【正文】 對商業(yè)銀行計(jì)算機(jī)系統(tǒng)內(nèi)部控制的調(diào)查測試表如下：表3－4 索引號：（審計(jì)機(jī)關(guān)名稱）審計(jì)工作底稿計(jì)算機(jī)系統(tǒng)內(nèi)部控制調(diào)查測試表（審計(jì)期間）被審計(jì)商業(yè)銀行：控制活動是否執(zhí)行情況好一般差1．商業(yè)銀行是否明確計(jì)算機(jī)信息系統(tǒng)開發(fā)人員、管理人員與操作人員的崗位職責(zé)，做到崗位之間的相互制約，各崗位之間不得相互兼任？2．各級機(jī)構(gòu)是否配備計(jì)算機(jī)安全管理人員，明確計(jì)算機(jī)安全管理人員的職責(zé)？3．商業(yè)銀行是否對計(jì)算機(jī)信息系統(tǒng)的項(xiàng)目立項(xiàng)、開發(fā)、驗(yàn)收、運(yùn)行和維護(hù)整個過程實(shí)施有效管理，開發(fā)環(huán)境是否與生產(chǎn)環(huán)境嚴(yán)格分離？3．技術(shù)部門與業(yè)務(wù)部門之間是否進(jìn)行溝通協(xié)調(diào)，確保系統(tǒng)的整體安全？4．商業(yè)銀行購買計(jì)算機(jī)軟、硬件設(shè)備，是否對供應(yīng)商的資格條件進(jìn)行嚴(yán)格審查，在使用前進(jìn)行試用性安全測試，明確產(chǎn)品供應(yīng)商對產(chǎn)品在使用期間承擔(dān)的責(zé)任，確保產(chǎn)品的正常使用和有效維護(hù)？5．商業(yè)銀行計(jì)算機(jī)機(jī)房建設(shè)是否符合國家的有關(guān)標(biāo)準(zhǔn)，出入計(jì)算機(jī)機(jī)房是否有嚴(yán)格的審批程序和出入記錄，確保計(jì)算機(jī)硬件、各種存儲介質(zhì)的物理安全？計(jì)算機(jī)機(jī)房和營業(yè)網(wǎng)點(diǎn)是否有完備的計(jì)算機(jī)監(jiān)控系統(tǒng)，確保計(jì)算機(jī)終端的正常使用？6．商業(yè)銀行是否建立和健全網(wǎng)絡(luò)管理系統(tǒng)，有效地管理網(wǎng)絡(luò)的安全、故障、性能、配置等，并對接入國際互聯(lián)網(wǎng)實(shí)施有效的安全管理？7．商業(yè)銀行是否對計(jì)算機(jī)信息系統(tǒng)實(shí)施有效的用戶管理和密碼（口令）管理，對用戶的創(chuàng)建、變更、刪除、用戶口令的長度、時效等均是否有嚴(yán)格的控制？員工之間嚴(yán)禁轉(zhuǎn)讓計(jì)算機(jī)信息系統(tǒng)的用戶名或權(quán)限卡，員工離崗后是否及時更換密碼和密碼信息？8．商業(yè)銀行是否對計(jì)算機(jī)信息系統(tǒng)的接入建立適當(dāng)?shù)氖跈?quán)程序，并對接入后的操作進(jìn)行安全控制？輸入計(jì)算機(jī)信息系統(tǒng)的數(shù)據(jù)是否核對無誤，數(shù)據(jù)的修改是否經(jīng)過批準(zhǔn)并建立日志？9．商業(yè)銀行是否及時更新系統(tǒng)安全設(shè)置、病毒代碼庫、攻擊特征碼、軟件補(bǔ)丁程序等，通過認(rèn)證、加密、內(nèi)容過濾、入侵監(jiān)測等技術(shù)手段，不斷完善安全控制措施，確保計(jì)算機(jī)信息系統(tǒng)的安全？10．商業(yè)銀行的網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應(yīng)用程序等均是否設(shè)置必要的日志？日志是否能夠滿足各類內(nèi)部和外部審計(jì)的需要？11．商業(yè)銀行是否嚴(yán)格管理各類數(shù)據(jù)信息，數(shù)據(jù)的操作、數(shù)據(jù)備份介質(zhì)的存放、轉(zhuǎn)移和銷毀等均是否有嚴(yán)格的管理制度？12．商業(yè)銀行運(yùn)用計(jì)算機(jī)處理業(yè)務(wù)，是否具有可復(fù)核性和可追溯性，并為有關(guān)的審計(jì)或檢查留有接口？13．商業(yè)銀行的電子銀行服務(wù)是否具備客戶身份識別、安全認(rèn)證等功能，防止發(fā)生泄密事件，確保交易安全？14．商業(yè)銀行是否盡可能利用計(jì)算機(jī)信息系統(tǒng)的系統(tǒng)設(shè)定，防范各種操作風(fēng)險(xiǎn)和違法犯罪行為？