商业银行信息系统内部控制研究

论文摘要

现代商业银行的业务运营依赖于信息技术(Information Technology，IT)的支持，同时商业银行必须借力IT进行金融创新以应对竞争。银行信息系统(Information Systems，IS)的复杂度和银行业务对IS的依赖度，使得银行董事会和管理层更加关注IS的风险。与此相对应的是，近年来频频出现银行操纵丑闻均与内部控制和IS相关。 鉴于商业银行业务的特殊性和商业银行IS作为资金交易活动载体的地位，商业银行IS相关的风险受到监管部门的高度关注，《新巴塞尔协议》对操作风险(主要是系统风险和内部控制风险)的关注、《萨班斯法案》对信息技术控制的强调都反映了这一点。 加强IS内部控制，规避不必要的技术风险，对商业银行提高自身竞争力和提供合规的(监管)控制信息具有重要的现实意义。然而目前有关商业银行IS内控体系的研究还比较缺乏，银行业界对IS风险的识别、分析和控制还处于摸索阶段。从国内情况看，我国商业银行的内部控制多以事后的稽查监督为主，缺乏长远的规划和成熟的预防控制体系，针对商业银行IS内部控制及评价的研究相当缺乏。 本文从风险导向的视角，对商业银行IS内部控制及评价进行了研究。论文首先总结了商业银行内控建设和国内外IS控制的研究成果，分析了商业银行IS风险的特点，剖析了商业银行IS的复杂性和特殊性。在此基础上，按照目标驱动的逆向操作原理，构建了商业银行信息系统内部控制框架，该框架涵盖了商业银行多层级的控制目标和控制要素，通过对内部控制目标自上而下的过程分解和控制评价自下而上的层级反馈，实现从银行内部控制总体目标到信息系统控制具体过程风险评价的转换，据此商业银行在信息系统管理中可以实现控制—>评价—>纠偏—>控制的完整循环，保证内部控制的系统性和内部控制评价的可操作性。在此框架下，论文主要研究了商业银行IS的过程控制模型和风险导向的IS内部控制评价方法。 参照国际IS控制标准和商业银行内控规范，构建了基于层级过程的商业银行IS的过程控制模型。该模型立足于IS全生命周期，涵盖了商业银行IS内部控制各个层级的主要控制活动，具体划分了五个过程域，提出了过程风险分级的评估方法，分析了过程域下的关键控制过程及其风险评估因素，设立了相应的评估基准，过程控制模型为建立风险导向的内部控制评价指标体系提供了前提条件。 作为本文所提出的商业银行IS内部控制框架的一项重要内容，风险导向的内控评价，主要基于内部控制目标的过程分解来确定控制目标层次和评价层次，将评价过程划分单项风险评价和综合风险评价两个阶段，采用多种成熟的评价方法，对各层级的IS关键子过程、过程域、风险目标和总体目标进行评价分析，从而为商业银行IS的内部控制提供多层级的风险评估视图，为进一步制定监控措施提供客观的评价依据，有助于商业银行维持IS控制重要性和成本开销之间的平衡。 本文对风险导向的商业银行IS内部控制的研究，采用了目标驱动的逆向操作方法，综合考虑商业银行IS战略和外部环境的影响，对商业银行IS过程的内控质量和相应的风险水平进行了重点剖析，建立了IS过程与风险之间的联系。这种以内控质量和风险水平评价为依据、利用层级反馈的评价控制机制，将IS过程和银行战略目标联系起来，使银行管理层既能把握总体战略的方向，又能关注和控制具体关键过程中的风险，可以保证其战略的实现。 最后，本文选取了一个中小股份制商业银行进行了案例分析，阐述了主要研究成果、不足以及进一步的研究方向。

论文目录

• 摘要
• ABSTRACT
• 第1章 绪论
• 1.1 问题的提出
• 1.2 研究背景
• 1.2.1 国内外内控发展要求
• 1.2.2 IS内控发展要求
• 1.2.3 商业银行IS内控发展要求
