基于COBIT的銀行IS控制構(gòu)建論文
【摘要】隨著我國(guó)金融業(yè)信息化程度的不斷提高，商業(yè)銀行信息系統(tǒng)安全性、穩(wěn)定性以及效益性顯得尤為重要。文章基于IT治理視角，合理借鑒COBIT（信息及相關(guān)技術(shù)控制目標(biāo)）標(biāo)準(zhǔn)中有關(guān)信息系統(tǒng)控制目標(biāo)體系構(gòu)建的基本思路，結(jié)合對(duì)我國(guó)商業(yè)銀行信息系統(tǒng)運(yùn)行背景的分析，初步構(gòu)建了符合我國(guó)實(shí)際的商業(yè)銀行信息系統(tǒng)控制框架，并進(jìn)一步提出信息系統(tǒng)控制實(shí)踐中的“三維整體性”概念。
【關(guān)鍵詞】COBIT；IT治理；IS控制
一、引言
隨著我國(guó)金融信息化程度的不斷提高，銀行業(yè)逐漸成為國(guó)民經(jīng)濟(jì)中信息技術(shù)應(yīng)用最密集、應(yīng)用水平最高的行業(yè)之一。
國(guó)內(nèi)外大量實(shí)踐表明，隨著信息技術(shù)在銀行業(yè)的綜合應(yīng)用，商業(yè)銀行信息系統(tǒng)的安全及運(yùn)行效率等問(wèn)題將面臨更多挑戰(zhàn)，由于系統(tǒng)運(yùn)行失效而導(dǎo)致的負(fù)面影響也不斷增加。與商業(yè)銀行信息化的迅速發(fā)展相反，我國(guó)至今尚未對(duì)信息化過(guò)程中出現(xiàn)的各類問(wèn)題給予足夠重視并實(shí)施有效監(jiān)管，對(duì)商業(yè)銀行信息系統(tǒng)運(yùn)行的相關(guān)監(jiān)管標(biāo)準(zhǔn)也基本上屬于空白。為此，有必要深入關(guān)注商業(yè)銀行的IT治理問(wèn)題，從商業(yè)銀行信息系統(tǒng)“整體”出發(fā)，構(gòu)建一整套控制框架，一方面使商業(yè)銀行的IT治理戰(zhàn)略充分體現(xiàn)其商業(yè)戰(zhàn)略目標(biāo)，另一方面有效地對(duì)商業(yè)銀行信息系統(tǒng)存在的風(fēng)險(xiǎn)和運(yùn)行質(zhì)量進(jìn)行量化預(yù)測(cè)和評(píng)價(jià)，從而盡可能降低信息系統(tǒng)風(fēng)險(xiǎn)、提高系統(tǒng)安全水平與運(yùn)行效率，并進(jìn)一步提升商業(yè)銀行的整體競(jìng)爭(zhēng)力。
二、信息系統(tǒng)控制原理及COBIT標(biāo)準(zhǔn)解讀
（一）信息系統(tǒng)控制原理
信息系統(tǒng)控制涉及組織的IT運(yùn)營(yíng)效率、風(fēng)險(xiǎn)管理、系統(tǒng)安全、業(yè)務(wù)連續(xù)性、系統(tǒng)完整性、規(guī)章依從性以及價(jià)值創(chuàng)造等多方面的內(nèi)容。如何最大限度地降低信息技術(shù)對(duì)業(yè)務(wù)的負(fù)面影響，信息系統(tǒng)如何充分為企業(yè)戰(zhàn)略目標(biāo)服務(wù)，如何獲得IT價(jià)值最大化，是每個(gè)企業(yè)都必須要直接面對(duì)的信息系統(tǒng)安全與IT治理問(wèn)題。
基于IT治理的理論視角，筆者認(rèn)為，信息系統(tǒng)控制應(yīng)當(dāng)是一系列管理、規(guī)劃、績(jī)效報(bào)告及流程審查過(guò)程的集合。企業(yè)信息化進(jìn)程中面臨的一個(gè)關(guān)鍵挑戰(zhàn)就是：組織對(duì)IT治理的需求達(dá)到了什么程度，什么情況下才算充分。信息系統(tǒng)控制目標(biāo)的實(shí)現(xiàn)及相關(guān)控制實(shí)踐活動(dòng)的實(shí)施，更需要有專業(yè)而適用的標(biāo)準(zhǔn)指南進(jìn)行指導(dǎo)。目前國(guó)際上流行的信息系統(tǒng)控制相關(guān)標(biāo)準(zhǔn)/最佳實(shí)踐有十余種之多，如COBIT、COSO、ITIL、ISO/IEC17799、ISO/IEC TR13335、PRINCE2、PMBOK、Tic kIT、TOGAF8.1等，它們涉及的領(lǐng)域、范圍及深度各有不同。
