劉樂榮
浙江省農(nóng)村信用社聯(lián)合社
隨著農(nóng)村合作金融機(jī)構(gòu)電子化程度的日益提高以及數(shù)據(jù)集中體系建設(shè)力度的加大，農(nóng)村合作金融各項(xiàng)業(yè)務(wù)對(duì)信息科技的依賴度顯著增強(qiáng)，其內(nèi)部控制也越來越依托于信息系統(tǒng)。作為服務(wù)于農(nóng)村合作金融的內(nèi)部審計(jì)不可避免地受到農(nóng)村合作金融信息化建設(shè)所帶來的沖擊與挑戰(zhàn)，為了更好的發(fā)揮農(nóng)村合作金融內(nèi)部審計(jì)職能，規(guī)范信息系統(tǒng)風(fēng)險(xiǎn)管理、促進(jìn)內(nèi)控水平和風(fēng)險(xiǎn)防范能力的全面提升，提高審計(jì)質(zhì)量，農(nóng)村合作金融內(nèi)部審計(jì)須加強(qiáng)對(duì)信息系統(tǒng)審計(jì)。
一、信息系統(tǒng)審計(jì)的必要性
信息系統(tǒng)審計(jì)是一個(gè)獲取并評(píng)價(jià)證據(jù)，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整，以及有效率地利用組織的資源并有效果地實(shí)現(xiàn)組織目標(biāo)的過程。
（一）信息系統(tǒng)審計(jì)是完善風(fēng)險(xiǎn)控制措施和促進(jìn)流程再造的需要
由于農(nóng)村合作金融各項(xiàng)業(yè)務(wù)處理已逐步實(shí)現(xiàn)計(jì)算機(jī)自動(dòng)處理，絕大多數(shù)的紙質(zhì)資料打印正在淡化，審計(jì)所需要的大量信息都儲(chǔ)存在只能通過計(jì)算機(jī)識(shí)別的存儲(chǔ)器上，如磁盤、磁帶、光盤等，傳統(tǒng)的一些審計(jì)線索也將隨著計(jì)算機(jī)處理而中斷、消失。同時(shí)農(nóng)村合作金融內(nèi)部控制也逐步從計(jì)算機(jī)控制作為手工補(bǔ)充的軟控制轉(zhuǎn)變?yōu)橛?jì)算機(jī)自動(dòng)控制的硬約束，隨著數(shù)據(jù)大集中的推進(jìn)，信息化進(jìn)程中存在操作軌跡不可見、操作流程缺失、數(shù)據(jù)非法修改、生產(chǎn)系統(tǒng)故障、信息系統(tǒng)人為欺詐等各類風(fēng)險(xiǎn)。對(duì)信息系統(tǒng)的可靠性的依賴，如審計(jì)人員沒有對(duì)信息系統(tǒng)各項(xiàng)控制進(jìn)行了解和審計(jì)，那么審計(jì)得出結(jié)論的可靠性就易受到質(zhì)疑。這就迫切需要對(duì)正在使用或即將投產(chǎn)的信息系統(tǒng)的安全性、真實(shí)性、完整性、有效性進(jìn)行審計(jì)，通過對(duì)信息系統(tǒng)的審計(jì)，保證信息系統(tǒng)的可信度，促進(jìn)農(nóng)村合作金融內(nèi)控體系的建設(shè)和流程再造。
（二）信息系統(tǒng)審計(jì)是保障信息系統(tǒng)穩(wěn)定運(yùn)行和信息資產(chǎn)安全的需要
