I CS 03.060 A 11 备案号 J R 中 华 人 民 共 和 国 金 融 行 业 标 准 JR /T 0112—201 4 证券期货 业信息系统审计规范 I nformation system audit standard for securities and futures industry 2014 - 12-26 发布 2014 - 12-26 实施 中 国证券监督管理委员会 发 布JR/T 0112— 2014 I 目 次 前言 ............................................................................... III 1 范围 .............................................................................. 1 2 规范性引用文件 .................................................................... 1 3 术语和定义 ........................................................................ 1 4 审计目的 .......................................................................... 1 5 审计内容 .......................................................................... 2 6 审计机构 .......................................................................... 2 7 审计过程 .......................................................................... 2 7.1 审计准备阶段 .................................................................. 2 7.2 审计实施阶段 .................................................................. 3 7.3 审计终结阶段 .................................................................. 4 8 审计结果应用 ...................................................................... 5 8.1 整改方案 ...................................................................... 5 8.2 落实整改 ...................................................................... 5 9 建档保存 .......................................................................... 5 9.1 保存范围 ...................................................................... 5 9.2 保存期限 ...................................................................... 6 附录 A（规范性附录） 系统运行安全审计项汇总.......................................... 7 附录 B（规范性附录） 系统建设合规审计项汇总........................................ 148 附录 C（规范性附录） 系统应用绩效审计项汇总........................................ 153 参考文献 ........................................................................... 155 JR/T 0112— 2014 III 前 言 本标准按照G B/T 1.1-2009给出的规则起草。 本标准由全国金融标准化技术委员会（SAC/TC180）提出并归口。 本标准起草单位：中国证券监督管理委员会信息中心、上海证券交易所、深圳证券交易所、大连商 品交易所、中国金融期货交易所、中证信息技术服务公司、国泰君安证券股份有限公司、海通证券股份有限公司、国信证券股份有限公司、招商证券股份有限公司、嘉实基金管理有限公司、南方基金管理有限公司、鲁证期货股份有限公司、国泰君安期货有限公司。 本标准主要起草人：张野、刘铁斌、王东明、陈炜、俞枫、沈云明、李海军、温军成、金浦芳、赵 磊、王欣、吕德旭、周桉、周光增、李艳、李杰、舒春林、康明涛、路冰。 JR/T 0112— 2014 1 证券期货 业信息系统审计规范 1 范围 本标准规定了证券期货业信息系统审计工作的要求。 本标准适用于证券期货业机构，包括：承担证券期货市场公共职能的机构、承担证券期货行业信息 技术公共基础设施运营的机构等证券期货市场核心机构及其下属机构（以下简称“核心机构”），以及证券公司、 期货公司、 基金管理公司、 证券期货服务机构等证券期货经营机构 （以下简称 “经营机构” ） 。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 JR/T 0059—2010 证券期货经营机构信息系统备份能力标准 JR/T 0060—2010 证券期货业信息系统安全等级保护基本要求（试行） JR/T 0099—2012 证券期货业信息系统运维管理规范 3 术语和定义 下列术语和定义适用于本文件。 3.1 信息系统审计 information system audit 核心机构和经营机构根据国家及行业信息系统相关规范和标准，对信息系统规划、建设、运维和应 急等活动进行自我检查和评价，判断系统运行的安全性、系统建设的合规性和系统应用绩效，提出整改建议，并持续跟踪落实整改情况。 3.2 审计项 audit item 信息系统规划、建设、运维和应急等活动的关键控制点，来自于国家及行业相关技术规范和标准要 求，用于判断系统运行的安全性、系统建设的合规性和系统应用绩效。 3.3 专业能力 professional competence 个人从事信息系统审计所必备的学识、技术和能力，由学历认定、资格考试、职业技能鉴定等方式 进行评价。 3.4 第三方审计机构 third party audit institutions 熟悉证券期货业信息安全法规、规范、标准和指引，具有国家、行业认可的相关资质和必要能力， 并在审计过程中能够客观、公正、独立地从事审计活动的机构。 4 审计目的 JR/T 0112 —2014 2 核心机构和经营机构自觉贯彻落实国家及行业信息系统建设、 安全运行、 绩效考核相关规范和标准， 通过查找突出的风险隐患，有针对性的采取防范和改进措施，提高信息安全保障水平、系统建设合规性 和应用绩效。 5 审计内容 证券期货业信息系统审计包括3个方面，分别是系统运行安全审计、系统建设合规审计和系统应用 绩效审计。核心机构应开展系统运行安全审计、系统建设合规审计和系统应用绩效审计。经营机构应开 展系统运行安全审计，并可视情况开展系统建设合规审计、系统应用绩效审计。 系统运行安全审计重点关注系统运维风险，通过审查和评估交易、结算、行情、通信等重要业务信 息系统的安全性， 及时发现运行风险隐患。系统运行安全审计的内容见附录A， 其中期货公司类别是《期 货公司信息技术管理指引》评级结果。审计项来自于国家和行业颁布的信息安全法规、规范、标准和指 引，主要包括组织管理、机房管理、网络管理、主机和系统管理、运维管理等方面。 系统建设合规审计重点关注违法违规风险，通过审查和评估在采购电子产品、建设信息系统项目、 运行维护信息系统等活动中，本机构负责采购的人员、项目建设人员、系统运维人员等是否存在贪污受 贿、徇私舞弊、玩忽职守等行为，及时发现违法违规等风险隐患。系统建设合规审计的内容见附录B。 审计项来自于通行的信息系统招投标制度、 财务预算制度等， 主要包括需求论证、预算制定、项目立项、 项目采购、项目招标、商务谈判、供应商管理、合同管理、项目验收、钱款支付等方面。 系统应用绩效审计重点关注信息系统能否有效发挥作用， 通过审查和评估已建成信息系统的经济效 益和使用情况，及时发现资源浪费等风险隐患。系统应用绩效审计的内容见附录C。审计项来自于通行 的信息系统绩效评价方法，主要包括系统功能、性能是否达到项目预期目标、经费使用是否合理有效等 方面。 附录A、附录B、附录C将根据国家和行业信息安全法规、规范、标准和