商業(yè)銀行信息科技風(fēng)險(xiǎn)評(píng)價(jià)審計(jì)淺析

1.相關(guān)政策背景為實(shí)現(xiàn)對(duì)商業(yè)銀行信息系統(tǒng)風(fēng)險(xiǎn)的識(shí)別、計(jì)量、評(píng)價(jià)、預(yù)警和控制，有效防范銀行業(yè)金融機(jī)構(gòu)運(yùn)用信息系統(tǒng)進(jìn)行業(yè)務(wù)處理、經(jīng)營(yíng)管理和內(nèi)部控制過程中產(chǎn)生的風(fēng)險(xiǎn)，促進(jìn)我國(guó)銀行業(yè)安全、持續(xù)、穩(wěn)健運(yùn)行，根據(jù)《銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)管理指引》和《銀行業(yè)金融機(jī)構(gòu)內(nèi)部審計(jì)指引》的有關(guān)規(guī)定，2006年11月中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)辦公廳發(fā)布了《關(guān)于開展2006年度信息科技風(fēng)險(xiǎn)內(nèi)部和外部評(píng)價(jià)審計(jì)的通知》（簡(jiǎn)稱313號(hào)文件），要求銀行業(yè)金融機(jī)構(gòu)進(jìn)行信息科技風(fēng)險(xiǎn)內(nèi)部和外部評(píng)價(jià)審計(jì)工作?！躲y行業(yè)金融機(jī)構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)管理指引》（以下簡(jiǎn)稱原《管理指引》）定位在信息系統(tǒng)風(fēng)險(xiǎn)管理的基本、原則性要求，已難以滿足商業(yè)銀行信息科技風(fēng)險(xiǎn)管理的需要。銀監(jiān)會(huì)對(duì)原《管理指引》進(jìn)行了修訂，并重新定名為《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理管理指引》（以下簡(jiǎn)稱新《管理指引》），原《管理指引》同時(shí)廢止。銀監(jiān)會(huì)于2009年3月3日下發(fā)了《中國(guó)銀監(jiān)會(huì)關(guān)于印發(fā)〈商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引〉的通知》（銀監(jiān)發(fā)【2009】19號(hào)文）,要求商業(yè)銀行等金融機(jī)構(gòu)按照新《管理指引》來進(jìn)行信息科技風(fēng)險(xiǎn)評(píng)價(jià)審計(jì)。在新《管理指引》中根據(jù)審計(jì)的范圍的不同，將審計(jì)分為了專項(xiàng)審計(jì)（對(duì)信息科技安全事故或認(rèn)為必要的特殊事項(xiàng)進(jìn)行的審計(jì)）和全面審計(jì)（依據(jù)《管理指引》中規(guī)定的內(nèi)容，對(duì)商業(yè)銀行進(jìn)行的全方位的審計(jì)）。根據(jù)審計(jì)執(zhí)行機(jī)構(gòu)的不同，將審計(jì)分為內(nèi)部審計(jì)（商業(yè)銀行內(nèi)部機(jī)構(gòu)進(jìn)行的審計(jì)活動(dòng)）和外部審計(jì)（委托具備相應(yīng)資質(zhì)的外部審計(jì)機(jī)構(gòu)進(jìn)行的審計(jì)活動(dòng)）。2.審計(jì)范圍及內(nèi)容商業(yè)銀行應(yīng)根據(jù)業(yè)務(wù)性質(zhì)、規(guī)模和復(fù)雜程度，信息科技應(yīng)用情況，以及信息科技風(fēng)險(xiǎn)評(píng)估結(jié)果，決定信息科技內(nèi)部審計(jì)、外部審計(jì)的范圍和頻率。商業(yè)銀行可以對(duì)信息科技安全事故進(jìn)行調(diào)查、分析和評(píng)估，或?qū)徲?jì)部門根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果對(duì)認(rèn)為必要的特殊事項(xiàng)進(jìn)行信息科技專項(xiàng)審計(jì)。同時(shí)也可以根據(jù)實(shí)際應(yīng)用情況進(jìn)行較全面的審計(jì)，新《管理指引》中規(guī)定至少應(yīng)每三年進(jìn)行一次全面審計(jì)。一個(gè)全面的評(píng)價(jià)審計(jì)至少應(yīng)包含如下內(nèi)容：1)

信息科技治理和組織結(jié)構(gòu)

制度建設(shè)

組織結(jié)構(gòu)2)

信息安全管理

信息安全基本要求

邏輯訪問的風(fēng)險(xiǎn)與控制

網(wǎng)絡(luò)安全控制

環(huán)境的風(fēng)險(xiǎn)和控制

物理訪問的風(fēng)險(xiǎn)與控制

軟件的風(fēng)險(xiǎn)與控制3)

信息科技項(xiàng)目開發(fā)和變更管理

項(xiàng)目開發(fā)管理

項(xiàng)目變更管理

項(xiàng)目資料文檔管理體系

系統(tǒng)設(shè)計(jì)開發(fā)外包缺陷風(fēng)險(xiǎn)管理4)

信息系統(tǒng)運(yùn)行和操作管理

信息系統(tǒng)運(yùn)行體系建設(shè)情況

操作環(huán)境控制和預(yù)防性維護(hù)情況

生產(chǎn)變更管理

信息科技操作風(fēng)險(xiǎn)控制措施

日志管理5)