（二）COBIT標(biāo)準(zhǔn)及其應(yīng)用解讀
與其他控制標(biāo)準(zhǔn)相比，國(guó)際信息系統(tǒng)審計(jì)與控制協(xié)會(huì)（ISACA）面向全球公開(kāi)發(fā)布的COBIT（信息及相關(guān)技術(shù)控制目標(biāo)）標(biāo)準(zhǔn)無(wú)論在應(yīng)用范圍的廣度、技術(shù)深度、靈活性、適用性以及標(biāo)準(zhǔn)兼容性等方面都凸顯優(yōu)勢(shì)，它提供了一套權(quán)威的、全球通用的標(biāo)準(zhǔn)體系，旨在規(guī)范并提高IT治理水平、有效防范控制風(fēng)險(xiǎn)以及增加信息技術(shù)價(jià)值等。
COBIT標(biāo)準(zhǔn)體系的構(gòu)建最初出發(fā)點(diǎn)來(lái)源于公司治理與內(nèi)部控制視角，它接受并遵循COSO報(bào)告關(guān)于內(nèi)部控制框架的指導(dǎo)思想，實(shí)現(xiàn)了企業(yè)目標(biāo)與IT治理目標(biāo)的有機(jī)統(tǒng)一，同時(shí)借鑒CMM的'能力成熟度模型，并以此為“基準(zhǔn)”來(lái)衡量IT控制和績(jī)效水平。基于實(shí)踐過(guò)程的需要，COBIT控制目標(biāo)體系從組織的商業(yè)需求出發(fā)，整合IT資源，通過(guò)執(zhí)行一系列IT流程及相關(guān)測(cè)評(píng)活動(dòng)來(lái)傳遞企業(yè)信息，以滿足商業(yè)需求。考慮到COBIT標(biāo)準(zhǔn)應(yīng)用中的靈活性和可操作性，本文將標(biāo)準(zhǔn)原有的“立方體”式理論模型重新整合劃分為三大功能模塊，即“控制活動(dòng)、流程設(shè)計(jì)模塊”、“系統(tǒng)評(píng)價(jià)模塊”和“信息系統(tǒng)審計(jì)模塊”，如圖1所示，從而更進(jìn)一步突出反映COBIT控制目標(biāo)體系的功能性和實(shí)踐路徑。
考慮到COBIT標(biāo)準(zhǔn)在國(guó)內(nèi)商業(yè)銀行特定信息系統(tǒng)運(yùn)行環(huán)境下的適用性和實(shí)用性，本文對(duì)我國(guó)商業(yè)銀行信息系統(tǒng)控制存在的主要問(wèn)題和特定要求進(jìn)行逐一分析，據(jù)以提出銀行信息系統(tǒng)控制目標(biāo)，進(jìn)而初步構(gòu)建我國(guó)商業(yè)銀行信息系統(tǒng)控制框架體系。
三、商業(yè)銀行信息系統(tǒng)控制框架初建
（一）我國(guó)商業(yè)銀行信息系統(tǒng)控制缺陷分析及控制目標(biāo)設(shè)定
商業(yè)銀行信息技術(shù)和信息系統(tǒng)控制主要是指對(duì)商業(yè)銀行通過(guò)實(shí)施信息技術(shù)工作過(guò)程的控制目標(biāo)和相關(guān)控制活動(dòng)，對(duì)信息技術(shù)和系統(tǒng)風(fēng)險(xiǎn)進(jìn)行有效識(shí)別和實(shí)時(shí)監(jiān)控，保證系統(tǒng)的安全高效運(yùn)行和過(guò)程改進(jìn)，從而為商業(yè)銀行各項(xiàng)業(yè)務(wù)活動(dòng)、管理活動(dòng)和支持活動(dòng)提供有效、安全、可靠的信息技術(shù)服務(wù)。目前，我國(guó)商業(yè)銀行信息系統(tǒng)控制主要存在以下幾方面問(wèn)題：首先是IT監(jiān)管風(fēng)險(xiǎn)問(wèn)題。商業(yè)銀行信息系統(tǒng)自身的安全性、可靠性及有效性等直接關(guān)系到整個(gè)銀行業(yè)的安全，乃至整個(gè)金融系統(tǒng)的穩(wěn)定性，應(yīng)當(dāng)執(zhí)行一整套信息系統(tǒng)評(píng)估機(jī)制，提升并完善IT組織職能，加強(qiáng)IT審計(jì)的實(shí)施效力和效果，健全I(xiàn)T治理架構(gòu)等。
