試論金融機構信息系統審計

⑴ 管理信息系統審計的現狀和發展趨勢

管理信息系統審計的現狀和發展趨勢：

管理信息系統審計即IT審計,我們從IT技術發展來看，隨著IT技術在企業業務和管理中的廣泛運用，IT逐漸從傳統的後台支持而步入前台，成為企業競爭的重要支撐，企業憑借信息系統的強大功能優勢，完成其業務的自動化，但與此同時，從信息系統安全性、效率性、合規性方面都存在風險，傳統的控制、管理、檢查和審計技術都受到了巨大的挑戰。其次，從應用企業類型來看，目前IT審計主要集中在信息化程度要求較高、生產安全緊密相關的單位。比如電信運營商、各大銀行金融機構、中央企業等，中小企業用戶還比較少。企業對於IT審計人才的培養也處於初級階段，目前的狀況是懂IT的人才不少，但是這些專業人才往往缺少對企業的業務、審計的相關知識。

審計管理信息系統具有四個基本功能:即確定信息的需要，收集和加工信息，提供信息，系統管理。

1. 審計管理信息系統首要的功能在於確定整個審計管理需要的信息的范圍、內容、數量、質量、時間等。

2. 收集和加工管理信息審計管理信息系統的收集與加工，包括收集、檢核、加工、編制索引、傳遞和存貯等工作。其目的在於提高信息的質量，保證提供的信息准確、及時。

3. 審計管理信息的提供過程，由分析、檢索、再加工和輸出等環節組成。

4. 為了使審計管理信息系統的工作與審計管理工作相適應且緊密配合，還要對有關信息工作進行管理。具體包括：設計、運行和評價。

審計管理信息系統的運行：

1. 審計信息的獲取

   這是審計管理系統運行的第一步，在信息的採集上必須堅持真實、准確、完整、及時、保證信息加工的需要。

2. 審計信息的加工

   信息的加工是審計管理信息系統運行的第二步，是關鍵環節。它要求對收集到的大量的原始信息有針對性地篩選、分析、歸類，提煉出審計管理工作中的指令信息，提出校正政策法規執行中的偏差疏漏信息，提煉出宏觀方面失控的信息，微觀方面違規違紀信息，確立新政策信息。

3. 審計信息的存貯

   審計信息經過加工以後，它的價值有兩部分：一部分信息只能起暫時作用，反映出及時性，另一部分信息具有時間上的價值，它不僅僅是一次性的價值。而且具有價值的多次性，必須加以存貯。通過存貯來研究審計管理活動規律，把握審計工作發展趨勢，提高審計管理水平。

