保险公司信息系统审计.pdf

《保险公司信息系统审计.pdf》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、保险公司信息系统审计介绍2011年8月目录目录1IT审计概述2监管要求和审计标准介绍3保险公司IT审计内容4经验分享页数21.IT审计概述页数31.IT审计概述什么是信息系统审计？信息系统审计是指为了信息系统的安全，可靠与有效，由独立于审计对象的IT审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合检查与评价，向IT审计对象的最高领导，提出问题与建议的一连串活动。页数41.IT审计概述IT审计协会-ISACA信息系统控制与审计协会ISACA(InformationSystemAuditandControlAssociati

2、on)是国际上唯一的IT审计师的专业组织，总部设在美国，目前已经在世界上100多个国家设立了160多个分会，现有会员两万多人。该协会通过指定和颁布信息系统审计准则和实务指南等来规范和指导IT审计师工作。ISACA还在许多国家举办注册IT审计师CISA(CertifiedInformationSystemAuditor)考试。页数51.IT审计概述IT内审范围确定由于内部审计只对本单位负责，并根据本单位的安排进行审计，在审计范围的确定上有一定自主性，审计范围可分为以下两类：►全面的信息系统审计►专项信息系统审计，如►系统开发审计►网络

3、安全专项审计►系统安全参数配置审计页数61.IT审计概述信息系统内部审计的实现模式►全部外包：将内审测试全部外包给第三方公司，公司只需指定少量人员配合外部人员完成内审►部分外包：将部分内审工作(比如，网络安全审计)外包给第三方公司，公司与第三方公司共同完成内审工作►内部完成：独立完成公司内部审计，需要建立内审部门，组建专门的IT内审团队完成内审工作，内审人员需要了解公司业务并具有丰富的信息系统审计经验无论通过何种模式来实施IT内审，公司均需要建立风险管理构架，进行全面的风险评估，根据评估结果确定内部审计的范围和重点以保证IT内审的有

4、效性和内审工作效率页数71.IT审计概述IT内部审计与外部审计内部审计师外部审计师信息系统外部审计内部审计►独立于企业的第三方实►企业内部实施审计，施审计满足企业审计需求►以对财务的影响作为审►全面的审计计的出发点►专项审计页数82.监管要求和审计标准介绍页数92.监管要求和审计标准介绍中国保险业监督管理委员会（以下简称“保监会”）历来高度重视信息化管理工作，将信息科技风险纳入行业风险进行统一管理，不断推进各项信息安全监管措施：2006►《寿险公司内部控制评价办法（试行）》2007►《保险公司内部审计指引（试行）》►《保险公司合规管

5、理指引》►《保险公司风险管理指引（试行）》►《保险业信息系统灾难恢复管理指引》2008►财政部、证监会、审计署、保监会和银监会联合发布《企业内部控制基本规范》►《保险公司信息化工作管理指引（试行）》2009►《保险公司内部控制基本准则》►《保险信息安全风险评估指标体2010系规范》来源：中国保险监督管理委员会网站页数102.监管要求和审计标准介绍《信息化管理工作指引》为加强保险公司信息化工作管理，促进信息化工作规范化与标准化建设，提高保险业信息化工作水平，2009年12月，中国保险监督管理委员会发布了第133号文件《保险公司信息化工

6、作管理指引（试行）》，要求保险公司自2010年1月1日遵照执行。该指引适用于中国境内依法设立的保险公司和保险资产管理公司，并从五个方面：组织管理与规划、基础环境与信息系统建设、安全保障与风险控制、发展环境、审计与备案，对信息化管理工作提出要求并进行指导。其中特别提出由独立于信息技术部门的有关部门负责信息系统审计工作，至少每两年进行一次审计。审计结果应在审计完成后三个月内报保监会备案。并鼓励公司在符合国家有关法律、法规和监管要求情况下，聘请具备相应资质的外部机构进行外部审计和风险评估。综上可看出，监管要求的信息系统审计最迟必须于今年底

7、2011年12月31日前完成。页数112.监管要求和审计标准介绍《企业内部控制基本规范》概述►2008年五月二十日，由财政部牵头下发了《企业内部控制基本规范》，要求自2009年7月1日起，上市公司应对本公司的内部控制有效性进行自我评价，披露当年的自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。►为了配合《企业内部控制基本规范》的施行，财政部会同国务院拟制定以下指引供企业参考。►《企业内部控制评价指引》►《企业内部控制应用指引》►《企业内部控制审计指引》►财政部会同证监会、审计署、银监会、保监会，

8、于2008年6月28日正式发布《企业内部控制基本规范》。页数122.监管要求和审计标准介绍风险管理框架目前信息技术领域比较流行的技术风险管理框架包括:COBIT（信息及其相关技术的控制目标，ControlObjectivesforIn