現(xiàn)代信息技術(shù)已普遍應(yīng)用于商業(yè)銀行的所有機(jī)構(gòu)，并涵蓋其業(yè)務(wù)和過(guò)程。審計(jì)機(jī)關(guān)目前應(yīng)用的主要金融審計(jì)模式是數(shù)據(jù)式審計(jì)，即對(duì)商業(yè)銀行靜態(tài)數(shù)據(jù)進(jìn)行分析和測(cè)試。從審計(jì)實(shí)踐來(lái)看，這種審計(jì)方式由于缺乏對(duì)系統(tǒng)的控制而不能保障電子數(shù)據(jù)的唯一性、完整性和準(zhǔn)確性，無(wú)法從根本上有效控制被審計(jì)單位的電子數(shù)據(jù)質(zhì)量；從發(fā)展趨勢(shì)來(lái)看，數(shù)據(jù)式審計(jì)方式由于過(guò)分關(guān)注數(shù)據(jù)本身而缺乏對(duì)系統(tǒng)整體的分析，難以控制總體審計(jì)風(fēng)險(xiǎn)，其局限性正逐漸顯露出來(lái)。為有效解決上述問(wèn)題，審計(jì)機(jī)關(guān)應(yīng)當(dāng)盡快對(duì)商業(yè)銀行開(kāi)展信息系統(tǒng)審計(jì)。

　　一、商業(yè)銀行信息系統(tǒng)的特點(diǎn)、架構(gòu)與一般業(yè)務(wù)流程

　?。ㄒ唬┥虡I(yè)銀行信息系統(tǒng)的特點(diǎn)

　　現(xiàn)代商業(yè)銀行的信息系統(tǒng)一般具有下列特點(diǎn)：系統(tǒng)結(jié)構(gòu)復(fù)雜，對(duì)硬件、軟件的質(zhì)量和安全性能要求高；數(shù)據(jù)量大（各行數(shù)據(jù)普遍實(shí)行總行大集中）；本外幣一體化的統(tǒng)一會(huì)計(jì)核算方式；以客戶為中心、面向服務(wù)的設(shè)計(jì)理念；衍生金融新產(chǎn)品多；業(yè)務(wù)實(shí)時(shí)性強(qiáng)，支持24小時(shí)服務(wù)等。目前，商業(yè)銀行系統(tǒng)中業(yè)務(wù)網(wǎng)操作系統(tǒng)基本是UNIX操作系統(tǒng)，辦公網(wǎng)基本是WINDOWS操作系統(tǒng)，并根據(jù)不同類型的操作系統(tǒng)配備相應(yīng)的客戶端防病毒系統(tǒng)；網(wǎng)上銀行、電子商務(wù)、網(wǎng)上交易系統(tǒng)都是通過(guò)INTERNET公網(wǎng)。另外，銀行的中間代理業(yè)務(wù)需要同相關(guān)單位的局域網(wǎng)互聯(lián)。商業(yè)銀行業(yè)務(wù)系統(tǒng)基本采用Client/Server模式，并配備相應(yīng)的備份與災(zāi)難恢復(fù)系統(tǒng)。

　　（二）商業(yè)銀行信息系統(tǒng)的框架結(jié)構(gòu)

