案例速讀

某企業(yè)是一個(gè)綜合性跨國性的集團(tuán)化公司，信息系統(tǒng)建設(shè)起步早，各系統(tǒng)各業(yè)務(wù)線智能化程度較高，在互聯(lián)網(wǎng)+的大形勢之下，對系統(tǒng)的要求會越來越高，因此，需要對集團(tuán)整個(gè)系統(tǒng)進(jìn)行全面的分析與評估。對整個(gè)系統(tǒng)進(jìn)行全方位的評估，是內(nèi)審人員的難點(diǎn)與重點(diǎn)，案例詳細(xì)介紹審計(jì)實(shí)施過程、操作方法、思考策略等，對外行審計(jì)內(nèi)行，有較好的學(xué)習(xí)與參考作用。

案例背景

某企業(yè)是集軍工、消費(fèi)電子、核心器件等研發(fā)與制造為一體的綜合型跨國企業(yè)集團(tuán)，20世紀(jì)90年代初開始以自建的財(cái)務(wù)信息系統(tǒng)為基礎(chǔ)，逐步實(shí)現(xiàn)了生產(chǎn)、研發(fā)和營銷等各個(gè)經(jīng)營管理領(lǐng)域的信息化。在互聯(lián)網(wǎng)+的新社會形態(tài)下，公司實(shí)施了集“智能研發(fā)”“智能制造”“智能營銷”三大平臺為一體的智能化戰(zhàn)略，產(chǎn)品數(shù)據(jù)和用戶數(shù)據(jù)已從傳統(tǒng)生產(chǎn)、銷售領(lǐng)域拓展到了智慧小區(qū)、智慧醫(yī)療等領(lǐng)域，從而成為企業(yè)戰(zhàn)略核心。

經(jīng)過20多年信息化發(fā)展，公司積累了海量的業(yè)務(wù)和財(cái)務(wù)數(shù)據(jù)與經(jīng)驗(yàn)，為保證有效規(guī)劃、監(jiān)控和執(zhí)行數(shù)據(jù)資產(chǎn)，公司進(jìn)行了專門的數(shù)據(jù)治理，發(fā)現(xiàn)數(shù)據(jù)質(zhì)量和數(shù)據(jù)管理方面存在較多問題；歷年審計(jì)也發(fā)現(xiàn)數(shù)據(jù)存在維護(hù)不規(guī)范、標(biāo)準(zhǔn)不統(tǒng)一、清潔度低等問題，直接影響了智能化建設(shè)的順利實(shí)施。

因此，數(shù)據(jù)治理審計(jì)是在數(shù)據(jù)管理基礎(chǔ)上，通過對產(chǎn)業(yè)價(jià)值鏈的分析，對信息化建設(shè)情況和三大智能平臺上的業(yè)務(wù)流程、數(shù)據(jù)質(zhì)量、關(guān)聯(lián)、交付、應(yīng)用情況所開展的一項(xiàng)智能審計(jì)。

審計(jì)目標(biāo)與思路

1.審計(jì)目標(biāo)：通過對集團(tuán)范圍內(nèi)的信息系統(tǒng)建設(shè)和數(shù)據(jù)治理情況的全面審計(jì)，以問題數(shù)據(jù)為審計(jì)項(xiàng)目的切入點(diǎn)、數(shù)據(jù)標(biāo)準(zhǔn)為審計(jì)標(biāo)準(zhǔn)的基礎(chǔ)、數(shù)據(jù)質(zhì)量問題為審計(jì)證據(jù)，全方位深入了解公司數(shù)據(jù)管理現(xiàn)狀，發(fā)現(xiàn)數(shù)據(jù)治理的漏洞，揭示公司數(shù)據(jù)治理存在的控制缺陷和系統(tǒng)性風(fēng)險(xiǎn)，提出可行的審計(jì)建議，促進(jìn)提高信息化建設(shè)整體管理水平，建設(shè)可信任的企業(yè)級數(shù)據(jù)管理中心，打造數(shù)據(jù)共享服務(wù)典范。

2.審計(jì)標(biāo)準(zhǔn)：審計(jì)標(biāo)準(zhǔn)參照公司發(fā)布的《數(shù)據(jù)管理與治理工作思路》、《數(shù)據(jù)管理與治理工作推進(jìn)計(jì)劃》、《數(shù)據(jù)管理體系》及核心制度中明確的相關(guān)單位的工作職責(zé)等規(guī)范文件

3.審計(jì)范圍和重點(diǎn)：通過對數(shù)據(jù)治理主要內(nèi)容(安全、架構(gòu)、質(zhì)量、數(shù)據(jù)倉等)進(jìn)行分析，數(shù)據(jù)治理審計(jì)涉及范圍寬廣、專業(yè)性強(qiáng)，而審計(jì)資源有限，加之公司主要是制造和銷售企業(yè)，數(shù)據(jù)治理與三大智能平臺建設(shè)緊密關(guān)聯(lián)，因此此次審計(jì)聚焦，以主數(shù)據(jù)管理為審計(jì)重點(diǎn)，涉及采購、銷售、研發(fā)、財(cái)務(wù)管理四個(gè)重要領(lǐng)域，審計(jì)客體包括數(shù)據(jù)管理部門、財(cái)務(wù)部門、信息系統(tǒng)開發(fā)部門及各系統(tǒng)應(yīng)用子公司(業(yè)務(wù)單位)。

