銀行的IT內(nèi)部稽核ppt課件

1、銀行的IT 內(nèi)部稽核.典型的銀行環(huán)境信托/中介角色 涉及客戶錢財受高度的監(jiān)管信息系統(tǒng)的高運用度為和寬廣的客戶群，買賣方等進展業(yè)務(wù)收務(wù)操作處置.銀行的產(chǎn)品與效力為客戶提供：存款/提款房屋貸款、汽車貸款等信譽卡:運用的系統(tǒng)和分銷渠道：現(xiàn)金存款機，匯款系統(tǒng)，銀行、互聯(lián)網(wǎng)銀行、信譽卡付帳系統(tǒng).銀行的產(chǎn)業(yè)與效力為企業(yè)客戶提供：-融資：貸款定期貸款、銀團信譽證、擔(dān)保上市-組合管理和買賣運用的系統(tǒng)貸款/執(zhí)行和追蹤系統(tǒng)-買賣：前臺、后臺和清算系統(tǒng)-投資管理：組合管理系統(tǒng).銀行的信托責(zé)任銀行必需：堅持客戶的隱私確保客戶的買賣的廉政性-維持為客戶提供的資料和系統(tǒng)的可用性.銀行業(yè)務(wù)潛在的問題盜用公款高本錢或失盈利資

2、產(chǎn)的破壞/損失不可接受的合計手法不可接受的入帳手法業(yè)務(wù)中斷管理決策錯誤法規(guī)競爭不利Basel對操作風(fēng)險的定義“因缺乏或失敗的內(nèi)部作業(yè)、人員、系統(tǒng)或外部要素而導(dǎo)致的直接/間接損失“.電腦增大操作風(fēng)險由于：電腦把資料集中于一處人們對資料的獲得比以前更多錯誤添加無形難追蹤資料容易遭到破壞或改換電腦病毒缺乏對電腦檢控的認識難以維護珍貴的資料.電腦化的銀行環(huán)境所帶來的風(fēng)險程序能否適當(dāng)程序的改換能否經(jīng)過測試、同意及適當(dāng)?shù)谋辉?？未同意改換的能夠性客戶資料能否會有未經(jīng)同意改換？一切買賣能否都被記載？一切買賣的記載能否不多過一次？一切記載過的買賣能否都準(zhǔn)確？一切記載能否都被入取？.普通的與電腦相關(guān)的不愧手法D

3、ata Diddling:在資料輸入電腦之前/時作改換Trojan Horse:將無用的指令輸入主流系統(tǒng)執(zhí)行Logical Bomb:在預(yù)定的時間內(nèi)對電腦程序/資料進展破壞Impersonation偽裝病毒.過去三年所盜用的資料和財務(wù)欺詐Source: Computer Security Institute (CSI)/FBI Survey.在電子銀行和電子錢幣業(yè)務(wù)中的風(fēng)險Basel的定義操作風(fēng)險是因系統(tǒng)的嚴(yán)重缺而導(dǎo)致到虧損的能夠。銀行因系統(tǒng)/產(chǎn)品能夠遭到外/內(nèi)部的攻擊使到監(jiān)控極為重要.如何降低風(fēng)險適當(dāng)?shù)膬?nèi)部監(jiān)控和風(fēng)險管理框架.銀行內(nèi)部監(jiān)控的框架五個大點：控制環(huán)境風(fēng)險測試業(yè)務(wù)監(jiān)控訊息和交流監(jiān)視

4、.什么是監(jiān)控監(jiān)控是：政策、作業(yè)/做法及框架以確保在可控制范圍內(nèi)到達業(yè)務(wù)目的和防止不良事件的發(fā)生.IT環(huán)境中的監(jiān)控可大致分類為：運用和管理監(jiān)控確保IT的開發(fā)、執(zhí)行和操作能如期的，受控制的情況下進展預(yù)防、矯正和偵查的監(jiān)控資料在電腦系統(tǒng)中所執(zhí)行的監(jiān)控.運用和管理監(jiān)控高層管理在IT活動的規(guī)劃和監(jiān)控的責(zé)任系統(tǒng)開發(fā)管理日常操作管理運用監(jiān)控為維護資產(chǎn)資料，維持資料的完好性 - 資料處置監(jiān)控- 授權(quán)/同意- 輸入監(jiān)控- 保送監(jiān)控- 操作監(jiān)控- 出品監(jiān)控- 稽核監(jiān)控- 后備和恢復(fù)監(jiān)控.想象應(yīng)有的監(jiān)控 .偽造簽名而拿取現(xiàn)金支票的遺失員工盜用公款員工經(jīng)過支配付款指令作出不正當(dāng)?shù)母犊钸`法交換客戶的資料程序員改造工資程

5、序以獲得個人利益;黑客以大量的信息要求來充溢網(wǎng)頁以阻止其他人上網(wǎng).信息系統(tǒng)稽核規(guī)范CoBit (信息和相關(guān)科技的監(jiān)控目的)Control Objectives for Information & Related Technology) :-經(jīng)過技術(shù)，專業(yè)及法規(guī)規(guī)范來提高信息系統(tǒng)的監(jiān)控稽核根底;-一個普通被接受的規(guī)范.CoBit 列出：質(zhì)量要求質(zhì)量本錢遞送信托要求有效及效益的操作資料的可靠性法規(guī)的根據(jù)監(jiān)控要求嚴(yán)密廉政可用.CoBit 框架.TAKO示范為ISACA開發(fā)本來是為提高公司對工資信托所應(yīng)有的IT監(jiān)控的認識.Comparison of Control ConceptsCOBITSACCO

6、SOSASs 55/78Primary AudienceManagement, users, information system auditorsInternal AuditorsManagementExternal AuditorsIC viewed as aSet of processes including policies, procedures, practices, and organizational structuresSet of processes, subsystems, and peopleProcessProcessIC Objectives organizatio

7、nalEffective & efficient operationsConfidentiality, Integrity and availability of informationReliable financial reportingCompliance with laws & regsEffective & efficient operationsReliable financial reportingCompliance with laws & regsEffective & efficient operationsReliable financial reportingCompl

8、iance with laws & regsReliable financial reportingEffective & efficient operationsCompliance with laws & regsComponents or DomainsDomains:Planning and organizationAcquisition and implementationDelivery and supportMonitoringComponents:Control EnvironmentManual & AutomatedSystems Control ProceduresCom

9、ponents:Control EnvironmentRisk Management ControlActivities Information & Communication MonitoringComponents:Control Environment RiskAssessment ControlActivities Information & Communication MonitoringFocusInformation TechnologyInformation TechnologyOverall EntityFinancial StatementIC Effectiveness EvaluatedFor a period of timeFor a period of timeAt a point in timeFor a period of timeResponsibility for IC SystemManagementManagementManagementManagementSize187 pages in four documents1193 pages in 12 modules353 pages in four volumes63 pages in two documents.IT 保安要求交通網(wǎng)絡(luò)電子商務(wù)的保安Secu