4. 審計信息的傳輸

   就是審計信息靠通暢的傳輸系統送達需要有關信息的地方。一般而言，管理的組織機構和體系，決定著信息系統的傳輸通道。

⑵ 分析金融危機對商業銀行內部審計的影響

參考資料：

金融危機下我國國有商業銀行內部審計影響

摘 要：本文是對國有商業銀行內部審計機制的探討。文章首先從國內外背景入手，闡明了國有商業銀行建立一套完整、有效、合理的內部審計體系的必要性，然後以國際權威的內部審計框架理論為依據，從控制環境、風險評估、控制活動、信息和溝通、監督與審查五個方面，對現階段我國國有商業銀行的內部審計機制的主要缺陷進行了影響，並提出了改進和完善的建議
關鍵詞： 國有商業銀行 內部審計
一、引 言
2008—2009年是轉折性的一年，我國國有商業銀行的綜合改革邁出了實質性的步伐。國有商業銀行股份制改造的結構性手術正式操刀；2008年12月，國家動用450億美元的外匯儲備為中國銀行和中國建設銀行注入資本金，為上市作準備。中國金融界正經歷一場翻雲覆雨的變化。然而，上市雖能解決產權單一的問題，卻並不意味著它是一副萬靈葯。在我國國有商業銀行的內部審計系統還很薄弱，經營風險還很大的情況下，太過樂觀不是好事。
回顧九十年代以來動盪不安的國際金融市場，從巴林銀行的倒閉到日本大和銀行事件；從國際商業信貸銀行的倒閉到東南亞金融危機，現代美國的次貸危機都無一例外地印證了一點：銀行內部審計的任何鬆懈，都可能招致滅頂之災。可見，無論是國內現狀還是國外環境，都對商業銀行的有效內部審計提出了迫切要求。因此，如何建立一套完整、有效、合理的內部審計體系，以維護銀行資產完整、保持資金合理流動、規范經營行為，已成為國有商業銀行經營管理中所面臨的一項重要課題。
二、內部審計理論簡介
內部審計理論的發展經歷了內部牽制、內部審計制度、內部審計結構、內部審計整體框架等幾個階段。最新和最具里程碑意義的是90年代COSO報告提出的內部審計框架。他認為，內部審計是由企業董事會、經理階層和其他員工實施的，為營運的效率效果、財務報告的可靠性、相關法律的遵循等目標的達成而提供合理保證的過程。具體內容包括五大方面：第一，控制環境（Control Environment）。他包括管理組織結構、管理理念、人事政策和員工素質、外部環境等。第二，風險評估（Risk Assessment）。包括對風險點進行選擇、識別、影響和評估的全過程。第三，控制活動（Control Activities）。是確保管理方針得以實現的一系列制度程序和措施。第四，信息和溝通（Information and Communication）。包括內外部、上下層和各部門間的信息的獲取和交流，以便採取必要的控制活動，及時解決存在的問題。第五，監督與審查（Monitoring）。是為保證內部審計的有效性、充分性、可行性而對內部審計制度進行的持續性的評價和單向制度的分別評價。這五大方面對內部審計做了全面的概括。
三、金融危機對我國國有商業銀行內部審計中出現的問題影響
目前我國商業銀行的內部審計制度的整體執行情況並不理想，突出表現在缺乏五性：有效性、全面性、及時性、獨立性、審慎性。下面將具體從內部審計理論的五大方面來影響我國國有商業銀行內部審計制度存在的主要問題。
（一）從控制環境來看
良好的控制環境是內部審計系統有效運行的基礎。無數實踐表明，金融機構內部形成的氛圍和環境會影響控制活動、信息交流以及監管活動。而我國國有商業銀行的控制環境不佳：
1、產權制度還未完成轉型。一直以來我國國有商業銀行建立在全民所有制基礎上，適應計劃經濟體制，產權單一，缺乏活力。正是因為認識到這一點，目前國有商業銀行的股改上市正緊鑼密鼓地進行。朝著銀行法人產權制度這一方向不懈努力，但過程中仍然會遇到許多阻力。
2、公司治理結構不合理。雖然國有商業銀行的公司法人治理結構發生了很大的變化，但與真正市場化的貨幣金融企業相去甚遠。首先，由於產權問題還未得到最終解決，公司治理架構不健全。其次，權力的委託和分配更多是依靠行政力量，不能保證其獨立於政府的經濟性、市場性。再次，在激勵與約束機制方面，主要實行行政級別的升遷的官本位制，易造成高級管理層注重短期業績，忽視長期和滯後風險的現象。另外，在監督機制方面，以黨政機關的紀律和有關規定監督為主，缺乏股東和資本市場的有效的實質性監督，且各權力部門之間獨立性不強，界限模糊，缺乏制衡約束力量，易造成政府監管與銀行內部信息不對稱，滋生腐敗行為。
3、風險管理理念落後。我國國有商業銀行的高層管理人員對風險管理不夠重視，沒有設立專門的風險管理部門，風險的管理分散在不同的部門，往往存在多頭管理，不利於發現問題。同時對於風險管理的認識常常具有片面性，缺乏全面正確的風險管理觀念。表現在計劃體制下的完全漠視到現在強化風險管理和責任下的對風險採取過度規避，而過度規避影響了業務的正常發展。
4、沒有獨特的企業文化和優秀的企業精神。在市場經濟條件下，國有商業銀行對員工思想道德教育的普遍不重視導致許多不規范或不道德的行為，如：有法不依、有章不循、違法違規經營，為一己之私而損害集體利益，無團隊精神，無主人翁姿態，缺乏責任感，甚至以權謀私、以貸謀私，大肆侵吞國家財產。2008年，國家有關部門為打擊這些現象，制定了一系列嚴格的規章制度約束職工行為，但收效甚微。這說明，單純的規章約束遠遠不夠，還必須培育銀行企業文化，外部的「硬約束」要通過良好的內部「軟約束」才能發揮作用。
（二）從風險評估來看
風險評估是風險控制的基礎和前提，是全面、准確、及時的了解和把握銀行風險的內控要素。我國國有商業銀行在風險評估意識、方法、技術等方面還比較落後。
1、風險評估的方法技術落後，人才缺乏。由於管理層的不重視和高技術人才的缺乏，我國國有商業銀行的風險評估主要依靠定性的、人為控制的直接管理方法，如信貸審查方式，而未使用定性和定量相結合的客觀的科學方法。這導致了風險管理的專業化程度和效率較低，特別是對於已標准化的可批量處理的銀行資金交易和零售業務，沒有實現以模型等定量影響為主的間接管理方法。而且，由於缺乏專業化的技術人員和足夠的數據信息，目前我國商業銀行尚未建立更為科學的內部評級法，也就無法使用國際銀行界廣泛使用的VAR技術和Credit Meterics方法，無法對風險做出准確的識別和影響，更談不上建立起科學的風險管理體系了。
2、風險評估主要局限於信用風險，而對其他風險和一些新業務缺乏必要的影響。我國國有商業銀行的風險評估大多是針對信貸業務設計的，而對市場風險、利率風險、外匯風險等其它業務的風險評估還處於空白，對衍生金融工具、中間業務等新業務的風險更加缺乏監控。這對於業務范圍不斷擴大的國有商業銀行是一個隱患。
（三）從內部審計活動來看
內部審計活動是內部審計最重要、最具有現實意義的子系統，而我國國有商業銀行開展的內部審計活動總體效果不理想。
1、現行的內控規章制度不健全、不系統、不科學。我國國有商業銀行的規章制度有的過時，跟不上發展需要，沒有及時修訂；有的新業務的開展還沒有制定規章制度來約束，運作上帶有盲目性；有的制度過於簡單，操作性不強；有的又過於嚴格、機械等等。值得注意的幾點是：實際工作中有制可循卻缺乏嚴格的執行，使一些基本制度如櫃台交叉復核、雙人雙責和事後監察難以落實，替崗、代崗，代人簽章現象時有發生；獎懲制度往往以黨紀政紀處罰代替了職業上的懲罰，有名無實；成績考核制度也存在較大缺陷，一些基層銀行僅以完成存款的多少來考核評價員工和決定工資待遇，忽視資產的風險狀況。所以總的來說，這樣的制度不利於風險控制。
