[摘要] 本文從商業(yè)銀行業(yè)務(wù)高風(fēng)險(xiǎn)性的特點(diǎn)以及信息系統(tǒng)自身的特點(diǎn)出發(fā)，指出商業(yè)銀行實(shí)施IT審計(jì)的必要性。并通過分析商業(yè)銀行IT審計(jì)的現(xiàn)狀及存在的一些問題，從IT審計(jì)制度、IT審計(jì)人才培養(yǎng)等方面提出了商業(yè)銀行IT審計(jì)的發(fā)展對(duì)策。

[關(guān)鍵詞] 商業(yè)銀行IT審計(jì)

隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，商業(yè)銀行在處理業(yè)務(wù)時(shí)對(duì)計(jì)算機(jī)信息系統(tǒng)的應(yīng)用程度越來越高。信息系統(tǒng)就像一把雙刃劍，它在帶來經(jīng)濟(jì)效益的同時(shí)，也使商業(yè)銀行面臨巨大的風(fēng)險(xiǎn)，因此對(duì)信息系統(tǒng)進(jìn)行嚴(yán)格規(guī)范的控制尤為重要。為了保證信息系統(tǒng)的安全、可靠與有效，實(shí)施有效的IT審計(jì)成為商業(yè)銀行一項(xiàng)迫在眉睫的任務(wù)。

一、商業(yè)銀行實(shí)施IT審計(jì)的必要性

1.這是由商業(yè)銀行業(yè)務(wù)高風(fēng)險(xiǎn)性的特點(diǎn)決定的

商業(yè)銀行本身是一個(gè)高風(fēng)險(xiǎn)行業(yè)，在銀行業(yè)務(wù)中的主要風(fēng)險(xiǎn)包括：戰(zhàn)略性的，名譽(yù)性的，操作的，信用，貨幣兌換，利率，流動(dòng)性。隨著銀行業(yè)務(wù)信息化程度的提高，特別是近年來網(wǎng)絡(luò)銀行和信用卡的興起，銀行的業(yè)務(wù)和信息系統(tǒng)之間的聯(lián)系不斷加強(qiáng)，信息系統(tǒng)需要不斷的修改和完善以適應(yīng)業(yè)務(wù)發(fā)展的要求。當(dāng)信息系統(tǒng)跟不上業(yè)務(wù)發(fā)展的需要時(shí)，就會(huì)造成系統(tǒng)故障，系統(tǒng)錯(cuò)誤等情況，導(dǎo)致一些業(yè)務(wù)不能正常開展，這使得商業(yè)銀行面臨的戰(zhàn)略性，名譽(yù)性，操作性的風(fēng)險(xiǎn)越來越大。為減少這些風(fēng)險(xiǎn)，這就需要IT審計(jì)對(duì)系統(tǒng)進(jìn)行嚴(yán)格的規(guī)范控制，對(duì)信息系統(tǒng)進(jìn)行綜合的檢查和評(píng)價(jià)以保證信息系統(tǒng)適應(yīng)銀行業(yè)務(wù)發(fā)展的需要。

2.這由信息系統(tǒng)本身的特點(diǎn)所決定的

信息系統(tǒng)的開發(fā)是一項(xiàng)長(zhǎng)期而且龐大的工程，需要耗費(fèi)大量的人力、物力以及財(cái)力，它具有投資大，風(fēng)險(xiǎn)高的特點(diǎn)，若開發(fā)不當(dāng)，則可能會(huì)使信息系統(tǒng)無法投入使用，或即使能勉強(qiáng)投入使用，但在使用過程中也會(huì)錯(cuò)誤不斷，需要極高的成本來維護(hù)系統(tǒng)，因此需要IT審計(jì)對(duì)信息系統(tǒng)的開發(fā)過程進(jìn)行跟蹤審計(jì)，及時(shí)發(fā)現(xiàn)并改正錯(cuò)誤，保證信息系統(tǒng)的質(zhì)量，降低系統(tǒng)后期的維護(hù)成本。同時(shí)，由于并不存在十全十美的信息系統(tǒng)，也不可能在系統(tǒng)開發(fā)過程中發(fā)現(xiàn)全部潛在的錯(cuò)誤，這使得在系統(tǒng)運(yùn)行過程中可能會(huì)出現(xiàn)系統(tǒng)故障，系統(tǒng)錯(cuò)誤，黑客攻擊漏洞等情況，這可能會(huì)使數(shù)據(jù)被破壞，客戶隱私被泄露，經(jīng)濟(jì)效益遭受損失，對(duì)商業(yè)銀行的聲譽(yù)、經(jīng)營(yíng)造成影響。這就需要在信息系統(tǒng)運(yùn)行維護(hù)階段進(jìn)行IT審計(jì)找出系統(tǒng)的缺陷和不足，并提出改進(jìn)和完善的意見，以保障系統(tǒng)安全、可靠以及有效的運(yùn)行。

