信息系統(tǒng)測評與信息系統(tǒng)審計

張子良

（廣東省科技基礎條件平臺中心，廣州510033）

0 引言

根據(jù)工業(yè)和信息化部統(tǒng)計，2018 年我國軟件和信息技術服務業(yè)規(guī)模以上企業(yè)3.78 萬家，累計完成軟件業(yè)務收入63061 億元，同比增長14.2%；實現(xiàn)利潤總額8079 億元，同比增長9.7%；行業(yè)人均創(chuàng)造業(yè)務收入98.06 萬元，同比增長9.6%。全國軟件和信息技術服務業(yè)從業(yè)人數(shù)643 萬人，比上年增加25 萬人，同比增長4.2%。數(shù)據(jù)顯示，我國軟件和信息技術服務業(yè)運行態(tài)勢良好，收入和效益保持較快增長，吸納就業(yè)人數(shù)穩(wěn)步增加，行業(yè)處于持續(xù)高質量發(fā)展狀態(tài)。

1 信息系統(tǒng)測評與信息系統(tǒng)審計

行業(yè)的持續(xù)發(fā)展，云計算、大數(shù)據(jù)、人工智能等新技術的涌現(xiàn)和普及也給我國電子政務建設帶來巨大影響，數(shù)字政府建設成為數(shù)字經濟重要的組成部分，軟件和信息技術服務業(yè)逐漸成為驅動數(shù)字經濟發(fā)展、構建智慧社會的重要力量。一般來講，電子政務生命周期包括立項、可研、需求、設計、實施、測試、試運行、驗收等若干階段。隨著行業(yè)的不斷細分，按照不同階段的工作成果及相應技術要求，逐步延伸出針對電子政務的不同專業(yè)技術服務方，如咨詢設計單位、開發(fā)實施單位、監(jiān)理單位、第三方測評機構、信息系統(tǒng)審計機構等。服務于電子政務的信息系統(tǒng)測評及信息系統(tǒng)審計等第三方服務力量不斷增強，持續(xù)為我國電子政務建設補充專業(yè)技術力量，推動電子政務建設持續(xù)向高質量、高效率、高水平方向發(fā)展。

1.1 信息系統(tǒng)測評與信息系統(tǒng)審計在電子政務領域開展情況簡述

目前，國內的第三方信息系統(tǒng)測評機構大部分為獨立的第三方實驗室，正規(guī)的測評機構具備國家或地方市場監(jiān)督管理局（原質量技術監(jiān)督局）頒發(fā)的CMA資質或中國合格評定國家認可委員會（CNAS）的認可資質，這些實驗室建立了較為規(guī)范的測評流程，并配備一定數(shù)量的專業(yè)技術人員及必備的檢測設備。信息系統(tǒng)測試一般分為單元測試、集成測試、系統(tǒng)測試、驗收測試、回歸測試等。通常來講，單元測試、集成測試由項目承擔單位內部進行。系統(tǒng)測試通常由用戶組織，參與單位由承建單位、監(jiān)理等機構聯(lián)合派出代表，形成測試團隊依據(jù)系統(tǒng)驗收方案實施測試。獨立的第三方測評機構一般從事的是信息系統(tǒng)測試的最后一個環(huán)節(jié)：驗收測試。據(jù)國家認證認可監(jiān)督管理委員會發(fā)布的信息，截至2018 年底，全國共有檢驗檢測機構3.9 萬余家，獲得認可資格的檢驗檢測機構10439 家,我國累計頒發(fā)認證認可檢驗檢測證書、獲證組織數(shù)量連續(xù)多年位居世界第一，檢驗檢測認證服務產值超過2700 億元，成為全球增長最快、最具潛力的檢驗檢測認證市場。以信息系統(tǒng)檢測最為常見的軟件領域為例，截止2019 年4 月底，通過中國合格評定國家認可委員會（CNAS）網站查詢，獲得認可的實驗室中，檢測對象包含軟件領域的機構有291 家。信息系統(tǒng)測評的在廣東電子政務建設中有比較高的普及度，尤其在珠三角經濟發(fā)達地區(qū)，財政投資管理單位對此比較重視。廣州在2007 年就出臺了財政投資信息化項目驗收的管理辦法和實施規(guī)范，規(guī)定投資金額大于等于100 萬元的大型及重大財政投資信息化建設項目在驗收前需經政府采購程序確定的專業(yè)第三方測評機構進行相應的測評，測評結果作為驗收的依據(jù)。近年來，廣州的信息系統(tǒng)測評主要包含兩大部分內容：一是驗收測評；二是符合性檢查。驗收測評是依據(jù)相關規(guī)范、標準，結合項目招標文件及合同等事先編制測評方案，然后依據(jù)測評方案對指定測評對象（包括軟硬件）實施檢測，并在檢測后出具第三方測評報告評判測評對象是否達到驗收要求，如發(fā)現(xiàn)質量問題的，及時要求項目承擔單位予以整改。符合性檢查，主要是對電子政務項目建設內容完成情況、項目實施情況、項目文檔等配置項等內容進行審計及檢查，從整體層面如實反映電子政務項目建設及管理狀況。專業(yè)第三方測評機構的介入，對提升電子政務建設質量起到了積極良好的促進作用，同時為后續(xù)的驗收工作提供了準確、規(guī)范、專業(yè)的測評報告，為驗收工作提供了強有力的數(shù)據(jù)及技術支撐。深圳、佛山等地也陸續(xù)出臺相應的政策，規(guī)范驗收測評工作，促進了當?shù)仉娮诱账降某掷m(xù)提升。

