信息系统审计与信息系统监理比较分析2doc.docx

信息系统审计与信息系统监理比较分析2doc.docx

《信息系统审计与信息系统监理比较分析2doc.docx》由会员分享，可在线阅读，更多相关《信息系统审计与信息系统监理比较分析2doc.docx（23页珍藏版）》请在冰豆网上搜索。

信息系统审计与信息系统监理比较分析2doc

信息系统监理与信息系统审计：

中国的实践与美国的经验

孙强孟秀转

[摘要]建立信息化建设的第三方监督对保证信息化建设的效益最大化至关重要。

本文通过信息系统监理和信息系统审计的概念、产生动因等进行比较，分析我国信息系统监理面临的新问题、新要求，并介绍美国信息系统审计的实践经验，在此基础上提出对我国信息系统监理事业发展的若干建议。

[关键词]信息系统信息系统监理信息系统审计比较独立性

一、引言

“信息化带动工业化”是我国长期的重要发展战略，江泽民同志在十六大的报告中指出：

“实现工业化仍然是我国现代化进程中艰巨的历史性任务。

信息化是我国加快实现工业化和现代化的必然选择。

坚持以信息化带动工业化，以工业化促进信息化，走出一条科技含量高、经济效益好、资源消耗低、环境污染少、人力资源优势得到充分发挥的新型工业化路子。

”这段论述表现了我们党对信息化建设的高度重视，也指明信息化带出一条新型工业化路子的光明前景。

目前，各地区、各部门都在认真贯彻十六大精神，十分重视推进信息化工作，我国信息化建设已经进入新的阶段，我国信息化事业已发展到一个新的阶段。

各级政府正在积极推进“电子政务”，许多城市及企业也已着手整合与升级其信息化应用系统。

可以预计，全国将有更多、更大的信息系统建设项目展开。

但是，在信息化推进过程中，存在不同程度上的一些问题，主要表现在规划制订不够科学，项目管理不够严格，监理机制不够健全，系统运行效益不够明显。

致使相当一部分信息化项目失败或未能实现预期目标，浪费了大量资源。

究其根源主要原因之一是信息化建设第三方监管机制的缺失和标准的不健全。

国内外的实践表明：

信息化是有风险的，信息系统规模越大，功能越复杂，风险也就越大。

英国Kalido于英国时间2001年12月12日公布了有关企业信息管理的调查结果。

调查显示，96％的企业对于本公司的信息管理系统感到不满。

关于目前正在使用的信息系统，认为"所制作的报告缺乏一贯性"或者是"核对信息花费了太多时间"的企业约占70％。

特别引人深思的是该调查是由美国Harte-Hanks以全球500强企业以及财富1000企业中的171家公司为对象通过问卷方式实施的。

调查对象中，40％以上的企业年交易额超过20亿美元。

其他主要调查结果如下∶回答目前的信息系统不能灵活因应变化的企业约占60％；对于数据的精度表示担心的企业约占60％；60％以上的企业正在策划有关数据及信息的整合计划。

这充分说明，信息系统的建设项目较之传统工业工程项目成功率更低，风险也更加突出。

中央领导同志在国家信息化领导小组第一次会议中特别强调：

信息化建设一定要讲求效益，不能搞花架子。

因此建立并逐步完善我国信息系统审计制度是健康、有序地推进信息化和落实领导小组会议精神的一项重要措施。

目前，在国内的信息化项目工程建设中，绝大多数用户（业主）无法组织队伍对信息系统建设进行专业化管理，难以胜任从可行性分析、规划设计、招标、方案评审到工程监理和工程验收全过程的管理与组织协调工作，建设方和承建方在信息建设过程中存在严重的信息不对称问题。

