JR T 0071.6—2020 金融行业网络安全等级保护实施指引 第6部分：审计指引.pdf

1、ICS 03.060A 11 JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 0071.6 2020金 融 行 业 网 络 安 全 等 级 保 护 实 施 指 引第 6 部 分 ： 审 计 指 引 Implementation guidelines for classified protection of cybersecurity of financialindustryPart 6： Guidelines for audit work 2020- 11-11发 布 2020 -11- 11实 施中 国 人 民 银 行 发 布 JR/T 0071.6 2020 I 目 次前

2、言 .II引 言 .III1 范 围 .12 规 范 性 引 用 文 件 .13 审 计 目 标 .14 审 计 方 案 要 求 .15 审 计 程 序 .26 审 计 内 容 .8 参 考 文 献 .10 JR/T 0071.6 2020 II 前 言JR/T 0071 金 融 行 业 网 络 安 全 等 级 保 护 实 施 指 引 由 以 下 6部 分 构 成 ： 第 1 部 分 ： 基 础 和 术 语 ； 第 2 部 分 ： 基 本 要 求 ； 第 3 部 分 ： 岗 位 能 力 要 求 和 评 价 指 引 ； 第 4 部 分 ： 培 训 指 引 ； 第 5 部 分 ： 审 计 要 求

3、； 第 6 部 分 ： 审 计 指 引 。本 部 分 为 JR/T 0071的 第 6 部 分 。本 部 分 按 照 GB/T 1.1 2009 给 出 的 规 则 起 草 。 本 部 分 由 中 国 人 民 银 行 提 出 。本 部 分 由 全 国 金 融 标 准 化 技 术 委 员 会 （ SAC/TC 180） 归 口 。本 部 分 起 草 单 位 ： 中 国 人 民 银 行 科 技 司 、 中 国 银 行 保 险 监 督 管 理 委 员 会 统 计 信 息 与 风 险 监 测 部 、 中国 金 融 电 子 化 公 司 、 北 京 中 金 国 盛 认 证 有 限 公 司 。本 部 分 主

4、 要 起 草 人 ： 李 伟 、 陈 立 吾 、 沈 筱 彦 、 车 珍 、 昝 新 、 夏 磊 、 方 怡 、 张 海 燕 、 唐 辉 、 李 凡 、 王海 涛 、 张 璐 、 侯 漫 丽 、 潘 丽 扬 、 邓 昊 、 赵 方 萌 、 乔 媛 、 孙 国 栋 、 刘 文 娟 、 崔 莹 、 陈 雪 峰 、 马 成 龙 、 杜 巍 、李 瑞 锋 。 JR/T 0071.6 2020 III 引 言网 络 安 全 等 级 保 护 是 国 家 网 络 安 全 保 障 工 作 的 一 项 基 本 制 度 ， 金 融 行 业 重 要 系 统 关 系 到 国 计 民 生 ，是 国 家 网 络 安 全

5、重 点 保 护 对 象 ， 因 此 需 要 一 系 列 适 合 金 融 行 业 的 等 级 保 护 标 准 体 系 作 为 支 撑 ， 以 规 范 和指 导 金 融 行 业 等 级 保 护 工 作 的 实 施 。 随 着 云 计 算 、 移 动 互 联 、 物 联 网 、 大 数 据 等 新 技 术 的 广 泛 应 用 ， 金融 机 构 正 根 据 自 身 发 展 的 需 要 ， 持 续 推 进 IT架 构 的 转 型 。 为 适 应 新 技 术 、 新 应 用 和 新 架 构 情 况 下 金 融 行业 网 络 安 全 等 级 保 护 工 作 的 开 展 ， 现 对 JR/T 0071进 行

6、修 订 。 修 订 后 的 JR/T 0071依 据 国 家 网 络 安 全 等 级保 护 相 关 要 求 ， 为 金 融 行 业 的 网 络 安 全 建 设 提 供 方 法 论 、 具 体 的 建 设 措 施 及 技 术 指 导 ， 完 善 金 融 行 业 网络 安 全 等 级 保 护 体 系 ， 更 好 适 应 新 技 术 在 金 融 行 业 的 应 用 。 JR/T 0071.6 2020 1 金 融 行 业 网 络 安 全 等 级 保 护 实 施 指 引第 6 部 分 ： 审 计 指 引1 范 围本 部 分 规 定 了 金 融 机 构 网 络 安 全 等 级 保 护 工 作 实 施 审

