申論題

雖然實務指引公報已發布16年餘，但一般控制的基本精神並未改變。根據我國審計實務指引第2號「風險評估與內部控制－電腦資訊系統之特性及考量」第9條規定，電腦資訊系統一般控制之目的係建立對電腦資訊系統作業之控制架構，以合理確保內部控制整體目標之達成，因此，查核人員在測試應用控制有效性前應先測試一般控制之有效性。電腦資訊系統之一般控制通常包括：

1. 組織及管理控制─建立電腦資訊系統作業之組織架構，包括：

(1) 管理控制相關職能之政策及程序。

(2) 職能之適當分工，例如交易輸入、程式設計及電腦操作應由不同人員執行。

2. 應用系統開發與維護控制─通常須對下列事項建立控制程序，以合理確保系統開發與維護之授權及效率：

(1) 新系統或更新系統之測試、轉換、導入及其相關文件之記錄。

(2) 應用系統之變更。

(3) 系統文件之存取。

(4) 外購或委外開發之應用系統。

3. 電腦操作控制─建立系統操作之控制程序以合理確保下列事項：

(1) 系統僅在經授權之目的下使用。

(2) 僅經授權之人員可操作電腦。

(3) 僅可使用經授權之程式。

(4) 處理之錯誤可被偵測並更正。

4. 系統軟體控制─對下列事項建立控制程序，以合理確保系統軟體取得與開發之授權及效率：

(1) 新系統軟體或修改系統軟體之授權、核准、測試、導入及其相關文件之記錄。

(2) 經授權之人員可存取系統軟體及相關文件之限制。

5. 資料輸入及程式控制─建立控制程序以合理確保下列事項：

(1) 輸入系統之交易業經適當授權。

(2) 僅經授權之人員可存取資料及程式。