中國農業銀行湖北省分行審計處課題組
人類社會進入21世紀以來，由現代信息技術所引發的全球信息化浪潮沖擊著傳統社會生活的每一個角落。中國的大型商業銀行作為現代經濟金融的核心，借助資金、人才、技術等多方面的領先優勢，走在了我國企業信息化的前列。信息化的飛速發展在極大地提高了商業銀行的經營效率與效益的同時，也給傳統的公司治理、風險管理與內部控制提出了嚴竣的挑戰，對內部審計的理念、方式、方法提出了全新的要求。
一、我國商業銀行的信息化進程
改革開放以來，我國宏觀經濟快速發展帶動了主要商業銀行的資金融通業務飛速增長，同時也對金融運行效率提出了越來越高的要求，從而推動了這些銀行成為我國企業信息化的先行者。早在20世紀八十年代，工、農、中、建等四大銀行就開始在部分領域應用計算機（主要是單機）技術，九十年代會計電算化取得了快速發展，21世紀以來已經初步實現了主要業務經營管理的電子化、網絡化、信息化。以中國農業銀行為例，該行已在全行推廣了能夠兼容存款、貸款、結算、匯兌、銀行卡等絕大部分面向客戶業務的綜合應用系統（英文簡稱ABIS），實現了全國數據的大聯網、大集中。同時，以ABIS系統為核心，向外延伸開發、聯通了ATM機、POS機、電話銀行、網上銀行等系統，建立了相對獨立于銀行物理網點的無形服務網絡，實現了主要業務的電子化、網絡化、自助化，使客戶能夠不進銀行、甚至足不出戶就能隨時、隨地、隨意地辦理存款、匯款、轉賬、繳費等業務。在信貸業務領域，開發應用了信貸綜合管理系統（英文簡稱CMS），在內部大聯網的基礎上，實現了與人民銀行企業征信系統的對接?；贏BIS、CMS這兩大系統，農行還開發了會計監控系統、會計報表系統、信貸在線監測系統等子系統，實現了對這兩大系統主要業務的在線、實時、全面監督與控制。在管理領域，農業銀行推廣應用了經營管理信息網、電子公文網（LOTUS NOTES）等局域網，實現了辦公自動化、信息化。通過全面推進信息化建設，有效地提高了業務運行效率和企業經營效益，近十年來，農業銀行業務總量增長十余倍而員工總數卻下降了三分之一，多次被評為全國企業信息化建設先進單位。
二、信息化對商業銀行內部控制的影響
（一）信息化對商業銀行的內部控制產生影響的主要方面
信息化對商業銀行內部各個方面，特別市對其內部控制產生了很大的影響。首先分析信息化對商業銀行內部控制是如何產生影響的，其影響主要表現在哪幾個方面：
1、信息技術在商業銀行中的應用提高了商業銀行業務流程的自動化程度，業務流程中的一些環節被省略或合并。而且隨著網上銀行等電子商務的發展，銀行與客戶之間、銀行與銀行之間交易的自動化程度也得到不斷提高。內部控制的具體實施是根據業務流程的各個環節以及交易方式來進行的，因此，業務流程的自動化不可避免地對內部控制的各個要素以及控制理念等產生不同程度的影響。
2、信息化改變了商業銀行獲取數據和信息的方式。傳統方式下，原始數據的獲取靠的是員工肉眼觀察、手工計數或使用儀器測量。在信息化條件下，可以利用傳感設備全自動地獲取所需數據或信息。利用自動傳感設備具有高度自動化、準確性高、24小時不間斷、數據實時獲取、不受惡劣環境影響等優點，為銀行實施更有效的內部控制提供了基礎。
3、信息化改變了信息存儲的方式，存儲介質由紙變為磁盤或光盤。與紙介質相比，磁介質或光介質具有存儲密度大、擦寫不留痕跡的特點，對商業銀行內部控制的影響是雙方面的。存儲密度大使得商業銀行可以集中保存數據和信息資源，便于對其加以保護，但一旦毀損或被盜將使商業銀行遭受更大的損失。擦寫不留痕跡使得數據被篡改的可能性增大，需要加強內部控制。