15．商業(yè)銀行是否建立計(jì)算機(jī)安全應(yīng)急系統(tǒng)，制定詳細(xì)的應(yīng)急方案，并定期進(jìn)行修訂和演練？數(shù)據(jù)備份是否做到異地存放，條件允許時，是否建立異地計(jì)算機(jī)災(zāi)難備份中心？審計(jì)人員： 審計(jì)日期： 復(fù)核人員： 復(fù)核日期：五、內(nèi)部控制監(jiān)督與風(fēng)險(xiǎn)評價系統(tǒng)的測評商業(yè)銀行應(yīng)建立、健全完善的內(nèi)部控制監(jiān)督與風(fēng)險(xiǎn)評價系統(tǒng)機(jī)制，通過對相關(guān)內(nèi)部控制的監(jiān)督與評價，對內(nèi)部控制的制度建設(shè)、執(zhí)行情況定期進(jìn)行回顧和檢討，并根據(jù)國家法律規(guī)定、銀行組織結(jié)構(gòu)、經(jīng)營狀況、市場環(huán)境的變化進(jìn)行修訂和完善。二是檢查評價軟件系統(tǒng)的安全性、完善性及維護(hù)情況。第三種模式：計(jì)算機(jī)系統(tǒng)主要用于部分文檔操作，尚未深入到業(yè)務(wù)層次。審計(jì)人員： 審計(jì)日期： 復(fù)核人員： 復(fù)核日期：四、計(jì)算機(jī)系統(tǒng)內(nèi)部控制的測評隨著金融業(yè)務(wù)日趨多樣化，以計(jì)算機(jī)為中心的金融信息網(wǎng)絡(luò)系統(tǒng)在整個金融業(yè)的使用越來越廣泛，金融業(yè)對計(jì)算機(jī)系統(tǒng)的依賴程度與日俱增，計(jì)算機(jī)系統(tǒng)風(fēng)險(xiǎn)的控制顯得十分必要和緊迫。商業(yè)銀行授信業(yè)務(wù)內(nèi)部控制的重點(diǎn)是：實(shí)行統(tǒng)一授信管理，健全客戶信用風(fēng)險(xiǎn)識別與監(jiān)測體系，完善授信決策與審批機(jī)制，防止對單一客戶、關(guān)聯(lián)企業(yè)客戶和集團(tuán)客戶風(fēng)險(xiǎn)的高度集中，防止違反信貸原則發(fā)放關(guān)系人貸款和人情貸款，防止信貸資金違規(guī)投向高風(fēng)險(xiǎn)領(lǐng)域和用于違法活動。下面主要介紹授信業(yè)務(wù)和資金業(yè)務(wù)的內(nèi)部控制測評，對存款及柜臺業(yè)務(wù)、中間業(yè)務(wù)的內(nèi)部控制測評將在后面各章中介紹。二是測評會計(jì)業(yè)務(wù)是否真實(shí)、有效。本節(jié)只對一般性內(nèi)部控制進(jìn)行調(diào)查和測試，并結(jié)合以后各章業(yè)務(wù)循環(huán)的內(nèi)部控制測評結(jié)果來確定審計(jì)策略。例如，檢查大額支付款項(xiàng)的授權(quán)情況，在業(yè)務(wù)處理過程中沒有授權(quán)，但上一級管理層對此有嚴(yán)格的審核制度和手續(xù)，則證明有補(bǔ)償控制。在評價控制風(fēng)險(xiǎn)時需要考慮的因素有：1．失控的性質(zhì)和原因。風(fēng)險(xiǎn)低的標(biāo)志是：內(nèi)部控制健全、合理，且在測試檢查有關(guān)業(yè)務(wù)活動時，未發(fā)現(xiàn)任何差錯或僅發(fā)現(xiàn)極少的差錯。4．測試結(jié)論，包括是否信賴相關(guān)內(nèi)部控制，下一步準(zhǔn)備采取的審計(jì)策略，是否測試補(bǔ)償控制，是否修改審計(jì)方案。4．內(nèi)部控制能發(fā)現(xiàn)和修正錯誤。本指南建議在內(nèi)部控制測試過程中使用非統(tǒng)計(jì)抽樣技術(shù)。在上述四種方法中，以相互印證式的詢問為首選，通過詢問法和輔以觀察、審查書面文檔和重做的方法，可以有效地獲取審計(jì)所需證據(jù)，節(jié)約審計(jì)資源。3．詢問并檢查交易和業(yè)務(wù)憑證等書面文檔。即采用相互印證式的詢問，查明相關(guān)內(nèi)部控制是否存在和有效運(yùn)行，然后再根據(jù)詢問的結(jié)果檢查有關(guān)內(nèi)部控制管理報(bào)告，獲取內(nèi)部控制有效運(yùn)行的證據(jù)。2．明確證據(jù)要求。