• 1.2.4 国内外IS内控研究局限
• 1.3 研究思路
• 1.3.1 研究目的
• 1.3.2 研究框架
• 1.3.3 研究方法
• 1.4 研究意义
• 本章小结
• 本章主要参考文献
• 第2章 文献综述
• 2.1 内部控制研究综述
• 2.1.1 内部控制概念综述
• 2.1.1.1 内部控制的概念演变
• 2.1.1.2 内部控制的经典定义
• 2.1.2 内部控制的理论框架
• 2.1.2.1 普适的COSO框架
• 2.1.2.2 COSO框架的扩展——企业风险管理框架
• 2.1.2.3 其他标准内控框架
• 2.1.2.4 商业银行的内控框架——新巴塞尔协议
• 2.1.3 国内外内部控制研究视角
• 2.1.3.1 标准框架应用的角度
• 2.1.3.2 内控评价的角度
• 2.1.3.3 商业银行的角度
• 2.2 IS内部控制研究
• 2.2.1 IS内部控制的概念
• 2.2.2 IS内部控制的研究视角
• 2.2.2.1 会计控制的视角
• 2.2.2.2 系统审计的视角
• 2.2.2.3 风险评价的视角
• 2.2.3 IS控制的标准模型
• 2.2.3.1 COBIT模型
• 2.2.3.2 ITIL模型
• 2.2.3.3 信息技术控制指南（ITCG）
• 2.2.3.4 SAC模型
• 2.2.3.5 eSAC模型
• 2.3 商业银行IS研究
• 2.3.1 商业银行信息化现状研究
• 2.3.1.1 国际研究现状
• 2.3.1.2 国内研究现状
• 2.3.2 商业银行IS特殊性研究
• 2.3.2.1 系统的特殊性
• 2.3.2.2 风险的特殊性
• 2.3.2.3 监控的特殊性
• 2.3.3 商业银行IS内部控制研究
• 2.3.3.1 信息环境视角
• 2.3.3.2 IT治理视角
• 2.3.4 当前研究的局限性
• 本章小结
• 本章主要参考文献
• 第3章 商业银行IS内部控制框架
• 3.1 商业银行IS内部控制内涵
• 3.1.1 商业银行IS内部控制的概念
• 3.1.2 商业银行IS内部控制的内容
• 3.2 商业银行IS内部控制的理论基础
• 3.2.1 控制论
• 3.2.2 系统论
• 3.2.3 信息论
• 3.2.4 生命周期理论
• 3.3 商业银行IS内部控制的风险导向研究
• 3.3.1.商业银行IS的风险来源与特点
• 3.3.2.商业银行IS风险监管研究
• 3.3.2.1 商业银行IS风险监管的对象与范围
• 3.3.2.2 商业银行IS风险监管的对象类别
• 3.3.3 商业银行IS的风险目标集合
• 3.3.4 商业银行IS的风险目标识别
• 3.4 商业银行IS内部控制框架
• 3.4.1 商业银行IS内部控制框架构建机理
• 3.4.1.1 研究范围和内涵
• 3.4.1.2 目标层级关系
• 3.4.1.3 商业银行IS内控的特殊性
• 3.4.2 商业银行IS内部控制框架
• 3.4.2.1 商业银行IS内部控制
• 3.4.2.2 商业银行IS内部控制的要素分析
• 3.4.2.3 商业银行IS内部控制的层级框架
• 3.4.2.4 商业银行IS内部控制的过程分解
• 3.4.2.5 商业银行IS内部控制的层级反馈
• 3.4.2.6 框架的总体特征
• 本章小结
• 本章主要参考文献
• 第4章 商业银行IS内部控制模型
• 4.1 基于层级过程的商业银行IS的内控模型
• 4.1.1 过程控制模型
• 4.1.1.1 内控模型构建依据
• 4.1.1.2 过程控制模型主体框架
• 4.1.1.3 内控模型的主要特点
• 4.1.2 过程风险分级