其次是IT決策效率低下問(wèn)題。效率低下是IT決策風(fēng)險(xiǎn)的集中體現(xiàn)，具體表現(xiàn)在以下三個(gè)方面：一是對(duì)項(xiàng)目建設(shè)、軟件費(fèi)用等大多采用一事一議，缺乏全局考慮和控制；二是缺乏授權(quán)機(jī)制。三是IT基礎(chǔ)資源的分配缺乏決策流程，精細(xì)化管理程度不高。
再次是IT規(guī)劃與框架的不完善，甚至缺失。目前各大商業(yè)銀行通常由總行科技部門負(fù)責(zé)全行的IT規(guī)劃和IT架構(gòu)制定，而對(duì)事業(yè)部門自身的IT規(guī)劃和IT架構(gòu)如何與總行實(shí)現(xiàn)有機(jī)對(duì)接，并無(wú)合理的制度性安排，從而存在IT失控的危險(xiǎn)。
最后是IT評(píng)價(jià)機(jī)制的無(wú)規(guī)性和無(wú)序性。現(xiàn)階段，我國(guó)商業(yè)銀行系統(tǒng)雖然已經(jīng)開(kāi)始逐步認(rèn)識(shí)到IT治理結(jié)構(gòu)的制度建設(shè)，但仍然忽略了IT評(píng)價(jià)機(jī)制的構(gòu)建，甚至尚未認(rèn)識(shí)到信息系統(tǒng)評(píng)價(jià)、監(jiān)督的重要作用。
綜合以上分析，當(dāng)前我國(guó)商業(yè)銀行信息系統(tǒng)運(yùn)行總體目標(biāo)主要應(yīng)當(dāng)關(guān)注以下四個(gè)方面：在財(cái)務(wù)系統(tǒng)控制方面，應(yīng)特別關(guān)注信息技術(shù)相關(guān)風(fēng)險(xiǎn)的管理，盡可能避免因系統(tǒng)缺陷或是人為操縱所致的系統(tǒng)風(fēng)險(xiǎn)、差錯(cuò)甚至災(zāi)難；在銀行業(yè)務(wù)系統(tǒng)控制方面，首先應(yīng)當(dāng)確保實(shí)現(xiàn)各類金融服務(wù)的連續(xù)性和可獲得性，并密切關(guān)注金融市場(chǎng)環(huán)境和經(jīng)濟(jì)法律環(huán)境的變化，對(duì)其作出靈敏反應(yīng)，在實(shí)現(xiàn)相關(guān)金融服務(wù)目標(biāo)的同時(shí)，還應(yīng)考慮成本最優(yōu)化原則；在銀行內(nèi)部管理系統(tǒng)控制方面，除了要確保制度設(shè)計(jì)、政策制定符合內(nèi)部、外部合規(guī)性，還要不斷提高銀行的運(yùn)營(yíng)效率和職員的工作績(jī)效；在商業(yè)銀行組織自身的學(xué)習(xí)與成長(zhǎng)性方面，主要應(yīng)當(dāng)關(guān)注對(duì)技術(shù)型、進(jìn)取型人才的獲得和留用。由此初步確定了我國(guó)商業(yè)銀行信息系統(tǒng)控制目標(biāo)體系整體框架構(gòu)建的第一步———確定商業(yè)銀行信息系統(tǒng)總體運(yùn)行目標(biāo)，并據(jù)以確定相應(yīng)的IT目標(biāo)。
（二）基于COBIT的商業(yè)銀行信息系統(tǒng)控制框架設(shè)計(jì)及應(yīng)用解析
在前文研究的基礎(chǔ)上，筆者進(jìn)一步構(gòu)建我國(guó)商業(yè)銀行信息系統(tǒng)控制整體框架，如圖2所示。如圖2所示，我國(guó)商業(yè)銀行信息系統(tǒng)控制從商業(yè)銀行組織的總體戰(zhàn)略目標(biāo)出發(fā)，先確定銀行信息系統(tǒng)運(yùn)行總體目標(biāo)，對(duì)總目標(biāo)進(jìn)行分析、分解，具體確定與之相關(guān)的IT目標(biāo)，實(shí)現(xiàn)系統(tǒng)總體目標(biāo)對(duì)IT目標(biāo)的需求指導(dǎo)，以及IT目標(biāo)對(duì)總體目標(biāo)的執(zhí)行反饋，這就是圖示框架的第一環(huán)節(jié)———目標(biāo)導(dǎo)向。
