金融科技風險審計：現狀與展望

陳 偉

一、開展金融科技風險審計的意義

金融科技（Fintech）是指通過利用各類科技手段創新傳統金融行業所提供的產品和服務，提升效率并有效降低運營成本。國際金融穩定理事會（Financial Stability Board，FSB）把金融科技定義為“技術帶來的金融創新，它能夠產生新的商業模式、應用、過程或產品，從而對金融市場、金融機構或金融服務的提供方式產生重大影響（FSB，2016）。”

維護金融安全已經成為治國理政的一件大事，打好防范化解重大風險攻堅戰，重點是防控金融風險。黨的十九大報告指出“健全金融監管體系，守住不發生系統性金融風險的底線”。2017 年的中央經濟工作會議將“防范化解重大風險”列為三大攻堅戰之首，并明確指出“重點是防控金融風險”。2018 年4 月的中央財經委員會第一次會議明確提出“打好防范化解金融風險攻堅戰”。中共中央政治局2019 年2月22 日就完善金融服務、防范金融風險舉行第十三次集體學習，中共中央總書記習近平在主持學習時強調“堅決打好防范化解包括金融風險在內的重大風險攻堅戰，推動我國金融業健康發展”，同時指出“防范化解金融風險特別是防止發生系統性金融風險，是金融工作的根本性任務。要加快金融市場基礎設施建設，穩步推進金融業關鍵信息基礎設施國產化。”

近年來，金融業務和模式不斷創新，以網上銀行、電子銀行、手機銀行、直銷銀行、微信銀行以及多種第三方支付方式為代表的新金融業務和模式快速發展。隨著金融行業信息化技術的廣泛應用，信息科技風險一直是金融行業關注的重點。銀監會2017 年4 月發布的關于銀行業風險防控工作的指導意見（銀監發〔2017〕6 號）中指出：“（三十四）加強信息科技風險防控。銀行業金融機構要全面強化網絡信息安全管理，提高身份認證機制安全性；加大對新興電子渠道風險的管理力度，完善災備體系，制定完善應對預案；完善外包管理體系，降低外包風險，不得將信息科技管理責任外包。對發生嚴重信息科技風險事件的銀行業金融機構，各級監管機構要及時采取必要的強制性監管措施。”

不斷演變的技術，特別是與互聯網、大數據、移動技術和云計算等相關信息技術，已成為金融服務創新的顯著驅動力。金融科技（Financial Technology，Fintech 或FinTech）成為近年研究與應用的熱點問題。金融科技是技術驅動的金融創新，為金融發展注入了新的活力，也給金融安全帶來了新挑戰。例如，金融科技的應用增加了信息科技的操作風險，金融機構運用更多的新技術，并進行科技外包，增加了風險管理難度，造成一些金融機構出現因為信息系統缺陷導致一些重要數據泄露的風險。信息技術在提升金融服務效率的同時，也給金融體系增加了潛在的金融風險。眾多專家認為中國金融科技發展面臨的核心問題是風險控制問題，如何防范金融科技風險成為當前金融業面臨的重要挑戰。

綜上分析可知：“防范化解重大風險”列為我國三大攻堅戰之首，打好防范化解重大風險攻堅戰，重點是防控金融風險。由于金融科技發展迅速，且監管力量相對薄弱，防范化解金融科技風險是防范化解系統性金融風險的一項重要內容，是金融風險管理的前沿課題。研究如何防范化解金融科技風險具有重要的理論和應用價值。因此，金融科技風險審計是目前審計工作的一項重要內容。本文結合目前大數據與信息系統審計的研究與應用現狀，分析金融科技風險審計問題。

二、金融科技風險研究與應用現狀

近年來金融科技得到國內外的廣泛重視和應用，Shuttlewood 分析了2010 年—2015 年金融科技投資的增長趨勢（Shuttlewood, et al，2016），分析結果表明2010 年—2015 年金融科技的投資增長迅速。Wigglesworth 的調查發現，金融科技被認為是最有競爭力的金融公司的主要投資之一（Wigglesworth，2016）。金融科技對行業、民生、經濟等非常有促進作用，金融科技的發展大大推動了金融服務領域的拓展和維度，但同時也具有更強、更廣和更快的易破壞性，風險較大，其面臨的安全威脅也與日俱增，因而更需要引導和規范。美國Cybersecurity Ventures 發布的《2017 年度網絡犯罪報告》中指出“網絡犯罪是當今世界上所有公司面臨的最大威脅，也是人類面臨的最大問題之一，因為金融行業的特殊性，金融機構一直是網絡犯罪的主要目標”。