2、內部組織結構不科學，人員素質控制不到位。由於機構崗位之間的分工不明確，經常會出現責任推委的情況，利益的交叉也使得權力制衡在運行中失靈。而且，各層之間的授權審批制度沒有規范化，授權過大、過小或越權現象嚴重。再加上對職工的錄用把關不嚴，培訓考試過程又流於形式，這些都易導致業務上的操作風險。
3、風險控制手段不足，風險控制系統不全。國有商業銀行缺乏正常的風險補償、風險轉移和風險分散機制。在風險補償方面，未分配利潤遠不適應迅速擴大的資產規模，1%的呆賬准備金過少；在風險轉移方面，能夠轉移風險的衍生金融市場尚未形成：在風險分散方面，由於我國仍處於分業經營狀態，不利於風險分散，從而一定程度上的導致國有商業銀行過多的採取風險迴避而降低收益。
（四）從信息交流方面看
我國國有商業銀行在信息的真實性和傳遞效率上存在很大的問題。
1、會計信息失真。由於各種客觀和主觀的原因，國有商業銀行的會計要素經常出現錯漏現象。更嚴重的是一些分支行機構為了顯示業績而隨意修改會計報表、作假賬、違規操作。這一方面與我國會計制度存在缺陷有關，也與人員的素質有關，更與監管不力有關。
2、管理信息系統建設置後。管理信息系統具有收集、加工、處理內外部信息並轉換成對管理者有用的信息的功能。我國國有商業銀行的計算機應用還主要停留在操作層面的會計信息系統，面向管理層面的管理信息系統建設落後，因而不能很好的輔助管理人員對信息作出准確的細節影響和綜合把握，從而及時發現風險、化解風險。這種滯後造成的原因，一是受傳統的影響，對信息管理工作不夠重視，銀行沒有專門的信息管理部門：二是缺乏既懂業務又懂電腦的人才，限制了技術的開發。
3、信息的傳遞效率低下。我國國有商業銀行的信息傳遞是靠金字塔式的組織來完成的，由總行到一級分行、二級分行等，最後到基層，多達七個層級，鏈條冗長，雖然計算機互聯網消除了許多時滯因素，但信息上行下達過程中出現的人為拖延、理解偏差，導致高層與基層行動步調上的不一致。
（五）從內部監督與審查來看
1、內部審計獨立性不強。我國國有商業銀行內部審計直屬行長領導，對行長負責，報酬由行長決定，這實際上一定程度削弱了對行長及其負責范圍內業務的監督，嚴重影響了審計的獨立性，從而影響了審計工作的公正性和效果，不利於其發揮監督職能。
2、審計人員的思想素質和技術水平有待提高，內部審計方法有待完善。審計人員自身對本職工作的重要性沒有深入認識，且長期以來沿襲舊的審計方法，將審計主要局限在專項審計和突出檢查，方式單一，覆蓋面不廣，審查頻度不高，審計水平有限，只注重事後稽查而忽視事前防範、事中控制，不能充分發揮其預警效果。
四、建立完善的內部審計系統的建議
（一）堅持進行股份制改革，並逐步完善公司治理結構
股改是國有商業銀行治理改革的必由之路。只有通過改制，剪斷國有商業銀行聯結在國家母體上的「臍帶」，使股權結構多元化，銀行資本社會化，才能促使國有商業銀行以其法人財產權承擔有限責任，以市場經濟規則去經營，去承擔和防範風險，去選人用人，才能使其經營者排除經營因素的干擾，聚精會神謀發展。在此基礎上，現代企業的公司治理結構必須加以完善。首要的是建立規范的董事會和監事會，適當引進外部獨立董事和監事，明確劃分股東、董事會、監事會、高級管理層、經理人員各自的權力、責任和利益，保持他們之間的獨立性，形成制衡機制：其次，要建立公正、合理、高效的人力資源管理體制，關鍵在激勵約束機制上，可適當拉開員工收入差距，提高高層管理人員的工資，「以薪養廉」、「以酬留人」，將薪酬和晉升機會與工作績效、創新成果、技術水平掛鉤。為了保證待遇和晉升的合理性，還要充分考慮業績的風險收益對比和長期效用，而不是以表面的、短期的業績為標准考察。
（二）重塑優秀的企業精神，著力培育內部審計文化
優秀企業精神是內部審計中的軟約束力，他強調以人為核心，通過自我修養起作用。首先應從培育正確的價值觀入手，樹立集體主義價值觀，糾正狹隘的個人至上的思想導向：其次，在日常工作中，通過培訓、建立賞罰機制、領導以身作責、廣泛宣傳等手段，培養職工良好的職業道德，以誠信、廉潔、守法、服務、敬業、勤勉、協作為標准來要求員工，熟悉崗內工作的職責要求，理解和掌握內部審計的要點，積極努力去發現問題和風險，使銀行能擁有一個較好的內部審計氛圍。
（三）改革落後的風險管理觀念和方法，健全風險評估體系
國有商業銀行的高級管理層應從根本上加強對風險管理的認識，盡快成立專門的風險管理部門，對風險進行系統、及時的管理。要按照巴塞爾協議的要求，借鑒國際先進經驗和手段，從風險組織流程、風險計量模型、風險資料庫、風險管理信息系統等方面建立科學的內部評級法，逐步建立覆蓋所有風險業務的監控和評價預警系統，並進行持續的監控和定期評估。需要強調的是，由於現代風險識別、評估是一門技術性非常強、非常復雜的工作，其採用的定量影響法與我國傳統應用的定性影響法存在很大的差異。所以國有商業銀行要注意這方面管理技術人才的培育和吸納，積極與國外優秀銀行交流，向他們學習經驗、技術。
（四）有效開展內部審計活動，控制各種風險
在規章制度的規定方面，要打破以往商業銀行內部條條框框的管理模式，實現規章制度的制定以業務流程為中心，緊跟流程過程、變革及業務創新。對原有的、過時、僵化、不完善的規定進行全面檢查修改、做到靈活、標准規范管理。為將各項規則落到實處，要完善相互協調相互制約的組織結構，如崗位雙人，雙職、雙責制，進一步完善內部授權審批制和崗位責任制，確保內部權責明確，防止替崗、代崗現象，同時建立責任定性，考核定量的管理考評制度，建立風險管理獎懲制度，賞罰嚴明。這些都可以在 很大程度上防範操作風險。對於市場風險、信用風險的防範則應適當增加呆帳准備金規模，並積極配合有關方面培育好中國的衍生工具市場，利用多種金融工具進行投資組合、分散市場風險。
（五）加大會計改革力度，加強信息管理，建立順暢的信息傳遞機制
首先，借鑒國際慣例，依據自身條件，我國國有商業銀行要繼續完善其會計核算體系，裁減核算主體，上收核算層級，統一會計口徑，廢除計劃限制，同時完善會計帳務的電子化管理，減少造假可能性，強化審查，提高會計信息的真實度；其次，建立完備的信息管理系統，運用現代信息技術進行設計，力求管理全面、安全可靠。再次，要防止信息傳遞過程中的理解偏差。以會議座談、研討等方式的上下級直接交流也有利於信息的正確傳遞和決策的執行。
（六）加強內部稽查審計，完善監督核查制度
稽核審計是內部審計的最後一道防線，獨立性是其有效的首要要求，從這點出發，國有商業銀行可考慮將稽核部門的地位提升，直接隸屬代表股東利益的董事會，或可以在總行建立一個總稽查審計部門，直接對總行行長負責，下屬支行分別建立分部門，直接對總稽查部門負責，防止機會主義錯誤。同時要借鑒國外經驗，設置科學的量化監控指標體系，對監控對象作出迅速判斷，並採取即使必要的措施。當然，審計人員的素質把關也十分重要，要從嚴選拔，特別注重其品德修養，這是審查有效的最基本保證。