7、 计 的 指 引 。本 部 分 适 用 于 指 导 金 融 机 构 、 测 评 机 构 和 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 实 施 网 络 安 全 等 级 保护 审 计 工 作 。2 规 范 性 引 用 文 件 下 列 文 件 对 于 本 文 件 的 应 用 是 必 不 可 少 的 。 凡 是 注 日 期 的 引 用 文 件 ， 仅 注 日 期 的 版 本 适 用 于 本 文 件 。凡 是 不 注 日 期 的 引 用 文 件 ， 其 最 新 版 本 （ 包 括 所 有 的 修 改 单 ） 适 用 于 本 文 件 。GB/T 25058 信 息 安 全 技 术 网

8、 络 安 全 等 级 保 护 实 施 指 南3 审 计 目 标通 过 网 络 安 全 等 级 保 护 审 计 ， 获 取 金 融 机 构 开 展 网 络 安 全 等 级 保 护 工 作 的 相 关 证 据 ， 并 对 其 进 行 客观 的 评 价 ， 以 确 定 各 金 融 机 构 在 定 级 、 备 案 、 建 设 整 改 、 测 评 自 查 、 安 全 检 查 等 各 项 网 络 安 全 等 级 保 护工 作 中 是 否 遵 循 了 网 络 安 全 等 级 保 护 的 要 求 。4 审 计 方 案 要 求4.1 总 则 根 据 受 审 计 金 融 机 构 的 规 模 、 性 质 和 复 杂

9、 程 度 ， 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 应 制 定 一 个 或多 个 审 计 方 案 ， 规 划 受 审 计 金 融 机 构 的 整 体 审 计 工 作 。审 计 方 案 可 包 括 一 次 或 多 次 审 计 ， 策 划 和 组 织 审 计 的 类 型 和 数 目 ， 以 及 在 规 定 的 时 间 内 为 有 效 和 高效 地 实 施 审 计 提 供 的 所 有 必 要 活 动 。金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 应 对 审 计 方 案 的 管 理 进 行 授 权 。 管 理 审 计 方 案 人 员 应 制 定 、 监督

10、、 评 审 及 改 进 审 计 方 案 ， 并 确 保 受 审 计 金 融 机 构 提 供 必 要 的 资 源 。4.2 基 本 要 素 和 主 要 内 容4.2.1 基 本 要 素审 计 方 案 的 制 定 可 基 于 以 下 考 虑 ：a) 法 律 法 规 和 合 同 的 要 求 。b) 网 络 安 全 等 级 保 护 主 管 部 门 的 要 求 。 c) 其 他 相 关 方 的 需 求 。d) 金 融 机 构 的 风 险 。 JR/T 0071.6 2020 2 4.2.2 主 要 内 容基 于 审 计 金 融 机 构 的 规 模 、 性 质 与 复 杂 程 度 ， 审 计 方 案 的

11、内 容 包 括 ：a) 审 计 的 范 围 、 目 的 和 期 限 。b) 审 计 的 频 次 。c) 审 计 的 内 容 。d) 审 计 活 动 的 数 量 和 地 点 。e) 审 计 活 动 的 重 要 性 、 复 杂 性 、 相 似 性 。f) 审 计 参 考 的 标 准 、 法 律 法 规 、 合 同 要 求 及 其 他 审 计 准 则 。g) 以 往 的 审 计 结 论 或 以 往 审 计 方 案 的 评 审 结 果 。h) 金 融 机 构 的 变 更 情 况 。4.3 审 计 方 案 负 责 人 员 和 所 需 资 源 4.3.1 审 计 方 案 负 责 人 员 职 责审 计 方