这表现为借助外援进行工程管理咨询的案例越来越多，一些省市的行业主管部门也开始在信息系统建设中推行由监理进行工程质量管理的做法。

但是，监理介入信息系统在我国还处于一个探索的过程中。

我国加入WTO后，鉴于我国IT服务业未来巨大的增长空间，国际知名咨询顾问公司、专业技术服务提供商等纷纷抢滩我国市场。

在信息系统第三方鉴证业务方面，他们提供符合国际标准的信息系统审计服务。

因此当前监理事业的发展面临新的形势，监理工作外部环境发生了深刻变化，势将对我国监理企业形成严重冲击，本土监理企业面临前所未有的严峻挑战。

监理事业往何处去？

这是摆在每一个监理人面前的重大课题。

每一个监理企业必须以发展的眼光、动态的观点、创新的思想和创新的理论正确认识和判断当前的监理形势，增强危机感和紧迫感，迎接新的挑战。

二、信息系统监理

（一）信息系统监理概念

依据信息产业部《信息系统工程监理暂行规定》，信息系统工程监理是指依法设立且具备相应资质的信息系统工程监理单位，受业主单位委托，依据国家有关法律法规、技术标准和信息系统工程监理合同，对信息系统工程项目实施的监督管理。

（二）信息系统监理产生动因及其发展

1、信息系统监理产生动因分析

监理工作、监理企业是我国在计划经济向市场经济转变的过程中在建设领域中应运而生的，并取得了有目共睹的显著成效，直接促进了工程监理业的繁荣发展，这也导致在通信业工程建设、信息系统建设等方面监理的出现。

因此，回顾建设工程监理的发展，将有助于对信息系统监理的认识。

1988年7月建设部发布了《关于开展建设监理工作的通知》，随后又于1988年11月印发了《关于开展建设监理试点问题的若干意见》，使得试点工作有章可循。

1989年，根据初步试点取得的经验，建设部制定了《建设监理试行规定》，这是我国第一个比较完备的关于工程建设监理的法规文件，勾画出具有我国特色的工程建设监理制度的初步框架。

1991年又分别制定颁发了《建设监理单位资质管理试行办法》和《监理工程师资格考试及注册试行办法》，建设监理法规制度进一步配套完善。

1993年，上海市开始了工程设备监理制度的试点工作。

1998年，国务院机构改革后赋予了国家质量技术监督局“协调建立设备工程监理制度”的职能要求，随后，国家质量技术监督局拟定了《协调建立设备工程监理制度的方案》，在国家发展计划委员会的指导和具体参与下，会同国务院有关部门，在国内有关技术及咨询机构的帮助、支持下,完成了设备监理制度中有关规章的起草工作。

此间，世界银行、国家开发银行等亦曾规定，其贷款的有关项目要有监理公司监理，并作为申请贷款的项目单位获得贷款的基本条件。

由此开始推行建设工程监理制度，监理事业得到持续快速发展，从而积累了一定经验，取得了积极成效。

发展至今建立了一套比较完整的监理法规体系，组成了一支规模较大的监理队伍，监理出一批优良的工程项目，监理工作在工程建设中发挥了重要作用，得到了各级领导的支持，得到了社会的普遍认可，正逐步向规范化、制度化、科学化方向迈进。

但同时我国工程监理事业经过十多年的发展，虽然取得了一定成绩，但也存在不少问题。

如：

监理人员整体素质不高、监理工作缺位、监理取费普遍较低、监理市场竞争机制不健全、监理企业缺乏自我积累和发展能力、监理责任不明确、监理工作缺乏系统的理论研究、宣传工作滞后等问题比较突出。

2、信息系统监理的发展

目前信息系统工程的现状类似于二十世纪八十年代以前建筑工程的状态。

自1988年建设部颁布《关于开展建设监理工作的通知》以后，特别是1996年建设监理全面推行后，建筑工程的质量普遍提高，业主和承建商之间的纠纷普遍减少，凡是出问题的工程，监理也有问题。

因此，要求参考建筑工程的管理办法对信息工程实施监理的呼声日益高涨，这既是信息工程用户（业主）的愿望，也是系统集成商的愿望，信息工程市场呼唤“第三方”—信息系统工程监理的出现。

早在1995年，原电子工业部就出台了《电子工程建设监理规定（试行）》。

1996年，深圳市成立了全国第一家信息工程质量监督机构—信息工程质量监督检验总站。

1998年，西安协同软件股份有限公司经西安技术监督局和西安市科委批准，获得“计算机管理信息系统工程监理”资质认证，成为国内第一家获此资格的公司。

1999年6月，深圳市政府在国内率先出台了包括实施信息工程监理条款在内的《深圳市信息工程管理办法》，并要求首届我国国际高新技术成果交易会信息网络工程实施监理。

2000年7月，深圳市信息化建设委员会办公室制订了《深圳市信息工程建设管理办法实施意见》，要求“市、区、镇人民政府及其所属部门使用财政性资金（包括预算内资金、预算外资金、事业收入等），投资规模在100万元以上的信息工程建设项目必须遵照本实施意见进行立项、招投标、监理、质量监督、验收”。

