VI. Nội dung kiểm toỏn nội bộ hoạt động kho quỹ
10 Việc thực hiện nhiệm vụ của quỹ chớnh, quỹ phụ, giao dịch viờn
phụ, giao dịch viờn
- Quy định của Giỏm đốc đơn vị đối với danh sỏch thành viờn tham gia quy trỡnh giao dịch 1 cửa, phờ duyệt phõn quyền và hạn mức với từng thành viờn?
- Việc thực hiện nhiệm vụ của quỹ chớnh, quỹ phụ và cỏc teller (giao dịch viờn) trong phạm vi đơn vị: giao nhận tiền đầu ngày, tiếp quỹ trong ngày và giao nhận tiền cuối ngày? Trong đú lưu ý kiểm tra đột xuất tồn quỹ thực tế với số tiền trờn mỏy để xem cú khớp với nhau khụng? - Việc chuyển nhận tiền từ NHNN, cỏc tổ chức tớn dụng khỏc, cỏc đơn vị thành viờn khỏc trong hệ thống NHTM hoặc từ cỏc khỏch hàng lớn đối với quỹ chớnh.
- Việc bảo quản tiền mặt vào giờ nghỉ trưa đối với quỹ chớnh, quỹ phụ và giao dịch viờn: + Giờ nghỉ trưa tiền mặt cú được đưa vào thựng/hũm tụn/kột sắt khoỏ lại và niờm phong khụng?
+ Tổ chức bảo quản và canh gỏc tiền, tài sản trong giờ nghỉ trưa như thế nào
- Việc quản lý và sử dụng UserID?
- Việc lập cỏc bảng kờ thu, chi tiền mặt và đúng dấu "đó thu tiền", "đó chi tiền" trờn cỏc bảng
kờ?
- Chi tiền cho khỏch hàng cú xộ giấy niờm phong tiền khụng?
- Phỏt hiện và thu hồi tiền giả cú ghi vào sổ, đúng dấu "tiền giả" và lập biờn bản, bỏo cỏo cỏc cơ quan cú thẩm quyền khụng?
- Niờm yết và thực hiện thu đổi tiền mặt VND khụng đủ tiờu chuẩn lưu thụng theo đỳng quy định khụng?
- Nội quy giao dịch ngõn quỹ: cú hay khụng? - Việc tiếp quỹ và khắc phục sự cố mỏy ATM?
VII. Lập và gửi bỏo cỏo kiểm toỏn 1. Nguyờn tắc lập bỏo cỏo kiểm toỏn: 1. Nguyờn tắc lập bỏo cỏo kiểm toỏn:
Khi kết thỳc một cuộc kiểm toỏn phải kịp thời lập bỏo cỏo kiểm toỏn.
- Bỏo cỏo kiểm toỏn phải trỡnh bầy rừ nội dung đó kiểm toỏn cụ thể đó tiến hành kiểm toỏn tại chi nhỏnh nào? Thời gian kiểm toỏn, thực hiện việc kiểm tra trờn những hồ sơ nào? chọn mẫu những đơn vị nào?
- Nội dung Bỏo cỏo yờu cầu chớnh xỏc, rừ ràng để trỏnh hiểu nhầm, trỏnh những tữ khú hiểu, thuật ngữ và trỏnh những chi tiết khụng cần thiết để đảm bảo tỏc dụng của Bỏo cỏo. Phản ỏnh sự thật, khụng thiờn vị và những phỏt hiện trong bỏo cỏo khụng mang tớnh thành kiến và búp mộo. Bỏo cỏo cần mang tớnh xõy dựng, giỳp đỡ đối tượng kiểm toỏn và với những kiến nghị, đề xuất cỏc biện phỏp sửa chữa và khắc phục sai phạm, cải tiến quy trỡnh nghiệp vụ, hoàn thiện cơ cấu tổ chức nếu cú. Khụng mang tớnh cỏ nhõn và cảm tớnh. Bỏo cỏo về những phỏt hiện mang tớnh thủ tục và kiểm soỏt chứ khụng mang tớnh chất của phỏt hiện đơn lẻ. Những sai sút đơn lẻ khụng mang lại giỏ trị và cú thể cú những tỏc động ngược lại đối với bản bỏo cỏo.
- Toàn bộ những phỏt hiện trong bỏo cỏo cần được trớch dẫn đến những hồ sơ, bỏo cỏo kiểm toỏn chi tiết từng khoản vay và cần được trao đổi với giỏm đốc/Phụ trỏch bộ phận. Trong trường hợp phụ trỏch bộ phận chậm trễ trong việc xử lý cỏc phỏt hiện, cần đưa ra một thời gian chớnh thức để bộ phận này giải đỏp vấn đề và cần thụng bỏo rằng trong trường hợp khụng thực hiện yờu cầu sẽ bị nờu trong bỏo cỏo.