　　商業(yè)銀行信息系統(tǒng)一般可分為信息管理類系統(tǒng)、渠道類系統(tǒng)和外部清算結(jié)算類系統(tǒng)。信息管理類系統(tǒng)與決策、管理和業(yè)務(wù)相關(guān)，以提高效率和規(guī)避風(fēng)險(xiǎn)為目的，主要有貸款系統(tǒng)、授權(quán)和授信系統(tǒng)、征信系統(tǒng)、客戶管理系統(tǒng)、數(shù)據(jù)倉(cāng)庫(kù)系統(tǒng)、資產(chǎn)負(fù)債管理系統(tǒng)、辦公自動(dòng)化系統(tǒng)、后督系統(tǒng)、檔案系統(tǒng)（票據(jù)影像縮微系統(tǒng)和光學(xué)字符識(shí)別OCR）、數(shù)字終端錄像系統(tǒng)、數(shù)字視頻監(jiān)控系統(tǒng)等。渠道類系統(tǒng)是商業(yè)銀行面向市場(chǎng)和客戶的窗口，也是對(duì)外服務(wù)使用的載體，包括人工渠道、電子渠道和第三方渠道。人工渠道有柜面服務(wù)和職能部門的業(yè)務(wù)終端（例如會(huì)計(jì)帳查詢系統(tǒng)、信貸審批系統(tǒng)等）；電子渠道分為自助服務(wù)系統(tǒng)（電話銀行、手機(jī)銀行、網(wǎng)上銀行和企業(yè)銀行）和自助服務(wù)終端（ATM和POS）；第三方渠道包括銀聯(lián)交易、區(qū)域性通存通兌和同城跨行通存通兌等。外部清算結(jié)算類系統(tǒng)是指有外部接口的系統(tǒng)，包括行間資金轉(zhuǎn)賬系統(tǒng)SHIFT（主要有大額清算系統(tǒng)、小額清算系統(tǒng)、區(qū)域性專項(xiàng)業(yè)務(wù)清算系統(tǒng)）、同城交換系統(tǒng)、央行往來(lái)清算系統(tǒng)、同業(yè)往來(lái)清算系統(tǒng)和第三方存管清算系統(tǒng)。

　?。ㄈ┥虡I(yè)銀行核心業(yè)務(wù)系統(tǒng)一般流程

　　商業(yè)銀行信息系統(tǒng)有業(yè)務(wù)核心系統(tǒng)和外圍系統(tǒng)兩部分。業(yè)務(wù)核心系統(tǒng)主要包括存款系統(tǒng)、貸款系統(tǒng)、國(guó)際業(yè)務(wù)系統(tǒng)、支付清算系統(tǒng)、資金交易系統(tǒng)和衍生業(yè)務(wù)系統(tǒng)等，其余為外圍系統(tǒng)，主要包括內(nèi)部后臺(tái)系統(tǒng)和連接外部系統(tǒng)兩部分。業(yè)務(wù)核心系統(tǒng)一般分為基礎(chǔ)支持、業(yè)務(wù)處理和管理分析三個(gè)部分，基礎(chǔ)支持是指依據(jù)核心業(yè)務(wù)支撐平臺(tái)（數(shù)據(jù)邏輯和數(shù)據(jù)），來(lái)完成基本指令（包括賬務(wù)體系、權(quán)限和機(jī)構(gòu)管理等）；業(yè)務(wù)處理是指商業(yè)銀行各應(yīng)用系統(tǒng)完成核心業(yè)務(wù)邏輯，包括相關(guān)的各類銀行業(yè)務(wù)（如存款、信貸、結(jié)售匯和柜面服務(wù)等）；管理分析包括會(huì)計(jì)報(bào)表和資產(chǎn)負(fù)債管理系統(tǒng)。

　　商業(yè)銀行核心業(yè)務(wù)一般流程是由“客戶”依次到“柜面服務(wù)人員”、“中間業(yè)務(wù)平臺(tái)”和“銀行中心機(jī)房”，再由“銀行中心機(jī)房”依次返回到“客戶”的雙向循環(huán)。商業(yè)銀行通常以業(yè)務(wù)核心系統(tǒng)為中心，外圍系統(tǒng)可以直接與核心系統(tǒng)通訊，也可以通過(guò)中間代理系統(tǒng)與核心系統(tǒng)通訊。

　　二、傳統(tǒng)金融審計(jì)方式的局限性

　　由于受多種因素影響，傳統(tǒng)金融審計(jì)目前仍停留在查錯(cuò)糾弊階段。隨著商業(yè)銀行信息化程度的普及和管理水平的提高，這種審計(jì)方式的缺陷和弊端逐漸顯露出來(lái)，難以適應(yīng)形勢(shì)發(fā)展的客觀需要。