信息理論認為，之所以需要審計，是由于審計的結果可以使信息更加可靠，減少出現(xiàn)于電子政務管理當局和投資者之間潛在的信息不對稱，使市場更具效率。審計的本質在于增進財務信息的價值，也即提高財務信息對信息使用者決策的正確程度。實施信息系統(tǒng)審計的目標是在有限的時間內，依靠有限的信息資源，采用必要的技術手段解決與被審計方的信息不對稱，保證信息系統(tǒng)建設財政財務收支的真實性、合法性、效益性。黨的十八大以來，黨中央高度重視審計工作，對加強審計工作作出了一系列重要部署。在新常態(tài)下，各級政府審計機關為推進審計全覆蓋，探索推行數(shù)字化審計、大數(shù)據(jù)審計等有創(chuàng)新性的審計方式。在此背景下，開展信息系統(tǒng)審計成為數(shù)字化審計的重要內容。然而，開展電子政務系統(tǒng)信息系統(tǒng)審計在我國處于較初級階段。以廣東政府審計為例，2012 年，廣州市審計局結合市本級財政審計項目首次探索開展了信息系統(tǒng)審計，指出被審計單位信息系統(tǒng)存在安全隱患，信息系統(tǒng)未有效整合，數(shù)據(jù)共享和數(shù)據(jù)同步機制不完善等問題，得到被審計單位的高度重視并積極整改。調查發(fā)現(xiàn)，在開展信息化審計過程中，各級審計機關普遍面臨信息化審計人才缺乏的問題，缺少信息化專業(yè)審計方法成為制約信息系統(tǒng)審計發(fā)展的瓶頸之一。2017 年，廣東省審計廳采用公開招標的方式，確定了10 家第三方服務機構參與審計數(shù)據(jù)技術服務工作，這10 家機構不是以往的會計事務所，而是信息化服務機構。這些機構將參與到審計數(shù)據(jù)資源的梳理、規(guī)劃、整合、綜合利用，相關信息系統(tǒng)的建設、管理、使用等情況的調查以及相應的檢查、測評、評估等工作。廣州等地審計機關也陸續(xù)開展引入第三方技術力量，這些第三方服務機構為信息系統(tǒng)審計提供了必要的技術支撐，在一定程度上解決了信息系統(tǒng)審計人才缺乏的情況。

1.2 信息系統(tǒng)測評與信息系統(tǒng)審計的異同點分析

無論是信息系統(tǒng)測評還是信息系統(tǒng)審計，都是屬于知識密集型的較為高端第三方信息化技術服務，二者都把提升信息系統(tǒng)質量水平作為目標之一。通常來講，二者都發(fā)生在信息系統(tǒng)建設完成之后，信息系統(tǒng)測評所采用的方法及技術手段在信息系統(tǒng)審計中依然適用。

