信息科技風(fēng)險(xiǎn)審計(jì)

方法及過程

——摘自北京時(shí)代新威信息技術(shù)有限公司《信息科技風(fēng)險(xiǎn)審計(jì)戰(zhàn)略部署》

為幫助銀行客戶滿足銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)審計(jì)管理指引》等相關(guān)監(jiān)管要求，同時(shí)進(jìn)一步加強(qiáng)信息技術(shù)建設(shè)，全面強(qiáng)化風(fēng)險(xiǎn)管理，越來越多的企業(yè)已經(jīng)開始為多家銀行提供信息科技風(fēng)險(xiǎn)審計(jì)服務(wù)了，本文就是北京時(shí)代新威信息技術(shù)有限公司（以下簡稱時(shí)代新威）內(nèi)部人員總結(jié)出的對(duì)于信息科技風(fēng)險(xiǎn)審計(jì)的方法及過程。

信息科技風(fēng)險(xiǎn)審計(jì)范圍：

一）信息科技治理二）信息科技風(fēng)險(xiǎn)管理三）信息安全四）信息系統(tǒng)開發(fā)測試和維護(hù)五）信息科技運(yùn)行六）業(yè)務(wù)連續(xù)性管理七）外包八）內(nèi)部審計(jì)九）外部審計(jì)信息科技風(fēng)險(xiǎn)審計(jì)之

——信息科技治理

信息科技治理是指對(duì)現(xiàn)代信息技術(shù)如通訊技術(shù)，信息處理技術(shù)、控制技術(shù)等的科學(xué)管理活動(dòng)和過程。時(shí)代新威的審計(jì)專家指出，“它是以信息服務(wù)業(yè)務(wù)的開展與社會(huì)的實(shí)際需要作為依據(jù)，組織好各種信息技術(shù)的開發(fā)和應(yīng)用，并對(duì)信息技術(shù)進(jìn)行標(biāo)準(zhǔn)化、規(guī)范化管理。”

信息科技治理戰(zhàn)略必須要解決下述主要問題：

（1）保證構(gòu)造合理的信息系統(tǒng)結(jié)構(gòu)并將其實(shí)現(xiàn)。（2）保證新系統(tǒng)開發(fā)方式可以滿足企業(yè)長期維護(hù)的目標(biāo)。（3）保證內(nèi)部和外部采購的決策能得到認(rèn)真的考慮。（4）決定信息技術(shù)運(yùn)行是由一個(gè)部門管理還是分成一系列小單元管理，按照小單元進(jìn)行管理雖然成本高，但是能為用戶提供更好的服務(wù)。

信息科技風(fēng)險(xiǎn)審計(jì)之

——信息科技風(fēng)險(xiǎn)管理

信息科技是指計(jì)算機(jī)、通信、微電子和軟件工程等現(xiàn)代信息技術(shù)，在商業(yè)銀行業(yè)務(wù)交易處理、經(jīng)營管理和內(nèi)部控制等方面的應(yīng)用，并包括進(jìn)行信息科技治理，建立完整的管理組織架構(gòu)，制訂完善的管理制度和流程。在風(fēng)險(xiǎn)管理方面，北京時(shí)代新威信息技術(shù)有限公司與許多商業(yè)銀行都有合作成功的案例，其工作內(nèi)容可總結(jié)為以下兩點(diǎn)。

信息科技風(fēng)險(xiǎn)，是指信息科技在商業(yè)銀行運(yùn)用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)。

