《保险机构IT审计规范》编制说明
IT审计标准以及原则
IT审计标准以及原则已有574人加入软考帮帮团收藏本页免费做试题章节练习资料交易中心我有疑问？在这一节中，我们将介绍在IT审计的实施流程、组织形式等过程中应该遵循的一些标准和准则。
我们在前面的13.1提到，IT审计是独立的IT审计师采用客观的标准对以计算机为核心的信息系统的整个生命周期内的相关的活动和产物进行完整、有效的检查和评估的过程。
那么，为了保证审计结果的客观性和权威性，IT审计师必须采用一套公认的、权威的审计标准，作为实施IT审计的基本准则和实施依据。
制定或者采用权威的、公认的IT审计标准，是实现IT审计工作规范化、明确IT审计责任、保证IT审计质量的可靠保障。
目前在国际上较为流行的是美国的ISACA协会的审计标准。
ISACA于1996年推出了用于“IT审计”的知识体系COBIT(Control Objectives for Information and related Technology)，即信息系统和技术控制目标。
作为IT治理的核心模型，COBIT包含34个信息技术过程控制，并归集为4个控制域：IT规划和组织(Planning and Organization)、系统获得和实施(Acquisition and Implementation)、交付与支持(Delivery and Support)，以及信息系统运行性能监控(Monitoring)。
目前，COBIT已成为国际公认的IT管理与控制标准。
13.2.1 基本框架IT审计标准是IT审计的纲领性规范，它列举了IT审计的事实过程中必须包含的审计项目。
一般来说，一个IT审计标准的框架应该包含如下三个层次。
1. 基本准则规定了IT审计行为和审计报告必须达到的基本要求，是IT审计的总纲，也是制定其他相关标准、规范、准则和指南的基本依据。
2. 具体准则依据基本准则制定，对如何遵循IT审计的基本标准提供了详细规定和具体说明，是IT 审计师实施审计业务、出具审计报告的具体规范。
保险公司信息系统审计
2011年8月
目录
1 2 3 4
目录
IT审计概述 监管要求和审计标准介绍 保险公司IT审计内容 经验分享
页数 2
1.IT审计概述
页数 3
1.IT审计概述
什么是信息系统审计？
信息系统审计是指为了信息系统的安
全，可靠与有效，由独立于审计对象 的IT审计师，以第三方的客观立场对
风险评估
控制活动
信息与沟通
► 清晰的沟通渠道和汇报路线 ► 完整、详细和及时的IT系统报告 ► 用户对IT系统性能及相关流程的反馈 ► IT系统业务持续计划
监督
► 建立IT内部控制的定期评估和监督机制 ► 监督IT服务质量并实施改进建议 ► 建立IT内部审计职能以实施监控
页数 19
第 19 页
3.保险公司IT审计内容
IT管理制度体系
IT内审
页数 18
3.保险公司IT审计内容
方面 控制环境 需考虑的因素
► IT战略的制定和执行 ► IT组织架构 ► IT人力资源管理 ► 培训IT系统用户 ► IT组织的风险评估流程 ► 对IT事故的评估和反应机制 ► IT流程的政策和程序手册 ► 合理的职责分离 ► 针对合规性要求的IT流程 ► 对IT资产的适当保管
页数 13
3.保险公司IT审计内容
页数 14
3.保险公司IT审计内容
信息系统审计工作在以下三个层面开展：
IT公司层面
主要针对与IT 相关的管理层的控制作审计： • 控制环境、风险评估 • 控制活动 • 信息与沟通 • 监督 等 主要对IT常规流程控制作审计，这些 程序和有关控制是对应用层面控制的有效性起了 持续不断的影响。这些控制包括： • 系统开发、变更管理 • 逻辑访问管理 • 其他一般控制管理（例如备份等）
保险公司的信息系统审计
保险公司的信息系统审计一、信息系统审计的内容１．管理流程审计信息技术管理流程审计主要评估与公司发展战略目标相一致的信息技术规划，评估信息技术工作条例或工作程序，评估信息技术部门的工作职责与工作分工，评估信息系统取得开发、购置、引进的制度和流程，评估生产系统的运行维护的制度和流程，评估项目管理、项目监理的制度和流程，评估信息系统的安全管理制度，评估开发、测试、生产系统分岗制衡管理制度等。
