关于商业银行IT审计问题的研究

３． ＩＴ 审计的成熟阶段。２０ 世纪 ８０ 年代， 由于社 会 信息化程度的提高， 发达国家大力发展信息产业， 再加 上计算机与通信的结合， 使计算机的应用空前普及， 从 而导致了信息系统安全问题迅速提升， 引起各国政府和 企业高管的高度重视。这一时期， 日本政府设立了相应 机构， 发表了《有关计算机的安全对策》和《ＩＴ 审计标准》 等 ， 提 出 了 尽 早 引 入 由 具 有 专 业 知 识 和 技 术 的 、且 与 系 统没有直接关系的第三方对信息系统的安全性及可靠 性等方面进行全面检查 ； 同时， 日 本政府又推出了 ＩＴ 审 计师的资格考试， 吸引技 术人员加入到 ＩＴ 审计师 这 个 行业中来。
ＩＴ 审计标准提供了覆盖信息系统整个生命周期、可 供 ＩＴ 审计师参照的实施 ＩＴ 审计的标准和依据。ＩＴ 审计 标准包含基本标准、具体准则和职业指南三个 层次。其 中， 基本标准是 ＩＴ 审计的总纲， 规定了 ＩＴ 审计行为和审 计报告必须达到的基本要求， 是制定其他相关标准、规
４２
中国工商银行内部审计局课题组： 关于商业银行 ＩＴ 审计问题的研究
从传统审计的账项基础审计、制度基础审计和 风险 基础审计三个发展阶段看， 由于信息技术在经营和管理 领域中的逐步运用， ＩＴ 审计早已陆续贯穿于各项审计之 中。作为审计业务的一个专业技术领域， ＩＴ 审计在审计 发 展 的 各 个 阶 段 呈 现 出 不 同 的 特 点 。在 账 项 基 础 审 计 阶 段， ＩＴ 审计的主要业务内容是对交易金额和账户、报表 余额进行检查， 属于审计程序中的实质性测试环节。此
４１
金 融 论 坛 ２００５ 年第 １１ 期
Ｐｒｏｃｅｓｓｉｎｇ ａｎｄ Ａｕｄｉｔ Ｔｒａｉｌ》等文献， 才比较系统地阐述了 在新的电子数据环境下的内部审计规则和组织方法， 提 出了许多新的 ＩＴ 审计概念、术语和技术实现等。１９６８ 年 由美国注册会计师协会出版了《会计审计和 计算机》一 书， 进一步完善和丰富了 ＩＴ 审计的内 涵， 这些引人注目 的研究成果和实践案例， 开启了信息系统审计的先河， 这一时期可以看做是 ＩＴ 审计的萌芽阶段。
（ 二） 信息系统审计的框架体系 ＣＯＢＩＴ 信息系统审计与控 制 协 会 （ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｙｓｔｅｍｓ Ａｕ－ ｄｉｔ ａｎｄ Ｃｏｎｔｒｏｌ Ａｓｓｏｃｉａｔｉｏｎ， ＩＳＡＣＡ） 是 国 际 上 惟 一 的 ＩＴ 审计师的专业组织， 其总部设在美国芝加哥， 目前已经 在世界上 １００ 多个国家设立了 １６０ 多个分会， 现有会 员 两万多人。ＩＳＡＣＡ 通过制定和颁布信息系统审计准则和 实务指南等专业标准来规范和指导 ＩＴ 审计工 作。其 于 １９９６年发布的信息系统审计的框架体系 ＣＯＢＩＴ， 现已更 新到第三版， 是目前公认的最具权威的信息技术控制和 审计的国际标准。ＣＯＢＩＴ 主要体现三个 方面的原则： 一 是质量方面的要求， 主要有品质、成本和交付； 二是信用 方 面 的 内 容 ， 主 要 涉 及 操 作 的 效 力 和 效 果 、信 息 的 可 靠 性、符合相关法律法规； 三是安全方面的要求， 主要有机 密性、完整性和可用性。ＣＯＢＩＴ 主要包含数据、应用、技 术、设施和人力资源等资产， 其主要适用于管 理人员、系 统用户和审计师。下面将简要介绍 ＣＯＢＩＴ 的内容、标准 及架构。 １． ＣＯＢＩＴ 体系的主要内容。