信息科技風(fēng)險(xiǎn)管理的目標(biāo)是通過建立有效的機(jī)制，實(shí)現(xiàn)對(duì)商業(yè)銀行信息科技風(fēng)險(xiǎn)的識(shí)別、計(jì)量、監(jiān)測和控制，促進(jìn)商業(yè)銀行安全、持續(xù)、穩(wěn)健運(yùn)行，推動(dòng)業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平，增強(qiáng)核心競爭力和可持續(xù)發(fā)展能力。信息科技風(fēng)風(fēng)險(xiǎn)審計(jì)之之——信息安全信息安全主主要包括以以下五方面面的內(nèi)容，，即需保證證信息的保保密性、真真實(shí)性、完完整性、未未授權(quán)拷貝貝和所寄生生系統(tǒng)的安安全性。信信息安全本本身包括的的范圍很大大，其中包包括如何防防范商業(yè)企企業(yè)機(jī)密泄泄露、防范范青少年對(duì)對(duì)不良信息息的瀏覽、、個(gè)人信息息的泄露等等。網(wǎng)絡(luò)環(huán)境下下的信息安安全體系是是保證信息息安全的關(guān)關(guān)鍵，包括括計(jì)算機(jī)安安全操作系系統(tǒng)、各種種安全協(xié)議議、安全機(jī)機(jī)制（數(shù)字字簽名、消消息認(rèn)證、、數(shù)據(jù)加密密等），直直至安全系系統(tǒng)，如UniNAC、DLP等，只要存存在安全漏漏洞便可以以威脅全局局安全。信息安全是是指信息系系統(tǒng)（包括括硬件、軟軟件、數(shù)據(jù)據(jù)、人、物物理環(huán)境及及其基礎(chǔ)設(shè)設(shè)施）受到到保護(hù)，不不受偶然的的或者惡意意的原因而而遭到破壞壞、更改、、泄露，系系統(tǒng)連續(xù)可可靠正常地地運(yùn)行，信信息服務(wù)不不中斷，最最終實(shí)現(xiàn)業(yè)業(yè)務(wù)連續(xù)性性。信息科技風(fēng)風(fēng)險(xiǎn)審計(jì)之之——信息系統(tǒng)開開發(fā)測試和和維護(hù)信息系統(tǒng)是是一個(gè)以人人為主導(dǎo)，，吸取經(jīng)驗(yàn)和遵照規(guī)規(guī)律并重，，利用適合合的信息技技術(shù)以及相應(yīng)設(shè)設(shè)備，根據(jù)據(jù)相應(yīng)的業(yè)業(yè)務(wù)模型和和數(shù)學(xué)模型，進(jìn)進(jìn)行信息的的收集、傳傳輸、加工工、儲(chǔ)存、更新新和維護(hù)，，以提高組組織的效益益和效率為目的的，支持組組織的高層層決策、中中層控制、基層層運(yùn)作的集集成化的人人機(jī)系統(tǒng)。。信息系統(tǒng)開開發(fā)維護(hù)是是為了使信信息系統(tǒng)處開合用狀狀態(tài)而采取取的一系列列措施，目目的是糾正錯(cuò)誤誤和改進(jìn)功功能，保證證信息系統(tǒng)統(tǒng)正常工作，有有以下四種種類型：改改正性維護(hù)護(hù)，適應(yīng)性維護(hù)護(hù)，完善性性維護(hù)，預(yù)預(yù)防性維護(hù)護(hù)。信息科技風(fēng)風(fēng)險(xiǎn)審計(jì)之之——信息科技運(yùn)運(yùn)行良好的信息息科技運(yùn)行行必須在設(shè)設(shè)計(jì)階段就就開始考慮。。用戶、負(fù)負(fù)責(zé)信息科科技系統(tǒng)運(yùn)運(yùn)行的人應(yīng)該參與與信息系統(tǒng)統(tǒng)開發(fā)的設(shè)設(shè)計(jì)階段，，這樣信息科技的的運(yùn)行問題題在一開始始就可以得得到足夠的重視。。在工作中往往往最容易易忽略的就就是硬件失失敗、程序序非正常退退出、文檔檔說明和支支持不足等等問題。設(shè)設(shè)計(jì)階段要要保證防止止用戶使用用錯(cuò)誤的快快捷方式，，還要考慮慮新、老系系統(tǒng)轉(zhuǎn)換的的細(xì)節(jié)。如如果是購買買其他公司司提供的軟軟件包，問問題就會(huì)更更加復(fù)雜。。時(shí)代新威威的信息技技術(shù)專家在在工作中要要求格外強(qiáng)強(qiáng)調(diào)注意這這一系列問問題，也就就避免了很很多不必要要的失誤和和麻煩。