⑶ 金融機構應從()管理的角度

金融機構應從（全流程）管理的角度對各項金融業務進行系統性的洗錢風險評估。

⑷ 計算機專業碩士，剛畢業，想考CISA以後往it審計方面發展，大家給點建議啊

根據我在四大的經驗，你這樣的情況是完全有可能的。

首先你是計算機相關專業的畢業生，並且有碩士學位。

而且你現在從事的工作也和計算機相關。對你的軟體功底培養很有用。

如果你以後通過CISA，並且在現在注意鍛煉英語，你可以在工作兩到三年後去四大做系統審計。

當然，如果你能在這段時間接觸內控、ERP的管理相關，你成功的希望將會大大增加！

祝你好運！有問題歡迎和我討論

⑸ 銀行業金融機構信息系統風險管理指引的主要要求是什麼

機構職責
第六條 銀行業金融機構應建立有效的信息系統風險管理架構，完善內部組織結構和工作機制，防範和控制信息系統風險。
第七條 銀行業金融機構應認真履行下列信息系統管理職責：
（一）貫徹執行國家有關信息系統管理的法律、法規和技術標准，落實銀監會相關監管要求；
（二）建立有效的信息安全保障體系和內部控制規程，明確信息系統風險管理崗位責任制度，並監督落實；
（三）負責組織對本機構信息系統風險進行檢查、評估、分析，及時向本機構專門委員會和銀監會及其派出機構報送相關的管理信息；
（四）及時向銀監會及其派出機構報告本機構發生的重大信息系統事故或突發事件，並按有關預案快速響應；
（五）每年經董事會或其他決策機構審查後向銀監會及其派出機構報送信息系統風險管理的年度報告；
（六）做好本機構信息系統審計工作；
（七）配合銀監會及其派出機構做好信息系統風險監督檢查工作，並按照監管意見進行整改；
（八）組織本機構信息系統從業人員進行信息系統有關的業務、技術和安全培訓；
（九）開展與信息系統風險管理相關的其他工作。
第八條 銀行業金融機構的董事會或其他決策機構負責信息系統的戰略規劃、重大項目和風險監督管理；信息科技管理委員會、風險管理委員會或其他負責風險監督的專業委員會應制定信息系統總體策略，統籌信息系統項目建設，定期評估、報告本機構信息系統風險狀況，為決策層提供建議，採取相應的風險控制措施。
第九條 銀行業金融機構法定代表人或主要負責人是本機構信息系統風險管理責任人。
第十條 銀行業金融機構應設立信息科技部門，統一負責本機構信息系統的規劃、研發、建設、運行、維護和監控，提供日常科技服務和運行技術支持；建立或明確專門信息系統風險管理部門，建立、健全信息系統風險管理規章、制度，並協助業務部門及信息科技部門嚴格執行，提供相關的監管信息；設立審計部門或專門審計崗位，建立健全信息系統風險審計制度，配備適量的合格人員進行信息系統風險審計。
第十一條 銀行業金融機構從事與信息系統相關工作的人員應符合以下要求：
（一）具備良好的職業道德，掌握履行信息系統相關崗位職責所需的專業知識和技能；
（二）未經崗前培訓或培訓不合格者不得上崗；經考核不適宜的工作人員，應及時進行調整。
第十二條 銀行業金融機構應加強信息系統風險管理的專業隊伍建設，建立人才激勵機制，適應信息技術的發展。
第十三條 銀行業金融機構應依據有關法律法規及時和規范地披露信息系統風險狀況。
總體風險控制
第十四條 總體風險是指信息系統在策略、制度、機房、軟體、硬體、網路、數據、文檔等方面影響全局或共有的風險。
第十五條 銀行業金融機構應根據信息系統總體規劃，制定明確、持續的風險管理策略，按照信息系統的敏感程度對各個集成要素進行分析和評估，並實施有效控制。
第十六條 銀行業金融機構應採取措施防範自然災害、運行環境變化等產生的安全威脅，防止各類突發事故和惡意攻擊。
第十七條 銀行業金融機構應建立健全信息系統相關的規章制度、技術規范、操作規程等；明確與信息系統相關人員的職責許可權，建立制約機制，實行最小授權。
第十八條 在境外設立的我國銀行業金融機構或在境內設立的境外銀行業金融機構，應防範由於境內外信息系統監管制度差異等造成的跨境風險。
第十九條 銀行業金融機構應嚴格執行國家信息安全相關標准，參照有關國際准則，積極推進信息安全標准化，實行信息安全等級保護。
第二十條 銀行業金融機構應加強對信息系統的評估和測試，及時進行修補和更新，以保證信息系統的安全性、完整性。
第二十一條 銀行業金融機構信息系統數據中心機房應符合國家有關計算機場地、環境、供配電等技術標准。全國性數據中心至少應達到國家A類機房標准，省域數據中心至少應達到國家B類機房標准，省域以下數據中心至少應達到C類機房標准。數據中心機房應實行嚴格的門禁管理措施，未經授權不得進入。
第二十二條 銀行業金融機構應重視知識產權保護，使用正版軟體，加強軟體版本管理，優先使用具有中國自主知識產權的軟、硬體產品；積極研發具有自主知識產權的信息系統和相關金融產品，並採取有效措施保護本機構信息化成果。
第二十三條 銀行業金融機構與信息系統相關的電子設備的選型、購置、登記、保養、維修、報廢等應嚴格執行相關規程，選用的設備應經過技術論證，測試性能應符合國家有關標准。信息系統所用的伺服器等關鍵設備應具有較高的可靠性、充足的容量和一定的容錯特性，並配置適當的備品備件。
第二十四條 信息系統的網路應參照相關的標准和規范設計、建設；網路設備應兼備技術先進性和產品成熟性；網路設備和線路應有冗餘備份；嚴格線路租用合同管理，按照業務和交易流量要求保證傳輸帶寬；建立完善的網管中心，監測和管理通信線路及網路設備，保障網路安全穩定運行。
第二十五條 銀行業金融機構應加強網路安全管理。生產網路與開發測試網路、業務網路與辦公網路、內部網路與外部網路應實施隔離；加強無線網、互聯網接入邊界控制；使用內容過濾、身份認證、防火牆、病毒防範、入侵檢測、漏洞掃描、數據加密等技術手段，有效降低外部攻擊、信息泄漏等風險。
第二十六條 銀行業金融機構應加強信息系統加密機、密鑰、密碼、加解密程序等安全要素的管理，使用符合國家安全標準的密碼設備，完善安全要素生成、領取、使用、修改、保管和銷毀等環節管理制度。密鑰、密碼應定期更改。
第二十七條 銀行業金融機構應加強數據採集、存貯、傳輸、使用、備份、恢復、抽檢、清理、銷毀等環節的有效管理，不得脫離系統採集加工、傳輸、存取數據；優化系統和資料庫安全設置，嚴格按授權使用系統和資料庫，採用適當的數據加密技術以保護敏感數據的傳輸和存取，保證數據的完整性、保密性。
第二十八條 銀行業金融機構應對信息系統配置參數實施嚴格的安全與保密管理，防止非法生成、變更、泄漏、丟失與破壞。根據敏感程度和用途，確定存取許可權、方式和授權使用范圍，嚴格審批和登記手續。

