陳菲

隨著信息系統(tǒng)在企業(yè)生產(chǎn)經(jīng)營(yíng)中的廣泛應(yīng)用，為了有效避免“IT生產(chǎn)力悖論”現(xiàn)象的出現(xiàn)，亟須對(duì)企業(yè)信息系統(tǒng)開(kāi)展績(jī)效審計(jì)，深入了解信息系統(tǒng)對(duì)企業(yè)發(fā)揮的作用與價(jià)值，減少盲目投資而產(chǎn)生的損失

隨著信息技術(shù)的迅猛發(fā)展，我國(guó)企業(yè)在信息系統(tǒng)構(gòu)建方面的投資規(guī)模越來(lái)越大，信息系統(tǒng)也日漸成為企業(yè)運(yùn)營(yíng)中不可缺少的“基礎(chǔ)設(shè)施”，信息系統(tǒng)審計(jì)進(jìn)而成為內(nèi)部審計(jì)無(wú)法回避的領(lǐng)域。國(guó)際信息系統(tǒng)審計(jì)與控制組織（ISACA）將信息系統(tǒng)審計(jì)定義為一個(gè)獲取并評(píng)價(jià)證據(jù)，以判斷計(jì)算機(jī)系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整以及有效率地利用組織的資源并有效果地實(shí)現(xiàn)組織目標(biāo)的過(guò)程。信息系統(tǒng)審計(jì)的價(jià)值在于通過(guò)評(píng)價(jià)和鑒證來(lái)優(yōu)化企業(yè)的IT管理，防范信息化風(fēng)險(xiǎn)。針對(duì)傳統(tǒng)審計(jì)和一般信息系統(tǒng)審計(jì)在信息系統(tǒng)領(lǐng)域績(jī)效評(píng)價(jià)方面存在的固有缺陷，探索適應(yīng)當(dāng)下企業(yè)環(huán)境的IT績(jī)效審計(jì)概念成為當(dāng)務(wù)之急。

明確IT績(jī)效審計(jì)的目標(biāo)、內(nèi)容及原則

對(duì)于IT績(jī)效審計(jì)這一概念，簡(jiǎn)單地講就是績(jī)效審計(jì)與信息系統(tǒng)審計(jì)的有機(jī)結(jié)合，是對(duì)信息系統(tǒng)經(jīng)濟(jì)性、效率性和效果性所作的評(píng)價(jià)與監(jiān)督。從更深層次來(lái)看，是貫穿于信息系統(tǒng)整個(gè)生命周期的一系列過(guò)程的績(jī)效審計(jì)，主要是為了提高系統(tǒng)的整體運(yùn)行效率，更好地滿足企業(yè)發(fā)展的需求。

審計(jì)目標(biāo)。當(dāng)信息系統(tǒng)成為經(jīng)濟(jì)活動(dòng)所依賴的運(yùn)行環(huán)境時(shí)，信息系統(tǒng)自身的安全性和可靠性，信息系統(tǒng)內(nèi)控有效性對(duì)數(shù)據(jù)的真實(shí)性、完整性和準(zhǔn)確性的影響，信息系統(tǒng)自身以及對(duì)滿足企業(yè)運(yùn)營(yíng)的經(jīng)濟(jì)性、效率性和效果性，這三個(gè)方面成為開(kāi)展IT績(jī)效審計(jì)的目標(biāo)。

審計(jì)內(nèi)容。IT績(jī)效審計(jì)的目的，是希望通過(guò)檢查被審計(jì)單位信息系統(tǒng)的頂層設(shè)計(jì)及建設(shè)實(shí)現(xiàn)，提升管理決策支持能力、經(jīng)濟(jì)業(yè)務(wù)協(xié)同能力、系統(tǒng)建設(shè)發(fā)展能力和信息系統(tǒng)貢獻(xiàn)能力，改善經(jīng)濟(jì)業(yè)務(wù)活動(dòng)的效率、效果和效能；通過(guò)揭示信息系統(tǒng)頂層設(shè)計(jì)和建設(shè)方面的不足，并提出審計(jì)意見(jiàn)和建議，促進(jìn)信息系統(tǒng)的實(shí)際效能提升，為審計(jì)項(xiàng)目對(duì)系統(tǒng)建設(shè)績(jī)效的審計(jì)評(píng)價(jià)提供支持。其中，信息系統(tǒng)績(jī)效審計(jì)事項(xiàng)主要包括信息系統(tǒng)總體績(jī)效評(píng)價(jià)、管理決策支持能力的績(jī)效評(píng)價(jià)、信息資源共享能力的績(jī)效評(píng)價(jià)、經(jīng)濟(jì)業(yè)務(wù)協(xié)同能力的績(jī)效評(píng)價(jià)、系統(tǒng)建設(shè)發(fā)展能力的績(jī)效評(píng)價(jià)、信息系統(tǒng)貢獻(xiàn)能力的績(jī)效評(píng)價(jià)等六個(gè)方面。

