基于風(fēng)險評估工作的央行信息技術(shù)審計轉(zhuǎn)型路徑研究

蔣峰

摘要：近年來，人民銀行信息技術(shù)審計確立了以風(fēng)險為導(dǎo)向的轉(zhuǎn)型思路。科學(xué)剖析信息技術(shù)管理風(fēng)險點(diǎn)，明確風(fēng)險分布及控制水平是開展風(fēng)險導(dǎo)向?qū)徲嫷那疤岷突A(chǔ)。因此，人行武漢分行通過積極開展轄區(qū)信息技術(shù)風(fēng)險評估工作，匯總形成風(fēng)險評估數(shù)據(jù)庫，并采取“定期評估、規(guī)范操作、動態(tài)管理、科學(xué)評價”等四項(xiàng)舉措，探索了一條以風(fēng)險評估為基礎(chǔ)，明確重點(diǎn)、關(guān)注弱點(diǎn)、控制難點(diǎn)的工作模式，促進(jìn)資源有效配置，進(jìn)一步提升了工作管理效能。

關(guān)鍵詞：人民銀行；信息技術(shù)審計轉(zhuǎn)型；風(fēng)險評估；路徑研究

在人民銀行總行內(nèi)審司三年內(nèi)審轉(zhuǎn)型的號召下，人行武漢分行立足審計對象信息化，著重將“風(fēng)險導(dǎo)向、控制驅(qū)動、關(guān)注績效、服務(wù)治理、增加價值”五項(xiàng)理念貫穿于內(nèi)審工作，積極開展信息技術(shù)風(fēng)險導(dǎo)向?qū)徲嫻ぷ?。通過收集全轄區(qū)信息技術(shù)風(fēng)險評估數(shù)據(jù)，建立起武漢分行信息技術(shù)風(fēng)險評估數(shù)據(jù)庫，動態(tài)反映轄區(qū)信息技術(shù)風(fēng)險分布特點(diǎn)，提高風(fēng)險應(yīng)對預(yù)見性，有效發(fā)揮內(nèi)審作為央行機(jī)體有效履職的免疫功能作用。

一、開展風(fēng)險評估工作是央行深入開展信息技術(shù)風(fēng)險導(dǎo)向?qū)徲嫷幕?/p>

在信息技術(shù)風(fēng)險導(dǎo)向?qū)徲嬣D(zhuǎn)型實(shí)踐中，風(fēng)險分析不再只應(yīng)用于審計過程中，而是貫徹從項(xiàng)目組織到實(shí)施全過程，通過定量分析信息技術(shù)風(fēng)險水平，確定審計項(xiàng)目實(shí)施對象、審計范圍和重點(diǎn)，促進(jìn)提高組織的內(nèi)部治理和風(fēng)險管理水平。因此，先期開展風(fēng)險評估工作是審計轉(zhuǎn)型的堅實(shí)基礎(chǔ)。

（一）評估數(shù)據(jù)是風(fēng)險評估的具體應(yīng)用和數(shù)據(jù)表現(xiàn)

信息技術(shù)風(fēng)險評估是開展信息技術(shù)風(fēng)險導(dǎo)向?qū)徲嫷那疤?，而評估數(shù)據(jù)統(tǒng)計工作則是以風(fēng)險評估為抓手，經(jīng)過合理設(shè)計、規(guī)范實(shí)施以及科學(xué)分析形成的經(jīng)驗(yàn)材料，是風(fēng)險評估的具體應(yīng)用和數(shù)據(jù)表現(xiàn)。通過對評估數(shù)據(jù)進(jìn)行再加工，有助于組織梳理目前信息技術(shù)管理中存在的風(fēng)險環(huán)節(jié)和風(fēng)險點(diǎn)，幫助被審計單位合理安排資源配置，加強(qiáng)高風(fēng)險及控制薄弱點(diǎn)的管理，進(jìn)而有效提升被審計單位的管理水平。

（二）風(fēng)險評估數(shù)據(jù)庫的建立標(biāo)志著風(fēng)險評估常態(tài)化工作正式啟動

單純從收集整理某一年的評估數(shù)據(jù)，對加強(qiáng)信息技術(shù)風(fēng)險管理工作意義不大。只有將信息技術(shù)風(fēng)險評估工作常態(tài)化、系統(tǒng)化，定期分析不同年度特定單位風(fēng)險評估結(jié)果，才能真正有助于及時反映該單位由于自然條件、業(yè)務(wù)發(fā)展、人員變動以及控制措施的變化導(dǎo)致的風(fēng)險點(diǎn)及強(qiáng)弱分布的變化情況，從而更加有針對性的開展風(fēng)險管理及現(xiàn)場審計工作。因此，建立風(fēng)險評估數(shù)據(jù)庫，要求內(nèi)審部門每年均要對信息技術(shù)風(fēng)險加以評估，標(biāo)志著信息技術(shù)風(fēng)險常態(tài)化評估工作正式開始。