２．技术平台审计信息技术平台审计主要评估信息技术基础平台的运行与安全管理，包括网络运行与安全管理如路由器、网络设备、防火墙、通信线路等、硬件运行与安全管理如小型机、服务器、前置机、打印机、扫描仪、存储设备、ＰＣ、终端等、操作系统及数据库等运行平台的运行与安全管理如Ｕｎｉｘ、Ｗｉｎｄｏｗｓ、数据库、中间件、应用开发工具、应用发布工具、版本管理工具、项目管理工具、防/杀毒工具等。
３．信息系统项目审计信息系统项目审计主要评估信息系统项目管理与项目监理的有效性。
项目管理审计主要评估项目启动、立项、需求分析、系统设计、开发、测试、试点、验收、推广过程的有效性，评价系统开发生命周期中的每一个程序是否均被严格执行，评价系统迁移的方案与效果，评价各类项目文档是否齐全。
其目的是控制项目进展过程中的风险。
项目监理审计主要评估项目监理在信息系统建设过程中发挥的作用，评估项目监理是否有效保证了信息系统建设的质量、进度和成本符合项目立项时的要求。
评估项目管理与项目监理间的责职是否清晰，分工是否明确。
４．生产系统审计信息系统的上线与投产，仅仅是信息化的开始，大量的风险与问题将出现在信息系统的生产运行与维护阶段。
保险公司内部一般均建立了核心业务系统、人员营销员等管理系统、财务系统、精算系统、再保系统等生产系统，公司的生产经营活动大多要通过生产系统进行，生产系统审计便显得更为重要。
生产系统的审计首先是信息系统与业务流程吻合审计，主要评估实际业务操作流程与信息系统操作流程的吻合情况，评估信息系统对需求的满足度及信息系统操作流程与业务操作流程的吻合度。
IT审计方案
信息系统的管理、规划和组织
评估信息系统的组织架构、战略及其开发、布置、维护的过程， 确保符合机构的商业的目标；
信息资产的保护
环境控制及物理访问的设计、实施和监 控，保护信息资产的完整、机密和可用 性，避免和/或减少潜在的损失，确保 资产和设备的保护程度满足组织的商业 目标。
信息资产的保护
技术构架和运营实务
应用系统用户权限设置 不当，致使管理人员权 限和职责不相容。
制的公司和个人银行账户的行为，已涉嫌违法犯罪。
6月6日，东北特殊钢集团有限责任公司公告称，公司2014年第 一期非公开定向债务融资工具（债券简称：“14东特钢 PPN001”）应于2016年6月6日兑付本息。截至到期兑付日日 系统整合程度对业务支 东北特钢信用风 终，公司未能筹措足额偿债资金，“14东特钢PPN001”不能 持不够，可能发生遗漏、 险事件继续发酵，按期足额偿付本期利息，已构成实质性违约。在此之前，东北 不完整，无法对债券投 3 2016年6月 截至目前公司已 特钢已经连续曝出4次债券违约。据公开公告统计，自3月28日 资交易形成闭环式及时、 有5只债券未能 起，东北特钢先后已有“15东特钢CP001”、“15东特钢 全面的信息掌握，影响 按期足额兑付 SCP001”、“13东特钢MTN2”、“15东特钢CP002”、 风控监督、投资评价甚 “14东特钢PPN001”5只债券未能按期足额偿付，这5只债券 至决策。 发行规模分别为8亿元、10亿元、8亿元、7亿元、3亿元，共计 36亿元。
对数据存储、计算成本支出 有效性、合理性进行审核， 提出改进意见，优化公司数 据管理成本。
保证数据分析模型质量
对数据模型与业务需求 匹配 程度进行评估，鉴 别其是否 满足公司业务 作业对数据分 析模型的 需求和期望。
中国保监会关于印发《保险机构内部审计工作规范》的通知
中国保监会关于印发《保险机构内部审计工作规范》的通知文章属性•【制定机关】中国保险监督管理委员会(已撤销)•【公布日期】2015.12.07•【文号】保监发〔2015〕113号•【施行日期】2015.12.07•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】审计正文中国保监会关于印发《保险机构内部审计工作规范》的通知保监发〔2015〕113号各保险集团（控股）公司、保险公司、保险资产管理公司：为规范保险机构内部审计工作，提高保险机构风险防范能力，提升公司治理水平，我会制定了《保险机构内部审计工作规范》，现印发给你们，请遵照执行。