2002年7月，北京市信息化工作办公室制定了《北京市信息系统工程监理管理办法（试行）》，要求“本市推行信息系统工程监理制度，建设单位应当通过协议或者招标的方式优先选择具有相应资质等级的信息系统工程监理单位承担监理业务。

各级财政全部补助或者部分补助以及为社会提供公共服务的重大信息化工程项目必须通过招标的方式选择信息系统工程监理单位，实行强制监理。

”2002年11月，国家质量监督检验检疫总局公布《设备监理单位资格管理办法》，在该管理办法的21类设备工程专业中，涉及信息工程的共有三类，即信息网络系统、信息资源开发系统和信息应用系统。

最近，在国家信息办和国家标准管理委员会直接领导下，信息化系统监理规范化项目正在加紧制定中，并且是作为电子政务标准化项目的一个子项目而提出的。

预计在今年年底，监理规范就要完成，经过试用和修改后，将上升为国家标准。

2002年12月，信息产业部在广泛征求意见和开展试点工作的基础上，正式颁布《信息系统工程监理暂行规定》，这标志着我国信息工程监理开始迈向科学化、专业化和规范化，也预示着在我国即将出现一个新的中介服务行业，将很快涌现一批监理机构和执业人员，从此信息系统工程监理工程师也将逐步成为国民经济和社会信息化的“警察”。

但我国的信息系统工程监理目前仅仅是处在起步阶段，事实上根据对国内信息化应用程度较高的行业部门（如银行、证券、保险、气象、社保、旅游等）和部分大型企业（如华北制药、哈尔滨轴承集团、哈尔滨飞机制造企业、跃进汽车集团、我国石化等）30个样本作为调查对象的调查结果显示，对于大多数企业来说，项目监理是个新概念。

只有30%的被调查者表示在某些信息化项目中使用过监理服务。

在70%未使用过项目监理的被调查者中，5%表示听说过，95%表示知道建筑工程有监理，但在IT信息化项目中引入监理还是第一次听说。

图1监理服务内容重要程度（引自胡敏《市场呼唤项目监理》）

目前，我国还没有一套完善的IT项目监理制度，相应的监理法规、监理内容、收费标准等也都没有制定。

特别是收费标准问题，大多数用户采用协商解决。

以北京城域网项目的监理费为例，其采用了建筑行业的监理服务收费标准（2%-10%），支付的服务费占整个项目资金支出的2%。

广大用户也反映，项目监理的标准如何才能做到公正、科学，项目监理的工作流程是否也应该规范，如何界定和权衡监理公司、用户、IT厂商三方利益？

监理过程中出了问题，该怎么办？

，这一系列问题都需要不断探索。

原北京市信息中心主任华平澜表示，只有使监理更加规范化，才能更好地推进监理工作，才能使信息系统的建设更加顺利。

事实上，与建筑等其他发展很成熟的行业的监理相比，对IT项目的监理要难得多。

并且由于信息技术是一个新兴技术，它本身还在不断发展和完善，因此，即使制定出的监理的内容和标准也不能僵化，需要不断地变更和完善。

（三）信息系统监理的基本理论

信息系统监理的中心任务是科学地规划和控制工程项目的投资、进度和质量三大目标;监理的基本方法是目标规划、动态控制、组织协调和合同管理；监理工作贯穿规划、设计、实施和验收的全过程。

信息工程监理正是通过投资控制、进度控制、质量控制以及合同管理和信息管理来对工程项目进行监督和管理，保证工程的顺利进行和工程质量。

1、成本控制

成本控制的任务，主要是在建设前期进行可行性研究，协助建设单位正确地进行投资决策；在设计阶段对设计方案、设计标准、总概（预）算进行审查；在建设准备阶段协助确定标底和合同造价；在实施阶段审核设计变更，核实已完成的工程量，进行工程进度款签证和索赔控制；在工程竣工阶段审核工程结算。