ＣＯＢＩＴ 体系包括了控制 目 标 （ Ｃｏｎｔｒｏｌ Ｏｂｊｅｃｔｉｖｅｓ） 和 ＩＴ 审 计 指 南 （ Ａｕｄｉｔ Ｇｕｉｄｅ－ ｌｉｎｅｓ） 。ＣＯＢＩＴ 标准包括实施简介、实 施 工 具 集 、包 含 高 层 控 制 目 标 的 框 架 、管 理 指 南 、具 体 控 制 目 标 及 审 计 指 南等一系列文档。在管 理指南中， ＣＯＢＩＴ 为每个过程提 供了关键成功指标、主要目标指标和主要性能指标等， 并根据这些指标对每个过程进行了成熟度模型的划分。 ２． ＣＯＢＩＴ 参照标准或规范。ＣＯＢＩＴ 参照的标准主 要取材于与内部控制和审计相关的职业标准， 如 ＣＯＳＯ、 ＩＦＡＣ、ＡＩＣＰＡ、ＩＩＡ 等相关 标准； 技术标准， 如 ＩＳＯ 系 列 的 标准和 ＥＤＩＦＡＣＴ 等； 行为准则， 主要包括 ＩＳＡＣＡ 的相关 准则及欧洲的 ＯＥＣＤ 等； 与 ＩＴ 系统和 过程 相 关 的 质 量 标准 ， 主要包括 ＩＴＳＥＣ、ＴＣＳＥＣ、ＩＳＯ ９０００、ＣＣ 等 相 关 标 准； 来自工业论坛的工业最佳实践和要求（ ＥＳＦ， Ｉ４） 以及 来自银行、电子商务和 ＩＴ 制造行业等新兴行业 的 需 求 行业规范。 ３． ＣＯＢＩＴ 的架构。ＣＯＢＩＴ 将所有与 ＩＴ 系统相关的 活动进行了划分， 主要包括 ３４ 个过程、３１８ 个控制点， 归 属于四个域， 分别为： （ １） ＰＯ 域— ——计划与组织， 包 括制 定 ＩＴ 战 略 规 划 、制 定 信 息 系 统 架 构 、确 定 技 术 方 向 、定 义 ＩＴ 组织和关系、管理 ＩＴ 投 资 、传 达 管 理 目 标 和 方 向 、 管理人力资源、确保与外部要求一致、评估风 险、项目管
一、ＩＴ 审计的发展历程 ＩＴ 审计起源于 ２０ 世纪 ６０ 年代初， 最早称为计算机
审计， 是随着计算机在财务会计领域的应用而产生的。 早期的计算机应用比较简单， 相应地计算机审计也仅仅 是 关 注 对 被 审 计 单 位 电 子 数 据 的 取 得 、分 析 、计 算 等 数 据处理过程， 应该讲这个时期的审计还称不上真正的 ＩＴ 审计。
时， 它只是传统财务审计业务的一种辅助工具， 对客户 的电子化会计数据进行处理和分析， 为财务报表审计师 的审计结论提供支持服务。在制度基础审计模式下， 计 算 机 审 计 的 业 务 内 容 已 经 扩 展 到 了 符 合 性 测 试 领 域 。随 着计算机技术应用范围的不断扩展， 计算机对被审计单 位各个业务环节的影响越来越大， 计算机审计所关注的 内容也从单纯的对电子数据的处理， 延伸到对计算机系 统的可靠性、安全性进行检查和评估。风险基础审计 模 式的采用以及信息技术在被审计单位各个领域的广泛 应 用 ， 信 息 系 统 的 安 全 性 、可 靠 性 与 其 所 服 务 的 组 织 所 面临的各种风险的联系越来越紧密， 并且直接或间接地 影响到财务报表的真实、公允。在这种情况下， 对被审计 单位风险的评估必须将计算机信息系统纳入到考虑范 围之中， 真正的 ＩＴ 审计概念也随之出现。从 ＩＴ 审计的发 展进程来看， 可以将其分为 ＩＴ 审计的萌芽、发展 、成熟、 普及四个阶段。
２． ＩＴ 审计的发展阶段。２０ 世纪 ７０ 年代， 随着计 算 机应用和电子数据处理的普及， 计算机犯罪开始出现， 在当时的社会引起强烈震荡， 人们逐渐认 识到 ＩＴ 审 计 的必要性。１９７４ 年， 美国注册会计师协会发表了《内部管 理的调查与评价对 ＥＤＰ 的影响》， 作为对电子数据处理 实施审计的标准。随后， 日本注册会计师协会发表了一 系列文章， 提出了 ＩＴ 审计师必须执行的标准。１９７７ 年美 国内部审计师协会发表了《系统可审计性及规则的研 究》， 对审计方法进行了详细的研究， 取得了重要成果。
