资源描述
信息科技风险审计方法及过程 摘自北京时代新威信息技术有限公司摘自北京时代新威信息技术有限公司 信息科技风险审计战略部署信息科技风险审计战略部署 为帮助银行客户满足银监会为帮助银行客户满足银监会商业银行商业银行 信息科技风险审计管理指引信息科技风险审计管理指引等相关监管要等相关监管要 求,同时进一步加强信息技术建设,全面强求,同时进一步加强信息技术建设,全面强 化风险管理,越来越多的企业已经开始为多化风险管理,越来越多的企业已经开始为多 家银行提供信息科技风险审计服务了,本文家银行提供信息科技风险审计服务了,本文 就是北京时代新威信息技术有限公司(以下就是北京时代新威信息技术有限公司(以下 简称时代新威)内部人员总结出的对于信息简称时代新威)内部人员总结出的对于信息 科技风险审计的方法及过程。科技风险审计的方法及过程。信息科技风险审计范围:一)信息科技治理二)信息科技风险管理三)信息安全四)信息系统开发测试和维护五)信息科技运行五)信息科技运行六)业务连续性管理六)业务连续性管理七)外包七)外包八)内部审计八)内部审计九)外部审计九)外部审计信息科技风险审计之 信息科技治理 信息科技治理是指对现代信息技术如通讯技术,信息处理技术、控制技术等的科学管理活动和过程。时代新威的审计专家指出,“它是以信息服务业务的开展与社会的实际需要作为依据,组织好各种信息技术的开发和应用,并对信息技术进行标准化、规范化管理。”信息科技治理战略必须要解决下述主要 问题:(1 1)保证构造合理的信息系统结构并将其实现。)保证构造合理的信息系统结构并将其实现。(2 2)保证新系统开发方式可以满足企业长期维护的目标。)保证新系统开发方式可以满足企业长期维护的目标。(3 3)保证内部和外部采购的决策能得到认真的考虑。)保证内部和外部采购的决策能得到认真的考虑。(4 4)决定信息技术运行是由一个部门管理还是分成一系列)决定信息技术运行是由一个部门管理还是分成一系列小单元管理,按照小单元进行管理虽然成本高,但是能为用小单元管理,按照小单元进行管理虽然成本高,但是能为用户提供更好的服务。户提供更好的服务。信息科技风险审计之 信息科技风险管理 信息科技是指计算机、通信、微电子 和软件工程等现代信息技术,在商业银行业务交易处理、经营管理和内部控制等方面的应用,并包括进行信息科技治理,建立完整的管理组织架构,制订完善的管理制度和流程。在风险管理方面,北京时代新威信息技术有限公司与许多商业银行都有合作成功的案例,其工作内容可总结为以下两点。信息科技风险,是指信息科技在商业银行运用过程中,由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。信息科技风险管理的目标是通过建立有效的机信息科技风险管理的目标是通过建立有效的机制,实现对商业银行信息科技风险的识别、计制,实现对商业银行信息科技风险的识别、计量、监测和控制,促进商业银行安全、持续、量、监测和控制,促进商业银行安全、持续、稳健运行,推动业务创新,提高信息技术使用稳健运行,推动业务创新,提高信息技术使用水平,增强核心竞争力和可持续发展能力。水平,增强核心竞争力和可持续发展能力。信息科技风险审计之 信息安全 信息安全主要包括以下五方面的内容,即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大,其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键,包括计算机安全操作系统、各种安全协议、安全机制(数字签名、消息认证、数据加密等),直至安全系统,如UniNAC、DLP等,只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统(包括硬件、软件、数据、人、物理环境及其基础设施)受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,信息服务不中断,最终实现业务连续性。信息科技风险审计之 信息系统开发测试和维护 信息系统是一个以人为主导,吸取经 验和遵照规律并重,利用适合的信息技术 以及相应设备,根据相应的业务模型和数 学模型,进行信息的收集、传输、加工、储存、更新和维护,以提高组织的效益和 效率为目的,支持组织的高层决策、中层 控制、基层运作的集成化的人机系统。