基于社會網絡分析的金融科技系統用戶管理風險審計方法研究

陳偉 詹明惠 陳文夏

一、引言

近年來，金融業務和模式不斷創新，以網上銀行、電子銀行、手機銀行、直銷銀行、微信銀行以及多種第三方支付方式為代表的新金融業務和模式快速發展。隨著金融行業信息化技術的廣泛應用，信息科技風險成為金融行業關注的重點。目前，大數據、人工智能、云計算等技術的應用和發展使得金融機構信息化程度越來越高，信息化應用范圍越來越廣，對信息化的依賴程度越來越高，使用的應用系統也越來越多，業務系統也越來越復雜。這些金融科技的快速發展和廣泛應用也增加了風險的識別難度，創新審計方法成為必然。金融科技環境下，目前常用的信息系統（信息科技）審計方法，如訪談、現場觀察、文檔查看、抽樣、穿行測試等已不能完全滿足需要，僅靠現有的審計方法很難發現相關潛在的信息系統風險，信息科技風險審計方法需要不斷創新。

綜上所述，金融科技風險審計是目前審計工作的一項重要內容。盡管目前已有一些關于大數據審計方法的研究，但目前仍缺少直接針對金融科技風險審計方法的研究。本文結合目前大數據與信息系統審計的研究與應用現狀，在已有的基于大數據技術的信息系統用戶及權限管理審計研究的基礎上（陳偉，2019），探索如何采用社會網絡分析等大數據審計技術開展金融科技風險審計。

二、常用審計方法的不足

用戶及權限管理是信息系統運行管理中的一項重要內容，它要求“應保證只有經授權的用戶才能訪問，防止非授權訪問”。因此，在開展信息系統運行管理審計時，審計人員需要檢查業務系統是否能保證只有經授權的用戶才能訪問，能否防止非授權訪問。對于金融科技系統審計來說，審計人員可以通過分析金融科技系統中是否存在操作用戶有多個賬號的情況，以及這些賬號是否都可以正常使用等達到防范相關金融科技風險的目的。

傳統環境下，被審計單位信息化程度低，應用系統較少，操作用戶較少，因此，對于用戶及權限管理審計只需要做簡單的訪談或現場察看一下被審計單位的應用系統即可。但隨著金融科技的廣泛應用，目前被審計單位信息化程度高，應用系統較多，一些單位應用系統多達幾百個，甚至上千個，另外，操作用戶也較多。因此，金融科技系統的用戶及權限管理是一個重要挑戰。目前常用的審計方法存在以下不足：

重號分析是數值分析中的一種常用方法，它用來查找被審計數據某個字段（或某些字段）中是否存在重復的數據。通過重號分析方法，審計人員可以查找被審計單位應用系統中是否存在用戶擁有多個賬號的情況。以審計軟件IDEA舉例，重號分析方法應用的示例如圖1所示。

對于重號分析方法，也可以采用SQL語句實現。以Microsoft Access數據庫軟件為例，采用SQL語句進行重號分析的示例如圖2所示。

由圖1和圖2不難看出：常用的重號分析方法雖然也能查找被審計單位的信息系統中操作用戶是否存在一人擁有多個賬號的情況，但不能很清楚、形象地展示出擁有多個賬號的操作用戶分別分布在哪些部門、操作用戶和所在部門的關系，以及對于每一個操作用戶，其擁有的多個賬號是否都可以正常使用等詳細信息。

三、基于社會網絡分析的金融科技系統用戶管理風險審計方法分析

1.相關大數據審計技術分析

為了更好地滿足大數據環境下開展審計工作的需要，需要一些大數據審計技術，常見的大數據審計技術一般可以概況為：（1）大數據智能分析技術，有效的方法如社會網絡分析、自然語言分析等；（2）大數據可視化分析技術，有效的方法如文本可視化分析技術（如標簽云分析）以及其他常見的大數據可視化分析技術（Koh，2010；GTAG，2017；Gepp，2018），如氣泡圖（Bubble Chart）、柱狀圖（Bar Chart）、折線圖（Line Chart）、餅圖（Pie Chart）、散點圖（Scatter Chart）、雷達圖（Radar Chart）、熱力圖（Heat map）等；（3）大數據多數據源綜合分析技術，也就是通過對采集來的各行、各業、各類大數據，采用數據查詢等常用方法或其他大數據技術方法進行相關數據的綜合比對和關聯分析，從而發現更多隱藏的審計線索。

2.社會網絡分析方法概述

網絡指的是各種關聯，社會網絡就是社會關系所構成的一種結構關系，一個社會網絡是由一些特定范圍的行動者以及行動者之間的關系組成，它可以反映行動者之間的社會關系。社會網絡分析（Social Network Analysis）是對社會網絡的關系結構及其屬性加以分析的一套規范和方法，它基于信息學、數學、社會學、管理學、心理學等多學科的融合理論和方法，為理解人類各種社會關系的形成、行為特點分析以及信息傳播的規律提供的一種可計算的分析方法。社會網絡分析采用的方式和方法從概念上有別于傳統的統計分析和數據處理方法，它是研究一組行動者的關系的研究方法，關注的焦點是關系和關系的模式。

目前，社會網絡分析在市場營銷、廣告、企業招聘、跟蹤預測流感的爆發、預測票房等方面得到應用，一些流行的大數據可視化分析工具，如R語言、Python、Gephi、Pajek等也具有強大的社會網絡分析功能。因此，大數據環境下，可以采用Python、Pajek、Gephi等工具實現社會網絡分析方法，完成審計數據分析，發現相關審計線索。