農(nóng)村合作金融機(jī)構(gòu)的日常運(yùn)營越來越依賴于信息技術(shù)，在這種情況下，信息技術(shù)潛藏的風(fēng)險(xiǎn)更加不容忽視。通過對(duì)信息系統(tǒng)的安全、研究開發(fā)、運(yùn)行維護(hù)等的審計(jì)，實(shí)現(xiàn)對(duì)信息系統(tǒng)風(fēng)險(xiǎn)的識(shí)別、計(jì)量、評(píng)價(jià)、預(yù)警和控制，能有效防范農(nóng)村合作金融機(jī)構(gòu)運(yùn)用信息系統(tǒng)進(jìn)行業(yè)務(wù)處理、經(jīng)營管理和內(nèi)部控制過程中產(chǎn)生的風(fēng)險(xiǎn)，加強(qiáng)對(duì)信息系統(tǒng)風(fēng)險(xiǎn)點(diǎn)的防范和管理，促進(jìn)農(nóng)村合作金融機(jī)構(gòu)安全、持續(xù)、穩(wěn)健運(yùn)行。
（三）信息系統(tǒng)審計(jì)是進(jìn)一步完善信息系統(tǒng)功能的需要
農(nóng)村合作金融各項(xiàng)業(yè)務(wù)發(fā)展越來越快，金融產(chǎn)品創(chuàng)新步伐日益加快，為了適應(yīng)業(yè)務(wù)發(fā)展的需要，農(nóng)村合作金融內(nèi)部審計(jì)范圍也逐漸擴(kuò)大，這使得內(nèi)部審計(jì)部門能夠較快的獲取業(yè)務(wù)發(fā)展存在的一些問題，了解業(yè)務(wù)發(fā)展對(duì)信息系統(tǒng)的要求，農(nóng)村合作金融內(nèi)部審計(jì)可以利用各種審計(jì)結(jié)果，從合規(guī)性、效率性、控制操作風(fēng)險(xiǎn)等多方面對(duì)完善信息系統(tǒng)功能提出一些有價(jià)值的建議。
二、信息系統(tǒng)審計(jì)的內(nèi)容
信息系統(tǒng)審計(jì)的內(nèi)容是信息系統(tǒng)審計(jì)的對(duì)象所決定，信息系統(tǒng)的審計(jì)對(duì)象是信息系統(tǒng)的各個(gè)組成部分及其相關(guān)的控制措施，并覆蓋信息系統(tǒng)生命周期的各個(gè)階段。具體而言，信息系統(tǒng)審計(jì)的內(nèi)容主要是由信息科技治理和組織結(jié)構(gòu)、信息系統(tǒng)安全管理、信息系統(tǒng)開發(fā)設(shè)計(jì)管理、信息系統(tǒng)運(yùn)行維護(hù)管理、業(yè)務(wù)持續(xù)性規(guī)劃等方面組成。在對(duì)信息系統(tǒng)這5個(gè)方面進(jìn)行審計(jì)時(shí)，必須貫穿信息系統(tǒng)生命周期整個(gè)過程即包括準(zhǔn)備階段、分析階段、設(shè)計(jì)階段、實(shí)施階段、運(yùn)行維護(hù)階段、退出階段，不能孤立的看待信息系統(tǒng)生命周期的各個(gè)階段。
（一）信息科技治理和組織結(jié)構(gòu)
信息系統(tǒng)科技治理和組織結(jié)構(gòu)是信息系統(tǒng)正常運(yùn)行的基本保障，也是信息系統(tǒng)審計(jì)首先需要關(guān)注的內(nèi)容。對(duì)信息科技治理和組織結(jié)構(gòu)的審計(jì)主要關(guān)注的是農(nóng)村合作金融信息系統(tǒng)制度建設(shè)是否健全、中長期信息科技建設(shè)的規(guī)劃是否與業(yè)務(wù)發(fā)展規(guī)劃相適應(yīng)、信息科技部門崗位設(shè)置及人員分工是否合理、信息系統(tǒng)科技人員專業(yè)素質(zhì)、業(yè)務(wù)培訓(xùn)是否符合信息科技建設(shè)的要求等。
（二）信息系統(tǒng)安全管理
信息系統(tǒng)安全管理包括信息系統(tǒng)硬件和軟件的安全。
1．信息系統(tǒng)硬件安全指的是為信息系統(tǒng)的各項(xiàng)硬件設(shè)備提供適合的溫度、濕度、清潔度，做好防火、防盜以及防止非正常接觸硬件設(shè)備等工作，保證設(shè)備正常運(yùn)轉(zhuǎn)。對(duì)信息系統(tǒng)硬件安全審計(jì)時(shí)需重點(diǎn)關(guān)注的是消防及防水設(shè)施、不間斷電源保護(hù)、人員疏散計(jì)劃和通道、監(jiān)控、人員進(jìn)出管理等。