在“流程分解”環(huán)節(jié)，需要根據(jù)“目標(biāo)導(dǎo)向”環(huán)節(jié)確定的IT目標(biāo)，對(duì)應(yīng)選擇目標(biāo)實(shí)現(xiàn)所需要的IT流程。這些流程可能覆蓋“系統(tǒng)規(guī)劃”、“系統(tǒng)運(yùn)行”、“環(huán)境支持”以及“監(jiān)督評(píng)價(jià)”四個(gè)關(guān)鍵環(huán)節(jié)中的一個(gè)或幾個(gè)，流程選擇的基本原則就是將IT目標(biāo)進(jìn)一步細(xì)分，考慮該目標(biāo)實(shí)現(xiàn)所需要的來(lái)自各環(huán)節(jié)的IT支持，再將這些技術(shù)支持要素轉(zhuǎn)化為具體可執(zhí)行的IT流程。針對(duì)每一個(gè)選定的流程，還需要進(jìn)一步確定各流程的定義、范圍、要素、主要目的、實(shí)現(xiàn)途徑、關(guān)鍵測(cè)度指標(biāo)等，同時(shí)考慮與之相關(guān)聯(lián)流程，特別是前后相流程間的結(jié)果影響。
在對(duì)特定IT流程作出明確規(guī)劃設(shè)計(jì)之后，信息系統(tǒng)控制進(jìn)入“控制設(shè)計(jì)”環(huán)節(jié)，這里主要涉及三方面工作，一是針對(duì)某個(gè)既定IT流程，進(jìn)一步細(xì)分確定該流程的若干個(gè)具體控制目標(biāo)，這些目標(biāo)應(yīng)當(dāng)能夠完整可靠支持該流程的運(yùn)行，進(jìn)而支持流程執(zhí)行所承擔(dān)的相應(yīng)IT目標(biāo)的實(shí)現(xiàn)；二是根據(jù)這些控制目標(biāo)導(dǎo)向要求，再將IT流程分解成為一系列具體的控制活動(dòng)，這些控制活動(dòng)不只是概念上的定義，而是直接可操作的具體工作或任務(wù)，它們是信息系統(tǒng)控制實(shí)施的最小工作單元；三是對(duì)這些具體控制活動(dòng)作出明確的權(quán)責(zé)界定，分清各項(xiàng)活動(dòng)由誰(shuí)負(fù)責(zé)執(zhí)行，由誰(shuí)負(fù)責(zé)就活動(dòng)詳情作出解釋，活動(dòng)執(zhí)行的結(jié)果由誰(shuí)承擔(dān)責(zé)任，以及執(zhí)行情況應(yīng)當(dāng)向誰(shuí)報(bào)告等，從而確保控制活動(dòng)及整個(gè)IT流程實(shí)施的效力和效率。根據(jù)控制活動(dòng)的執(zhí)行情況，匯總得到IT流程的整體運(yùn)行結(jié)果，而后進(jìn)入“系統(tǒng)評(píng)價(jià)”環(huán)節(jié)。該環(huán)節(jié)需要分別針對(duì)控制活動(dòng)、IT流程和IT目標(biāo)設(shè)定評(píng)價(jià)量化的指標(biāo)體系，并根據(jù)系統(tǒng)具體情況，參照相關(guān)行業(yè)標(biāo)準(zhǔn)，設(shè)定指標(biāo)評(píng)價(jià)的參考值。基于控制活動(dòng)實(shí)施的結(jié)果進(jìn)行測(cè)定，進(jìn)行流程績(jī)效評(píng)價(jià)，并根據(jù)績(jī)效評(píng)價(jià)的結(jié)果，參照各流程成熟度分級(jí)評(píng)分標(biāo)準(zhǔn)，對(duì)流程進(jìn)行成熟度評(píng)分考核，而后綜合各流程評(píng)分結(jié)果及權(quán)重系數(shù)，得到對(duì)信息系統(tǒng)整體運(yùn)行的考核結(jié)果，由此完成量化評(píng)價(jià)過(guò)程。最后綜合所有定性、定量評(píng)價(jià)結(jié)果，逐一對(duì)控制活動(dòng)、IT流程、IT運(yùn)行環(huán)節(jié)的運(yùn)行作出評(píng)定，進(jìn)一步分析檢驗(yàn)控制目標(biāo)、IT目標(biāo)，直至系統(tǒng)運(yùn)行總體目標(biāo)的實(shí)現(xiàn)情況。
