當(dāng)前，我國信息化事業(yè)已發(fā)展到一個新的階段，各行各業(yè)都在利用電子計算機不斷進行信息化系統(tǒng)的整合與升級。銀行業(yè)更是首當(dāng)其首，而且是我國計算機應(yīng)用較早，信息化水平較高的行業(yè)，所有業(yè)務(wù)均進行信息化、系統(tǒng)化計算機管理，平均每年相關(guān)業(yè)務(wù)系統(tǒng)、管理系統(tǒng)等達到2次以上升級，在這種情況下銀行業(yè)內(nèi)部審計向信息化審計發(fā)展已成必然。
一、信息化快速發(fā)展下銀行業(yè)內(nèi)部審計工作遇到的問題
1 、當(dāng)代銀行業(yè)無紙化數(shù)據(jù)和無紙化交易減少了數(shù)據(jù)的重復(fù)輸入、重復(fù)處理，也使銀行存取款、貸款、轉(zhuǎn)賬等各項業(yè)務(wù)處理程序化。業(yè)務(wù)發(fā)生后只要業(yè)務(wù)人員輕輕敲入代碼，系統(tǒng)自動執(zhí)行相應(yīng)的功能，如款項自動記錄到相應(yīng)的賬戶上、自動凍結(jié)某結(jié)算賬戶等，業(yè)務(wù)依靠系統(tǒng)自動完成。反之，如果敲入代碼錯誤，則無法執(zhí)行。原有手工處理環(huán)境下的一些內(nèi)部控制措施因失去了作用而被取消，相應(yīng)的這些內(nèi)部控制措施被程序化后通過軟件程序的執(zhí)行而發(fā)揮作用，可見銀行業(yè)內(nèi)部控制從原來過多依靠人轉(zhuǎn)變?yōu)楦嘁揽肯到y(tǒng)自身的控制，包括了手工處理、計算機系統(tǒng)處理、人與計算機交互處理這幾部分。
隨之帶來的各業(yè)務(wù)及管理系統(tǒng)內(nèi)部控制狀況、系統(tǒng)安全性、系統(tǒng)數(shù)據(jù)的可靠性、原有紙制賬本的減少成為內(nèi)部審計必須面對的問題之一。
2、行業(yè)內(nèi)局域網(wǎng)絡(luò)應(yīng)用和全面信息化使得銀行業(yè)已按照高效原則進行業(yè)務(wù)流程重構(gòu)。業(yè)務(wù)數(shù)據(jù)、財務(wù)數(shù)據(jù)、業(yè)務(wù)處理、財務(wù)處理集成在一起，并在一定范圍內(nèi)共享。系統(tǒng)集成化使得業(yè)務(wù)處理與原來處理流程有很大變化，財務(wù)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、業(yè)務(wù)明細數(shù)據(jù)間關(guān)系變得模糊，復(fù)雜，再加上數(shù)據(jù)的覆蓋和網(wǎng)絡(luò)化，從報表、賬簿結(jié)果追查到原始一筆業(yè)務(wù)變得比較困難。
隨之帶來的銀行業(yè)內(nèi)部管理審計和銀行會計、財務(wù)、信貸等業(yè)務(wù)審計相互融合、各數(shù)據(jù)間關(guān)系復(fù)雜，即審計范圍與審計難度的提高成為內(nèi)部審計必須面對的問題之二。
