金融科技風險審計：現(xiàn)狀與展望

陳 偉

一、開展金融科技風險審計的意義

金融科技（Fintech）是指通過利用各類科技手段創(chuàng)新傳統(tǒng)金融行業(yè)所提供的產(chǎn)品和服務，提升效率并有效降低運營成本。國際金融穩(wěn)定理事會（Financial Stability Board，F(xiàn)SB）把金融科技定義為“技術帶來的金融創(chuàng)新，它能夠產(chǎn)生新的商業(yè)模式、應用、過程或產(chǎn)品，從而對金融市場、金融機構或金融服務的提供方式產(chǎn)生重大影響（FSB，2016）。”

維護金融安全已經(jīng)成為治國理政的一件大事，打好防范化解重大風險攻堅戰(zhàn)，重點是防控金融風險。黨的十九大報告指出“健全金融監(jiān)管體系，守住不發(fā)生系統(tǒng)性金融風險的底線”。2017 年的中央經(jīng)濟工作會議將“防范化解重大風險”列為三大攻堅戰(zhàn)之首，并明確指出“重點是防控金融風險”。2018 年4 月的中央財經(jīng)委員會第一次會議明確提出“打好防范化解金融風險攻堅戰(zhàn)”。中共中央政治局2019 年2月22 日就完善金融服務、防范金融風險舉行第十三次集體學習，中共中央總書記習近平在主持學習時強調(diào)“堅決打好防范化解包括金融風險在內(nèi)的重大風險攻堅戰(zhàn)，推動我國金融業(yè)健康發(fā)展”，同時指出“防范化解金融風險特別是防止發(fā)生系統(tǒng)性金融風險，是金融工作的根本性任務。要加快金融市場基礎設施建設，穩(wěn)步推進金融業(yè)關鍵信息基礎設施國產(chǎn)化。”

近年來，金融業(yè)務和模式不斷創(chuàng)新，以網(wǎng)上銀行、電子銀行、手機銀行、直銷銀行、微信銀行以及多種第三方支付方式為代表的新金融業(yè)務和模式快速發(fā)展。隨著金融行業(yè)信息化技術的廣泛應用，信息科技風險一直是金融行業(yè)關注的重點。銀監(jiān)會2017 年4 月發(fā)布的關于銀行業(yè)風險防控工作的指導意見（銀監(jiān)發(fā)〔2017〕6 號）中指出：“（三十四）加強信息科技風險防控。銀行業(yè)金融機構要全面強化網(wǎng)絡信息安全管理，提高身份認證機制安全性；加大對新興電子渠道風險的管理力度，完善災備體系，制定完善應對預案；完善外包管理體系，降低外包風險，不得將信息科技管理責任外包。對發(fā)生嚴重信息科技風險事件的銀行業(yè)金融機構，各級監(jiān)管機構要及時采取必要的強制性監(jiān)管措施。”

不斷演變的技術，特別是與互聯(lián)網(wǎng)、大數(shù)據(jù)、移動技術和云計算等相關信息技術，已成為金融服務創(chuàng)新的顯著驅(qū)動力。金融科技（Financial Technology，F(xiàn)intech 或FinTech）成為近年研究與應用的熱點問題。金融科技是技術驅(qū)動的金融創(chuàng)新，為金融發(fā)展注入了新的活力，也給金融安全帶來了新挑戰(zhàn)。例如，金融科技的應用增加了信息科技的操作風險，金融機構運用更多的新技術，并進行科技外包，增加了風險管理難度，造成一些金融機構出現(xiàn)因為信息系統(tǒng)缺陷導致一些重要數(shù)據(jù)泄露的風險。信息技術在提升金融服務效率的同時，也給金融體系增加了潛在的金融風險。眾多專家認為中國金融科技發(fā)展面臨的核心問題是風險控制問題，如何防范金融科技風險成為當前金融業(yè)面臨的重要挑戰(zhàn)。

綜上分析可知：“防范化解重大風險”列為我國三大攻堅戰(zhàn)之首，打好防范化解重大風險攻堅戰(zhàn)，重點是防控金融風險。由于金融科技發(fā)展迅速，且監(jiān)管力量相對薄弱，防范化解金融科技風險是防范化解系統(tǒng)性金融風險的一項重要內(nèi)容，是金融風險管理的前沿課題。研究如何防范化解金融科技風險具有重要的理論和應用價值。因此，金融科技風險審計是目前審計工作的一項重要內(nèi)容。本文結合目前大數(shù)據(jù)與信息系統(tǒng)審計的研究與應用現(xiàn)狀，分析金融科技風險審計問題。

