《信息科技风险审计方法及过程》由会员分享，可在线阅读，更多相关《信息科技风险审计方法及过程（50页珍藏版）》请在金锄头文库上搜索。
1、信息科技风险审计方法及过程 摘自北京时代新威信息技术有限公司摘自北京时代新威信息技术有限公司 信息科技风险审计战略部署信息科技风险审计战略部署工憋扭埂恩夺塘镁梅森苫砒梭鸥隧睦茅粳忻贰欢捎猩漓傅蟹振塞墨缔命剂信息科技风险审计方法及过程信息科技风险审计方法及过程 为帮助银行客户满足银监会商业银行为帮助银行客户满足银监会商业银行 信息科技风险审计管理指引等相关监管要信息科技风险审计管理指引等相关监管要 求，同时进一步加强信息技术建设，全面强求，同时进一步加强信息技术建设，全面强 化风险管理，越来越多的企业已经开始为多化风险管理，越来越多的企业已经开始为多 家银行提供信息科技风险审计服务了，本文家银行
2、提供信息科技风险审计服务了，本文 就是北京时代新威信息技术有限公司（以下就是北京时代新威信息技术有限公司（以下 简称时代新威）内部人员总结出的对于信息简称时代新威）内部人员总结出的对于信息 科技风险审计的方法及过程。科技风险审计的方法及过程。 理粉茁墨草移绳春络餐盎扣门肉褂慕曰础闺蓄蹄方壮夹最风责江乐地戊友信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计范围： 一）信息科技治理二）信息科技风险管理三）信息安全四）信息系统开发测试和维护嫡妹营边斩渭畅珊倡寺借咖正寝实馋堰妒铁甚岩锈肠崩镇妮匆赌非留呐般信息科技风险审计方法及过程信息科技风险审计方法及过程五）信息科技运行五）信息科
3、技运行六）业务连续性管理六）业务连续性管理七）外包七）外包八）内部审计八）内部审计九）外部审计九）外部审计恶氯圆骗渺捻蔗最崭屉倘屑秒壕逆克莫哦芹犁寂督奥廖琳趾实板脖宅辗孺信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 信息科技治理 信息科技治理是指对现代信息技术如通讯技术，信息处理技术、控制技术等的科学管理活动和过程。时代新威的审计专家指出，“它是以信息服务业务的开展与社会的实际需要作为依据，组织好各种信息技术的开发和应用，并对信息技术进行标准化、规范化管理。” 困伙佃豢邀每合划娟愈汐辖错啡思学紊御糙洁慧零袜略雨袭具站积屠球捎信息科技风险审计方法及过程信息科技风险审计方
4、法及过程灯祈壤虫链税失粕桔啮泥酞弥扫印城尊抢崔照踏摊祖啥澜柞戒彼颂渐恕沂信息科技风险审计方法及过程信息科技风险审计方法及过程 信息科技治理战略必须要解决下述主要 问题： （1 1）保证构造合理的信息系统结构并将其实现。）保证构造合理的信息系统结构并将其实现。 （2 2）保证新系统开发方式可以满足企业长期维护的目标。）保证新系统开发方式可以满足企业长期维护的目标。 （3 3）保证内部和外部采购的决策能得到认真的考虑。）保证内部和外部采购的决策能得到认真的考虑。 （4 4）决定信息技术运行是由一个部门管理还是分成一系列）决定信息技术运行是由一个部门管理还是分成一系列小单元管理，按照小单元进行管理虽
5、然成本高，但是能为用小单元管理，按照小单元进行管理虽然成本高，但是能为用户提供更好的服务。户提供更好的服务。春蛾枚坚它肝种粹杖首爱埠椰赊襟毅豆变锐统捉耗脑矛拒垂交咙铬悦寝卷信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 信息科技风险管理 信息科技是指计算机、通信、微电子 和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。在风险管理方面，北京时代新威信息技术有限公司与许多商业银行都有合作成功的案例，其工作内容可总结为以下两点。聪笺排厂颂轻逾慰梢尖钨爵学腻致攘炙孩归躯钮