2、进度控制

进度控制首先要在建设前期通过周密分析研究确定合理的工期目标，并在实施前将工期要求纳入承包合同；在建设实施期通过运筹学、网络计划技术等科学手段，审查、修改实施组织设计和进度计划，做好协调与监督，排除干扰，使单项工程及其分阶段目标工期逐步实现，最终保证项目建设总工期的实现。

3、质量控制

质量控制要贯穿在项目建设从可行性研究、设计、建设准备、实施、竣工、启用及用后维护的全过程。

主要包括组织设计方案评比，进行设计方案磋商及图纸审核，控制设计变更；在施工前通过审查承建单位资质等；在施工中通过多种控制手段检查监督标准、规范的贯彻；以及通过阶段验收和竣工验收把好质量关等。

3、合同管理

合同管理是进行投资控制、工期控制和质量控制的手段。

因为合同是监理单位站在公正立场采取各种控制、协调与监督措施，履行纠纷调解职责的依据，也是实施三大目标控制的出发点和归宿。

4、信息管理

信息管理包括投资控制管理、设备控制管理、实施管理及软件管理。

5、协调

协调贯穿在整个信息系统工程从设计到实施再到验收的全过程。

主要采用现场和会议方式进行协调。

总之，三控两管一协调，构成了监理工作的主要内容。

为完满地完成监理基本任务，监理单位首先要协助建设单位确定合理、优化的三大目标，同时要充分估计项目实施过程中可能遇到的风险，进行细致的风险分析与评估，研究防止和排除干扰的措施以及风险补救对策。

使三大目标及其实现过程建立在合理水平和科学预测基础之上。

其次要将既定目标准确、完整、具体地体现在合同条款中，绝不能有含糊、笼统和有漏洞的表述。

最后才是在信息工程建设实施中进行主动的、不间断的、动态的跟踪和纠偏管理。

图2监理内容示意图

（四）信息系统监理的主要业务和依据

1、信息系统监理的主要业务

信息系统监理的主要业务范围有信息网络系统、信息资源系统、信息应用系统的新建、升级、改造工程。

根据国内信息系统监理的实践，其涵盖计算机工程、网络工程、通信工程、结构化布线工程、智能大厦工程、软件工程、系统集成工程以及有关计算机和信息化建设的工程及项目。

其业务内容具体如下：

Ø帮助建设单位做好项目需求分析，协助建设单位选择合适的承建单位；

Ø审定承建单位的开工报告、系统实施方案、施工进度计划；

Ø对项目实施的各个阶段进行有效的监督和控制，帮助建设单位控制工程进度、投资和质量；

Ø审查和处理工程变更；

Ø参与工程质量和其他事故调查；

Ø调解建设单位与承包单位的合同争议，处理索赔、审批工程延期；

Ø组织进行竣工验收测试。

Ø组织建设单位和承建单位完成工程移交。

2、信息系统监理的依据

信息系统监理的依据如下：

Ø国务院颁发的《质量振兴纲要》；

Ø现行国家、各省、市、自治区的有关法律、法规、规定；

Ø国际、国内IT行业质量标准规范；

Ø建设单位和承建单位的合同；

Ø将来还有国家标准，例如《信息化工程监理规范》等。

（五）信息系统监理的程序

图3信息系统监理的程序

信息系统工程监理的特点是全过程监理，主要包括四个阶段的监理工作：

招投标阶段、设计阶段、实施阶段、验收阶段。

监理的目标、方法和程序都体现在这四个阶段的监理工作中。

三、信息系统审计

（一）信息系统审计概念

信息系统审计是全部审计过程的一个部分，信息系统审计（ISaudit）目前还没有固定通用的定义，美国信息系统审计的权威专家RonWeber将它定义为“收集并评估证据以决定一个计算机系统（信息系统）是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。

信息系统审计的目的是评估并提供反馈、保证及建议。

其关注之处可被分为如下三类：

Ø可用性——商业高度依赖的信息系统能否在任何需要的时刻提供服务？

信息系统是否被完好保护以应对各种的损失和灾难？

Ø保密性——系统保存的信息是否仅对需要这些信息的人员开放，而不对其他任何人开放？

Ø完整性——信息系统提供的信息是否始终保持正确、可信、及时？

能否防止未授权的对系统数据和软件的修改？

（二）信息系统审计产生动因及其发展

1、信息系统审计产生动因分析

关于信息系统审计的产生动因，目前国际上存在两种观点：

一种观点认为是从会计审计发展到计算机审计再发展到信息系统审计（计算机审计的范围扩展，最后涵盖整个信息系统）演变过来的；另外一种认为由于信息系统尤其是大型信息系统的建设是一项庞大的系统工程，它投资大、周期长、高技术、高风险，在系统的建设过程中，对工程进行严格、规范的管理和控制至关重要。

