IT審計：直面差距找準定位完成跨躍

2014-11-08 20:43:29 大云網　點擊量：評論 (0)

當前，隨著各銀行數據大集中的完成，IT風險也越來越集中。控制IT風險、保證信息系統穩定運行已成為銀行最緊迫的任務。此外，隨著金融監管力度的加大，銀行信息披露制的實施也是當務之急。這些都要求銀行加大對信

當前，隨著各銀行數據大集中的完成，IT風險也越來越集中。控制IT風險、保證信息系統穩定運行已成為銀行最緊迫的任務。此外，隨著金融監管力度的加大，銀行信息披露制的實施也是當務之急。這些都要求銀行加大對信息系統的審計力度。只有建立IT審計機制，由獨立的IT審計師進行信息系統審計，才能形成對信息系統安全的客觀評價。由于信息技術在銀行經營管理領域各個層面的廣泛運用，IT審計也已貫穿在各種審計之中，成為時下銀行業最關注的重要課題。

　　我國銀行業的IT審計尚處于摸索階段，尚缺乏成熟的經驗和案例可供參考，尤其是沒有針對大型數據處理和大型軟件開發的IT審計經驗可以借鑒。有鑒于此，本期我們特別邀請工行及人行IT審計方面的專業人士，對國內外銀行IT審計的具體案例進行剖析研究，就二者的差別及內在成因作深入分析，以此促進IT審計在我國銀行業更健康有序的開展。

　　隨著信息技術在銀行普遍、深入的應用，銀行信息系統的正常運行已經成為銀行業務正常運營的最基本的條件之一，IT運營與公司運營緊密相關，IT治理也與公司治理緊密相連，因此IT審計越來越得到銀行管理層的高度重視。目前，IT審計在國際上是一個相當成熟的領域，發達國家的銀行均建立了完善的信息系統審計體系，而我國才剛剛開始起步。因此，很有必要研究發達國家銀行業的IT審計組織結構和技術架構，解析國內銀行IT審計的現狀及存在的問題，并根據國際經驗與我國實際情況進行差異性分析，最后，找到我國銀行業IT審計的準確定位，由此，實現IT審計在國內銀行業質的飛躍。

　　國外銀行IT審計的特點

　　IT審計部門的獨立性

　　在國際上IT審計部門分為內審與第三方獨立審計兩種。內審由企業內部專設的IT審計機構實施審計，第三方審計則提供獨立的外部審計。國外發達銀行大都設有內部的IT審計部門，IT審計部門獨立于IT部門，由公司控股層直接管理。例如荷蘭銀行和瑞士銀行都在控股公司層面設立了一個審計委員會，審計委員會下設企業中心，集團審計是在控股公司層面的企業中心內，直接由審計委員會管理，IT審計則隸屬于集團審計，獨立于IT部門。

　　國外銀行IT審計的技術和組織框架國外銀行界在IT審計部門基本都根據銀行自身的特點，確定了相應的技術框架。各銀行的IT審計普遍有以下特點：

　　各銀行均根據自己的IT形勢，明確了不同的IT審計的技術領域、范圍。IT審計的范圍基本覆蓋了信息系統建設生命周期中的所有IT活動，包含了各種技術平臺和軟件開發，項目投產，系統遷移、切換、運行維護等全過程。IT審計重點審計IT活動過程中的各個方面，力圖將風險控制在過程中。由于IT已經滲透到銀行業務的各個領域，因此IT審計與業務審計緊密結合，利用IT技術輔助進行業務審計以及將IT與業務緊密結合在一起進行綜合審計，都是IT審計的重要內容。

　　新加坡發展銀行設有專門的IT審計機構，其IT審計包括綜合、技術框架和軟件系統生命周期三個方面。美國大通銀行同樣設有專職的IT審計機構，其IT審計包括系統開發審計、系統切換審計和技術框架審計。花期銀行對新系統的起用、遷移、轉換、合并均由內審部門進行風險審計。花旗集團還根據特殊事件或法規要求的需要，開展專項審計，對項目風險進行評估，如采用新的計算機技術、IT系統轉換及系統發生停運等問題，都要進行審計評價。

　　IT審計人員的比例

　　目前美國商業銀行內部審計人員當中約有30%-50%是IT審計人員。匯豐銀行僅香港分行就配備了30多名IT審計人員。在花旗銀行，由于信息科技已滲透于銀行的各個領域，信息技術已與業務緊密結合在一起，無論作為內部審計的對象，還是內部審計的手段，內部審計人員的工作已難以離開計算機技術支持。即使在這種情況下，花旗銀行專職從事信息科技和計算機輔助審計的人員占全部審計人員的比例也超過20%。

　　IT治理中審計人員的角色

　　IT審計員在IT治理的過程中，他們的活動貫穿在計劃和組織、獲得和實施、交付和支持、監控這幾個領域中，在此過程中始終承擔著評估與評價的職責。計劃和組織域中，內部審計師的關鍵處理是質量管理。它包括對戰略性IT計劃和信息架構的評估，技術方向、IT組織和關系、項目管理和IT投資管理的評價、通知、支持，保證服從外部要求，風險和管理質量的評估等。

　　在獲得和實施域中，內部審計師的角色仍然是評估過程。如對自動化解決辦法的鑒定和評價，獲得和維護應用軟件的評價和支持，獲得和維護技術架構，開發和維護過程、安裝和認證系統的評價，管理變化的評價和支持等。

