張子良

（廣東省科技基礎(chǔ)條件平臺中心，廣州510033）

0 引言

根據(jù)工業(yè)和信息化部統(tǒng)計，2018 年我國軟件和信息技術(shù)服務(wù)業(yè)規(guī)模以上企業(yè)3.78 萬家，累計完成軟件業(yè)務(wù)收入63061 億元，同比增長14.2%；實(shí)現(xiàn)利潤總額8079 億元，同比增長9.7%；行業(yè)人均創(chuàng)造業(yè)務(wù)收入98.06 萬元，同比增長9.6%。全國軟件和信息技術(shù)服務(wù)業(yè)從業(yè)人數(shù)643 萬人，比上年增加25 萬人，同比增長4.2%。數(shù)據(jù)顯示，我國軟件和信息技術(shù)服務(wù)業(yè)運(yùn)行態(tài)勢良好，收入和效益保持較快增長，吸納就業(yè)人數(shù)穩(wěn)步增加，行業(yè)處于持續(xù)高質(zhì)量發(fā)展?fàn)顟B(tài)。

1 信息系統(tǒng)測評與信息系統(tǒng)審計

行業(yè)的持續(xù)發(fā)展，云計算、大數(shù)據(jù)、人工智能等新技術(shù)的涌現(xiàn)和普及也給我國電子政務(wù)建設(shè)帶來巨大影響，數(shù)字政府建設(shè)成為數(shù)字經(jīng)濟(jì)重要的組成部分，軟件和信息技術(shù)服務(wù)業(yè)逐漸成為驅(qū)動數(shù)字經(jīng)濟(jì)發(fā)展、構(gòu)建智慧社會的重要力量。一般來講，電子政務(wù)生命周期包括立項(xiàng)、可研、需求、設(shè)計、實(shí)施、測試、試運(yùn)行、驗(yàn)收等若干階段。隨著行業(yè)的不斷細(xì)分，按照不同階段的工作成果及相應(yīng)技術(shù)要求，逐步延伸出針對電子政務(wù)的不同專業(yè)技術(shù)服務(wù)方，如咨詢設(shè)計單位、開發(fā)實(shí)施單位、監(jiān)理單位、第三方測評機(jī)構(gòu)、信息系統(tǒng)審計機(jī)構(gòu)等。服務(wù)于電子政務(wù)的信息系統(tǒng)測評及信息系統(tǒng)審計等第三方服務(wù)力量不斷增強(qiáng)，持續(xù)為我國電子政務(wù)建設(shè)補(bǔ)充專業(yè)技術(shù)力量，推動電子政務(wù)建設(shè)持續(xù)向高質(zhì)量、高效率、高水平方向發(fā)展。

