基于COBIT的銀行IS控制構(gòu)建論文
【摘要】隨著我國金融業(yè)信息化程度的不斷提高，商業(yè)銀行信息系統(tǒng)安全性、穩(wěn)定性以及效益性顯得尤為重要。文章基于IT治理視角，合理借鑒COBIT（信息及相關技術控制目標）標準中有關信息系統(tǒng)控制目標體系構(gòu)建的基本思路，結(jié)合對我國商業(yè)銀行信息系統(tǒng)運行背景的分析，初步構(gòu)建了符合我國實際的商業(yè)銀行信息系統(tǒng)控制框架，并進一步提出信息系統(tǒng)控制實踐中的“三維整體性”概念。
【關鍵詞】COBIT；IT治理；IS控制
一、引言
隨著我國金融信息化程度的不斷提高，銀行業(yè)逐漸成為國民經(jīng)濟中信息技術應用最密集、應用水平最高的行業(yè)之一。
國內(nèi)外大量實踐表明，隨著信息技術在銀行業(yè)的綜合應用，商業(yè)銀行信息系統(tǒng)的安全及運行效率等問題將面臨更多挑戰(zhàn)，由于系統(tǒng)運行失效而導致的負面影響也不斷增加。與商業(yè)銀行信息化的迅速發(fā)展相反，我國至今尚未對信息化過程中出現(xiàn)的各類問題給予足夠重視并實施有效監(jiān)管，對商業(yè)銀行信息系統(tǒng)運行的相關監(jiān)管標準也基本上屬于空白。為此，有必要深入關注商業(yè)銀行的IT治理問題，從商業(yè)銀行信息系統(tǒng)“整體”出發(fā)，構(gòu)建一整套控制框架，一方面使商業(yè)銀行的IT治理戰(zhàn)略充分體現(xiàn)其商業(yè)戰(zhàn)略目標，另一方面有效地對商業(yè)銀行信息系統(tǒng)存在的風險和運行質(zhì)量進行量化預測和評價，從而盡可能降低信息系統(tǒng)風險、提高系統(tǒng)安全水平與運行效率，并進一步提升商業(yè)銀行的整體競爭力。
二、信息系統(tǒng)控制原理及COBIT標準解讀
（一）信息系統(tǒng)控制原理
信息系統(tǒng)控制涉及組織的IT運營效率、風險管理、系統(tǒng)安全、業(yè)務連續(xù)性、系統(tǒng)完整性、規(guī)章依從性以及價值創(chuàng)造等多方面的內(nèi)容。如何最大限度地降低信息技術對業(yè)務的負面影響，信息系統(tǒng)如何充分為企業(yè)戰(zhàn)略目標服務，如何獲得IT價值最大化，是每個企業(yè)都必須要直接面對的信息系統(tǒng)安全與IT治理問題。
基于IT治理的理論視角，筆者認為，信息系統(tǒng)控制應當是一系列管理、規(guī)劃、績效報告及流程審查過程的集合。企業(yè)信息化進程中面臨的一個關鍵挑戰(zhàn)就是：組織對IT治理的需求達到了什么程度，什么情況下才算充分。信息系統(tǒng)控制目標的實現(xiàn)及相關控制實踐活動的實施，更需要有專業(yè)而適用的標準指南進行指導。目前國際上流行的信息系統(tǒng)控制相關標準/最佳實踐有十余種之多，如COBIT、COSO、ITIL、ISO/IEC17799、ISO/IEC TR13335、PRINCE2、PMBOK、Tic kIT、TOGAF8.1等，它們涉及的領域、范圍及深度各有不同。
�。ǘ〤OBIT標準及其應用解讀
與其他控制標準相比，國際信息系統(tǒng)審計與控制協(xié)會（ISACA）面向全球公開發(fā)布的COBIT（信息及相關技術控制目標）標準無論在應用范圍的廣度、技術深度、靈活性、適用性以及標準兼容性等方面都凸顯優(yōu)勢，它提供了一套權(quán)威的、全球通用的標準體系，旨在規(guī)范并提高IT治理水平、有效防范控制風險以及增加信息技術價值等。