二者的不同點主要體現(xiàn)在以下幾個方面：

第一，依據(jù)不同。信息系統(tǒng)測評主要依據(jù)信息化國家、地方、行業(yè)技術及驗收標準，以及具體項目的招標文件、合同、技術方案等；而審計的依據(jù)更為廣泛，除了測評依據(jù)的文件外，還可包括國家法律法規(guī)，地方及行業(yè)政策、以及被審計主體內部規(guī)定。

第二，范圍不同。測評主要以建設結果是否滿足技術要求及用戶需求為判定準則，主要立足于被測評的項目本身，注重本測評項目的最終結果。審計范圍更廣，除了關注項目建設的成果外，還覆蓋項目建設全流程及運行維護狀況。審計在關注技術成果的同時，更關注項目實際績效，以及建設過程、資金使用的合法性、規(guī)范性。必要時，還可對其他信息化項目情況進行延伸審計。

第三，實施主體不同。信息系統(tǒng)測評的實施主體包括信息系統(tǒng)承建單位設立的質量保證或測試團隊、建設單位，以及第三方檢測機構。而審計實施主體分類可以分為：國家政府審計、社會審計和內部審計三種，相應的承擔審計工作的主體包括政府審計機關、第三方審計機構（以會計事務所為主），以及機構組織內部設立的內審機構。

1.3 信息系統(tǒng)測評與信息系統(tǒng)審計所需技術能力分析

信息系統(tǒng)是一個精密、復雜、綜合性的人機交互系統(tǒng)。對一個復雜的系統(tǒng)進行測評，并出具令人信服的專業(yè)測評報告，對信息系統(tǒng)測評從業(yè)人員而言，需要大量的專業(yè)技術知識。除了最基本的軟件測試理論及技能外，還要根據(jù)信息系統(tǒng)自身的特點，掌握其所涉及的具體計算機技術，更需要相應的業(yè)務領域背景，理解用戶業(yè)務邏輯。一般而言，這些計算機專業(yè)知識包括服務器、存儲硬件技術、操作系統(tǒng)技術、信息通信技術、網絡集成技術、數(shù)據(jù)庫技術、信息安全技術等其他計算機專業(yè)技術。還需要對自動化測試、性能測試、安全掃描、網絡測試等測試工具熟練掌握。同時，測評的依據(jù)主要是計算機相關國家及行業(yè)技術標準，以及電子政務項目自身的招標文件及合同約定，測評人員必須對這些充分理解并掌握。另外，還應掌握項目管理，尤其是質量管理相關理論知識及方法論。還需要具備良好的溝通及書面表達能力，并擁有耐心、細致、專業(yè)的職業(yè)素養(yǎng)。最后，還要對大數(shù)據(jù)、云計算、物聯(lián)網等新技術，并對電子政務所在領域知識持續(xù)開展追蹤與學習，把握最新測試技術。

信息系統(tǒng)審計，依據(jù)中華人民共和國審計署《信息系統(tǒng)審計指南——計算機審計實務公告第34 號》的定義，是指國家審計機關依法對被審計單位信息系統(tǒng)的真實性、合法性、效益性和安全性進行檢查監(jiān)督的活動。在審計的內容上，包括應用控制、一般控制和項目管理三個方面的審計。對應每個方面又有具體的審計內容，應用控制包括：信息系統(tǒng)業(yè)務流程，數(shù)據(jù)輸入、處理和輸出的控制，信息共享和業(yè)務協(xié)同。一般控制包括：信息系統(tǒng)總體控制，信息安全技術控制，信息安全管理控制。項目管理包括：信息系統(tǒng)建設的經濟性，信息系統(tǒng)建設管理，信息系統(tǒng)績效。綜合分析，應用控制、一般控制和項目管理三個方面的審計要求，從事信息系統(tǒng)審計的人員除應具備信息系統(tǒng)測評基本要求能力外，還要求較強的信息系統(tǒng)綜合管理能力。特別的，在一般控制方面中的總體控制方面，《指南》要求的內容有：信息系統(tǒng)總體控制審計的目的是通過檢查被審計單位信息系統(tǒng)總體控制的戰(zhàn)略規(guī)劃、組織架構、制度機制、崗位職責、內部監(jiān)督等，分析信息系統(tǒng)在內部環(huán)境、風險評估、控制活動、信息與溝通、內部監(jiān)督方面的有效性及其風險，形成信息系統(tǒng)總體控制的審計評價和結論，提出審計意見和建議，促進信息系統(tǒng)總體控制的完善，并為審計項目對信息系統(tǒng)總體控制的審計評價提供支持。從中我們可以看出，信息系統(tǒng)總體控制對審計人員提出了更高層次的能力要求，即要具有宏觀意識和整體戰(zhàn)略視野，能夠從宏觀著眼，從微觀入手，能夠從戰(zhàn)略規(guī)劃、組織架構、制度機制、體制制度上發(fā)現(xiàn)問題、分析問題、提出意見和建議。以審計一所高校的信息化建設整體工作來看，擔任該信息化專題的主審人員，需要具備被審計高校信息中心主任，甚至是主管信息化建設副校長的業(yè)務能力，否則提出的審計建議只能停留在較低層次，難以令人真正信服。