3、我國四大國有銀行即將全部成為股份制公司，信息化下銀行業(yè)業(yè)務(wù)及管理數(shù)據(jù)較以前幾百倍的增長，而且數(shù)據(jù)時刻在變化；網(wǎng)銀、銀行卡、代理基金、代理保險、外幣理財?shù)刃聵I(yè)務(wù)，全部使用計算機系統(tǒng)操作業(yè)務(wù)，而且這些業(yè)務(wù)成為以后銀行業(yè)務(wù)發(fā)展的主流。在這種情況下，原始單純手工審計滿足不了工作的量與質(zhì)的要求，龐大的數(shù)據(jù)量及在線、實時信息披露的工作要求，迫使審計人員必須不斷采用新的審計技術(shù)和手段，比如采用測試程序嵌入系統(tǒng)完成對計提應(yīng)付息、利息計算等重要業(yè)務(wù)處理的審計；利用審計軟件采集所需的如一般分戶賬、賬余額表、大額貸款明細等審計樣本并進行分析；采用審計軟件動態(tài)跟蹤如大客戶存貸款、聯(lián)行資金等重要數(shù)據(jù)的變化。
隨之帶來的如何掌握并運用新的審計技術(shù)和手段無疑成為內(nèi)部審計人員工作中遇到的問題之三。
二、信息化快速發(fā)展下銀行業(yè)內(nèi)部審計工作應(yīng)采取的措施
可以看出，銀行業(yè)內(nèi)部審計工作的現(xiàn)狀急需改變，以適應(yīng)銀行業(yè)健康、快速、有序發(fā)展的需要，銀行業(yè)審計界必須加強審計理論和實務(wù)的研究，加大審計軟件的研制力度以及利用計算機進行審計工作的規(guī)范化研究，同時強化審計人員的信息技術(shù)的教育，從各個方面提高審計工作水平，促進行業(yè)內(nèi)部審計向著信息化方向發(fā)展。針對上述現(xiàn)實工作中存在的問題，建議采取以下措施：
(一)培養(yǎng)信息環(huán)境下的審計人員
當(dāng)前，各家銀行均有科技部門，就是對行內(nèi)計算機硬件、軟件、系統(tǒng)運行等提供技術(shù)支持與保證。但審計部門的專業(yè)計算機人員很少，建議補充配備計算機專業(yè)人才，能掌握計算機知識及其應(yīng)用技術(shù)，掌握數(shù)據(jù)處理和管理技術(shù)，掌握現(xiàn)代信息技術(shù)的應(yīng)用，會操作審計軟件，而且要能根據(jù)需要編寫出各種測試審查程序模塊；同時對專業(yè)計算機人員與其他審計人員進行交互培訓(xùn)，逐步使傳統(tǒng)審計人員達到除了掌握傳統(tǒng)審計的基本知識外，還應(yīng)掌握計算機知識及其應(yīng)用技術(shù)，掌握數(shù)據(jù)處理和管理技術(shù)，掌握現(xiàn)代信息技術(shù)的應(yīng)用；而計算機專業(yè)者除了專業(yè)知識外，又能掌握行內(nèi)業(yè)務(wù)及管理、審計等知識；總之，使所有審計人員逐步都成為適應(yīng)并勝任信息環(huán)境下的審計人員。
(二)加強業(yè)務(wù)系統(tǒng)本身內(nèi)部控制審計
當(dāng)前，絕大多數(shù)單位在內(nèi)部審計時是繞過信息系統(tǒng)的，銀行業(yè)也是如此。但是，在信息化高速發(fā)展的情況下，如果專業(yè)高手通過在財務(wù)、信貸等系統(tǒng)中嵌入非法程序塊轉(zhuǎn)移了數(shù)據(jù)，而打印出虛假數(shù)據(jù)提供給審計人員，這種行為必然加大審計風(fēng)險。內(nèi)部審計人員要想了解系統(tǒng)提供的數(shù)據(jù)的可信賴程度，必須對系統(tǒng)本身進行審計，這是內(nèi)部審計不可能回避的。
首先，內(nèi)部審計人員要對本單位計算機信息系統(tǒng)、業(yè)務(wù)軟件及其相關(guān)運行情況有所了解，包括：①系統(tǒng)的硬件信息和軟件信息。比如信息系統(tǒng)的結(jié)構(gòu)、所使用主機的型號、內(nèi)存容量、輸入及輸出設(shè)備、通訊設(shè)備、輔助存儲設(shè)備，所使用的操作系統(tǒng)、通信軟件、數(shù)據(jù)庫管理系統(tǒng)和應(yīng)用系統(tǒng)等。②系統(tǒng)進行業(yè)務(wù)處理的具體情況。比如業(yè)務(wù)核算系統(tǒng)、信貸管理系統(tǒng)、財務(wù)系統(tǒng)等處理業(yè)務(wù)的過程、發(fā)生錯誤的多少等。③各系統(tǒng)間接口情況，如財務(wù)系統(tǒng)、信貸管理系統(tǒng)、外幣業(yè)務(wù)系統(tǒng)等接口情況；