COBIT標準體系的構(gòu)建最初出發(fā)點來源于公司治理與內(nèi)部控制視角，它接受并遵循COSO報告關于內(nèi)部控制框架的指導思想，實現(xiàn)了企業(yè)目標與IT治理目標的有機統(tǒng)一，同時借鑒CMM的'能力成熟度模型，并以此為“基準”來衡量IT控制和績效水平�；趯嵺`過程的需要，COBIT控制目標體系從組織的商業(yè)需求出發(fā)，整合IT資源，通過執(zhí)行一系列IT流程及相關測評活動來傳遞企業(yè)信息，以滿足商業(yè)需求�？紤]到COBIT標準應用中的靈活性和可操作性，本文將標準原有的“立方體”式理論模型重新整合劃分為三大功能模塊，即“控制活動、流程設計模塊”、“系統(tǒng)評價模塊”和“信息系統(tǒng)審計模塊”，如圖1所示，從而更進一步突出反映COBIT控制目標體系的功能性和實踐路徑。
考慮到COBIT標準在國內(nèi)商業(yè)銀行特定信息系統(tǒng)運行環(huán)境下的適用性和實用性，本文對我國商業(yè)銀行信息系統(tǒng)控制存在的主要問題和特定要求進行逐一分析，據(jù)以提出銀行信息系統(tǒng)控制目標，進而初步構(gòu)建我國商業(yè)銀行信息系統(tǒng)控制框架體系。
三、商業(yè)銀行信息系統(tǒng)控制框架初建
�。ㄒ唬┪覈虡I(yè)銀行信息系統(tǒng)控制缺陷分析及控制目標設定
商業(yè)銀行信息技術和信息系統(tǒng)控制主要是指對商業(yè)銀行通過實施信息技術工作過程的控制目標和相關控制活動，對信息技術和系統(tǒng)風險進行有效識別和實時監(jiān)控，保證系統(tǒng)的安全高效運行和過程改進，從而為商業(yè)銀行各項業(yè)務活動、管理活動和支持活動提供有效、安全、可靠的信息技術服務。目前，我國商業(yè)銀行信息系統(tǒng)控制主要存在以下幾方面問題：首先是IT監(jiān)管風險問題。商業(yè)銀行信息系統(tǒng)自身的安全性、可靠性及有效性等直接關系到整個銀行業(yè)的安全，乃至整個金融系統(tǒng)的穩(wěn)定性，應當執(zhí)行一整套信息系統(tǒng)評估機制，提升并完善IT組織職能，加強IT審計的實施效力和效果，健全IT治理架構(gòu)等。
其次是IT決策效率低下問題。效率低下是IT決策風險的集中體現(xiàn)，具體表現(xiàn)在以下三個方面：一是對項目建設、軟件費用等大多采用一事一議，缺乏全局考慮和控制；二是缺乏授權(quán)機制。三是IT基礎資源的分配缺乏決策流程，精細化管理程度不高。
再次是IT規(guī)劃與框架的不完善，甚至缺失。目前各大商業(yè)銀行通常由總行科技部門負責全行的IT規(guī)劃和IT架構(gòu)制定，而對事業(yè)部門自身的IT規(guī)劃和IT架構(gòu)如何與總行實現(xiàn)有機對接，并無合理的制度性安排，從而存在IT失控的危險。
最后是IT評價機制的無規(guī)性和無序性�，F(xiàn)階段，我國商業(yè)銀行系統(tǒng)雖然已經(jīng)開始逐步認識到IT治理結(jié)構(gòu)的制度建設，但仍然忽略了IT評價機制的構(gòu)建，甚至尚未認識到信息系統(tǒng)評價、監(jiān)督的重要作用。
