（1）调阅信息科技部门的各项工作流程和规章制度。
1.查阅分析工作流程是否能够走通，衔接是否流程，形成闭环；
2.规章制度是否具备可操作性，涉及判断是否明确；无主观判断语句，如视情况、相关人员等。不应存在违反监管规定的条款。
3.可以进行工作流程和规章制度执行测试，验证执行情况。
（2）调阅信息科技风险管理政策和制度。
1.了解信息科技风险政策的来源和分析依据，判断是否合理；
2.查阅风险管理制度是否覆盖了风险识别、风险计算或风险评估、风险处置、风险再评估等必要环节；
3.判断风险识别技术是否全面（如行业风险导入、同行事件导入、审计发现风险导入、重大风险导入等）、风险计算或风险评估技术（是否符合相关标准，如GB20984）、风险处置判断标准是否明确等。
（3）调阅信息科技部门的组织结构图,岗位职责说明。
1.分析信息科技部门在组织结构层面是否实现部门级的职责分离，即开发部门与运维部门分离；
2.查阅是否有专职的信息安全岗、开发岗位、测试岗位、运维岗位、应用系统管理岗（按理论讲这个岗位应该在业务部门，实际上很多银行放在信息科技部门，从原则上讲只要分离就好）、机房值班巡检岗等岗位；
3.分析岗位职责说明是否存在岗位间不一致的要求，注意操作和审核（审批）之间的对应。
（4）访谈信息科技部门负责人、内部各条线负责人和信息科技风险管理人员，关注以下内容：（a）信息科技部门内部设置了哪些条线？各条线是否实现了必要的职责分离,如开发团队和运行团队分离, 信息科技人员不从事业务操作, 有专门的团队开展安全检查等；
不应仅通过访谈了解上述情况，应通过测试验证。
1.抽取一定期间的运维记录，分析是否存在信息科技人员从事业务操作的现象；是否有开发团队执行运行团队工作的现象，特别注意开发人员和运维人员岗位调换的现象，在时间上是否合理。
2.抽取安全检查团队的执行记录，注意是否存在安全检查期间从开发团队、运行团队借用人员的现象。
(b) 信息科技部门的资源状况,包括人员是否充足,是否拥有充分的技能；
1.抽取审计年度所有项目，分析因人员不足原因造成延误的项目比例；分析因人员专业能力不充分造成延误的项目比例；参考不应超过30%。
2.抽取审计年度重大事件的报告，分析因人员不足、人员专业能力不充分造成重大事件的比例；
3.抽取运行维护记录，分析分析因人员不足、人员专业能力不充分造成维护不及时、维护效率低下的比例；（如果已经建立了运维评价体系可以直接借用）。
(c)问题和风险的报告路线、流程和处置效率；
1.抽取所有问题、风险报告的记录，测试是否存在违反报告路线的现象；如存在应询问具体原因；测试是否存在处置时间过长的现象，如存在应询问具体原因。确认原因是否可接受。
(d) 信息科技人员的激励机制；
1.了解信息科技人员的激励机制，分析激励机制的合理性；
2.了解审计年度激励机制未惠及人员的状态，如离职、工作态度变化、效率降低等现象；
3.了解员工是否了解激励机制的激励标准或规则。
(e)如何对信息科技人员进行职业道德方面的教育,如何在全行科技职能范围内推进风险管理和内部控制的理念；
1.了解后，验证职业道德、风险管理、内控方面的执行记录。
(f)信息科技人员的任免和招聘,是否进行背景调查;
1.抽取审计年度全部新任和招聘岗位员工，测试：1、简历所述学历与学历证书是否对应；2、履行背景调查程序的比例（一般高级别岗位需进行背景调查，一般员工不需要）、3、是否存在绕过招聘或任免程序的现象，如有询问原因；4、学历、资格证书查验比例；5、被推荐的员工比例；6、新入员工是否与原有员工存在亲属关系等。
(g)主要岗位是否轮岗;
1.抽取信息科技部各部门主要员工，测试轮岗比例情况，一般3~5年所有主要岗位应完成轮岗一次。
(h)信息科技人员的技能培训情况;
1.测试技能培训是否覆盖本行所需专业的比例；2.对应岗位的人员参与对应技能培训的比例；3.培训效果是否测量；4.技能培训是否涉及技术新趋势；5.技能培训是否多样化，如沟通技能、项目管理、团队建设等。
(i)信息科技人员是否了解本行的信息科技政策/流程/规范/标准等。
1.可以问卷测试；2、可以抽取一定数量的人员进行访谈；3.可以分析哪些问题或故障是因为不了解政策、流程、规范、标准导致其发生的。