2．信息系統(tǒng)軟件安全指的是信息系統(tǒng)軟件設(shè)計(jì)與管理是否存在導(dǎo)致信息系統(tǒng)無法實(shí)現(xiàn)其保密性、完整性和可用性的缺陷。信息系統(tǒng)軟件安全審計(jì)需重點(diǎn)關(guān)注的是信息系統(tǒng)程序設(shè)計(jì)是否存在明顯重大安全隱患、訪問控制與網(wǎng)絡(luò)安全控制是否合理、內(nèi)部管理是否到位等。
（三）信息系統(tǒng)開發(fā)設(shè)計(jì)管理
信息系統(tǒng)開發(fā)設(shè)計(jì)管理指的是信息系統(tǒng)生命周期的前四個(gè)階段即準(zhǔn)備階段、分析階段、設(shè)計(jì)階段、實(shí)施階段。
1．系統(tǒng)準(zhǔn)備階段。此階段主要是對(duì)信息系統(tǒng)立項(xiàng)的可行性分析，審計(jì)重點(diǎn)是信息系統(tǒng)立項(xiàng)的可行性分析是否到位，與企業(yè)的發(fā)展戰(zhàn)略是否相符，技術(shù)上、經(jīng)濟(jì)上是否可行等，如審計(jì)在信息系統(tǒng)這個(gè)階段介入，那將能很好避免信息系統(tǒng)立項(xiàng)的盲目性。此階段需要關(guān)注的文檔資料是信息系統(tǒng)立項(xiàng)的可行性分析報(bào)告。
2．系統(tǒng)分析階段。此階段是需求提出階段，審計(jì)重點(diǎn)是提出需求是否合規(guī)、合理及可實(shí)現(xiàn)。此階段需要關(guān)注的文檔資料是系統(tǒng)分析報(bào)告。
3．系統(tǒng)設(shè)計(jì)階段。此階段是解讀需求階段，審計(jì)重點(diǎn)是系統(tǒng)內(nèi)各項(xiàng)設(shè)計(jì)是否合理。此階段需要關(guān)注的文檔資料是系統(tǒng)設(shè)計(jì)報(bào)告，包括系統(tǒng)概要設(shè)計(jì)說明書和詳細(xì)設(shè)計(jì)說明書。
4．系統(tǒng)實(shí)施階段。此階段是滿足需求階段，審計(jì)重點(diǎn)是源程序編寫是否合理，系統(tǒng)測試是否全面恰當(dāng)，系統(tǒng)試運(yùn)行出現(xiàn)問題是否得到解決等。此階段需要關(guān)注的文檔資料是源程序表，系統(tǒng)測試報(bào)告、操作手冊和評(píng)審報(bào)告等。
（四）信息系統(tǒng)運(yùn)行維護(hù)管理
信息系統(tǒng)運(yùn)行維護(hù)管理指的是信息系統(tǒng)生命周期運(yùn)行維護(hù)階段。在此階段，信息系統(tǒng)審計(jì)主要針對(duì)信息系統(tǒng)是否正確操作和有效運(yùn)行，從而真正實(shí)現(xiàn)信息系統(tǒng)的開發(fā)目標(biāo)、滿足用戶需求。審計(jì)可以從信息系統(tǒng)運(yùn)行和系統(tǒng)運(yùn)行管理兩個(gè)方面進(jìn)行，評(píng)價(jià)系統(tǒng)的缺陷和不足，以及用戶操作管理的疏漏，并提出相關(guān)改進(jìn)建議。審計(jì)包括系統(tǒng)輸入審計(jì)、網(wǎng)絡(luò)通信系統(tǒng)審計(jì)、處理過程審計(jì)、數(shù)據(jù)庫審計(jì)、系統(tǒng)輸出審計(jì)和運(yùn)行管理審計(jì)等。