綜合以上分析，當前我國商業(yè)銀行信息系統(tǒng)運行總體目標主要應當關注以下四個方面：在財務系統(tǒng)控制方面，應特別關注信息技術相關風險的管理，盡可能避免因系統(tǒng)缺陷或是人為操縱所致的系統(tǒng)風險、差錯甚至災難；在銀行業(yè)務系統(tǒng)控制方面，首先應當確保實現(xiàn)各類金融服務的連續(xù)性和可獲得性，并密切關注金融市場環(huán)境和經(jīng)濟法律環(huán)境的變化，對其作出靈敏反應，在實現(xiàn)相關金融服務目標的同時，還應考慮成本最優(yōu)化原則；在銀行內(nèi)部管理系統(tǒng)控制方面，除了要確保制度設計、政策制定符合內(nèi)部、外部合規(guī)性，還要不斷提高銀行的運營效率和職員的工作績效；在商業(yè)銀行組織自身的學習與成長性方面，主要應當關注對技術型、進取型人才的獲得和留用。由此初步確定了我國商業(yè)銀行信息系統(tǒng)控制目標體系整體框架構(gòu)建的第一步———確定商業(yè)銀行信息系統(tǒng)總體運行目標，并據(jù)以確定相應的IT目標。
�。ǘ┗贑OBIT的商業(yè)銀行信息系統(tǒng)控制框架設計及應用解析
在前文研究的基礎上，筆者進一步構(gòu)建我國商業(yè)銀行信息系統(tǒng)控制整體框架，如圖2所示。如圖2所示，我國商業(yè)銀行信息系統(tǒng)控制從商業(yè)銀行組織的總體戰(zhàn)略目標出發(fā)，先確定銀行信息系統(tǒng)運行總體目標，對總目標進行分析、分解，具體確定與之相關的IT目標，實現(xiàn)系統(tǒng)總體目標對IT目標的需求指導，以及IT目標對總體目標的執(zhí)行反饋，這就是圖示框架的第一環(huán)節(jié)———目標導向。
在“流程分解”環(huán)節(jié)，需要根據(jù)“目標導向”環(huán)節(jié)確定的IT目標，對應選擇目標實現(xiàn)所需要的IT流程。這些流程可能覆蓋“系統(tǒng)規(guī)劃”、“系統(tǒng)運行”、“環(huán)境支持”以及“監(jiān)督評價”四個關鍵環(huán)節(jié)中的一個或幾個，流程選擇的基本原則就是將IT目標進一步細分，考慮該目標實現(xiàn)所需要的來自各環(huán)節(jié)的IT支持，再將這些技術支持要素轉(zhuǎn)化為具體可執(zhí)行的IT流程。針對每一個選定的流程，還需要進一步確定各流程的定義、范圍、要素、主要目的、實現(xiàn)途徑、關鍵測度指標等，同時考慮與之相關聯(lián)流程，特別是前后相流程間的結(jié)果影響。
在對特定IT流程作出明確規(guī)劃設計之后，信息系統(tǒng)控制進入“控制設計”環(huán)節(jié)，這里主要涉及三方面工作，一是針對某個既定IT流程，進一步細分確定該流程的若干個具體控制目標，這些目標應當能夠完整可靠支持該流程的運行，進而支持流程執(zhí)行所承擔的相應IT目標的實現(xiàn)；二是根據(jù)這些控制目標導向要求，再將IT流程分解成為一系列具體的控制活動，這些控制活動不只是概念上的定義，而是直接可操作的具體工作或任務，它們是信息系統(tǒng)控制實施的最小工作單元；三是對這些具體控制活動作出明確的權(quán)責界定，分清各項活動由誰負責執(zhí)行，由誰負責就活動詳情作出解釋，活動執(zhí)行的結(jié)果由誰承擔責任，以及執(zhí)行情況應當向誰報告等，從而確保控制活動及整個IT流程實施的效力和效率。根據(jù)控制活動的執(zhí)行情況，匯總得到IT流程的整體運行結(jié)果，而后進入“系統(tǒng)評價”環(huán)節(jié)。該環(huán)節(jié)需要分別針對控制活動、IT流程和IT目標設定評價量化的指標體系，并根據(jù)系統(tǒng)具體情況，參照相關行業(yè)標準，設定指標評價的參考值�；诳刂苹顒訉嵤┑慕Y(jié)果進行測定，進行流程績效評價，并根據(jù)績效評價的結(jié)果，參照各流程成熟度分級評分標準，對流程進行成熟度評分考核，而后綜合各流程評分結(jié)果及權(quán)重系數(shù)，得到對信息系統(tǒng)整體運行的考核結(jié)果，由此完成量化評價過程。最后綜合所有定性、定量評價結(jié)果，逐一對控制活動、IT流程、IT運行環(huán)節(jié)的運行作出評定，進一步分析檢驗控制目標、IT目標，直至系統(tǒng)運行總體目標的實現(xiàn)情況。
