内控审计参考资料.ppt

《内控审计参考资料.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、目录内部控制定义信息科技层面评估架构IT公司层面控制IT一般性控制应用程序控制IT审计的参考标准内部控制定义(续）Basel内部控制框架的定义Internalcontrolisaprocesseffectedbytheboardofdirectors,seniormanagementandalllevelsofpersonnel.Itisnotsolelyaprocedureorpolicythatisperformedatacertainpointintime,butratheritisconti

2、nuallyoperatingatalllevelswithinthebank.Theboardofdirectorsandseniormanagementareresponsibleforestablishingtheappropriateculturetofacilitateaneffectiveinternalcontrolprocessandformonitoringitseffectivenessonanongoingbasis;however,eachindividualwithinan

3、organisationmustparticipateintheprocess.内部控制定义(续）COSO内部控制定义内部控制被宽泛地定义为一个由主体的董事会、管理层和其他人员实施的、旨在为实现以下各类目标提供合理保证的过程：经营的有效性和效率财务报告的可靠性符合适用的法律和法规内部控制定义(续）内部控制是：为实现经营目标的动态过程和机制一系列的：制度程序方法对风险进行事前防范、事中控制、事后监督和纠正高级管理层责任需要全体职工参与的工作需要通过监控来确保有效性流程A商业流程/交易类别关键应用程序I

4、T基础设施服务数据库管理系统操作系统网络/硬件流程B流程C应用程序X应用程序Y应用程序Z流程AIT一般控制控制环境程序开发程序变更访问控制系统运行应用系统自动控制输入控制校验控制系统接口系统计算权限控制信息系统控制识别信息系统范围商业流程/交易类别战略风险运营风险财务风险合规风险IT公司层面控制信息科技层面评估架构信息科技层面评估架构（续）信息系统控制评估的建议构架基于国际通行的评估标准。其中，IT公司层面控制评估是基于COSO模型，IT一般性控制和应用程序控制评估是基于COBIT©模型。监控信息与

5、沟通控制活动风险评估控制环境合规性操作财务报告应用程序控制COSOIT公司层面控制IT一般性控制信息科技层面评估架构（续）风险评估信息技术风险评估目标的设定技术风险的识别机制及风险分析降低风险的行动计划与预算控制活动制定各类程序和政策根据风险执行相应信息系统控制信息技术职责分工信息与沟通关注战略一体化的信息系统与信息质量关注内部与外部的沟通及其沟通方式控制环境信息技术员工诚信和道德价值观信息技术员工胜任能力管理层/董事会对信息技术的关注信息技术组织结构信息技术策略与制度数据和应用系统的归属制与职责分

6、离COSO“内部控制-整体框架”监控进行持续性信息系统监督活动信息系统的独立评估体系适宜的信息技术内部审计计划信息系统缺陷报告控制环境风险评估控制活动信息与沟通监控合规性操作财务报告信息科技层面评估构架（续）COBIT4.1包含34个信息技术过程控制，并归集为四个控制域：计划与组织获取与实施交付与支持监控与评价COBIT(ControlObjectivesforInformationandrelatedTechnology，信息及相关技术的控制目标)是国际公认的IT治理框架，为企业管理者、用户、信息

7、系统审计和安全从业者提供了一个优良参考构架.。信息科技层面评估架构（续）应用程序控制简介应用程序控制是业务流程中控制的一部分，是在应用系统中由程序自动执行的控制，用以替代很多由人工完成的基础性检查工作。由于应用程序控制普遍适用于各种交易的处理，所以应用程序控制是否有效对于内控的有效性有着重要的影响。应用程序控制可以分为两类：系统自动控制由系统自动完成的控制，无需人工干预，在开发系统时已经考虑并嵌入到系统中。人工依赖系统控制由系统完成部分的控制，需要人工干预，且控制是否有效会受到人为因素的影响。控制目

8、标控制类型人工自动预防性发现性人工控制人工依赖系统控制系统自动控制信息科技层面评估架构（续）应用程序控制类型：信息科技层面评估架构（续）应用程序控制类型实时校验/编辑检查控制：也称为系统录入控制，这类控制主要是确保录入到系统中的数据的准确性，进行录入时系统会对重要字段的合理性、合规性和准确性进行检查，防止一些不合适的数据被系统接受，造成系统数据的不真实和垃圾数据的产生登陆权限/岗位分离控制：系统中用户的权限设置是否合理，是否按照职责需要进行授权，是否考虑到岗位分离的情