審計(jì)原則。開(kāi)展IT績(jī)效審計(jì)應(yīng)當(dāng)遵循四大原則：一是秉承績(jī)效審計(jì)的3E原則。IT績(jī)效審計(jì)雖然以信息系統(tǒng)為切入點(diǎn)，但最終目的還是反映企業(yè)信息系統(tǒng)自身和為企業(yè)帶來(lái)效益的能力。因此，IT績(jī)效審計(jì)的經(jīng)濟(jì)性、效率性和效果性應(yīng)當(dāng)貫穿于審計(jì)始終。二是目標(biāo)一致性原則。企業(yè)經(jīng)營(yíng)的目的是實(shí)現(xiàn)企業(yè)自身的戰(zhàn)略目標(biāo)，信息系統(tǒng)作為企業(yè)的一部分，其績(jī)效審計(jì)評(píng)價(jià)體系也應(yīng)當(dāng)與企業(yè)戰(zhàn)略目標(biāo)保持一致。三是適應(yīng)性原則。隨著環(huán)境的變化和信息技術(shù)的發(fā)展，企業(yè)IT績(jī)效審計(jì)方法也應(yīng)隨之做出改進(jìn)和調(diào)整，以增強(qiáng)IT績(jī)效審計(jì)的適應(yīng)性。四是可行性原則。在設(shè)計(jì)IT績(jī)效審計(jì)評(píng)價(jià)指標(biāo)時(shí)，相關(guān)數(shù)據(jù)要易于取得，指標(biāo)具有可操作性。企業(yè)在考慮指標(biāo)全面性的同時(shí)，也必須有所突出，同時(shí)也要考慮指標(biāo)之間的關(guān)聯(lián)性。

以案例分析的方式探索IT績(jī)效審計(jì)

A公司是一家非銀行金融機(jī)構(gòu)，是某集團(tuán)全資子公司。作為高風(fēng)險(xiǎn)金融類企業(yè)，集團(tuán)高層對(duì)A公司的風(fēng)險(xiǎn)管控高度重視，責(zé)令集團(tuán)審計(jì)部對(duì)A公司開(kāi)展專項(xiàng)審計(jì)。集團(tuán)審計(jì)部在充分審前調(diào)查和風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上，決定對(duì)A公司進(jìn)行IT績(jī)效審計(jì)，針對(duì)A公司核心業(yè)務(wù)系統(tǒng)現(xiàn)狀，分別從系統(tǒng)建設(shè)背景和項(xiàng)目目標(biāo)，系統(tǒng)需求與設(shè)計(jì)的合規(guī)性和有效性，系統(tǒng)功能的實(shí)現(xiàn)情況，關(guān)聯(lián)系統(tǒng)的數(shù)據(jù)對(duì)接情況，系統(tǒng)的服務(wù)能力、效率及運(yùn)行能力等五個(gè)方面進(jìn)行重點(diǎn)審計(jì)。

在開(kāi)展IT績(jī)效審計(jì)的過(guò)程中，審計(jì)組發(fā)現(xiàn)存在的四大問(wèn)題：

首先是系統(tǒng)設(shè)計(jì)邏輯存在缺陷，關(guān)鍵風(fēng)險(xiǎn)控制不到位，核心業(yè)務(wù)系統(tǒng)之間的交互數(shù)據(jù)校驗(yàn)控制不充分。A公司以資金系統(tǒng)為核心，其他外圍系統(tǒng)實(shí)現(xiàn)與之對(duì)接。由于信息化規(guī)劃不清晰，各核心業(yè)務(wù)系統(tǒng)底層架構(gòu)設(shè)計(jì)邏輯不明確，接口設(shè)計(jì)未對(duì)接口性能影響進(jìn)行有效分析，各核心業(yè)務(wù)系統(tǒng)之間的交互數(shù)據(jù)校驗(yàn)控制不充分，導(dǎo)致審計(jì)期間發(fā)生多起重大風(fēng)險(xiǎn)事件。

其次是系統(tǒng)開(kāi)發(fā)規(guī)劃性不足，可行性分析論證不充分。A公司報(bào)表系統(tǒng)在建設(shè)前期，僅完成了技術(shù)實(shí)現(xiàn)方案，未進(jìn)行系統(tǒng)建設(shè)可行性和必要性分析。在隨后的歷次開(kāi)發(fā)中，均未考慮業(yè)務(wù)變化和系統(tǒng)后期的擴(kuò)展問(wèn)題，導(dǎo)致報(bào)表系統(tǒng)在功能及擴(kuò)展性上無(wú)法滿足現(xiàn)有業(yè)務(wù)需求。

