银行信息科技外部审计管理办法模版.doc

xx银行信息科技外部审计管理办法xx总发xx254号，xx年11月21日印发第一章 总 则第一条 为督促信息科技管理制度以及技术规范的贯彻落实，规范各项信息科技审计工作，根据商业银行信息科技风险管理指引（银监发xx19号）、法人银行业金融机构信息科技监管达标路线图的要求，结合我行实际情况，制定本管理办法。第二条 信息科技外部审计工作主要是对信息科技管理的有效性进行检查，内容分为管理和技术两个方面，管理方面的审计侧重检查管理流程、管理要求的执行情况。技术方面的审计侧重检查各信息系统符合设备安全技术要求、安全配置要求以及其它技术规范的情况。第三条 本办法适用于信息科技外部审计的管理，保密和控制。第二章 组织与职责第四条 稽核监察部应根据实际需要建立信息科技外部审计管理小组，由具备信息科技审计技能和经验的人员构成。由其负责外部审计活动的相关工作。第五条 稽核监察部为信息科技审计主管机构（以下简称“审计主管机构”），具体职责包括：（一）制定并批准信息科技年度外部审计计划；（二）获取外部审计结果并提出改进要求；（三）提供审计所需的资源。第六条 外部审计管理小组负责协调信息科技外部审计工作，具体职责包括：（一）外部审计机构的选择；（二）外部审计过程中我行资源的协调和安排；（三）外部审计工作的安全管理；（四）整理外部审计不符合项；（五）外部审计发现问题的整改跟踪。第三章 外部审计管理第七条 为了更加客观地对信息科技管理的符合性进行验证，在符合法律、法规和监管要求的情况下，稽核监察部可以委托具备相应从业资格的外部审计机构进行信息科技外部审计。第八条 聘请外部审计机构开展外部审计业务前，应当由稽核部门和风险管理部门牵头，按照监管的要求评估外部审计机构的资质和能力，符合条件的报请行领导批准实施。第九条 监管机构委派的外部审计机构对我行进行审计前，应出示委托授权书，并依照委托授权书上规定的范围进行审计。第十条 必须与外部审计机构签订保密协议,明确要求其严格遵守法律法规,保守我行的商业秘密。第十一条 在实施外部审计前,外部审计管理小组应详细了解外审的对象和日程安排,以便协议资源。第十二条 在外部审计过程中，外部审计管理小组应确保外部审计按照预先制定的审计范围、审计流程操作，避免外审工作影响信息系统的安全性。第十三条 外部审计管理小组是外审机构与我行文档传输的唯一接口单位，在外部审计过程中应确保我行提供的任何文件的安全性，避免发生信息被泄露、非法修改或复制。第十四条 外部审计管理小组应跟踪外部审计机构的审计进度，并及时向稽核监察部反馈审计过程中存在的问题，确保外部审计机构在约定时间内完成审计工作。第十五条 外部审计机构的征求意见稿必须经过我行的确认后方可出具正式审计报告。第十六条 外部审计业务完成后，外部审计管理小组应对委托外部审计的业务进行评估，评估内容主要包括以下方面：（一）审计及商业机密信息的保密；（二）外部审计机构同外部审计管理小组的工作协调情况；（三）业务书面约定承诺条款的实现；（四）专业知识和经验；（五）独立性；（六）保持恰当的工作关系；（七）审计质量。第十七条 受托进行审计的外部审计机构应遵守其执业准则及行业规定，对于出具虚假审计报告或隐瞒重要事实对我行造成重大损失的，应承担民事赔偿责任。涉嫌欺诈行为的，我行应依法提起诉讼，追究其刑事责任。第十八条 外部审计业务评估结果是外部审计机构执业记录的重要组成部分，作为其投标我行委托外部审计业务的考核依据。第四章 发现问题跟踪第十九条 外审不符合项报告由外部审计管理小组统计后分发到各责任部门，由责任部门分析不符合原因，并由其首先对不符合项制定纠正预防措施，在约定的期限内由责任部门组织实施。第二十条 审计小组在约定时间内对不符合项纠正预防措施的实施情况进行复审，以确认不符合项的改善情况并验证其有效性。第二十一条 责任部门完成纠正预防措施的改善后，通知外部审计管理小组验证其完成情况和有效性，并由检查审计员在外审不符合项报告上签名认可。第二十二条 不符合项经验证后仍不符合或责任部门未在约定时间完成改善的，被审计部门负责人应书面说明原因，重新制定纠正预防措施，报外部审计管理小组确认。第二十三条 外部审计实施和验证情况由稽核监察部门汇总后向信息科技管理委员会报告。第五章 档案管理第二十四条 外审涉及的所有文档（外部审计报告、外审不符合项报告等）由稽核监察部门统一归档保存，保存期限为五年。第二十五条 外部审计管理小组对外部审计中所取得的敏感资料,包括客户资料、业务数据、信息系统或基础设施的参数配置等,应妥善保管。对于不作为审计证据的电子敏感资料,应当在审计结束时依据信息安全相关规定予以删除。第六章 附 则 第二十六条 本办法由稽核监察部负责制定、解释和修改。第二十七条 本办法自下发之日起施行。 4