12、案 负 责 人 员 应 了 解 审 计 原 则 、 审 计 人 员 能 力 和 审 计 技 术 应 用 。 他 们 应 具 有 管 理 技 能 ， 了 解 与受 审 计 活 动 相 关 的 技 术 和 业 务 。负 责 管 理 审 计 方 案 的 人 员 应 ：a) 确 定 审 计 方 案 的 目 的 和 内 容 。b) 确 定 审 计 人 员 职 责 和 审 计 程 序 ， 确 保 受 审 计 金 融 机 构 提 供 必 要 的 资 源 。c) 确 保 审 计 方 案 的 实 施 。d) 确 保 保 持 审 计 方 案 记 录 。e) 制 定 、 监 督 、 评 审 和 改 进 审 计 方

13、案 。4.3.2 所 需 资 源识 别 审 计 方 案 所 需 资 源 时 应 考 虑 ： a) 审 计 活 动 的 制 定 、 实 施 、 管 理 和 改 进 所 必 需 的 财 务 资 源 。b) 审 计 技 术 。c) 适 合 具 体 审 计 方 案 目 的 的 审 计 人 员 。d) 审 计 方 案 的 内 容 。e) 审 计 过 程 中 的 路 途 时 间 、 食 宿 和 其 他 审 计 所 需 要 的 资 源 。4.4 审 计 方 案 的 实 施审 计 方 案 的 实 施 应 明 确 以 下 方 面 ：a) 与 被 审 计 机 构 沟 通 审 计 方 案 。b) 审 计 及 其 他

14、 与 审 计 方 案 有 关 的 活 动 的 协 调 和 日 程 安 排 。c) 向 审 计 组 提 供 必 需 的 资 源 。d) 确 保 按 审 计 方 案 进 行 审 计 。e) 确 保 审 计 活 动 记 录 的 完 整 性 。 f) 确 保 审 计 报 告 的 评 审 和 批 准 ， 并 确 保 分 发 给 审 计 相 关 方 。5 审 计 程 序 JR/T 0071.6 2020 3 5.1 活 动 流 程审 计 组 应 在 审 计 前 策 划 完 整 的 审 计 活 动 流 程 ， 审 计 活 动 流 程 参 见 图 1。启 动 审 计 指 定 审 计 组 长 确 定 审 计 目

15、 的 、 范 围 和 准 则 确 定 审 计 的 可 行 性 选 择 审 计 组 与 受 审 计 金 融 机 构 建 立 初 步联 系 评 审 文 件评 审 相 关 管 理 制 度 文 件 ， 包 括 记 录 ， 确定 其 针 对 审 计 准 则 的 适 宜 性 和 充 分 性准 备 现 场 审 计 编 制 审 计 计 划 审 计 组 工 作 分 配 准 备 工 作 文 件实 施 现 场 审 计 举 行 首 次 会 议 收 集 和 验 证 信 息 形 成 审 计 发 现 准 备 审 计 结 论 举 行 末 次 会 议编 制 、 批 准 和 分 发 审 计 报 告 编 制 审 计 报 告 批 准

16、 和 分 发 审 计 报 告完 成 审 计 实 施 审 计 后 续 活 动图 1 审 计 活 动 流 程 JR/T 0071.6 2020 4 5.2 启 动 审 计5.2.1 指 定 审 计 组 长负 责 管 理 审 计 方 案 的 人 员 应 为 审 计 活 动 指 定 的 审 计 组 长 。5.2.2 确 定 审 计 目 的 、 范 围 和 准 则审 计 应 基 于 形 成 审 计 文 件 的 目 的 、 范 围 和 准 则 。审 计 目 的 可 包 括 ：a) 确 定 受 审 计 金 融 机 构 网 络 安 全 等 级 保 护 体 系 与 审 计 准 则 的 符 合 程 度 。b) 评

17、 价 受 审 计 金 融 机 构 满 足 法 律 法 规 和 合 同 要 求 的 能 力 。c) 评 价 网 络 安 全 等 级 保 护 体 系 实 现 规 定 目 标 的 有 效 性 。d) 识 别 网 络 安 全 等 级 保 护 体 系 潜 在 的 改 进 方 面 。审 计 范 围 描 述 审 计 的 内 容 和 界 限 ， 例 如 ： 实 际 位 置 、 受 审 计 的 活 动 和 过 程 等 。 审 计 准 则 确 定 审 计 符 合 性 的 依 据 ， 包 括 所 适 用 的 方 针 、 程 序 、 标 准 、 法 律 法 规 、 等 级 保 护 要 求 、 合同 要 求 或 行 业