再次是系統(tǒng)原始需求不細(xì)化，系統(tǒng)上線前測(cè)試不充分，導(dǎo)致部分系統(tǒng)重復(fù)建設(shè)。A公司資金系統(tǒng)和報(bào)表系統(tǒng)原始需求較為簡(jiǎn)單，未進(jìn)行系統(tǒng)需求分析。且各核心業(yè)務(wù)系統(tǒng)普遍存在測(cè)試不充分、測(cè)試文檔留存不完整的現(xiàn)象。

最后是核心業(yè)務(wù)系統(tǒng)運(yùn)維不到位，信息管理人員專業(yè)能力有待提高等。A公司信息技術(shù)部現(xiàn)有人員整體缺乏對(duì)信息化硬件服務(wù)器、中間件和數(shù)據(jù)庫(kù)等IT工作的從業(yè)經(jīng)驗(yàn)及專業(yè)能力。運(yùn)維人員對(duì)各核心業(yè)務(wù)系統(tǒng)熟悉程度不夠，運(yùn)維經(jīng)驗(yàn)不足，系統(tǒng)運(yùn)行的有效性難以保證。

從案例中帶來(lái)的IT績(jī)效審計(jì)啟示

隨著信息系統(tǒng)審計(jì)理論的不斷發(fā)展，績(jī)效管理的不斷深入，IT績(jī)效審計(jì)也將隨之逐步發(fā)展變化。基于上述案例，可以發(fā)現(xiàn)，IT績(jī)效審計(jì)還需在風(fēng)險(xiǎn)評(píng)估、審計(jì)側(cè)重點(diǎn)、審計(jì)方法等方面進(jìn)一步加強(qiáng)探索。

IT績(jī)效審計(jì)需要在風(fēng)險(xiǎn)分析與評(píng)估的基礎(chǔ)上，開(kāi)展風(fēng)險(xiǎn)管理和績(jī)效評(píng)價(jià)。重點(diǎn)內(nèi)容在于風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理。IT績(jī)效審計(jì)不僅要關(guān)注信息系統(tǒng)本身，更要關(guān)注依托系統(tǒng)的業(yè)務(wù)流，強(qiáng)調(diào)信息系統(tǒng)在防范風(fēng)險(xiǎn)和提升效率方面的價(jià)值。在開(kāi)展IT績(jī)效審計(jì)時(shí)，風(fēng)險(xiǎn)防范要貫穿于整個(gè)審計(jì)過(guò)程始終，關(guān)注信息化管理的效果。

IT績(jī)效審計(jì)的目的和其所處的地位和角度的不同，使得企業(yè)關(guān)心的側(cè)重點(diǎn)不同。IT績(jī)效審計(jì)的對(duì)象既包括企業(yè)信息系統(tǒng)、企業(yè)信息化項(xiàng)目，又包括企業(yè)信息化發(fā)展戰(zhàn)略。IT績(jī)效審計(jì)本身不是目的，最終目標(biāo)是為了支持決策。重點(diǎn)關(guān)注企業(yè)信息系統(tǒng)應(yīng)用過(guò)程中能夠?qū)е缕髽I(yè)經(jīng)營(yíng)活動(dòng)，生產(chǎn)活動(dòng)和管理活動(dòng)發(fā)生變化的因素，涉及的內(nèi)容既包括財(cái)務(wù)因素，也包括非財(cái)務(wù)因素。

科學(xué)合理的IT績(jī)效審計(jì)方法是獲取績(jī)效審計(jì)信息和取得審計(jì)結(jié)果的手段，有利于審計(jì)指標(biāo)的建立和審計(jì)結(jié)果的達(dá)成。審計(jì)方法的發(fā)展經(jīng)歷大致經(jīng)歷了觀察法、統(tǒng)計(jì)法、財(cái)務(wù)評(píng)價(jià)法、財(cái)務(wù)評(píng)價(jià)與非財(cái)務(wù)評(píng)價(jià)法相結(jié)合的四個(gè)階段。而IT績(jī)效審計(jì)在中國(guó)處于起步階段，隨著信息系統(tǒng)審計(jì)在我國(guó)的全面開(kāi)展和廣泛應(yīng)用，IT績(jī)效審計(jì)評(píng)價(jià)體系的確立、完善和共識(shí)將會(huì)逐步清晰。

（作者單位：北京汽車集團(tuán)產(chǎn)業(yè)投資有限公司）