• 4.1.3 过程风险管理与评估
• 4.1.3.1 过程风险管理步骤
• 4.1.3.2 过程风险评估步骤
• 4.2 IS控制过程分解
• 4.2.1 作业与程序控制过程分析
• 4.2.2 规划组织过程分析
• 4.2.3 系统开发（变更）过程分析
• 4.2.4 技术支持过程分析
• 4.2.5 审计控制过程分析
• 4.3 IS控制过程评估因素
• 4.3.1 作业与程序控制过程评估因素
• 4.3.2 规划组织过程评估因素
• 4.3.3 系统开发（变更）过程评估因素
• 4.3.4 技术支持过程风险评估因素
• 4.3.5 审计控制过程评估因素
• 本章小结
• 本章主要参考文献
• 第5章 商业银行IS内部控制评价
• 5.1 商业银行IS内控评价体系
• 5.1.1 商业银行IS内控评价模型
• 5.1.1.1 商业银行IS内控评价要素
• 5.1.1.2 商业银行IS内控评价模型
• 5.1.1.3 商业银行IS内控评价步骤
• 5.1.2 商业银行IS内控评价指标体系
• 5.1.2.1 指标设计的基本原则
• 5.1.2.2 评价指标体系结构
• 5.1.2.3 评价指标体系特点
• 5.1.2.4 评价指标体系的裁剪
• 5.2 商业银行IS内控评价的主要方法
• 5.2.1 德尔菲法
• 5.2.2 层次分析法
• 5.2.2.1 层次分析法的原理
• 5.2.2.2 层次分析法的步骤
• 5.2.2.3 层次分析法的优缺点
• 5.2.3 熵值法
• 5.2.3.1 熵值法原理
• 5.2.3.2 熵值法步骤
• 5.2.3.3 熵值法的优缺点
• 5.2.4 证据推理法
• 5.2.4.1 多属性评估决策问题
• 5.2.4.2 D-S证据推理法
• 5.2.4.3 不确定多属性评估问题的ER方法
• 5.3 基于层级过程的单项风险评价
• 5.3.1 单项风险评价模型
• 5.3.1.1 子过程单项风险评价模型
• 5.3.1.2 过程域单项风险评价模型
• 5.3.2 单项风险评价要素（主要因子和权重的确定）
• 5.3.3 单项风险评价结果
• 5.4 基于层级过程的综合风险评价
• 5.4.1 综合风险评价模型
• 5.4.1.1 风险目标综合评价模型
• 5.4.1.2 总体风险综合评价模型
• 5.4.2 综合风险评价要素（主要因子和权重的确定）
• 5.4.3 综合风险评价结果
• 本章小结
• 本章主要参考文献
• 第6章 案例分析
• 6.1 案例银行背景分析
• 6.1.1 业务发展背景
• 6.1.2 自身发展背景
• 6.1.3 总体发展战略
• 6.2 案例银行IS现状及其风险分析
• 6.2.1 IS总体战略框架
• 6.2.1.1 IS战略规划
• 6.2.1.2 IS总体应用框架
• 6.2.1.3 前置业务系统
• 6.2.1.4 核心业务系统
• 6.2.2 IS风险分析
• 6.2.2.1 IS战略SWOT分析
• 6.2.2.2 IS风险目标分析
• 6.2.3.3 IS过程风险分析
• 6.3 风险导向的C银行IS内控评价
• 6.3.1 单项风险评价
• 6.3.1.1 子过程风险评价
• 6.3.1.2 过程域风险评价
• 6.3.1.3 评价结果分析
• 6.3.2 综合风险评价
• 6.3.2.1 风险目标综合评价
• 6.3.2.2 总体风险综合评价
• 6.3.2.3 评价结果分析
• 本章小结
• 本章主要参考文献
• 附表 C银行发展目标级差矩阵
• 第7章 结论与展望
• 个人简历:
• 在校学习期间完成的项目和发表的论文:
• 致谢
• 附录 过程控制单项评估标准