央行信息技术审计模式研究

摘要：目前，人民银行的风险导向审计模式已经基本确立，但在信息技术审计领域应用还不够广泛。本文以风险导向为切入点，在分析评价人民银行信息技术审计现状的基础上，从风险识别、风险评估、风险管理及结果运用3方面探索构建人民银行信息技术风险评估模型，结合现场审计进行实证分析，研究如何围绕风险开展人民银行的信息技术审计。

关键词：人民银行；信息技术；审计；风险评估模型

一、引言

随着信息化的迅猛发展，人民银行对信息技术的依赖程度不断提高，信息技术己经成为人民银行日常运营的基础平台和金融创新的重要手段。但信息技术在迅速发展的同时，也带来了巨大的技术风险，一旦发生问题，将直接影响业务的连续性，使人民银行而临财务损失和声誉风险，甚至影响银行业的安全。因此，发现信息技术潜在的风险点，采用风险导向审计模式开展信息技术审计，一方而能够最大程度防范信息技术风险，确保各项业务安全、稳定、高效运行;另一方而能够节约审计成本，提高审计效率和质量，增加审计的组织价值。

二、央行信息技术审计现状

人民银行自2000年左右提出信息技术审计的概念，经过多年的探索与发展，由对单个重要业务系统逐渐向对机房、数据库等信息技术的核心开展审计，审计范围覆盖了网络管理与安全、操作系统和数据库管理、电子化设备管理、大小额支付系统、会计核算系统、国库系统、征信系统和反洗钱系统等业务领域，有效促进了信息系统内部控制和风险管理水平的提高。在此基础上，2009年起，人民银行开展了更具综合性的信息技术应用和系统运行管理专项审计(后称为“科技综合管理专项审计”)，该项目涉及分支行科技管理的各个方而，促进了分支行科技管理水平和信息安全意识的提高。同时，在开展的过程中不断深化，融入绩效审计理念，在关注系统安全性的同时，也关注信息系统建设和运行的经济性、效率性和效果性。近两年，央行探索将信息技术审计与业务审计相结合，开展了国库会计核算业务与系统运行管理、二代支付系统等专项审计，力求从业务的角度审视技术的支持保障能力，从技术的角度评估业务的风险防控能力。近几年，传统的合规性信息技术审计所依赖的审计依据往往跟不上信息技术的发展和变化，同时也较多依赖审计人员的个人能力，审计中缺乏重点，虽然而而俱到，但审计成果琐碎平淡，缺少深度和建设性。因此，信息技术审计人员必须在审计中引入风险导向审计模式，不断地向技术的更深层而挖掘风险，不断提升审计成果的附加值和说服力。

三、央行信息技术风险评估模型构建

风险导向审计的基础是识别和评估风险，因此，开展风险导向审计首先要构建合适的风险评估模型，以实现对风险的量化分析。风险评估是指内审部门采用剩余风险评估模型，运用规范的定性、定量方法，通过风险识别、固有风险评估、控制有效性评估、剩余风险计算，确定评估对象的风险级别。

(一)风险识别

风险识别是风险评估工作的基础和关键环节，只有了解和掌握被审计业务领域存在的具体风险事件，才能进一步开展评估、实施审计。风险识别程序要求采用一种有计划的、经过深思熟虑的方法，来识别业务各个方而存在的潜在风险，并识别可能在合理的时间段内影响每项业务的较为重大的风险。信息技术风险是组织在信息处理和信息技术运用过程中产生的可能影响组织目标实现的各种不确定因素，表现形式有自然灾害、人为破坏、设备故障、内部与外部攻击、数据误用、数据丢失以及应用程序错误等。保障人民银行信息安全除了须保障物理环境、网络、主机、应用、数据等技术领域的安全之外，还涉及组织与计划、开发与采购、运维与外包以及应用控制等领域的安全控制。

