铁路信息系统全生命周期审计的探讨

摘要：阐述信息系统审计的基本内涵、分类及目标，通过分析当前铁路信息系统审计中存在的问题，提出根据信息系统的开发过程和生命周期的特点将事前审计、事中审计、事后审计相结合进行全程审计，并以瀑布生命周期模型为例，阐述信息系统研发审计、验收审计、运营维护审计等方面，以发挥信息系统审计应有的作用。
    关键词：铁路信息系统，生命周期，审计

1 信息系统审计的基本内涵
    
    关于信息系统审计的定义有多个版本，比较权威的国际信息系统审计和控制协会（ISACA）关于信息系统审计的定义是：“获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整，以及有效率地利用组织的资源并有效地实现组织目标的过程”。我国《内部审计具体准则第28号——信息系统审计》提出：“信息系统审计，是指由组织内部审计机构及人员对信息系统及其相关的信息技术内部控制和流程开展的一系列综合检查、评价与报告活动”。信息系统审计主要分3类，即信息系统的真实性审计，是对传统审计的补充，为财务审计保驾护航，防止“假账真审”；安全性审计，是对信启、资产安全性进行审核，防止由信息系统造成的经营风险；绩效审计，对信息系统的投入产出比进行审核。这3类审计本质上都是根据审计目标对收集的证据进行分析评价并得出结论的过程，信息系统审计目标即审计信息系统提供数据的真实性、完整性、合法性，信息系统的安全性、可靠性、可用性、保密性，以及信息系统投资的效果、效率和效益。审计目标涉及信息系统审计工作的各个环节，并贯穿始终。
    2 当前铁路信息系统审计中存在的问题
    
    近几年来，铁路内部审计机构探索开展信息系统审计，取得了一定的效果，但是还存在以下问题。
    （1） 多数信息系统审计是事后审计。事后审计不利于及时发现问题，目前针对信息系统的绩效审计及专项审计，基本是在信息系统建成或验收前后进行，属于事后审计，而在审计中发现的一些不规范现象存在于整个项目建设周期内，如果能及早发现，就可以避免。有些问题的根源来自于立项初期或系统的规划设计阶段，项目完工后再审计，则问题纠正起来难度大、成本高，有些问题可能意味着某些软件模块的返工。
    （2） 信息系统维护阶段的审计工作有待加强。基于信息系统生命周期的特点，信息系统中存在的风险和问题大多出现在验收后的运营维护阶段。信息系统从产生、发展到消亡处于一个生命周期内，与传统建造行业不同的是，在信息系统交付使用后的运行维护期间，还需要进行大量的工作用于改正软件错误，以及为适应新的业务需求对投产的系统进行改造和升级。统计数据表明，信息系统运行和维护阶段所投入的工作量、成本占整个项目的50%以上。而纠错和修改都可能对既有信息系统的可靠性造成破坏，从而给企业经营带来更大的风险。因此，需要加强信息系统维护阶段的审计工作，从而节约成本、延长软件寿命、提高经济效益。
    （3） 信息技术专业化程度高，在有限的审计时间内难以发现有价值的问题。目前铁路企业管理中使用的信息系统多数是定制开发的大型网络数据库应用系统，系统庞大、设计相对复杂，审计人员在有限的时间内很难对系统进行深入的评价。另外，信息系统在投产前通常经过了一定程度的测试，而在正常的运营环境下很难触发系统潜在的漏洞。在对信息系统进行审计时，多数项目已经投入生产，通常不允许对其进行审计所需的测试，因而很难发现系统深层次的问题。
    3 信息系统审计对策研究
    
    结合当前信息系统审计中存在的问题，要想达到信息系统的审计目标，很难通过一两次事后审计就能实现，需要根据信息系统的开发过程和生命周期的特点进行全程审计，将事后审计、事中审计及事前审计结合起来，才能取得更好的审计效果。
    信息系统审计应结合信息系统建设的生命周期，而不同的信息系统遵循的生命周期模型也不尽相同，如瀑布模型、螺旋模型、迭代模型等，但基本是遵循瀑布模型，或是在其基础上进行改造、演化。基于瀑布模型的信息系统一般要经历总体规划、需求分析、系统设计、系统实现与测试、运行和维护5个阶段。以瀑布模型为例，信息系统全生命周期审计大致可以分为系统研发审计、系统验收审计、系统运营维护审计3个阶段，如图1所示。按照“全面审计，突出重点”的原则，在不同的信息系统生命周期阶段，信息系统建设的内容不同，审计重点也应有不同的侧重。
    3．1 系统研发审计
    