二、商業(yè)銀行IT審計(jì)的現(xiàn)狀及改進(jìn)措施

1.建立完善的商業(yè)銀行IT審計(jì)制度

在我國(guó)制度創(chuàng)新還跟不上IT的發(fā)展，相關(guān)的IT審計(jì)法規(guī)、準(zhǔn)則存在著一定的滯后現(xiàn)象，目前存在相關(guān)法規(guī)、準(zhǔn)則僅有審計(jì)署于1996年頒布的《審計(jì)機(jī)關(guān)計(jì)算機(jī)輔助審計(jì)辦法》，1999年頒布的《獨(dú)立審計(jì)具體準(zhǔn)則第20號(hào)——計(jì)算機(jī)信息系統(tǒng)環(huán)境下的審計(jì)》等幾個(gè)。而近年來IT發(fā)展迅速，這些法規(guī)、準(zhǔn)則不一定能適應(yīng)新的系統(tǒng)環(huán)境，這將會(huì)給商業(yè)銀行的IT審計(jì)的實(shí)際操作帶來一些困難和影響。為了促進(jìn)商業(yè)銀行的IT審計(jì)的發(fā)展，應(yīng)該完善相關(guān)的法規(guī)、準(zhǔn)則，使之跟得上IT的發(fā)展。同時(shí)，根據(jù)國(guó)際趨同的要求，我國(guó)也應(yīng)根據(jù)國(guó)際IT審計(jì)的國(guó)際標(biāo)準(zhǔn)——COBIT（信息系統(tǒng)和技術(shù)控制標(biāo)準(zhǔn)）建立符合中國(guó)實(shí)際、順應(yīng)國(guó)際準(zhǔn)則趨同化要求的內(nèi)控、風(fēng)險(xiǎn)管理體系、IT監(jiān)審機(jī)制和制度。

2.加強(qiáng)IT審計(jì)的連續(xù)性

由于商業(yè)銀行信息系統(tǒng)的開發(fā)多采用外包方式，這使得在實(shí)施IT審計(jì)時(shí)容易忽視信息系統(tǒng)開發(fā)階段的IT審計(jì)，使得IT審計(jì)缺乏連續(xù)性。而系統(tǒng)開發(fā)階段存在的一些潛在的問題可能會(huì)系統(tǒng)在運(yùn)行維護(hù)階段逐漸暴露出來，這個(gè)時(shí)候就需要去系統(tǒng)本身進(jìn)行修正，與在系統(tǒng)開發(fā)階段進(jìn)行的修正相比，此時(shí)的花費(fèi)的成本將更高。因此，需要加強(qiáng)在系統(tǒng)開發(fā)階段的IT審計(jì)，加強(qiáng)IT審計(jì)的連續(xù)性，這將有助于保障高質(zhì)量的信息系統(tǒng)的開發(fā)，減少系統(tǒng)存在的潛在問題，降低運(yùn)行維護(hù)階段的維護(hù)成本。

3.提高商業(yè)銀行內(nèi)部IT審計(jì)的質(zhì)量

商業(yè)銀行一般都擁有自己的IT部門，由于部分內(nèi)審人員計(jì)算機(jī)知識(shí)與技能有限，這使得在進(jìn)行內(nèi)部審計(jì)時(shí)會(huì)在一定程度上依賴IT部門的人員的幫助，誠(chéng)然這些IT部門的人員對(duì)于計(jì)算機(jī)知識(shí)以及相關(guān)的業(yè)務(wù)十分熟悉，有利于內(nèi)部審計(jì)的實(shí)施，但是這卻讓他們擁有運(yùn)動(dòng)員和裁判員的雙重身份，使得內(nèi)部審計(jì)的獨(dú)立性遭到質(zhì)疑，內(nèi)部審計(jì)的質(zhì)量得不到保證。而高質(zhì)量的內(nèi)部審計(jì)能使信息系統(tǒng)安全、可靠以及有效的運(yùn)行，同時(shí)也使信息系統(tǒng)容易通過外部審計(jì)。因此，需要在商業(yè)銀行內(nèi)部設(shè)立獨(dú)立于IT部門的IT審計(jì)部門，實(shí)施有效的內(nèi)部審計(jì)。

4.培養(yǎng)IT審計(jì)專業(yè)人員

我國(guó)商業(yè)銀行IT審計(jì)起步較晚，IT審計(jì)專業(yè)人員在數(shù)量上嚴(yán)重不足，同時(shí)在專業(yè)技能方面與國(guó)外相比也存在一定的差距，而這些因素也在一定程度上影響了商業(yè)銀行IT審計(jì)質(zhì)量的提高，因此需要大力培養(yǎng)IT審計(jì)專業(yè)人員。對(duì)此，我們可采取專家講課、委托培訓(xùn)、公派交流學(xué)習(xí)等措施來培養(yǎng)IT審計(jì)人員，提高IT內(nèi)審人員的素質(zhì)。

5.借鑒國(guó)外的一些先進(jìn)經(jīng)驗(yàn)

我國(guó)IT審計(jì)起步較晚，雖然在近年來取得了較快的進(jìn)步，但相對(duì)于一些起步較早的國(guó)家而言，總體水平并不是很高。我們可以根據(jù)自身的實(shí)際情況，借鑒一些適合我國(guó)國(guó)情的先進(jìn)經(jīng)驗(yàn)，比如：挪威的數(shù)據(jù)獲取自動(dòng)化（TOMAS）系統(tǒng)，它能在提高效率保證質(zhì)量的同時(shí)，使審計(jì)人員可以采集存儲(chǔ)在財(cái)務(wù)管理會(huì)計(jì)系統(tǒng)中的基本數(shù)據(jù)而不增加被審計(jì)單位的安全風(fēng)險(xiǎn)；美國(guó)利用互聯(lián)網(wǎng)實(shí)施聯(lián)網(wǎng)審計(jì)，審計(jì)人員可以通過網(wǎng)絡(luò)獲取被審計(jì)單位的有關(guān)資料開展審計(jì)工作等。

參考文獻(xiàn)：

[1]胡克瑾:IT審計(jì)[M].北京:電子工業(yè)出版社，2004

[2]中國(guó)工商銀行內(nèi)部審計(jì)局課題組.關(guān)于商業(yè)銀行IT審計(jì)問題的研究[J].金融論壇，2005，11

[3]王娜:IT審計(jì)對(duì)傳統(tǒng)審計(jì)的撞擊[J].中國(guó)審計(jì)，2001，10