許多國家對金融科技發展持開放態度，但同時對于金融科技風險的重視程度也逐年增強。美國國家經濟委員會2017 年發布的《金融科技框架》白皮書中指出“這些新興的、未經測試的技術也可能伴有風險。如果這些風險得不到管理，它們可能會對更大范圍內的金融系統造成損害。就像金融危機所展現的一樣，系統性金融風險可能以我們始料未及的方式迅速擴散”。美國、英國、歐盟等相繼發布金融科技監管文件，以平衡發展需求。2017 年8 月22 日，世界經濟論壇發布的《超越金融科技：全面評估金融服務的顛覆潛力》報告中分析了在金融科技沖擊下，支付、信貸、財富管理、保險、數字銀行等7 大金融領域未來的創新模式和路徑，以及每個領域所面臨的風險。我國高度重視金融科技相關問題。2017 年5 月，中國人民銀行成立了金融科技委員會，旨在加強金融科技工作的研究規劃和統籌協調。中國人民銀行將組織深入研究金融科技發展對貨幣政策、金融市場、金融穩定、支付清算等領域的影響，切實做好我國金融科技發展戰略規劃與政策指引。強化監管科技（RegTech）應用實踐，積極利用大數據、人工智能、云計算等技術豐富金融監管手段，提升跨行業、跨市場交叉性金融風險的甄別、防范和化解能力。為指導銀行業金融機構加強數據治理，提高數據質量，發揮數據價值，提升經營管理能力，2018 年5 月21 日，中國銀行保險監督管理委員會印發《銀行業金融機構數據治理指引》。

國內外學術界也高度關注金融科技相關問題研究，Gai（2018）從技術視角把金融科技問題分為五個主要的技術維度，包括安全與隱私、數據技術、硬件與基礎設施、應用與管理、服務模型，并對這五個技術維度分別進行了詳細的分析。針對金融科技中的網絡威脅問題，Noor（2019）提出了一個基于機器學習的網絡威脅自動歸因框架。用戶隱私保護被普遍認為是金融安全領域最重要的方面之一，為了保護移動金融應用中用戶的位置隱私，Li（2019）提出了一個針對LBS（基于位置的服務）的隱私保護框架，該框架實現了對金融服務提供商數據、用戶隱私（特別是位置隱私）、服務提供商數據機密性的細粒度訪問控制。隨著作為網銀服務媒介的設備和平臺數量逐漸增加，導致了為不同的設備和服務重復開發軟件的問題。Anagnostopoulos（2018）研究了金融科技和監管科技對監管機構和銀行的影響。Jagtiani（2018）研究了金融科技對消費者和監管反應的影響，認為金融科技有可能產生新的風險類型，世界各地的監管機構正在努力為消費者提供保護，維護金融穩定，同時為安全的金融科技創新創造環境。Ajlouni（2018）研究了銀行業金融技術面臨的挑戰與機遇，分析了金融科技對銀行業的影響以及應對措施，同時認為盡管金融科技企業吸引了全球金融業領袖和立法者的關注，但這一問題作為一個尚處于起步階段的研究課題，卻鮮有科學研究。Milian（2019）系統分析了科學文獻中關于金融科技的定義以及關鍵研究話題和趨勢。Maximilian（2020）分析了金融科技系統對金融服務業的影響，討論了金融科技生態系統的演變，并指出了金融科技的重要性。汪可（2018）研究了金融科技對我國銀行業系統性風險的影響，研究結果得出金融科技在一定程度上加重了我國銀行業系統性風險的結論。中國社會科學院金融研究所研究員楊濤認為：要想實現金融科技的健康發展，就要分析甄別金融科技存在的風險，在金融科技領域，把握好創新與安全的平衡（楊濤，2019）。

三、金融科技風險審計研究與應用現狀

審計作為信息科技風險的第三道防線，在防范化解金融科技風險中起著重要作用。國內外審計實務界一直高度重視信息技術應用帶來的風險。早在計算機進入實用階段時，美國就開始提出系統審計（System Audit）。1969 年，電子數據處理審計師協會（EDPAA，EDP Auditor Association）在美國洛杉磯成立。1994 年，EDPAA 更名為信息系統審計與控制協會（ISACA，Information Systems Audit and Control Association）， 總 部 設 在美國芝加哥。為了控制信息系統風險，滿足信息系統審計的需要，國際上制訂了一系列的信息系統審計準則與規范，SOX 法案第404 條款的合規性實踐，展示了改善IT 治理和判斷IT 治理成效的一種有效方法。作為全球最具影響力的內部控制標準，COSO 內部控制框架得到了世界許多國家的一致認可和廣泛借鑒。許多組織為了達到SOX 法案對內部控制和信息真實性的要求，紛紛對信息系統進行控制評估和風險測試，開發了各種信息技術控制框架以符合COSO提出的要求，從而把信息技術的一般控制和應用控制方法與COSO 框架結合起來。信息系統審計與控制協會（ISACA）在1996 年公布了COBIT（Control Objectives for Information and related Technology，信息及相關技術控制目標）控制框架，并分別在1998、2000、2005、2012 年進行了修訂；國際內部審計師協會（Institute of Internal Auditors，IIA）對信息系統審計的相關內容進行了研究，發布了GTAG（Global Technology Audit Guide，信息技術審計指南）。我國對信息系統審計也非常重視。1999 年2月，中國注冊會計師協會發布了《中國注冊會計師獨立審計準則》，其中包括《獨立審計具體準則第20 號——計算機信息系統環境下的審計》；2006 年3 月，中國注冊會計師協會發布了《中國注冊會計師審計準則第1633 號——電子商務對財務報表審計的影響》。2008 年9 月，中國內部審計協會發布了《內部審計具體準則第28 號—信息系統審計》；2013 年8 月，中國內部審計協會發布了新修訂的《中國內部審計準則》，其中包括第2203 號內部審計具體準則——信息系統審計。2012年2 月，國家審計署發布了《信息系統審計指南——計算機審計實務公告第34 號》。為了信息系統安全保護的需要，2008 年9 月1 日，公安部和全國信息安全標準化技術委員會發布了《信息安全技術 信息系統安全等級保護基本要求（GB/T 22239-2008）》。隨著大數據、云計算、移動互聯等技術的發展與應用，為了適用于新型網絡系統的安全保護要求，2019 年5 月10 日，國家標準化管理委員會發布了新修訂的《信息安全技術 網絡安全等級保護基本要求》。

