(资料图片仅供参考)

在中小银行中，客户信息保护工作往往面临“心有余而力不足”的结构性困境，主要体现在资源投入、治理模式和技术支撑短板等方面。如何结合业务状况和控制水平，及时发现、控制并纠正管理工作中存在的薄弱环节，确保问题有效整改，实现审计“尽可能推动风险最小化、利益最大化”的目标。兴化农商银行在对本行客户信息保护专项审计中，结合实际经营和管理情况制定了针对性的审计方案，采用多种审计方法，对本行的客户信息保护工作进行了审计。

审计主要思路

以客户信息全生命周期为主线，从客户信息的采集、存储、使用、加工、传输、提供、公开、删除八大处理环节，围绕制度、流程、系统、资料、人员五个维度开展审计，检查是否存在客户信息保护体系的漏洞和隐患，检验现有控制措施是否有效运行。

（一）文档审阅法，审查制度体系

对照客户信息方面的法律法规和监管要求，一是查看被审计单位是否制定并持续完善客户信息保护相关制度体系。二是是否建立并完善个人客户信息保护组织架构，明确机构各层级内设部门与相关岗位个人客户信息保护职责与总体要求。三是检查隐私政策、用户授权书、第三方合作协议等资料，查看采集目的、数据保密、权责等内容是否准确明确。

（二）穿行测试法，审查业务流程

一是模拟客户从开户、使用、修改到注销的全生命周期，验证各个环节是否符合信息保护技术控制及业务规范。二是模拟客户信息从采集到删除的八大处理活动，查看各个阶段的处理活动是否符合操作规定，控制措施是否到位。