劉樂榮
浙江省農(nóng)村信用社聯(lián)合社
隨著農(nóng)村合作金融機(jī)構(gòu)電子化程度的日益提高以及數(shù)據(jù)集中體系建設(shè)力度的加大，農(nóng)村合作金融各項(xiàng)業(yè)務(wù)對信息科技的依賴度顯著增強(qiáng)，其內(nèi)部控制也越來越依托于信息系統(tǒng)。作為服務(wù)于農(nóng)村合作金融的內(nèi)部審計(jì)不可避免地受到農(nóng)村合作金融信息化建設(shè)所帶來的沖擊與挑戰(zhàn)，為了更好的發(fā)揮農(nóng)村合作金融內(nèi)部審計(jì)職能，規(guī)范信息系統(tǒng)風(fēng)險管理、促進(jìn)內(nèi)控水平和風(fēng)險防范能力的全面提升，提高審計(jì)質(zhì)量，農(nóng)村合作金融內(nèi)部審計(jì)須加強(qiáng)對信息系統(tǒng)審計(jì)。
一、信息系統(tǒng)審計(jì)的必要性
信息系統(tǒng)審計(jì)是一個獲取并評價證據(jù)，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整，以及有效率地利用組織的資源并有效果地實(shí)現(xiàn)組織目標(biāo)的過程。
（一）信息系統(tǒng)審計(jì)是完善風(fēng)險控制措施和促進(jìn)流程再造的需要
由于農(nóng)村合作金融各項(xiàng)業(yè)務(wù)處理已逐步實(shí)現(xiàn)計(jì)算機(jī)自動處理，絕大多數(shù)的紙質(zhì)資料打印正在淡化，審計(jì)所需要的大量信息都儲存在只能通過計(jì)算機(jī)識別的存儲器上，如磁盤、磁帶、光盤等，傳統(tǒng)的一些審計(jì)線索也將隨著計(jì)算機(jī)處理而中斷、消失。同時農(nóng)村合作金融內(nèi)部控制也逐步從計(jì)算機(jī)控制作為手工補(bǔ)充的軟控制轉(zhuǎn)變?yōu)橛?jì)算機(jī)自動控制的硬約束，隨著數(shù)據(jù)大集中的推進(jìn)，信息化進(jìn)程中存在操作軌跡不可見、操作流程缺失、數(shù)據(jù)非法修改、生產(chǎn)系統(tǒng)故障、信息系統(tǒng)人為欺詐等各類風(fēng)險。對信息系統(tǒng)的可靠性的依賴，如審計(jì)人員沒有對信息系統(tǒng)各項(xiàng)控制進(jìn)行了解和審計(jì)，那么審計(jì)得出結(jié)論的可靠性就易受到質(zhì)疑。這就迫切需要對正在使用或即將投產(chǎn)的信息系統(tǒng)的安全性、真實(shí)性、完整性、有效性進(jìn)行審計(jì)，通過對信息系統(tǒng)的審計(jì)，保證信息系統(tǒng)的可信度，促進(jìn)農(nóng)村合作金融內(nèi)控體系的建設(shè)和流程再造。
（二）信息系統(tǒng)審計(jì)是保障信息系統(tǒng)穩(wěn)定運(yùn)行和信息資產(chǎn)安全的需要
農(nóng)村合作金融機(jī)構(gòu)的日常運(yùn)營越來越依賴于信息技術(shù)，在這種情況下，信息技術(shù)潛藏的風(fēng)險更加不容忽視。通過對信息系統(tǒng)的安全、研究開發(fā)、運(yùn)行維護(hù)等的審計(jì)，實(shí)現(xiàn)對信息系統(tǒng)風(fēng)險的識別、計(jì)量、評價、預(yù)警和控制，能有效防范農(nóng)村合作金融機(jī)構(gòu)運(yùn)用信息系統(tǒng)進(jìn)行業(yè)務(wù)處理、經(jīng)營管理和內(nèi)部控制過程中產(chǎn)生的風(fēng)險，加強(qiáng)對信息系統(tǒng)風(fēng)險點(diǎn)的防范和管理，促進(jìn)農(nóng)村合作金融機(jī)構(gòu)安全、持續(xù)、穩(wěn)健運(yùn)行。
（三）信息系統(tǒng)審計(jì)是進(jìn)一步完善信息系統(tǒng)功能的需要