信息科技運(yùn)運(yùn)行戰(zhàn)略必必須要解決決下述主要要問題：（1）保證構(gòu)造造合理的信信息系統(tǒng)結(jié)結(jié)構(gòu)并將其其實(shí)現(xiàn)。（2）保證新系系統(tǒng)開發(fā)方方式可以滿滿足企業(yè)長長期維護(hù)的的目標(biāo)。（3）保證內(nèi)部部和外部采采購的決策策能得到認(rèn)認(rèn)真的考慮慮。（4）決定信息息技術(shù)運(yùn)行行是由一個(gè)個(gè)部門管理理還是分成成一系列小小單元管理理，按照小小單元進(jìn)行行管理雖然然成本高，，但是能為為用戶提供供更好的服服務(wù)。信息科技風(fēng)風(fēng)險(xiǎn)審計(jì)之之——業(yè)務(wù)連續(xù)性性管理業(yè)務(wù)連續(xù)性性管理（BusinessContinuityManagement，簡稱BCM），是一項(xiàng)項(xiàng)綜合管理理流程，它它使企業(yè)認(rèn)認(rèn)識(shí)到潛在在的危機(jī)和和相關(guān)影響響，制訂響響應(yīng)、業(yè)務(wù)務(wù)和連續(xù)性性的恢復(fù)計(jì)計(jì)劃，其總總體目標(biāo)是是為了提高高企業(yè)的風(fēng)風(fēng)險(xiǎn)防范能能力，以有有效地響應(yīng)應(yīng)非計(jì)劃的的業(yè)務(wù)破壞壞并降低不不良影響。。業(yè)務(wù)連續(xù)性性管理系統(tǒng)統(tǒng)（BCMS）是經(jīng)常進(jìn)進(jìn)行的活動(dòng)動(dòng)的集合，，業(yè)務(wù)連續(xù)續(xù)性管理支支持企業(yè)業(yè)業(yè)務(wù)連續(xù)性性管理活動(dòng)動(dòng)，也支持持技術(shù)災(zāi)難難恢復(fù)活動(dòng)動(dòng)。這些可可以包括項(xiàng)項(xiàng)目規(guī)劃和和管理、人人員配備、、計(jì)劃、預(yù)預(yù)測、預(yù)算算編制、研研究和開發(fā)發(fā)、資源管管理、通信信、會(huì)議、、教育活動(dòng)動(dòng)、宣傳和和促銷活動(dòng)動(dòng)、活動(dòng)網(wǎng)網(wǎng)站、績效效評(píng)估活動(dòng)動(dòng)、按天進(jìn)進(jìn)行處理查查詢和許多多其他活動(dòng)動(dòng)。業(yè)務(wù)連續(xù)性性管理也有有利于多種種項(xiàng)目性的活動(dòng)，業(yè)業(yè)務(wù)連續(xù)性性管理執(zhí)行行業(yè)務(wù)影響響分析和風(fēng)險(xiǎn)分分析、進(jìn)行行評(píng)估、制制定并記錄錄BC/DR計(jì)劃、規(guī)劃劃和執(zhí)行BC/DR演練、準(zhǔn)備備和進(jìn)行應(yīng)急隊(duì)隊(duì)伍培訓(xùn)、、準(zhǔn)備記錄錄事件響應(yīng)應(yīng)計(jì)劃，并設(shè)計(jì)計(jì)BC/DR策略。信息科技風(fēng)風(fēng)險(xiǎn)審計(jì)之之——外包外包是指企企業(yè)動(dòng)態(tài)地地配置自身身和其他企業(yè)的功能能和服務(wù)，，并利用企企業(yè)外部的的資源為企業(yè)內(nèi)內(nèi)部的生產(chǎn)產(chǎn)和經(jīng)營服服務(wù)。外包包是一個(gè)戰(zhàn)略管管理模型，，舉例來說說，一個(gè)生生產(chǎn)企業(yè)，如果果為了原材材料及產(chǎn)品品運(yùn)輸而組組織一個(gè)車隊(duì)，，在兩個(gè)方方面其成本本會(huì)大大增增加。第一，管理理成本增加加，因?yàn)樗谶\(yùn)輸領(lǐng)領(lǐng)域不具備備管理經(jīng)驗(yàn)驗(yàn)。第二，因管管理不善，，運(yùn)輸環(huán)節(jié)節(jié)嚴(yán)重影響生產(chǎn)和銷銷售環(huán)節(jié)的的工作，從從而導(dǎo)致生生產(chǎn)和銷售環(huán)節(jié)節(jié)的成本增增加。如果果把運(yùn)輸業(yè)業(yè)務(wù)外包給專業(yè)業(yè)的運(yùn)輸企企業(yè)，則可可以大幅度度降低上述成本本。