6、启绥承底挺睫残等犹衣蠢信息科技风险审计方法及过程信息科技风险审计方法及过程 信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。 曳蜕伶瞅樟躲蓖法注敲稍敖胯屿蝇床辗彼稗城抿叠牧逻轨灭午探谷边一朱信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险管理的目标是通过建立有效的机信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用稳健运
7、行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。水平，增强核心竞争力和可持续发展能力。 果坞伶部毡予痢啸淮签筛啦佩纲热瞥泳斡凄瓜伟载寅叶三据挑二咆恒潘绦信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 信息安全 信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。舍耀汗泌专酵筋甲引棕馋谩佃坐姥纸燎直抽琢溺售柒叔横言漏龄否窒盒柑信息科技风险审计方法及过程信息科技风险审计方法及过程矗摈耶茅佰淳候
8、了澈体嗜崖指椎形楚挪挠舒蝇风硼之吕佬俊贤镶愤仲逗灰信息科技风险审计方法及过程信息科技风险审计方法及过程 网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。沫桅决下孔坯引款限薪唱抚快浸虾主拢斤科淄踏鹊阵殉涵行曼辽蔗试齐偏信息科技风险审计方法及过程信息科技风险审计方法及过程 信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实
9、现业务连续性。融榴收僚示扦谬狄桩梯绿孪酋葬蜕征孪强咙配松旬科争飘迫谗石碟鸿社筛信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 信息系统开发测试和维护 信息系统是一个以人为主导，吸取经 验和遵照规律并重，利用适合的信息技术 以及相应设备，根据相应的业务模型和数 学模型，进行信息的收集、传输、加工、 储存、更新和维护，以提高组织的效益和 效率为目的，支持组织的高层决策、中层 控制、基层运作的集成化的人机系统。窟掐宽场取郑衫床贮地乙以咽肺剃铲县武样沛舱效舟捻雪相圈狂校儿哨碱信息科技风险审计方法及过程信息科技风险审计方法及过程 信息系统开发维护是为了使信息系统 处开合用状态而采
10、取的一系列措施，目的 是纠正错误和改进功能，保证信息系统正 常工作，有以下四种类型：改正性维护， 适应性维护，完善性维护，预防性维护。闸攻破劲榔沤屉拼彰哨酌煎个造馅词糊蝶客股烷憾抹担蛮昂肘言搜堰恼鬼信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 信息科技运行 良好的信息科技运行必须在设计阶段就开始考虑。用户、负责信息科技系统运行的人应该参与信息系统开发的设计阶段，这样信息科技的运行问题在一开始就可以得到足够的重视。华插授阉吹拥旦腑误金穷谜蹲候勺詹攀杖扒攫粗剁汹蕾笺盂概竿认屁禁性信息科技风险审计方法及过程信息科技风险审计方法及过程 在工作中往往最容易忽略的就是硬件失败、程
11、序非正常退出、文档说明和支持不足等问题。设计阶段要保证防止用户使用错误的快捷方式，还要考虑新、老系统转换的细节。如果是购买其他公司提供的软件包，问题就会更加复杂。时代新威的信息技术专家在工作中要求格外强调注意这一系列问题，也就避免了很多不必要的失误和麻烦。烩梳蛾绰南廷叔驮掇气私织柑幸鸦茂乌卢珍烈仍翠蚀萧危遭吏尹萄骡自姆信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技运行战略必须要解决下述主要问题：（1）保证构造合理的信息系统结构并将其实现。（2）保证新系统开发方式可以满足企业长期维护的目标。（3）保证内部和外部采购的决策能得到认真的考虑。（4）决定信息技术运行是由一个部门管理还是分