4、信息化提高了信息處理的效率。在信息化環境下，借助計算機的高速處理能力，能夠使得信息處理的速度大為加快，效率大為提高。然而，這對內部控制的影響也是雙方面的。一方面，信息處理效率的提高有利于商業銀行實施更復雜更有效的控制措施和控制方法，提高內部控制的效果和效率。另一方面，借助高速的信息處理能力，商業銀行員工或管理當局造假的能力也能得到提高，例如：利用隨機數據產生程序偽造應收款項或存貸的金額、利用報表編制程序快速編制多份虛假財務報表等等。這又要求商業銀行加強內部控制。
5、信息化改變了信息的傳遞方式。信息化環境下的信息傳遞，改變了手工環境下的傳票、報告、電話等方式，利用電纜、光纜、無線電波等以光速傳遞信息，而且傳遞的信息量遠非傳統方式可比，為商業銀行加強內部控制提供了基礎。但如果信息傳遞過程中受到了阻礙或破壞，也將給商業銀行帶來更大的損失。
6、信息化提高了信息的集成性。在完善的信息系統的支持下，商業銀行領導足不出戶，就能夠在電腦屏幕前對遍布世界的跨國公司了如指掌。輕點幾下鼠標就能成交業務、調動資金、指揮員工。信息系統為商業銀行加強內部控制提供了基礎，同時也對商業銀行的內部控制提出了更高的要求。
7、信息化提高了信息的價值。在信息時代，人們對信息資源的利用能力得到提高。人們已經認識到商業銀行的數據和信息資源，是其最寶貴的資產之一。而信息是無形的，與有形的資產相比，對信息的竊取更為隱蔽，更不易被發現。這要求內部控制不但要保護有形資產，更要對商業銀行的數據和信息資產加以保護。同時應當針對信息的特點，采用有效的保護措施。
8、信息化將對人造成一定的影響。在信息化環境下，人們可能越來越多地通過計算機網絡進行聯系和溝通，人與人之間的直接接觸將有所減少。網絡世界的無形性和匿名性將對人的心理造成一定的影響，從而影響控制環境。
（二）信息化對商業銀行內部控制構成五要素的主要影響
1、信息化對控制環境的影響?？刂骗h境的構成因素是多方面的，主要包括：商業銀行的治理機制、組織結構與權責分派體系、管理者的素質、品行與管理哲學、企業文化、信息系統、人力資源政策及實務等等。
銀行信息化對其治理機制產生影響：通過完善的信息系統，董事會、監事會可以更及時更全面地了解銀行的全面信息，因而可以更好地進行戰略制定、經理人員選擇和績效評價、銀行運營情況監控等等，對公司進行更好的治理。小股東可以以較低的成本通過網絡在線參加股東大會，而不必因為路途遙遠等原因放棄自己的權利，可以更好地維護自身的利益。信息化將使商業銀行組織結構趨向扁平化，管理層次減少。
信息化對商業銀行管理者的素質提出了更高的要求。商業銀行所面臨的商務環境競爭加劇、變化加速，管理者所能獲得的信息量倍增，信息技術和信息系統在銀行中的作用日益重要，這些都要求管理者不但要有更強的把握信息、利用信息的能力，在運營管理中利用好信息資源，而且要有對信息、信息技術和信息系統重要性和風險的認識和理解，制定良好的IT戰略和IT規劃。
