基于COBIT框架下市場商業銀行信息系統審計探討

談 逸/文

一、引言

在信息時代，商業銀行信息化建設是必然，信息系統的建設和不斷升級是銀行穩健運營和發展的基石。銀行對信息系統的依賴加重，無疑對其安全性、可靠性和有效性提出了更高的要求。不少銀行就曾因為信息系統風險而蒙受損失。目前商業銀行面臨的信息系統風險主要分為兩大類，即系統風險和操作風險。

如今，漸漸意識到預防信息系統風險重要性的商業銀行，開始著手建立專業的信息系統審計部門。為了滿足銀行內部管理和信息系統風險管理的需要，也為了更好應對外部監督和檢查，商業銀行不斷對內部信息系統審計提高要求。作為各種組織經營管理的重要部分，信息系統深刻影響著企業的日常經營活動。信息系統審計通過借鑒傳統審計的方法，完善補充現有的審計體系，對信息系統和信息技術運營的安全性和可靠性進行評估，信息系統貫穿于商業銀行的各項業務活動中，并與相關業務進行有效融合，通過開展銀行信息系統的審計工作，將信息系統風險歸入銀行風險管理之中，提高銀行風險管理的水平。

但是由于我國商業銀行在信息系統業務方面起步較晚，目前良好的信息審計系統環境仍未形成，這也成為我國各商業銀行改進、建設的一個要點。

二、信息系統審計及COBIT框架

（一）信息系統審計及現行的信息系統審計框架

信息系統審計的主要目的是通過檢查和評價被審計單位信息系統的安全性、可靠性和經濟性，揭示信息系統存在的問題，提出完善信息系統控制的審計意見和建議，促進被審計單位信息系統實現組織目標；同時，通過檢查和評價信息系統產生的數據的真實性、完整性和正確性，防范和控制審計風險。

信息系統審計是面向系統的。國際現行的被大眾較為了解的信息系統審計框架有 COBIT、ITIL、ISO27001、CMMI、PMP、COSO等。其中大眾接受和認可程度較高的是由信息系統審計與控制協會在1996年提出的COBIT標準。與其他相比，COBIT有著可實施、可裁剪的特點，是公認的IT治理的良好實踐，是IT治理及相關標準和理念的集大成者。

（二）COBIT 框架

COBIT是Control Object for Information and Related Technology的縮寫，著眼于信息與相關技術控制目標，是企業技術管制的框架。COBIT是一個非常有用的工具，也非常易于理解和實施，可以幫助企業在管理層、IT與審計之間交流的鴻溝上搭建橋梁，提供了彼此溝通的共同語言。幾乎每個機構都可以從COBIT中獲益，來決定基于IT過程及他們所支持的商業功能的合理控制。當我們知道這些業務功能是什么，其對企業的影響到什么程度時，就能對這些事件進行良好的分類。

COBIT是一個典型的按照西方思維方法取得的研究成果，即分析事實、提煉模型、建立概念、提出行動方法和評價體系。基于IT治理的概念，ISACA對IT建設過程進行提煉，建立了一系列概念和過程，及時確定行動目標，提出行動方法和評審標準。這些內容構成了COBIT的框染和支柱，使用者可以根據實際情況做一定的剪裁。COBIT所提出基本概念是：IT治理的模型、IT治理的過程、成熟度級別、控制目標、關鍵目標指示（KGI）、關鍵性能指示（KPI）、重要成功因素（CSF）等。

三、商業銀行對COBIT框架的調整與適應

COBIT的一個特性就是可裁剪性。一個完整的COBIT框架也許不能完全適應一個銀行的需求，但是它的可裁剪性可以使銀行更加靈活地做出調整和改善。它的通用性強、針對性弱，很好地解決了商業銀行不能對其照搬照用的問題。另外，COBIT的控制目標、指標等均是通用的，雖然方方面面俱到，比較全面地做到了全覆蓋，但不具針對性，如果要將其應用到特定的某個銀行甚至是特定的某些業務，也只需要做出釋放的裁剪或調整。

COBIT定位于高端，由業務需求驅動，覆蓋了所有的IT活動，它關注的是治理、管理和控制應該達到什么目標，而不是關注如何去做。也就是說，COBIT只提供了目標，沒有給出具體實施步驟，操作性不足。例如COBIT設置了成熟度模型和標準，但沒有明確其判斷指標，僅僅用相對定性的語言進行了描述，在實際運用COBIT成熟度模型時，極有可能隨審計人員的主觀判斷而形成檢查結果的不同和偏差。