(二)风险评估

风险评估就是对风险的成本、影响及发生的可能性进行评估，有效的风险管理技术一般会量化风险，运用风险评估模型，针对识别出的“风险事件清单”中的每一项风险事件，依次计算固有风险和剩余风险级别，风险的计算采用加权法，各风险级别均划分为1-4级，1级风险最低，4级风险最高。1.固有风险评估<1)风险事件固有风险评估风险事件固有风险评估是量化评估风险的起点和基础，利用德尔菲法，采用风险矩阵，从风险发生可能性和风险影响程度两个维度进行度量，将两者级别分别标注在风险矩阵的相应区域，交汇区域即为该风险事件的风险级别。风险矩阵如图1所示。<2)业务领域固有风险评估根据风险事件对应业务的业务量及工作量大小确定各风险事件权重，根据风险事件权重及风险等级计算业务领域固有风险级别。业务领域固有风险级别二E(该业务领域风险事件权重X该业务领域风险事件风险级别)一E该业务领域风险事件权重。2.内部控制有效性评估根据搜集的资料以及审计经验，从近期各类信J急技术审计、专项检查结果以及信息技术内部控制变化情况等方而，对各业务领域内部控制进行有效性评估。其中，各类审计、检查结果评定指标为检查频率、所发现问题的数量及严重程度;内部控制变化情况评定指标为问题整改情况以及内部控制变化情况。内部控制有效性越高，对应的风险级别越低，反之，风险级别越高。3.乘余风险评估根据内控有效性的风险，通过剩余风险评估模型计算各业务领域的剩余风险级别。剩余风险级别二(艺各类固有风险权重X风险级别十E各项内部控制有效性权重X风险级别)一<E各类固有风险权重十E各项内部控制有效性权重)，其中，各项内部控制有效性权重二25%XE该业务领域风险事件固有风险权重。

(三)风险管理效果评估及结果运用

根据各业务领域剩余风险级别计算剩余风险平均值，以此判断被审计单位信息技术风险控制状况，并提供合理的审计建议。同时，可参照剩余风险值，制定审计计划及频率，明确信息技术的审计重点。风险管理效果评估见表1所列。

(四)案例分析—以科技综合管理专项审计为例

在对某地市中支的科技综合管理专项审计中，笔者结合现场审计情况，运用此模型对被审计单位的信息技术风险管理情况进行评估。根据审计内容，将被审计单位科技综合管理划分成七大业务领域共33类风险事件。七大业务领域分别为内部控制、机房管理、网络管理、系统运维管理、管理、设备采购及外包服务管理，以及应急、备份和文档管理。以机房管理领域为例，共有6类风险事件，根据业务的重要程度、发生可能性以及业务量的大小，结合以往审计经验，利用德尔菲法，依次评定了各风险事件的固有风险、权重以及该业务领域的固有风险，其风险事件清单及固有风险评估见表2所列。根据现场审计情况，并调阅近期对被审计单位科技管理的各项审计、检查材料，对各业务领域的控制有效性风险级别进行评定，并计算出各业务领域的剩余风险以及科技综合管理剩余风险级别。剩余风险评估见表3所列。评估结果显示，被审计对象科技综合管理平均剩余风险级别为2.38，属于“0-2.5”层次，对照《风险管理效果评估表》，该单位的科技风险控制情况较好，可将审计频率定为5年一次，并在审计中重点关注管理、网络管理、机房管理以及设备采购和外包服务管理等风险级别较高领域。

四、建立央行信息技术风险导向审计模式

风险导向审计模式并不仅仅是风险评估，其核心在于围绕风险开展审计，下而将探讨如何围绕风险开展信息技术审计项目，将“风险引导审计，审计关注风险”的理念贯穿于信息技术审计项目的全过程。

(一)以风险为导向编制信息技术审计整体规划

这是风险导向内部审计方法在宏观层而的运用，根据风险评估的结果重新审视和规划信息技术审计的业务范围，各审计对象的审计频率以及审计方式、方法等。可通过构建信息技术风险数据库，从组织机构和业务领域两个维度记录信息技术风险评估数据，根据信息技术风险数据库“自上而下”制定信息技术审计整体规划。在构建信息技术风险数据库时，须根据业务关注度、信息资产的重要性、对信息技术的依赖程度、信息技术人员的专业胜任能力等因素对信息技术管理现状进行一次全而评估。

(二)以风险为导向编制信息技术年度审计计划

参照信息技术审计整体规划编制年度审计计划，优先对高风险领域、高风险机构实施审计。同时，应根据本年度工作重点、热点和难点以及管理层关注事项对年度审计计划作出适当调整，选择被审计对象及业务种类，梳理形成本年度信息技术审计项目清单、审计项目日程表以及审计项目所需资源等。在梳理信息技术审计项目清单时，可根据业务复杂度、业务间关联性等选择对某一个业务领域开展审计，或选择将多个业务领域组合起来开展综合性审计。

