浅谈对于信息系统风险管理的认识

财经纵横189信息化系统下内部审计风险与防范金友良 绍兴兴业资产评估有限公司摘要：随着信息化链接越来越多的日常活动，人与人、人与物、物与物之间的关系和变化都能够通过可视化的信息表现。同时信息在低差错、智能化分析、保存安全等方面具备绝对的优势，因此在内部审计工作中能够发挥重要作用。本文基于信息化系统环境，对内部审计风险问题进行了分析，并结合实际应用探讨防范措施。关键词：信息化；内部审计；风险；防范中图分类号：F239.45 文献识别码：A 文章编号：1001-828X(2017)018-0189-01内部审计与外部审计的目标不同，除了审查财务报表及活动的合法性和公允性的基础要求外，更加重视评价公司经营管理的有效性，控制和改善经营风险管理，以促进企业实现经营目标。因此具体到审计内容，外部审计主要关注财务报表、内部控制审计、尽职调查、鉴证审计等，而内部审计则需细化到各个部门的各类经营活动，并拓展到管理领域。内部审计除了要求对国家审计及会计法规充分了解外，还必须要求内部审计人员具备专业的业务知识和管理水平。信息化系统下，内部审计通过智能化的记录、分析和呈现，大大提高了处理效率以及对业务动态的促进作用，但同时其自身也存在着诸多风险，需要企业或机构及时实施应对措施。一、内部审计信息化的必然性从内部审计的目标和内容看，内部审计不仅是国家法规对企业合法合规经营的要求，更是企业所有者和经营者出于经营安全和效率的角度自发切深入的自我审视，内部审计可以说是企业经营管理的重要工具和制度之一。在信息化时代，内部审计对企业竞争力的维持和提升具有战略意义。随着企业ERP系统的普及，面向不同类型的企业和组织的经营管理系统产品十分丰富，即是小企业也能够应用信息化和自动化的企业经营管理系统，这源于经济社会信息化的快速渗透，无纸化办公、电子商务、移动支付、多媒体沟通交流工具等让人与人、组织与组织之间的交易和互动更加接近纯数字化。绝大多数日常活动最后可以通过各种信息进行表征，而信息带来的价值在当下已经超越了任何传统的要素。快速准确地获得更多的信息，就能发现更多的机遇和问题，更能透彻地认识客户、竞争对手以及自身。而其中内部审计就是自我审视和自我改进的重要工具，而为了匹配信息化的竞争和运营，内部审计必然需要实现信息化。信息化内部审计内嵌化是必然趋势。理想的信息化内部审计不是仅仅将传统手工线下操作转变为电子化操作，而是要通过系统二次开发，将内部审计的流程、工具、关键要素、分析工具以及关联机制嵌入到组织的经营管理系统中，从而实现动态实时的内部审计监控，常态化的内部审计推动业务的改进和提升。二、信息化系统下内部审计存在的风险信息化系统下审计存在的风险主要包括安全风险、认知风险和过度风险。内部审计信息化后并不意味着一劳永逸，所有的工作都交由计算机和软件系统来完成，在实际经营管理过程中，组织中的很多活动涉及很多灰度和人性化的特征，并不完全能够通过量化或程序化来框定。安全风险主要指信息安全，内部审计信息充分展示了组织经营管理细节，甚至包括一些机密信息，一方面如果组织信息系统不够“牢固”，则存在被突破和窃取的风险。另一方面，电子化的信息的可复制性和可传播性要远远大于纸质文档，如果组织缺乏有效的分级分权管理机制或者执行不到位，则内部审计工作则可能成为信息安全的突破口；认知风险是指企业经营管理者以及普通员工对计算机系统下的内部审计工作缺乏专业认知和熟练的操作，致使信息化内部审计的执行效果可能还不如传统线下审计；过度风险主要体现在两个方面，一是过度依赖于信息化内部审计系统，经营管理者会产生唯信息论和唯数据论的倾向，一切决策和判断都依赖于系统报告和数据，从而失去基于基本面如人性、文化、思想方面的判断能力。另一方面是内嵌式的信息化审计，充分融入到日常经营管理活动中，如果缺乏合理的定位和边界约束，那么信息化审计将会演化成一种“大运动”或者“形式工程”，要么严重影响正常的经营活动，要么成为部门不务正业者“炫技”的工具。此外，随着组织的发展，内部审计的范围和流程需要根据业务及时调整，在传统人工操作下可以很快通过对组织架构和实施人的调整完成转变，而在信息化系统下则需要有开发人员根据业务变化进行开发，其中存在时间风险以及切换对接风险。三、防范信息化系统下内部审计的措施针对信息化系统下内部审计风险，本文认为应当从信息化内部审计工具适应性优化、信息化平台安全加固以及信心化内部审计使用规则明确入手进行规避：首先为了适应企业不断变化的组织架构和业务内容，信息化内部审计系统必须实现开放式的模块化架设，通过标准化的流程和工具套件，以匹配不同业务和组织形式下的内部审计本质要求。应当按照审计和组织管理的最基本要素和原则进行设计，而不是过分细究业务自身的特点进行过分匹配的开发；其次是加强信息化系统的安全等级，包括对外防火墙的加固、加密通道的可靠性、分区分权的信息管理的严密性以及监控手段。特别是针对信息窃取、复制和转发的控制和跟踪，在信息化时代显得特别重要，因为掌握更多的信息就可以直接转变为有的放矢；最后需要明确信息化审计系统与业务经营管理之间的关联关系，协调系统管理和人为管理的关系，不仅要充分发挥信息化审计对业务监督和改进的参考和依据作用，还要提升经营管理者灵活运用信息化内部审计输出的能力，借助信息化内部审计工具，为发挥自身人性化的经营管理才能提供助力。此外，还需要加强信息化内部审计的落实效果，杜绝形式主义和运动主义倾向。参考文献：[1]韩双.浅谈审计信息化在内部审计领域的建设与应用[J].商场现代化,2015(32).[2]章曦.信息化内部审计风险及应对[J].经济视野,2013(21).[3]王波,赵玉林.论集团化企业内部审计信息化建设——以中石化集团为例[J].财会月刊,2017(4).[4]陈安,基于信息化时代企业内部审计体制的建设[J].江苏商论,2016(35).作者简介：金友良(1979-)，汉族，浙江绍兴人，会计中级职称，单位：绍兴兴业资产评估有限公司，主要从事事务所审计工作。Copyright©博看网 . All Rights Reserved.