12、成一系列小单元管理，按照小单元进行管理虽然成本高，但是能为用户提供更好的服务。白骇黑人福江父芒树雾眷腕臀廊虹泞彬台斟拳捞门棋贤八哀秀页雅缄覆匪信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 业务连续性管理 业务连续性管理（Business Continuity Management，简称BCM），是一项综合管理流程，它使企业认识到潜在的危机和相关影响，制订响应、业务和连续性的恢复计划，其总体目标是为了提高企业的风险防范能力，以有效地响应非计划的业务破坏并降低不良影响。 媒纯湃铲卉况剂饥眺漓屯缚把拐鲤远海愿人召卡伪贱酉步布吓獭酬饥费潘信息科技风险审计方法及过程信息科技风险
13、审计方法及过程 业务连续性管理系统（BCMS）是经常进行的活动的集合，业务连续性管理支持企业业务连续性管理活动，也支持技术灾难恢复活动。这些可以包括项目规划和管理、人员配备、计划、预测、预算编制、研究和开发、资源管理、通信、会议、教育活动、宣传和促销活动、活动网站、绩效评估活动、按天进行处理查询和许多其他活动。摊始璃抗阻垒踏唉涉锚诬硫减讹跌礼凭掳蛔病造箭吱沪瞎臼鄙拴剃籽哉单信息科技风险审计方法及过程信息科技风险审计方法及过程恐撑丘围宋符继远仟豺泣熏擅卵切陈使瞧遵馒媒斡逛胃娱枕煤们忘蔚糠貌信息科技风险审计方法及过程信息科技风险审计方法及过程 业务连续性管理也有利于多种项目性 的活动，业务连续性管
14、理执行业务影响分 析和风险分析、进行评估、制定并记录BC/ DR计划、规划和执行BC/ DR演练、准备和 进行应急队伍培训、准备记录事件响应计 划，并设计BC/ DR策略。 匡沪倚光涩竟辜喻谴身苹仪媳省陡鸥兄灯零灸母访拥肥筹炔揉涩罪烩逊排信息科技风险审计方法及过程信息科技风险审计方法及过程谦吝迪敏押唤澄恼椎跃嚷十闸涝拎呕屉详我毁芥纠靠跋句速蕉味陆态锄炉信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 外包 外包是指企业动态地配置自身和其他 企业的功能和服务，并利用企业外部的资 源为企业内部的生产和经营服务。外包是 一个战略管理模型，举例来说，一个生产 企业，如果为了原材料
15、及产品运输而组织 一个车队，在两个方面其成本会大大增加。獭蔷隋贤站拄熬污昨躲佐瘴罢继斜钠怀饶豌陷斩盛呼府弄蛋乡逢勃画揽疏信息科技风险审计方法及过程信息科技风险审计方法及过程 第一，管理成本增加，因为它在运输领域不具备管理经验。兄软膛踊匆午壶弓奖这甭纫帮价擂冠砌膏磺怜葛备灼默爷戏奎趟吱向补姨信息科技风险审计方法及过程信息科技风险审计方法及过程 第二，因管理不善，运输环节严重影 响生产和销售环节的工作，从而导致生产 和销售环节的成本增加。如果把运输业务 外包给专业的运输企业，则可以大幅度降 低上述成本。 这些就是时代新威的工作人员根据日常工作的实际案例总结出的关于外包的重点利弊，也是外包工作中必须
16、引起注意的地方。话嘎淘银涕贸济咆汲喂摇缸疯坛茸锄子猪腐揽或嫩醚地糯膨馁然折耳堰籍信息科技风险审计方法及过程信息科技风险审计方法及过程 另一方面，企业也因市场竞争的激烈面临巨另一方面，企业也因市场竞争的激烈面临巨大的挑战大的挑战 。 外包方式主要有合同业务管理方式（外包方式主要有合同业务管理方式（BMCBMC）和委托方式。和委托方式。 合同业务管理方式纯粹是一种外包方购买第合同业务管理方式纯粹是一种外包方购买第三方服务模式，第三方（承包方）负责全部或大三方服务模式，第三方（承包方）负责全部或大部分投资和业务管理工作，并承担投资风险；外部分投资和业务管理工作，并承担投资风险；外包方只根据第三方完成
17、业务的绩效和合同约束则包方只根据第三方完成业务的绩效和合同约束则购买服务，不用负责第三方的投资风险；合同终购买服务，不用负责第三方的投资风险；合同终止则合作终止。止则合作终止。艘规垮景仙筑觅赤森是钡聊轴邑笆密琶拯慌缝涯敞哨狭磐解昨赐仇镶谊读信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 内部审计 时代新威风险审计专家对于内部审计的定义是：对组织中各类业务和控制进行独立评价，以确定是否遵循公认的方针和程序，是否符合规定和标准，是否有效和经济的使用了资源，是否在实现组织目标。 绽卢诗糠镇沁德吐砸币挫绍禾邮认榨稿到哆松敞维绞芥瓷欣洼弓祟掖国墒信息科技风险审计方法及过程信息科技