　?。ㄒ唬o(wú)法科學(xué)評(píng)價(jià)商業(yè)銀行總體經(jīng)營(yíng)狀況的真實(shí)性、合法性和效益性

　　由于商業(yè)銀行信息系統(tǒng)的復(fù)雜性及海量數(shù)據(jù)在總行大集中等因素影響，審計(jì)機(jī)關(guān)現(xiàn)有的審計(jì)技術(shù)與方法尚無(wú)法對(duì)商業(yè)銀行的會(huì)計(jì)報(bào)表與原始電子數(shù)據(jù)的一致性作出準(zhǔn)確地判斷，無(wú)法核實(shí)商業(yè)銀行整體經(jīng)營(yíng)成果的真實(shí)性；由于受人力、時(shí)間、設(shè)備以及審計(jì)技術(shù)等因素影響，審計(jì)機(jī)關(guān)難以對(duì)商業(yè)銀行整體經(jīng)營(yíng)的合法性和效益性進(jìn)行科學(xué)評(píng)價(jià)。從審計(jì)實(shí)踐來(lái)看，審計(jì)機(jī)關(guān)對(duì)商業(yè)銀行的審計(jì)結(jié)果只能回答哪些方面存在問(wèn)題，而無(wú)法保證是否遺漏重大違法違規(guī)問(wèn)題。另外，審計(jì)署《審計(jì)機(jī)關(guān)審計(jì)質(zhì)量控制辦法（試行）》規(guī)定要求對(duì)被審計(jì)單位進(jìn)行審計(jì)評(píng)價(jià)，而各級(jí)審計(jì)機(jī)關(guān)通常的做法是根據(jù)查出問(wèn)題多少和嚴(yán)重程度來(lái)作為評(píng)價(jià)基礎(chǔ)，缺乏更加直接的審計(jì)證據(jù)支持，評(píng)價(jià)內(nèi)容比較籠統(tǒng)，評(píng)價(jià)依據(jù)缺乏嚴(yán)謹(jǐn)性和科學(xué)性。

　?。ǘo(wú)法保證所采集的電子數(shù)據(jù)的唯一性、完整性和準(zhǔn)確性

　　由于商業(yè)銀行信息系統(tǒng)設(shè)計(jì)開(kāi)發(fā)缺陷或者手工輸入錯(cuò)誤等原因，系統(tǒng)中的數(shù)據(jù)質(zhì)量可能會(huì)存在問(wèn)題，數(shù)據(jù)重復(fù)與冗余、數(shù)據(jù)不完整或缺失等現(xiàn)象會(huì)時(shí)有發(fā)生。這種情況在單數(shù)據(jù)源的情況下相對(duì)容易解決，但在多數(shù)據(jù)源集成時(shí)，如果不加以糾正會(huì)使數(shù)據(jù)失真情況放大。因此，直接采集的被審單位的審計(jì)數(shù)據(jù)不一定能夠完全滿足審計(jì)需求，要對(duì)存在質(zhì)量問(wèn)題的電子數(shù)據(jù)進(jìn)行清理。由于商業(yè)銀行數(shù)據(jù)過(guò)于龐大及其特殊的安全性要求，審計(jì)機(jī)關(guān)通常依賴于被審單位的設(shè)備和技術(shù)支持，無(wú)法關(guān)注程序中源代碼的邏輯錯(cuò)誤，無(wú)法檢查信息系統(tǒng)的輸入輸出控制，無(wú)法解決非法嵌入舞弊程序而篡改數(shù)據(jù)問(wèn)題。因此，就無(wú)法保證所采集電子數(shù)據(jù)的唯一性、完整性和準(zhǔn)確性，“假電子數(shù)據(jù)真審”的現(xiàn)象就難以避免。近年來(lái)的審計(jì)中，被審單位提供數(shù)據(jù)時(shí)常不及時(shí)、不完整和不準(zhǔn)確。例如，2007年在審計(jì)某商業(yè)銀行“××理財(cái)業(yè)務(wù)”時(shí)，該行會(huì)計(jì)和業(yè)務(wù)部門對(duì)同一業(yè)務(wù)提供的數(shù)據(jù)不一致、不準(zhǔn)確且有明顯的篩選和過(guò)濾情況（最終通過(guò)比較數(shù)據(jù)差異發(fā)現(xiàn)賬外經(jīng)營(yíng)問(wèn)題），給審計(jì)工作的開(kāi)展造成了很大的障礙。