（三）風(fēng)險評估數(shù)據(jù)庫的建立有助于從整體上把握信息技術(shù)風(fēng)險管理水平

人行武漢分行目前下轄38家中心支行及4家直管市支行，機(jī)構(gòu)數(shù)量多，分布廣。由于各家機(jī)構(gòu)自然條件差異、業(yè)務(wù)特點(diǎn)不同以及人員業(yè)務(wù)素質(zhì)、管理水平有高有低，因此迫切需要從整體上掌握轄區(qū)風(fēng)險分布情況。因此，建立風(fēng)險評估數(shù)據(jù)庫，可以并通過各家中心支行數(shù)據(jù)的橫向比較，明確所在單位管理工作在全轄的位次，從整體層面把握轄區(qū)信息技術(shù)風(fēng)險管控水平。

二、風(fēng)險評估的指標(biāo)設(shè)計及具體應(yīng)用

（一）風(fēng)險評估數(shù)據(jù)指標(biāo)設(shè)計原則

1.相關(guān)性原則。這一原則是指所建立的指標(biāo)與信息技術(shù)管理工作具有較強(qiáng)的相關(guān)性。從整體來看，內(nèi)控環(huán)境是影響業(yè)務(wù)正常開展的重要因素，是指標(biāo)體系中不可或缺的組成部分；從細(xì)節(jié)著眼，風(fēng)險評估數(shù)據(jù)指標(biāo)體系應(yīng)盡可能將信息技術(shù)管理工作所有涉及的內(nèi)容都應(yīng)該納入進(jìn)來。

2.可比性原則。這是指所設(shè)置的指標(biāo)應(yīng)該便于縱向和橫向比較：從縱向上看，指標(biāo)應(yīng)該能夠反映不同年度間風(fēng)險管控水平的變化以及不同指標(biāo)間的重要程度；從橫向上看，指標(biāo)應(yīng)該能夠反映本地區(qū)與相鄰地區(qū)的風(fēng)險分布差異。

3.重要性原則。這是指在設(shè)置風(fēng)險評估數(shù)據(jù)指標(biāo)時，將那些能反映重大情況或者全局的風(fēng)險指標(biāo)著重考慮，深入分析。比如，考慮到信息技術(shù)管理工作是保障人民銀行各項(xiàng)業(yè)務(wù)正常、穩(wěn)定開展的重要平臺，因此，網(wǎng)絡(luò)安全及配套設(shè)置管理、保密管理與應(yīng)急處置應(yīng)該成為數(shù)據(jù)指標(biāo)體系的重要組成部分。

（二）風(fēng)險評估數(shù)據(jù)指標(biāo)的具體設(shè)置

人行武漢分行以《中國人民銀行風(fēng)險量化評估辦法》為藍(lán)本，對轄內(nèi)信息技術(shù)領(lǐng)域風(fēng)險進(jìn)行了詳細(xì)的梳理，同時運(yùn)用風(fēng)險矩陣的模型設(shè)置及風(fēng)險計量的方式，具體深入到部分中心支行現(xiàn)場論證，形成了7個主要方面合計321個風(fēng)險指標(biāo)，如表1所示。

（三）風(fēng)險評估數(shù)據(jù)庫的建立及數(shù)據(jù)解讀

1.立足地市風(fēng)險分布情況，解讀風(fēng)險評估數(shù)據(jù)。我們按照省份全面分析評估數(shù)據(jù)，并根據(jù)風(fēng)險值高低進(jìn)行排序，分值越高，代表蘊(yùn)含風(fēng)險越大，越應(yīng)該優(yōu)先審計或提高審計頻度。

從總體風(fēng)險情況來看，湖南省的總體風(fēng)險相比其他兩省較高，為高度關(guān)注區(qū)域，湖北、江西兩省總體風(fēng)險水平類似，為中度關(guān)注區(qū)域。省會中心支行在接到分行授權(quán)審計時，應(yīng)根據(jù)轄內(nèi)風(fēng)險自我評估情況，按照風(fēng)險大小，有重點(diǎn)的開展審計活動。

從湖南省的評估情況來看，CZ、CD、YY1的風(fēng)險較高，應(yīng)重點(diǎn)關(guān)注。其余地市中支風(fēng)險相對較小，可根據(jù)實(shí)際情況，分配資源，開展審計活動。湖北省與江西省解讀方式與湖南省雷同，基本情況見表6。

2.立足業(yè)務(wù)類別風(fēng)險分布，解讀風(fēng)險評估數(shù)據(jù)

我們將信息技術(shù)風(fēng)險分為七大類，也就是七個業(yè)務(wù)類別。根據(jù)轄區(qū)各單位業(yè)務(wù)類別的風(fēng)險評估值，算出各省業(yè)務(wù)風(fēng)險平均水平，根據(jù)風(fēng)險評估值高低，確定應(yīng)予重點(diǎn)關(guān)注的業(yè)務(wù)類別（具體情況，見表7）。

