《浅谈当前集团企业信息化发展模式下的信息系统审计》由会员分享，可在线阅读，更多相关《浅谈当前集团企业信息化发展模式下的信息系统审计（5页珍藏版）》请在金锄头文库上搜索。
1、浅谈当前集团企业信息化发展模式下的信息系统审计 共有 105 人阅读 作者：赵辉 字体： 小 大 企业信息化的发展导致审计监督对象、方式、技术都发生了新的变化，对企业信息系统的审计已成为一种必然趋势。而企业信息化建设审计监督的根本目的就在于，通过政府审计，检查企业信息化建设的投入、效果、安全，帮助企业信息化建设走科学、持续、高效的道路，增强企业的核心竞争力，避免盲目建设和对 ERP 等时髦概念的追从。一、企业信息化发展导致的审计监督变化在财政部的信息化环境下企业会计基础工作研究中，把企业信息化发展划分为三个阶段：第一个阶段，组织内部财务和业务分散应用、独立处理阶段。第二个阶段，组织内部整体信息
2、化、财务和业务集成处理阶段。第三个阶段，组织间信息共享、实时协同阶段。可见，企业信息化的发展给企业管理的结构、业务流程、内部控制和外部监督都带来了不少变化。针对企业信息化的发展，审计监督的内容也特别增加了以下几方面：（一）对企业信息化连续性的审查和监管。在企业内部，需要评估企业信息化风险管理的有效性和效率，并及时改进。在企业外部，外部管理部门、检查或评价机构可能需要及时制定或提出适当的管理规范或评价标准，促进企业信息化建设的持续发展；（二）对内部控制管理制度的审查。在信息化集成度较高的企业内部，要审核企业管理制度中是否制定了专门针对信息化、信息系统的制度条款，或是制定全企业适用的专门的信息化管
3、理制度，保护资产的安全。（三）鉴证 IT 服务商提供的软件和系统处理功能是否符合国家和有关部门规章制度要求、是否提供了企业业务的正确处理流程和方法、数据处理的规则是否正确以及会计方法、业务数据是否具有一贯性。（四）评价用户是否正确运用了软件功能。从岗位分工和权限控制是否能保证数据的真实性和完整性、数据存储的安全性和一致性是否合理审计线索保留程度等方面综合评价。二、集团企业信息化建设的繁杂性导致的差异性大型集团企业进行信息化建设，存在以下难点：子公司多，涉及业务多，需处理的信息多；资金少，专业信息技术人员少，信息管理人员少；由于信息化建设不只是技术、资金上的问题，更多的涉及到企业业务流程再造，企
4、业从管理层到员工都存在畏难情绪，不愿意进行信息化改造；集团企业经营范围广，子公司地域分布广，极大地增加了企业信息化建设成本。在当前集团企业的信息化发展模式中，有两种是比较典型的，一种是由集团统一规划、统一实施的信息系统。在集团公司内部按业务分板块，不同板块使用不同的信息系统。企业的信息化建设处于良好发展态势，由第二阶段向第三阶段发展。另一种是只由集团层面提出信息化战略目标，具体的信息化建设工作还是由各子公司自行开展，虽然是集团企业，但集团内信息共享和集成尚未达到，信息孤岛大量存在，集团实质只是不同企业的组合体，企业信息化发展还处于第一阶段。三、对不同信息化发展程度的集团企业的信息系统审计笔者在
5、近几年对集团企业审计实践中，尝试对被审计单位信息系统进行审计，对信息系统建设较好的企业和建设程度一般的企业尝试开展信息系统系统经济性、可靠性、安全性审计。现在选取 A 集团企业和 B 集团企业分别介绍。A 集团企业在国内属于信息化建设比较好的企业。集团企业统一进行信息化建设的规划、建设和设备采购，统一培养人才进行维护支持。集团公司使用的系统从上千个精简为数十个核心系统。该企业按不同的业务板块分别使用不同的业务 ERP 系统、各业务系统和财务系统设计接口，集团企业的信息化建设基本实现了信息的集成和共享，实现将关键准确的数据及时传输到相应的决策人手中，为企业的运作决策提供数据支持。对 A 集团企业