四、研究結(jié)論
本文基于IT治理視角研究信息系統(tǒng)控制問題，合理吸收借鑒了COBIT標準中有關信息系統(tǒng)控制目標體系構(gòu)建的基本思路，結(jié)合對我國商業(yè)銀行信息系統(tǒng)運行環(huán)境的基本特征和主要控制缺陷的分析研究，構(gòu)建起一套符合我國商業(yè)銀行信息系統(tǒng)控制框架。該控制框架涉及“目標導向”、“流程分解”、“控制設計”以及“系統(tǒng)評價”四個組成部分，它基于對商業(yè)銀行信息系統(tǒng)“整體”的考慮，完整覆蓋了本文提出的信息系統(tǒng)控制實施的五個核心域，揭示了信息系統(tǒng)控制從目標分析、分解，到流程選擇、活動安排，再到系統(tǒng)績效評價全過程的實踐途徑，對我國商業(yè)銀行信息系統(tǒng)控制實踐具有一定指導意義。
研究發(fā)現(xiàn)，我國商業(yè)銀行信息系統(tǒng)控制的實施體現(xiàn)著一個“三維”結(jié)構(gòu)的“整體”，具體表現(xiàn)為“系統(tǒng)———控制域———行業(yè)背景與組織戰(zhàn)略”。它不僅包括信息系統(tǒng)的“整體性”、控制域的“整體性”，以及商業(yè)銀行特定行業(yè)背景及組織戰(zhàn)略規(guī)劃的“整體性”，更包括三方面作為一個有機體的“整體性”。這三個“維度”相互影響、相互制約、相互促進，共同支撐起信息系統(tǒng)控制框架體系。以我國商業(yè)銀行信息系統(tǒng)環(huán)境為背景的信息系統(tǒng)控制框架的構(gòu)建和實施，也應當基于這一“三維整體性”概念的考慮。此外，這一概念也可推廣至其他行業(yè)、企業(yè)、組織等不同環(huán)境下的信息系統(tǒng)控制研究和實踐，具有廣泛的適用性和后續(xù)研究價值。
【參考文獻】
［1］胡曉明.基于信息時代的IS審計若
干問題探討［J］.當代財經(jīng)，2006（2）：125-128.
�。�2］胡曉明，林娟.COBIT4.0：解讀與啟示［J］.科技管理研究，2007（11）：243-245.
［3］金文，張金城.基于COBIT的信息系統(tǒng)管理、控制與審計的模型構(gòu)建研究［J］.審計研究，2005（4）.
�。�4］唐志武.商業(yè)銀行業(yè)IT建設與內(nèi)部控制機制的研究［J］.現(xiàn)代情報，2006（6）：204-205.
�。�5］許莉.IT環(huán)境下商業(yè)銀行內(nèi)部控制思考［J］.中國管理信息化，2005（8）：52-55.
�。�6］ITGI.COBIT 4.1［M/OL］.www.isaca.org.
【基于COBIT的銀行IS控制構(gòu)建論文】相關文章：
談談如何構(gòu)建語文新課堂(蘇教版教學論文)12-06
構(gòu)建活動德育模式實現(xiàn)德育中人的回歸 德育論文12-05
構(gòu)建和諧課堂,提高課堂效率(蘇教版必修教學論文)12-06
構(gòu)建主題模式，打造有效閱讀(魯教版選修教學論文)12-06
建設特色班級構(gòu)建和諧學校---說說我的班級管理(教學論文)12-06