在網絡環境下，人與人之間的直接接觸將有所減少。網絡世界的無形性和匿名性將對人的心理造成一定的影響，使部分人誤以為借助網絡為非作歹不容易被抓住，從而可能降低犯罪的心理閥值。信息資產價值的提高，可能誘使掌握它的管理人員會將其賣給競爭對手而產生犯罪行為，而且由于信息的無形性、可拷貝性，信息的泄密不易被發現，再者網絡的遠程接入性也給犯罪分子提供了方便，他們只要獲得一個登錄密碼就可能通過網絡侵入系統，竊取銀行重要的信息資產，或是使信息系統崩潰，而不必像盜竊有形資產那樣需要翻墻入室、避開警衛等麻煩之舉。這些均對管理人員的品行和道德水平提出了更高的要求。同時也需要商業銀行加強對信息資產、信息技術和信息系統的內部控制，通過良好的管理手段和技術手段降低風險。
2、信息化對風險評估的影響。在信息化環境下，商業銀行業務流程的自動化降低了業務處理過程中源于人員疏漏或舞弊的風險。但是另一方面，商業銀行的運營管理越來越依賴于信息系統，信息的作用日趨重要，信息化環境促使信息存儲高度集中、單位時間傳遞的信息量大為提高，這些都增加了與信息資產和信息系統相關的風險。信息化環境下，如果信息系統失靈或崩潰，重要信息被竊，都將給企業帶來不可估量的損失。因此，商業銀行應當作好有關信息資產和信息系統方面的風險評估，建立良好的IT治理機制，減少災難的發生以及災難發生時的損失。
3、信息化對控制活動的影響。商業銀行控制活動必須根據業務流程的情況和具體的控制點進行設置，因此，控制活動受到信息化的直接影響。信息化環境下的控制活動分為兩部分：自動化業務控制和信息系統控制。一是自動化業務控制其控制對象仍然是生產經營過程，但其形式和控制手段發生了很大變化。它以計算機程序的形式嵌入于銀行信息系統之中，對業務的控制由計算機自動完成。二是信息系統控制：它是商業銀行為了保證信息系統正確性、完整性和安全性而采取的控制措施，其控制對象是商業銀行信息系統，包括計算機軟硬件資源、應用系統、數據和相關人員等等信息系統的所有組成要素。隨著網絡技術和電子商務的發展，信息系統控制還必須考慮網絡安全和電子商務控制的問題。自動化業務控制和信息系統控制對控制活動有著不同要求，使得傳統的六種控制活動都有一定的變化。信息化環境下的交易授權可以由計算機程序自動完成，使得授權過程不明顯，控制的失效往往在發生損失后才被察覺。因此，管理者對交易授權的關注應該轉移到對相關計算機程序的正確性和完整性的檢查上。在信息化環境下，計算機能夠避免人類通常會犯的錯誤或舞弊，手工環境下的一些不相容的職責可以由計算機來執行，所以部分傳統的職責分離和員工的相互檢查成為不必要的控制活動。同樣，也沒有必要針對這部分自動業務流程進行監管和審計。然而，對于信息系統的開發、實施、維護和操作等活動，職責分離、監管以及獨立審計仍然是重要的控制措施。在信息化環境下，業務記錄不再是書面的簽章、編碼、交叉索引等，而是通過登錄密碼、操作日志等技術手段進行業務記錄，其有效性受信息系統的正確性、完整性和安全性的影響。在信息化環境下，對計算機硬件設備的接觸控制與傳統方式下并無太大的區別，主要通過實物防護措施來進行。但對于信息資產的接觸控制，由于網絡的遠程接入性，應當通過防火墻、操作員權限設置、登錄密碼安全策略、信息系統審計等技術手段和管理措施加以實現。
4、信息化對信息和溝通的影響。商業銀行信息化對內部控制的信息和溝通這一要素產生了有利的影響。在完善的信息系統的支持下，銀行員工能夠更好地取得他們在執行、管理和控制企業經營過程中所需的信息，使員工順利履行其職責。當然，也要警惕信息技術可能帶來的信息過量的問題，以及借助高速信息處理能力造假的問題。