對(duì)于系統(tǒng)維護(hù)，審計(jì)主要包括對(duì)維護(hù)組織、維護(hù)順序及流程、維護(hù)計(jì)劃、維護(hù)實(shí)施、改良系統(tǒng)的試運(yùn)行和舊系統(tǒng)的廢除等活動(dòng)的審計(jì)。系統(tǒng)運(yùn)行和維護(hù)階段的審計(jì)主要集中在數(shù)據(jù)中心的測試管理、運(yùn)行操作管理、變更管理、問題管理、數(shù)據(jù)管理、應(yīng)急管理、環(huán)境管理、網(wǎng)絡(luò)管理、日常運(yùn)營管理、性能管理等各個(gè)環(huán)節(jié)的控制上，審查和評(píng)價(jià)其控制的充分性和有效性，同時(shí)還需關(guān)注軟件開發(fā)部門在此階段的技術(shù)支持、功能完善是否到位。
（五）業(yè)務(wù)持續(xù)性規(guī)劃
為了盡可能減少一些災(zāi)難性事件如建筑物、基礎(chǔ)設(shè)施、IT系統(tǒng)、業(yè)務(wù)數(shù)據(jù)和關(guān)鍵人員的毀滅等發(fā)生對(duì)信息系統(tǒng)正常運(yùn)行的影響，需要制定信息科技系統(tǒng)風(fēng)險(xiǎn)應(yīng)急處理方案，且能涵蓋整個(gè)機(jī)構(gòu)的信息科技系統(tǒng)的管理、維護(hù)、重啟、恢復(fù)等各環(huán)節(jié)，最大限度地降低突發(fā)事件所帶來的風(fēng)險(xiǎn)。審計(jì)的重點(diǎn)在于業(yè)務(wù)持續(xù)性規(guī)劃的制定與實(shí)施、數(shù)據(jù)備份中心的管理與操作、業(yè)務(wù)持續(xù)性規(guī)劃的測試和維護(hù)等。
三、信息系統(tǒng)審計(jì)流程與質(zhì)量控制
（一）信息系統(tǒng)審計(jì)流程
信息系統(tǒng)審計(jì)流程基本方向與傳統(tǒng)的審計(jì)業(yè)務(wù)基本相同，都是根據(jù)既定的審計(jì)目標(biāo)、審計(jì)范圍，在對(duì)內(nèi)部控制了解、測試、評(píng)價(jià)的基礎(chǔ)上，對(duì)各個(gè)確定的審計(jì)點(diǎn)進(jìn)行審計(jì)。信息系統(tǒng)審計(jì)測試的方法有符合性測試方法與實(shí)質(zhì)性測試方法。符合性測試指是的通過信息系統(tǒng)內(nèi)部控制的有效性、存在性、合規(guī)性進(jìn)行核實(shí)并形成審計(jì)結(jié)論的方法。實(shí)質(zhì)性測試指是的對(duì)信息系統(tǒng)業(yè)務(wù)處理信息、管理信息進(jìn)行合法性、合理性、真實(shí)性進(jìn)行直接檢查和分析性復(fù)核，最終形成審計(jì)結(jié)論的方法。在對(duì)信息系統(tǒng)測試時(shí)，可使用一些計(jì)算機(jī)輔助方法，如測試數(shù)據(jù)法、平行模擬法、嵌入審計(jì)模塊法、虛擬實(shí)體法、受控處理法、受控再處理法、程序代碼檢查法等。
（二）信息系統(tǒng)審計(jì)質(zhì)量控制
由于信息技術(shù)自身的專業(yè)性極強(qiáng)，信息系統(tǒng)審計(jì)，需要一批既掌握現(xiàn)代審計(jì)理論與實(shí)務(wù)又了解計(jì)算機(jī)技術(shù)的復(fù)合型專業(yè)人才和統(tǒng)一規(guī)范的農(nóng)村合作金融信息系統(tǒng)行業(yè)標(biāo)準(zhǔn)和規(guī)范?，F(xiàn)階段，由于相應(yīng)的信息系統(tǒng)審計(jì)標(biāo)準(zhǔn)與實(shí)務(wù)尚在探索中，可供借鑒的成熟經(jīng)驗(yàn)不多，對(duì)信息系統(tǒng)審計(jì)質(zhì)量的管控主要集中在以下三方面。
