简析银行核心业务系统的IT审计方法与实践

对于信息系统审计师，经常会在工作中面临一个问题：如何去审计一套从未使用过的信息系统？每个人都是从新手成长起来的，笔者也不例外。本文根据笔者过往的信息系统内部审计经历，特别是针对金融行业的核心业务信息系统（CBS）审计，进行了一些实践经验总结和分享。

目前在银行业数字化业务开展过程中，运行着各种类型的银行核心业务信息系统，审计师需要针对组织正在使用的具体系统来定制合适的审计方案。以下控制测试方法可能会适用于您的组织正在使用的CBS。

由于金融服务行业受到高度监管，因此在开始信息系统审计之前，您需要花时间阅读并更深入地了解受监管的金融服务机构应遵守的各种法规。这些机构包括银行、金融科技公司、电信公司、征信机构（CRBs）、移动支付服务公司、小额信贷组织、投资集团等。在这种情况下，您必须了解您所在国家的中央银行，金融机构法案（FIA），证券交易委员会（SEC）的监管要求，以及监督金融机构活动的其他机构（如保险监管机构和税务机关）的法规。

根据您的审计范围和审计目标，您可以在已确定需要审查的领域确定将要执行的控制测试。这些可能包括：

审查有关CBS运营和后端管理的组织政策，程序和标准。

大多数系统项目都会失败或出现问题，具体取决于它们是如何开始的，因此在一切开始时都需要多些关注。如果CBS是外包的，请查看您与供应商签订的服务级别协议（SLA）或合同，并重点审查供应商支持服务条款（是否满足设定的矩阵，以及是否包含了对违反商定的矩阵/条款和条件的处罚）。在进一步审查SLA时，请确保存在审计权利条款，包括条款、订阅性质和许可证续订频率，并确保签署了保密协议（NDA）或保密协议（Confidentiality Agreement）或合同中存在这些条款（以及版本控制，如果适用）。

审查CBS版本控制的应用程序支持、脚本/开发和时间表，以及如何完成维护通信。在采购CBS之前，请确认是否已制定了业务案例并审查批准。确认CBS是否通过了用户验收测试（UAT），以及是否在实施六个月后进行了实施后评审（PIR）。确保对用户的培训已经完成或正在持续进行，并且供应商提供了技术手册和非用户手册。能证明服务提供商的认证也很重要。