對于一些信息化程度高、對信息系統依賴大的行業，如銀行等，信息系統審計更為重要。對于金融行業，目前開展的信息系統審計一般稱為信息科技審計。銀監會2017 年4 月發布的關于銀行業風險防控工作的指導意見（銀監發〔2017〕6 號）中指出“加強信息科技風險防控。”金融行業高度重視信息系統審計的應用，中國銀行業監督管理委員會于2009 年3 月發布了《商業銀行信息科技風險管理指引》，同時廢止了2006 年11 月發布的《銀行業金融機構信息系統風險管理指引》；中國保險監督管理委員會于2008 年3 月發布了《保險業信息系統災難恢復管理指引》；中國證券監督管理委員會于2014 年12 月發布了金融行業推薦性標準《證券期貨業信息系統審計規范》，并于2016年11 月發布了金融行業推薦性系列標準《證券期貨業信息系統審計指南-第1 部分：證券交易所》、《證券期貨業信息系統審計指南-第2 部分：期貨交易所》、《證券期貨業信息系統審計指南-第3 部分：證券登記結算機構》、《證券期貨業信息系統審計指南-第4 部分：其他核心機構》、《證券期貨業信息系統審計指南-第5 部分：證券公司》、《證券期貨業信息系統審計指南-第6 部分：基金管理公司》、《證券期貨業信息系統審計指南-第7 部分：期貨公司》。

我國審計署及地方審計機關目前針對金融機構的經濟責任審計中，被審計單位的信息系統建設與運行風險審計是一項重要審計內容。內部審計中的信息科技專項審計、社會審計中的信息系統風險管理專項審計也專門關注金融科技風險的相關問題。目前一般從IT 治理審計、信息系統開發、測試和維護審計、信息系統運行管理審計、信息系統安全審計、業務連續性管理審計、IT 外包審計、各個信息系統的應用控制審計等方面出發，調查被審單位基本情況，識別其信息系統一般控制和應用控制，采用訪談、文檔查看、現場觀察等方法，進行設計和實施測試以及執行有效性測試，收集審計證據，防范信息科技風險。

國內外學術界也高度關注信息科技風險方面的研究。隨著云計算技術的發展與應用，一些文獻研究了云計算環境帶來的審計風險，如ISACA（2013）從信息系統審計的視角分析了云計算的風險；Prakash（2011）分析了云計算環境下審計人員應該考慮的風險；筆者分析了云計算環境下實施聯網審計可能存在的主要風險（陳偉等，2012），研究了基于自然語言處理技術的IT 治理審計方法（陳偉，2019）、基于大數據技術的業務連續性管理（BCM）審計方法（陳偉，2019），以及云計算系統審計方法（陳偉等，2019）；結合金融科技風險審計的應用實踐，筆者研究了基于社會網絡分析的金融科技系統用戶管理風險審計方法（陳偉，2019）。總的來說，目前直接針對金融科技風險審計的研究與應用還較少。

隨著大數據、人工智能、云計算、金融科技等技術的發展與應用，金融單位信息化程度越來越高，信息化應用范圍越來越廣，使用的應用系統也越來越多，業務系統也越來越復雜，由此也增加了金融科技風險的識別難度。目前常用的信息系統審計方法，如訪談、現場觀察、文檔查看、抽樣、穿行測試等已不能完全滿足金融科技風險審計的需要，創新金融科技風險審計方法成為必然，大數據審計技術的發展為開展金融科技風險審計提供了機遇。因此，研究基于大數據審計技術的金融科技風險審計越來越重要。