農(nóng)村合作金融各項(xiàng)業(yè)務(wù)發(fā)展越來越快，金融產(chǎn)品創(chuàng)新步伐日益加快，為了適應(yīng)業(yè)務(wù)發(fā)展的需要，農(nóng)村合作金融內(nèi)部審計(jì)范圍也逐漸擴(kuò)大，這使得內(nèi)部審計(jì)部門能夠較快的獲取業(yè)務(wù)發(fā)展存在的一些問題，了解業(yè)務(wù)發(fā)展對信息系統(tǒng)的要求，農(nóng)村合作金融內(nèi)部審計(jì)可以利用各種審計(jì)結(jié)果，從合規(guī)性、效率性、控制操作風(fēng)險等多方面對完善信息系統(tǒng)功能提出一些有價值的建議。
二、信息系統(tǒng)審計(jì)的內(nèi)容
信息系統(tǒng)審計(jì)的內(nèi)容是信息系統(tǒng)審計(jì)的對象所決定，信息系統(tǒng)的審計(jì)對象是信息系統(tǒng)的各個組成部分及其相關(guān)的控制措施，并覆蓋信息系統(tǒng)生命周期的各個階段。具體而言，信息系統(tǒng)審計(jì)的內(nèi)容主要是由信息科技治理和組織結(jié)構(gòu)、信息系統(tǒng)安全管理、信息系統(tǒng)開發(fā)設(shè)計(jì)管理、信息系統(tǒng)運(yùn)行維護(hù)管理、業(yè)務(wù)持續(xù)性規(guī)劃等方面組成。在對信息系統(tǒng)這5個方面進(jìn)行審計(jì)時，必須貫穿信息系統(tǒng)生命周期整個過程即包括準(zhǔn)備階段、分析階段、設(shè)計(jì)階段、實(shí)施階段、運(yùn)行維護(hù)階段、退出階段，不能孤立的看待信息系統(tǒng)生命周期的各個階段。
（一）信息科技治理和組織結(jié)構(gòu)
信息系統(tǒng)科技治理和組織結(jié)構(gòu)是信息系統(tǒng)正常運(yùn)行的基本保障，也是信息系統(tǒng)審計(jì)首先需要關(guān)注的內(nèi)容。對信息科技治理和組織結(jié)構(gòu)的審計(jì)主要關(guān)注的是農(nóng)村合作金融信息系統(tǒng)制度建設(shè)是否健全、中長期信息科技建設(shè)的規(guī)劃是否與業(yè)務(wù)發(fā)展規(guī)劃相適應(yīng)、信息科技部門崗位設(shè)置及人員分工是否合理、信息系統(tǒng)科技人員專業(yè)素質(zhì)、業(yè)務(wù)培訓(xùn)是否符合信息科技建設(shè)的要求等。
（二）信息系統(tǒng)安全管理
信息系統(tǒng)安全管理包括信息系統(tǒng)硬件和軟件的安全。
1．信息系統(tǒng)硬件安全指的是為信息系統(tǒng)的各項(xiàng)硬件設(shè)備提供適合的溫度、濕度、清潔度，做好防火、防盜以及防止非正常接觸硬件設(shè)備等工作，保證設(shè)備正常運(yùn)轉(zhuǎn)。對信息系統(tǒng)硬件安全審計(jì)時需重點(diǎn)關(guān)注的是消防及防水設(shè)施、不間斷電源保護(hù)、人員疏散計(jì)劃和通道、監(jiān)控、人員進(jìn)出管理等。
2．信息系統(tǒng)軟件安全指的是信息系統(tǒng)軟件設(shè)計(jì)與管理是否存在導(dǎo)致信息系統(tǒng)無法實(shí)現(xiàn)其保密性、完整性和可用性的缺陷。信息系統(tǒng)軟件安全審計(jì)需重點(diǎn)關(guān)注的是信息系統(tǒng)程序設(shè)計(jì)是否存在明顯重大安全隱患、訪問控制與網(wǎng)絡(luò)安全控制是否合理、內(nèi)部管理是否到位等。
（三）信息系統(tǒng)開發(fā)設(shè)計(jì)管理
信息系統(tǒng)開發(fā)設(shè)計(jì)管理指的是信息系統(tǒng)生命周期的前四個階段即準(zhǔn)備階段、分析階段、設(shè)計(jì)階段、實(shí)施階段。
1．系統(tǒng)準(zhǔn)備階段。此階段主要是對信息系統(tǒng)立項(xiàng)的可行性分析，審計(jì)重點(diǎn)是信息系統(tǒng)立項(xiàng)的可行性分析是否到位，與企業(yè)的發(fā)展戰(zhàn)略是否相符，技術(shù)上、經(jīng)濟(jì)上是否可行等，如審計(jì)在信息系統(tǒng)這個階段介入，那將能很好避免信息系統(tǒng)立項(xiàng)的盲目性。此階段需要關(guān)注的文檔資料是信息系統(tǒng)立項(xiàng)的可行性分析報告。