2. Những nội dung sau đõy cần được nờu trong bỏo cỏo:
- Phạm vi cụng việc kiểm toỏn - Đỏnh giỏ mụi trường kiểm soỏt
- Những điểm mạnh cụ thể và những phỏt hiện mang tớnh tớch cực.
- Những yếu kộm trong cụng tỏc quản lý rủi ro tớn dụng và những sai sút được phỏt hiện (cú cỏc bằng chứng kốm theo).
- Giải trỡnh của đối tượng kiểm toỏn về những sai sút. - Kết luận về nội dung kiểm toỏn.
- Khuyến nghị và đề xuất chỉnh sửa khắc phục sai sút. - Khuyến nghị cải tiến thủ tục trong hoạt động
3. Gửi bỏo cỏo kiểm toỏn
Bỏo cỏo kiểm toỏn được gửi đến 4 nơi sau đõy: - Chủ tịch Hội đồng quản trị.
- Trưởng ban kiểm soỏt Hội đồng quản trị - Ban Lónh Đạo Ngõn hàng ĐT&PT Việt Nam - Đơn vị được kiểm toỏn.
4. Theo dừi sau kiểm toỏn.
- Xem xột bỏo cỏo khắc phục của đối tượng kiểm toỏn.
- Tiến hành kiểm tra lại tại đối tượng kiểm toỏn về cỏc hoạt động sửa chữa, khắc phục và cỏc kết quả hay hiện trạng liờn quan đến cỏc phỏt hiện kiểm toỏn quan trọng. Thời gian thực hiện việc kiểm tra này phụ thuộc vào mức độ nghiờm trọng của cỏc vấn đề và cỏc điều kiện cú liờn quan.
- Phương phỏp kiểm tra bao gồm phỏng vấn, quan sỏt trực tiếp, thử nghiệm và kiểm tra bằng chứng của cỏc hoạt động sửa đổi; cụng việc kiểm tra này cũng được lập hồ sơ như cỏc cụng việc kiểm toỏn khỏc.
- Đỏnh giỏ lại cỏc rủi ro trong hệ thống kiểm soỏt nội bộ dựa trờn cỏc điều kiện đó được sửa đổi hoặc dựa trờn những giải phỏp mà đối tượng kiểm toỏn cho biết là đó hoặc sẽ thực hiện.
PHỤ LỤC VII
KIỂM TOÁN NỘI BỘ HOẠT ĐỘNG CễNG NGHỆ THễNG TIN I. Mục tiờu kiểm toỏn
Kiểm toỏn hệ thống cụng nghệ thụng tin ngoài mục tiờu đỏnh giỏ sự hợp lý, độ tin cậy của cỏc số liệu, cũn nhằm mục đớch kiểm toỏn hệ thống kiểm soỏt nội bộ trong cỏc chương trỡnh ứng dụng của toàn hệ thống NHTM. Chương trỡnh xử lý số liệu hợp lý hay khụng, độ an toàn của hệ thống thụng tin cả về kỹ thuật lẫn chương trỡnh cú ảnh hưởng rất lớn đến kết quả xử lý nghiệp vụ và độ an toàn tài sản của ngõn hàng cũng như hiệu quả kinh doanh do vậy kiểm toỏn hệ thống cụng nghệ thụng tin cần phải đạt được mục tiờu sau:
- Đỏnh giỏ việc tổ chức hệ thống thụng tin nhằm đưa ra những nhận xột về cấu trỳc tổ chức cũng như cấu trỳc cụng nghệ, trỡnh độ nhõn viờn vận hành, đảm bảo nguyờn tắc phõn tỏch chức năng của cỏc bộ phận sử dụng hệ thống cũng như của chớnh những người trực tiếp tham gia thiết kế và vận hành hệ thống cú thoả đỏng khụng.
- Đỏnh giỏ việc cài đặt, xử lý chương trỡnh ứng dụng nhằm đưa ra cỏc nhận xột về sự đỏp ứng của chương trỡnh đối với cỏc yờu cầu quản lý và kinh doanh của NHTM, hiệu quả của chương trỡnh để đảm bảo rằng những số liệu được xử lý sẽ khụng tạo ra sai số cú thể ảnh hưởng nghiờm trọng đến kết quả bỏo cỏo tài chớnh.