其次，加強銀行業(yè)務(wù)系統(tǒng)內(nèi)部控制中的一般控制審計。一般控制是對系統(tǒng)中組織、開發(fā)、操作、管理等系統(tǒng)運行環(huán)境所進行的控制，通常以制定規(guī)章制度、網(wǎng)絡(luò)安全軟件和程序控制形式體現(xiàn)，如系統(tǒng)平臺結(jié)構(gòu)的合理與規(guī)范，有多層防范黑客或病毒侵?jǐn)_的措施，在數(shù)據(jù)的接收與發(fā)送上有措施防止非法竊取、篡改，有密碼、密鎖、簽名認(rèn)證技術(shù)確保數(shù)據(jù)安全，有備用系統(tǒng)保證原系統(tǒng)在硬件物理損壞的情況下正常運行，有備用能源保證在主動力系統(tǒng)異常狀態(tài)下系統(tǒng)正常運行；
再次，加強銀行業(yè)務(wù)系統(tǒng)內(nèi)部控制中的應(yīng)用控制審計。應(yīng)用控制是對信息系統(tǒng)的某一具體處理過程施加的控制，主要以程序的形式體現(xiàn)。審計時，應(yīng)該在對系統(tǒng)—般控制做出評價的基礎(chǔ)上，通過讀原程序、模擬數(shù)據(jù)上機測試、上機處理實際業(yè)務(wù)、采用審計軟件等方式測試系統(tǒng)的安全性、控制程序的正確性和有效性。 如對會計信息系統(tǒng)程序的審計包括業(yè)務(wù)系統(tǒng)及接口程序的審計。會計業(yè)務(wù)系統(tǒng)審計主要是對會計信息處理的準(zhǔn)確性、及時性、完整性和可靠性的確認(rèn)，查看其是否具有容錯能力、糾錯能力及控制能力，處理過程及方法是否符合財務(wù)制度、會計準(zhǔn)則與法規(guī)。接口程序的審計是基于在信息化環(huán)境，會計數(shù)據(jù)大部分將直接來源于其他信息系統(tǒng)，接口程序的正確與否將直接影響接受與傳遞到其他系統(tǒng)的數(shù)據(jù)的正確性。
(三)進一步加強銀行各項業(yè)務(wù)內(nèi)部審計
在高度信息化環(huán)境下，銀行業(yè)審計范圍與難度提高了，如組織管理審計、系統(tǒng)操作管理審計、系統(tǒng)數(shù)據(jù)管理審計、系統(tǒng)崗位責(zé)任審計、財務(wù)、信貸、電子銀行等專項業(yè)務(wù)審計等不是截然分開，而是融合在一起。針對信息環(huán)境引發(fā)的銀行業(yè)務(wù)變化，建議：
1、區(qū)別運用手工審計和計算機輔助審計。信息化系統(tǒng)下，內(nèi)部審計人員可以對手工填制的原始單據(jù)、簡單業(yè)務(wù)的處理、非程序控制制度和措施如存款掛失、內(nèi)部主任職責(zé)履行情況等審計采用原來手工審計的有效方法，而對于某些特定業(yè)務(wù)的處理過程、重要數(shù)據(jù)、復(fù)雜的處理過程及程序化的控制措施則應(yīng)該充分利用計算機輔助審計技術(shù)和工具進行審計。如銀行機構(gòu)設(shè)置較多，系統(tǒng)內(nèi)往來對賬審計是項十分重要的審計內(nèi)容。以前全部是手工核對，定期進行，量大且易錯，而使用計算機審計運行一個小程序，即可隨時對行內(nèi)所有往來賬務(wù)進行一一核對，準(zhǔn)確、高效。
