报告概述
该报告是ISACA ITAF框架的配套执行准则，专门针对信息技术审计抽样提供指导。报告详细阐述了审计抽样的基本概念、方法选择、样本设计、样本选择、结果评价以及文档记录的全流程。它覆盖了统计抽样、非统计抽样、数据驱动抽样和混合方法，并探讨了如何使用人工智能和机器学习技术提升抽样效率。报告还明确了不适合抽样的情况，如数据限制或自动化替代方案。读者可以借此建立系统化的IT审计抽样知识体系，提升审计证据的可靠性和效率。
报告的核心结论
抽样方法应基于审计目标和风险水平选择
报告指出，从业人员应根据审计目标、风险评估和数据特征选择统计、非统计或数据驱动抽样方法。统计抽样适用于需要量化推断和衡量抽样风险的情况；非统计抽样适合有针对性的探索性测试；数据驱动抽样则利用自动化工具提高覆盖范围和精确度。正确的方法选择是确保审计结论可靠性的基础。
样本设计需综合考虑总体完整性和分层策略
有效的样本设计要求明确审计目的、定义并验证抽样总体，以及应用分层方法优化设计。分层可以将总体划分为具有相似特征的子群体，集中测试高风险或高变异性领域，同时减少样本量。报告还强调必须确认数据来源的完整性，并使用数据分析工具动态执行分层，以提高代表性。
抽样风险应与审计风险模型保持一致
报告认为，抽样风险（误受风险和误拒风险）应纳入整体审计风险模型考虑。当固有风险或控制风险较高时，应采用更大样本或增强数据分析；风险较低时，较小样本即可。通过动态评估控制效果和数据可靠性，从业人员可以更精确地控制检测风险，确保审计结论的合理保证水平。
AI和机器学习技术能提升抽样效率但需治理
报告承认AI和ML技术在识别异常、集群模式和高风险交易方面有显著优势，但强调必须遵循合乎伦理、透明、治理完善的原则。模型需要验证准确性和偏见，保留审计轨迹，并维持专业判断。从业者应使用ISACA框架和全球指南指导AI在审计抽样中的负责任使用。
文档记录是抽样质量保证的关键
报告要求从业人员详细记录抽样目标、方法、参数、工具和结果，使其他合格专业人员能够理解、评价并复现抽样过程。文档应包含样本设计理由、数据验证步骤、测试结果及结论。对于自动化工具，还需记录脚本、参数配置和环境信息，以建立透明、可追溯的审计轨迹。
报告回答的关键问题
什么是信息技术审计抽样？
信息技术审计抽样是指对总体中低于100%的项目实施审计程序，以获取有关总体特征的证据。当无法或不必全面审查所有可用信息时，审计抽样是一种高效的方法。报告详细解释了抽样在IT审计中的应用场景，包括一般控制、应用控制和网络安全审查，并强调抽样结果必须具有代表性和可靠性。
如何选择统计抽样和非统计抽样？
选择方法取决于审计目标、风险水平和总体特征。统计抽样使用概率原则（如随机、分层），适用于需要量化推断和测量抽样风险的情况，结论可推断到总体。非统计抽样依靠专业判断，适合有针对性或探索性测试，但不能推断总体结论。报告还介绍了数据驱动抽样和混合方法，以应对大数据环境下的审计需求。
审计抽样中如何应用人工智能？
AI和机器学习可用于识别异常、集群和高风险交易，提高抽样效率和精确度。从业人员应先验证模型的准确性和公平性，确保数据治理和控制措施到位。报告建议使用负责任AI原则，记录模型逻辑和参数，并定期监控模型漂移。AI生成的洞察应支持而非替代专业判断，且必须保留可复现的审计轨迹。
什么时候不适合使用审计抽样？
当存在证据或数据限制（如日志不完整）、自动化工具可全面测试、总体量小或同质化、高风险项目需全面测试时，抽样可能不适用。报告指出，持续审计工具、针对性数据分析或嵌入式控制评估可能是更合适的替代方案。从业人员应运用专业判断，选择最能实现审计目标的方法。
完整报告包含什么
- 章节1 简介：阐述准则2208的目的、与ITAF的关系、应用范围和技术更新，强调本准则旨在帮助从业人员在日益数字化的环境中应用数据驱动的有效抽样方法。
- 章节2 执行准则：详细分节介绍抽样的基本概念（何时使用或避免抽样）、样本设计（包括合规性与实质性测试的区别）、样本选择方法（统计、非统计及数据驱动）、抽样结果评价（误差分析和推断）以及文档记录要求。
- 附录A 相关标准：列出与抽样准则相关的ISACA标准公告，如业务熟练、规划中的风险评估、执行与监督、证据等，帮助从业人员理解准则的合规依据。
- 附录B 相关准则：对应ITAF框架中其他相关准则的编号，便于交叉引用，如2201规划中的风险评估、2205证据等。
- 附录C 术语和定义：提供关键术语如属性抽样、非统计抽样、分层抽样、可容忍误差等的明确释义，确保术语使用的一致性。
- 关于AI和机器学习抽样的专题指导：详细说明如何将AI/ML技术应用于审计抽样，包括模型治理、验证和透明度要求，以及与传统方法的整合。
- 基于云的动态数据环境抽样指南：针对云环境中数据频繁变化的特点，提供快照采集、时间戳记录、提取验证等具体操作建议，并涉及替代证据来源（如SOC报告）。
本页内容由川海智库整理，用于帮助读者快速了解报告主题、核心观点和主要内容。由于报告量大、人工能力有限，部分观点、数据、统计口径或表述可能存在偏差，具体内容请以完整报告原文为准。
