關(guān)于科研生產(chǎn)企業(yè)信息系統(tǒng)審計的探索與實踐

顏曉玲

摘要：信息技術(shù)與經(jīng)營管理的高度融合使科研生產(chǎn)企業(yè)的審計環(huán)境和審計對象發(fā)生了巨大變化，在科研生產(chǎn)企業(yè)內(nèi)部開展信息系統(tǒng)審計有著重要的理論與實踐意義。本文簡述了科研生產(chǎn)企業(yè)開展信息系統(tǒng)審計的背景，并基于PDCA循環(huán)理論提出了審計整改全壽命工作法，探討了在科研生產(chǎn)企業(yè)信息系統(tǒng)審計中運(yùn)用該方法的思路和實踐。

關(guān)鍵詞：信息系統(tǒng) 審計 全壽命工作法

一、前言

科研生產(chǎn)企業(yè)內(nèi)部管理中綜合集成了各種信息系統(tǒng)，涵蓋R&D管理、過程管理、質(zhì)量管理、產(chǎn)品管理、財務(wù)管理和綜合管理等多個方面。為了適應(yīng)科研生產(chǎn)管理高度信息化的環(huán)境，推動信息系統(tǒng)審計勢在必行。

2008年財政部等五部委聯(lián)合發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》指出：“企業(yè)應(yīng)當(dāng)加強(qiáng)對信息系統(tǒng)開發(fā)與維護(hù)、訪問與變更、數(shù)據(jù)輸入與輸出、文件儲存與保管、網(wǎng)絡(luò)安全等方面的控制，保證信息系統(tǒng)安全穩(wěn)定運(yùn)行”。2011年出臺的《審計署“十二五”審計工作發(fā)展規(guī)劃》指出，要“積極開展信息系統(tǒng)審計”，以實現(xiàn)控制目標(biāo)?？蒲猩a(chǎn)企業(yè)自身高度的信息化應(yīng)用需要，要求內(nèi)部審計部門運(yùn)用信息技術(shù)開展信息系統(tǒng)審計，評價組織關(guān)于信息技術(shù)的管理目標(biāo)是否實現(xiàn)。內(nèi)審部門應(yīng)對龐大的“待審計業(yè)務(wù)數(shù)據(jù)”進(jìn)行挖掘、分析、判斷、評價和鑒定，發(fā)揮其在防范風(fēng)險、強(qiáng)化管理和提供增值服務(wù)中的作用。

目前，國內(nèi)外先后發(fā)布了不同成熟度的信息系統(tǒng)審計相關(guān)文件，為開展信息系統(tǒng)審計提供了幫助和指引。國內(nèi)主要包括兩項準(zhǔn)則，一是2008年中國內(nèi)部審計協(xié)會頒布的《內(nèi)部審計具體準(zhǔn)則第28號——信息系統(tǒng)審計》，為內(nèi)部審計機(jī)構(gòu)及人員開展信息系統(tǒng)審計活動提供指引；二是審計署2010年頒布的《中華人民共和國國家審計準(zhǔn)則》（第8號令）中與信息系統(tǒng)檢查和審計相關(guān)的若干條款。國外以信息系統(tǒng)審計和控制聯(lián)合會（ISACA）制訂發(fā)布的信息系統(tǒng)審計和評價標(biāo)準(zhǔn)（COBIT）最為典型，該文件包括審計標(biāo)準(zhǔn)、審計指南和作業(yè)程序三個部分，指導(dǎo)組織有效地利用信息資源和管理與信息相關(guān)的風(fēng)險。

目前，國內(nèi)關(guān)于科研生產(chǎn)企業(yè)開展信息系統(tǒng)審計的研究較少，希望本文的方法和思路能起到拋磚引玉的作用。

二、基于PDCA循環(huán)的審計整改全壽命工作法

（一）方法的提出。PDCA循環(huán)理論由休哈特提出，是全面質(zhì)量管理的基本方法，也稱為“戴明環(huán)”，包括計劃、實施、檢查和處置四個階段，適用于任何有目的有過程的活動。本文借鑒PDCA循環(huán)的思想，提出審計整改全壽命工作法，設(shè)定審計計劃、審計實施、審計評價、后續(xù)審計四個閉合循環(huán)的階段，審計質(zhì)量控制貫穿全過程，具體內(nèi)容如圖1所示。