二、金融科技風險研究與應用現(xiàn)狀

近年來金融科技得到國內(nèi)外的廣泛重視和應用，Shuttlewood 分析了2010 年—2015 年金融科技投資的增長趨勢（Shuttlewood, et al，2016），分析結果表明2010 年—2015 年金融科技的投資增長迅速。Wigglesworth 的調(diào)查發(fā)現(xiàn)，金融科技被認為是最有競爭力的金融公司的主要投資之一（Wigglesworth，2016）。金融科技對行業(yè)、民生、經(jīng)濟等非常有促進作用，金融科技的發(fā)展大大推動了金融服務領域的拓展和維度，但同時也具有更強、更廣和更快的易破壞性，風險較大，其面臨的安全威脅也與日俱增，因而更需要引導和規(guī)范。美國Cybersecurity Ventures 發(fā)布的《2017 年度網(wǎng)絡犯罪報告》中指出“網(wǎng)絡犯罪是當今世界上所有公司面臨的最大威脅，也是人類面臨的最大問題之一，因為金融行業(yè)的特殊性，金融機構一直是網(wǎng)絡犯罪的主要目標”。

許多國家對金融科技發(fā)展持開放態(tài)度，但同時對于金融科技風險的重視程度也逐年增強。美國國家經(jīng)濟委員會2017 年發(fā)布的《金融科技框架》白皮書中指出“這些新興的、未經(jīng)測試的技術也可能伴有風險。如果這些風險得不到管理，它們可能會對更大范圍內(nèi)的金融系統(tǒng)造成損害。就像金融危機所展現(xiàn)的一樣，系統(tǒng)性金融風險可能以我們始料未及的方式迅速擴散”。美國、英國、歐盟等相繼發(fā)布金融科技監(jiān)管文件，以平衡發(fā)展需求。2017 年8 月22 日，世界經(jīng)濟論壇發(fā)布的《超越金融科技：全面評估金融服務的顛覆潛力》報告中分析了在金融科技沖擊下，支付、信貸、財富管理、保險、數(shù)字銀行等7 大金融領域未來的創(chuàng)新模式和路徑，以及每個領域所面臨的風險。我國高度重視金融科技相關問題。2017 年5 月，中國人民銀行成立了金融科技委員會，旨在加強金融科技工作的研究規(guī)劃和統(tǒng)籌協(xié)調(diào)。中國人民銀行將組織深入研究金融科技發(fā)展對貨幣政策、金融市場、金融穩(wěn)定、支付清算等領域的影響，切實做好我國金融科技發(fā)展戰(zhàn)略規(guī)劃與政策指引。強化監(jiān)管科技（RegTech）應用實踐，積極利用大數(shù)據(jù)、人工智能、云計算等技術豐富金融監(jiān)管手段，提升跨行業(yè)、跨市場交叉性金融風險的甄別、防范和化解能力。為指導銀行業(yè)金融機構加強數(shù)據(jù)治理，提高數(shù)據(jù)質(zhì)量，發(fā)揮數(shù)據(jù)價值，提升經(jīng)營管理能力，2018 年5 月21 日，中國銀行保險監(jiān)督管理委員會印發(fā)《銀行業(yè)金融機構數(shù)據(jù)治理指引》。

國內(nèi)外學術界也高度關注金融科技相關問題研究，Gai（2018）從技術視角把金融科技問題分為五個主要的技術維度，包括安全與隱私、數(shù)據(jù)技術、硬件與基礎設施、應用與管理、服務模型，并對這五個技術維度分別進行了詳細的分析。針對金融科技中的網(wǎng)絡威脅問題，Noor（2019）提出了一個基于機器學習的網(wǎng)絡威脅自動歸因框架。用戶隱私保護被普遍認為是金融安全領域最重要的方面之一，為了保護移動金融應用中用戶的位置隱私，Li（2019）提出了一個針對LBS（基于位置的服務）的隱私保護框架，該框架實現(xiàn)了對金融服務提供商數(shù)據(jù)、用戶隱私（特別是位置隱私）、服務提供商數(shù)據(jù)機密性的細粒度訪問控制。隨著作為網(wǎng)銀服務媒介的設備和平臺數(shù)量逐漸增加，導致了為不同的設備和服務重復開發(fā)軟件的問題。Anagnostopoulos（2018）研究了金融科技和監(jiān)管科技對監(jiān)管機構和銀行的影響。Jagtiani（2018）研究了金融科技對消費者和監(jiān)管反應的影響，認為金融科技有可能產(chǎn)生新的風險類型，世界各地的監(jiān)管機構正在努力為消費者提供保護，維護金融穩(wěn)定，同時為安全的金融科技創(chuàng)新創(chuàng)造環(huán)境。Ajlouni（2018）研究了銀行業(yè)金融技術面臨的挑戰(zhàn)與機遇，分析了金融科技對銀行業(yè)的影響以及應對措施，同時認為盡管金融科技企業(yè)吸引了全球金融業(yè)領袖和立法者的關注，但這一問題作為一個尚處于起步階段的研究課題，卻鮮有科學研究。Milian（2019）系統(tǒng)分析了科學文獻中關于金融科技的定義以及關鍵研究話題和趨勢。Maximilian（2020）分析了金融科技系統(tǒng)對金融服務業(yè)的影響，討論了金融科技生態(tài)系統(tǒng)的演變，并指出了金融科技的重要性。汪可（2018）研究了金融科技對我國銀行業(yè)系統(tǒng)性風險的影響，研究結果得出金融科技在一定程度上加重了我國銀行業(yè)系統(tǒng)性風險的結論。中國社會科學院金融研究所研究員楊濤認為：要想實現(xiàn)金融科技的健康發(fā)展，就要分析甄別金融科技存在的風險，在金融科技領域，把握好創(chuàng)新與安全的平衡（楊濤，2019）。