18、风险审计方法及过程 审计人员在进行审计时,常使用不同的 审计方法,有时同时结合几种审计方法进行 审计。 实际操作中内部审计方法有多种，现总结整理如下（详情参考时代新威信息科技风险审计之内部审计） 找氯甘范掩沥毖硷诞讲速贾芒壤型翻驴冯昨胚怪毛赋嘲蘑博仁涂阁猿疡烂信息科技风险审计方法及过程信息科技风险审计方法及过程澜卿夹讯冗汁创窘允徐廓摹球谦卓涯冬缩饶选娥铭泌涪嫩慌壁志现邓枣构信息科技风险审计方法及过程信息科技风险审计方法及过程 一、询问法也称为访谈法一、询问法也称为访谈法 是指审计人员与被审计单位或有关人员是指审计人员与被审计单位或有关人员进行面对面交谈，以了解有关情况、收集审进行面对面交谈，以
19、了解有关情况、收集审计证据的一种方法。计证据的一种方法。 询问法的使用范围包括：询问法的使用范围包括： 在计划阶段中了解情况，实施阶段时收在计划阶段中了解情况，实施阶段时收集证据，报告阶段相互沟通情况等。内审人员集证据，报告阶段相互沟通情况等。内审人员在实施时要注意同时要有两名审计人中在场。在实施时要注意同时要有两名审计人中在场。炎铸耐擞琼烧戎狞手让彩皆杜触蛊成榷戴煞膜真系啄檀舶辛凋菲股鞋拒汲信息科技风险审计方法及过程信息科技风险审计方法及过程 二、审核法审核法是指对会计记录和 其他书面文章进行审阅与核对，这方 面占审计工作的比重比较大。它主要 在查阅会计资料、预算、计划、会议 记录及各种规章
20、制度等资料使用。统峙沦角仓晾森崎琐拽擎荤便舜琅司临藐辆退雅恢硫为谣潦煞叁源剧袁纵信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计之 外部审计 外部审计是指独立于 政府机关和企事业单位以 外的国家审计机构所进行 的审计，以及独立执行业 务会计师事务所接受委托 进行的审计。蝇预申矫对钩洛及肇侥址顺滋曳筑陪蕾司皱漏抬花啄挪映锌馅娃零悲冤腊信息科技风险审计方法及过程信息科技风险审计方法及过程 外部审计实际上是对企业内部虚假、 欺骗行为的一个重要而系统的检查，因此 起着鼓励诚实的作用：由于知道外部审计 不可避免地要进行，企业就会努力避免做 那些在审计时可能会被发现的不光彩的事。耙橡炳
21、返蹈鼠仲坟轴借反造樱夜思盾尸餐肉吊渍酚震甜乃付洼组叁症殆棚信息科技风险审计方法及过程信息科技风险审计方法及过程 我国财政、银行、税务部门为了做好其本职工作,而对其管辖区各单位的业务(如税利上缴和信贷资金使用情况等)所进行的检查,不属于审计,更谈不上是外部审计,而只是经济监督中的财政监督、税务监督和信贷监督。常革佩赘攀呜澳遥剑味躇英捣亿态桅擦脉沈缄蛮私优卸爹霜方铜荡思夷湃信息科技风险审计方法及过程信息科技风险审计方法及过程 外部审计包括国家审计和社会审计。 国家审计是指由国家审计机关所实施的审计。国家审计的主体是审计署以及各 省、市、自治区、县设立的审计机关，对被审计单位的财务财政活动、执行财经
22、法纪情况以及经济效益性 进行审计监督。 社会审计是指由经政府有关部门审核批准的社会中介机构进行的审计，其主体是注册会计师。抒胚赠刻厅委鹤电淋玛拎隅瓤紊发冤篮杀耶即哦康咆又铲叶澡座验操伏烩信息科技风险审计方法及过程信息科技风险审计方法及过程 内部审计和外部审计的联系： 内部审计和外部审计总体目标是一致的内部审计和外部审计总体目标是一致的, ,两者两者均是审均是审 计监督体系的有机组成部门。内部审计具计监督体系的有机组成部门。内部审计具有预防性、经常性和针对性有预防性、经常性和针对性, ,是外部审计的基础是外部审计的基础, ,对外部审计对外部审计 能起辅助和补充作用能起辅助和补充作用; ;而外部审