5、信息化對監督的影響。借助信息技術，可以使一部分的監督過程自動完成，并且可能實現實時監督，從而提高監督的效果和效率。應當注意的是，對信息系統的開發、實施和維護過程所進行的監督應當成為監督的重點。同時，“控制自我評估（CSA，Control Self Appraisal）”仍然是很有益的作法?！翱刂谱晕以u估”是企業不定期或定期地對自己的內部控制系統進行評估，評估內部控制的有效性及其實施的效率效果，以期能更好地達成內部控制的目標。“控制自我評估”有助于提高組織內部控制的自我意識，幫助人們了解哪里存有缺陷以及可能引至的后果，然后采取行動改進這種狀況，對于一個企業加強管理、提高勞動生產率、改進內部審計程序和業務經營程序以及控制風險等都有著積極的作用。
三、商業銀行內部審計信息化建設中的突出問題及其基本對策
商業銀行業務經營管理的全面信息化，對商業銀行的公司治理、內部控制和風險管理提出了新的挑戰，也給作為商業銀行相對較獨立、權威的綜合性監督部門——內部審計部門提出了全新的要求，實現內部審計信息化已是大勢所趨、迫在眉睫。當前銀行內部審計信息化建設中的突出問題主要有以下幾個方面：一是高技術與低效益并存。審計信息化建設和發展不僅僅是信息技術和網絡技術在審計工作中如何運用的問題，更重要的是審計方式方法如何轉變的問題。近幾年，有些商業銀行重設備配置，而輕審計軟件開發和推廣應用，忽視了審計方式方法創新，遠遠沒有充分發揮審計信息化建設的效益。二是高投入與低產出共存，審計成本不斷攀登升。部分銀行內審計部門近年來不斷增加投入來購置和更新信息設備，但是有一些審計人員的計算機應用水平僅停留在辦公自動化和收集存儲信息上，沒有充分發揮計算機網絡管理、分析、數據處理等功能，造成資源浪費。三是審計業務與信息化發展不一致。由于部分銀行內審部門在審計實踐中對計算機應用要求不到位，軟件開發滯后，加之不少審計人員年齡偏大、業務老化、知識結構單一，對開發應用計算機興趣不大、能力不濟，仍是以傳統的手工審計方式為主，審計信息化建設嚴重滯后于業務信息化進程。四是設備閑置與緊缺并存。銀行內部審計信息化建設和發展是一個完整的系統。由于信息沒有實現共享，造成各應用單位自成體系，重復投資開發，設備閑置和緊缺現象并存。五是人才短缺。現有審計人員中真正具有較高計算機水平的人員不多，既精通計算機編程又熟悉審計業務的復合型人才更少，嚴重制約了計算機應用水平。針對上述問題，我們認為應當從下列幾個方面來加強內部審計信息化建設，以全面適應金融信息化飛速發展的需要。
(一)提高思想認識，統籌規劃內部審計信息化建設。
內部審計信息化是建立在現代信息化環境基礎上，運用信息化技術方法開展內部審計工作的一種有效的技術方法。內部審計信息化是內審工作的革命性變革,是傳統內部審計向現代內部審計轉變的重要標志，是內部審計現代化的重要特征，它對于內部審計工作的方式、程序、質量、管理，乃至審計人員的思維方式和自身素質都會帶來深刻的影響。內部審計信息化既是一種技術手段，又是一種行之有效的管理方法，對于提高內審工作效率，降低審計成本，提升工作質量具有十分重要的意義。李金華審計長曾指出：“我們要從關系審計工作前途命運的高度來認識審計信息化建設的重大意義。要破除神秘感，克服‘恐高癥’，下大力氣把這項工作搞上去?！备魃虡I銀行董事會、監事會、高級管理層及內部審計部門都必須高度重視內部審計信息化建設，組織專班制定全面、科學、詳細、可行的審計信息化建設中長期規劃，將其與商業銀行公司治理、內部控制和風險管理統籌安排，各部門通力合作，確保規劃目標的如期實現。
(二)加強信息系統控制，實施信息系統審計。
