稽核人员培训班的讲课稿（重点）(5)

（七）、信息科技风险审计

金融部门信息科技风险己引起社会各界广大关注，银行业务持续性发展的需要，客户对数据准确性的要求，对科技工作提出了很高的标准。金融部门如果不能很好地把握信息科技风险，有效控制风险，造成主机宕机或数据被入侵都将是灾难性的损失，而且将波及社会各层面。今年，银监会《银行业金融机构信息系统风险管理指引》（银

38

稽核人员培训

监发[2006]63号）以及《中国银行业监督管理委员会办公厅关于开展2006年度信息科技风险内部和外部评价审计的通知》（银监办通[2006]313号）明确指出了信息科技风险的管理要求，文件必须认真学习和领会。从我省情况来看，虽然省联社各级管理部门高度重视信息科技建设工作,并根据自身业务发展需要,合理规划落实科技内控管理,并逐步健全信息安全的内部控制体系,及时查缺补漏,提升信息科技风险防范能力, 不断提高信息科技建设和管理水平。但也存在不少薄弱环节。今年，我们根据通知的要求和指引的精神，成立了信息科技风险审计领导小组和审计小组，对我省农信社信息科技风险进行了内部审计，在内部审计的基础上，进行了必要的整改，同时委找外部审计机构进行审计，目前己完成现场审计任务。作为稽核部门，如何参与信息科技风险审计，并使这项工作常态化将是当前急需解决的一件事。

关于这部分检查重点我在上面谈综合业务系统的系统安全管理部份有谈到了一些，这里再作些补充。

现在我们实现了全省数据式大集中，各联社、各分中心的压力减轻了，但信息风险是否就无须考虑了？信息科技风险审计应如何做？首先，我们得明确，信息风险是存在每个环节的，需要我们各级部门通力协作，共同防范，尤其是我们稽核部门更是责无旁代，但我们不是直接操纵和控制风险的部门，那是科技部门。我们的责任是督促科技部门做好风险防控措施。现在基层联社领导在数据上收以后，认为联社的技术人员没事干了，其实这种思数是错的，基层的科技人员在维护、操作辅导、应急预案的执行中还是有很多事要做的，而且是很重要的事，应该引起足够的重视。其次，我们稽核人员不是纯技术人员，在座的各位估计对电脑技术术语不懂的人还大有人在吧，那么我

39

稽核人员培训

们如何来督促和审计呢？我是综合业务系统需求、开发、测试、上线全过程的主要参与者之一，我对系统的流程控制、软件变更管理、网络安全等方面应该比各位来得有经验，但我也不是专业的IT人员。而实际上，IT风险的防范，很多是与内控相关连的，我们更多的是审计其制度体系是否健全，即是否做到有规矩，有制度可依。然后我们要审计的就是制度是否得到落实，落实是否不折不扣，即是否做到有制度必依。具体点说，你对机房检查过程中，要查看机房运行制度体系是否完善，制度规定的可操作性如何，要查看机房选址、机房内设备（主机、前臵机、UPS、发电机组、路由器、监控、防火、防水、防震、防磁、防尘、线路、空调等），机房分区情况，运行值班人员对人员进出的管理，操作记录，运行记录，门禁管理等，可以抽查历史档案，抽查资料。查看软件管理情况，可以重点看软件立项、开发、测试、上线、评估等一系列制度体系是否完善，是否有可行性。在实际操作中，这些制度的执行情况是否到位，审批权限和手续是否符合规定，有关文档（含磁介文档）的保管、交接、管理是否完整。查看柜员操作情况，可以按综合业务系统有关规定操作一一对照，具体在系统稽核中己谈及这类前台业务，这里就不重复了。网络安全方面，要了解其线路是否做到双运营商，双线路互备，是否专线，办公环境与生产环境是否分离，线路运行情况如何等。设备采购方面可以从招标情况、权限方面来看。你们不是IT人员，在数据库方面不可能看得懂，但至少知道要有岗位制约，可以从作业情况，前后台用户设臵情况来确认岗位制约机制。应急预案方面，可以从应急预案体系入手，了解其制度体系是否完善，操作性是否具有可行性，是否定期演练和及时更新，演练是否常态化。数据备份方面，是否做到双机热备，数据是否有异地备份，备份环境是否符合标准，备份时限多长。这里只

40

稽核人员培训

分析：这类案件多数是信用社人员利用其他人员防范意识不够而作案，其内部制约机制流于形式是案件发生的主要原因。内控机制的漏洞主要在于：柜员业务培训不够，风险意识不强，柜员卡及密码管理不善，还存在柜员信息维护不按规定执行，守库人员擅自离岗，未按规定保管库房钥匙等。

查访的着入点：一是非现场分析，通过监控资料的抽查和序时检查发现的内控隐患加以分析，通过柜员素质和业务操作水平及风险意识分析，可以从中发现案件的蛛丝马迹；二是外围分析，对内勤人员的八小时外的经营活动分析，如参与经商、堵博等现象，以及其日常消费水平、作风情况的分析，可以通过员工反映、外部人反映渠道，尤其注意信访件内容，此外，员工对业务操作规定的反映也是关注点之一；三是实地了解，通过序时检查掌握信用社内控制度的执行情况，可以调阅监控记录查看柜员操作情况，尤其要重点关注柜员卡及密码管理方面，代班情况，柜员信息维护情况，通存通兑现金管理及开户实名制执行情况，印章管理情况，费用审批管理，凭证装订入库管理，突击查库，特别是有怀疑对象的重点检查，包括凭证和现金等；四是查看档案，通过打印柜员信息，了解柜员维护是否合理，是否存在不兼容岗，防止贷款、信贷两个不兼容的标志位同时存于一个柜员；通过凭证记载，查看实名制开户登记、大额现金支取登记和审批是否合规；柜员交接班登记情况，重点查看凭证、印章交接，是否有监交人；查看对公存款对帐单回收率及确认情况；查看费用凭证“三签”、凭证完整、合规情况；查看内部帐转存款帐户是否合规、合理，尤其是结算资金的转入、转出及费用的转出；客户帐户支取资金的凭证是否存在假凭证、假印章，凭证号码与系统开销户登记簿的记载是否相符，尤其关注长期不动帐户的变动情况；定期、不定期查库记录，包括现

46

稽核人员培训

金、重控凭证的查库，查库人员的级别和记载的完整性；五是外查内对方面，重点核对资金流动大的客户存款余额，有可能的话还可以核对支取凭证存量，不动户突然变动时也要重点核对，与客户核对方式要尽量做到当面核对，如果电话、传真核对一定要确认真实性；对有疑问的存款户进行核对，核对时一定要注意语言表达，注意社会影响面。

（四）、违规投资

案例略

分析：这类案件首先涉及违反政策规定投资，必然牵涉到资金来源渠道不正常，投资的收益可能存在“小金库”。

查访的着入点：一是非现场分析，资金来源与资金运用及收益的不配比，清流联社投资在帐面体现，但其来源与收益在帐面上体现不配比，从报表数据中可以发现其不正常的资金流量；二是外围分析，通过员工的反映可以找到明显的违规线索；三是实地了解，一方面是通过贷款检查，很容易可以发现借、化名贷款，一方面是通过财务检查，从投资收益的入帐及分配情况方面，也很容易发现收不入帐或资金流量不合理现象；四是查看档案， …… 此处隐藏：3740字，全部文档内容请下载后查看。喜欢就下载吧 ……