信息系统开发维护是为了使信息系统 处开合用状态而采取的一系列措施,目的 是纠正错误和改进功能,保证信息系统正 常工作,有以下四种类型:改正性维护,适应性维护,完善性维护,预防性维护。信息科技风险审计之 信息科技运行 良好的信息科技运行必须在设计阶段就开始考虑。用户、负责信息科技系统运行的人应该参与信息系统开发的设计阶段,这样信息科技的运行问题在一开始就可以得到足够的重视。在工作中往往最容易忽略的就是硬件失败、程序非正常退出、文档说明和支持不足等问题。设计阶段要保证防止用户使用错误的快捷方式,还要考虑新、老系统转换的细节。如果是购买其他公司提供的软件包,问题就会更加复杂。时代新威的信息技术专家在工作中要求格外强调注意这一系列问题,也就避免了很多不必要的失误和麻烦。信息科技运行战略必须要解决下述主要问题:(1)保证构造合理的信息系统结构并将其实现。(2)保证新系统开发方式可以满足企业长期维护的目标。(3)保证内部和外部采购的决策能得到认真的考虑。(4)决定信息技术运行是由一个部门管理还是分成一系列小单元管理,按照小单元进行管理虽然成本高,但是能为用户提供更好的服务。信息科技风险审计之 业务连续性管理 业务连续性管理(Business Continuity Management,简称BCM),是一项综合管理流程,它使企业认识到潜在的危机和相关影响,制订响应、业务和连续性的恢复计划,其总体目标是为了提高企业的风险防范能力,以有效地响应非计划的业务破坏并降低不良影响。业务连续性管理系统(BCMS)是经常进行的活动的集合,业务连续性管理支持企业业务连续性管理活动,也支持技术灾难恢复活动。这些可以包括项目规划和管理、人员配备、计划、预测、预算编制、研究和开发、资源管理、通信、会议、教育活动、宣传和促销活动、活动网站、绩效评估活动、按天进行处理查询和许多其他活动。业务连续性管理也有利于多种项目性 的活动,业务连续性管理执行业务影响分 析和风险分析、进行评估、制定并记录BC/DR计划、规划和执行BC/DR演练、准备和 进行应急队伍培训、准备记录事件响应计 划,并设计BC/DR策略。信息科技风险审计之 外包 外包是指企业动态地配置自身和其他 企业的功能和服务,并利用企业外部的资 源为企业内部的生产和经营服务。外包是 一个战略管理模型,举例来说,一个生产 企业,如果为了原材料及产品运输而组织 一个车队,在两个方面其成本会大大增加。第一,管理成本增加,因为它在运输领域不具备管理经验。第二,因管理不善,运输环节严重影 响生产和销售环节的工作,从而导致生产 和销售环节的成本增加。如果把运输业务 外包给专业的运输企业,则可以大幅度降 低上述成本。这些就是时代新威的工作人员根据日常工作的实际案例总结出的关于外包的重点利弊,也是外包工作中必须引起注意的地方。另一方面,企业也因市场竞争的激烈面临巨另一方面,企业也因市场竞争的激烈面临巨大的挑战大的挑战 。外包方式主要有合同业务管理方式(外包方式主要有合同业务管理方式(BMCBMC)和委托方式。和委托方式。合同业务管理方式纯粹是一种外包方购买第合同业务管理方式纯粹是一种外包方购买第三方服务模式,第三方(承包方)负责全部或大三方服务模式,第三方(承包方)负责全部或大部分投资和业务管理工作,并承担投资风险;外部分投资和业务管理工作,并承担投资风险;外包方只根据第三方完成业务的绩效和合同约束则包方只根据第三方完成业务的绩效和合同约束则购买服务,不用负责第三方的投资风险;合同终购买服务,不用负责第三方的投资风险;合同终止则合作终止。止则合作终止。信息科技风险审计之 内部审计 时代新威风险审计专家对于内部审计的定义是:对组织中各类业务和控制进行独立评价,以确定是否遵循公认的方针和程序,是否符合规定和标准,是否有效和经济的使用了资源,是否在实现组织目标。审计人员在进行审计时,常使用不同的 审计方法,有时同时结合几种审计方法进行 审计。实际操作中内部审计方法有多种,现总结整理如下(详情参考时代新威信息科技风险审计之内部审计)一、询问法也称为访谈法一、询问法也称为访谈法 是指审计人员与被审计单位或有关人员是指审计人员与被审计单位或有关人员进行面对面交谈,以了解有关情况、收集审进行面对面交谈,以了解有关情况、收集审计证据的一种方法。