工程技术　２００９　ＮＯ．０７　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　Ｉｎｎｏｖａ　＿Ｆ　浅谈企业信息系统的安全问题与防范措施　洪丹　（北京世纪坛医院计算机中心北京１　０００３８）　摘要：信息系统的高速发展，使得企业对计算机信息系统的依赖程度达到了空前的程度。但是企业在享受着信息系统带来的经济效益　的同时，也面临着巨大的风险。一旦信息系统受到攻击而瘫痪，整个企业就会陷入危机。特别是近年来世界范围内的计算机犯罪．黑　客入侵、病毒泛滥等问题，使得企业信息系统安全的脆弱性尽显无疑。因此，这就要求企业必须重新认识当前信息系统所面临的安全　威胁，并从中找到行之有效的安全防范措施。　关键词：企业信息系统　系统安全　威胁　防范措施　中图分类号：ｃ　２　９　文献标识码：Ａ　文章编号：１６７４—０９８ｘ（２００９）０３（ａ）－ｏ１　０７—０３　１信息系统安全问题概述　１９９４年２月１８日国务院发布了《中华　人民共和国计算机信息系统安全保护条　例》是我国政府颁布的关于计算机信息系　统安全保护的第一部专门法规。根据《条　例》，信息系统安全是指“保障计算机及其　相关的和配套的设备、设施（含网络）的安　全以及运行环境的安全，保障信息的安全，　保障计算机功能的正常发挥，以维持计算　机信息系统的安全运行”。从上述表述中　可以看出，信息系统的安全就是为了防范　意外或人为的破坏信息系统的运行，或非　法使用信息资源，维护正当的信息活动，保　证信息系统安全运行而采取的安全保护措　施。　从本质上讲，当今信息系统是一种基　于计算机系统和通信系统的十分复杂的现　代信息资源网络系统。其中计算机系统是　信息系统的核心，由软件和硬件组成，用以　完成对信息的自动处理过程；通信系统由　工作站、计算机网络和通信网络构成，可　以通过线路与计算机之间或通过线路与终　端设备之间进行数据传输。由于是基于计　算机和通信的系统，因此信息系统必然固　有其９大特征，即：系统开放性、资源共享　性、介质存储高密性、数据互访性、信息　聚生性、保密困难性、介质剩磁效应性、电　磁泄露性、通信网络的脆弱性。这些特性　都与信息系统的安全性密切相关，信息系　统的上述特性均对其安全构成了潜在的威　胁。这些特性如果被非法盗用，系统的资　源就将蒙受重大损失，直接关系到企业的　生死存亡。　２企业信息系统安全的现状　２００７年８月２６日，美国联邦航空局向外　界透露，该局一个航班排序中心的电脑系　统当天下午因故障而瘫痪，导致全国２０多　个机场出现航班延误。此前，黑客攻陷美　国国家安全部门信息系统，造成损失的报　道屡见报端。类似事件在我国也有发生。　某银行的信息终端出现问题，客户非法提　现，最终招致一场轰动全国的诉讼案件。　２００６年７月２６日，我国某国际机场离港系　统突然整体瘫痪，无法给旅客办理登机手　续。由此造成数十架次航班延误，数千人　滞留机场。统计数据表明，近年来，涉及信　息系统的违法犯罪活动在中国不断攀升，　黑客的攻击手法更是花样翻新，与以前出　现的攻击方法相比，更加智能化，攻击目标　直指互联网基础协议和操作系统层次。所　有这些层出不穷的事件和事故，都在向我　们预示，信息系统安全风险无时无处不在，　加强企业信息系统安全防范能力，已是刻　不容缓。　３企业信息系统面临的安全威胁　在信息系统实际应用过程中，威胁是　普遍存在的。威胁的描述性定义就是潜在　的安全隐患。