從對比圖中，我們可以看出，湖北省在安全及保密管理中風(fēng)險相對較高；湖南省在

內(nèi)控環(huán)境管理、網(wǎng)絡(luò)管理、機(jī)房與設(shè)施管理、業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)維管理中風(fēng)險相對較高；江西省在應(yīng)急和文檔管理、采購和外包服務(wù)管理中，風(fēng)險相對較高；在中，江西省存在的風(fēng)險相對較多。我們在后續(xù)開展的審計活動中，應(yīng)對其重要風(fēng)險進(jìn)行詳細(xì)檢查。

3.立足某地市中支2012年及2013年數(shù)據(jù)，縱向解讀基期數(shù)據(jù)

我們在2012年先期試點(diǎn)了兩家地市中心支行評估數(shù)據(jù)采集?，F(xiàn)根據(jù)2013年的數(shù)據(jù)水平，可以有效比較該中心支行在兩年中信息技術(shù)風(fēng)險的變化趨勢，反映信息技術(shù)工作管理水平變化。

從上述對比圖中我們可以發(fā)現(xiàn)，該中支2013年，在內(nèi)部控制環(huán)境管理、網(wǎng)絡(luò)管理、采購?fù)獍芾砑皹I(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)維管理中風(fēng)險有所增加，應(yīng)引起高度重視，在后續(xù)開展的審計活動中，應(yīng)著重分析風(fēng)險增加的根源，提升信息技術(shù)工作管理水平。

三、進(jìn)一步完善風(fēng)險評估數(shù)據(jù)庫的相關(guān)建議

（一）集中系統(tǒng)力量，進(jìn)一步優(yōu)化風(fēng)險評價指標(biāo)和方法

人民銀行信息系統(tǒng)復(fù)雜多樣，信息系統(tǒng)風(fēng)險狀況不一，建立并完善信息技術(shù)風(fēng)險評估體系是風(fēng)險導(dǎo)向型信息技術(shù)審計的重點(diǎn)和難點(diǎn)。因此，在現(xiàn)有數(shù)據(jù)指標(biāo)的基礎(chǔ)上，必須集中信息技術(shù)審計方面的審計骨干，采用“頭腦風(fēng)暴法”，注重轄區(qū)普遍性與地市中支特殊性相結(jié)合，進(jìn)一步優(yōu)化指標(biāo)設(shè)置及計算方法，提高指標(biāo)的科學(xué)性、可比性以及可操作性。

（二）加強(qiáng)人員培養(yǎng)，進(jìn)一步打造高素質(zhì)的信息技術(shù)風(fēng)險評估隊(duì)伍

目前人民銀行系統(tǒng)內(nèi)審計人員大多具有的是金融、會計及管理類學(xué)歷，具有信息技術(shù)方面的學(xué)歷及具體工作經(jīng)歷的人才匱乏。信息技術(shù)風(fēng)險評估以及數(shù)據(jù)的有效利用，對審計人員提出了更高的要求，因此，加強(qiáng)審計人員業(yè)務(wù)素質(zhì)培養(yǎng)，選派有信息技術(shù)工作經(jīng)驗(yàn)的人員充實(shí)內(nèi)審隊(duì)伍，打造一批具有較高理論水平和現(xiàn)場操作能力的信息技術(shù)風(fēng)險評估隊(duì)伍，是進(jìn)一步做好風(fēng)險評估數(shù)據(jù)庫工作的根本。

（三）加強(qiáng)部門合作，建立跨部門合作機(jī)制

進(jìn)一步深化評估數(shù)據(jù)在信息技術(shù)風(fēng)險導(dǎo)向中的應(yīng)用，加強(qiáng)數(shù)據(jù)評估的準(zhǔn)確性和分析的預(yù)見性，必須發(fā)揮科技主管部門熟悉本單位信息技術(shù)風(fēng)險、專業(yè)知識豐富的特長，將科技人員的知識儲備與內(nèi)審人員的風(fēng)險管理意識有機(jī)結(jié)合起來。因此，建立跨部門合作機(jī)制，集中力量，統(tǒng)籌安排，才能進(jìn)一步提高評估數(shù)據(jù)的應(yīng)用水平。

參考文獻(xiàn)：

[1]翟熙貴，2009：中國審計發(fā)展戰(zhàn)略研究[M]，中國時代經(jīng)濟(jì)出版社

[2]汪壽成，2009：現(xiàn)代風(fēng)險導(dǎo)向?qū)徲媅M]，大連出版社

[3]李曉慧，2009：風(fēng)險管理框架下審計理論與流程研究[M]，東北財經(jīng)大學(xué)出版社。

[4]劉新華，2009：風(fēng)險導(dǎo)向?qū)徲嬙谥醒脬y行內(nèi)部審計中的應(yīng)用研究[J]，金融經(jīng)濟(jì)（2）