二、ＩＴ 审计的定义及内涵 客观地讲， 业界对 ＩＴ 审计的定义各异。１９９６ 年日本 通产省在对 ＩＴ 审计准则的内容进行全面修订后 ， 对 ＩＴ
审计定义明确为：“为了信息系统的安全、可靠、有效， 由
独立于审计对象的 ＩＴ 审计师， 以第三者的客观 立 场 对 以计算机为核心的信息系统进行综合的检查与评价， 向 ＩＴ 审 计 对 象 的 最 高 领 导 提 出 问 题 与 建 议 的 一 连 串 的 活 动”。国际信息系统审计领域的权威专家 Ｒｏｎ Ｗｅｂｅｒ 将 ＩＴ 审 计 定 义 为“收 集 并 评 估 证 据 ， 以 判 断 一 个 信 息 系 统 是否有效做到保护资产、维护数据完整、完成组织目标 ， 同时最经济的使用资源”。无论采用哪种定义， 我们都应 认识到 ＩＴ 审计涉及信息系统的整个生命周期， 这 不 仅 是一个技术问题， 更是一个管理问题。
范 、准 则 和 指 南 的 基 本 依 据 ； 具 体 准 则 依 据 基 本 标 准 制 定， 对如何遵循 ＩＴ 审计基本标准提供 详细规定和 具 体 说明， 是 ＩＴ 审计师实施审计业 务、出具审计报告的具体 规范； 执业指南依据 基本标准与具体准则制定， 是 ＩＴ 审 计的操作规 程和方法， 为 ＩＴ 审计师实施审计业务 提 供 可操作性的指导。
４． ＩＴ 审计的普及阶段。到了 ２０ 世纪 ９０ 年代， 计算 机技术飞速发展， 信息系统越来越复杂化、大型化、多 样 化及网络化。ＩＮＴＥＲＮＥＴ 使信息系统的作用得到充分发 挥， 其作为电子商务、金融证券的支撑平台， 为 人们提供 极大方便的同时， 也变成了计算机犯罪的场所。同时， 信 息系统的安全也逐渐成为事关国家安全和主权的重要 问题。因此， 如何确保网络环境下信息系统安全、可靠和 有效变得越来越重要。国际上惟一的 ＩＴ 审计与 控制 协 会 ＩＳＡＣＡ 在 １９９６ 年 制 定 了 信 息 系 统 的 审 计 标 准— —— ＣＯＢＩＴ， 用来指导 ＩＴ 审计人员的工作； 同时， 它还推出了 ＩＴ 审 计 师 （ ＣＩＳＡ） 的 资 格 考 试 等 一 系 列 措 施 ， 从 而 确 保 ＩＴ 审 计 从 业 人 员 的 素 质 ， 为 信 息 系 统 审 计 的 普 及 、规 范 和发展奠定了坚实的基础。
为了明确 ＩＴ 审计的定义， 规范 ＩＴ 审计工作， 中国工 商银行内部审计局组成课题组， 进行专题研究， 在借鉴 国际先进审计理念的基础上， 结合我国以及工商银行的 实际认为， 商业银行的 ＩＴ 审 计就其范围而言， 覆盖了银 行所有的业务应用系统， 涉及信息系统建设生命周期中 的所有活动和资源； 就其关注点而言， ＩＴ 审计应重点关 注各类风险的规避、管理和控制；系统交 付后技术支持和运行维护等系统生命周期中所有活动、 文 档 、人 员 、管 理 以 及 对 外 部 委 托 业 务 、灾 难 恢 复 和 业 务 持 续性计划的审计等内容。商业银行 ＩＴ 审计是以 风 险 管理为基础， 按重要性和成本效益性原则， 在信息系统 生命周期的全过程中， 通过实施一般控制审计和应用控 制审计， 对相关证据进行采集和评价， 用以判断信息系 统 的 资 产 安 全 、数 据 完 整 以 及 资 源 的 有 效 利 用 ， 并 对 ＩＴ 战 略 规 划 与 银 行 的 总 体 规 划 的 一 致 性 进 行 评 价 。它 综 合 运用 ＩＴ 技术与审计理论及方法， 为商业银行战 略 目 标 的实现提供合理的咨询保障。