三、金融科技風險審計研究與應用現(xiàn)狀

審計作為信息科技風險的第三道防線，在防范化解金融科技風險中起著重要作用。國內(nèi)外審計實務界一直高度重視信息技術應用帶來的風險。早在計算機進入實用階段時，美國就開始提出系統(tǒng)審計（System Audit）。1969 年，電子數(shù)據(jù)處理審計師協(xié)會（EDPAA，EDP Auditor Association）在美國洛杉磯成立。1994 年，EDPAA 更名為信息系統(tǒng)審計與控制協(xié)會（ISACA，Information Systems Audit and Control Association）， 總 部 設 在美國芝加哥。為了控制信息系統(tǒng)風險，滿足信息系統(tǒng)審計的需要，國際上制訂了一系列的信息系統(tǒng)審計準則與規(guī)范，SOX 法案第404 條款的合規(guī)性實踐，展示了改善IT 治理和判斷IT 治理成效的一種有效方法。作為全球最具影響力的內(nèi)部控制標準，COSO 內(nèi)部控制框架得到了世界許多國家的一致認可和廣泛借鑒。許多組織為了達到SOX 法案對內(nèi)部控制和信息真實性的要求，紛紛對信息系統(tǒng)進行控制評估和風險測試，開發(fā)了各種信息技術控制框架以符合COSO提出的要求，從而把信息技術的一般控制和應用控制方法與COSO 框架結合起來。信息系統(tǒng)審計與控制協(xié)會（ISACA）在1996 年公布了COBIT（Control Objectives for Information and related Technology，信息及相關技術控制目標）控制框架，并分別在1998、2000、2005、2012 年進行了修訂；國際內(nèi)部審計師協(xié)會（Institute of Internal Auditors，IIA）對信息系統(tǒng)審計的相關內(nèi)容進行了研究，發(fā)布了GTAG（Global Technology Audit Guide，信息技術審計指南）。我國對信息系統(tǒng)審計也非常重視。1999 年2月，中國注冊會計師協(xié)會發(fā)布了《中國注冊會計師獨立審計準則》，其中包括《獨立審計具體準則第20 號——計算機信息系統(tǒng)環(huán)境下的審計》；2006 年3 月，中國注冊會計師協(xié)會發(fā)布了《中國注冊會計師審計準則第1633 號——電子商務對財務報表審計的影響》。2008 年9 月，中國內(nèi)部審計協(xié)會發(fā)布了《內(nèi)部審計具體準則第28 號—信息系統(tǒng)審計》；2013 年8 月，中國內(nèi)部審計協(xié)會發(fā)布了新修訂的《中國內(nèi)部審計準則》，其中包括第2203 號內(nèi)部審計具體準則——信息系統(tǒng)審計。2012年2 月，國家審計署發(fā)布了《信息系統(tǒng)審計指南——計算機審計實務公告第34 號》。為了信息系統(tǒng)安全保護的需要，2008 年9 月1 日，公安部和全國信息安全標準化技術委員會發(fā)布了《信息安全技術 信息系統(tǒng)安全等級保護基本要求（GB/T 22239-2008）》。隨著大數(shù)據(jù)、云計算、移動互聯(lián)等技術的發(fā)展與應用，為了適用于新型網(wǎng)絡系統(tǒng)的安全保護要求，2019 年5 月10 日，國家標準化管理委員會發(fā)布了新修訂的《信息安全技術 網(wǎng)絡安全等級保護基本要求》。

