我國銀行業(yè)的IT審計尚處于摸索階段，尚缺乏成熟的經(jīng)驗和案例可供參考，尤其是沒有針對大型數(shù)據(jù)處理和大型軟件開發(fā)的IT審計經(jīng)驗可以借鑒。有鑒于此，本期我們特別邀請工行及人行IT審計方面的專業(yè)人士，對國內(nèi)外銀行IT審計的具體案例進(jìn)行剖析研究，就二者的差別及內(nèi)在成因作深入分析，以此促進(jìn)IT審計在我國銀行業(yè)更健康有序的開展。

 

　　隨著信息技術(shù)在銀行普遍、深入的應(yīng)用，銀行信息系統(tǒng)的正常運(yùn)行已經(jīng)成為銀行業(yè)務(wù)正常運(yùn)營的最基本的條件之一，IT運(yùn)營與公司運(yùn)營緊密相關(guān)，IT治理也與公司治理緊密相連，因此IT審計越來越得到銀行管理層的高度重視。目前，IT審計在國際上是一個相當(dāng)成熟的領(lǐng)域，發(fā)達(dá)國家的銀行均建立了完善的信息系統(tǒng)審計體系，而我國才剛剛開始起步。因此，很有必要研究發(fā)達(dá)國家銀行業(yè)的IT審計組織結(jié)構(gòu)和技術(shù)架構(gòu)，解析國內(nèi)銀行IT審計的現(xiàn)狀及存在的問題，并根據(jù)國際經(jīng)驗與我國實際情況進(jìn)行差異性分析，最后，找到我國銀行業(yè)IT審計的準(zhǔn)確定位，由此，實現(xiàn)IT審計在國內(nèi)銀行業(yè)質(zhì)的飛躍。

 

　　國外銀行IT審計的特點

 

　　IT審計部門的獨(dú)立性

 

　　在國際上IT審計部門分為內(nèi)審與第三方獨(dú)立審計兩種。內(nèi)審由企業(yè)內(nèi)部專設(shè)的IT審計機(jī)構(gòu)實施審計，第三方審計則提供獨(dú)立的外部審計。國外發(fā)達(dá)銀行大都設(shè)有內(nèi)部的IT審計部門，IT審計部門獨(dú)立于IT部門，由公司控股層直接管理。例如荷蘭銀行和瑞士銀行都在控股公司層面設(shè)立了一個審計委員會，審計委員會下設(shè)企業(yè)中心，集團(tuán)審計是在控股公司層面的企業(yè)中心內(nèi)，直接由審計委員會管理，IT審計則隸屬于集團(tuán)審計，獨(dú)立于IT部門。

 

　　國外銀行IT審計的技術(shù)和組織框架

 

　　國外銀行界在IT審計部門基本都根據(jù)銀行自身的特點，確定了相應(yīng)的技術(shù)框架。各銀行的IT審計普遍有以下特點：

 

　　各銀行均根據(jù)自己的IT形勢，明確了不同的IT審計的技術(shù)領(lǐng)域、范圍。IT審計的范圍基本覆蓋了信息系統(tǒng)建設(shè)生命周期中的所有IT活動，包含了各種技術(shù)平臺和軟件開發(fā)，項目投產(chǎn)，系統(tǒng)遷移、切換、運(yùn)行維護(hù)等全過程。IT審計重點審計IT活動過程中的各個方面，力圖將風(fēng)險控制在過程中。由于IT已經(jīng)滲透到銀行業(yè)務(wù)的各個領(lǐng)域，因此IT審計與業(yè)務(wù)審計緊密結(jié)合，利用IT技術(shù)輔助進(jìn)行業(yè)務(wù)審計以及將IT與業(yè)務(wù)緊密結(jié)合在一起進(jìn)行綜合審計，都是IT審計的重要內(nèi)容。

 

　　新加坡發(fā)展銀行設(shè)有專門的IT審計機(jī)構(gòu)，其IT審計包括綜合、技術(shù)框架和軟件系統(tǒng)生命周期三個方面。美國大通銀行同樣設(shè)有專職的IT審計機(jī)構(gòu)，其IT審計包括系統(tǒng)開發(fā)審計、系統(tǒng)切換審計和技術(shù)框架審計。花期銀行對新系統(tǒng)的起用、遷移、轉(zhuǎn)換、合并均由內(nèi)審部門進(jìn)行風(fēng)險審計。花旗集團(tuán)還根據(jù)特殊事件或法規(guī)要求的需要，開展專項審計，對項目風(fēng)險進(jìn)行評估，如采用新的計算機(jī)技術(shù)、IT系統(tǒng)轉(zhuǎn)換及系統(tǒng)發(fā)生停運(yùn)等問題，都要進(jìn)行審計評價。

 

　IT審計人員的比例

 