1.1 信息系統(tǒng)測評與信息系統(tǒng)審計在電子政務(wù)領(lǐng)域開展情況簡述

目前，國內(nèi)的第三方信息系統(tǒng)測評機(jī)構(gòu)大部分為獨(dú)立的第三方實(shí)驗(yàn)室，正規(guī)的測評機(jī)構(gòu)具備國家或地方市場監(jiān)督管理局（原質(zhì)量技術(shù)監(jiān)督局）頒發(fā)的CMA資質(zhì)或中國合格評定國家認(rèn)可委員會（CNAS）的認(rèn)可資質(zhì)，這些實(shí)驗(yàn)室建立了較為規(guī)范的測評流程，并配備一定數(shù)量的專業(yè)技術(shù)人員及必備的檢測設(shè)備。信息系統(tǒng)測試一般分為單元測試、集成測試、系統(tǒng)測試、驗(yàn)收測試、回歸測試等。通常來講，單元測試、集成測試由項(xiàng)目承擔(dān)單位內(nèi)部進(jìn)行。系統(tǒng)測試通常由用戶組織，參與單位由承建單位、監(jiān)理等機(jī)構(gòu)聯(lián)合派出代表，形成測試團(tuán)隊(duì)依據(jù)系統(tǒng)驗(yàn)收方案實(shí)施測試。獨(dú)立的第三方測評機(jī)構(gòu)一般從事的是信息系統(tǒng)測試的最后一個環(huán)節(jié)：驗(yàn)收測試。據(jù)國家認(rèn)證認(rèn)可監(jiān)督管理委員會發(fā)布的信息，截至2018 年底，全國共有檢驗(yàn)檢測機(jī)構(gòu)3.9 萬余家，獲得認(rèn)可資格的檢驗(yàn)檢測機(jī)構(gòu)10439 家,我國累計頒發(fā)認(rèn)證認(rèn)可檢驗(yàn)檢測證書、獲證組織數(shù)量連續(xù)多年位居世界第一，檢驗(yàn)檢測認(rèn)證服務(wù)產(chǎn)值超過2700 億元，成為全球增長最快、最具潛力的檢驗(yàn)檢測認(rèn)證市場。以信息系統(tǒng)檢測最為常見的軟件領(lǐng)域?yàn)槔?，截?019 年4 月底，通過中國合格評定國家認(rèn)可委員會（CNAS）網(wǎng)站查詢，獲得認(rèn)可的實(shí)驗(yàn)室中，檢測對象包含軟件領(lǐng)域的機(jī)構(gòu)有291 家。信息系統(tǒng)測評的在廣東電子政務(wù)建設(shè)中有比較高的普及度，尤其在珠三角經(jīng)濟(jì)發(fā)達(dá)地區(qū)，財政投資管理單位對此比較重視。廣州在2007 年就出臺了財政投資信息化項(xiàng)目驗(yàn)收的管理辦法和實(shí)施規(guī)范，規(guī)定投資金額大于等于100 萬元的大型及重大財政投資信息化建設(shè)項(xiàng)目在驗(yàn)收前需經(jīng)政府采購程序確定的專業(yè)第三方測評機(jī)構(gòu)進(jìn)行相應(yīng)的測評，測評結(jié)果作為驗(yàn)收的依據(jù)。近年來，廣州的信息系統(tǒng)測評主要包含兩大部分內(nèi)容：一是驗(yàn)收測評；二是符合性檢查。驗(yàn)收測評是依據(jù)相關(guān)規(guī)范、標(biāo)準(zhǔn)，結(jié)合項(xiàng)目招標(biāo)文件及合同等事先編制測評方案，然后依據(jù)測評方案對指定測評對象（包括軟硬件）實(shí)施檢測，并在檢測后出具第三方測評報告評判測評對象是否達(dá)到驗(yàn)收要求，如發(fā)現(xiàn)質(zhì)量問題的，及時要求項(xiàng)目承擔(dān)單位予以整改。符合性檢查，主要是對電子政務(wù)項(xiàng)目建設(shè)內(nèi)容完成情況、項(xiàng)目實(shí)施情況、項(xiàng)目文檔等配置項(xiàng)等內(nèi)容進(jìn)行審計及檢查，從整體層面如實(shí)反映電子政務(wù)項(xiàng)目建設(shè)及管理狀況。專業(yè)第三方測評機(jī)構(gòu)的介入，對提升電子政務(wù)建設(shè)質(zhì)量起到了積極良好的促進(jìn)作用，同時為后續(xù)的驗(yàn)收工作提供了準(zhǔn)確、規(guī)范、專業(yè)的測評報告，為驗(yàn)收工作提供了強(qiáng)有力的數(shù)據(jù)及技術(shù)支撐。深圳、佛山等地也陸續(xù)出臺相應(yīng)的政策，規(guī)范驗(yàn)收測評工作，促進(jìn)了當(dāng)?shù)仉娮诱?wù)水平的持續(xù)提升。