在企業信息化環境下，對信息系統的有效控制是商業銀行開展正常的業務經營活動的前提和保障。有效的信息系統控制是技術與制度相結合的體系，決不僅僅是一個技術問題，不能僅由技術人員負責，而應當受到企業最高管理層的高度重視。內部審計部門是信息系統控制最重要的執行者之一。內部審計部門在信息系統的開發、實施、維護和操作過程中應當進行嚴格的獨立審查，并定期對信息系統加以檢查，以保證信息系統的正確性、完整性和安全性。內部審計部門應當將發現的問題及時報告給銀行管理當局，提高管理當局對信息系統控制的重視程度，幫助管理當局彌補信息系統控制中的缺陷。
有條件的銀行還應當開展信息系統審計。信息系統審計是獨立信息系統審計師，為了信息系統的安全、可靠與有效，以第三方的客觀立場對以計算機為核心的信息系統進行綜合的檢查與評價，向被審計單位的最高管理當局，提出問題與建議的一系列活動。信息系統審計綜合運用IT技術與審計理論和方法為信息系統的使用者提供合理的保證。
信息系統審計的內容，主要包括以下幾個方面：（1）評價信息系統的管理、規劃與組織方面的策略、政策、標準、程序和相關實務。（2）評價商業銀行在信息系統技術基礎設施與操作實務的管理和實施方面的有效性及效率，以確保其充分支持企業的商業目標。（3）對邏輯、環境與信息技術基礎設施的安全性進行評價，確保其能支持企業保護信息資產的需要，防止信息資產在未經授權的情況下被使用、披露、修改、損壞或丟失。（4）評價災難恢復與業務持續計劃，這些計劃保證在發生災難時，能夠使企業持續處理業務。（5）對應用系統的開發、獲得、實施與維護方面所采用的方法和流程進行評價，以確保其滿足企業的業務目標。（6）評估業務系統與處理流程，確保根據企業的業務目標對相應風險實施管理。
(三)大力推廣計算機輔助審計，創新審計方式方法。
目前，大部分銀行已經實現了主要業務經營管理的信息化。但是由于軟硬件投入不足及科技人才匱乏，一些銀行計算機審計應用面還比較狹窄，仍然是以現場審計和手工操作為主，導致審計效率低、審計覆蓋面窄、風險控制能力不強、審計質量難以保證。因而必須實現計算機審計的實時化、經?；?、全面化。同時，實行“計算機審計首審計制”，在每個審計項目實施前，都要運用計算機輔助審計系統進行全面深入的分析，確定主要的風險點，并結合其他部門檢查資料和現有的審計資料來確定現場審計的重點單位、重點業務和重點環節，提高審計的針對性、效率性。
1、加快計算機非現場審計系統的升級改造和推廣應用。以農業銀行為例，目前全行已構建了較為完善安全的內部局域網絡，并且開發應用了信貸、財務信息、報表管理系統，監管部門也開發了反洗錢、會計在線監控、1104監管報表系統，這些系統為非現場審計系統的構建和應用提供了大量的信息來源，而目前審計機構的信息化建設和非現場審計手段遠遠落后于各業務部門和縣域營業機構。因此必須盡快對現有審計系統進行升級改造，組織骨干力量編寫審計方法，建立各項業務風險識別、衡量、評估分析模型，并將非現場審計系統網絡延伸到基層審計機構，從而為基層審計機構的審計計劃、審計方案直至現場審計工作更加高效、準確。