　　目前美國商業(yè)銀行內(nèi)部審計人員當(dāng)中約有30%-50%是IT審計人員。匯豐銀行僅香港分行就配備了30多名IT審計人員。在花旗銀行，由于信息科技已滲透于銀行的各個領(lǐng)域，信息技術(shù)已與業(yè)務(wù)緊密結(jié)合在一起，無論作為內(nèi)部審計的對象，還是內(nèi)部審計的手段，內(nèi)部審計人員的工作已難以離開計算機(jī)技術(shù)支持。即使在這種情況下，花旗銀行專職從事信息科技和計算機(jī)輔助審計的人員占全部審計人員的比例也超過20%。

 

　　IT治理中審計人員的角色

 

　　IT審計員在IT治理的過程中，他們的活動貫穿在計劃和組織、獲得和實施、交付和支持、監(jiān)控這幾個領(lǐng)域中，在此過程中始終承擔(dān)著評估與評價的職責(zé)。計劃和組織域中，內(nèi)部審計師的關(guān)鍵處理是質(zhì)量管理。它包括對戰(zhàn)略性IT計劃和信息架構(gòu)的評估，技術(shù)方向、IT組織和關(guān)系、項目管理和IT投資管理的評價、通知、支持，保證服從外部要求，風(fēng)險和管理質(zhì)量的評估等。

 

　　在獲得和實施域中，內(nèi)部審計師的角色仍然是評估過程。如對自動化解決辦法的鑒定和評價，獲得和維護(hù)應(yīng)用軟件的評價和支持，獲得和維護(hù)技術(shù)架構(gòu)，開發(fā)和維護(hù)過程、安裝和認(rèn)證系統(tǒng)的評價，管理變化的評價和支持等。

 

　　在交付和支持領(lǐng)域，審計要對以下方面進(jìn)行評估和支持。如定義和管理服務(wù)級別、管理第三方服務(wù)、管理性能和能力、保證連續(xù)性服務(wù)、鑒定和分配費(fèi)用，教育、培訓(xùn)和支持用戶，管理配置、管理問題和事件、管理數(shù)據(jù)、管理設(shè)備、管理行動等的檢查和評估，保證系統(tǒng)安全的檢查、評估和支持。

 

　　在監(jiān)控領(lǐng)域，審計師的角色是監(jiān)控過程，評價內(nèi)部控制，獲得獨(dú)立保證，提供獨(dú)立審計的檢查、評估和支持。

 

　　國內(nèi)外銀行IT審計的差異

 

　　面對我國銀行數(shù)據(jù)大集中的形勢，銀行已將IT風(fēng)險作為內(nèi)部的重要風(fēng)險之一進(jìn)行控制。但由于IT審計在我國還剛剛起步，與國外發(fā)達(dá)銀行比較還存在很大的差異性，主要體現(xiàn)在以下幾個方面：

 

　　審計覆蓋面上的差異

 

　　目前我國各大商業(yè)銀行在總行內(nèi)審部門基本上都設(shè)立了信息技術(shù)審計處，股改后直接向董事會負(fù)責(zé)，這與國際慣例基本是一致的，體現(xiàn)了銀行最高領(lǐng)導(dǎo)層充分重視IT在銀行中的地位，并將IT風(fēng)險防范和控制納入到銀行風(fēng)險控制的戰(zhàn)略高度。目前國際上比較先進(jìn)的商業(yè)銀行無一例外全部開展了GCR（一般控制）和ACR（應(yīng)用控制）的全方位IT審計。但我國由于信息技術(shù)審計工作開展不長，并且人員有限，還未能全面開展一般控制和應(yīng)用控制的IT審計工作，基本處于一般控制的摸索階段，距國際先進(jìn)水平還有較大的差距。

 

　　組織結(jié)構(gòu)和人員上的差異

 

　　從新加坡發(fā)展銀行和美國大通銀行的IT審計組織框架和人員配備上看，IT審計由于涵蓋了軟件開發(fā)和項目投產(chǎn)、運(yùn)行維護(hù)的全過程，包含了各種技術(shù)平臺、系統(tǒng)生命周期的所有階段，因此IT審計機(jī)構(gòu)設(shè)置基本采用在總審計師領(lǐng)導(dǎo)下，與業(yè)務(wù)審計兩條線并列的模式，人員專業(yè)化分工明確，技術(shù)水平要求也較高，懂IT技術(shù)人員的比例一般占內(nèi)部審計人員的30%-50%左右。而我國銀行從事信息技術(shù)審計工作的員工較少，在人員數(shù)量和質(zhì)量上無論與國際先進(jìn)水平還是銀行的IT架構(gòu)相比，均有不小的差距。同時，由于目前內(nèi)審部門的信息技術(shù)審計組織結(jié)構(gòu)不盡完善且人員不足，無法進(jìn)一步細(xì)分審計職能、明確專業(yè)審計方向。另外，在審計手段、輔助工具以及系統(tǒng)接口、技術(shù)支持等方面的差距更大，需要加強(qiáng)力量研究解決。