18、 规 范 等 。5.2.3 确 定 审 计 的 可 行 性审 计 机 构 应 判 断 审 计 的 可 行 性 ， 考 虑 下 列 因 素 的 可 获 得 性 ：a) 策 划 审 计 所 需 的 充 分 和 适 当 的 信 息 。b) 受 审 计 金 融 机 构 的 充 分 合 作 。c) 充 分 的 时 间 和 资 源 。当 审 计 不 可 行 时 ， 应 在 与 受 审 计 金 融 机 构 协 商 后 向 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 建 议 替 代 方案 。5.2.4 选 择 审 计 组当 已 明 确 审 计 可 行 时 ， 审 计 机 构 应 选 择 审

19、 计 组 ， 同 时 考 虑 实 现 审 计 目 的 。 当 只 有 一 名 审 计 人 员 时 ， 审 计 人 员 应 承 担 审 计 组 长 的 职 责 。当 决 定 审 计 组 的 规 模 和 组 成 时 ， 应 考 虑 下 列 因 素 ：a) 审 计 目 的 、 范 围 、 准 则 以 及 预 计 的 审 计 时 间 。b) 为 达 到 审 计 目 的 ， 审 计 组 所 需 的 整 体 能 力 。c) 法 律 法 规 、 合 同 的 要 求 。d) 确 保 审 计 组 独 立 于 受 审 计 的 活 动 并 避 免 利 益 冲 突 。e) 审 计 组 成 员 与 受 审 计 金 融

20、机 构 的 有 效 协 作 能 力 以 及 审 计 组 成 员 之 间 共 同 工 作 的 能 力 。保 证 审 计 组 整 体 能 力 的 过 程 应 包 括 下 列 步 骤 ：a) 识 别 为 达 到 审 计 目 的 所 需 的 知 识 和 技 能 。b) 选 择 审 计 组 成 员 以 使 审 计 组 具 备 所 有 必 要 的 知 识 和 技 能 。c) 若 审 计 组 中 的 审 计 人 员 没 有 完 全 具 备 审 计 所 需 的 知 识 和 技 能 ， 可 通 过 技 术 专 家 予 以 满 足 。5.2.5 与 受 审 计 金 融 机 构 建 立 初 步 联 系 审 计 机

21、构 与 受 审 计 金 融 机 构 就 审 计 的 事 宜 建 立 初 步 联 系 ， 可 以 是 正 式 或 非 正 式 的 ， 但 应 由 负 责 管 理审 计 方 案 的 人 员 或 审 计 组 长 进 行 。 初 步 联 系 的 目 的 是 ： JR/T 0071.6 2020 5 a) 与 受 审 计 金 融 机 构 的 代 表 建 立 沟 通 渠 道 。b) 提 供 建 议 的 时 间 安 排 和 审 计 组 的 信 息 。c) 要 求 获 得 审 计 需 要 的 相 关 文 件 ， 包 括 记 录 。d) 确 定 适 用 的 现 场 安 全 规 则 。e) 对 审 计 作 出 安

22、 排 。5.3 评 审 文 件在 现 场 审 计 前 应 评 审 受 审 计 金 融 机 构 的 网 络 安 全 管 理 相 关 文 件 ， 以 确 定 管 理 制 度 所 述 的 内 容 与 审 计准 则 的 符 合 性 。 评 审 文 件 可 包 括 受 审 计 金 融 机 构 的 网 络 安 全 相 关 管 理 制 度 和 记 录 。 评 审 应 考 虑 金 融 机 构的 规 模 、 性 质 以 及 审 计 的 目 的 、 范 围 和 工 作 开 展 的 复 杂 程 度 ， 如 果 不 影 响 审 计 实 施 的 有 效 性 ， 文 件 评 审可 以 推 迟 至 现 场 活 动 开 始

23、时 。5.4 准 备 现 场 审 计 5.4.1 编 制 审 计 计 划审 计 组 长 应 编 制 一 份 审 计 计 划 ， 使 审 计 组 和 受 审 计 金 融 机 构 之 间 就 审 计 的 实 施 计 划 达 成 一 致 。审 计 计 划 的 详 细 程 度 应 反 映 审 计 的 范 围 和 复 杂 程 度 。 审 计 计 划 应 有 充 分 的 灵 活 性 ， 应 允 许 更 改 ， 例如 随 着 现 场 审 计 活 动 的 进 展 ， 审 计 范 围 的 更 改 是 必 要 的 。审 计 计 划 应 包 括 ：a) 审 计 目 的 。b) 审 计 准 则 和 引 用 文 件 。