2、確定計算機輔助審計的重點內容。審計的重點是評價操作風險、市場風險、信用風險的管理薄弱環節，開展諸如經營決策、激勵機制、營銷策略、網絡安全等新的審計，提出管理新思路和對策，為管理層決策提供咨詢服務。當前計算機輔助審計的重點內容包括：（1）將各項業務經營考評指標和評價標準設計成計算機審計模型，通過計算機系統進行監測分析，重點審核臨近會計期末發生的異常和復雜交易。如會計年度即將結束時貸款、存款金額的異常增長、發生大量的關聯方交易，分析有無人為調節經營成果現象。（2）將中文（ABIS）系統中留痕的內控措施如授權、沖正抹賬、憑證銷號、現金管理、大額交易等導入非現場審計系統，由審計人員進行監控，分析其操作合規性。（3）對貸款等資產類業務進行非現場審計分析，重點關注借款主體資格、關聯方貸款、借款投向、利率執行、貸款利息收支、風險分類等情況。（4）對中間業務如代理業務、網銀業務交易量的真實性和中間業務收入配比分析，開展中間業務效益審計。（5）對高息吸收存款、違規開立結算賬戶等合規風險進行非現場審計分析。（6）對財務管理如固定資產購置與處置、大宗費用支出等核算的合規性及支出的合規性進行審計分析等。
（四）開展內部控制綜合評價及業務部門自律監管審計。
鑒于信息化給商業銀行內部控制提出了一系列新的挑戰，各家銀行必須相應地不斷完善并執行信息化條件下的各項內部控制制度，并由內部審計部門每年對各單位、各部門進行內部控制綜合評價。在各家銀行中，中國農業銀行從2000年起率先在縣級支行開展了內部控制綜合評價，隨后又進一步對二級分行、省級分行開展了此項工作。中國銀行業監督管理委員會也于2004底頒發了《商業銀行內部控制綜合評價試行辦法》（以下簡稱辦法）。當務之急是各銀行內部審計部門要根據上述辦法，結合信息化的最新進程，制定出具有較強針對性、科學性和可操作性的內部控制綜合評價辦法和操作規程，定期對各級經營管理單位全面開展評價。同時，內部審計部門要定期開展對各業務管理部門（重點是財務會計、信貸、科技等部門）的自律監管審計，督促這些部門加強對相關業務的日常檢查監督，從而構建業務一線員工崗位自我監督、業務管理部門對口監督、審計部門再監督的三道風險防線，把風險控制到最低程度。
（五）加強銀行內部審計與內外部監督部門的合作交流，實現監管信息的共享。
在實施效益審計、風險審計、內控綜合評價、非現場審計等審計時，應創造條件讓基層審計人員與內部其他業務主管部門、外部審計專業人員、監管當局或信息工程師等充分合作，彌補基層審計人員在部分審計領域的職業能力缺陷。要建立審計部門與銀行其他業務管理部門檢查監管信息定期交流機制，實現監管信息的共享。同時激勵和保護基層審計人員充分使用內查外調審計權利，發動員工向審計機構舉報重大違規行為或問題線索，提高審計的效能。
（六）加強內審信息化基礎建設，為推廣信息化審計提供有力保障。
審計信息化是一個新生事物，各家銀行還處在初創階段，普遍存在不系統、不規范、不經常的問題，建議應當從以下幾個方面著手加強基礎建設。一是加強制度建設。各家銀行總行應該統一制定計算機輔助審計系統操作管理辦法及其實施細則，實現有章可依。二是加強設施建設。要加大投入，配備足夠的審計服務器（用于存儲審計數據的專用設備）、計算機輔助審計系統（英文簡稱CAS）和安裝有CAS的電子設備。三是要加強軟件系統建設。各銀行要按照全行統一規劃、統一開發、統一模型、統一實施的原則，建立綜合的CAS系統，并調動全體審計人員的積極性，根據項目審計需要，不斷創造新審計方法應用模塊，建立豐富的審計方法庫。四是要加強機構建設。各銀行內部審計部門應自上而下設立專司計算機輔助審計的非現場審計部門。五是加強隊伍建設。要采取對外引進與對內培訓相結合的辦法，培養一批既懂銀行業務又熟悉計算機技術的復合型審計人才，以滿足審計信息化的需要。
