【南京】5月28-30日丨关于开展《商业银行信息科技风险专项审计》高级研修班通知

第一天：治理与安全管理审计

模块一：信息科技风险审计概述

 信息科技风险形势与案例导入

1. 近年银行业信息科技风险典型案例分析（安全性事件、连续性事件）

2. 信息科技风险的定义、特点与成因分析

 监管政策解读（重点：银行业）

1. 《银行保险机构操作风险管理办法》（2024 年 7 月实施）核心要点

2. 《银行业 IT 风险管理指引》关键条款解读

3. 《商业银行数据中心监管指引》合规要求

4. 网络安全法、网络安全等级保护制度要求

5. 数据安全法对银行业的影响与合规要求

 信息科技审计标准与方法论

1. COBIT 2019 框架及其在审计中的应用

2. ISO 27001:2022 信息安全管理体系标准

3. ISO 22301 业务连续性管理体系

4. ITIL 4 服务管理框架

 实训环节：监管政策对标练习

——分组讨论：对照监管要求，识别本行信息科技管理的潜在风险点

模块二：信息科技治理审计

 组织架构与职责分工审计

1. 信息科技“三道防线”建设情况评估

2. 董事会、高管层、信息科技委员会履职情况

3. 信息科技部门设置与岗位配置合理性

4. 人员配备与关键岗位分离情况

 制度流程与执行情况审计

1. 信息科技管理制度体系的完整性评估

2. 制度执行有效性测试方法

3. 信息科技战略规划与业务战略匹配度

 信息科技风险管理机制

1. 信息科技风险识别、评估与监测流程

2. 风险报告路径与管理层响应机制

3. 关键风险指标（KRI）设定与监控

 实训环节：治理审计访谈模拟

——模拟对信息科技部门负责人的访谈，设计访谈提纲

模块三：信息安全管理审计——数据与网络安全

 数据安全管理审计

1. 数据安全组织架构

(1) 数据安全管理部门设置与职责划分

(2) 数据所有者、数据管理者、数据使用者的角色界定

2. 数据全生命周期安全控制

(1) 数据采集：合法合规性、最小必要原则

(2) 数据传输：加密措施、传输通道安全

(3) 数据存储：存储介质安全、加密存储要求

(4) 数据使用与处理：访问控制、脱敏规则

(5) 数据交换与共享：审批流程、安全协议

(6) 数据备份与恢复：备份策略、恢复测试

(7) 数据销毁：销毁流程与审计记录

3. 数据分类分级审计

(1) 数据资产识别与分类方法的合理性

(2) 不同级别数据的差异化控制措施

 网络安全管理审计

1. 网络安全管理制度执行情况评估

2. 网络分区与隔离控制：生产网、开发网、办公网分离

3. 边界防护设备配置与策略审计（防火墙、入侵检测）

4. 网络配置管理与备份机制

5. 网络访问控制策略合理性评估

模块四：信息安全管理审计——终端与机房安全

 终端安全管理审计

1. 终端用户与 IT 人员安全职责管理

2. 身份认证管理：多因素认证、密码策略

3. 终端设备网络接入控制机制

4. 防病毒软件部署与更新管理

5. 移动设备管理与远程办公安全

 机房安全管理审计

1. 电源系统：UPS 配置、备用发电机测试记录

2. 环境监控：温湿度监控、空调系统运行

3. 安防系统：门禁控制、视频监控覆盖与保存

4. 消防系统：灭火设备配置与检测记录

5. 各类日志：采集完整性、存储期限、分析机制

 4.3 实训环节：安全检查表编制演练

——以机房安全为例，编制现场检查清单

第二天：运维、开发、外包审计与实务技能

模块五：运维管理与业务连续性审计

 运维管理审计

1. 运维管理制度建设与执行情况

2. 监控体系建设：系统性能监控、应用运行状态监控

3. 预警值设置的合理性评估

4. 日常巡检执行情况：巡检记录、异常分析

5. 系统性能问题发现与处理时效

6. 安全补丁管理机制与更新记录

7. 系统日志异常监控与报告机制

 业务连续性管理审计

1. 业务影响分析（BIA）开展情况

2. 重要业务 RTO、RPO 设定值与合理性评估

3. 灾备机房建设情况：同步模式、切换能力

4. 应急预案编制与维护：完整性、可执行性

5. 应急演练：演练频次、演练效果评估、整改跟踪

6. 中断处置与危机管理机制

 实训环节：灾备切换演练审计

——案例分析：某银行灾备切换演练的审计关注点

模块六：信息系统开发管理审计

 项目管理审计

1. 项目立项程序合规性评估

2. 预算控制机制与执行偏差分析

3. 自主开发系统与现有系统功能重复性检查

4. 项目管理过程文档完整性

 开发安全管理审计

1. 源代码泄露风险防控措施

2. 源代码审计执行情况

3. 开发专网隔离管控：开发、测试、生产环境分离

4. 第三方组件与开源软件安全管理

 测试与上线管理审计

1. 系统开发与测试流程管理

2. 测试环境与数据管理（测试数据脱敏）

3. 上线前代码审计执行情况

4. 上线审批流程与变更管理

 系统后评价审计

1. 后评价机制建设情况

2. 系统利用率、用户满意度评估

模块七：外包服务管理审计

 服务商监管审计

1. 外包管理机制建设情况

2. 外包商准入评估流程与标准

3. 外包风险评估方法

4. 外包安全责任划分与合同条款

5. 外包监督与定期评价机制

 服务要求落实审计

1. 外包商数据安全保护义务与追责条款明确性

2. 开发测试人员安全培训记录

3. 第三方软件（含开源软件）使用范围与风险评估

4. 外包人员访问权限管理

 实训环节：外包合同条款审查

——现场审查外包合同范本，识别数据安全条款缺陷

模块八：审计实务与报告撰写

 风险导向的审计方法

1. 风险评估与审计计划制定的衔接

2. 审计范围确定与抽样方法

3. 信息系统审计常用技术方法

4. 系统测试法、整体检查法、平行模拟法

5. 计算机辅助审计技术（CAATs）应用

6. 持续审计方法

 审计证据收集与工作底稿编制

1. 审计证据的充分性、相关性、可靠性要求

2. 审计取证单填写规范

3. 工作底稿的结构与归档要求

 审计发现描述与问题定性

1. 审计发现的标准描述框架（条件、准则、原因、影响）

2. 问题严重程度判定标准

3. 审计发现清单编制方法

 审计报告撰写与沟通

1. 报告结构：审计概况、审计发现、风险分析、审计建议

2. 审计建议的针对性、可操作性要求

3. 与被审计单位的沟通策略

 课程总结与考核

1. 关键知识点回顾

2. 案例综合演练：根据审计发现编写审计报告摘要

附：

1. 培训课件（含案例资料）

2. 审工作底稿模板、检查表范本

3. 监管政策汇编（银行业信息科技相关）

4. 模拟案例数据集

5. 《商银行信息科技专项审计实施方案》