中国保监会2015年12月7日保险机构内部审计工作规范第一章总则第一条为规范保险机构内部审计工作，提高保险机构风险防范能力，根据《中华人民共和国保险法》、《中华人民共和国公司法》、《中华人民共和国审计法》等有关法律法规及行业规范，制定本规范。
第二条本规范所称保险机构是指在中华人民共和国境内依法设立的保险集团（控股）公司、保险公司、保险资产管理公司、再保险公司及其分支机构等。
经保险监督管理部门批准设立的其他保险机构可参照执行本规范。
保险监督管理部门有IT审计专门规范和要求的，保险机构IT审计工作应从其规范。
第三条本规范所称的保险机构内部审计是一种独立、客观的确认和咨询活动，它通过运用系统化和规范化的方法，审查、评价并改善保险机构的业务活动、内部控制和风险管理的适当性和有效性，以促进保险机构完善治理、增加价值和实现目标。
第四条保险机构应健全内部审计体系，按照相关要求开展内部审计工作，及时发现问题，有效防范经营风险，促进公司的稳健发展。
第五条中国保险监督管理委员会（以下简称“中国保监会”）及其派出机构根据法律、行政法规、监管规定以及本规范的规定，依法对保险机构内部审计工作实施指导、监督和评价。
第二章一般原则第六条保险机构应建立与公司目标、治理结构、管控模式、业务性质和规模相适应，预算管理、人力资源管理、作业管理等相对独立的内部审计体系。
it审计标准
it审计标准IT审计是独立于信息系统本身、信息系统相关开发、使用人员的第三方IT 审计师采用客观的标准对信息系统的策划、开发、使用维护等相关活动和产物进行完整地、有效地检查和评估。
一、公司层面控制所需资料、文件：1、IT 部门架构图、IT人员职责说明2、IT 预算、策略和年度规划3、IT内部、IT 与业务部门、IT与管理层之会议记录4、与第三方供货商之服务协议（若 IT服务外判）5、IT 风险评估制度和报告6、财务系统与其它系统间之数据流程图7、IT内部审计报告和审计发现之跟进要求：1、完整清晰的部门架构以及职员职责说明；2、有完善的费用预算机制，有经过授权并正式签发的费用预算文件；有与公司战略相匹配的T策略及每年的年度规划；3、内部、与业务部门、与管理层之间的会议记录；4、签订相关服务合同；5、完善的风险评估机制，或引进专业风险评估机构；6、提供数据流程图；7、应建立内审机制并定期内审，以辅助外审，建议引进专业机构定期内审。
二、信息安全（一）信息安全制度、用户信息安全意识所需资料、文件：1、信息技术安全规章制度2、令员工充份了解信息技术安全规章制度的措施3、信息安全培训记录要求：1、制定完善的安全规章制度，并采取广泛的宣传措施将该制度灌输至每位公司员工；规2、章制度写入员工手册并印发，新员工入职便能了解公司要求，并做定期培训，做好培训记录。
（二）物理安全所需资料、文件：1、机房物理安全规章2、保安设施(如门禁系统、访客记录)要求：1、物理要求:门禁系统、烟雾报警器(置于地板夹层或顶棚夹层)、监控、DPS、空调(接UPS)、干粉灭火器、防火防水装修材料；2、机房管理:专人管理钥匙、有访客记录、机柜门应上锁；3、服务器管理:密码变更设置(文档/流程/频率)、密码策略(windows/sql用户密码强制策略、windows帐号锁定策略、密码长度8位以上、历史密码6次)、windows界面自动锁定、应急管理/流程(备用钥匙、密码文件密封置于机房上锁的柜子中或密封的信封里面)；4、机房显眼处应有机房管理制度。
内部it审计管理制度范文
内部it审计管理制度范文内部IT审计管理制度范文第一章总则第一条为规范内部IT审计管理，加强对信息技术的内部控制，保障企业信息安全，提高公司运营效率，制定本制度。
第二条本制度适用于本企业的所有IT审计活动，包括信息系统建设过程中的各阶段审计、信息系统运维过程中的各类审计、以及其他与IT安全相关的审计活动。
第三条IT审计是指对企业信息系统和相关IT基础设施进行遵循相关法律法规和内部控制要求的检查、评估与审查的一系列活动。
第四条IT审计管理应遵循独立、客观、公正、尽职、保密的原则。