(三)以风险为导向开展审计项目

信息技术审计程序可以划分为审前准备阶段、现场实施阶段、审计报告与后续跟踪阶段，各阶段均应体现风险导向要求。在审前准备阶段，通过审前调查情况，动态调整权重和风险级别，并提前调取被审计单位内控制度、岗位分工、系统日志以及网络配置等电子版资料，对收集的资料、数据进行非现场分析，列出审计疑点和问题线索，并计算各业务领域剩余风险，根据审计风险评估结果制定实施方案。在现场实施阶段，应紧紧围绕风险实施现场审计，按照审计方案、风险事件清单，选择与风险性质和特点相适应的审计方法，对风险级别高的事件和隐患进行深入分析和排查，充分体现“风险引导审计”原则。在审计报告阶段，内审人员应以有效降低信息技术风险，保障各业务的连续性为目的，报告被审计对象信息技术问题缺陷，围绕风险深入分析问题产生的原因，从防范和化解风险的角度提出切实可行的审计建议。在后续跟踪阶段，对于审计中风险隐患较大、发生频率较高的问题应持续跟踪，并根据后续跟踪及整改情况更新信息技术风险数据库，调整信息技术审计整体规划。

五、行信息技术审计中的全方位推广奠定坚实的基础。

(二)着力培养信息技术审计与风险评估人才

在信息技术审计中运用风险导向审计方法，不仅要求审计人员具备信息技术领域的专业知识，还须具备运用风险评估技术的能力，因此，复合型人才的培养与储备是基于风险导向信息技术审计模式实施必不可少的前提条件。人民银行各级分支机构可以通过向审计部门输送新的信息技术人才、开展后续教育及培训等方式，逐步建立具有信息技术领域专业素养和风险评估技术的复合型内审人才队伍。

(三)循序渐进推行风险导向审计模式

基于风险导向的信息技术审计模式是在传统信息技术审计模式基础上发展起来的，因此，在实施新模式的同时应注重与传统模式的有机结合，注重对传统模式所取经验的吸收与利用，注重新旧审计模式的互为补充，循序渐进地推行新模式，从而更加有效地提升央行信息技术审计的质量与效率。

(四)建立风险导向信息技术审计模式运用机制

不断加大基于风险导向信息技术审计模式试点工作，加大新审计模式在实际审计项目中的运用探索，不断完善其运用流程、方法等，待时机成熟时出台相关规章制度，为新审计模式的运用提供制度保障，从而建立风险导向信息技术审计模式运用长效机制。

六、深入推进央行信息技术风险导向审计的建议

(一)尽快建立央行风险评估信息数据库

建立央行风险评估信息数据库，完整记录央行信J急技术风险评估各期数据，编制风险原因分析字典，这将有利于评估数据的采集、分析以及不同时期、不同对象风险状况之间的比对，为风险导向内部审计模式在央行信息技术审计中的全方位推广奠定坚实的基础。

(二)着力培养信息技术审计与风险评估人才

在信息技术审计中运用风险导向审计方法，不仅要求审计人员具备信息技术领域的专业知识，还须具备运用风险评估技术的能力，因此，复合型人才的培养与储备是基于风险导向信息技术审计模式实施必不可少的前提条件。人民银行各级分支机构可以通过向审计部门输送新的信息技术人才、开展后续教育及培训等方式，逐步建立具有信息技术领域专业素养和风险评估技术的复合型内审人才队伍。

(三)循序渐进推行风险导向审计模式

基于风险导向的信息技术审计模式是在传统信息技术审计模式基础上发展起来的，因此，在实施新模式的同时应注重与传统模式的有机结合，注重对传统模式所取经验的吸收与利用，注重新旧审计模式的互为补充，循序渐进地推行新模式，从而更加有效地提升央行信息技术审计的质量与效率。

(四)建立风险导向信息技术审计模式运用机制

不断加大基于风险导向信息技术审计模式试点工作，加大新审计模式在实际审计项目中的运用探索，不断完善其运用流程、方法等，待时机成熟时出台相关规章制度，为新审计模式的运用提供制度保障，从而建立风险导向信息技术审计模式运用长效机制。

作者：汪琳 单位：中国人民银行南京分行