對于一些信息化程度高、對信息系統(tǒng)依賴大的行業(yè)，如銀行等，信息系統(tǒng)審計更為重要。對于金融行業(yè)，目前開展的信息系統(tǒng)審計一般稱為信息科技審計。銀監(jiān)會2017 年4 月發(fā)布的關于銀行業(yè)風險防控工作的指導意見（銀監(jiān)發(fā)〔2017〕6 號）中指出“加強信息科技風險防控。”金融行業(yè)高度重視信息系統(tǒng)審計的應用，中國銀行業(yè)監(jiān)督管理委員會于2009 年3 月發(fā)布了《商業(yè)銀行信息科技風險管理指引》，同時廢止了2006 年11 月發(fā)布的《銀行業(yè)金融機構信息系統(tǒng)風險管理指引》；中國保險監(jiān)督管理委員會于2008 年3 月發(fā)布了《保險業(yè)信息系統(tǒng)災難恢復管理指引》；中國證券監(jiān)督管理委員會于2014 年12 月發(fā)布了金融行業(yè)推薦性標準《證券期貨業(yè)信息系統(tǒng)審計規(guī)范》，并于2016年11 月發(fā)布了金融行業(yè)推薦性系列標準《證券期貨業(yè)信息系統(tǒng)審計指南-第1 部分：證券交易所》、《證券期貨業(yè)信息系統(tǒng)審計指南-第2 部分：期貨交易所》、《證券期貨業(yè)信息系統(tǒng)審計指南-第3 部分：證券登記結算機構》、《證券期貨業(yè)信息系統(tǒng)審計指南-第4 部分：其他核心機構》、《證券期貨業(yè)信息系統(tǒng)審計指南-第5 部分：證券公司》、《證券期貨業(yè)信息系統(tǒng)審計指南-第6 部分：基金管理公司》、《證券期貨業(yè)信息系統(tǒng)審計指南-第7 部分：期貨公司》。

我國審計署及地方審計機關目前針對金融機構的經(jīng)濟責任審計中，被審計單位的信息系統(tǒng)建設與運行風險審計是一項重要審計內(nèi)容。內(nèi)部審計中的信息科技專項審計、社會審計中的信息系統(tǒng)風險管理專項審計也專門關注金融科技風險的相關問題。目前一般從IT 治理審計、信息系統(tǒng)開發(fā)、測試和維護審計、信息系統(tǒng)運行管理審計、信息系統(tǒng)安全審計、業(yè)務連續(xù)性管理審計、IT 外包審計、各個信息系統(tǒng)的應用控制審計等方面出發(fā)，調(diào)查被審單位基本情況，識別其信息系統(tǒng)一般控制和應用控制，采用訪談、文檔查看、現(xiàn)場觀察等方法，進行設計和實施測試以及執(zhí)行有效性測試，收集審計證據(jù)，防范信息科技風險。

國內(nèi)外學術界也高度關注信息科技風險方面的研究。隨著云計算技術的發(fā)展與應用，一些文獻研究了云計算環(huán)境帶來的審計風險，如ISACA（2013）從信息系統(tǒng)審計的視角分析了云計算的風險；Prakash（2011）分析了云計算環(huán)境下審計人員應該考慮的風險；筆者分析了云計算環(huán)境下實施聯(lián)網(wǎng)審計可能存在的主要風險（陳偉等，2012），研究了基于自然語言處理技術的IT 治理審計方法（陳偉，2019）、基于大數(shù)據(jù)技術的業(yè)務連續(xù)性管理（BCM）審計方法（陳偉，2019），以及云計算系統(tǒng)審計方法（陳偉等，2019）；結合金融科技風險審計的應用實踐，筆者研究了基于社會網(wǎng)絡分析的金融科技系統(tǒng)用戶管理風險審計方法（陳偉，2019）。總的來說，目前直接針對金融科技風險審計的研究與應用還較少。

隨著大數(shù)據(jù)、人工智能、云計算、金融科技等技術的發(fā)展與應用，金融單位信息化程度越來越高，信息化應用范圍越來越廣，使用的應用系統(tǒng)也越來越多，業(yè)務系統(tǒng)也越來越復雜，由此也增加了金融科技風險的識別難度。目前常用的信息系統(tǒng)審計方法，如訪談、現(xiàn)場觀察、文檔查看、抽樣、穿行測試等已不能完全滿足金融科技風險審計的需要，創(chuàng)新金融科技風險審計方法成為必然，大數(shù)據(jù)審計技術的發(fā)展為開展金融科技風險審計提供了機遇。因此，研究基于大數(shù)據(jù)審計技術的金融科技風險審計越來越重要。