而正是由于信息系统工程所具有的这些特点，建设单位往往由于技术力量有限，无力对项目的技术、设备、进度、质量和风险进行控制，无法保证项目的实施成功。

所以需要有第三方进行独立审计。

2、信息系统审计在国际上的发展

信息系统审计的发展是伴随着信息技术的发展而发展的。

在数据处理电算化的初期，由于人们对计算机在数据处理中的应用所产生的影响没有足够的认识，认为计算机处理数据准确可靠，不会出现错弊，因而很少对数据处理系统进行审计，主要是对计算机打印出的一部分资料进行传统的手工审计。

随着计算机在数据处理系统中应用的逐步扩大，利用计算机犯罪的案件不断出现，使审计人员认识到要应用计算机辅助审计技术对电子数据处理系统本身进行审计，即EDI审计。

同时随着社会经济的发展，审计对象、范围越来越大，审计业务也越来越复杂，利用传统的手工方法已不能及时完成审计任务，必须应用计算机辅助审计技术（CAATs）进行审计。

八十年代、九十年代信息技术的进一步发展与普及，使得企业越来越依赖信息及产生信息的信息系统。

人们开始更多的关注信息系统的安全性、保密性、完整性及其实现企业目标的效率、效果，真正意义的信息系统审计才出现。

随着电子商务的全球普及，信息系统的审计对象、范围及内容将逐渐扩大，采用的技术也将日益复杂。

到目前为止，信息系统审计在全球来看，还是一个新的业务，从美国五大会计师事务所的数据看1990年拥有信息系统审计师12名到近百名，1995年已有500名，到2000年时，信息系统审计师正以40%——50%的速度增加，说明信息系统审计正逐渐受到重视。

美国在计算机进入实用阶段时就开始提出系统审计（SYSTEMAUDIT），从成立电子数据处理审计协会（EDPAA后更名为ISACA）以来，从事系统审计活动已有三十多年历史，成为信息系统审计的主要推动者，在全球建有一百多个分会，推出了一系列信息系统审计准则、职业道德准则等规范性文件，并开展了大量的理论研究，IT控制的开放式标准COBIT（ControlObjectivesforInformationandRelatedTechnology）已出版了第三版。

3、信息系统审计在国内的发展

目前国内有学者提出计算机审计，电算化审计，但基本上停留在对会计信息系统的审计上，延伸手工会计信息系统审计，尚未全面探讨信息时代给审计业务带来的深刻变化。

以我国在1999年颁布了独立审计准则第20号——计算机信息系统环境下的审计为例，其更多关注的是会计信息系统。

在信息时代，面对加入WTO后全球一体化市场，我国IT服务业面临巨大的挑战，开展信息系统审计业务不失为推动我国IT服务业发展的一次绝佳机会。

（三）信息系统审计的理论基础

信息系统审计不仅仅是传统审计业务的简单扩展，信息技术不单影响传统审计人员执行鉴证业务的能力，更重要的是公司和信息系统管理者都认识到信息资产是组织最有价值的资产，和传统资产一样需要控制，组织同时需要审计人员提供对信息资产控制的评价。

因此信息系统审计是一门边缘性学科，跨越多学科领域。

如图3所示，信息系统审计是建立在四个理论基础之上的：

Ø传统审计理论。

传统审计理论为信息系统审计提供了丰富的内部控制理论与实践经验，以保证所有交易数据都被正确处理。

同时收集并评价证据的方法论也在信息系统审计中广泛应用，最为重要的是传统审计给信息系统审计带来的控制哲学，即用谨慎的眼光审视信息系统在保护资产安全、保证信息完整，并能有效地实现企业目标的能力。