　　在交付和支持領域，審計要對以下方面進行評估和支持。如定義和管理服務級別、管理第三方服務、管理性能和能力、保證連續性服務、鑒定和分配費用，教育、培訓和支持用戶，管理配置、管理問題和事件、管理數據、管理設備、管理行動等的檢查和評估，保證系統安全的檢查、評估和支持。

　　在監控領域，審計師的角色是監控過程，評價內部控制，獲得獨立保證，提供獨立審計的檢查、評估和支持。

　　國內外銀行IT審計的差異

　　面對我國銀行數據大集中的形勢，銀行已將IT風險作為內部的重要風險之一進行控制。但由于IT審計在我國還剛剛起步，與國外發達銀行比較還存在很大的差異性，主要體現在以下幾個方面：

　　審計覆蓋面上的差異

　　目前我國各大商業銀行在總行內審部門基本上都設立了信息技術審計處，股改后直接向董事會負責，這與國際慣例基本是一致的，體現了銀行最高領導層充分重視IT在銀行中的地位，并將IT風險防范和控制納入到銀行風險控制的戰略高度。目前國際上比較先進的商業銀行無一例外全部開展了GCR(一般控制)和ACR(應用控制)的全方位IT審計。但我國由于信息技術審計工作開展不長，并且人員有限，還未能全面開展一般控制和應用控制的IT審計工作，基本處于一般控制的摸索階段，距國際先進水平還有較大的差距。

　　組織結構和人員上的差異

　　從新加坡發展銀行和美國大通銀行的IT審計組織框架和人員配備上看，IT審計由于涵蓋了軟件開發和項目投產、運行維護的全過程，包含了各種技術平臺、系統生命周期的所有階段，因此IT審計機構設置基本采用在總審計師領導下，與業務審計兩條線并列的模式，人員專業化分工明確，技術水平要求也較高，懂IT技術人員的比例一般占內部審計人員的30%-50%左右。而我國銀行從事信息技術審計工作的員工較少，在人員數量和質量上無論與國際先進水平還是銀行的IT架構相比，均有不小的差距。同時，由于目前內審部門的信息技術審計組織結構不盡完善且人員不足，無法進一步細分審計職能、明確專業審計方向。另外，在審計手段、輔助工具以及系統接口、技術支持等方面的差距更大，需要加強力量研究解決。

　　國外IT審計先進經驗的啟示

　　重視信息科技審計是國際普遍趨勢。隨著商業銀行經營管理活動對信息技術的高度依存，信息科技風險控制已成為商業銀行風險管理的重要內容，并從戰略的角度將IT審計與實現公司治理的總體目標緊密聯系在一起。

　　加強IT審計是國內銀行建設國際一流商業銀行的內在需要。近年，工商銀行信息科技優勢在提升銀行核心競爭力的同時，其系統風險也更加集中，更加突出，任何一點管理上的疏漏或控制上的缺陷，都可能引發巨大的系統災難，給全行帶來無法估量的經濟損失和聲譽損失。因此，進一步加強IT審計就更具有重大的現實意義。

　　加強IT審計是監管當局的外部要求。隨著國內經濟的快速發展和對外開放的逐步擴大，國家相關部門對信息系統的安全問題越來越重視，銀監會、人民銀行、審計署、公安部等國家行政管理部門和外部監管部門對企業內部的信息系統風險控制都提出了一系列要求。因此，工行必須通過加強IT審計來保證全行的信息技術應用對各級監管政策、法規的遵從性。

　　我國銀行要盡快建立健全IT審計架構和規范，從IT治理與公司治理相結合的角度，對銀行的信息系統建設的重大決策，提供評估與評價并進行相關的風險分析，力圖將IT風險控制在過程中，并推進和促進科技管理，預防IT風險。要達到這一目標，可按照國際通用的IT審計標準CO鄄BIT，結合我國銀行的具體實際情況，建立適合我國銀行的IT審計標準和框架。

　　對我國銀行的IT審計應緊緊圍繞銀行的IT技術架構進行，使銀行的IT審計能涵蓋主要的IT活動范圍，因此應建立審計的技術領域框架。該領域至少應包含以下內容：系統運行、操作管理及風險防范，軟件開發生命周期的過程管理和風險評估，新系統投產、切換、遷移、合并的過程管理和風險評估，各種技術平臺的審計，電子銀行等與IT緊密結合的新業務的審計，為業務審計提供IT技術手段和輔助功能，業務與IT緊密結合的綜合審計，各種專項審計及事故評估。

　　我國銀行IT審計的關注點

　　鑒于目前我國銀行信息技術審計組織結構不盡完善和人員數量、質量嚴重不足，遠不能達到對IT進行全面審計的要求，因此，當前我國銀行IT審計工作的重點可定位在以下幾個方面：防范對操作運行風險，具體應針對數據中心整合工程后的生產運行和操作情況，進行專項審計；盡快按照國際標準開展我國銀行IT審計工作標準的制定；加強組織機構建設，充實技術人員并加強培訓；加強IT審計的隊伍建設，IT審計人員的技術背景應覆蓋系統、硬件、網絡、應用等多個方面，同時又具備審計知識和經驗，能將IT技術與審計手段結合運用，這樣才能審計出IT風險。