ITGC主要涵蓋以下內(nèi)容：

一、企業(yè)層面控制（ELC）。主要審查客戶在IT治理方面的組織架構(gòu)合理性及書面管理制度的完善性。具體流程包括獲取客戶的組織結(jié)構(gòu)圖和各類IT管理制度文件，如《IT管理制度》等。

二、系統(tǒng)開發(fā)與變更。關(guān)注系統(tǒng)開發(fā)和后續(xù)小變更中的控制流程。具體審計程序包括獲取系統(tǒng)開發(fā)及變更相關(guān)的管理制度，如《系統(tǒng)開發(fā)制度》和《系統(tǒng)變更管理制度》等，并審查開發(fā)流程是否經(jīng)過需求提出、可行性研究、領(lǐng)導(dǎo)層審批等環(huán)節(jié)，以及系統(tǒng)測試、上線過程是否充分。還需獲取關(guān)鍵的內(nèi)控痕跡和表單，如需求報告、可行性報告、立項審批單等。在系統(tǒng)變更方面，需關(guān)注重要的變更審批單，并進行抽樣檢查。

三、操作系統(tǒng)及數(shù)據(jù)庫控制。主要檢查操作系統(tǒng)和數(shù)據(jù)庫的安全性，包括密碼保護、登錄界面截圖作為審計證據(jù)、安全配置和用戶權(quán)限管理等。審計時需檢查操作系統(tǒng)和數(shù)據(jù)庫的安全配置，如密碼復(fù)雜度要求、定期更改密碼、日志記錄及復(fù)核等。還需關(guān)注用戶權(quán)限管理是否按照角色進行分配，特別是超級管理員的權(quán)限。

四、應(yīng)用系統(tǒng)控制。關(guān)注點與操作系統(tǒng)及數(shù)據(jù)庫控制相似，但應(yīng)用系統(tǒng)多種多樣，如銀行的綜合業(yè)務(wù)系統(tǒng)、國際結(jié)算系統(tǒng)等。審計時需根據(jù)應(yīng)用系統(tǒng)的特點進行安全配置和用戶權(quán)限的審查。對于財審的ITAC審計，需具體情況具體分析設(shè)計。

五、接口控制與信息安全。主要審查系統(tǒng)間的數(shù)據(jù)交互準確性和完整性，以及信息安全措施，如網(wǎng)絡(luò)管理制度、防火墻結(jié)構(gòu)等。審計時需檢查系統(tǒng)中是否有自動核對機制，以確保數(shù)據(jù)的準確性和完整性。還需關(guān)注信息安全措施的有效性。

IT審計的工作內(nèi)容主要分為兩部分：一是支持財審進行具體余額的審計，另一部分是IT一般控制（ITGC）。在ITGC方面，主要關(guān)注企業(yè)層面控制、系統(tǒng)開發(fā)和變更、系統(tǒng)和數(shù)據(jù)庫控制、應(yīng)用系統(tǒng)控制以及接口控制與信息安全等方面的工作。在進行IT審計時，審計人員需要采用多種方法，如看圖法、觀察法等，以全面準確地審查信息系統(tǒng)的策劃、開發(fā)、使用維護等相關(guān)活動和產(chǎn)物的真實性和有效性。隨著IT技術(shù)的不斷發(fā)展，IT審計行業(yè)也在不斷進步，對于有興趣并愿意深耕這個領(lǐng)域的人士來說，這是一個充滿機遇和挑戰(zhàn)的職業(yè)選擇。