第五条IT审计管理的目标是保障信息系统的合规性、安全性和可用性，并及时发现和解决潜在的风险。
第六条IT审计管理应针对企业的业务需求和风险特点，制定相应的审计计划和方法，确保审计工作的有效性和高效性。
第七条IT审计管理应与其他部门的工作衔接，形成相互支持、协调一致的机制。
第八条IT审计管理工作应由内部审计部门或者委托专业机构承担，同时可以与外部审计机构合作。
第九条公司应为IT审计管理提供必要的资源和支持，包括人员、经费、技术设备等。
第二章职责和权限第十条IT审计管理的职责和权限分为以下几个方面：（一）制定和完善IT审计管理制度和流程，包括审计计划、方法、工作程序等。
（二）依据法律法规和内控要求，制定和实施信息系统审计标准，确保审计工作的规范性和一致性。
（三）组织和实施信息系统的风险评估，制定相应的风险控制和防范措施。
（四）评价和审查各类信息系统的合规性，确保信息系统的安全性和可用性。
（五）评估和改善信息系统的管理效能，提出改进建议，促进信息系统的运营和发展。
（六）定期制作和提交IT审计报告，向公司高层汇报审计结果，并提出相应的整改建议。
（七）监督和检查IT审计工作的执行情况，确保审计结果的可靠性和准确性。
（八）开展相关的IT基础设施的安全审计，发现和解决潜在的安全隐患和漏洞。
第十一条IT审计管理部门应设立专门的人员，具备相关的专业知识和技能，能够独立、客观、公正地开展审计工作。
保险机构IT审计规范
保险机构IT审计规范1 范围本标准依据《保险机构信息化风险非现场监管报表及评价体系》的评价内容和评价标准，规定了保险机构开展IT审计工作的具体实施细则，主要包括信息化治理审计、信息化风险管理审计、信息安全管理审计、信息系统开发与测试审计、信息化系统运行审计、灾难恢复管理审计、外包与采购审计、互联网保险审计等细则。
本标准适用于保险机构IT审计活动，其他机构模式相似的保险中介可参考执行。
2 规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅所注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 22239信息安全技术信息系统安全等级保护基本要求保险公司内部审计指引（试行）(保监发〔2007〕26号)保险业信息系统灾难恢复管理指引 (保监发〔2008〕20号)保险公司信息化工作管理指引（试行）（保监发〔2009〕133号）保险公司信息系统安全管理指引（试行）（保监发〔2011〕68号）互联网保险业务监管暂行办法（保监发〔2015〕69号）保险机构信息化监管规定(送审稿)保险机构信息化风险非现场监管报表及评价体系（意见修订稿）3 术语和定义3.1 IT审计 IT audit保险机构和经营机构根据国家及行业信息系统相关规范和标准，对信息系统规划、建设、运维和应急等活动进行自我检查和评价，判断系统运行的安全性、系统建设的合规性和系统应用绩效，提出整改建议，并持续跟踪落实整改情况。
3.2审计项 audit item信息系统规划、建设、运维和应急等活动的关键控制点，来自于国家及行业相关技术规范和标准要求，用于判断系统运行的安全性、系统建设的合规性和系统应用绩效。
3.3 专业能力 professional competence个人从事IT审计所必备的学识、技术和能力，由学历认定、资格考试、职业技能鉴定等方式进行评价。
3.4 第三方审计机构 thirdparty auditinstitutions熟悉保险机构信息安全法规、规范、标准和指引，具有国家、行业认可的相关资质和必要能力，并在审计过程中能够客观、公正、独立地从事审计活动的机构。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
中国保险监督管理委员会行业标准文件
《保险机构IT审计规范》编制说明
一、背景意义
保险机构IT审计是保险机构内部控制的重要组成部分，是对保险机构IT工作进行的一种独立、客观的监督、评价和咨询活动。
IT审计工作保障保险机构信息科技和信息安全的风险控制在可接受水平，切实维护保险业信息安全，提升保险机构IT审计工作水平，促进IT工作规范化与标准化建设，提高信息化水平，改善保险机构IT服务和业务流程，增加信息化价值。