信息理論認(rèn)為，之所以需要審計，是由于審計的結(jié)果可以使信息更加可靠，減少出現(xiàn)于電子政務(wù)管理當(dāng)局和投資者之間潛在的信息不對稱，使市場更具效率。審計的本質(zhì)在于增進(jìn)財務(wù)信息的價值，也即提高財務(wù)信息對信息使用者決策的正確程度。實(shí)施信息系統(tǒng)審計的目標(biāo)是在有限的時間內(nèi)，依靠有限的信息資源，采用必要的技術(shù)手段解決與被審計方的信息不對稱，保證信息系統(tǒng)建設(shè)財政財務(wù)收支的真實(shí)性、合法性、效益性。黨的十八大以來，黨中央高度重視審計工作，對加強(qiáng)審計工作作出了一系列重要部署。在新常態(tài)下，各級政府審計機(jī)關(guān)為推進(jìn)審計全覆蓋，探索推行數(shù)字化審計、大數(shù)據(jù)審計等有創(chuàng)新性的審計方式。在此背景下，開展信息系統(tǒng)審計成為數(shù)字化審計的重要內(nèi)容。然而，開展電子政務(wù)系統(tǒng)信息系統(tǒng)審計在我國處于較初級階段。以廣東政府審計為例，2012 年，廣州市審計局結(jié)合市本級財政審計項(xiàng)目首次探索開展了信息系統(tǒng)審計，指出被審計單位信息系統(tǒng)存在安全隱患，信息系統(tǒng)未有效整合，數(shù)據(jù)共享和數(shù)據(jù)同步機(jī)制不完善等問題，得到被審計單位的高度重視并積極整改。調(diào)查發(fā)現(xiàn)，在開展信息化審計過程中，各級審計機(jī)關(guān)普遍面臨信息化審計人才缺乏的問題，缺少信息化專業(yè)審計方法成為制約信息系統(tǒng)審計發(fā)展的瓶頸之一。2017 年，廣東省審計廳采用公開招標(biāo)的方式，確定了10 家第三方服務(wù)機(jī)構(gòu)參與審計數(shù)據(jù)技術(shù)服務(wù)工作，這10 家機(jī)構(gòu)不是以往的會計事務(wù)所，而是信息化服務(wù)機(jī)構(gòu)。這些機(jī)構(gòu)將參與到審計數(shù)據(jù)資源的梳理、規(guī)劃、整合、綜合利用，相關(guān)信息系統(tǒng)的建設(shè)、管理、使用等情況的調(diào)查以及相應(yīng)的檢查、測評、評估等工作。廣州等地審計機(jī)關(guān)也陸續(xù)開展引入第三方技術(shù)力量，這些第三方服務(wù)機(jī)構(gòu)為信息系統(tǒng)審計提供了必要的技術(shù)支撐，在一定程度上解決了信息系統(tǒng)審計人才缺乏的情況。

1.2 信息系統(tǒng)測評與信息系統(tǒng)審計的異同點(diǎn)分析

無論是信息系統(tǒng)測評還是信息系統(tǒng)審計，都是屬于知識密集型的較為高端第三方信息化技術(shù)服務(wù)，二者都把提升信息系統(tǒng)質(zhì)量水平作為目標(biāo)之一。通常來講，二者都發(fā)生在信息系統(tǒng)建設(shè)完成之后，信息系統(tǒng)測評所采用的方法及技術(shù)手段在信息系統(tǒng)審計中依然適用。

二者的不同點(diǎn)主要體現(xiàn)在以下幾個方面：

第一，依據(jù)不同。信息系統(tǒng)測評主要依據(jù)信息化國家、地方、行業(yè)技術(shù)及驗(yàn)收標(biāo)準(zhǔn)，以及具體項(xiàng)目的招標(biāo)文件、合同、技術(shù)方案等；而審計的依據(jù)更為廣泛，除了測評依據(jù)的文件外，還可包括國家法律法規(guī)，地方及行業(yè)政策、以及被審計主體內(nèi)部規(guī)定。

第二，范圍不同。測評主要以建設(shè)結(jié)果是否滿足技術(shù)要求及用戶需求為判定準(zhǔn)則，主要立足于被測評的項(xiàng)目本身，注重本測評項(xiàng)目的最終結(jié)果。審計范圍更廣，除了關(guān)注項(xiàng)目建設(shè)的成果外，還覆蓋項(xiàng)目建設(shè)全流程及運(yùn)行維護(hù)狀況。審計在關(guān)注技術(shù)成果的同時，更關(guān)注項(xiàng)目實(shí)際績效，以及建設(shè)過程、資金使用的合法性、規(guī)范性。必要時，還可對其他信息化項(xiàng)目情況進(jìn)行延伸審計。

第三，實(shí)施主體不同。信息系統(tǒng)測評的實(shí)施主體包括信息系統(tǒng)承建單位設(shè)立的質(zhì)量保證或測試團(tuán)隊(duì)、建設(shè)單位，以及第三方檢測機(jī)構(gòu)。而審計實(shí)施主體分類可以分為：國家政府審計、社會審計和內(nèi)部審計三種，相應(yīng)的承擔(dān)審計工作的主體包括政府審計機(jī)關(guān)、第三方審計機(jī)構(gòu)（以會計事務(wù)所為主），以及機(jī)構(gòu)組織內(nèi)部設(shè)立的內(nèi)審機(jī)構(gòu)。

