我国央行IT审计和IT治理的现状与

收稿日期：2007-10-11

课题组组长：史可山,人行南平市中心支行行长,

课题组成员：陈崇跃,徐克勋,朱燕涛,张杏英,

执笔：陈崇跃,朱燕涛.

摘 要：随着信息科技的发展,人民银行系统对IT的依存度日增,信息系统风险也接踵而至,内部审计面临新的挑战,IT治理势在必行.为此,本课题组在分析了人行传统的内审已不能适应IT时代审计使命要求的基础上,提出了改革人行内部审计并以此深化央行IT治理的若干建议.

关 键 词：银行,内部审计,IT治理

中图分类号：F830文献标识码：A文章编号：1006-1428(2007)12-0088-02

随着人民银行各项业务与管理活动对IT依存度的日益提高,IT风险渐露端倪,人民银行内审从体制､,手段和方式等均面临与IT发展程度相对应的新挑战,央行内审呼唤与IT治理相适应的改革.

一､,加强人民银行IT审计促进央行IT治理的必要性.

IT治理大意指合理利用IT资源与适当管理IT相关风险的一种管理模式与机制.IT治理最重要的任务就是保证信息技术与各项业务的有效结合,促进组织收益最大化与风险的最有效控制.如同企业(公司)治理包括了内控管理及其内部审计等制度安排,“IT治理”也涵盖IT审计､,信息安全审计､,IT怎么写作管理等内容.“IT审计”既是IT治理的组成部分,也是IT治理的促进因素.“IT审计”不仅对信息系统(IS)及其管理制度,还包括对内审自身的IT化建设行使“监督､,评价与咨询”职责.

人民银行具有类似商业银行等现代企业的组织架构与业务体系,在管理上同样适用和更需引入“企业治理”与“IT治理”机制.人民银行在组织架构上设立了分支行机构,在业务上也有“存贷款”､,“中间业务”､,“黄金外汇储备与写卖”等经营性品种.因此人民银行的“业务”系统及其“应用系统”也更为庞大与复杂,日常运营越来越依赖于信息技术的支撑.在这种背景下,人民银行信息系统运行的有效性与潜藏的风险更加不容忽视,建立健全人民银行系统的IT治理及其IT内审机制十分迫切.

二､,人民银行系统IT治理与IT审计的现状

在IT治理方面,人民银行表现明显滞后：一是尚未编制出一套适应我国国情的央行IT治理蓝图或规划,二是尚未建立与人民银行组织结构和业务体系及IT应用水平相适应的IT治理组织框架和制度体系,三是尚未建设和培育一支既掌握IT知识又谙熟央行业务的IT治理复合型或“两栖”的人才队伍,四是作为IT治理重要组成部分的IT审计､,IT风险控制等监督与保障机制尚不成熟和健全,影响了人民银行IT治理的深化.

在IT审计方面,人民银行信息系统仍没有突破传统内审的窠臼.具体问题与原因：

一是IT审计的理论缺失.IT审计是审计理论的新兴领域,当前有关它的研究尚不够深入,阐述与定义尚不统一,也给IT审计制度的建设和IT审计的实践带来一定程度的混乱.

二是IT审计的制度缺失.人民银行内审司虽制定了《计算机信息系统监督检查工作暂行规定》､,《计算机信息系统内部审计规程》等制度,但不是真正意义上的“IT审计”,仅处于信息系统(IS)审计层次,属于一般内控操作制度范畴.

三是IT审计的标准缺失.目前却仍未规划与制定出一套能与国际接轨的抑或有中国特色的IT审计标准与具体行业准则,使目前的IT审计没有明确的方向与标准的轨道.

四是IT审计的队伍缺失.首先,在组织体系上IT审计人员配置不足与结构不合理.其次,人员综合素质不高,既掌握IT知识又熟悉央行业务､,懂得金融法律的人力资源十分匮乏.第三,未建立IT审计复合型人才培育机制,使现有人员IT审计素质不能得到应有的提高.