（二）方法的應(yīng)用思路。

1.審計計劃階段。主要包括審前調(diào)查、信息系統(tǒng)基本情況的收集和信息系統(tǒng)相關(guān)制度文件的審閱等。此外，還應(yīng)依據(jù)計劃編制詳細(xì)的信息系統(tǒng)審計工作方案，確定審計內(nèi)容、步驟、方法，制定并送達(dá)審計通知書等。在本階段，相關(guān)責(zé)任人要全程監(jiān)督審計工作安排，審核審計工作方案是否滿足審計目標(biāo)要求，了解并考慮企業(yè)戰(zhàn)略目標(biāo)、信息技術(shù)的依賴程度、信息技術(shù)管理的組織架構(gòu)、信息系統(tǒng)框架、信息系統(tǒng)及其支持的業(yè)務(wù)流程的變更情況、信息系統(tǒng)的復(fù)雜程度等特定內(nèi)容。

2.審計實施階段。完整的信息系統(tǒng)審計通常涵蓋三個層面：一是組織層面信息技術(shù)控制，指企業(yè)管理層對信息技術(shù)治理職能及內(nèi)部控制的重要性的態(tài)度、認(rèn)識和措施，審計人員要關(guān)注與信息系統(tǒng)相關(guān)的控制環(huán)境、風(fēng)險評估、信息與溝通、監(jiān)控四個方面的控制要素；二是信息技術(shù)一般性控制，指與網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)及其相關(guān)人員有關(guān)的信息技術(shù)政策和措施，審計中應(yīng)考慮信息安全管理、系統(tǒng)變更管理、系統(tǒng)開發(fā)和采購管理、系統(tǒng)運(yùn)行管理有關(guān)的控制活動；三是業(yè)務(wù)流程層面相關(guān)應(yīng)用控制，指在業(yè)務(wù)流程層面為了合理保證應(yīng)用系統(tǒng)準(zhǔn)確、完整、及時完成業(yè)務(wù)數(shù)據(jù)的生成、記錄、處理、報告等功能而設(shè)計、執(zhí)行的信息技術(shù)控制，審計中應(yīng)考慮與數(shù)據(jù)輸入、數(shù)據(jù)處理以及數(shù)據(jù)輸出環(huán)節(jié)相關(guān)的控制活動。審計過程中，可以綜合采用詢問、觀察、審閱文件和報告、通過穿行測試追蹤交易在信息系統(tǒng)中的處理過程、驗證系統(tǒng)控制和計算邏輯、登錄信息系統(tǒng)進(jìn)行系統(tǒng)查詢等審計方法。信息系統(tǒng)審計的項目負(fù)責(zé)人應(yīng)當(dāng)既具有IT背景又具有內(nèi)審專業(yè)技能，在實施審計過程中建立審計復(fù)核機(jī)制，檢查審計底稿和相關(guān)證據(jù)，掌控項目進(jìn)度，確保審計工作質(zhì)量和效率。

3.審計評價階段。進(jìn)行評估時，獲取的審計證據(jù)必須充分可靠相關(guān)，以支持審計結(jié)論。審計人員運(yùn)用專業(yè)判斷，對審計證據(jù)進(jìn)行分析、撰寫征求意見稿、征求有關(guān)部門意見、形成審計報告、下達(dá)審計意見或?qū)徲嫿ㄗh書。審計報告作為審計的最終結(jié)果非常重要，審計項目負(fù)責(zé)人要從重要性和增值性兩個方面認(rèn)真討論確定審計報告，保證審計報告的高質(zhì)量。重要性指審計發(fā)現(xiàn)對企業(yè)內(nèi)部控制的影響程度；增值性指審計建議是否恰當(dāng)、有意義，是否有助于提高審計對象效率效果。

4.后續(xù)審計階段。即對信息系統(tǒng)審計已報告的缺陷和建議所采取行動的完整性、效果性和時效性跟蹤檢查的過程。一般和下一次信息系統(tǒng)審計融合在一起進(jìn)行，從而形成審計流程的閉合式循環(huán)。審計結(jié)果整改情況應(yīng)納入企業(yè)績效考評體系，保證審計整改工作質(zhì)量。

三、應(yīng)用審計整改全壽命工作法開展信息系統(tǒng)審計的實踐

某科研生產(chǎn)企業(yè)信息化程度較高，目前使用的信息系統(tǒng)為涉密信息系統(tǒng)，有上千個終端用戶，數(shù)百個業(yè)務(wù)工作流程，數(shù)十個業(yè)務(wù)系統(tǒng)，采取單點登陸、統(tǒng)一身份認(rèn)證，部署相關(guān)審計系統(tǒng)的方式運(yùn)行。由于該信息系統(tǒng)涉密等級較高，用戶數(shù)較多，系統(tǒng)組成復(fù)雜，對開展信息系統(tǒng)審計提出了較高要求。本文按照審計整改全壽命工作法的工作思路，進(jìn)行了信息系統(tǒng)審計的實踐和探索。

