（一）无法科学评价商业银行总体经营状况的真实性、合法性和效益性
由于商业银行信息系统的复杂性及海量数据在总行大集中等因素影响，审计机关现有的审计技术与方法尚无法对商业银行的会计报表与原始电子数据的一致性作出准确地判断，无法核实商业银行整体经营成果的真实性；由于受人力、时间、设备以及审计技术等因素影响，审计机关难以对商业银行整体经营的合法性和效益性进行科学评价。从审计实践来看，审计机关对商业银行的审计结果只能回答哪些方面存在问题，而无法保证是否遗漏重大违法违规问题。另外，审计署《审计机关审计质量控制办法（试行）》规定要求对被审计单位进行审计评价，而各级审计机关通常的做法是根据查出问题多少和严重程度来作为评价基础，缺乏更加直接的审计证据支持，评价内容比较笼统，评价依据缺乏严谨性和科学性。
（二）无法保证所采集的电子数据的唯一性、完整性和准确性
由于商业银行信息系统设计开发缺陷或者手工输入错误等原因，系统中的数据质量可能会存在问题，数据重复与冗余、数据不完整或缺失等现象会时有发生。这种情况在单数据源的情况下相对容易解决，但在多数据源集成时，如果不加以纠正会使数据失真情况放大。因此，直接采集的被审单位的审计数据不一定能够完全满足审计需求，要对存在质量问题的电子数据进行清理。由于商业银行数据过于庞大及其特殊的安全性要求，审计机关通常依赖于被审单位的设备和技术支持，无法关注程序中源代码的逻辑错误，无法检查信息系统的输入输出控制，无法解决非法嵌入舞弊程序而篡改数据问题。因此，就无法保证所采集电子数据的唯一性、完整性和准确性，“假电子数据真审”的现象就难以避免。近年来的审计中，被审单位提供数据时常不及时、不完整和不准确。例如，2007年在审计某商业银行“××理财业务”时，该行会计和业务部门对同一业务提供的数据不一致、不准确且有明显的筛选和过滤情况（最终通过比较数据差异发现账外经营问题），给审计工作的开展造成了很大的障碍。
（三）难以做到审计方法的全面性、统一性和系统性
审计机关对商业银行的审计目标是全面性、统一性和系统性。通过对商业银行信息系统的特点、架构与一般业务流程的了解，我们会发现，审计机关目前对商业银行的审计所涉及的范围和内容还比较狭窄，具有很大的局限性。在实施审计过程中，受人员少和时间短等因素影响，往往不能进行全面性、系统性审计，审计的内容仅包括对公存款业务、信贷业务、中间业务、国际业务和会计管理业务等，并在此基础上有选择地进行重点抽查审计。在执行具体审计实施方案时，因侧重点不同也缺乏统一性。因此，现有审计技术与方法无法保证对商业银行进行全面性、统一性和系统性的审计。
三、对商业银行开展信息系统审计的必要性
（一）能够切实加强对商业银行内控制度的监管
内部制度失控是商业银行目前面临的最大风险。商业银行系统的合法使用者或系统管理人员由于误操作或故意违规，以及利用系统缺陷非法攻击等行为，致使系统数据篡改、泄露秘密、资产遭受损失。商业银行内部人员的主观故意违法行为会给银行经营安全带来巨大的灾难。例如，2005年中国银行哈尔滨分行河松街支行原行长高山内外勾结金融诈骗客户存款10亿元；2001年中国银行广东开平分行前后三任行长在长达十年多的时间里向海外非法转移资金近40亿元等案件，均由于内控完全失效给银行造成了重大损失。在信息系统审计方式下，审计机关通过系统运行控制审计和系统访问控制审计等技术方法，比较容易发现商业银行内控制度漏洞和管理存在的薄弱环节，能够有针对性地加强对商业银行内控制度的监管。
（二）能够有效地发现和防范金融审计风险
由于商业银行的业务都要在信息系统中操作，故其所有的操作都会在系统中产生动态或静态的痕迹，操作行为与痕迹之间必然会存在相应的关系。因此，对商业银行开展信息系统审计，以操作行为的正常规律与规则为依据，对相关痕迹进行分析，可以识别和发现商业银行在运行过程中存在的各种不当操作与非法操作，通过对一般具有显著特征的不合理行为和重大异常点的有效甄别，能够识别影响商业银行生存与发展的重大异常和风险事件，最终也必然会发现违法违规问题和大案要案线索。与传统的商业银行审计方法相比，信息系统审计因为对应用过程能够进行有效控制而能够更广泛、更有效地发现和防范金融风险。随着审计技术水平的提高，甚至可以通过系统审计软件对商业银行的异常交易进行实时监控审计，最大限度地降低审计风险。