- Kiểm toỏn hệ thống thụng tin khụng chỉ đỏnh giỏ xem quy trỡnh quản lý kỹ thuật, quản lý dữ liệu, ứng dụng phần mềm hiện thời của đơn vị được kiểm toỏn cú được tuõn thủ khụng, mà cũn xem xột hiện cú rủi ro nghiờm trọng nào của hệ thống thụng tin khụng; đơn vị đó cú sẵn biện phỏp kiểm soỏt hiệu quả và thớch đỏng chưa, cỏc kiểm toỏn viờn hệ thống cú thể cung cấp hướng dẫn và lời khuyờn cho đơn vị được kiểm toỏn.
II. Yờu cầu kiểm toỏn
Đối với kiểm toỏn hệ thống CNTT, cần phải nghiờn cứu đỏnh giỏ được hệ thống CNTT về cỏc mặt sau:
- Tớnh bảo mật (confidentiality) - Tớnh toàn vẹn (integrity) - Tớnh sẵn sàng (availability) - Tớnh tin cậy (Reliability)
- Tớnh phự hợp với phỏp luật, cỏc quy định đề ra (Compliance)
III. Đối tượng kiểm toỏn
Đối tượng kiểm toỏn bao gồm cỏc đơn vị hệ thống thụng tin cũng như cỏc đơn vị sử dụng thụng tin và cỏc đơn vị khỏc. Đú là cỏc đơn vị hay trạm làm việc liờn quan đến hệ thống thụng tin, hệ thống điều hành tỏc nghiệp riờng biệt như: nghiệp vụ cho vay, kế toỏn, kinh doanh ngoại tệ,v,v.. và người sử dụng hệ thống này.
IV. Phạm vi kiểm toỏn
Quy định này ỏp dụng đối với tất cả cỏc đơn vị, cỏ nhõn trong toàn hệ thống NHTM, bao gồm Hội sở chớnh và cỏc đơn vị thành viờn.
V. Căn cứ kiểm toỏn
- Cỏc quy định của phỏp luật về CNTT.
- Cỏc chớnh sỏch, quy định của Ngõn hàng ĐT&PT VN về CNTT: cỏc chớnh sỏch về CNTT, chớnh sỏch về bảo mật hệ thống, kế hoạch CNTT dài hạn, ngắn hạn, hằng năm, cỏc dự ỏn CNTT đó được HĐQT, Ban TGĐ phờ duyệt.
- Cỏc quy trỡnh, quy định và hướng dẫn về hoạt động ứng dụng CNTT và hoạt động nghiệp vụ liờn quan khỏc đang ỏp dụng tại NHTM, bao gồm:
+ Quy trỡnh vận hành mỏy chủ AS400 + Quy trỡnh bảo trỡ mỏy chủ AS400 + Quy trỡnh vận hành hệ thống SIBS + Quy trỡnh bảo trỡ hệ thống SIBS + Quy trỡnh bảo trỡ phần cứng
+ Quy trỡnh vận hành mạng WAN/LAN + Quy trỡnh bảo trỡ phần mềm
+ Quy trỡnh mua sắm thiết bị tin học
+ Cỏc quy trỡnh khỏc cú liờn quan đến CNTT.
- Cỏc tài liệu kỹ thuật liờn quan dến hệ thống CNTT đang hoạt động
VI. Phương phỏp kiểm toỏn
Vai trũ của hệ thống thụng tin và những rủi ro hệ thống đũi hỏi việc quản lý hệ thống thụng tin cần theo một quy trỡnh chặt chẽ từ việc trang bị, quản lý kỹ thuật phần cứng của mỏy tớnh cho đến việc tổ chức ứng dụng, quản lý dữ liệu, cũng như sự thay đổi chương trỡnh.
Phương phỏp tiếp cận kiểm toỏn bao gồm cỏc phần cụng việc cụ thể sau : - Rà soỏt quy trỡnh thao tỏc hệ thống để điều khiển và duy trỡ tất cả phần cứng và phần mềm, rà soỏt cỏc quy trỡnh quy định về hệ thống bảo mật bao gồm cỏc hệ thống đang hoạt động, hệ thống sao chộp dự phũng, phỏt triển và thử nghiệm hệ thống và cỏc thiết bị mạng. Quy trỡnh quản lý an toàn cỏc tài sản thụng tin quan trọng. Việc quản lý cỏc thiết bị khỏc, file dữ liệu, thẻ,v,v....