1．制定詳細(xì)全面的審計(jì)實(shí)施方案是信息系統(tǒng)審計(jì)質(zhì)量控制的基礎(chǔ)
由于信息系統(tǒng)審計(jì)涉及面很廣，如果沒有制定詳細(xì)全面的審計(jì)實(shí)施方案，很有可能會(huì)漏掉一些很重要的審計(jì)點(diǎn)，從而影響整個(gè)審計(jì)質(zhì)量。為了不遺漏審計(jì)點(diǎn)，可以在制定審計(jì)實(shí)施方案時(shí)，根據(jù)審計(jì)范圍和確定了的審計(jì)內(nèi)容，制作能夠涵蓋所有重要審計(jì)點(diǎn)的表格，審計(jì)人員可以利用這些表格來對(duì)信息系統(tǒng)進(jìn)行審計(jì)。
2．測試信息系統(tǒng)各項(xiàng)業(yè)務(wù)處理流程是信息系統(tǒng)審計(jì)質(zhì)量控制的關(guān)鍵
信息系統(tǒng)是對(duì)農(nóng)村合作金融業(yè)務(wù)各項(xiàng)業(yè)務(wù)處理流程的優(yōu)化，對(duì)信息系統(tǒng)業(yè)務(wù)處理流程進(jìn)行測試是進(jìn)行信息系統(tǒng)審計(jì)的基礎(chǔ)，也是信息系統(tǒng)審計(jì)質(zhì)量控制關(guān)鍵。測試信息系統(tǒng)各項(xiàng)業(yè)務(wù)處理流程就要測試包括在系統(tǒng)中運(yùn)行的業(yè)務(wù)是否全部通過系統(tǒng)運(yùn)行；信息是否及時(shí)錄入系統(tǒng)；錄入的信息是否真實(shí)、準(zhǔn)確；系統(tǒng)運(yùn)行是否正確，有無系統(tǒng)錯(cuò)誤；流程是否通暢，有無缺陷或舞弊的可能，能否進(jìn)行進(jìn)一步的優(yōu)化；識(shí)別、評(píng)價(jià)和應(yīng)對(duì)流程風(fēng)險(xiǎn)的效果如何等。
3．把握信息系統(tǒng)各項(xiàng)內(nèi)部控制的有效性是信息系統(tǒng)審計(jì)質(zhì)量控制的保障。信息系統(tǒng)審計(jì)是建立在對(duì)信息系統(tǒng)內(nèi)部控制測試的基礎(chǔ)上，在對(duì)信息系統(tǒng)的內(nèi)控制度進(jìn)行測試時(shí)，審計(jì)人員必須驗(yàn)證內(nèi)部控制系統(tǒng)是否存在，并能提供令人滿意的證據(jù)，證明它正在有效地發(fā)揮作用。信息系統(tǒng)內(nèi)部控制分為一般控制和應(yīng)用控制。一般控制是指為信息系統(tǒng)的所有信息處理而設(shè)定的政策和措施，是對(duì)信息系統(tǒng)的構(gòu)成要素（人、機(jī)器、文件）所進(jìn)行的控制，其目的在于保證所有的信息處理的準(zhǔn)確性和可靠性，是信息系統(tǒng)安全運(yùn)營的基本保障，包括組織控制、開發(fā)維護(hù)控制、安全控制和軟硬件控制等。應(yīng)用控制是指針對(duì)計(jì)算機(jī)信息系統(tǒng)的各應(yīng)用（即子系統(tǒng)或功能模塊）的敏感環(huán)節(jié)和控制要求，為各子系統(tǒng)的輸入、處理和輸出完整準(zhǔn)確而建立的控制，包括輸入控制、處理控制和輸出控制。
四、當(dāng)前浙江省農(nóng)村合作金融信息系統(tǒng)審計(jì)的工作重點(diǎn)