　?。ㄈ╇y以做到審計(jì)方法的全面性、統(tǒng)一性和系統(tǒng)性

　　審計(jì)機(jī)關(guān)對(duì)商業(yè)銀行的審計(jì)目標(biāo)是全面性、統(tǒng)一性和系統(tǒng)性。通過(guò)對(duì)商業(yè)銀行信息系統(tǒng)的特點(diǎn)、架構(gòu)與一般業(yè)務(wù)流程的了解，我們會(huì)發(fā)現(xiàn)，審計(jì)機(jī)關(guān)目前對(duì)商業(yè)銀行的審計(jì)所涉及的范圍和內(nèi)容還比較狹窄，具有很大的局限性。在實(shí)施審計(jì)過(guò)程中，受人員少和時(shí)間短等因素影響，往往不能進(jìn)行全面性、系統(tǒng)性審計(jì)，審計(jì)的內(nèi)容僅包括對(duì)公存款業(yè)務(wù)、信貸業(yè)務(wù)、中間業(yè)務(wù)、國(guó)際業(yè)務(wù)和會(huì)計(jì)管理業(yè)務(wù)等，并在此基礎(chǔ)上有選擇地進(jìn)行重點(diǎn)抽查審計(jì)。在執(zhí)行具體審計(jì)實(shí)施方案時(shí)，因側(cè)重點(diǎn)不同也缺乏統(tǒng)一性。因此，現(xiàn)有審計(jì)技術(shù)與方法無(wú)法保證對(duì)商業(yè)銀行進(jìn)行全面性、統(tǒng)一性和系統(tǒng)性的審計(jì)。

　　三、對(duì)商業(yè)銀行開(kāi)展信息系統(tǒng)審計(jì)的必要性

　?。ㄒ唬┠軌蚯袑?shí)加強(qiáng)對(duì)商業(yè)銀行內(nèi)控制度的監(jiān)管

　　內(nèi)部制度失控是商業(yè)銀行目前面臨的最大風(fēng)險(xiǎn)。商業(yè)銀行系統(tǒng)的合法使用者或系統(tǒng)管理人員由于誤操作或故意違規(guī)，以及利用系統(tǒng)缺陷非法攻擊等行為，致使系統(tǒng)數(shù)據(jù)篡改、泄露秘密、資產(chǎn)遭受損失。商業(yè)銀行內(nèi)部人員的主觀故意違法行為會(huì)給銀行經(jīng)營(yíng)安全帶來(lái)巨大的災(zāi)難。例如，2005年中國(guó)銀行哈爾濱分行河松街支行原行長(zhǎng)高山內(nèi)外勾結(jié)金融詐騙客戶存款10億元；2001年中國(guó)銀行廣東開(kāi)平分行前后三任行長(zhǎng)在長(zhǎng)達(dá)十年多的時(shí)間里向海外非法轉(zhuǎn)移資金近40億元等案件，均由于內(nèi)控完全失效給銀行造成了重大損失。在信息系統(tǒng)審計(jì)方式下，審計(jì)機(jī)關(guān)通過(guò)系統(tǒng)運(yùn)行控制審計(jì)和系統(tǒng)訪問(wèn)控制審計(jì)等技術(shù)方法，比較容易發(fā)現(xiàn)商業(yè)銀行內(nèi)控制度漏洞和管理存在的薄弱環(huán)節(jié)，能夠有針對(duì)性地加強(qiáng)對(duì)商業(yè)銀行內(nèi)控制度的監(jiān)管。

　?。ǘ┠軌蛴行У匕l(fā)現(xiàn)和防范金融審計(jì)風(fēng)險(xiǎn)