 

國外IT審計先進(jìn)經(jīng)驗的啟示

 

　　重視信息科技審計是國際普遍趨勢。隨著商業(yè)銀行經(jīng)營管理活動對信息技術(shù)的高度依存，信息科技風(fēng)險控制已成為商業(yè)銀行風(fēng)險管理的重要內(nèi)容，并從戰(zhàn)略的角度將IT審計與實現(xiàn)公司治理的總體目標(biāo)緊密聯(lián)系在一起。

 

　　加強(qiáng)IT審計是國內(nèi)銀行建設(shè)國際一流商業(yè)銀行的內(nèi)在需要。近年，工商銀行信息科技優(yōu)勢在提升銀行核心競爭力的同時，其系統(tǒng)風(fēng)險也更加集中，更加突出，任何一點管理上的疏漏或控制上的缺陷，都可能引發(fā)巨大的系統(tǒng)災(zāi)難，給全行帶來無法估量的經(jīng)濟(jì)損失和聲譽(yù)損失。因此，進(jìn)一步加強(qiáng)IT審計就更具有重大的現(xiàn)實意義。

 

　　加強(qiáng)IT審計是監(jiān)管當(dāng)局的外部要求。隨著國內(nèi)經(jīng)濟(jì)的快速發(fā)展和對外開放的逐步擴(kuò)大，國家相關(guān)部門對信息系統(tǒng)的安全問題越來越重視，銀監(jiān)會、人民銀行、審計署、公安部等國家行政管理部門和外部監(jiān)管部門對企業(yè)內(nèi)部的信息系統(tǒng)風(fēng)險控制都提出了一系列要求。因此，工行必須通過加強(qiáng)IT審計來保證全行的信息技術(shù)應(yīng)用對各級監(jiān)管政策、法規(guī)的遵從性。

 

　　我國銀行要盡快建立健全I(xiàn)T審計架構(gòu)和規(guī)范，從IT治理與公司治理相結(jié)合的角度，對銀行的信息系統(tǒng)建設(shè)的重大決策，提供評估與評價并進(jìn)行相關(guān)的風(fēng)險分析，力圖將IT風(fēng)險控制在過程中，并推進(jìn)和促進(jìn)科技管理，預(yù)防IT風(fēng)險。要達(dá)到這一目標(biāo)，可按照國際通用的IT審計標(biāo)準(zhǔn)CO鄄BIT，結(jié)合我國銀行的具體實際情況，建立適合我國銀行的IT審計標(biāo)準(zhǔn)和框架。

 

　　對我國銀行的IT審計應(yīng)緊緊圍繞銀行的IT技術(shù)架構(gòu)進(jìn)行，使銀行的IT審計能涵蓋主要的IT活動范圍，因此應(yīng)建立審計的技術(shù)領(lǐng)域框架。該領(lǐng)域至少應(yīng)包含以下內(nèi)容：系統(tǒng)運(yùn)行、操作管理及風(fēng)險防范，軟件開發(fā)生命周期的過程管理和風(fēng)險評估，新系統(tǒng)投產(chǎn)、切換、遷移、合并的過程管理和風(fēng)險評估，各種技術(shù)平臺的審計，電子銀行等與IT緊密結(jié)合的新業(yè)務(wù)的審計，為業(yè)務(wù)審計提供IT技術(shù)手段和輔助功能，業(yè)務(wù)與IT緊密結(jié)合的綜合審計，各種專項審計及事故評估。

 

　　我國銀行IT審計的關(guān)注點

 

　　鑒于目前我國銀行信息技術(shù)審計組織結(jié)構(gòu)不盡完善和人員數(shù)量、質(zhì)量嚴(yán)重不足，遠(yuǎn)不能達(dá)到對IT進(jìn)行全面審計的要求，因此，當(dāng)前我國銀行IT審計工作的重點可定位在以下幾個方面：防范對操作運(yùn)行風(fēng)險，具體應(yīng)針對數(shù)據(jù)中心整合工程后的生產(chǎn)運(yùn)行和操作情況，進(jìn)行專項審計；盡快按照國際標(biāo)準(zhǔn)開展我國銀行IT審計工作標(biāo)準(zhǔn)的制定；加強(qiáng)組織機(jī)構(gòu)建設(shè)，充實技術(shù)人員并加強(qiáng)培訓(xùn)；加強(qiáng)IT審計的隊伍建設(shè)，IT審計人員的技術(shù)背景應(yīng)覆蓋系統(tǒng)、硬件、網(wǎng)絡(luò)、應(yīng)用等多個方面，同時又具備審計知識和經(jīng)驗，能將IT技術(shù)與審計手段結(jié)合運(yùn)用，這樣才能審計出IT風(fēng)險。