24、c) 审 计 范 围 ， 包 括 确 定 受 审 计 的 金 融 机 构 部 门 、 职 能 单 元 及 过 程 。d) 现 场 审 计 活 动 的 日 期 和 地 点 。e) 现 场 审 计 活 动 预 期 的 时 间 和 期 限 。f) 审 计 组 成 员 的 作 用 和 职 责 。g) 为 审 计 关 键 区 域 配 置 的 资 源 。 根 据 具 体 情 况 ， 审 计 计 划 还 宜 包 括 ：a) 明 确 受 审 计 金 融 机 构 的 代 表 。b) 后 勤 安 排 （ 交 通 、 现 场 设 施 等 ） 。c) 保 密 事 宜 。d) 审 计 后 续 活 动 。在 现 场 审

25、计 活 动 开 始 前 ， 审 计 计 划 应 经 金 融 行 业 等 级 保 护 主 管 部 门 批 准 ， 并 发 至 受 审 计 金 融 机 构 。受 审 计 金 融 机 构 的 任 何 异 议 应 在 审 计 组 长 和 受 审 计 金 融 机 构 之 间 解 决 。 任 何 经 修 改 的 审 计 计 划 应 在继 续 审 计 前 征 得 各 方 的 同 意 。5.4.2 审 计 组 工 作 分 配审 计 组 长 应 与 审 计 组 协 商 ， 将 具 体 的 审 计 职 责 分 配 给 审 计 组 每 位 成 员 。 审 计 组 工 作 的 分 配 应 考 虑 审计 人 员 的 独

26、 立 性 和 专 业 性 、 资 源 的 有 效 利 用 。 为 确 保 实 现 审 计 目 的 ， 可 随 着 审 计 的 进 展 调 整 所 分 配 的 工作 。 5.4.3 准 备 工 作 文 件审 计 组 成 员 应 收 集 与 其 所 承 担 的 审 计 工 作 有 关 的 信 息 ， 并 准 备 必 要 的 工 作 文 件 ， 用 于 审 计 过 程 的 参考 和 记 录 。 这 些 工 作 文 件 可 包 括 ： JR/T 0071.6 2020 6 a) 检 查 表 和 审 计 抽 样 计 划 。b) 记 录 信 息 （ 例 如 ： 支 持 性 证 据 、 审 计 发 现 和

27、会 议 记 录 ） 的 表 格 。c) 检 查 表 和 表 格 的 使 用 不 应 限 制 审 计 活 动 的 内 容 ， 审 计 活 动 的 内 容 可 随 着 审 计 中 收 集 信 息 的 结 果而 发 生 变 化 。d) 工 作 文 件 ， 包 括 其 使 用 后 形 成 的 记 录 ， 应 至 少 保 存 到 审 计 结 束 。 审 计 组 成 员 在 任 何 时 候 都 应 妥善 保 管 涉 及 保 密 或 知 识 产 权 信 息 的 工 作 文 件 。5.5 实 施 现 场 审 计5.5.1 召 开 首 次 会 议审 计 组 应 与 受 审 计 金 融 机 构 管 理 层 （ 或

28、 审 计 过 程 的 负 责 人 ） 召 开 首 次 会 议 。 首 次 会 议 的 目 的 是 ：a) 确 认 审 计 计 划 。b) 简 要 介 绍 审 计 活 动 如 何 实 施 。 c) 确 认 沟 通 渠 道 ， 指 定 向 导 。d) 向 受 审 机 构 提 供 询 问 的 机 会 。金 融 机 构 应 指 定 向 导 ， 以 配 合 审 计 组 的 工 作 。 向 导 可 与 审 计 组 同 行 ， 但 不 是 审 计 组 成 员 ， 不 应 影 响或 干 扰 审 计 的 实 施 。向 导 应 协 助 审 计 组 并 且 根 据 审 计 组 长 的 要 求 行 动 ， 职 责 可