1.3 信息系統(tǒng)測評與信息系統(tǒng)審計所需技術(shù)能力分析

信息系統(tǒng)是一個精密、復(fù)雜、綜合性的人機(jī)交互系統(tǒng)。對一個復(fù)雜的系統(tǒng)進(jìn)行測評，并出具令人信服的專業(yè)測評報告，對信息系統(tǒng)測評從業(yè)人員而言，需要大量的專業(yè)技術(shù)知識。除了最基本的軟件測試?yán)碚摷凹寄芡?，還要根據(jù)信息系統(tǒng)自身的特點(diǎn)，掌握其所涉及的具體計算機(jī)技術(shù)，更需要相應(yīng)的業(yè)務(wù)領(lǐng)域背景，理解用戶業(yè)務(wù)邏輯。一般而言，這些計算機(jī)專業(yè)知識包括服務(wù)器、存儲硬件技術(shù)、操作系統(tǒng)技術(shù)、信息通信技術(shù)、網(wǎng)絡(luò)集成技術(shù)、數(shù)據(jù)庫技術(shù)、信息安全技術(shù)等其他計算機(jī)專業(yè)技術(shù)。還需要對自動化測試、性能測試、安全掃描、網(wǎng)絡(luò)測試等測試工具熟練掌握。同時，測評的依據(jù)主要是計算機(jī)相關(guān)國家及行業(yè)技術(shù)標(biāo)準(zhǔn)，以及電子政務(wù)項(xiàng)目自身的招標(biāo)文件及合同約定，測評人員必須對這些充分理解并掌握。另外，還應(yīng)掌握項(xiàng)目管理，尤其是質(zhì)量管理相關(guān)理論知識及方法論。還需要具備良好的溝通及書面表達(dá)能力，并擁有耐心、細(xì)致、專業(yè)的職業(yè)素養(yǎng)。最后，還要對大數(shù)據(jù)、云計算、物聯(lián)網(wǎng)等新技術(shù)，并對電子政務(wù)所在領(lǐng)域知識持續(xù)開展追蹤與學(xué)習(xí)，把握最新測試技術(shù)。

信息系統(tǒng)審計，依據(jù)中華人民共和國審計署《信息系統(tǒng)審計指南——計算機(jī)審計實(shí)務(wù)公告第34 號》的定義，是指國家審計機(jī)關(guān)依法對被審計單位信息系統(tǒng)的真實(shí)性、合法性、效益性和安全性進(jìn)行檢查監(jiān)督的活動。在審計的內(nèi)容上，包括應(yīng)用控制、一般控制和項(xiàng)目管理三個方面的審計。對應(yīng)每個方面又有具體的審計內(nèi)容，應(yīng)用控制包括：信息系統(tǒng)業(yè)務(wù)流程，數(shù)據(jù)輸入、處理和輸出的控制，信息共享和業(yè)務(wù)協(xié)同。一般控制包括：信息系統(tǒng)總體控制，信息安全技術(shù)控制，信息安全管理控制。項(xiàng)目管理包括：信息系統(tǒng)建設(shè)的經(jīng)濟(jì)性，信息系統(tǒng)建設(shè)管理，信息系統(tǒng)績效。綜合分析，應(yīng)用控制、一般控制和項(xiàng)目管理三個方面的審計要求，從事信息系統(tǒng)審計的人員除應(yīng)具備信息系統(tǒng)測評基本要求能力外，還要求較強(qiáng)的信息系統(tǒng)綜合管理能力。特別的，在一般控制方面中的總體控制方面，《指南》要求的內(nèi)容有：信息系統(tǒng)總體控制審計的目的是通過檢查被審計單位信息系統(tǒng)總體控制的戰(zhàn)略規(guī)劃、組織架構(gòu)、制度機(jī)制、崗位職責(zé)、內(nèi)部監(jiān)督等，分析信息系統(tǒng)在內(nèi)部環(huán)境、風(fēng)險評估、控制活動、信息與溝通、內(nèi)部監(jiān)督方面的有效性及其風(fēng)險，形成信息系統(tǒng)總體控制的審計評價和結(jié)論，提出審計意見和建議，促進(jìn)信息系統(tǒng)總體控制的完善，并為審計項(xiàng)目對信息系統(tǒng)總體控制的審計評價提供支持。從中我們可以看出，信息系統(tǒng)總體控制對審計人員提出了更高層次的能力要求，即要具有宏觀意識和整體戰(zhàn)略視野，能夠從宏觀著眼，從微觀入手，能夠從戰(zhàn)略規(guī)劃、組織架構(gòu)、制度機(jī)制、體制制度上發(fā)現(xiàn)問題、分析問題、提出意見和建議。以審計一所高校的信息化建設(shè)整體工作來看，擔(dān)任該信息化專題的主審人員，需要具備被審計高校信息中心主任，甚至是主管信息化建設(shè)副校長的業(yè)務(wù)能力，否則提出的審計建議只能停留在較低層次，難以令人真正信服。