（一）計劃階段。由具有信息系統(tǒng)研發(fā)背景和高級工程師資格的專家擔(dān)任組長，并從企業(yè)內(nèi)部信息技術(shù)部門抽調(diào)專家，組建一支包括信息技術(shù)及內(nèi)部審計人員在內(nèi)的專業(yè)隊伍。該科研生產(chǎn)企業(yè)建立了比較完備的信息系統(tǒng)管理體系，對信息系統(tǒng)安全運(yùn)行和管理有明確具體的要求。審前組織學(xué)習(xí)研究該企業(yè)的信息系統(tǒng)管理制度、行為規(guī)范制度、安全控制策略、內(nèi)部控制制度體系等文件，將這些制度的相關(guān)要求作為審計依據(jù)，制定信息系統(tǒng)專項審計工作方案。明確重點審計內(nèi)容為對信息系統(tǒng)的邏輯訪問與物理安全控制，包括系統(tǒng)輸入控制、用戶行為控制和訪問權(quán)限控制三個方面。同時，獲取企業(yè)管理層和信息系統(tǒng)管理部門的支持。

（二）實施階段。在該科研生產(chǎn)企業(yè)已經(jīng)建立的信息監(jiān)控系統(tǒng)的基礎(chǔ)上，采取專項審計的方式，對于企業(yè)的行為監(jiān)控系統(tǒng)、權(quán)限審查系統(tǒng)開展信息系統(tǒng)審計，這也是本次審計工作的重點。該單位在設(shè)計信息系統(tǒng)監(jiān)控系統(tǒng)時，采取了B/S結(jié)構(gòu)，在終端計算機(jī)上安裝客戶端，后臺運(yùn)行自動記錄用戶行為，利用SQL Server數(shù)據(jù)庫對用戶數(shù)據(jù)進(jìn)行存儲。在SQL Server數(shù)據(jù)庫中，管理各種安全策略、系統(tǒng)運(yùn)行參數(shù)、網(wǎng)絡(luò)客戶端設(shè)備信息、報警和日志。系統(tǒng)前臺使用WEB瀏覽器方式，進(jìn)行系統(tǒng)策略設(shè)置、系統(tǒng)維護(hù)等操作，各種日志記錄和報警信息在這里顯示。審計系統(tǒng)可提供完整的用戶行為日志，該企業(yè)基于日志數(shù)據(jù)開展系統(tǒng)安全策略配置、違規(guī)介質(zhì)使用、病毒情況、信息輸入輸出、文件打印、用戶終端網(wǎng)絡(luò)訪問等審計工作。審計人員根據(jù)用戶操作行為日志，綜合應(yīng)用詢問、數(shù)據(jù)采集、穿行測試、控制測試和分析等審計方法，獲取有效的審計證據(jù)，并對重要發(fā)現(xiàn)及時與有關(guān)各方溝通。

（三）評價階段。審計人員根據(jù)審計發(fā)現(xiàn)和審計工作底稿撰寫審計報告，就完善制度、制度執(zhí)行、系統(tǒng)建設(shè)、安全策略適當(dāng)性等提出審計建議，提交管理層審批后交信息系統(tǒng)管理部門整改完善。

（四）后續(xù)審計階段。根據(jù)信息系統(tǒng)管理部門整改完成情況，對審計發(fā)現(xiàn)的缺陷和提出的管理建議進(jìn)行后續(xù)審計。從近期已實施的4次審計情況看，日志數(shù)據(jù)的抽樣異常率從第一次的12%下降到1%。

四、結(jié)束語

通過應(yīng)用審計整改全壽命工作法，組織實施信息系統(tǒng)專項審計，報送審計結(jié)果，督促落實整改，為完善規(guī)章制度、發(fā)現(xiàn)并減少用戶異常行為，防止非法操作，確保信息系統(tǒng)安全有效運(yùn)行提供了有力的保障，但也對內(nèi)部審計人員的學(xué)習(xí)能力和信息技術(shù)專業(yè)勝任能力提出了較高要求。利用審計整改全壽命工作法開展企業(yè)信息系統(tǒng)審計是一個不斷探索、改進(jìn)和提高的過程，在諸如如何進(jìn)一步劃分各階段工作界面、如何開展對信息系統(tǒng)其他各業(yè)務(wù)子系統(tǒng)的審計等方面還需要結(jié)合企業(yè)實際進(jìn)行進(jìn)一步探索與研究。X

參考文獻(xiàn)：

1.胡克瑾.IT審計[M].北京：電子工業(yè)出版社，2004.

2.劉輝.PDCA過程方法在企業(yè)管理中的應(yīng)用[J].信息技術(shù)與標(biāo)準(zhǔn)化，2007，（6）.