第二十九條 銀行業金融機構應制定信息系統應急預案，並定期演練、評審和修訂。省域以下數據中心至少實現數據備份異地保存，省域數據中心至少實現異地數據實時備份，全國性數據中心實現異地災備。
第三十條 銀行業金融機構應加強對技術文檔資料和重要數據的備份管理；技術文檔資料和重要數據應保留副本並異地存放，按規定年限保存，調用時應嚴格授權。信息系統的技術文檔資料包括：系統環境說明文件、源程序以及系統研發、運行、維護過程中形成的各類技術資料。重要數據包括：交易數據、賬務數據、客戶數據，以及產生的報表數據等。
第三十一條 銀行業金融機構在信息系統可能影響客戶服務時，應以適當方式告知客戶。
研發風險控制
第三十二條 研發風險是指信息系統在研發過程中組織、規劃、需求、分析、設計、編程、測試和投產等環節產生的風險。
第三十三條 銀行業金融機構信息系統研發前應成立項目工作小組，重大項目還應成立項目領導小組，並指定負責人。項目領導小組負責項目的組織、協調、檢查、監督工作。項目工作小組由業務人員、技術人員和管理人員組成，具體負責整個項目的開發工作。
第三十四條 項目工作小組人員應具備與項目要求相適應的業務經驗與專業技術知識，小組負責人需具備組織領導能力,保證信息系統研發質量和進度。
第三十五條 銀行業金融機構業務部門根據本機構業務發展戰略，在充分進行市場調查、產品效益分析的基礎上制定信息系統研發項目可行性報告。
第三十六條 銀行業金融機構業務部門編寫項目需求說明書，提出風險控制要求，信息科技部門根據項目需求編制項目功能說明書。
第三十七條 銀行業金融機構信息科技部門依據項目功能說明書分別編寫項目總體技術框架、項目設計說明書，設計和編碼應符合項目功能說明書的要求。
第三十八條 銀行業金融機構應建立獨立的測試環境，以保證測試的完整性和准確性。測試至少應包括功能測試、安全性測試、壓力測試、驗收測試、適應性測試。測試不得直接使用生產數據。
第三十九條 銀行業金融機構信息科技部門應根據測試結果修補系統的功能和缺陷，提高系統的整體質量。
第四十條 銀行業金融機構業務人員、技術人員應根據職責范圍分別編寫操作說明書、技術應急方案、業務連續性計劃、投產計劃、應急回退計劃，並進行演練。