COBIT涉及信息系統生命周期全過程，包含34個信息技術處理過程，318個具體控制目標。但由于其通用性的特點，應用于具體單位時需要根據實際情況進行裁剪。而COBIT推出的同時能針對各個行業的實際情況，提出具體應用方法，特別是裁減方法、允許的裁減程度，如哪部分是必須保留的重要的，哪部分可以根據實際情況進行取。

四、商業銀行如何建立起完善的信息系統審計環境

為了能夠更好地應對外部合法合規的壓力、適應內部管理和信息系統風險管理的要求，商業銀行需要建立起一個完善的信息系統審計環境，其中有兩點是必不可少的，即完善的信息系統審計體系和優秀的審計人員。

（一）建立完善的信息系統審計體系

商業銀行想要建立完善的信息系統審計體系，在運營過程中將風險降至最低，至少需要做到以下幾點：

1.確定信息系統審計單位

不管是誰來審計，審計內容是什么，獨立性都必須放在首位，信息系統審計也不例外。國內大多商業銀行的組織形式對內部審計部門在實施工作時都或多或少存在一些限制，在條件允許的情況下，銀行可以采取內部審計與外部審計相結合的方式。即使是無法做到，也應該確保信息系統審計部門的權限足夠，從而保證其獨立性。

2.確定獨立信息系統審計組

實施商業銀行信息系統審計，內容涵蓋了很多方面，不僅涉及銀行的軟硬件系統，還要對商業銀行運營的業務進行符合性審計，更包括了信息系統項目的組織、策劃、服務管理等，涵蓋內容越全面廣泛，審計結果就會越真實有效。因此，想要組織一支專業的信息系統審計團隊，團隊中必須有以上各方面的專業人才，且這些專業人才應該具有專業的資格認證。

3.信息系統審計方案與計劃

在確定好審計單位和審計組后，審計工作開始前的信息系統審計方案與計劃的制定是正式開始審計工作前最重要的準備。制定一個適合且專業的審計計劃將在后續實施時更加高效，更加貼合審計目標。根據各商業銀行的實際情況，審計組在制定審計計劃時，應該考慮到該商業銀行的具體經營重點，最主要的風險點在哪里，有側重點地進行審計。

4.信息系統審計實施

在實施具體審計時，應根據實際實施情況，在審計過程中對遇到的問題進行細分，并對各審計內容進行細致分析，對重點項目要加強審計力度，重視數據的完整性和真實性。

5.信息系統審計報告

在完成所有的審計工作后，審計組需要出具一份具體詳盡的信息系統審計報告。根據審計實施的具體情況，對發現的問題、存在的不足進行具體的說明和分析。審計報告可以按照審計執行時間進行，也可按照審計項目分類說明。

6.持續改進

制定完善的信息系統審計框架并非一蹴而就的事情，恰恰相反，信息系統審計部門需要一直不斷地發現其中的問題并做出持續改進。銀行相關風險不會一成不變，因此危機也有可能不斷升級，若是不能以發展的目光去看待處理各類風險，那么信息系統審計部門便失去了其存在的意義。

（二）培養優秀的審計人員

商業銀行可以在以下三個方面培養能夠滿足內部審計需求的審計人員：第一類是銀行審計部門的工作人員。事實上，為了滿足自身職業發展和順應銀行審計需求，不少銀行審計人員已經開始加強對信息系統的自主學習和培訓，如果銀行能在其中擇優培養，定期組織信息系統相關培訓，幫助他們在實際工作中熟悉信息審計系統，必然對專業人員的擴充有所幫助。第二類是銀行信息科技崗位的管理人員。信息科技崗位的銀行員工在銀行各個系統研發活動的參與度都很高，如果將他們完全與審計部門割裂開，可能會導致系統研發不符合審計相關要求。可見，如今對信息科技崗位的員工要求很高，對他們進行相關的培訓也是必不可少的。尤其是專業綜合的高級管理人才，銀行應當對其予以重點培養。第三類是外部專業人員。如今，尤其是在高校，對學生的綜合素質十分重視，對復合型人才的培養是高校培養人才的重點，銀行可以向高校或是社會尋求幫助，不管是招聘員工或是邀請專業老師來對員工進行培訓，相較而言成本都不是很高。