二、執(zhí)行內(nèi)部控制測試，評估控制風(fēng)險(xiǎn)審計(jì)人員根據(jù)內(nèi)部控制調(diào)查結(jié)果，在采取依賴相關(guān)內(nèi)部控制審計(jì)策略的情況下，對擬信賴的內(nèi)部控制采取適當(dāng)和有效的方法進(jìn)行測試，評價內(nèi)部控制風(fēng)險(xiǎn)和獲取內(nèi)部控制保證程度。審計(jì)人員沒有必要對每項(xiàng)控制都進(jìn)行深入分析，應(yīng)關(guān)注那些可能對控制目標(biāo)的實(shí)現(xiàn)有重大影響的控制環(huán)節(jié)，即關(guān)鍵控制點(diǎn)。內(nèi)部控制測評包括初步了解內(nèi)部控制、確定審計(jì)策略，執(zhí)行內(nèi)部控制測試、評估控制風(fēng)險(xiǎn)兩部分。主要內(nèi)容包括：組織體系是否健全，決策系統(tǒng)、執(zhí)行系統(tǒng)、監(jiān)督系統(tǒng)和支持保障系統(tǒng)作用發(fā)揮如何；領(lǐng)導(dǎo)層對內(nèi)部控制的認(rèn)識如何；是否有相應(yīng)的管理制度和操作規(guī)程，這些制度和規(guī)程是否完善；是否具有明確的崗位責(zé)任制；授權(quán)、分工協(xié)作和相互制約機(jī)制是否健全；指標(biāo)制定是否合理、完成情況如何，是否具有完善的獎懲機(jī)制；員工對制度精神是否充分理解，執(zhí)行情況如何；崗位輪換和員工培訓(xùn)情況如何；計(jì)算機(jī)、人事管理、信息管理、安全保衛(wèi)等支持保障系統(tǒng)是否有效；內(nèi)部稽核體系是否健全，獨(dú)立性和權(quán)威性如何，稽核力度和覆蓋面是否足夠等。（四）信息交流與反饋要使控制活動和措施有力地開展下去，一個商業(yè)銀行必須及時獲取內(nèi)外部信息，包括反映經(jīng)營管理狀況、法律法規(guī)執(zhí)行情況、財(cái)務(wù)報(bào)表資料等內(nèi)部信息，以及其他外部信息，并使這些信息充分交流，如內(nèi)部部門之間、總行與分支行之間、分支行之間的相互交流，銀行與客戶、政府部門、中央銀行之間的交流等。（三）內(nèi)部控制措施內(nèi)部控制措施就是確保管理方針得以實(shí)現(xiàn)的一系列制度、程序和措施。商業(yè)銀行首先要清楚在其經(jīng)營管理過程中會出現(xiàn)的風(fēng)險(xiǎn)，風(fēng)險(xiǎn)要素和風(fēng)險(xiǎn)點(diǎn)的羅列要細(xì)致、全面，既要考慮內(nèi)部風(fēng)險(xiǎn)，又要考慮外部因素引起的風(fēng)險(xiǎn)；既要考慮靜態(tài)風(fēng)險(xiǎn)，又要考慮動態(tài)風(fēng)險(xiǎn)；既要考慮操作風(fēng)險(xiǎn)，又要考慮體制和政策風(fēng)險(xiǎn)。（二）風(fēng)險(xiǎn)識別與評估為達(dá)到一定的經(jīng)營目標(biāo)而識別和分析風(fēng)險(xiǎn)，是風(fēng)險(xiǎn)管理決策的基礎(chǔ)。5．外部環(huán)境現(xiàn)代商業(yè)銀行是一個開放的系統(tǒng)，會受到外界有關(guān)部門和各項(xiàng)因素的干擾和影響。3．組織結(jié)構(gòu)商業(yè)銀行的組織結(jié)構(gòu)是否合理至關(guān)重要，組織結(jié)構(gòu)合理能夠使各部門職責(zé)分明，既相互聯(lián)系、又相互制約，有完善的授權(quán)授信機(jī)制，能夠保證部門和分支行之間方便、快捷、準(zhǔn)確地溝通信息，能夠在商業(yè)銀行內(nèi)部建立有效的監(jiān)督機(jī)制。1．管理理念管理理念是指管理人員在思想理念及實(shí)際行動上對內(nèi)部控制的重視程度。（一）內(nèi)部控制環(huán)境商業(yè)銀行內(nèi)部控制環(huán)境是指對內(nèi)部控制的建立和執(zhí)行過程有重大影響的各種因素的總稱。4．內(nèi)部控制的監(jiān)督、評價部門應(yīng)當(dāng)獨(dú)立于內(nèi)部控制的建設(shè)、執(zhí)行部門，并有直接向董事會、監(jiān)事會和高級管理層報(bào)告的渠道。內(nèi)部控制應(yīng)當(dāng)與商業(yè)銀行的經(jīng)營規(guī)模、業(yè)務(wù)范圍和風(fēng)險(xiǎn)特點(diǎn)相適應(yīng)，以合理的成本實(shí)現(xiàn)內(nèi)部控制的目標(biāo)。二、商