个人计算机仅仅一个简易的　应用便可满足常规用户的需要，而企业的　信息系统一般要担当多个角色，为多个部　门提供服务，其中任何一个局部的隐患都　可能导致整体的安全性崩溃。正是由于企　业信息系统自身所固有这样的脆弱性，必　然会受到无数病毒与黑客的青睐。　目前企业信息系统的安全威胁主要有　以下几类：黑客的恶意攻击、病毒木马的　威胁、员工对网络的误用滥用。　（１）黑客的恶意攻击行为　对于利用互联网接入来开展业务或者　辅助工作的企业来说，黑客的恶意攻击行　为无疑是威胁最大、造成后果也最严重的　问题。来自竞争对手的幕后黑手，或者怨　恨公司的员工、心怀不满的顾客的报复　等，都可能出于不同目的对企业网络进行　攻击。此外，一种更恶毒的威胁一一网络　敲诈，正有逐渐上升的趋势。很多不法分　子利用病毒、木马、间谍软件，或者ｄｏｓ攻　击等方式，攻击企业网络，窃取破坏用户数　据，并以此作为向企业敲诈金钱的要胁，由　于企业普遍存在着网络安全环节薄弱的问　题，因此许多企业成为这种敲诈行为最大　的受害者。　（２）病毒木马的威胁　如今的互联网已经是一个病毒肆虐的　时代，几乎每天都有数百种新的病毒产生，　而在很多企业中，安全资源不足、ＩＴ设施　管理松散、员工安全意识不强等问题的存　在，更使企业的网络容易受到病毒、蠕虫、　木马等的危害，严重时甚至造成企业网络　瘫痪，导致业务无法开展。此外，间谍软　件，垃圾邮件，网络钓鱼，僵尸网络等也对　企业的网络安全带来了严重的威胁。　（３）员工对网络的误用滥用　在很多时候，企业的员工都会因为某　些不经意的行为对企业的信息资产造成破　坏。尤其是在中小企业中，员工的信息安　全意识往往相对比较落后，对于互联网上　存在的威胁往往缺乏足够的认识，而企业　的管理层对于网络的使用也没有很好的管　理手段。因此，员工对企业网络的误用滥　用行为常使安全情况更加恶化，误用滥用　网络带来了恶意攻击、感染病毒木马、企　业机密数据泄露、Ｐ２Ｐ下载导致网络带宽　不足、员工工作效率大幅下降等问题。　由此可见，企业信息系统的安全威胁　既有ＩＴ技术方面的问题，也有企业信息管　理自身的问题，两者应相互补充，缺一不　可　４企业信息系统运行安全策略　企业信息系统安全策略是企业信息系　统的最高方针，其作用是保证信息系统安　全有效的运行。信息安全策略应该简单明　了、通俗易懂，并形成书面文件，发给企业　内的所有人员，同时要对所有相关员工进　行信息安全培训，对信息安全负有特殊责　任的员工要进行特殊培训，是信息安全方　针真正根植于组织内所有员工的脑海中。　确定的组织安全策略是一个组织实现管理　安全措施和技术安全措施的前提，由此可　见，真正健全的企业信息系统安全策略应　该包括管理性安全策略和技术性安全策略　两大类：　管理性安全策略，指利用法制保证、　行政管理和其他措施防止安全事故的发　生。建立和完善安全管理规范和机制，切　实加强和落实安全管理制度，增强安全防　范意识。　技术性安全策略，指通过采取与系统　直接相关的技术手段防止安全事故的发　生。进行全面的安全漏洞检测和分析，针　对检测和分析的结果制定防范措施和完整　的解决方案。　与大多数人的想像相反，在信息系统　的安全保护策略中，技术性安全策略有时　候所占的比例反而相对较小，更多的是管　理性安全策略。信息系统的安全性并不仅　仅是简单的技术问题，只有与严格管理措　施相结合才是保证系统安全性与可靠性的　根本保障。两者之间是互相补充，彼此促　进、相辅相成的关系。　