綜合而言，信息系統(tǒng)審計對于從業(yè)人員的技能提出了更高的要求。除了傳統(tǒng)審計的溝通表達(dá)技能，豐富的財務(wù)技能外，還要求具備信息化測評等信息化從業(yè)人員需具備的信息化專業(yè)技能，還需要具備更高層次的整體全局戰(zhàn)略分析技能。對于主審人員還應(yīng)具有良好的組織協(xié)調(diào)能力，高超的溝通談判技巧，以及敏銳的洞察力和堅定的意志力。

2 二者存在的主要問題及未來展望

國內(nèi)從事檢測行業(yè)的第三方測評機(jī)構(gòu)一般規(guī)模都比較小。據(jù)統(tǒng)計，人數(shù)規(guī)模為100 人以下的檢驗(yàn)檢測機(jī)構(gòu)數(shù)量占比達(dá)到96%，絕大多數(shù)檢驗(yàn)檢測機(jī)構(gòu)屬于小微型企業(yè)，“小散弱”現(xiàn)象較為突出。作為高速發(fā)展的信息技術(shù)行業(yè)，技術(shù)創(chuàng)新日新月異，檢測機(jī)構(gòu)的檢測能力難以全部覆蓋信息化檢測技術(shù)所需。服務(wù)能力有限，相應(yīng)的技術(shù)創(chuàng)新能力、抗風(fēng)險能力都受到相應(yīng)的制約。其次，在委托檢測方式上，由電子政務(wù)建設(shè)單位或承建單位直接委托第三方測評機(jī)構(gòu)開展檢測服務(wù)，并支付檢測費(fèi)用的情況較為普遍，在一定程度上會影響測評結(jié)果的公正性。

信息系統(tǒng)審計發(fā)展處于較初級階段，電子政務(wù)的審計主要由政府審計機(jī)關(guān)承擔(dān)，尚未充分形成規(guī)范、技術(shù)服務(wù)實(shí)力強(qiáng)的第三方信息系統(tǒng)審計服務(wù)機(jī)構(gòu)，信息系統(tǒng)審計市場還處于萌芽及培育階段，市場活力有待激發(fā)。其次，信息系統(tǒng)審計國家及行業(yè)標(biāo)準(zhǔn)發(fā)展相對滯后，對于電子政務(wù)審計缺乏標(biāo)準(zhǔn)的規(guī)范與指引。同時，信息系統(tǒng)審計人才較為缺乏，在一定程度上限制了信息系統(tǒng)審計向更高層次發(fā)展。

針對檢測機(jī)構(gòu)存在的普遍問題，2014 年2 月國務(wù)院辦公廳轉(zhuǎn)發(fā)中央編辦國家質(zhì)檢總局《關(guān)于整合檢驗(yàn)檢測認(rèn)證機(jī)構(gòu)的實(shí)施意見的通知》，持續(xù)推進(jìn)檢驗(yàn)檢測認(rèn)證機(jī)構(gòu)整合做強(qiáng)做大，提升核心競爭力。同時，為了保證認(rèn)證檢測市場的健康發(fā)展，由國家市場監(jiān)督管理總局牽頭，不斷組織開展行業(yè)整治行動，保障認(rèn)證檢測市場監(jiān)管長期處于高壓態(tài)勢。在信息系統(tǒng)審計領(lǐng)域，一方面，各級審計機(jī)關(guān)著手引入大數(shù)據(jù)審計等創(chuàng)新性審計新方法，另一方面嘗試引入第三方服務(wù)機(jī)構(gòu)，不斷充實(shí)信息系統(tǒng)審計服務(wù)技術(shù)力量，在各領(lǐng)域開展信息系統(tǒng)審計的持續(xù)探索。

隨著我國市場經(jīng)濟(jì)的持續(xù)發(fā)展，“放管服”改革的不斷深化，以及我國政府管理方式由直接管理向間接管理轉(zhuǎn)變，由管理型政府向服務(wù)型政府的職能轉(zhuǎn)變，為服務(wù)于政府行政管理的電子政務(wù)建設(shè)提出了更豐富的建設(shè)內(nèi)涵以及更高標(biāo)準(zhǔn)的建設(shè)要求。如何推進(jìn)電子政務(wù)向高質(zhì)量、高效益方面發(fā)展，持續(xù)提升政府運(yùn)行效率，不斷增強(qiáng)公眾信任度和滿意度是電子政務(wù)建設(shè)者必須解決的問題。信息系統(tǒng)測評及信息系統(tǒng)審計必將在其中發(fā)揮愈來愈重要的作用。