第四十一條 開發過程中所涉及的各種文檔資料應經相關部門、人員的簽字確認並歸檔保存。
第四十二條 項目驗收應出具由相關負責人簽字的項目驗收報告，驗收不合格不得投產使用。
第五章運行維護風險控制
第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離，運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護，除應急外，其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求：
（一）制定詳細的運行值班操作表，包括規定巡檢時間，操作范圍、內容、辦法、命令以及負責人員等信息；
（二）提供常見和簡便的操作菜單或命令，如信息系統的啟動或停止、運行日誌的查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求：
（一）除對信息系統設備和系統環境的維護外，對軟體或數據的維護必須通過特定的應用程序進行，添加、刪除和修改數據應通過櫃員終端，不得對資料庫進行直接操作；
（二）具備各種詳細的日誌信息，包括交易日誌和審計日誌等，以便維護和審計；
（三）提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求：
（一）制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，並遵循流程實施控制和管理；變更前應明確應急和回退方案，無授權不得進行變更操作；
（二）根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性；
（三）應採用軟體工具精確判斷變更的真實位置和內容，形成變更內容核實清單，實現真實、有效、全面的檢驗；
（四）軟體版本變更後應保留初始版本和所有歷史版本，保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內，應組織對系統的後評價，並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案，有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報並處理，必要時啟動應急處理預案。
外包風險控制
第五十一條 外包風險是指銀行業金融機構將信息系統的規劃、研發、建設、運行、維護、監控等委託給業務合作夥伴或外部技術供應商時形成的風險。
第五十二條 銀行業金融機構在進行信息系統外包時，應根據風險控制和實際需要，合理確定外包的原則和范圍，認真分析和評估外包存在的潛在風險，建立健全有關規章制度，制定相應的風險防範措施。
第五十三條 銀行業金融機構應建立健全外包承包方評估機制，充分審查、評估承包方的經營狀況、財務實力、誠信歷史、安全資質、技術服務能力和實際風險控制與責任承擔水平，並進行必要的盡職調查。評估工作可委託經國家相應監管部門認定資質，具有相關專業經驗的獨立機構完成。
第五十四條 銀行業金融機構應當與承包方簽訂書面合同，明確雙方的權利、義務，並規定承包方在安全、保密、知識產權方面的義務和責任。
第五十五條 銀行業金融機構應充分認識外包服務對信息系統風險控制的直接和間接影響，並將其納入總體安全策略和風險控制之中。
第五十六條 銀行業金融機構應建立完整的信息系統外包風險評估與監測程序，審慎管理外包產生的風險，提高本機構對外包管理的能力。
第五十七條 銀行業金融機構的信息系統外包風險管理應當符合風險管理標准和策略，並應建立針對外包風險的應急計劃。
第五十八條 銀行業金融機構應與外包承包方建立有效的聯絡、溝通和信息交流機制，並制定在意外情況下能夠實現承包方的順利變更，保證外包服務不間斷的應急預案。
第五十九條 銀行業金融機構將敏感的信息系統，以及其他涉及國家秘密、商業秘密和客戶隱私數據的管理與傳遞等內容進行外包時，應遵守國家有關法律法規，符合銀監會的有關規定，經過董事會或其他決策機構批准，並在實施外包前報銀監會及其派出機構和法律法規規定需要報告的機構備案。

⑹ 銀行業金融機構信息系統風險管理指引的第五章　運行維護風險控制

第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離，運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護，除應急外，其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求：
（一）制定詳細的運行值班操作表，包括規定巡檢時間，操作范圍、內容、辦法、命令以及負責人員等信息；
（二）提供常見和簡便的操作菜單或命令，如信息系統的啟動或停止、運行日誌的查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求：
（一）除對信息系統設備和系統環境的維護外，對軟體或數據的維護必須通過特定的應用程序進行，添加、刪除和修改數據應通過櫃員終端，不得對資料庫進行直接操作；
（二）具備各種詳細的日誌信息，包括交易日誌和審計日誌等，以便維護和審計；
（三）提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求：
（一）制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，並遵循流程實施控制和管理；變更前應明確應急和回退方案，無授權不得進行變更操作；
（二）根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性；
（三）應採用軟體工具精確判斷變更的真實位置和內容，形成變更內容核實清單，實現真實、有效、全面的檢驗；
（四）軟體版本變更後應保留初始版本和所有歷史版本，保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內，應組織對系統的後評價，並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案，有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報並處理，必要時啟動應急處理預案。

⑺ 論述題求大神幫忙，結合《銀行業金融機構內部審計指引》談談你行董事會、審計委員會以及內審部門在內部審

1、確定本行的經營發展戰略和重大政策並定期檢查、評價其執行情況；
2、聘任和解聘本行的高級管理層成員；
3、制訂本行的年度財務預算方案、決算方案、風險資本分配方案、利潤分配方案和彌補虧損方案；
4、決定本行的風險管理和內部控制政策， 負責保證本行建立並實施充分而有效的內部控制體系；
5、監督高級管理層的履職情況，確保高級管理層有效履行管理職責；
6、負責本行的信息披露，並對本行的會計和財務報告體系的完整性、准確性承擔最終責任；
7、定期評估並完善本行的公司治理狀況；
8、負責確保本行在法律和政策的框架內審慎經營，明確設定可接受的風險程度，確保高級管理層採取必要措施識別、計量、監測並控制風險；
9、負責審批組織機構；
10、負責保證高級管理層對內部控制體系的充分性與有效性進行監測和評估；
11、負責審議批准合規政策和合規風險管理報告，評價合規風險管理的有效性，並授權董事會下設的風險管理委員會或專門設立的合規管理委員會對本行合規風險管理進行日常監督；
12、負責信息系統的戰略規劃、重大項目和風險監督管理；
13、負責對信息科技風險管理的戰略規劃和工作目標、工作任務的方案審議、管理與監督；
14、負責制定金融創新發展戰略，並確保其與全行整體戰略相一致；

15、負責將金融創新活動的風險管理納入全行統一的風險管理體系，確保各類金融創新活動與本行的風險管理能力和專業水平相適應；
16、制定與本行戰略目標相一致且適用於全行的操作風險管理戰略和總體政策；
17、通過審批及檢查高級管理層有關操作風險的職責、許可權及報告制度，確保全行的操作風險管理決策體系的有效性，並盡可能地確保將本行從事的各項業務面臨的操作風險控制在可以承受的范圍內；
18、定期審閱高級管理層提交的操作風險報告，充分了解本行操作風險管理的總體情況、高級管理層處理重大操作風險事件的有效性以及監控和評價日常操作風險管理的有效性；
19、確保高級管理層採取必要的措施有效地識別、評估、監測和控制/緩釋操作風險；
20、確保本行操作風險管理體系接受內審部門的有效審查與監督；
21、制定適當的獎懲制度，在全行范圍有效地推動操作風險管理體系的建設。
22、法律、法規和章程規定的其他職責

-------------------僅供參考-------------------------希望採納----------

⑻ 銀行業金融機構外部審計監管指引的第六章 審計結果的利用

第十九條 銀行業金抄融機構應當在收到外審機構出具的審計報告和管理建議書後及時將副本報送銀行業監管機構。
第二十條 銀行業監管機構應當建立銀行業金融機構外部審計結果、整改建議等審計信息系統，充分利用外部審計相關信息。
第二十一條 銀行業金融機構應當重視並積極整改外部審計發現的問題，並將整改結果報送銀行業監管機構。

