商业银行信息系统内部控制审计评价

    摘 要：商业银行业务经营管理的全面信息化，对商业银行的公司治理、内部控制和风险管理提出了新的挑战，也给商业银行监督部门——内部审计部门提出了全新的要求，本文以某商业银行实践为基础，全面地介绍了商业银行信息系统内部控制审计评价存在的难点和问题，并对如何加强和完善信息系统内部控制审计评价提出了相应的政策建议。
    关键词：内部控制，信息管理，商业银行，审计评价
    一、商业银行信息系统内部控制审计评价面临的难点与问题
    目前商业银行信息系统内部控制的审计评价尚不能满足商业银行对信息系统风险防范的要求，与发达国家商业银行信息系统的审计评价相比还存在不少差距，在审计评价中还面临不少难点和困难。
    1.信息系统的开发、应用与内部审计评价工作脱节。一是长期以来，商业银行业务部门和开发部门在实施业务电算化过程中，只重视“计算机如何完成任务”方面的程序设计，而对计算机完成任务过程中，有关部门如何检查程序本身的运行等方面的程序没有给予足够重视，开发出来的软件没有给审计留下接口。二是在系统的开发、推广应用以及内控约束机制的设立中没有内审部门的提前介入和参与，这些都加大了今后信息系统内部控制审计评价工作的难度。
    2.内审人员素质和内审部门的技术装备还达不到信息技术审计评价的要求。信息系统内部控制审计评价的专业性强，要求审计人员具有管理、审计和计算机等多方面的知识，目前各级行内审部门计算机专业人才比较欠缺，现有的内审人员普遍对信息技术的知识掌握不够。同时内审部门有关计算机辅助审计所需的设备配备不到位，这些问题都制约着商业银行信息系统内部控制审计评价工作的有效开展。
    3.信息系统内部控制审计评价过程中发现问题的难度加大。由于储存在计算机磁性媒介上的数据容易被篡改，有时甚至能不留痕迹地篡改，同时数据库技术的提高使数据高度集中，未经授权的人员有可能通过计算机和网络浏览全部数据文件，复制、伪造和销毁重要的数据。这些作案的隐蔽性和危害性，使审计中发现计算机舞弊的难度较之手工处理方式更大，造成的危害和损失也可能更大。
    4.信息系统内部控制审计评价的手段落后。目前对信息系统现场检查技术手段较为单一、落后，同时内审部门开发的现有内审业务处理系统还不够完善，主要是为形成内审档案资料而研究开发的，其只完成了内审人员形成的事实材料由手工操作到计算化的演变过程，还缺乏专门的一种对信息系统进行计算机辅助审计的应用工作平台，以至在信息系统内部控制的审计评价中难以发现电子化业务处理中深层次的风险隐患。
    5.商业银行还没建立有效的、可操作性强的信息系统内部控制测试和评价标准。内审部门目前对信息系统内部控制的测试还处在摸索阶段，特别是基层商业银行，大多数内审人员均没有进行过业务系统的培训，同时由于没建立计算机信息测试评价标准，往往依靠本行科技人员来完成系统测试，给内审人员最后对信息系统内部控制进行有效的合规性审计评价造成一定的难度。
    6.对信息系统内部控制还没有做到全过程的动态审计评价。目前商业银行内审部门对信息系统的审计仅仅停留在对其是否建立了相关的制度和执行上，对信息系统内部控制的风险和隐患的审计不够深入和全面，审计中往往发现不了一些已经修改后的数据和原始记录。同时由于内审部门对信息系统还没有建立起有效的内审非现场监督管理系统，难以对信息系统内部控制进行动态的全过程的审计评价。
    二、信息系统内部控制审计评价的对策和建议
    1.在当前人们对信息系统内部控制的认识还不够的情况下，由信息系统引起的各种风险产生的损失将是巨大的，这就要求我们商业银行的各级领导需进一步的提高对信息系统监督评价的认识，不断加强对信息系统内部控制审计评价工作的领导和支持，并积极为内审部门开展对信息系统内部控制的审计评价创造一个良好的软、硬件环境。
    2.吸收有一定工作经验的计算机专业技术人才充实到各级商业银行内审部门，改善现有内审干部队伍的人员结构，以适应今后日益频繁的信息系统审计对审计人才的需求。同时要通过业务培训、交流和以查代训的方式提高现有内审人员计算机应用水平和理论知识，并及时了解和借鉴国际上先进的信息系统审计理念、方式和方法。
    3.内审部门要积极介入同级业务和技术部门的软件开发全过程，整个软件开发从业务需求的提出、数据结构和内部控制的设计、程序代码的编写、软件测试、试运行到软件验收，审计人员都应站在内审部门的角度从信息系统的合法合规性、安全可靠性、可维护性、可审计性及内部控制机制的完善性等方面提出内审独立的意见和建议，以便从软件开发的源头上防止系统出现漏洞和缺陷等安全隐患。
    4.内审部门要抓紧建立计算机化的审计环境，信息系统审计专用计算机平台能促进信息系统审计工作的规范化，提高信息系统审计工作效率和质量。
    5.商业银行应出台相应法规，将信息系统开发时留有审计接口作为一条强制性规定明确下来，以推动计算机辅助审计方法的应用和信息系统内部控制审计的顺利实施。借助信息系统的审计接口、网络和一定的计算机审计辅助手段，审计人员就能通过非现场监督手段系统、全面和连续的对在信息系统中流动着的数据信息进行实时动态检查，做到既能检查数据的来源和结果，也能检查数据的流动轨迹。
    参考文献
    [1]李疆。商业银行信息管理系统的设计与实现[D].成都：电子科技大学，2010.
    [2]刘美升。商业银行内部控制审计评价系统的开发与应用[D].济南：山东大学，2011.
    [3]孙凌宇。我国国有商业银行内部控制研究[J].时代金融，2008（06）。
    [4]张政航。浅谈内部审计在商业银行内部控制体系建设中的作用[J]科学与财富，2011（11）。