這些就是時(shí)時(shí)代新威的的工作人員員根據(jù)日常常工作的實(shí)實(shí)際案例總總結(jié)出的關(guān)關(guān)于外包的的重點(diǎn)利弊弊，也是外外包工作中中必須引起起注意的地地方。另一方面，，企業(yè)也因因市場競爭爭的激烈面面臨巨大的的挑戰(zhàn)。。外包方式主主要有合同同業(yè)務(wù)管理理方式（BMC）和委托方方式。合同業(yè)務(wù)管管理方式純純粹是一種種外包方購購買第三方方服務(wù)模式式，第三方方（承包方方）負(fù)責(zé)全全部或大部部分投資和和業(yè)務(wù)管理理工作，并并承擔(dān)投資資風(fēng)險(xiǎn)；外外包方只根根據(jù)第三方方完成業(yè)務(wù)務(wù)的績效和和合同約束束則購買服服務(wù)，不用用負(fù)責(zé)第三三方的投資資風(fēng)險(xiǎn)；合合同終止則則合作終止止。信息科技風(fēng)風(fēng)險(xiǎn)審計(jì)之之——內(nèi)部審計(jì)時(shí)代新威風(fēng)風(fēng)險(xiǎn)審計(jì)專專家對(duì)于內(nèi)內(nèi)部審計(jì)的的定義是：：對(duì)組織中中各類業(yè)務(wù)務(wù)和控制進(jìn)進(jìn)行獨(dú)立評(píng)評(píng)價(jià)，以確確定是否遵遵循公認(rèn)的的方針和程程序，是否否符合規(guī)定定和標(biāo)準(zhǔn)，，是否有效效和經(jīng)濟(jì)的的使用了資資源，是否否在實(shí)現(xiàn)組組織目標(biāo)。。審計(jì)人員在在進(jìn)行審計(jì)計(jì)時(shí),常使用不同同的審計(jì)方法法,有時(shí)同時(shí)時(shí)結(jié)合幾幾種審計(jì)計(jì)方法進(jìn)進(jìn)行審計(jì)。實(shí)際操作作中內(nèi)部部審計(jì)方方法有多多種，現(xiàn)現(xiàn)總結(jié)整整理如下下（詳情參參考時(shí)代代新威信信息科技技風(fēng)險(xiǎn)審審計(jì)之內(nèi)內(nèi)部審計(jì)計(jì)）一、詢問問法也稱稱為訪談?wù)劮ㄊ侵笇徲?jì)計(jì)人員與與被審計(jì)計(jì)單位或或有關(guān)人人員進(jìn)行面對(duì)對(duì)面交談?wù)?，以了了解有關(guān)關(guān)情況、、收集審審計(jì)證據(jù)的的一種方方法。詢問法的的使用范范圍包括括：在計(jì)劃階階段中了了解情況況，實(shí)施施階段時(shí)時(shí)收集證據(jù)，，報(bào)告階階段相互互溝通情情況等。。內(nèi)審人人員在實(shí)施時(shí)時(shí)要注意意同時(shí)要要有兩名名審計(jì)人人中在場場。二、審核核法審核核法是指指對(duì)會(huì)計(jì)計(jì)記錄和和其他書面面文章進(jìn)進(jìn)行審閱閱與核對(duì)對(duì)，這方方面占審計(jì)計(jì)工作的的比重比比較大。。它主要要在查閱會(huì)會(huì)計(jì)資料料、預(yù)算算、計(jì)劃劃、會(huì)議議記錄及各各種規(guī)章章制度等等資料使使用。信息科技技風(fēng)險(xiǎn)審審計(jì)之——外部審計(jì)計(jì)外部審計(jì)計(jì)是指獨(dú)獨(dú)立于政府機(jī)關(guān)關(guān)和企事事業(yè)單位位以外的國家家審計(jì)機(jī)機(jī)構(gòu)所進(jìn)進(jìn)行的審計(jì)，，以及獨(dú)獨(dú)立執(zhí)行行業(yè)務(wù)會(huì)計(jì)師師事務(wù)所所接受委委托進(jìn)行的審審計(jì)。外部審計(jì)計(jì)實(shí)際上上是對(duì)企企業(yè)內(nèi)部部虛假、、欺騙行為為的一個(gè)個(gè)重要而而系統(tǒng)的的檢查，，因此起著鼓勵(lì)勵(lì)誠實(shí)的的作用：：由于知知道外部部審計(jì)不可避免免地要進(jìn)進(jìn)行，企企業(yè)就會(huì)會(huì)努力避避免做那些在審審計(jì)時(shí)可可能會(huì)被被發(fā)現(xiàn)的的不光彩彩的事。。