中国保险监督管理委员会为了能更好检查评价保险机构IT 审计工作，提高监督有效性，保证国家有关保险法律法规、方针政策、监管部门规章的贯彻执行，2015年联合保标委启动《保险机构IT审计规范》标准制定工作。
《保险机构IT审计规范》是《中国保险业标准化十二五规划》建立保险行业信息标准化体系框架的重要组成部分，是保险机构相对于《保险机构信息化风险非现场监管报表及评价体系》的评价体系与评价标准，而开展IT审计工作的具体实施细则。
二、任务来源
2015年初，中国保险监督管理委员会为了能更好检查评价保险机构IT审计工作，提高监督有效性，保证国家有关保险法律法规、方针政策、监管部门规章的贯彻执行，制订保险机构IT审计制度体系。
为确保此项工作的落实，保监会联合保标委启动《保
份有限公司负责标准的起草工作。
三、起草单位
参与本标准制定的单位包括：中国保险监督管理委员会、
全国金融标准化技术委员会保险分技术委员会、中国平安保险（集团）股份有限公司
四、编制原则及技术依据
1.编制原则
本规范充分借鉴国内外保险相关行业的先进理论和最佳实践,根据我国保险业的发展需求,符合我国国情的IT审计管理办法,结合保险行业的实际情况和国内外先进的管理经验而制定。
（1）符合性原则：符合保监会对保险机构有关IT审计工作的规定，如：《保险公司内部审计指引》、《保险机构信息化监管规定》《保险公司信息化工作管理指引》等规定，遵从《保险业标准化工作指南》的要求。
（2）一致性原则：本标准与保险业IT审计工作的其他文件《保险机构信息化监管规定》、《保险机构信息化风险非现场监管报表及评价体系》全面配套，协调一致，构成完整的保险业IT 审计体系。
（3）科学性原则：本标准根据《保险机构信息化风险非现场监管报表及评价体系》的评价体系与评价标准,结合平安集团的实际情况，从IT审计工作的具体实施细则出发，制订本标准。
标准应具有“科学性”、“系统性”、“前瞻性”和“适用性”。
2.技术依据
本标准在编写过程中参照保监会的法规文件《保险公司内部审计指引（试行）》(保监发…2007‟26号)、《保险公司信息系统安全管理指引（试行）》（保监发…2011‟68号）、《保险业信息系统灾难恢复管理指引》(保监发…2008‟20号)、《保险公司信息化工作管理指引（试行）》（保监发…2009‟133号）、《互联网保险业务监管暂行办法》（保监发…2015‟69号）、《保险机构信息化监管规定（送审稿）》、《保险机构信息化风险监管报表及评价体系（征求意见稿）》。
本标准编写规则是按照GB/T 1.1-2009 《标准化工作导则第一部分：标准的结构和编写》的要求进行。
四、标准制订过程
1.项目前期准备
2014年10月至11月，针对《保险机构信息化风险非现场监管报表及评价体系》的评价体系与评价标准，中国保险监督管理委员会提出《保险机构IT审计规范》标准研制项目，指导保险机构IT审计工作的实施。
由中国平安保险(集团)股份有限公司负责起草工作，平安集团参阅大量中华人民共和国保险法、审计法等文件，并开始前期研究工作，探讨本标准立项目的、工作任务和结构要点，为本标准的起草打下了很好的基础。
2.成立编写组
2015年1月，根据项目需要，在中国保险监督管理委员会的指导下，平安集团组建了标准编制组，并召开编写单位专家小组会议，明确标准名称、结构要点和工作任务。
建立项目管理机
制，制订项目工作计划。
3.完成标准初稿
2015年2月，按照标准制定原则，项目组在进行文献调研的基础上，学习项目团队的标准化方法、确定标准的编写方案、确定编写依据，收集资料，拟定标准的制定范围和标准框架，完成标准的初稿。
4.编制组召开讨论会，形成征求意见稿
2015年3月至8月，标准编制组召开多次讨论会，对标准草案逐条、逐字进行了讨论，几经修改，充分交换意见，标准草案得到进一步完善。
其间项目团队到北京向保监会汇报，根据保监会和相关方意见修改，形成了《保险机构IT审计规范（征求意见稿）》。
五、本标准的主要说明
1.定位说明
本标准《中国保险业标准化十二五规划》建立保险行业信息标准化体系框架的重要组成部分，是保险机构IT审计体系的有效补充。
