銀行的IT內部稽核ppt課件

1、銀行的IT 內部稽核.典型的銀行環(huán)境信托/中介角色 涉及客戶錢財受高度的監(jiān)管信息系統(tǒng)的高運用度為和寬廣的客戶群，買賣方等進展業(yè)務收務操作處置.銀行的產品與效力為客戶提供：存款/提款房屋貸款、汽車貸款等信譽卡:運用的系統(tǒng)和分銷渠道：現(xiàn)金存款機，匯款系統(tǒng)，銀行、互聯(lián)網銀行、信譽卡付帳系統(tǒng).銀行的產業(yè)與效力為企業(yè)客戶提供：-融資：貸款定期貸款、銀團信譽證、擔保上市-組合管理和買賣運用的系統(tǒng)貸款/執(zhí)行和追蹤系統(tǒng)-買賣：前臺、后臺和清算系統(tǒng)-投資管理：組合管理系統(tǒng).銀行的信托責任銀行必需：堅持客戶的隱私確?？蛻舻馁I賣的廉政性-維持為客戶提供的資料和系統(tǒng)的可用性.銀行業(yè)務潛在的問題盜用公款高本錢或失盈利資

2、產的破壞/損失不可接受的合計手法不可接受的入帳手法業(yè)務中斷管理決策錯誤法規(guī)競爭不利Basel對操作風險的定義“因缺乏或失敗的內部作業(yè)、人員、系統(tǒng)或外部要素而導致的直接/間接損失“.電腦增大操作風險由于：電腦把資料集中于一處人們對資料的獲得比以前更多錯誤添加無形難追蹤資料容易遭到破壞或改換電腦病毒缺乏對電腦檢控的認識難以維護珍貴的資料.電腦化的銀行環(huán)境所帶來的風險程序能否適當程序的改換能否經過測試、同意及適當?shù)谋辉茫课赐飧膿Q的能夠性客戶資料能否會有未經同意改換？一切買賣能否都被記載？一切買賣的記載能否不多過一次？一切記載過的買賣能否都準確？一切記載能否都被入??？.普通的與電腦相關的不愧手法D

3、ata Diddling:在資料輸入電腦之前/時作改換Trojan Horse:將無用的指令輸入主流系統(tǒng)執(zhí)行Logical Bomb:在預定的時間內對電腦程序/資料進展破壞Impersonation偽裝病毒.過去三年所盜用的資料和財務欺詐Source: Computer Security Institute (CSI)/FBI Survey.在電子銀行和電子錢幣業(yè)務中的風險Basel的定義操作風險是因系統(tǒng)的嚴重缺而導致到虧損的能夠。銀行因系統(tǒng)/產品能夠遭到外/內部的攻擊使到監(jiān)控極為重要.如何降低風險適當?shù)膬炔勘O(jiān)控和風險管理框架.銀行內部監(jiān)控的框架五個大點：控制環(huán)境風險測試業(yè)務監(jiān)控訊息和交流監(jiān)視

4、.什么是監(jiān)控監(jiān)控是：政策、作業(yè)/做法及框架以確保在可控制范圍內到達業(yè)務目的和防止不良事件的發(fā)生.IT環(huán)境中的監(jiān)控可大致分類為：運用和管理監(jiān)控確保IT的開發(fā)、執(zhí)行和操作能如期的，受控制的情況下進展預防、矯正和偵查的監(jiān)控資料在電腦系統(tǒng)中所執(zhí)行的監(jiān)控.運用和管理監(jiān)控高層管理在IT活動的規(guī)劃和監(jiān)控的責任系統(tǒng)開發(fā)管理日常操作管理運用監(jiān)控為維護資產資料，維持資料的完好性 - 資料處置監(jiān)控- 授權/同意- 輸入監(jiān)控- 保送監(jiān)控- 操作監(jiān)控- 出品監(jiān)控- 稽核監(jiān)控- 后備和恢復監(jiān)控.想象應有的監(jiān)控 .偽造簽名而拿取現(xiàn)金支票的遺失員工盜用公款員工經過支配付款指令作出不正當?shù)母犊钸`法交換客戶的資料程序員改造工資程

5、序以獲得個人利益;黑客以大量的信息要求來充溢網頁以阻止其他人上網.信息系統(tǒng)稽核規(guī)范CoBit (信息和相關科技的監(jiān)控目的)Control Objectives for Information & Related Technology) :-經過技術，專業(yè)及法規(guī)規(guī)范來提高信息系統(tǒng)的監(jiān)控稽核根底;-一個普通被接受的規(guī)范.CoBit 列出：質量要求質量本錢遞送信托要求有效及效益的操作資料的可靠性法規(guī)的根據(jù)監(jiān)控要求嚴密廉政可用.CoBit 框架.TAKO示范為ISACA開發(fā)本來是為提高公司對工資信托所應有的IT監(jiān)控的認識.Comparison of Control ConceptsCOBITSACCO

6、SOSASs 55/78Primary AudienceManagement, users, information system auditorsInternal AuditorsManagementExternal AuditorsIC viewed as aSet of processes including policies, procedures, practices, and organizational structuresSet of processes, subsystems, and peopleProcessProcessIC Objectives organizatio

7、nalEffective & efficient operationsConfidentiality, Integrity and availability of informationReliable financial reportingCompliance with laws & regsEffective & efficient operationsReliable financial reportingCompliance with laws & regsEffective & efficient operationsReliable financial reportingCompl

8、iance with laws & regsReliable financial reportingEffective & efficient operationsCompliance with laws & regsComponents or DomainsDomains:Planning and organizationAcquisition and implementationDelivery and supportMonitoringComponents:Control EnvironmentManual & AutomatedSystems Control ProceduresCom

9、ponents:Control EnvironmentRisk Management ControlActivities Information & Communication MonitoringComponents:Control Environment RiskAssessment ControlActivities Information & Communication MonitoringFocusInformation TechnologyInformation TechnologyOverall EntityFinancial StatementIC Effectiveness EvaluatedFor a period of timeFor a period of timeAt a point in timeFor a period of timeResponsibility for IC SystemManagementManagementManagementManagementSize187 pages in four documents1193 pages in 12 modules353 pages in four volumes63 pages in two documents.IT 保安要求交通網絡電子商務的保安Secu