我國財(cái)政政、銀行行、稅務(wù)務(wù)部門為為了做好好其本職職工作,而對(duì)其管管轄區(qū)各各單位的的業(yè)務(wù)(如稅利上上繳和信信貸資金金使用情情況等)所進(jìn)行的的檢查,不屬于審審計(jì),更談不上上是外部部審計(jì),而只是經(jīng)經(jīng)濟(jì)監(jiān)督督中的財(cái)財(cái)政監(jiān)督督、稅務(wù)務(wù)監(jiān)督和和信貸監(jiān)監(jiān)督。外部審計(jì)計(jì)包括國國家審計(jì)計(jì)和社會(huì)會(huì)審計(jì)。。國家審計(jì)計(jì)是指由由國家審審計(jì)機(jī)關(guān)關(guān)所實(shí)施施的審計(jì)計(jì)。國家家審計(jì)的的主體是是審計(jì)署署以及各各省、、市、自自治區(qū)、、縣設(shè)立立的審計(jì)計(jì)機(jī)關(guān)，，對(duì)被審審計(jì)單位位的財(cái)務(wù)務(wù)財(cái)政活活動(dòng)、執(zhí)執(zhí)行財(cái)經(jīng)經(jīng)法紀(jì)情情況以及及經(jīng)濟(jì)效效益性進(jìn)進(jìn)行審審計(jì)監(jiān)督督。社會(huì)審計(jì)計(jì)是指由由經(jīng)政府府有關(guān)部部門審核核批準(zhǔn)的的社會(huì)中中介機(jī)構(gòu)構(gòu)進(jìn)行的的審計(jì)，，其主體體是注冊冊會(huì)計(jì)師師。內(nèi)部審計(jì)計(jì)和外部部審計(jì)的的聯(lián)系：：內(nèi)部審計(jì)計(jì)和外部部審計(jì)總總體目標(biāo)標(biāo)是一致致的,兩者均是是審計(jì)計(jì)監(jiān)督體體系的有有機(jī)組成成部門。。內(nèi)部審審計(jì)具有有預(yù)防性性、經(jīng)常常性和針針對(duì)性,是外部審審計(jì)的基基礎(chǔ),對(duì)外部審審計(jì)能能起輔助助和補(bǔ)充充作用;而外部審審計(jì)對(duì)內(nèi)內(nèi)部審計(jì)計(jì)又能起起到支持持和指導(dǎo)導(dǎo)作用。。由于內(nèi)內(nèi)部審計(jì)計(jì)機(jī)構(gòu)和和外部審審計(jì)機(jī)構(gòu)構(gòu)所處處的地位位不同,它們在獨(dú)獨(dú)立性、、強(qiáng)制性性、權(quán)威威性和公公證作用用方面又又有較大大的差別別。以上就是是信息科科技審計(jì)計(jì)所包括括的具體范圍，，既然了了解了它它都包括括那些方方面。下面我們們來看一一下時(shí)代代新威內(nèi)內(nèi)部總結(jié)結(jié)關(guān)于信信息科技技審計(jì)具具體的方方法及過過程。信息科技技風(fēng)險(xiǎn)審審計(jì)過程程簡略圖圖：1.信息科技技風(fēng)險(xiǎn)審審計(jì)準(zhǔn)備備1）審計(jì)準(zhǔn)準(zhǔn)備2）審計(jì)方方案3）審計(jì)計(jì)計(jì)劃1）審計(jì)準(zhǔn)準(zhǔn)備：a.明確審計(jì)計(jì)任務(wù)，，確定審審計(jì)重點(diǎn)點(diǎn)b.編制審計(jì)計(jì)計(jì)劃審計(jì)計(jì)劃劃分為總總體審計(jì)計(jì)計(jì)劃和和具體審審計(jì)計(jì)劃。2）審計(jì)方方案：審計(jì)方案案是對(duì)具具體審計(jì)計(jì)項(xiàng)目的的審計(jì)程程序及其其時(shí)間等等所做出出的詳細(xì)細(xì)安排。。a、具體審計(jì)計(jì)目的。具體審計(jì)目目的是對(duì)總總體審計(jì)的的細(xì)化，直直接用以指指導(dǎo)具體審審計(jì)方法及及程序。b、具體審計(jì)計(jì)方法和程程序。c、預(yù)定的執(zhí)執(zhí)行人及執(zhí)執(zhí)行日期。。d、其他有關(guān)關(guān)內(nèi)容。3）審計(jì)計(jì)劃劃：是指注冊會(huì)會(huì)計(jì)師為了了完成各項(xiàng)項(xiàng)審計(jì)業(yè)務(wù)務(wù)，達(dá)到預(yù)期的的審計(jì)目標(biāo)標(biāo)，在具體體執(zhí)行審計(jì)計(jì)程序之前編制制的工