2、關(guān)注銀行業(yè)務(wù)管理系統(tǒng)與財務(wù)信貸系統(tǒng)的數(shù)據(jù)轉(zhuǎn)換環(huán)節(jié)。集成化系統(tǒng)中，業(yè)務(wù)管理系統(tǒng)與財務(wù)信貸系統(tǒng)之間的數(shù)據(jù)傳遞可以實時進行，也可以分批完成，極易出現(xiàn)數(shù)據(jù)不一致，如果信貸系統(tǒng)和財務(wù)系統(tǒng)數(shù)據(jù)接口有問題，數(shù)據(jù)不銜接，會導(dǎo)致所有報表數(shù)字均為不真實，所以系統(tǒng)之間的數(shù)據(jù)轉(zhuǎn)換應(yīng)該是審計的重點之一。如果業(yè)務(wù)系統(tǒng)與財務(wù)系統(tǒng)之間的數(shù)據(jù)傳遞需要借助外存（如磁盤）或局域網(wǎng)上不同數(shù)據(jù)文件之間轉(zhuǎn)換等方式來完成，對這樣的系統(tǒng)一定要防止并及時發(fā)現(xiàn)轉(zhuǎn)換過程中的錯弊。
3、加強授權(quán)、信貸、賬戶發(fā)生額等重要業(yè)務(wù)動態(tài)在線審計。信息化系統(tǒng)中，銀行業(yè)賬務(wù)處理是實時進行的。尤其是網(wǎng)絡(luò)化系統(tǒng)，在同一時間可能有多個用戶執(zhí)行同一項功能、調(diào)用同一個賬戶，而系統(tǒng)只記錄下最終的結(jié)果。若審計時只對靜態(tài)系統(tǒng)進行審查，不進行有關(guān)運行程序、數(shù)據(jù)文件的聯(lián)機實時審計，有時就難以發(fā)現(xiàn)存在的問題。因此對于重要業(yè)務(wù)的處理、關(guān)鍵的處理程序，如業(yè)務(wù)人員的上機操作記錄、授權(quán)交易、紅字交易等應(yīng)成為動態(tài)審計關(guān)注的重點。
當(dāng)前，銀行信貸業(yè)務(wù)全部上系統(tǒng)，單純依靠系統(tǒng)時點數(shù)據(jù)不能保證業(yè)務(wù)規(guī)范，要加強動態(tài)在線審計，同時一定要適時實施現(xiàn)場審計；授權(quán)是銀行業(yè)一項重要審計內(nèi)容，單純從紙質(zhì)檔案查看不一定能發(fā)現(xiàn)問題，因為紙質(zhì)材料較容易補制，一定要對其管理系統(tǒng)在線審計，而系統(tǒng)一般本身都提供了一定的審計功能，一旦發(fā)現(xiàn)非法的或有超越網(wǎng)絡(luò)授權(quán)的操作行為，就會記錄入侵者的登錄用戶名、IP地址、登錄日期、時間等信息，并尋找到非法用戶曾經(jīng)潛入系統(tǒng)內(nèi)部的痕跡。利用大型數(shù)據(jù)庫管理系統(tǒng)開發(fā)的應(yīng)用軟件也能對登錄系統(tǒng)的用戶及其使用系統(tǒng)的情況進行一定的監(jiān)控，如哪些用戶使用了系統(tǒng)、進行了哪些操作、操作的次數(shù)、登錄及退出系統(tǒng)時間等。審計人員可以實時檢查系統(tǒng)存放這些信息的審計蹤跡表和系統(tǒng)日志文件，充分利用這些線索。同時，還可以利用專門軟件進行重要數(shù)據(jù)的動態(tài)跟蹤，比如利用Ex cel軟件就可以實現(xiàn)一些簡單的跟蹤和分析。