⑼ 金融機構風險為本管理原則包括以下哪些內容

第六條 銀行業金融機構應建立效信息系統風險管理架構完善內部組織結構工作機制防範控制信息系統風險
第七條 銀行業金融機構應認真履行列信息系統管理職責：
（）貫徹執行家關信息系統管理律、規技術標准落實銀監相關監管要求；
（二）建立效信息安全保障體系內部控制規程明確信息系統風險管理崗位責任制度並監督落實；
（三）負責組織本機構信息系統風險進行檢查、評估、析及向本機構專門委員銀監及其派機構報送相關管理信息；
（四）及向銀監及其派機構報告本機構發重信息系統事故或突發事件並按關預案快速響應；
（五）每經董事或其決策機構審查向銀監及其派機構報送信息系統風險管理度報告；
（六）做本機構信息系統審計工作；
（七）配合銀監及其派機構做信息系統風險監督檢查工作並按照監管意見進行整改；
（八）組織本機構信息系統業員進行信息系統關業務、技術安全培訓；
（九）展與信息系統風險管理相關其工作
第八條 銀行業金融機構董事或其決策機構負責信息系統戰略規劃、重項目風險監督管理；信息科技管理委員、風險管理委員或其負責風險監督專業委員應制定信息系統總體策略統籌信息系統項目建設定期評估、報告本機構信息系統風險狀況決策層提供建議採取相應風險控制措施
第九條 銀行業金融機構定代表或主要負責本機構信息系統風險管理責任
第十條 銀行業金融機構應設立信息科技部門統負責本機構信息系統規劃、研發、建設、運行、維護監控提供科技服務運行技術支持；建立或明確專門信息系統風險管理部門建立、健全信息系統風險管理規章、制度並協助業務部門及信息科技部門嚴格執行提供相關監管信息；設立審計部門或專門審計崗位建立健全信息系統風險審計制度配備適量合格員進行信息系統風險審計
第十條 銀行業金融機構事與信息系統相關工作員應符合要求：
（）具備良職業道德掌握履行信息系統相關崗位職責所需專業知識技能；
（二）未經崗前培訓或培訓合格者崗；經考核適宜工作員應及進行調整
第十二條 銀行業金融機構應加強信息系統風險管理專業隊伍建設建立才激勵機制適應信息技術發展
第十三條 銀行業金融機構應依據關律規及規范披露信息系統風險狀況
總體風險控制
第十四條 總體風險指信息系統策略、制度、機房、軟體、硬體、網路、數據、文檔等面影響全局或共風險
第十五條 銀行業金融機構應根據信息系統總體規劃制定明確、持續風險管理策略按照信息系統敏程度各集要素進行析評估並實施效控制
第十六條 銀行業金融機構應採取措施防範自災害、運行環境變化等產安全威脅防止各類突發事故惡意攻擊
第十七條 銀行業金融機構應建立健全信息系統相關規章制度、技術規范、操作規程等；明確與信息系統相關員職責許可權建立制約機制實行授權
第十八條 境外設立我銀行業金融機構或境內設立境外銀行業金融機構應防範由於境內外信息系統監管制度差異等造跨境風險
第十九條 銀行業金融機構應嚴格執行家信息安全相關標准參照關際准則積極推進信息安全標准化實行信息安全等級保護
第二十條 銀行業金融機構應加強信息系統評估測試及進行修補更新保證信息系統安全性、完整性
第二十條 銀行業金融機構信息系統數據機房應符合家關計算機場、環境、供配電等技術標准全性數據至少應達家A類機房標准省域數據至少應達家B類機房標准省域數據至少應達C類機房標准數據機房應實行嚴格門禁管理措施未經授權進入
第二十二條 銀行業金融機構應重視知識產權保護使用版軟體加強軟體版本管理優先使用具自主知識產權軟、硬體產品；積極研發具自主知識產權信息系統相關金融產品並採取效措施保護本機構信息化
第二十三條 銀行業金融機構與信息系統相關電設備選型、購置、登記、保養、維修、報廢等應嚴格執行相關規程選用設備應經技術論證測試性能應符合家關標准信息系統所用伺服器等關鍵設備應具較高靠性、充足容量定容錯特性並配置適備品備件
第二十四條 信息系統網路應參照相關標准規范設計、建設；網路設備應兼備技術先進性產品熟性；網路設備線路應冗餘備份；嚴格線路租用合同管理按照業務交易流量要求保證傳輸帶寬；建立完善網管監測管理通信線路及網路設備保障網路安全穩定運行
第二十五條 銀行業金融機構應加強網路安全管理產網路與發測試網路、業務網路與辦公網路、內部網路與外部網路應實施隔離；加強線網、互聯網接入邊界控制；使用內容濾、身份認證、防火牆、病毒防範、入侵檢測、漏洞掃描、數據加密等技術手段效降低外部攻擊、信息泄漏等風險
第二十六條 銀行業金融機構應加強信息系統加密機、密鑰、密碼、加解密程序等安全要素管理使用符合家安全標准密碼設備完善安全要素、領取、使用、修改、保管銷毀等環節管理制度密鑰、密碼應定期更改
第二十七條 銀行業金融機構應加強數據採集、存貯、傳輸、使用、備份、恢復、抽檢、清理、銷毀等環節效管理脫離系統採集加工、傳輸、存取數據；優化系統資料庫安全設置嚴格按授權使用系統資料庫採用適數據加密技術保護敏數據傳輸存取保證數據完整性、保密性
第二十八條 銀行業金融機構應信息系統配置參數實施嚴格安全與保密管理防止非、變更、泄漏、丟失與破壞根據敏程度用途確定存取許可權、式授權使用范圍嚴格審批登記手續