    系统研发审计主要对应于信息系统项目从立项直到研发实现的阶段。
    在这一阶段中，总体规划环节主要完成项目立项和可行性分析，这是整个信息系统建设的起点，也是投资决策风险最大的关键控制环节。信息系统项目是否可以立项，必须进行充分的可行性研究。在这个环节，审计应重点关注预可行性研究或可行性研究论证是否充分全面、投资决策的程序方法是否科学合理。
    需求分析环节，主要是了解用户需求，并进行需求开发，这是后续技术实现工作的源头。需求分析工作是否准确、恰当，直接影响到投资预算，也关系到项目的成败。审计在这个环节应重点关注需求调研的充分性，需求开发的准确性、可追溯性，以及是否包含信息系统安全性、可靠性、可用性、保密性等方面的必要需求。
    系统设计、实现环节主要进行总体设计、详细设计、程序编码、测试（项目内部的单元测试和集成测试）等工作，因技术开发比重大，容易被审计部门所忽视。实际上，这些环节中有许多内容是审计需要关注的，如多数研发单位在开发过程中会遵循一些标准，如ISO9000质量体系标准或软件能力成熟度模型（CMM／CMMI）等，审计需要关注系统开发过程与这些标准的符合性，特别是开发过程中的变更控制，使系统从需求到设计均实现与用户的要求保持一致。系统开发中也会涉及项目的分包、软硬件招标采购等，项目管理中招标程序是否规范、验工计价是否严格、工程质量是否过硬等控制难点，也是审计的重点。如果审计从一开始就介入这些环节，比事后审计更容易发现问题并及时纠正错误。系统的整个开发过程从一开始就涉及人、财、物的调度，这些资源的使用是否依法合规，需要审计进行评价，另外，如果在这个阶段进行数据审计，也是审计程序调试的最好时机。
    

3．2 系统验收审计
    
    系统验收审计主要针对系统测试验收阶段，主要包括系统测试、试运行、系统切换，以及资产移交等工作。
    系统测试除了进行功能测试外，还应包括审计关注的安全性测试、防灾应急预案的测试等。系统切换至关重要，关乎既有系统的安全，切换方案的周密和合理性应是关注的重点。审计人员还应对资产的移交进行审计，审核资产库中正式运行版本与源程序代码、技术文档、运营维护手册的一致性、完整性，以及知识产权的确认等，这些既是企业资产的重要组成部分，也是系统运营维护阶段必要的技术基础。
    3．3 系统运营维护审计
    系统运营维护审计对应于系统正式运行后的运营维护阶段。这一阶段主要有两方面的工作，即纠错和改进。软件系统是一个复杂的人机系统，错误在所难免，需要通过修改予以纠正。另一方面，信息系统是由多种软、硬件系统集成的，任何一个系统发生改变，必将引起其他系统的相应修改，另外，随着信息系统的使用，也会不断产生新的业务需求，这就要求信息系统进行相应的修改。对已经过严密测试的既有系统进行改动，将会给其安全性、可靠性带来隐患，为避免和减少这种风险，系统维护审计责任再大。近年来，许多投产项目的维护费用已经超过了系统的研发费用，而且大有上升的趋势，因此对维护成本进行审计也很必要。
    4 结束语
    瀑布生命周期模型是信息系统所遵循的典型模型，许多信息系统项目会根据自身特点对生命周期的环节进行调整，而相应的审计工作内容也应进行调整。当前铁路审计机构审计人员数量与待审项目相比明显不足，精通信息技术的人员更少，因此如何合理地分配使用审计资源，最大限度地发挥审计的监督管理职能，是需要认真考虑的问题。目前信息系统审计还没有成为铁路内部审计机构的常规审计项目，需要摸索的领域还有很多，只要坚持不懈地进行探索和尝试，逐渐覆盖待审项目更多的生命周期阶段，信息系统审计终将发挥其应有的作用。
    （作者单位：铁道部审计中心）