23、计对而外部审计对内部审计又能起到支持和指导作用。由于内部审内部审计又能起到支持和指导作用。由于内部审计机构和外部审计机计机构和外部审计机 构所处的地位不同构所处的地位不同, ,它们在它们在独立性、强制性、权威性和公证作用方面又有较独立性、强制性、权威性和公证作用方面又有较大的差别。大的差别。策妄怔蛹焦勾贿涪脸痉垛份惠京炽弊轴遏阳全舱愚抨贪皮谍趣怕锚私入港信息科技风险审计方法及过程信息科技风险审计方法及过程 以上就是信息科技审计所包括的具 体范围，既然了解了它都包括那些方面。 下面我们来看一下时代新威内部总结关于信息科技审计具体的方法及过程。皋嘿木氛品焚醒囱詹磨匹嘱鹅挎肪墓胶馏弄使邑烂银汽妆厩话
24、脖肆骡允竟信息科技风险审计方法及过程信息科技风险审计方法及过程信息科技风险审计过程简略图：枉河掣纂墓伏少钡荷巍摘妆腹凡牲饺府声盛渝酚英砖农欢廖寺价炸筋察氛信息科技风险审计方法及过程信息科技风险审计方法及过程1.信息科技风险审计准备 1）审计准备 2）审计方案 3）审计计划澡蜗知欧牛衅耕斧酮尤篷婉癣百甩势纠车剑党舜辙坯傈业雏蚤哀磅束躇盼信息科技风险审计方法及过程信息科技风险审计方法及过程1 1）审计准备：）审计准备：a.a.明确审计任务，确定审计重点明确审计任务，确定审计重点b.b.编制审计计划编制审计计划 审计计划分为总体审计计划和具体审计计审计计划分为总体审计计划和具体审计计 划。划。 救搀
25、隐香肘涂冤槛去屯帚米迹肥敬存适画矣大僚按扁而晴讥辅霓胀骑侠界信息科技风险审计方法及过程信息科技风险审计方法及过程2 2）审计方案：）审计方案： 审计方案是对具体审计项目的审计程序及其审计方案是对具体审计项目的审计程序及其时间等所做出的详细安排。时间等所做出的详细安排。 a a、具体审计目的。、具体审计目的。 具体审计目的是对总体审计的细化，直接用以指具体审计目的是对总体审计的细化，直接用以指导具体审计方法及程序。导具体审计方法及程序。 b b、具体审计方法和程序。、具体审计方法和程序。c c、预定的执行人及执行日期。、预定的执行人及执行日期。 d d、其他有关内容。、其他有关内容。 渠释媳波震
26、必撕炮庸亿应淖蛰概止倡惫去编登朔茨缠洲怔钟娩矣漏暖诌脆信息科技风险审计方法及过程信息科技风险审计方法及过程3）审计计划： 是指注册会计师为了完成各项审计业务， 达到预期的审计目标，在具体执行审计程 序之前编制的工作计划。审计计划通常可 分为总体审计计划和具体审计计划两部分。西攀饰浅此暂之拧嗽隆辉煽卡蛆叠沥等拳垦兹捐溃械强朴氯釜康淮弊攒箔信息科技风险审计方法及过程信息科技风险审计方法及过程2.信息科技现场审计 1）文件评审 2）访谈走查 3）技术测试绑挠排缺啤捎第疟霉抠泞眩逼冶们沛碳镑胎媳约页吗赤蓑侈核取参卯派睡信息科技风险审计方法及过程信息科技风险审计方法及过程3.信息科技风险分析评价 1）风
27、险分析 2）风险评价迈扬荣滤麓朔弟瞥急泌剪酶塔叶戚上倾椭案波寇伐下胰约衙炸炎雷第头宇信息科技风险审计方法及过程信息科技风险审计方法及过程 1）风险分析实际上就是贯穿在软件工程过程中的一系列风险管理步骤，其中包括：风险识别、风险估计、风险管理策略、风险解决和风险监督等。 撇墒轧伐慈羔躺驴邓脊泻蒲赢凳刺桨吐秘倘镍措貉耶誉错禄哲敖森畦焰辙信息科技风险审计方法及过程信息科技风险审计方法及过程 2）风险评价是 在风险识别和风险估测的基础上，对风险发生的概率，损失程度，结合其他因素进行全面考虑，评估发生风险的可能性及危害程度，并与公认的安全指标相比较，以衡量风险的程度，并决定是否需要采取相应的措施的过程
28、财务风险评价，主要是通过资产负债表、利润表、现金流量表，分析企业财务状况的变动趋势及资产、负债、收益之间的关系，从财务报表的会计信息中挖掘企业内在的财务关系。 播章煮蠕漳盯挨涉函郊爪公奖重诣衬掩另敢倍哥皆谩回庙冕擂盛蓄伴裕冶信息科技风险审计方法及过程信息科技风险审计方法及过程4.信息科技审计报告 1）审计发现确认 2）审计报告 3）改进建议魂肚穷喷传扯锑煽幽触浩殖丈茁霉疾员衡洋综绘萍粕籍枫右造贼宣掳询厚信息科技风险审计方法及过程信息科技风险审计方法及过程 此文谨代表北京时代新威信息技术有限公司对于信息科技风险审计的部分意见和看法，仅供参考，希望对大家有所帮助。硝接励芒克我厌裳瘩冯侩憨好芋李循勉泥磋坦蛤堤蹦铂晋秉咨摸煞沪辟戎信息科技风险审计方法及过程信息科技风险审计方法及过程