2．系統(tǒng)分析階段。此階段是需求提出階段，審計(jì)重點(diǎn)是提出需求是否合規(guī)、合理及可實(shí)現(xiàn)。此階段需要關(guān)注的文檔資料是系統(tǒng)分析報告。
3．系統(tǒng)設(shè)計(jì)階段。此階段是解讀需求階段，審計(jì)重點(diǎn)是系統(tǒng)內(nèi)各項(xiàng)設(shè)計(jì)是否合理。此階段需要關(guān)注的文檔資料是系統(tǒng)設(shè)計(jì)報告，包括系統(tǒng)概要設(shè)計(jì)說明書和詳細(xì)設(shè)計(jì)說明書。
4．系統(tǒng)實(shí)施階段。此階段是滿足需求階段，審計(jì)重點(diǎn)是源程序編寫是否合理，系統(tǒng)測試是否全面恰當(dāng)，系統(tǒng)試運(yùn)行出現(xiàn)問題是否得到解決等。此階段需要關(guān)注的文檔資料是源程序表，系統(tǒng)測試報告、操作手冊和評審報告等。
（四）信息系統(tǒng)運(yùn)行維護(hù)管理
信息系統(tǒng)運(yùn)行維護(hù)管理指的是信息系統(tǒng)生命周期運(yùn)行維護(hù)階段。在此階段，信息系統(tǒng)審計(jì)主要針對信息系統(tǒng)是否正確操作和有效運(yùn)行，從而真正實(shí)現(xiàn)信息系統(tǒng)的開發(fā)目標(biāo)、滿足用戶需求。審計(jì)可以從信息系統(tǒng)運(yùn)行和系統(tǒng)運(yùn)行管理兩個方面進(jìn)行，評價系統(tǒng)的缺陷和不足，以及用戶操作管理的疏漏，并提出相關(guān)改進(jìn)建議。審計(jì)包括系統(tǒng)輸入審計(jì)、網(wǎng)絡(luò)通信系統(tǒng)審計(jì)、處理過程審計(jì)、數(shù)據(jù)庫審計(jì)、系統(tǒng)輸出審計(jì)和運(yùn)行管理審計(jì)等。對于系統(tǒng)維護(hù)，審計(jì)主要包括對維護(hù)組織、維護(hù)順序及流程、維護(hù)計(jì)劃、維護(hù)實(shí)施、改良系統(tǒng)的試運(yùn)行和舊系統(tǒng)的廢除等活動的審計(jì)。系統(tǒng)運(yùn)行和維護(hù)階段的審計(jì)主要集中在數(shù)據(jù)中心的測試管理、運(yùn)行操作管理、變更管理、問題管理、數(shù)據(jù)管理、應(yīng)急管理、環(huán)境管理、網(wǎng)絡(luò)管理、日常運(yùn)營管理、性能管理等各個環(huán)節(jié)的控制上，審查和評價其控制的充分性和有效性，同時還需關(guān)注軟件開發(fā)部門在此階段的技術(shù)支持、功能完善是否到位。
（五）業(yè)務(wù)持續(xù)性規(guī)劃
為了盡可能減少一些災(zāi)難性事件如建筑物、基礎(chǔ)設(shè)施、IT系統(tǒng)、業(yè)務(wù)數(shù)據(jù)和關(guān)鍵人員的毀滅等發(fā)生對信息系統(tǒng)正常運(yùn)行的影響，需要制定信息科技系統(tǒng)風(fēng)險應(yīng)急處理方案，且能涵蓋整個機(jī)構(gòu)的信息科技系統(tǒng)的管理、維護(hù)、重啟、恢復(fù)等各環(huán)節(jié)，最大限度地降低突發(fā)事件所帶來的風(fēng)險。審計(jì)的重點(diǎn)在于業(yè)務(wù)持續(xù)性規(guī)劃的制定與實(shí)施、數(shù)據(jù)備份中心的管理與操作、業(yè)務(wù)持續(xù)性規(guī)劃的測試和維護(hù)等。
三、信息系統(tǒng)審計(jì)流程與質(zhì)量控制
（一）信息系統(tǒng)審計(jì)流程