浅谈IT审计风险构成及防范措施

IT审计是指对信息技术环境下的各种业务过程和信息系统进行全面审计的过程。随着信息技术的不断发展和普及，IT审计在企业中的重要性日益突出。IT审计也面临着种种风险，如果不及时加以防范和管理，可能会对企业的信息系统安全和业务运营带来严重影响。我们有必要深入了解IT审计风险构成及防范措施，以确保企业信息系统安全稳定运行。

一、IT审计风险构成

1.信息安全风险

信息安全是IT审计中最为重要的一环，它包括对信息系统的机密性、完整性和可用性进行审计。未经授权的数据访问、数据篡改、数据丢失等事件都可能会对企业造成严重影响。恶意软件、病毒攻击等也属于信息安全的范畴，这些都是IT审计中的重要风险。

2.合规性风险

在IT审计中，合规性风险指企业在信息技术环境下不能符合法规和标准的问题。包括但不限于数据隐私、网络安全法等国家法规和国际标准。如果企业的信息系统不能满足相关的规定，可能会面临巨大的合规风险，甚至承担法律责任。

3.运营风险

信息系统是企业运营的基础，如果信息系统发生严重故障或者停运，可能会对企业的生产和经营造成严重影响。IT审计需要关注系统的稳定性、可靠性和安全性，以防范运营风险。

4.技术风险

技术风险包括系统漏洞、软件缺陷、网络故障等。这些技术问题可能导致信息系统的不稳定和不安全，进而影响企业的正常运营。在IT审计中，需要重点关注技术风险，及时排查和治理系统存在的隐患。

5.管理风险

IT审计也需要关注企业的信息技术管理风险。管理风险包括对信息技术的规划、组织、指导、控制和监督，如果企业在这些方面存在缺陷和不足，可能会对信息系统的安全和稳定性产生负面影响。

1.建立完善的信息安全管理制度

信息安全管理制度是企业信息安全的基础，包括权限管理、访问控制、数据加密、日志审计等方面。企业需要建立完善的信息安全管理制度，并对其进行严格执行和监督。 2.定期进行安全漏洞扫描和修复

浅谈计算机技术在风险管理　

和金融监管中的利用　

刘骐源重庆邮电大学移通学院　重庆４０００６　５　

黄虹妮西南财经大学金融学院　四川Ｉ成都　６　１　１　１　３　０　

【文章摘要】　随着金融创新及金融电子化的发　展，计算机在金融中的运用也愈加普　遍，特别是其在风险管理和金融监管中　发挥着重要的作用。同时我们可以看　到，金融行业中的风险也是不可避免　的，但是，我们可以运用计算机技术通　过一定的方式对其进行适当的防控。　

【关键词】　计算机技术；金融电子化；金融监管　金融创新；金融风险　

在科学技术飞速发展的今天，计算机　

技术在各金融部门得到了广泛的普及和应　用，并取得了显著的经济效益和社会效益。　

充分发挥计算机技术的作用，利用计算机　技术防范金融风险、加强金融监管，无疑　

是金融业存信息时代　塞发展的情况下的　

正确选择。而且国内外很多金融机构已经　

开始尝试利用计算机技术建立防范金融风　

险机制，并且取得了良好的效果。　

一、商业银行应有效利用计算机技　

术管理风险　

１、利用计算机技术有效地防范金融机构　

决策的风险　在此以贷款可仃性分析为例。银仃可　以以人民银行和各商业银行制定的《贷款　

通９１ｌＪ和贷款实施细则》为依据，综合考虑　

借款个体的经济实力、资产结构、疆约情　况和发展前景等因素，对各项指标加以量　

化，编写出一套“计算机信贷决策系统”　

软件。从而使我们可利用计算机进行定量　

分析、动态分析，科学地评定借款人的信　

用等级，客观地测定贷款项目的风险度，　

精确地计算放款资金的收益率。计算机技　术的有效利用将起到防范贷款风险的作　

用。　２　利用计算机技术有效地防范金融机构　

运行的风险　在我国的银行业中普遍存在运行风　

险。目前我国银行业由银联机构为枢纽，　

基本上建立了覆盖范围较为广泛的网络系　

统。通过这个系统，客户可以实现转账、查　询、支付等一系列活动。在银仃业网络运　

行过程中，有可能　现冈为外部侵害和系　统内部问题所导致的瘫痪，从而影响银行