29、 包 括 ：a) 建 立 联 系 并 安 排 面 谈 时 间 。b) 安 排 对 办 公 场 所 或 金 融 机 构 特 定 部 分 的 访 问 。c) 确 保 审 计 组 成 员 了 解 和 遵 守 有 关 场 所 的 安 全 规 则 和 安 全 程 序 。d) 代 表 受 审 计 金 融 机 构 见 证 审 计 过 程 。e) 在 审 计 过 程 中 ， 作 出 问 题 澄 清 或 提 供 帮 助 。5.5.2 信 息 的 收 集 和 验 证在 审 计 中 ， 与 审 计 目 的 、 范 围 和 准 则 有 关 的 信 息 ， 包 括 与 职 能 、 活 动 和 过 程 间 接 有 关 的

30、 信 息 ， 应 通 过 适 当 的 抽 样 进 行 收 集 并 验 证 。 只 有 可 证 实 的 信 息 可 作 为 审 计 证 据 并 记 录 。收 集 信 息 的 方 法 包 括 ：a) 访 谈 。b) 对 活 动 的 观 察 。c) 文 件 评 审 等 。审 计 组 应 定 期 讨 论 以 交 换 信 息 ， 评 定 审 计 进 展 情 况 ， 需 要 时 重 新 分 派 审 计 组 成 员 的 工 作 。在 审 计 中 ， 审 计 组 长 应 定 期 向 受 审 计 金 融 机 构 和 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 通 报 审 计 进 展及 相 关

31、 情 况 。 在 审 计 中 收 集 的 证 据 显 示 即 将 发 生 或 可 能 存 在 重 大 风 险 时 ， 应 立 即 通 知 受 审 计 金 融 机 构 ，并 向 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 报 告 。 对 于 超 出 审 计 范 围 之 外 的 引 起 关 注 的 问 题 ， 应 指 出 并 向审 计 组 长 报 告 ， 同 时 向 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 和 受 审 计 金 融 机 构 通 报 。当 获 得 的 审 计 证 据 表 明 不 能 达 到 审 计 目 的 时 ， 审 计 组 长 应 向 金

32、融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 和受 审 计 金 融 机 构 报 告 理 由 以 确 定 适 当 的 措 施 。 这 些 措 施 可 包 括 重 新 确 认 或 修 改 审 计 计 划 、 改 变 审 计 目 的 、审 计 范 围 或 终 止 审 计 。 随 着 现 场 审 计 的 进 展 ， 若 出 现 需 要 改 变 审 计 范 围 的 任 何 情 况 ， 应 经 金 融 行 业 网 络 安 全 等 级 保 护 主 管部 门 和 受 审 计 金 融 机 构 的 评 审 和 批 准 。5.5.3 形 成 审 计 发 现 JR/T 0071.6 2020 7 审 计

33、 人 员 应 对 照 审 计 准 则 评 价 审 计 证 据 以 形 成 审 计 发 现 ， 审 计 发 现 能 表 明 符 合 或 不 符 合 审 计 准 则 。审 计 人 员 应 汇 总 审 计 发 现 与 审 计 准 则 的 符 合 情 况 ， 指 明 审 计 的 场 所 、 职 能 和 过 程 。审 计 人 员 应 记 录 不 符 合 的 审 计 发 现 及 其 支 持 的 审 计 证 据 ， 并 对 不 符 合 的 审 计 发 现 进 行 分 级 。 如 果 审计 计 划 有 规 定 ， 还 应 记 录 符 合 的 审 计 发 现 及 其 支 持 的 审 计 证 据 。审 计 组 应

34、 根 据 需 要 共 同 评 审 审 计 发 现 。 对 不 符 合 的 审 计 发 现 ， 审 计 组 应 与 受 审 计 金 融 机 构 共 同 评 审并 确 认 审 计 证 据 的 准 确 性 ， 使 受 审 计 金 融 机 构 能 够 理 解 不 符 合 的 审 计 发 现 。 审 计 组 应 解 决 对 审 计 证 据 和（ 或 ） 审 计 发 现 有 分 歧 的 问 题 ， 并 记 录 尚 未 解 决 的 问 题 。5.5.4 准 备 审 计 结 论在 末 次 会 议 召 开 前 ， 审 计 组 应 讨 论 以 下 内 容 ：a) 针 对 审 计 目 的 ， 评 审 审 计 发 现