第二十九條 銀行業金融機構應制定信息系統應急預案並定期演練、評審修訂省域數據至少實現數據備份異保存省域數據至少實現異數據實備份全性數據實現異災備
第三十條 銀行業金融機構應加強技術文檔資料重要數據備份管理；技術文檔資料重要數據應保留副本並異存放按規定限保存調用應嚴格授權信息系統技術文檔資料包括：系統環境說明文件、源程序及系統研發、運行、維護程形各類技術資料重要數據包括：交易數據、賬務數據、客戶數據及產報表數據等
第三十條 銀行業金融機構信息系統能影響客戶服務應適式告知客戶
研發風險控制
第三十二條 研發風險指信息系統研發程組織、規劃、需求、析、設計、編程、測試投產等環節產風險
第三十三條 銀行業金融機構信息系統研發前應立項目工作組重項目應立項目領導組並指定負責項目領導組負責項目組織、協調、檢查、監督工作項目工作組由業務員、技術員管理員組具體負責整項目發工作
第三十四條 項目工作組員應具備與項目要求相適應業務經驗與專業技術知識組負責需具備組織領導能力,保證信息系統研發質量進度
第三十五條 銀行業金融機構業務部門根據本機構業務發展戰略充進行市場調查、產品效益析基礎制定信息系統研發項目行性報告
第三十六條 銀行業金融機構業務部門編寫項目需求說明書提風險控制要求信息科技部門根據項目需求編制項目功能說明書
第三十七條 銀行業金融機構信息科技部門依據項目功能說明書別編寫項目總體技術框架、項目設計說明書設計編碼應符合項目功能說明書要求
第三十八條 銀行業金融機構應建立獨立測試環境保證測試完整性准確性測試至少應包括功能測試、安全性測試、壓力測試、驗收測試、適應性測試測試直接使用產數據
第三十九條 銀行業金融機構信息科技部門應根據測試結修補系統功能缺陷提高系統整體質量
第四十條 銀行業金融機構業務員、技術員應根據職責范圍別編寫操作說明書、技術應急案、業務連續性計劃、投產計劃、應急退計劃並進行演練

第四十條 發程所涉及各種文檔資料應經相關部門、員簽字確認並歸檔保存
第四十二條 項目驗收應具由相關負責簽字項目驗收報告驗收合格投產使用
第五章運行維護風險控制
第四十三條 運行維護風險指信息系統運行與維護程操作管理、變更管理、機房管理事件管理等環節產風險
第四十四條 銀行業金融機構信息系統運行與維護應實行職責離運行員應實行專職由其員兼任運行員應按操作規程巡檢操作維護員應按授權維護規程要求產狀態軟硬體、數據進行維護除應急外其維護應非工作間進行
第四十五條 銀行業金融機構信息系統運行應符合要求：
（）制定詳細運行值班操作表包括規定巡檢間操作范圍、內容、辦、命令及負責員等信息；
（二）提供見簡便操作菜單或命令信息系統啟或停止、運行志查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班程所現象、操作程等信息
第四十六條 銀行業金融機構信息系統維護應符合要求：
（）除信息系統設備系統環境維護外軟體或數據維護必須通特定應用程序進行添加、刪除修改數據應通櫃員終端資料庫進行直接操作；
（二）具備各種詳細志信息包括交易志審計志等便維護審計；
（三）提供維護統計報表列印功能
第四十七條 銀行業金融機構信息系統變更應符合要求：
（）制訂嚴密變更處理流程明確變更控制各崗位職責並遵循流程實施控制管理；變更前應明確應急退案授權進行變更操作；
（二）根據變更需求、變更案、變更內容核實清單等相關文檔審核變更確性、安全性合性；
（三）應採用軟體工具精確判斷變更真實位置內容形變更內容核實清單實現真實、效、全面檢驗；
（四）軟體版本變更應保留初始版本所歷史版本保留所歷史變更內容核實清單
第四十八條 銀行業金融機構信息系統投產定期內應組織系統評價並根據評價及系統功能進行調整優化
第四十九條 銀行業金融機構應機房環境設施實行巡檢明確信息系統及機房環境設施現故障應急處理流程預案實交易服務數據應實行24值班
第五十條 銀行業金融機構應實行事件報告制度發信息系統造重經濟、聲譽損失重影響事件應即報並處理必要啟應急處理預案
外包風險控制
第五十條 外包風險指銀行業金融機構信息系統規劃、研發、建設、運行、維護、監控等委託給業務合作夥伴或外部技術供應商形風險
第五十二條 銀行業金融機構進行信息系統外包應根據風險控制實際需要合理確定外包原則范圍認真析評估外包存潛風險建立健全關規章制度制定相應風險防範措施
第五十三條 銀行業金融機構應建立健全外包承包評估機制充審查、評估承包經營狀況、財務實力、誠信歷史、安全資質、技術服務能力實際風險控制與責任承擔水平並進行必要盡職調查評估工作委託經家相應監管部門認定資質具相關專業經驗獨立機構完
第五十四條 銀行業金融機構應與承包簽訂書面合同明確雙權利、義務並規定承包安全、保密、知識產權面義務責任
第五十五條 銀行業金融機構應充認識外包服務信息系統風險控制直接間接影響並其納入總體安全策略風險控制
第五十六條 銀行業金融機構應建立完整信息系統外包風險評估與監測程序審慎管理外包產風險提高本機構外包管理能力
第五十七條 銀行業金融機構信息系統外包風險管理應符合風險管理標准策略並應建立針外包風險應急計劃
第五十八條 銀行業金融機構應與外包承包建立效聯絡、溝通信息交流機制並制定意外情況能夠實現承包順利變更保證外包服務間斷應急預案
第五十九條 銀行業金融機構敏信息系統及其涉及家秘密、商業秘密客戶隱私數據管理與傳遞等內容進行外包應遵守家關律規符合銀監關規定經董事或其決策機構批准並實施外包前報銀監及其派機構律規規定需要報告機構備案