计证据的一种方法。询问法的使用范围包括:询问法的使用范围包括:在计划阶段中了解情况,实施阶段时收在计划阶段中了解情况,实施阶段时收集证据,报告阶段相互沟通情况等。内审人员集证据,报告阶段相互沟通情况等。内审人员在实施时要注意同时要有两名审计人中在场。在实施时要注意同时要有两名审计人中在场。二、审核法审核法是指对会计记录和 其他书面文章进行审阅与核对,这方 面占审计工作的比重比较大。它主要 在查阅会计资料、预算、计划、会议 记录及各种规章制度等资料使用。信息科技风险审计之 外部审计 外部审计是指独立于 政府机关和企事业单位以 外的国家审计机构所进行 的审计,以及独立执行业 务会计师事务所接受委托 进行的审计。外部审计实际上是对企业内部虚假、欺骗行为的一个重要而系统的检查,因此 起着鼓励诚实的作用:由于知道外部审计 不可避免地要进行,企业就会努力避免做 那些在审计时可能会被发现的不光彩的事。我国财政、银行、税务部门为了做好其本职工作,而对其管辖区各单位的业务(如税利上缴和信贷资金使用情况等)所进行的检查,不属于审计,更谈不上是外部审计,而只是经济监督中的财政监督、税务监督和信贷监督。外部审计包括国家审计和社会审计。国家审计是指由国家审计机关所实施的审计。国家审计的主体是审计署以及各 省、市、自治区、县设立的审计机关,对被审计单位的财务财政活动、执行财经法纪情况以及经济效益性 进行审计监督。社会审计是指由经政府有关部门审核批准的社会中介机构进行的审计,其主体是注册会计师。内部审计和外部审计的联系:内部审计和外部审计总体目标是一致的内部审计和外部审计总体目标是一致的,两者两者均是审均是审 计监督体系的有机组成部门。内部审计具计监督体系的有机组成部门。内部审计具有预防性、经常性和针对性有预防性、经常性和针对性,是外部审计的基础是外部审计的基础,对对外部审计外部审计 能起辅助和补充作用能起辅助和补充作用;而外部审计对内部而外部审计对内部审计又能起到支持和指导作用。由于内部审计机审计又能起到支持和指导作用。由于内部审计机构和外部审计机构和外部审计机 构所处的地位不同构所处的地位不同,它们在独立性、它们在独立性、强制性、权威性和公证作用方面又有较大的差别。强制性、权威性和公证作用方面又有较大的差别。以上就是信息科技审计所包括的具 体范围,既然了解了它都包括那些方面。下面我们来看一下时代新威内部总结关于信息科技审计具体的方法及过程。信息科技风险审计过程简略图:1.信息科技风险审计准备 1)审计准备 2)审计方案 3)审计计划1 1)审计准备:)审计准备:a.a.明确审计任务,确定审计重点明确审计任务,确定审计重点b.b.编制审计计划编制审计计划 审计计划分为总体审计计划和具体审计计审计计划分为总体审计计划和具体审计计 划。划。2 2)审计方案:)审计方案:审计方案是对具体审计项目的审计程序及其审计方案是对具体审计项目的审计程序及其时间等所做出的详细安排。时间等所做出的详细安排。a a、具体审计目的。、具体审计目的。具体审计目的是对总体审计的细化,直接用以指具体审计目的是对总体审计的细化,直接用以指导具体审计方法及程序。导具体审计方法及程序。b b、具体审计方法和程序。、具体审计方法和程序。c c、预定的执行人及执行日期。、预定的执行人及执行日期。d d、其他有关内容。、其他有关内容。3)审计计划:是指注册会计师为了完成各项审计业务,达到预期的审计目标,在具体执行审计程 序之前编制的工作计划。审计计划通常可 分为总体审计计划和具体审计计划两部分。2.信息科技现场审计 1)文件评审 2)访谈走查 3)技术测试3.信息科技风险分析评价 1)风险分析 2)风险评价 1)风险分析实际上就是贯穿在软件工程过程中的一系列风险管理步骤,其中包括:风险识别、风险估计、风险管理策略、风险解决和风险监督等。2)风险评价是 在风险识别和风险估测的基础上,对风险发生的概率,损失程度,结合其他因素进行全面考虑,评估发生风险的可能性及危害程度,并与公认的安全指标相比较,以衡量风险的程度,并决定是否需要采取相应的措施的过程 财务风险评价,主要是通过资产负债表、利润表、现金流量表,分析企业财务状况的变动趋势及资产、负债、收益之间的关系,从财务报表的会计信息中挖掘企业内在的财务关系。4.