信息系統(tǒng)審計(jì)流程基本方向與傳統(tǒng)的審計(jì)業(yè)務(wù)基本相同，都是根據(jù)既定的審計(jì)目標(biāo)、審計(jì)范圍，在對內(nèi)部控制了解、測試、評價的基礎(chǔ)上，對各個確定的審計(jì)點(diǎn)進(jìn)行審計(jì)。信息系統(tǒng)審計(jì)測試的方法有符合性測試方法與實(shí)質(zhì)性測試方法。符合性測試指是的通過信息系統(tǒng)內(nèi)部控制的有效性、存在性、合規(guī)性進(jìn)行核實(shí)并形成審計(jì)結(jié)論的方法。實(shí)質(zhì)性測試指是的對信息系統(tǒng)業(yè)務(wù)處理信息、管理信息進(jìn)行合法性、合理性、真實(shí)性進(jìn)行直接檢查和分析性復(fù)核，最終形成審計(jì)結(jié)論的方法。在對信息系統(tǒng)測試時，可使用一些計(jì)算機(jī)輔助方法，如測試數(shù)據(jù)法、平行模擬法、嵌入審計(jì)模塊法、虛擬實(shí)體法、受控處理法、受控再處理法、程序代碼檢查法等。
（二）信息系統(tǒng)審計(jì)質(zhì)量控制
由于信息技術(shù)自身的專業(yè)性極強(qiáng)，信息系統(tǒng)審計(jì)，需要一批既掌握現(xiàn)代審計(jì)理論與實(shí)務(wù)又了解計(jì)算機(jī)技術(shù)的復(fù)合型專業(yè)人才和統(tǒng)一規(guī)范的農(nóng)村合作金融信息系統(tǒng)行業(yè)標(biāo)準(zhǔn)和規(guī)范?，F(xiàn)階段，由于相應(yīng)的信息系統(tǒng)審計(jì)標(biāo)準(zhǔn)與實(shí)務(wù)尚在探索中，可供借鑒的成熟經(jīng)驗(yàn)不多，對信息系統(tǒng)審計(jì)質(zhì)量的管控主要集中在以下三方面。
1．制定詳細(xì)全面的審計(jì)實(shí)施方案是信息系統(tǒng)審計(jì)質(zhì)量控制的基礎(chǔ)
由于信息系統(tǒng)審計(jì)涉及面很廣，如果沒有制定詳細(xì)全面的審計(jì)實(shí)施方案，很有可能會漏掉一些很重要的審計(jì)點(diǎn)，從而影響整個審計(jì)質(zhì)量。為了不遺漏審計(jì)點(diǎn)，可以在制定審計(jì)實(shí)施方案時，根據(jù)審計(jì)范圍和確定了的審計(jì)內(nèi)容，制作能夠涵蓋所有重要審計(jì)點(diǎn)的表格，審計(jì)人員可以利用這些表格來對信息系統(tǒng)進(jìn)行審計(jì)。
2．測試信息系統(tǒng)各項(xiàng)業(yè)務(wù)處理流程是信息系統(tǒng)審計(jì)質(zhì)量控制的關(guān)鍵
信息系統(tǒng)是對農(nóng)村合作金融業(yè)務(wù)各項(xiàng)業(yè)務(wù)處理流程的優(yōu)化，對信息系統(tǒng)業(yè)務(wù)處理流程進(jìn)行測試是進(jìn)行信息系統(tǒng)審計(jì)的基礎(chǔ)，也是信息系統(tǒng)審計(jì)質(zhì)量控制關(guān)鍵。測試信息系統(tǒng)各項(xiàng)業(yè)務(wù)處理流程就要測試包括在系統(tǒng)中運(yùn)行的業(yè)務(wù)是否全部通過系統(tǒng)運(yùn)行；信息是否及時錄入系統(tǒng)；錄入的信息是否真實(shí)、準(zhǔn)確；系統(tǒng)運(yùn)行是否正確，有無系統(tǒng)錯誤；流程是否通暢，有無缺陷或舞弊的可能，能否進(jìn)行進(jìn)一步的優(yōu)化；識別、評價和應(yīng)對流程風(fēng)險的效果如何等。
3．把握信息系統(tǒng)各項(xiàng)內(nèi)部控制的有效性是信息系統(tǒng)審計(jì)質(zhì)量控制的保障。信息系統(tǒng)審計(jì)是建立在對信息系統(tǒng)內(nèi)部控制測試的基礎(chǔ)上，在對信息系統(tǒng)的內(nèi)控制度進(jìn)行測試時，審計(jì)人員必須驗(yàn)證內(nèi)部控制系統(tǒng)是否存在，并能提供令人滿意的證據(jù)，證明它正在有效地發(fā)揮作用。信息系統(tǒng)內(nèi)部控制分為一般控制和應(yīng)用控制。一般控制是指為信息系統(tǒng)的所有信息處理而設(shè)定的政策和措施，是對信息系統(tǒng)的構(gòu)成要素（人、機(jī)器、文件）所進(jìn)行的控制，其目的在于保證所有的信息處理的準(zhǔn)確性和可靠性，是信息系統(tǒng)安全運(yùn)營的基本保障，包括組織控制、開發(fā)維護(hù)控制、安全控制和軟硬件控制等。應(yīng)用控制是指針對計(jì)算機(jī)信息系統(tǒng)的各應(yīng)用（即子系統(tǒng)或功能模塊）的敏感環(huán)節(jié)和控制要求，為各子系統(tǒng)的輸入、處理和輸出完整準(zhǔn)確而建立的控制，包括輸入控制、處理控制和輸出控制。