6、的审计工作，我们主要选择从该集团企业某业务板块使用的 ERP 系统下手进行。B 集团主要从事国内大型制造业，其信息化建设的规划由集团提出，但主要交给各下级单位单独进行。虽子公司有共性的业务，但集团设计业务主要使用的软件只有两种，都是子公司分别向国外公司购买和授权的。由于业务的特殊性，集团信息并没有整合和共享，也未考虑组织国内力量自主开发核心设计软件。因而，和对 A 集团企业审计选取某一系统进行不同，对 B 集团企业我们主要考虑通过对下级企业的比较和全集团范围内的调查，掌握集团信息化建设整体情况和自主创新情况，提出信息化建设的建议。（一）对集团统一建设的信息系统的审计信息系统由集团统一建设，在集
7、团范围内相同的业务板块统一使用，针对某一信息系统的审计，不但能反映信息系统的情况，也能反映企业在该板块的业务情况，审计的成果能最大化。审计时因为审计资源有限（大概就是 3 个人，一个月左右的时间），所以我们选择不是刚上线也不是应用得非常广的系统，而从企业的主营业务入手，选取了某一销售 ERP 系统。该系统在集团内的上线企业有十余家，主要使用单位有五家。对该系统的审计主要从系统业务设计和数据分析两方面结合进行。调阅业务设计文档，到使用单位实际了解使用效果，同时在集团范围内下载该系统产生的数据，二者结合进行审计。1.经济性。考虑集团企业系统统一规划、建设，招投标的合规性直接关系到信息化建设的成败，
8、因此，我们重点关注软、硬件和基础环境的建设、采购、关注招投标的规范性和采购程序的规范性及合同的执行情况。具体采取了以下做法：发放信息系统投入调查表，检查该 ERP 系统的设计、立项、批复文件；招投标、采购、合同签订及履行情况相关文档；项目建设、资金拨付、验收相关文档，对资产进行实际盘点。通过审计发现，该企业存在照顾关联企业，招投标违规，某私营企业大量获利的问题。2.可靠性。检查该 ERP 系统与业务需求的符合性、系统用户的满意度、对核心业务流程的覆盖程度、设备利用的合理性及性能价格比等事项。主要从系统业务流程设计入手检查系统功能的合理性、完善性。因为该 ERP 系统主要是能源销售系统，所以结合
9、数据分析技术，采集该系统数据并加以分析，从数据角度检查系统功能设置中可能存在的问题，是否满足国家相关政策要求。通过检查系统业务流程设计，发现该系统在生产数据系统采集数据时存在人工干预接口、人为调节数据的漏洞，影响了业务数据和财务报表的准确性。同时该系统没有设计统一定价功能，存在致使部分能源销售不符合国家定价等问题。3.安全性。和信息技术管理部门座谈，了解信息系统组织领导机构；实地检查物理环境安全，安全管理制度和安全管理职责履行的情况；到系统使用单位检查人员授权、职责分离情况以及数据库备份策略、恢复策略等信息系统安全性问题。通过检查，发现该信息系统数据中心存在消防安全等物理安全隐患。（二）对分散
10、建设集团企业的信息系统审计B 集团信息系统分散建设，全集团使用的信息系统有 380 余种，各下级信息化建设水平不平衡。对该集团的信息系统审计，主要是宏观和微观相结合。面向整个集团调查信息系统建设、采购、使用情况，从集团层面提出建设建议，同时选取某一具体下级企业，针对具体信息系统进行审计。1.经济性。审计人员向全集团发放调查表，针对信息系统的建设、采购、使用、管理情况进行调研。主要发现三个问题，一是集团总体规划并不强调集团整体的信息化建设，集团信息化建设缺乏总体性；二是下级企业发展不平衡。该集团主营业务是制造业，各下级企业生产的产品有区别，但使用的主要设计系统大致相同。发现该集团各二级企业使用的