信息科技审计报告 1)审计发现确认 2)审计报告 3)改进建议 此文谨代表北京时代新威信息技术有限公司对于信息科技风险审计的部分意见和看法,仅供参考,希望对大家有所帮助。11、人生的某些障碍,你是逃不掉的。与其费尽周折绕过去,不如勇敢地攀登,或许这会铸就你人生的高点。12、有些压力总是得自己扛过去,说出来就成了充满负能量的抱怨。寻求安慰也无济于事,还徒增了别人的烦恼。13、认识到我们的所见所闻都是假象,认识到此生都是虚幻,我们才能真正认识到佛法的真相。钱多了会压死你,你承受得了吗?带,带不走,放,放不下。时时刻刻发悲心,饶益众生为他人。14、梦想总是跑在我的前面。努力追寻它们,为了那一瞬间的同步,这就是动人的生命奇迹。15、懒惰不会让你一下子跌倒,但会在不知不觉中减少你的收获;勤奋也不会让你一夜成功,但会在不知不觉中积累你的成果。人生需要挑战,更需要坚持和勤奋!16、人生在世:可以缺钱,但不能缺德;可以失言,但不能失信;可以倒下,但不能跪下;可以求名,但不能盗名;可以低落,但不能堕落;可以放松,但不能放纵;可以虚荣,但不能虚伪;可以平凡,但不能平庸;可以浪漫,但不能浪荡;可以生气,但不能生事。17、人生没有笔直路,当你感到迷茫、失落时,找几部这种充满正能量的电影,坐下来静静欣赏,去发现生命中真正重要的东西。18、在人生的舞台上,当有人愿意在台下陪你度过无数个没有未来的夜时,你就更想展现精彩绝伦的自己。但愿每个被努力支撑的灵魂能吸引更多的人同行。19、积极的人在每一次忧患中都看到一个机会,而消极的人则在每个机会中看到了某种忧患。莫找借口失败,只找理由成功。20、每一个成就和长进,都蕴含着曾经受过的寂寞、洒过的汗水、流过的眼泪。许多时候不是看到希望才去坚持,而是坚持了才能看到希望。1、有时候,我们活得累,并非生活过于刻薄,而是我们太容易被外界的氛围所感染,被他人的情绪所左右。2、身材不好就去锻炼,没钱就努力去赚。别把窘境迁怒于别人,唯一可以抱怨的,只是不够努力的自己。3、大概是没有了当初那种毫无顾虑的勇气,才变成现在所谓成熟稳重的样子。4、世界上只有想不通的人,没有走不通的路。将帅的坚强意志,就像城市主要街道汇集点上的方尖碑一样,在军事艺术中占有十分突出的地位。5、世上最美好的事是:我已经长大,父母还未老;我有能力报答,父母仍然健康。6、没什么可怕的,大家都一样,在试探中不断前行。7、时间就像一张网,你撒在哪里,你的收获就在哪里。纽扣第一颗就扣错了,可你扣到最后一颗才发现。有些事一开始就是错的,可只有到最后才不得不承认。8、世上的事,只要肯用心去学,没有一件是太晚的。要始终保持敬畏之心,对阳光,对美,对痛楚。9、别再去抱怨身边人善变,多懂一些道理,明白一些事理,毕竟每个人都是越活越现实。10、山有封顶,还有彼岸,慢慢长途,终有回转,余味苦涩,终有回甘。11、失败不可怕,可怕的是从来没有努力过,还怡然自得地安慰自己,连一点点的懊悔都被麻木所掩盖下去。不能怕,没什么比自己背叛自己更可怕。12、跌倒了,一定要爬起来。不爬起来,别人会看不起你,你自己也会失去机会。在人前微笑,在人后落泪,可这是每个人都要学会的成长。13、要相信,这个世界上永远能够依靠的只有你自己。所以,管别人怎么看,坚持自己的坚持,直到坚持不下去为止。14、也许你想要的未来在别人眼里不值一提,也许你已经很努力了可还是有人不满意,也许你的理想离你的距离从来没有拉近过.但请你继续向前走,因为别人看不到你的努力,你却始终看得见自己。15、所有的辉煌和伟大,一定伴随着挫折和跌倒;所有的风光背后,一定都是一串串揉和着泪水和汗水的脚印。16、成功的反义词不是失败,而是从未行动。有一天你总会明白,遗憾比失败更让你难以面对。17、没有一件事情可以一下子把你打垮,也不会有一件事情可以让你一步登天,慢慢走,慢慢看,生命是一个慢慢累积的过程。18、努力也许不等于成功,可是那段追逐梦想的努力,会让你找到一个更好的自己,一个沉默努力充实安静的自己。19、你相信梦想,梦想才会相信你。有一种落差是,你配不上自己的野心,也辜负了所受的苦难。20、生活不会按你想要的方式进行,它会给你一段时间,让你孤独、迷茫又沉默忧郁。但如果靠这段时间跟自己独处,多看一本书,去做可以做的事,放下过去的人,等你度过低潮,那些独处的时光必定能照亮你的路,也是这些不堪陪你成熟。所以,现在没那么糟,看似生活对你的亏欠,其实都是祝愿。
展开阅读全文