基層行信息技術審計中的問題及建議

萬玉俍 劉 佳 人民銀行臨夏州中心支行

基層行信息技術審計中的問題及建議

萬玉俍 劉 佳 人民銀行臨夏州中心支行

隨著人民銀行信息化和信息技術審計業務的發展，基層行信息技術審計作為一種獨立的審計類型對確保信息系統安全、增強信息安全意識、提高信息風險防范能力等方面都發揮了積極作用。在目前數據集中及兩級系統部署架構下，如何有效開展信息技術審計,保障信息系統安全,成為基層人民銀行研究的重要課題。

內部審計;信息技術審計

隨著信息化在人民銀行履行金融宏觀調控、提供金融服務、維持金融穩定等職責中的支撐作用不斷增強，對信息系統的可用性、可靠性、安全性引提出了更高要求。信息技術審計對確保信息系統安全、增強信息安全意識、提高信息風險防范能力，促進科技綜合管理能力等方面都發揮了積極作用。基層行信息技術審計工作成效逐步顯現，同時也存在一些問題。

1.基層人民銀行信息技術審計現狀

人民銀行信息技術審計作為內審部門對被審計單位的計算機信息系統及其相關信息技術的內部控制和科技管理流程開展的檢查和評價活動，自1999年籌備至今已十幾年時間。信息技術審計在規范建設、項目實施、隊伍建設、信息化建設等方面都取得了顯著成效。

1.1 制度體系進一步健全。隨著對信息技術審計相關理論、標準等的學習，以及審計業務實踐不斷積累，上級行先后制定下發了《中國人民銀行計算機信息系統內部審計規程》等規章制度，尤其是《中國人民銀行信息技術審計規范》的發布，明確了人民銀行信息技術審什的一般原則、審計內容、審計方法，以及審計程序等。人民銀行在制度建設上基本涵蓋信息技術審計的各個方面，各項規章制度不斷完善。

1.2 審計成效逐步顯現。自2001年起人民銀行每年都開展信息技術審計，基層行審計的力度不斷加大，多層次、多角度的信息技術審計，進一步促進信息安全管理水平和安全意識的提高。發現和修復了信息系統漏洞，規范信息系統使用操作，有效促進了信息系統內部控制和風險管理水平的提高。切實發揮了內部審計在科技綜合管理工作中的“防火墻”作用。

1.3 計算機輔助工具得以應用。在開展信息技術審計的同時，上級行也特別重視審計部門自身的信息化，先后上線運行了內審業務綜合管理系統、計算機輔助審計系統等系統，還推薦使用ACL(Audit Command Language,審計指令語言)等工具。計算機輔助審計系統及其他輔助工具的使用，提高了信息技術審計的效果和效率。

1.4 部門間形成良性互動。隨著信息技術審計的深入，進一步促進信息技術治理水平的提高，也促使科技部門高度重視審計合規性要求，逐步在制度修訂和業務管理中考慮內審的合規性要求。如《中國人民銀行信息安全綜合規范》、《中國人民銀行蘭州中心支行科技管理工作規范》，都充分考慮了合規性要求。通過審計，使科技人員能夠從審計角度重新審視科技管理工作，為科技管理工作的規范化、科學化、流程化、標準化提供不同的思考視角。同時科技部門結合參與的審計實踐，能為內審部門提供更好的技術支持，及審計建議。通過信息技術審計，科技部門和審計部門相互促進共同提高。

1.5 鍛煉了隊伍積累了經驗。長期的信息技術審計工作實踐，使審計人員將信息技術審計標準，信息技術與審計工作實踐相結合，全面提升審計人員的信息技術審計技能。同時不斷強化審計經驗積累和審計知識分享，不斷完善信息技術審計流程、方式、方法，為信息技術審計業務的發展提供參考和寶貴經驗。

2.基層行信息技術審計中的不足

2.1 審計覆蓋面有待擴大。信息技術審計應覆蓋信息系統整個生命周期的所有活動，以及與信息系統有關的所有資源和應用領域。而目前基層信息技術審計主要針對基礎設施審計，對業務應用系統審計開展很少。截至目前信息系統信息技術審計僅開展過TBS（國庫核算系統）專項審計。日常審計內容較少關注信息系統參數配置、訪問控制等信息系統、信息技術本身的問題。

2.2 審計信息化程度有待提升。目前基層行信息技術審計基本都是以手工操作為主，計算機輔助的自動化審計程度較低，審計效率不高。特別是對網絡設備、服務器、操作系統、數據庫、業務系統等的信息技術審計缺少輔助審計工具的應用。一個重要原因是上級行開發或推薦使用的計算機輔助審計系統或者工具，整體而言對審計人員的信息技術能力要求較高。如《計算機輔助審計系統》中數據分析工具中就要求審計人員很好理解和掌握SQL語句，對沒有技術背景的內審人員門檻較高。

2.3 信息系統對審計的支持有待完善。信息技術審計信息化程度的提高，除了計算機輔助審計工具的應用，還需要便利、完善的審計數據獲取途徑。在目前數據集中，信息系統兩級部署的架構下，有些業務系統沒有審計數據獲取接口，使基層行信息技術計算機輔助審計缺少審計數據獲取途徑。

2.4 審計隊伍建設有待加強。雖然上級行加大了對信息技術審計相關培訓的力度，但由于基層行大部分審計人員具有業務背景而無技術背景，整體技術水平起點較低。尤其是內部機構調整后，紀委監察室與內審科合署辦公，內審人員較少而且年齡結構偏大，由于各種原因，學習相關技術的動力不足。

3.對基層行信息技術審計的建議

3.1 深入學習相關標準框架和先進經驗，完善信息技術審計覆蓋范圍。由《中國人民銀行信息技術審計規范》可以看出人民銀行信息技術審計目標已與國際標準接軌。鑒于目前信息技術審計業務實際，基層行還需要深入學習審計標準框架和先進實踐經驗。不斷完善信息技術審計覆蓋范圍，確保信息技術審計對信息系統的全生命周期覆蓋。

3.2 掌握并應用計算機輔助審計工具。在現有的情況下，不斷通過各種形式學習掌握計算機輔助審計系統以及上級行推薦的ACL等輔助審計工具的使用，通過計算機輔助工具對人民銀行各類信息系統數據進行采集、分析、處理，查找異常變動或差異，為現場審計提供線索，提升信息技術審計的效率和效果。

3.3 建議上級行研究開發更加易用、有效的計算機輔助系統以及完善信息系統信息技術審計數據獲取途徑。輔助工具應降低對審計人員的技術要求，增強易用性。同時考慮信息系統的審計數據獲取途徑，為審計人員提供審計數據提取工具或者接口，對基礎行審計人員而言，使計算機輔助審計成為可能。

3.4 加強信息技術審計隊伍建設。信息技術審計對審計人員專業能力提出了很高的要求，這就要求基層行加大對現有審計人員的培訓力度，鼓勵審計人員加強自學，取得職業資格，盡可能提升現有審計人員能力。同時優化信息技術審計隊伍結構，補充具有技術背景的審計人員。

[1] 宋東霖. 論信息技術對審計的影響[J].中國管理信息化. 2016(04)