《保险机构信息化监管规定》是保监会对保险机构的信息化工作的规定要求，切实维护保险机构信息安全，加强对保险机构信息化工作的监督管理，促进信息化工作规范化与标准化建设。
《保险机构信息化风险非现场监管报表及评价体系》是保监会对保险机构信息化工作的评价标准，明确规定对保险机构IT 工作的评价方法和标准，而《保险机构IT审计规范》则是保险机构相对评价体系中的八大评价内容而具体落实的工作细则，两
者相辅相成，协调一致。
2.内容说明
本标准分为IT审计内容、审计机构、审计过程以及质量控制，最后以规范性附录的形式，详细规定IT审计项，其中包括保险机构信息化治理、信息化风险管理、信息管理安全、信息系统建设与运行维护、信息系统开发与测试、信息系统运行、灾难恢复管理、外包与采购、互联网保险管理要求等内容。
3.适用范围说明
本标准依据《保险机构信息化风险非现场监管报表及评价体系》的评价内容和评价标准，规定了保险机构开展IT审计工作的具体实施细则，主要包括信息化治理审计、信息化风险管理审计、信息安全管理审计、信息系统开发与测试审计、信息化系统运行审计、灾难恢复管理审计、外包与采购审计、互联网保险审计等细则。
本标准适用于保险机构信息科技审计活动。
4.定义
对保险机构涉及的IT审计、审计项、专业能力、第三方审计机构等进行定义解释。
5.基本原则
保险机构IT审计必须符合“在计划、实施及报告的审计全过程中，均应秉持职业怀疑态度，并遵循诚信、客观、保密及胜任的行为准则”的原则，推行遵守国家法律法规、行业监管规定以及职业要求，诚实、勤恳执行审计工作，同时不得参与可能损
害或被认为会损害其客观性和公正性的活动，不得接受可能损害或被认为会损害其职业谨慎的任何物品，避免任何利益冲突。
6.审计内容
保险机构信息化治理、信息化风险管理、信息管理安全、信息系统建设与运行维护、信息系统开发与测试、信息系统运行、灾难恢复管理、外包与采购、互联网保险管理要求等内容；
7.审计机构
从实际工作出发，规范审计机构的基本要求，审计责任部门的设定要求，审计专业人员的资格资质和如何更好利用外部服务提供工作服务。
8.审计过程
保险机构，必须制订完整可行的审计计划，保证各种审计资源充分并得到合理有效配臵，规定详细合理的审计实施方法，全程进行实施方法的监控。
审计工作完成后，要做好审计报告向管理层进行工作汇报、归档以及后续的工作跟踪。
9.质量控制
审计责任部门应当严格而全面地对审计活动的效率效果进行质量控制，主要包括质量控制责任、质量控制程序、结果汇报等工作。
10.本标准的维护和管理
本标准编制完成后，由全国金融标准化技术委员会保险分技术委员会作为归口管理单位，负责统筹本标准的推广使用、扩充、
修订等管理工作。
管理内容包括标准的培训和宣导、标准的推行使用、标准复审、提出标准修订安排等。
11. 参考文献
本标准起草过程中，参阅了大量文档资料，主要资料包括如下：
（1）中华人民共和国保险法
（2）中华人民共和国标准化法
（3）中华人民共和国审计法
（4）中华人民共和国计算机信息系统安全保护条例(国务院令第147号)
（5）保险公司内部审计指引（试行）(保监发…2007‟26号)
（6）保险公司信息系统安全管理指引（试行）（保监发…2011‟68号）
（7）保险业信息系统灾难恢复管理指引 (保监发…2008‟20号)
（8）保险公司信息化工作管理指引（试行）（保监发…2009‟133号）
（9）互联网保险业务监管暂行办法（保监发…2015‟69号）（10）保险机构信息化监管规定（送审稿）
（11）保险机构信息化风险监管报表及评价体系（征求意见稿）
（12）关于印发企业内部控制配套指引的通知(财会…2010‟11号). 财政部、证监会、审计署、银监会、保监会. 2010.4.15 （13）信息安全技术信息系统安全等级保护基本要求(GB/T 22239-2008)
（14）国际内部审计师协会.国际内部审计专业实务框架.2009.1.1
（15）国际信息系统审计协会.IS审计和鉴证标准.2014
（16）中国内部审计协会.第2203号内部审计具体准则——信息系统审计, 2013.8.28。