相關社會網絡分析工具簡介如下：

（1）Pajek：Pajek在斯洛文尼亞語中是蜘蛛的意思。Pajek在Windows環境下運行，是一種大型復雜網絡分析工具，可用于目前所存在的各種復雜非線性網絡的分析和可視化操作。

（2）Gephi：Gephi是一款開源免費、跨平臺的復雜網絡分析軟件，它基于Java虛擬機（Java Virtual Machine，JVM），允許開發者開發新程序，創建新功能。它可以用于社會網絡分析、探索性數據分析、可視化分析等方面。

（3）開源工具：除了采用Pajek、Gephi等工具實現社會網絡分析方法之外，審計人員也可以采用開源工具R語言、Python等實現基于社會網絡的審計數據分析。本文以R語言為例，研究并實現基于社會網絡分析的金融科技系統用戶管理風險審計方法。

3.基于社會網絡分析的金融科技系統用戶管理風險審計方法原理

基于社會網絡分析的金融科技系統用戶管理風險審計方法原理可簡單描述為：采集被審計金融科技系統的全單位操作用戶信息等數據，采用社會網絡分析工具對全單位操作用戶信息等相關結構化數據進行建模和整體分析，通過對社會網絡分析的可視化結果圖形和圖像進行分析和觀察，從總體上發現操作用戶與所在部門之間的相互關系，從而發現是否存在用戶屬于不同部門的審計線索。在此基礎上，進行延伸分析，比如，通過對全單位操作用戶信息數據進行分析，了解同時屬于不同部門的用戶的賬號狀態，確認其兩個或多個賬號是否都可以正常使用。通過對以上發現的異常數據做進一步的延伸審計和審計事實確認，最終獲得審計證據。

綜上分析，基于社會網絡分析技術的金融科技系統用戶管理風險審計方法原理如圖3所示。

四、基于社會網絡分析的金融科技系統用戶管理風險審計方法應用案例及分析

1.案例背景簡介

為了審計金融科技系統用戶管理風險，需要從被審計單位信息管理部門采集相關操作用戶信息等數據。通過審計這些數據，可以掌握目前該被審計單位所有應用系統中的操作用戶情況，比如用戶狀態、用戶相關信息等。以某金融科技系統用戶管理風險審計為例，假設現已獲得相關數據，以該金融科技系統中的用戶信息數據為例，其表結構如圖4所示。

2.基于社會網絡的金融科技系統用戶管理風險整體分析

為了從整體上掌握金融科技系統中是否存在操作用戶在多個部門均有用戶賬號的情況，基于前文的分析，采用社會網絡分析方法對全單位操作用戶信息數據進行分析，整體動態分析結果的一個示例如圖5所示。

由圖5可以清晰地發現：被審計單位的金融科技系統中存在多名操作用戶在多個部門擁有用戶賬號的情況，這對被審計單位金融科技系統的運行管理造成潛在的風險隱患。

在圖5所示的分析結果的基礎上，審計人員可以對擁有多個賬號的用戶做進一步的動態察看。以用戶“朱明友”為例，如圖6所示，可以發現用戶“朱明友”在科技信息部、財務部以及審計部三個部門同時擁有用戶賬號。

綜上所述，不難發現：傳統的靜態社會網絡分析方法主要集中于對某一橫截面數據的靜態分析，并生成靜態的圖形結果，不能在分析結果的基礎上進一步動態查看網絡結點之間的關系，不能清楚地對被審計數據進行動態分析，而本文應用的社會網絡分析方法有效地滿足了“操作用戶和所在部門”之間關系分析的需要。

3.具有多個賬號用戶的具體狀態情況可視化分析

為了進一步分析這些在多個部門擁有賬號的用戶的具體信息，如擁有的多個賬號是否都可以正常使用，采用散點圖可視化分析方法對操作用戶信息數據做進一步的分析，了解有多個賬號的用戶賬號的狀態情況，其中的一個分析結果示例如圖7所示。在圖7中， X坐標為擁有多個賬號的操作用戶，Y坐標為操作用戶所在部門，散點的顏色表示用戶賬號的狀態（0表示用戶賬號可以正常使用，1表示用戶賬號已凍結（暫停使用），2表示用戶賬號已注銷）。

由圖7可以清晰地發現：被審計單位金融科技系統中存在多名操作用戶在多個部門有多個均能正常使用的用戶賬號的情況（散點為紅色），這對被審計單位金融科技系統的運行管理造成潛在的風險隱患。以用戶“朱明友”為例，其在科技信息部、財務部以及審計部三個部門同時擁有用戶賬號，且三個用戶賬號的狀態均為能正常使用（散點為紅色）。

五、總 結

隨著金融科技的廣泛應用和快速發展，目前常用的信息系統（信息科技）審計方法不能很好地滿足金融科技應用系統風險審計的需要，采用大數據審計技術開展金融科技風險審計成為一種有效的方法。本文根據這一需要，以金融科技系統用戶管理風險審計為例，分析了如何采用社會網絡分析技術開展金融科技風險審計，并以實際案例證明了本文研究的可行性和有效性。本文研究的方法已應用于某大型審計項目之中，取得了良好的效果。當然，本文研究的方法不可能解決所有的金融科技系統用戶及權限管理風險審計問題，但能有效地彌補目前已有方法的不足。