五是IT审计的手段缺失.即IT审计本身缺少信息技术硬件与软件的武装与支持.首先是内审部门计算机及其网络工具与设施配备不足,使目前所开展的IT审计仍停留于现场的､,被动的､,事后的传统审计形式.其次是业务审计的IT辅助审计应用软件缺乏,内审人员面对全面“数字化”的审计对象,只能望洋兴叹.第三是当前的业务应用系统在设计､,开发之初就未考虑接受审计因素,内审人员实施IT审计时没有“合法”接口与取证手段.这些均极大地困扰与制约着IT审计的开展与发展.

三､,改革央行内审深化IT治理的政策建议

1､,加强IT审计及IT治理的理论研究,为新形势下的央行内审改革提供理论基础.2004年,人行内审司同ITGov(中国IT治理研究中心)合作开展了“IT治理与IS审计模型研究”,对国际通用的IT治理框架和信息系统审计标准“信息与相关技术控制目标”(COBIT)进行了研究,取得初步成果.但是,近年来类似的内审科研仍然偏少,成果不多.当前,国外在这方面的研究与探索均较深入,硕果累累,可以很好借鉴.

2､,改革传统的人行内审体制,架构与IT治理相适应的新型内审模式.IT审计的目标是通过实施审计,维护､,促进或增强人民银行计算机信息系统合规性､,安全性､,可靠性､,有效性.人民银行已构建了强大的信息传输网络,作为内部审计主要对象的央行业务系统实现了数据大集中,人民银行分支机构业务运营与管理的内涵与外延也发生重大变化,不同层次的央行机构IS更存在鲜明的差异.这就要求央行对传统的内部审计架构进行新的设计,如构建“重心上移､,机构下派”的内审新体系.借鉴西方银行组织治理模式并与央行IT治理机制相适应,在强调内部审计独立性的同时,注意与IS开发､,应用部门的协调一致.采用更灵活的内审方式,如引入市场经济国家“内审社会化”或“内审外包”做法,对人民银行的部分IT审计项目可委托有资质的社会组织开展,提升手段,改革传统的现场审计与人力审计模式,利用计算机网络系统和审计辅助系统实施以“信息技术对抗信息技术”的“非现场审计”和“机器审计”,等等.

3､,树立现代内部审计理念,实现内审由合规性监督向评价与咨询怎么写作转变.审计的目的是确保整个组织活动的有效性､,效率性､,合规性､,安全性,使组织“价值增值”.内审由于IT手段的利用及对IS的审计,使内审目标的实现更加可能.因此,人民银行的IT审计不应停滞在查错纠弊的监督阶段,而应要求审计人员树立怎么写作意识,为被审对象提供咨询怎么写作,当好参谋.

4､,加快编制我国央行IT治理规划,建立适应人民银行体制的IT审计标准体系和框架.“信息系统审计和控制联合会”(ISACA)已制定了“面向过程的信息系统审计和评价的标准”(COBIT),国际内部审计师协会(IIA)将其作为国际通用的IT审计标准.作为我国央行的人民银行内审也应积极借鉴标准,制定一套适合我国央行特色的IT审计标准与规范,为IT审计开展评价､,咨询等活动提供尺度与准绳.

5､,开展对新系统开发的审计,实现IS事后审计向全过程审计转变.即在新系统的立项､,开发､,测试和验收阶段,内审人员就参与其中,对程序开发到应用的全过程从审计的角度进行审慎监督,对系统的审计由事后转变为全过程监督.同时各业务部门在正式培训､,推广使用新系统时,应邀请同级审计部门参加培训学习.对新系统开发审计时,应对新系统的今后可审计操作性提出要求,防止系统出现“拒审”等情况的发生.

6､,加强IT审计队伍建设,提高央行内审从业人员综合素质.一是吸收计算机专业人员,把他们培养成审计人员,二是对现有审计人员开展IT知识培训和继续教育,培养成IT审计师,三是建立激励机制,推行IT审计师持证上岗制度,鼓励内审人员学习和钻研计算机知识,考取国家计算机资格等级证书,有条件的通过国际IT审计师资格认证.

(七)加强计算机辅助审计软件开发与应用,推进IT审计信息化建设.