四、研究結(jié)論
本文基于IT治理視角研究信息系統(tǒng)控制問(wèn)題，合理吸收借鑒了COBIT標(biāo)準(zhǔn)中有關(guān)信息系統(tǒng)控制目標(biāo)體系構(gòu)建的基本思路，結(jié)合對(duì)我國(guó)商業(yè)銀行信息系統(tǒng)運(yùn)行環(huán)境的基本特征和主要控制缺陷的分析研究，構(gòu)建起一套符合我國(guó)商業(yè)銀行信息系統(tǒng)控制框架。該控制框架涉及“目標(biāo)導(dǎo)向”、“流程分解”、“控制設(shè)計(jì)”以及“系統(tǒng)評(píng)價(jià)”四個(gè)組成部分，它基于對(duì)商業(yè)銀行信息系統(tǒng)“整體”的考慮，完整覆蓋了本文提出的信息系統(tǒng)控制實(shí)施的五個(gè)核心域，揭示了信息系統(tǒng)控制從目標(biāo)分析、分解，到流程選擇、活動(dòng)安排，再到系統(tǒng)績(jī)效評(píng)價(jià)全過(guò)程的實(shí)踐途徑，對(duì)我國(guó)商業(yè)銀行信息系統(tǒng)控制實(shí)踐具有一定指導(dǎo)意義。
研究發(fā)現(xiàn)，我國(guó)商業(yè)銀行信息系統(tǒng)控制的實(shí)施體現(xiàn)著一個(gè)“三維”結(jié)構(gòu)的“整體”，具體表現(xiàn)為“系統(tǒng)———控制域———行業(yè)背景與組織戰(zhàn)略”。它不僅包括信息系統(tǒng)的“整體性”、控制域的“整體性”，以及商業(yè)銀行特定行業(yè)背景及組織戰(zhàn)略規(guī)劃的“整體性”，更包括三方面作為一個(gè)有機(jī)體的“整體性”。這三個(gè)“維度”相互影響、相互制約、相互促進(jìn)，共同支撐起信息系統(tǒng)控制框架體系。以我國(guó)商業(yè)銀行信息系統(tǒng)環(huán)境為背景的信息系統(tǒng)控制框架的構(gòu)建和實(shí)施，也應(yīng)當(dāng)基于這一“三維整體性”概念的考慮。此外，這一概念也可推廣至其他行業(yè)、企業(yè)、組織等不同環(huán)境下的信息系統(tǒng)控制研究和實(shí)踐，具有廣泛的適用性和后續(xù)研究?jī)r(jià)值。
【參考文獻(xiàn)】
［1］胡曉明.基于信息時(shí)代的IS審計(jì)若
干問(wèn)題探討［J］.當(dāng)代財(cái)經(jīng)，2006（2）：125-128.
［2］胡曉明，林娟.COBIT4.0：解讀與啟示［J］.科技管理研究，2007（11）：243-245.
［3］金文，張金城.基于COBIT的信息系統(tǒng)管理、控制與審計(jì)的模型構(gòu)建研究［J］.審計(jì)研究，2005（4）.
［4］唐志武.商業(yè)銀行業(yè)IT建設(shè)與內(nèi)部控制機(jī)制的研究［J］.現(xiàn)代情報(bào)，2006（6）：204-205.
［5］許莉.IT環(huán)境下商業(yè)銀行內(nèi)部控制思考［J］.中國(guó)管理信息化，2005（8）：52-55.
［6］ITGI.COBIT 4.1［M/OL］.www.isaca.org.
【基于COBIT的銀行IS控制構(gòu)建論文】相關(guān)文章：
構(gòu)建和諧課堂，打造多彩語(yǔ)文（教學(xué)論文）12-06
談?wù)勅绾螛?gòu)建語(yǔ)文新課堂(蘇教版教學(xué)論文)12-06
構(gòu)建高效語(yǔ)文課堂(蘇教版必修教學(xué)論文)12-06
構(gòu)建活動(dòng)德育模式實(shí)現(xiàn)德育中人的回歸 德育論文12-05
構(gòu)建和諧課堂,提高課堂效率(蘇教版必修教學(xué)論文)12-06
構(gòu)建主題模式，打造有效閱讀(魯教版選修教學(xué)論文)12-06
建設(shè)特色班級(jí)構(gòu)建和諧學(xué)校---說(shuō)說(shuō)我的班級(jí)管理(教學(xué)論文)12-06