成效取决于是否回应实际原因。原文引用2023年监管报告及2024年根因指引补充细节，没有重印这些文件。签批或未经评估的网络结论，本身不能证明整改有效。
了解客户信息流及IT控制
通过询问、政策流程、流程图及交易穿行，了解启动、记录、处理、更正和报告。应识别应用、自动运算、对账、三方匹配，以及影响完整准确有效性的接口。一般IT控制支持应用控制持续运作。三个领域分别为访问授予、撤销、复查、特权及密码；开发或变更测试、批准、职责分离及迁移；以及备份、恢复和调度等营运。高度自动化电商、金融、电信及游戏业务，若大量依赖复杂控制，风险可能更高。
评估网络事件并选择审计应对
应考虑网络控制、AI和机器学习及区块链、系统变化、IT检查发现，以及客户或供应商事件。发生泄漏时，应了解事件、评估控制及报告影响、设计进一步程序并检查披露。按SSA 330，计划依赖控制，或实质程序单独不足时，须测试控制。一般IT控制失败时，应评估同风险补偿控制及风险是否发生的实质证据；仍不支持依赖时，更新策略。系统生成证据可测试编报控制及相关应用，或对输入输出执行实质程序。
评估外包服务及SOC证据
按SSA 402，应了解与财务报告相连的服务机构，包括托管、电商平台、云服务及智能合约。第一或第二类SOC可协助，但须评估服务审计师能力独立性、日期期间、相关应用控制及用户实体补充控制。期间不衔接时可能需要衔接函；指引没有说函件自动证明控制有效。报告中的保留事项或缺陷会影响策略程序。外包不取消充分相关证据要求。
游戏案例：现金检查可能遗漏自动交易
App Z包含奖励代币、装备兑换、现金购买及玩家交易。审计师检查收款，并对非现金活动做合理性分析。还应考虑非现金控制、数据量和复杂性、兑换购买交易价格、自动运算、报告逻辑及参数。由于高度自动化，单靠实质程序可能不足。案例提出评估问题，没有给最终意见，也没有要求所有游戏审计采用相同测试。
零售案例：纳入网页与移动接口
零售商在20X1加入网页，20X2加入移动渠道，与门店并行，提供自取或配送及下次消费返利。System Z整合渠道，IT专家检查其控制。范围仍须考虑网页移动应用的交易量、价格返利、接口复杂性，以及网页从20X1到20X2的重大变化。只查中心系统，可能遗漏交易启动和数据传输风险。20X年份是示例占位，非实际上线日期。
2025年介绍的数字转型支持
原文引用2025年调查，采用至少两种科技方案的实体增加7%，没有明确说七个百分点。介绍Enterprise Singapore的EDG和PSG合资格创新效率支持、会计行业PSG审计管理及执业管理和分析，以及IMDA的CTO-as-a-Service按业务提供免费咨询。这是发布日期描述的计划，不保证现时资格或资助比例。投资应回应能力和质量风险，而非没有控制地采用工具。
官方来源
本文依据官方 PDF 的实质内容独立整理，涵盖相关条件、办理步骤及附录。原文链接用于核对官方措辞；文件日期与后续修订须另行确认。
查看官方 PDF 原文 ↗