基于风险的IT审计

摘 要：随着信息时代的到来,IT风险越来越受到关注.本文通过对IT审计概念和风险概念的再探讨,提出IT审计的目的是为企业价值怎么写作的思想观点,并据此提出了基于风险的IT审计思路,不是仅依据已有IT制度规范做合规性检查,而是要根据IT风险对企业资产价值的影响进行审计.

关 键 词：IT审计；风险；IT制度规范

中图分类号：F239文献标识码：A文章编号：1001-828X（2013）02-0-01

随着社会信息化的不断发展,信息技术在全国各行各业的应用日益广泛,在这种大趋势下,IT风险也日益增大.特别是作为银行业金融机构,怎么认识IT风险,如果化解IT风险,成为越来越被关注的话题.目前,国际通行的作法是进行IT审计,下面,笔者想从四个方面谈谈笔者对IT审计的理解.

一、IT审计的概念

提到审计,大家都知道,这是一种对经济活动的独立审查和监督.那么什么是IT审计呢?套用上面的理解,就是针对IT活动进行的独立审查和监督.

这里就需要明确几个基本概念,首先,什么是IT活动.IT是信息技术的英文缩写,信息技术与经济不同,经济是一种社会现象,它是用社会规范加以调整的,而信息技术是一种技术,它是用技术规范加以调整的.如果IT审计仅是根据技术规范对IT活动进行审计,笔者认为这缩小了IT审计的范围.因为IT活动是人的活动,IT活动的目的也是为人怎么写作,IT审计的范围不仅包括IT活动,也应该包括与IT有关的活动,这样才能保证IT审计符合IT活动的目的要求.

其次,独立性.审计活动的一个基本原则就是独立性原则.它要求审计主体与被审计对象相互独立,这样才能保证审计结果的客观性.IT审计作为审计的一种,也应该具有这种独立性.

再次,审查和监督.审查是指对某项事情进行核实,监督是为了使活动达到预定的目标而进行的监视、督促活动.那么,对IT的审查和监督就是为了防范IT风险,监视、督促与IT有关的活动,核实其合规性的活动.

通过以上分析,笔者认为,IT审计应该是为了防范IT风险,根据相关规范,独立地监视、督促与IT有关的活动,以使其符合IT活动的目的的审计活动.

二、对风险的理解

既然IT审计的目的是防范IT风险,笔者想再谈谈对风险的理解.

风险是指一个事件产生我们所不希望的后果的可能性.对于IT而言,到底什么是我们不希望的结果呢?笔者认为,IT风险不能把它局限在IT的范围内考虑,因为IT作为一种技术,它必须为组织目标怎么写作,IT风险不是IT本身的风险,而是组织因引入IT技术,而产生的风险,其实它是组织的风险.也就是说,IT风险是因为IT事件,所导致的组织不希望的后果的可能性.

那么什么情况会导致IT风险呢?根据ISO27001标准,首先,IT必须与组织的资产相联系,而这种资产对组织是有价值的,由于IT的引入,这种资产的保护出现了新的薄弱点,在遭遇到外部威胁时,组织的这部分资产的价值就有受损的可能性,这就产生了IT风险.

三、IT制度规范

我们知道,没有规矩,不成方圆,要防范IT风险,必须有严格的制度规范要求.一个完善的制度规范体系,对于防范IT风险来说是至关重要的.

那什么样的制度规范是完善的呢?笔者认为,制度规范应该区别对待,第一种是法律法规,这是强制性规范,是任何人任何情况下必须遵守的,它是审计的依据.目前,我国在《刑法》、《计算机系统安全保护条例》等多部法律法规中有关于IT的相关规范,另外,银监会下发了《商业银行信息科技风险管理指引》、《商业银行数据中心监管指引》、《银行业金融机构重要信息系统投产及变更管理办法》、《银行业金融机构外包风险管理指引》等一系列行政规章,这些规范都是强制性规范,它是企业开展IT审计活动的指南.

第二种是企业内部制定的制度规范,（以下简称内部IT制度规范）.这种制度规范应该反映并体现强制性规范,同时,它又有自身的两大特点：第一,它要为企业的战略目标怎么写作；第二,它要符合IT活动的客观规律.所以,企业内部制定的制度规范是否完善,就应该包括三个标准,一是是否贯彻了强制性规范的要求,二是是否有助于促进企业战略目标的实现,三是是否反映了IT活动的客观规律.

但是,制度规范是以人的行为为调整对象的,而人的行为在IT风险控制中又扮演什么角色呢?笔者认为,在IT风险四要素（资产、价值、威胁和薄弱点）中,人的行为主要体现在“威胁”和“薄弱点”上,“威胁”一般来自外部,不由内部IT制度规范调整,所以内部IT制度规范主要的价值应该是减少组织内资产防范的“脆弱性”上.

四、IT审计的思路

根据上面的分析,笔者认为,开展IT审计,应该从以下几个方面着手：

1.认真学习、深刻理解强制性规范的要求.我们不仅要知道强制性规范要求我们做什么,禁止我们做什么,而且应该明确这种要求和禁止的目的是什么.

2.看企业的内部IT制度规范是如何贯彻强制性规范的规定的.重点应该是企业的内部IT制度规范的设置是怎样符合强制性规范的目的.

3.了解企业的战略目标及企业的资产价值评估怎样体现这一目标.重点应该看资产价值评估的标准,和评估结果中价值较高的资产是否与企业的实际相符合.

4.根据企业资产的重要程度,从最重要的资产开始,检查企业内部IT制度规范的执行情况.这一过程的重点是分析重要资产面临哪些威胁,目前实践中是如何应对这些威胁的,应对的办法有哪些薄弱点,其中人的活动造成的薄弱点有哪些,目前企业的内部IT制度规范对这些薄弱点是如何控制的.

综上,笔者认为防范IT风险,是目前企业面临的一个比较前沿的新挑战,同时也是企业能够在激烈市场竞争中占据优势的新机遇.我们要做好IT风险防控,关键是要深入理解企业的发展战略,摸清企业的现状,在此基础上,加强IT审计,规范企业的IT活动,为企业在未来的市场竞争中争取主动创造条件.