- Rà soỏt hệ thống quản lý rủi ro hệ thống thụng tin
- Cỏc quy trỡnh quản lý về cỏc nguồn lực, bao gồm mạng và tài sản thụng tin trờn mạng. Việc lập tài liệu của tất cả cỏc giai đoạn phỏt triển hệ thống (lập dự ỏn, thiết kế, xõy dựng, test, đào tạo, triển khai) và điều hành hệ thống.
VII. Nội dung kiểm toỏn
1 Đỏnh giỏ hệ thống kiểm soỏt nội bộ
Đỏnh giỏ kết quả cụng tỏc giỏm sỏt của kiểm soỏt nội bộ đối với việc thực hiện cỏc đề ỏn cụng nghệ thụng tin của NHTM và cụng tỏc kiểm soỏt việc quản lý, sử dụng mỏy tớnh và thiết bị tin học tại cỏc đơn vị theo cỏc nội dung sau:
* Tỡnh hỡnh thực hiện giỏm sỏt, kiểm soỏt hoạt động CNTT tại đơn vị:
đề ỏn cụng nghệ thụng tin của NHTM.
- Cụng tỏc kiểm soỏt hoạt động quản lý, sử dụng mỏy tớnh và thiết bị tin học tại đơn vị.
* Kết quả giỏm sỏt, Kiểm soỏt đó phỏt hiện và kiến nghị:
- Những tồn tại Kiểm soỏt viờn đơn vị đó phỏt hiện và kiến nghị - Những kiến nghị đó chỉnh sửa
* Tớnh hiệu quả của hệ thống kiểm soỏt nội bộ trong ứng dụng cụng nghệ tin học tại đơn vị:
- Đỏnh giỏ tớnh tuõn thủ cỏc quy định, việc thực hiện quy chế tự kiểm soỏt khi xử lý nghiệp vụ của cỏn bộ lónh đạo, cỏn bộ nghiệp vụ.
- Cỏc biện phỏp kiểm soỏt, giỏm sỏt của Kiểm soỏt viờn tại đơn vị.
2 Đỏnh giỏ rủi ro
Rủi ro hệ thống thụng tin là bất cứ tỡnh huống nào cản trở việc thực hiện cỏc mục tiờu của hệ thống thụng tin. Cỏc rủi ro của hệ thống cụng nghệ thụng tin cú thể là:
- Truy cập trỏi phộp đến cỏc thụng tin quan trọng.
- Khụng đồng bộ giữ những thay đổi về sỏch lược chủ yếu và hệ thống thụng tin, chẳng hạn như: quản lý thụng tin khỏch hàng thống nhất trong toàn bộ hệ thống ngõn hàng như dữ liệu về cỏc khỏch hàng khụng được truyền về trung tõm mà được giữ ở dưới chi nhỏnh.
- Cung cấp khụng đầy đủ hay cung cấp thụng tin khụng chớnh xỏc. - Sự cố về kỹ thuật làm cho cỏc giao dịch bị ngưng trệ hoặc mất dữ liệu - Sự cố về mụi trường gõy ra hoả hoạn, bảo lụt...
- Cỏc dữ kiện, nghiệp vụ được ghi chộp cú thể dựa trờn chứng từ, cú thể khụng (vớ dụ ghi chộp một giao dịch ngoại hối dựa trờn trao đổi qua điện thoại), do vậy cỏc dữ kiện nhập vào hệ thống là khụng rừ ràng. Cỏc quỏ trỡnh xử lý nghiệp vụ hầu hết mang tớnh nội bộ (trong hệ thống mỏy) và vỡ vậy khụng cú những bằng chứng rừ rệt về sự thi hành nghiệp vụ, dấu vết nghiệp vụ cũng cú tỡnh trạng tương tự, tất cả những đặc điểm này ảnh hưởng rất lớn đến việc tỡm kiếm cỏc bằng chứng để chứng minh một nhận xột nào đú hoặc đỏnh giỏ việc thực hiện kiểm soỏt
- Khi sử dụng hệ thống thụng tin, con người chỉ tham gia vào quỏ trỡnh xử lý ban đầu cỏc nghiệp vụ mà thường khụng thấy kết quả cuối cựng; tớnh thống nhất trong quỏ trỡnh xử lý sẽ dẫn đến khả năng nếu một nghiệp vụ được xử lý đỳng ngay từ đầu thỡ sẽ đỳng hết và ngược lại và điều đú cú thể dẫn đến sai số .
Do cỏc hệ thống thụng tin là cực kỳ quan trọng đối với việc điều hành của NHTM, nờn phải cú hiểu biết chớnh xỏc về rủi ro của hệ thống thụng tin và phải giỏm sỏt, xử lý những rủi ro này một cỏch kịp thời, cú hiệu quả