农信机构IT审计增值与控险途径分析

《农信机构IT审计增值与控险途径分析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、农信机构IT审计增值与控险途径分析近年来，农信机构运营管理的信息化步伐日趋加快。和省联社自杓杓年成立以来，已建成投产柜面业务、支付结算、自助服务、内部管理、风险防范等五大类70余个信息系统。信息系统建设在提升效率、增加效益的同时，也带来了潜在的信息科技风险。国内大型商业银行从上世纪90年代末就已开始逐步通过IT审计降低信息科技风险发生的可能性和影响。对IT审计在信息科技风险管理中的作用和价值，农信机构认识相对滞后，IT审计在防范信息科技风险和提升效益方面的作用亟待进一步发挥。一、IT审计现状****

2、年，和省联社设立了信息科技风险审计科，九家区域审计中心相继设立了信息科技风险审计科，部分县级法人行社也设置了信息科技风险审计岗位，全省共配备专职、兼职IT审计人员20余人，在省联社稽核审计部指导下开展IT审计工作。在IT审计的起步阶段，杓省联社研究确立了523〃的IT审计工作思路，即编制1项工作规划，制定2项IT审计制度，每年至少开展3项IT审计项冃。按照这个思路，省联社组织编制了《和和至和杓年度和省农信机构信息科技风险审计三年工作规划》，为IT审计工作的开展指明了方向；制定发布了《和省农信机构信息

3、科技风险审计管理办法》和《和省农信机构稽核审计现场检查操作细则》两项IT审计制度，为IT审计提供了基本的制度依据；陆续开展了信息科技运维审计、IT外包审计、中心机房标准化管理审计、系统管理员履职评价审计、业务连续性管理审计、重要信息系统应急管理审计和信息科技全面审计等一系列IT审计项目，基本履行了信息科技风险管理"第三道防线"的职责。尽管如此，总体来看，杓省农信机构IT审计工作仍处于起步摸索阶段，与大型银行和国内先进同业相比还有较大差距。二、IT审计工作的不足从**省联社、9家区域审计中心和部分县级

4、法人行社近年来的IT审计工作情况来看，和省农信机构IT审计工作主要存在以下不足。体制机制不健全。近年来，**省联社带领辖内农信机构开展了大规模的信息化建设，促进了各项业务的发展和管理水平的提升。但在信息化建设初期，一些机构对信息科技风险的认识还不到位，还存在〃重信息系统开发建设、轻信息科技风险管控〃的倾向，IT审计的体制机制还不健全，对IT审计投入的人力、财力和物力相对不足。这些问题从根本上制约了IT审计充分发挥防范信息科技风险、增加价值等方面的作用。人力资源匮乏，IT审计参与程度较低。目前，**省

5、联社仅配备了一名专职IT审计人员，对于五大类70余种信息系统来说，人员的配备明显不足；辖内各区域审计中心和县级法人行社也不同程度地配备了部分专职、兼职的IT审计人员，但整体上IT审计人员配备不足。同时，IT审计人员普遍缺乏信息科技审计背景和工作经验，未接受过理论化、系统化和规范化的培训，专业能力普遍不强。IT审计标准缺乏。IT审计标准缺乏是国内金融机构普遍面临的问题。目前,**省农信机构的IT审计标准主要以银监会发布的《商业银行信息科技风险管理指引》及中国内审协会发布的《第2203号内部审计具体准则

6、一一信息系统审计》为依据，但这两个文件也仅对IT审计的定义、权限、职责、审计频率、审计内容和方法等予以明确，没有具体可参考的行业审计标准，在IT审计实务中缺乏可操作性。IT审计手段单一，缺乏深度和广度。目前，IT审计还停留在文档审查、访谈和基线比对等传统的、"大海捞针"式的现场审计层面，审计手段比较单一，审计效率较低，机构尚没有能力开展信息系统开发、日志审查和数据库审计等深层次的审计活动，审计的深度和广度明显不足。IT审计定位不准，与业务融合度不高。IT审计的最终目标是保证IT战略与业务发展战略的一

7、致性，进而实现价值增值。和省联社目前的IT审计项目仅单纯从IT技术和IT管理角度开展，忽视了IT所支撑的相关业务；而业务审计也不能兼顾相关的IT技术和管理的审计。总体来看，IT审计与业务审计的融合度不高，作用和价值发挥不充分。IT审计成果运用不足，整改率偏低。IT审计的根本冃的是整改审计发现的问题和运用审计成果。杓省农信机构采用了大集中式的IT架构，信息系统后台主要集中在省联社，信息科技风险也主要集中在省联社，省联社信息科技风险管理"三道防线〃之间的沟通协调存在一定困难。审计发现的问题整改不到位、审

8、计成果运用不充分等问题在一定程度上制约了IT审计工作的成效。三、IT审计防范风险和增加价值的途径建立健全体制机制，先“形似"，再“神似〃。一是要解决〃形似〃问题，在省联社层面构建省联社理事会、审计委员会、行业审计部门、区域审计中心四层审计体系。一方面要对省联社口身管理的信息系统进行内部审计；另一方面要对辖内机构的信息系统使用管理情况开展行业审计;在各行社层面，构建理（董）事会、审计委员会、内部审计部门三级内部审计体系，主要是开展信息系统使用和管理内部审计。二是要解决〃