Ø信息系统管理理论。

信息系统管理理论是一门关于如何更好地管理信息系统的开发与运行过程的理论，它的发展提高了系统保护资产安全、保证信息完整，并能有效地实现企业目标的能力。

Ø行为科学理论。

人是信息系统安全最薄弱的环节，信息系统有时会因为人的问题而失败，比如对系统不满的用户故意破坏系统及其控制。

因此审计人员必须了解哪些行为因素可能导致系统失败。

这方面行为科学特别是组织学理论解释了组织中产生的“人的问题”。

Ø计算机科学。

计算机科学本身的发展也在关注如何保护资产安全、保证信息完整，并能有效地实现企业目标。

但是技术是一把双刃剑，计算机科学的发展可以使审计人员降低对系统组件可靠性的关注，信息技术的进步也可能启发犯罪，例如一个重要的问题是信息技术在会计制度中的应用是否给罪犯提供了较多缓冲时间？

如果是，那么今天网络犯罪产生的社会威胁较以往任何时候都要大。

（四）信息系统审计的基本业务和依据

1、信息系统审计的基本业务

信息系统审计业务将随着信息技术的发展而发展，为满足信息使用者不断变化的需要而增加新的服务内容，目前其基本业务如下：

Ø系统开发审计，包括开发过程的审计、开发方法的审计，为IT规划指导委员会及变革控制委员会提供咨询服务；

Ø主要数据中心、网络、通讯设施的结构审计，包括财务系统和非财务系统的应用审计；

Ø支持其他审计人员的工作，为财务审计人员与经营审计人员提供技术支持和培训；

Ø为组织提供增值服务，为管理信息系统人员提供技术、控制与安全指导；推动风险自评估程序的执行；

Ø软件及硬件供应商及外包服务商提供的方案、产品及服务质量是否与合同相符审计；

Ø灾难恢复和业务持续计划审计；

Ø对系统运营效能、投资回报率及应用开发测试审计；

Ø系统的安全审计；

Ø网站的信誉审计；

Ø全面控制审计等。

一个信息系统不等同于一台计算机。

今天的信息系统是复杂的，由多个部分组成以做出商业解决方案。

只有各个组成部分通过了评估，判定安全，才能保证整个信息系统的正常工作。

对一个信息系统审计的主要组成部分分成以下几类：

Ø信息系统的管理、规划与组织——评价信息系统的管理、计划与组织方面的策略、政策、标准、程序和相关实务。

Ø信息系统技术基础设施与操作实务——评价组织在技术与操作基础设施的管理和实施方面的有效性及效率，以确保其充分支持组织的商业目标.

Ø资产的保护——对逻辑、环境与信息技术基础设施的安全性进行评价，确保其能支持组织保护信息资产的需要,防止信息资产在XX的情况下被使用、披露、修改、损坏或丢失。

Ø灾难恢复与业务持续计划——这些计划是在发生灾难时，能够使组织持续进行业务,对这种计划的建立和维护流程需要进行评价。

Ø应用系统开发、获得、实施与维护——对应用系统的开发、获得、实施与维护方面所采用的方法和流程进行评价，以确保其满足组织的业务目标。

Ø业务流程评价与风险管理——评估业务系统与处理流程，确保根据组织的业务目标对相应风险实施管理。

2、信息系统审计的依据

信息系统审计师须了解规划、执行及完成审计工作的步骤与技术，并尽量遵守国际信息系统审计与控制协会的一般公认信息系统审计准则、控制目标和其他法律与规定。

Ø一般公认信息系统审计准则——包括职业准则、ISACA公告和职业道德规范。

职业准则可归类为：

审计规章、独立性、职业道德及规范、专业能力、规划、审计工作的执行、报告、期后审计。

ISACA公告是信息系统审计与控制协会对信息系统审计一般准则所做的说明。

ISACA职业道德及规范提供针对协会会员或信息系统审计认证（CISA）持有者有关职业上及个人的指导规范。

Ø信息系统的控制目标——信息系统审计与控制协会在1996年公布的COBIT（ControlObjectivesforInformationandrelatedTechnology）被国际上公认是最先进、最权威的安全与信息技术管理和控制的标准，目前已经更新至第三版。

它在商业风险、控制需要和技术问题之间架起了一座桥梁，以满足管理的多方面需要。

面向业务是COBIT的主题。

它不仅设计用于用户和审计师，而且更重要的是可用于全面指导管理者与业务过程的所有者。

商业实践中越来越多的包含了对业务过程所