近年來，浙江省農(nóng)村合作金融機(jī)構(gòu)對(duì)信息技術(shù)的投入越來越大，設(shè)備規(guī)模和技術(shù)水平不斷提高，數(shù)據(jù)大集中的實(shí)現(xiàn)，給金融創(chuàng)新和農(nóng)村合作金融機(jī)構(gòu)的進(jìn)步帶來了強(qiáng)勁動(dòng)力，但也蘊(yùn)含著巨大的風(fēng)險(xiǎn)，在這種形勢下，浙江農(nóng)村合作金融信息系統(tǒng)內(nèi)部審計(jì)必須以滿足業(yè)務(wù)發(fā)展需要和有效控制風(fēng)險(xiǎn)為重點(diǎn)，以充分發(fā)揮內(nèi)部審計(jì)作用，全面識(shí)別、評(píng)價(jià)系統(tǒng)的信息系統(tǒng)控制和風(fēng)險(xiǎn)水平，并根據(jù)評(píng)價(jià)結(jié)果，提出合理、可行的建議，以此進(jìn)一步促進(jìn)信息系統(tǒng)正常、安全、穩(wěn)定運(yùn)行。
（一）積極建立符合浙江農(nóng)村合作金融實(shí)際的信息系統(tǒng)審計(jì)機(jī)制
為了更好的發(fā)揮信息系統(tǒng)審計(jì)作用，規(guī)范信息系統(tǒng)審計(jì)，提高審計(jì)質(zhì)量、加大審計(jì)深度、拓寬審計(jì)范圍和領(lǐng)域，積極建立涵蓋信息系統(tǒng)審計(jì)標(biāo)準(zhǔn)、審計(jì)范圍、審計(jì)程序、審計(jì)行為規(guī)范、審計(jì)證據(jù)獲取、詳細(xì)審計(jì)方案、評(píng)審考核等內(nèi)容的信息系統(tǒng)審計(jì)機(jī)制，由獨(dú)立的內(nèi)（外）部審計(jì)進(jìn)行經(jīng)常性風(fēng)險(xiǎn)評(píng)估，提出改進(jìn)意見，引入恰當(dāng)控制，出具審計(jì)報(bào)告，有效地、動(dòng)態(tài)地建立合理的安全管理體系，形成對(duì)信息系統(tǒng)安全的客觀評(píng)價(jià)。
（二）加大信息系統(tǒng)審計(jì)人才的培養(yǎng)力度
信息系統(tǒng)審計(jì)與傳統(tǒng)審計(jì)相比，在審計(jì)線索、審計(jì)內(nèi)容、審計(jì)風(fēng)險(xiǎn)等方面都發(fā)生了變化，這就要求審計(jì)人員必須具有復(fù)合型知識(shí)結(jié)構(gòu)，既通曉經(jīng)營管理核心要義，又具備全面的信息技術(shù)知識(shí)，同時(shí)還要掌握信息技術(shù)條件下的審計(jì)方法技巧。目前浙江農(nóng)村合作金融審計(jì)人員與信息系統(tǒng)審計(jì)的要求存在一定的矛盾，加大信息系統(tǒng)審計(jì)人才的培養(yǎng)力度將在相當(dāng)長的時(shí)期成為浙江農(nóng)村合作金融信息系統(tǒng)審計(jì)的工作重點(diǎn)。
（三）積極探索識(shí)別和規(guī)避信息系統(tǒng)審計(jì)風(fēng)險(xiǎn)的對(duì)策
在復(fù)雜的信息系統(tǒng)技術(shù)和管理環(huán)境下，實(shí)施信息系統(tǒng)審計(jì)具有一定的審計(jì)風(fēng)險(xiǎn)。要規(guī)避信息系統(tǒng)審計(jì)風(fēng)險(xiǎn)就必須識(shí)別信息系統(tǒng)審計(jì)的風(fēng)險(xiǎn)所在，以幫助審計(jì)人員確立信息系統(tǒng)審計(jì)風(fēng)險(xiǎn)意識(shí)。在控制信息系統(tǒng)審計(jì)質(zhì)量的前提下，積極探索如何有效地識(shí)別和規(guī)避信息系統(tǒng)審計(jì)風(fēng)險(xiǎn)。