四、當(dāng)前浙江省農(nóng)村合作金融信息系統(tǒng)審計(jì)的工作重點(diǎn)
近年來，浙江省農(nóng)村合作金融機(jī)構(gòu)對信息技術(shù)的投入越來越大，設(shè)備規(guī)模和技術(shù)水平不斷提高，數(shù)據(jù)大集中的實(shí)現(xiàn)，給金融創(chuàng)新和農(nóng)村合作金融機(jī)構(gòu)的進(jìn)步帶來了強(qiáng)勁動力，但也蘊(yùn)含著巨大的風(fēng)險，在這種形勢下，浙江農(nóng)村合作金融信息系統(tǒng)內(nèi)部審計(jì)必須以滿足業(yè)務(wù)發(fā)展需要和有效控制風(fēng)險為重點(diǎn)，以充分發(fā)揮內(nèi)部審計(jì)作用，全面識別、評價系統(tǒng)的信息系統(tǒng)控制和風(fēng)險水平，并根據(jù)評價結(jié)果，提出合理、可行的建議，以此進(jìn)一步促進(jìn)信息系統(tǒng)正常、安全、穩(wěn)定運(yùn)行。
（一）積極建立符合浙江農(nóng)村合作金融實(shí)際的信息系統(tǒng)審計(jì)機(jī)制
為了更好的發(fā)揮信息系統(tǒng)審計(jì)作用，規(guī)范信息系統(tǒng)審計(jì)，提高審計(jì)質(zhì)量、加大審計(jì)深度、拓寬審計(jì)范圍和領(lǐng)域，積極建立涵蓋信息系統(tǒng)審計(jì)標(biāo)準(zhǔn)、審計(jì)范圍、審計(jì)程序、審計(jì)行為規(guī)范、審計(jì)證據(jù)獲取、詳細(xì)審計(jì)方案、評審考核等內(nèi)容的信息系統(tǒng)審計(jì)機(jī)制，由獨(dú)立的內(nèi)（外）部審計(jì)進(jìn)行經(jīng)常性風(fēng)險評估，提出改進(jìn)意見，引入恰當(dāng)控制，出具審計(jì)報告，有效地、動態(tài)地建立合理的安全管理體系，形成對信息系統(tǒng)安全的客觀評價。
（二）加大信息系統(tǒng)審計(jì)人才的培養(yǎng)力度
信息系統(tǒng)審計(jì)與傳統(tǒng)審計(jì)相比，在審計(jì)線索、審計(jì)內(nèi)容、審計(jì)風(fēng)險等方面都發(fā)生了變化，這就要求審計(jì)人員必須具有復(fù)合型知識結(jié)構(gòu)，既通曉經(jīng)營管理核心要義，又具備全面的信息技術(shù)知識，同時還要掌握信息技術(shù)條件下的審計(jì)方法技巧。目前浙江農(nóng)村合作金融審計(jì)人員與信息系統(tǒng)審計(jì)的要求存在一定的矛盾，加大信息系統(tǒng)審計(jì)人才的培養(yǎng)力度將在相當(dāng)長的時期成為浙江農(nóng)村合作金融信息系統(tǒng)審計(jì)的工作重點(diǎn)。
（三）積極探索識別和規(guī)避信息系統(tǒng)審計(jì)風(fēng)險的對策
在復(fù)雜的信息系統(tǒng)技術(shù)和管理環(huán)境下，實(shí)施信息系統(tǒng)審計(jì)具有一定的審計(jì)風(fēng)險。要規(guī)避信息系統(tǒng)審計(jì)風(fēng)險就必須識別信息系統(tǒng)審計(jì)的風(fēng)險所在，以幫助審計(jì)人員確立信息系統(tǒng)審計(jì)風(fēng)險意識。在控制信息系統(tǒng)審計(jì)質(zhì)量的前提下，積極探索如何有效地識別和規(guī)避信息系統(tǒng)審計(jì)風(fēng)險。