35、 以 及 在 审 计 过 程 中 所 收 集 的 其 他 信 息 。b) 考 虑 审 计 过 程 中 固 有 的 不 确 定 因 素 ， 对 审 计 结 论 达 成 一 致 。c) 如 果 审 计 目 的 有 规 定 ， 准 备 建 议 性 意 见 。 d) 如 果 审 计 计 划 有 规 定 ， 讨 论 审 计 后 续 活 动 。5.5.5 召 开 末 次 会 议末 次 会 议 应 由 审 计 组 长 主 持 ， 并 以 受 审 计 金 融 机 构 能 够 理 解 和 认 同 的 方 式 提 出 审 计 发 现 和 结 论 ， 适当 时 ， 双 方 就 受 审 计 金 融 机 构 提 出 的

36、 整 改 计 划 达 成 一 致 。 参 加 末 次 会 议 的 人 员 应 包 括 受 审 计 金 融 机 构 的代 表 和 其 他 与 审 计 相 关 的 人 员 。 审 计 组 长 应 告 知 受 审 计 金 融 机 构 在 审 计 过 程 中 遇 到 的 可 能 降 低 审 计 结 论可 信 程 度 的 情 况 。审 计 组 和 受 审 计 金 融 机 构 应 对 有 关 审 计 发 现 和 审 计 结 论 的 不 同 意 见 进 行 讨 论 ， 并 尽 可 能 达 成 一 致 。如 果 未 能 达 成 一 致 ， 应 记 录 所 有 的 意 见 。如 果 审 计 目 的 有 规 定

37、， 审 计 组 应 提 出 改 进 的 建 议 ， 并 强 调 该 建 议 没 有 约 束 性 。5.6 编 制 、 批 准 和 分 发 审 计 报 告5.6.1 审 计 报 告 的 编 制 审 计 组 长 应 对 审 计 报 告 的 编 制 和 内 容 负 责 。审 计 报 告 应 提 供 完 整 、 准 确 、 简 明 和 清 晰 的 审 计 记 录 ， 并 包 括 或 引 用 以 下 内 容 ：a) 审 计 目 的 。b) 审 计 范 围 ， 应 明 确 受 审 计 的 金 融 机 构 部 门 、 职 能 单 元 以 及 审 计 所 覆 盖 的 时 期 。c) 明 确 审 计 组 长 和

38、 成 员 。d) 现 场 审 计 活 动 实 施 的 日 期 和 地 点 。e) 审 计 准 则 。f) 审 计 发 现 。g) 审 计 结 论 。根 据 具 体 情 况 ， 审 计 报 告 可 包 括 或 引 用 以 下 内 容 ：a) 审 计 计 划 。b) 受 审 计 金 融 机 构 代 表 名 单 。c) 审 计 过 程 综 述 ， 包 括 遇 到 的 可 能 降 低 审 计 结 论 可 靠 性 的 不 确 定 因 素 和 （ 或 ） 障 碍 。 d) 在 审 计 范 围 内 ， 已 按 审 计 计 划 达 到 的 审 计 目 的 。e) 在 审 计 范 围 内 ， 但 没 有 覆 盖

39、 到 的 区 域 。f) 审 计 组 和 受 审 计 金 融 机 构 之 间 没 有 解 决 的 分 歧 意 见 。 JR/T 0071.6 2020 8 g) 如 果 审 计 目 的 有 规 定 ， 提 出 的 改 进 建 议 。h) 商 定 的 审 计 后 续 活 动 计 划 （ 如 有 ） 。i) 关 于 内 容 保 密 的 声 明 。j) 审 计 报 告 的 分 发 清 单 。5.6.2 审 计 报 告 的 批 准 和 分 发审 计 报 告 应 在 商 定 的 时 间 期 限 内 提 交 。 如 果 不 能 完 成 ， 应 向 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部