4、加強行內(nèi)科技等與信息系統(tǒng)有關(guān)的部門及人員的監(jiān)督管理。與信息系統(tǒng)相關(guān)的部門包括信息系統(tǒng)管理部門、維護部門和使用部門。相關(guān)人員包括網(wǎng)絡(luò)管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員、軟硬件維護人員、系統(tǒng)操作人員、檔案保管人員及機房保安人員等，這些部門與人員與平常業(yè)務(wù)人員相比，不僅懂銀行業(yè)務(wù)知識而且懂計算機知識，熟悉運行軟件，對這些部門和人員進行安全意識教育及監(jiān)督管理不可忽視，這對于降低審計風(fēng)險是至關(guān)重要的。
(四)不斷創(chuàng)新并有效應(yīng)用審計技術(shù)
在信息化環(huán)境下，銀行業(yè)內(nèi)部審計技術(shù)較之傳統(tǒng)的審計工作必須有其獨到之處。
1、充分發(fā)揮信息技術(shù)在審計中的作用。 將審計底稿、審計證據(jù)、審計檔案也全部電子化，審計工作將從定期的現(xiàn)場審計轉(zhuǎn)向?qū)崟r的“在線網(wǎng)絡(luò)審計”；通過網(wǎng)絡(luò)實時并連續(xù)地抽取證據(jù)，根據(jù)需要編寫出各種測試審查程序，用于解釋和預(yù)測多種審計現(xiàn)象，由計算機輔助審計轉(zhuǎn)為信息系統(tǒng)審計與決策。運用現(xiàn)代信息技術(shù)與審計高度融合，提高審計的工作質(zhì)量和效率，降低審計風(fēng)險。
2、可逆法重點審計數(shù)據(jù)的真實。財務(wù)審計工作重點在于驗證其真實可靠性，以及內(nèi)部明細數(shù)據(jù)的安全性。企業(yè)報表的數(shù)據(jù)真實性是可追溯的，根據(jù)可逆規(guī)則編寫出程序自動追溯數(shù)據(jù)真實性。如原始憑證與記賬憑證不一致，表明記賬憑證有被修改的風(fēng)險，記賬憑證與賬表不一致時，賬表有被修改的痕跡。
3、多位專家共同參與的審計。 審計工作所面臨的信息系統(tǒng)非常復(fù)雜，要求審計人員必須掌握計算機、網(wǎng)絡(luò)通訊、信息管理等多方面的專業(yè)技術(shù)，這對一個審計專家是非常困難的事。我們要充分利用各類專家的專業(yè)能力參與審計工作，以充分利用專家的工作結(jié)果進行審計判斷。
4、多種審計方式綜合運用。通常的審計方法有系統(tǒng)日志審計法、審計軟件審計法、隨機抽檢法。系統(tǒng)操作日志審計法是指跟蹤會計信息系統(tǒng)軟件中的操作日志記錄。日志真實記錄了操作者代號、姓名、操作的日期、時間、處理數(shù)據(jù)動作等，是系統(tǒng)進行維護、審計工作的重要線索，對會計信息化軟件中反復(fù)核、反登賬、反結(jié)賬的手段進行賬戶調(diào)整是十分有效的；審計軟件審計法是與會計信息化相適應(yīng)的審計方法，常用的方法有數(shù)據(jù)模擬檢測法、整體檢測法、平行模擬中嵌入審計程序法、程序追蹤法等。隨機抽檢審計法是不定期地從網(wǎng)絡(luò)中下載數(shù)據(jù)進行審計，克服定期檢查及數(shù)據(jù)更改，確保數(shù)據(jù)的真實性。這些方法在內(nèi)部審計工作綜合運用，能增強審計人員業(yè)務(wù)靈活性與敏感性，提高審計效率。
(五)加強信息化環(huán)境下銀行內(nèi)部審計風(fēng)險防范