11、系统多达数百个，各业务板块之间信息化发展不平衡。软件、硬件、网络等基础设施投入最多的前 10 家二级单位分别占整个集团投入的 74.29%，71.15%，59.19%。三是核心业务信息系统的自主创新能力不足。企业主营业务设计系统严重依赖于国外软件，集团下属各单位购买国外软件投入 6.32 亿元，占全集团软件投入的 75.16%，购买国内软件和自主研发等费用 2.09 亿元，仅占软件投入的 24.84%。核心业务主要是使用国外软件系统完成。2.可靠性。信息化建设缺乏总体考虑，系统可靠性差。审计抽查发现，某下级单位财务系统和物流系统分开建设，没有考虑二者之间的数据接口，系统数据不能共享，物流系统记
12、录的实物和财务系统核算之间的数据不一致，导致已完工产品少记成本 458.81 万元。3.安全性。实地检查 2 个下级企业，同样发现物理环境存在安全隐患，某一被抽查的下级企业虽然为国内上市公司，但信息孤岛大量存在，信息化建设水平极其低，数据中心物理环境极其差。四、小结从上述可看出，虽然同样是对信息系统的经济性、可靠性、安全性进行审计，但针对具体企业，应根据具体审计目标设计方法。集团统建的信息系统审计由于信息化建设基础好，对单一系统进行审计，就可以反映出应用该系统的业务情况；提出的审计建议也可作用于全集团相关业务的改进。对于分散建设的集团企业，从政府审计监督的角度出发，通过全集团范围内对个体的调研
13、和比较，反映集团信息化整体建设的情况，对促进大型国企承担起建设某一行业信息系统的责任、提高国企自主创新能力、实现集团的长远规划和担负国企的社会责任应该有较好的作用。不管针对什么样的企业信息化发展模式，有一些审计方法是共同的，下表是常用到的信息系统审计方法：审计总 体目标审计内容审计方法信息系统规划调阅规划、年度工作总结、年度工作计划，发放信息系统调查表总体情况信息系统组织和领导机构访谈信息科技部门负责人、信息科技部门相关岗位人员建设过程合规性硬件和基础环境的采购、建设，关注招投标规范性，采购程序的规范性，基础设施建设的合规性。合同执行情况，财务处理规范性。设计、立项、批复文件；招投标、采购、合
14、同签订及履行情况相关文档；项目建设、资金拨付、验收相关文档，对资产进行实际盘点经济性建设效果调查企业对信息系统软件、硬件、基础环境的投入，分析投入趋势以及产生的经济效益。发放信息系统投入调查表可靠性 系统功能关注系统的用户满意度、对核心业务流程的覆盖程度、设备利用的合理性、性能价格比等审计事项。调阅需求说明书、概要设计、详细设计等业务流程相关设计文档，访谈系统各个岗位使用人员，调查系统上线后对业务流程起什么作用，系统的使用效果，系统还存在哪些不完善的地方运维支持队伍外包服务和企业自身运行维护队伍建设、人才储备情况安全管理制度和安全管理职责履行访谈信息科技部门的负责人，了解信息科技部门内部的岗位设置、组织结构和人员安排情况。 调阅岗位分析与描述文件，检查是否包括角色的授权、职责，相关职位需要的技能和经验，以及绩效评估要求、内部控制职责等。抽查部分人员，检查其岗位和职责、本人经验和技能与岗位的要求是否一致。发放组织机构调查表、岗位设置调查表、制度调查表；信息化人员基本情况调查表、调阅相关制度物理环境安全调阅网络拓扑图，实地检查数据中心，检查出入登记、消防巡检、故障处理手册等安全性软件安全检查人员授权、职责分离情况，检查系统日志；数据库备份策略、恢复策略；发放系统环境安全性控制调查表，检查数据访问授权情况