　　由于商業(yè)銀行的業(yè)務(wù)都要在信息系統(tǒng)中操作，故其所有的操作都會(huì)在系統(tǒng)中產(chǎn)生動(dòng)態(tài)或靜態(tài)的痕跡，操作行為與痕跡之間必然會(huì)存在相應(yīng)的關(guān)系。因此，對(duì)商業(yè)銀行開(kāi)展信息系統(tǒng)審計(jì)，以操作行為的正常規(guī)律與規(guī)則為依據(jù)，對(duì)相關(guān)痕跡進(jìn)行分析，可以識(shí)別和發(fā)現(xiàn)商業(yè)銀行在運(yùn)行過(guò)程中存在的各種不當(dāng)操作與非法操作，通過(guò)對(duì)一般具有顯著特征的不合理行為和重大異常點(diǎn)的有效甄別，能夠識(shí)別影響商業(yè)銀行生存與發(fā)展的重大異常和風(fēng)險(xiǎn)事件，最終也必然會(huì)發(fā)現(xiàn)違法違規(guī)問(wèn)題和大案要案線索。與傳統(tǒng)的商業(yè)銀行審計(jì)方法相比，信息系統(tǒng)審計(jì)因?yàn)閷?duì)應(yīng)用過(guò)程能夠進(jìn)行有效控制而能夠更廣泛、更有效地發(fā)現(xiàn)和防范金融風(fēng)險(xiǎn)。隨著審計(jì)技術(shù)水平的提高，甚至可以通過(guò)系統(tǒng)審計(jì)軟件對(duì)商業(yè)銀行的異常交易進(jìn)行實(shí)時(shí)監(jiān)控審計(jì)，最大限度地降低審計(jì)風(fēng)險(xiǎn)。

　?。ㄈ┠軌?yàn)閲?guó)家宏觀經(jīng)濟(jì)政策提供更加有效的依據(jù)

　　隨著國(guó)內(nèi)金融市場(chǎng)完全對(duì)外開(kāi)放，國(guó)家審計(jì)應(yīng)當(dāng)從更廣泛的角度關(guān)注國(guó)家金融穩(wěn)定與安全，為決策者提供更有說(shuō)服力的審計(jì)報(bào)告。最近美國(guó)次貸風(fēng)波和美元持續(xù)走軟，熱錢流入和股市暴漲暴跌，貨幣供應(yīng)量增長(zhǎng)與流動(dòng)性過(guò)剩等，已經(jīng)對(duì)我國(guó)經(jīng)濟(jì)產(chǎn)生了重大的影響，CPI居高不下，國(guó)內(nèi)通脹趨勢(shì)越來(lái)越嚴(yán)重。審計(jì)機(jī)關(guān)通過(guò)開(kāi)展信息系統(tǒng)審計(jì)，對(duì)重點(diǎn)地區(qū)相關(guān)金融機(jī)構(gòu)的信息進(jìn)行分析與監(jiān)測(cè)，可以發(fā)現(xiàn)導(dǎo)致上述現(xiàn)象的深層次影響因素，為國(guó)家宏觀決策提供客觀依據(jù)。

　　綜上所述，審計(jì)機(jī)關(guān)對(duì)商業(yè)銀行開(kāi)展信息系統(tǒng)審計(jì)已勢(shì)在必行。由于我國(guó)開(kāi)展信息系統(tǒng)審計(jì)起步較晚，現(xiàn)階段對(duì)商業(yè)銀行開(kāi)展信息系統(tǒng)審計(jì)要克服畏難情緒和畏懼心理，緊緊圍繞國(guó)家金融審計(jì)總體目標(biāo)，結(jié)合實(shí)際情況，有選擇地開(kāi)展信息系統(tǒng)生命周期審計(jì)、信息系統(tǒng)安全控制審計(jì)和信息系統(tǒng)應(yīng)用控制審計(jì)等。通過(guò)不斷的審計(jì)探索與實(shí)踐，盡快完善和提高商業(yè)銀行信息系統(tǒng)審計(jì)的技術(shù)與方法，更好地履行憲法和法律賦予審計(jì)機(jī)關(guān)的職責(zé)，充分發(fā)揮劉家義審計(jì)長(zhǎng)提出的審計(jì)機(jī)關(guān)應(yīng)當(dāng)作為經(jīng)濟(jì)社會(huì)運(yùn)行“免疫系統(tǒng)”的作用。