信息技術審計是評估和審查組織的信息技術系統，以確保其安全性、完整性和可靠性。在評估內部控制的有效性時，信息技術審計通常會采取以下步驟：
1. 確定內部控制目標：審計人員首先需要了解組織的內部控制目標，包括保護資產、確保數據的準確性和完整性、促進操作效率等。
2. 識別風險：審計人員需要識別潛在的信息技術風險，例如系統漏洞、未經授權的訪問、數據泄露等。
3. 評估控制措施：審計人員會評估組織已實施的信息技術控制措施，包括訪問控制、數據備份、網絡安全等，以確定這些控制措施是否足以應對已識別的風險。
4. 進行測試：審計人員會進行測試，例如模擬攻擊、審查日志記錄等，以驗證控制措施的有效性和符合性。
5. 提出建議：根據審計結果，審計人員會提出改進建議，幫助組織改進信息技術內部控制，提高其有效性。

總的來說，信息技術審計通過識別風險、評估控制措施、進行測試和提出建議等步驟，來評估內部控制的有效性，幫助組織保護信息資產并提高信息技術系統的安全性和可靠性。