40、 门 通报 延 误 的 理 由 ， 并 就 新 的 提 交 日 期 达 成 一 致 。审 计 报 告 应 根 据 审 计 方 案 的 规 定 注 明 日 期 ， 并 经 评 审 和 批 准 。经 批 准 的 审 计 报 告 应 分 发 给 金 融 行 业 等 级 保 护 主 管 部 门 指 定 的 接 收 者 。审 计 报 告 属 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 所 有 ， 审 计 组 成 员 和 审 计 报 告 的 所 有 接 收 者 都 应 尊重 并 保 持 审 计 的 保 密 性 。 5.7 完 成 审 计当 审 计 计 划 中 的 所 有 活 动 已 完

41、 成 ， 并 分 发 了 经 过 批 准 的 审 计 报 告 时 ， 审 计 结 束 。审 计 的 相 关 文 件 应 根 据 参 与 各 方 的 协 议 ， 并 按 照 审 计 方 案 程 序 、 适 用 的 法 律 法 规 和 合 同 要 求 予 以 保存 或 销 毁 。除 非 法 律 要 求 ， 审 计 组 和 负 责 管 理 审 计 方 案 的 人 员 若 没 有 得 到 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门和 受 审 计 金 融 机 构 的 明 确 批 准 ， 不 应 向 任 何 其 他 方 泄 露 文 件 的 内 容 ， 审 计 中 获 得 的 其 他 信

42、 息 和 审 计 报 告 。如 果 需 要 披 露 审 计 文 件 的 内 容 ， 应 尽 快 通 知 金 融 行 业 网 络 安 全 等 级 保 护 主 管 部 门 和 受 审 计 金 融 机 构 。5.8 实 施 审 计 后 续 活 动审 计 结 论 可 以 指 出 纠 正 、 预 防 或 改 进 措 施 。 此 类 措 施 通 常 由 受 审 计 金 融 机 构 确 定 并 在 商 定 的 期 限 内实 施 ， 不 视 为 审 计 的 一 部 分 。 受 审 计 金 融 机 构 应 将 这 些 措 施 的 状 态 告 知 金 融 行 业 网 络 安 全 等 级 保 护 主 管部 门 。

43、应 对 纠 正 措 施 的 完 成 情 况 及 有 效 性 进 行 验 证 。 验 证 可 以 是 后 续 审 计 活 动 的 一 部 分 。6 审 计 内 容6.1 概 述按 照 GB/T25058的 要 求 ， 金 融 行 业 网 络 安 全 等 级 保 护 审 计 包 括 定 级 、 备 案 、 系 统 建 设 整 改 、 等 级 测评 和 自 查 、 安 全 检 查 等 工 作 的 审 计 。6.2 定 级对 各 金 融 机 构 的 定 级 工 作 进 行 审 计 ， 包 括 安 全 保 护 等 级 确 定 、 评 审 、 批 准 及 重 新 定 级 等 内 容 。6.3 备 案 对

44、各 金 融 机 构 的 备 案 工 作 情 况 进 行 审 计 ， 包 括 备 案 材 料 准 备 、 报 送 、 审 批 等 内 容 。6.4 系 统 建 设 整 改对 各 金 融 机 构 的 系 统 建 设 整 改 工 作 进 行 审 计 ， 包 括 系 统 建 设 整 改 方 案 、 产 品 采 购 、 自 行 软 件 开 发 、外 包 软 件 开 发 、 工 程 实 施 、 系 统 交 付 等 内 容 。 JR/T 0071.6 2020 9 6.5 等 级 测 评 和 自 查对 各 金 融 机 构 的 等 级 测 评 和 自 查 工 作 进 行 审 计 ， 包 括 等 级 测 评 周 期 、 测 评 机 构 选 择 、 测 评 报 告 、 问题 整 改 等 内 容 。6.6 安 全 检 查对 各 金 融 机 构 的 等 级 保 护 安 全 检 查 工 作 进 行 审 计 ， 包 括 检 查 报 告 、 问 题 整 改 等 内 容 。 JR/T 0071.6 2020 10 参 考 文 献1 GB 17859 计 算 机 信 息 系 统 安 全 保 护 等 级 划 分 准 则2 GB/T 22240 信 息 安 全 技 术 网 络 安 全 等 级 保 护 定 级 指 南3 Q/PBC 00001 2014 中 国 人 民 银 行 信 息 技 术 审 计 规 范_