信息化的環(huán)境下審計風(fēng)險是指審計人員利用計算機、網(wǎng)絡(luò)通訊技術(shù)對信息系統(tǒng)進行審計后發(fā)表不恰當(dāng)?shù)囊庖姷目赡苄?，主要包括以下幾個方面：
一是不留痕跡的篡改數(shù)據(jù)。在網(wǎng)絡(luò)環(huán)境中，對舞弊者或非惡意攻擊者進行數(shù)據(jù)非法修改和刪除，均可不留篡改痕跡，此時無法保證數(shù)據(jù)的完整性和真實性，給銀行內(nèi)部審計監(jiān)督帶來了風(fēng)險。二是不確定性的信息損壞。有多種情況會造成信息丟失或損壞，其中包括運行期間的掉電、機器故障或磁介質(zhì)物理損壞、病毒攻擊破壞、黑客侵入和數(shù)據(jù)失竊、有目的的人為毀損、備份丟失等。三是不明確的職責(zé)分工。在會計信息環(huán)境下，利用網(wǎng)絡(luò)的漏洞作有目的的數(shù)據(jù)修改、舞弊或竊取秘密信息，從中撈取利益。四是似有若無的防范措施。防火墻不能有效阻止病毒與黑客的入侵，系統(tǒng)的登錄與訪問密碼失竊。
為了有效地降低信息化下銀行內(nèi)部審計風(fēng)險，必須采取相應(yīng)的防范和控制措施：
1、建立互動審計信息庫。審計人員通過網(wǎng)絡(luò)建立被審計單位的信息庫，供審計時查閱和運用，這樣可減少工作時間，提高工作效率。需提出的是信貸、會計等業(yè)務(wù)審計仍然離不開現(xiàn)場審計，查閱到疑點，一定要認(rèn)真分析并實施現(xiàn)場審計。
2、利用原始數(shù)據(jù)再現(xiàn)處理結(jié)果，并與收集結(jié)果作對比分析。對有差異的數(shù)據(jù)進行詳細審查，確定差異的數(shù)據(jù)產(chǎn)生的原因，通過網(wǎng)絡(luò)進行預(yù)警提示，以降低審計風(fēng)險。
3、加強對被審計單位系統(tǒng)的安全性和保密性的審計。可對業(yè)務(wù)及管理系統(tǒng)進行模擬攻擊與模擬訪問，以檢測網(wǎng)絡(luò)系統(tǒng)保護措施的有效性與安全級別，系統(tǒng)的可靠性和保密性始終是審計風(fēng)險防范和控制的重點。如員工一定要憑密憑卡才能進入業(yè)務(wù)核算系統(tǒng)，超出授權(quán)范圍的不能進入操作。
4、遵循不相容原則，加強被審單位職責(zé)分離審計。加強對系統(tǒng)數(shù)據(jù)輸入、輸出、系統(tǒng)維護及程序修改的管理等方面的審查，確認(rèn)防范黑客侵入的能力及數(shù)據(jù)異常損壞后的修復(fù)能力，以評價軟件系統(tǒng)安全性的等級，從而有效地控制審計風(fēng)險。特別是財務(wù)系統(tǒng)、網(wǎng)銀系統(tǒng)等系統(tǒng)中錄入、復(fù)核一定要分離。
5、建立新的審計法律環(huán)境。由于法律在規(guī)范經(jīng)濟的運作、控制社會的不確定性上具有無可替代的功能優(yōu)勢，因此，銀行行業(yè)內(nèi)需要構(gòu)建一套符合自身發(fā)展規(guī)律的審計法規(guī)與審計準(zhǔn)則，以利于在國內(nèi)嘗試開展并普及銀行業(yè)信息系統(tǒng)審計，為我國銀行業(yè)信息化建設(shè)保駕護航。(魏巖)
參考文獻：
[1]柳岸青、管亞梅 《試析中外計算機信息系統(tǒng)環(huán)境下審計準(zhǔn)則差異》《商業(yè)會計》2003/4 20-25
[2]陳婉玲、韋沛文 《網(wǎng)絡(luò)經(jīng)營與網(wǎng)絡(luò)財會條件下的審計初探》《會計研究》2003 31-34