綜合而言，信息系統(tǒng)審計對于從業(yè)人員的技能提出了更高的要求。除了傳統(tǒng)審計的溝通表達技能，豐富的財務技能外，還要求具備信息化測評等信息化從業(yè)人員需具備的信息化專業(yè)技能，還需要具備更高層次的整體全局戰(zhàn)略分析技能。對于主審人員還應具有良好的組織協(xié)調能力，高超的溝通談判技巧，以及敏銳的洞察力和堅定的意志力。

2 二者存在的主要問題及未來展望

國內從事檢測行業(yè)的第三方測評機構一般規(guī)模都比較小。據(jù)統(tǒng)計，人數(shù)規(guī)模為100 人以下的檢驗檢測機構數(shù)量占比達到96%，絕大多數(shù)檢驗檢測機構屬于小微型企業(yè)，“小散弱”現(xiàn)象較為突出。作為高速發(fā)展的信息技術行業(yè)，技術創(chuàng)新日新月異，檢測機構的檢測能力難以全部覆蓋信息化檢測技術所需。服務能力有限，相應的技術創(chuàng)新能力、抗風險能力都受到相應的制約。其次，在委托檢測方式上，由電子政務建設單位或承建單位直接委托第三方測評機構開展檢測服務，并支付檢測費用的情況較為普遍，在一定程度上會影響測評結果的公正性。

信息系統(tǒng)審計發(fā)展處于較初級階段，電子政務的審計主要由政府審計機關承擔，尚未充分形成規(guī)范、技術服務實力強的第三方信息系統(tǒng)審計服務機構，信息系統(tǒng)審計市場還處于萌芽及培育階段，市場活力有待激發(fā)。其次，信息系統(tǒng)審計國家及行業(yè)標準發(fā)展相對滯后，對于電子政務審計缺乏標準的規(guī)范與指引。同時，信息系統(tǒng)審計人才較為缺乏，在一定程度上限制了信息系統(tǒng)審計向更高層次發(fā)展。

針對檢測機構存在的普遍問題，2014 年2 月國務院辦公廳轉發(fā)中央編辦國家質檢總局《關于整合檢驗檢測認證機構的實施意見的通知》，持續(xù)推進檢驗檢測認證機構整合做強做大，提升核心競爭力。同時，為了保證認證檢測市場的健康發(fā)展，由國家市場監(jiān)督管理總局牽頭，不斷組織開展行業(yè)整治行動，保障認證檢測市場監(jiān)管長期處于高壓態(tài)勢。在信息系統(tǒng)審計領域，一方面，各級審計機關著手引入大數(shù)據(jù)審計等創(chuàng)新性審計新方法，另一方面嘗試引入第三方服務機構，不斷充實信息系統(tǒng)審計服務技術力量，在各領域開展信息系統(tǒng)審計的持續(xù)探索。

隨著我國市場經濟的持續(xù)發(fā)展，“放管服”改革的不斷深化，以及我國政府管理方式由直接管理向間接管理轉變，由管理型政府向服務型政府的職能轉變，為服務于政府行政管理的電子政務建設提出了更豐富的建設內涵以及更高標準的建設要求。如何推進電子政務向高質量、高效益方面發(fā)展，持續(xù)提升政府運行效率，不斷增強公眾信任度和滿意度是電子政務建設者必須解決的問題。信息系統(tǒng)測評及信息系統(tǒng)審計必將在其中發(fā)揮愈來愈重要的作用。