4.審計(jì)思路：通過對公司數(shù)據(jù)治理戰(zhàn)略目標(biāo)、規(guī)劃方案和基本情況入手，了解公司數(shù)據(jù)治理的愿景、中長期目標(biāo)，確定審計(jì)重點(diǎn)。以數(shù)據(jù)治理體系建設(shè)為起點(diǎn)，從數(shù)據(jù)架構(gòu)，主數(shù)據(jù)管理、元數(shù)據(jù)管理和數(shù)據(jù)安全等四個(gè)角度出發(fā)；以價(jià)值鏈分析為基礎(chǔ)分為采購、營銷、研發(fā)、財(cái)務(wù)等子項(xiàng)。檢查數(shù)據(jù)治理層面的開發(fā)、應(yīng)用和交互情況，分別對信息系統(tǒng)、業(yè)務(wù)流程、組織、角色等因素進(jìn)行分析，延伸至信息安全層面，檢查數(shù)據(jù)質(zhì)量、控制、合規(guī)、預(yù)防和修復(fù)機(jī)制。

結(jié)合智能審計(jì)軟件開發(fā)和應(yīng)用，分析公司在數(shù)據(jù)管理、數(shù)據(jù)質(zhì)量和共享分發(fā)等方面存在的問題，同時(shí)，進(jìn)一步對公司三大智能平臺各子項(xiàng)目的藍(lán)圖規(guī)劃、開發(fā)狀況、實(shí)現(xiàn)效果等方面予以重點(diǎn)關(guān)注。

審計(jì)準(zhǔn)備

1.組建聯(lián)合審計(jì)隊(duì)伍，取得專家支持

鑒于數(shù)據(jù)治理審計(jì)專業(yè)性較強(qiáng)，對信息化建設(shè)和審計(jì)能力的要求非常高，因此集IT審計(jì)、財(cái)務(wù)審計(jì)、采購審計(jì)和銷售審計(jì)人員組建聯(lián)合工作小組實(shí)施審計(jì)項(xiàng)目，同時(shí)，取得專家團(tuán)隊(duì)支持，借助公司信息系統(tǒng)規(guī)劃、架構(gòu)人員和軟件開發(fā)人員對重要問題進(jìn)行集中討論分析。

2.制訂審計(jì)計(jì)劃和進(jìn)度安排

預(yù)計(jì)審計(jì)時(shí)間為3個(gè)月，進(jìn)行審計(jì)任務(wù)分工，把控關(guān)鍵節(jié)點(diǎn)，確保高效完成任務(wù)。

3.選取樣本

鑒于集團(tuán)下屬子公司較多，而審計(jì)資源有限，前期借助智能審計(jì)軟件大數(shù)據(jù)分析功能和現(xiàn)場調(diào)研，以業(yè)務(wù)規(guī)模、風(fēng)險(xiǎn)程度、重要性等維度抽樣選取6家子公司

4.審計(jì)模式

建立前、中、后臺交互工作模式，以智能審計(jì)軟件(中臺)為主體，利用大數(shù)據(jù)處理技術(shù)，實(shí)施審計(jì)重點(diǎn)輸出，驅(qū)動審計(jì)業(yè)務(wù)(前臺)開展審計(jì)并在線反饋，審計(jì)專家(后臺)綜合分析后，對審計(jì)活動實(shí)施統(tǒng)一的計(jì)劃、協(xié)調(diào)、管理、控制與決策，最終形成并輸出審計(jì)成果。

另外利用智能審計(jì)系統(tǒng)的檔案管理功能，對前期所有審計(jì)項(xiàng)目發(fā)現(xiàn)的系統(tǒng)問題和數(shù)據(jù)問題，進(jìn)歸集、分類、追蹤、分析，為本次審計(jì)提供更多的支持證據(jù)，得出審計(jì)結(jié)論。

5.建立信息溝通機(jī)制

(1)強(qiáng)化訪談和問卷調(diào)查，與各系統(tǒng)開發(fā)組及時(shí)溝通。

(2)審計(jì)小組以周例會形式報(bào)告和討論業(yè)務(wù)，保證信息暢通。

(3)定期匯報(bào)工作：鑒于審計(jì)開展時(shí)間太長，為保證讓公司領(lǐng)導(dǎo)能及時(shí)了解審計(jì)情況，采取階段式審計(jì)報(bào)告方式匯報(bào)工作。

實(shí)施步驟

根據(jù)前期了解到的數(shù)據(jù)治理基本情況，對審計(jì)問題進(jìn)行分析、歸納和拆解，建立分工表格，關(guān)注主要風(fēng)險(xiǎn)

1.根據(jù)審計(jì)思路確定關(guān)注重點(diǎn)及任務(wù)分配(見表1-1)

第一，從數(shù)據(jù)治理體系層面關(guān)注數(shù)據(jù)管理體系規(guī)劃和架構(gòu)信息、制度建設(shè)情況以及數(shù)據(jù)質(zhì)量管理是否持續(xù)落地。

第二，了解信息系統(tǒng)建設(shè)情況、開發(fā)運(yùn)用效率、系統(tǒng)間的對接情況，數(shù)據(jù)倉庫建設(shè)情況，信息系統(tǒng)數(shù)據(jù)一致性和信息系統(tǒng)開發(fā)效率。

第三，了解主數(shù)據(jù)管理平臺(MDM)建設(shè)和系統(tǒng)間共享數(shù)據(jù)情況，例如，客戶、供應(yīng)商、賬戶和組織部門相關(guān)數(shù)據(jù)、元數(shù)據(jù)管理情況，數(shù)據(jù)倉庫和商業(yè)智能建設(shè)情況。

第四，檢查信息系統(tǒng)和數(shù)據(jù)安全問題表

1-1審計(jì)關(guān)注重點(diǎn)及任務(wù)分配表

2.問題收集與分析方法

借助智能審計(jì)軟件實(shí)現(xiàn)信息化審計(jì)，通過審計(jì)軟件自動提取數(shù)據(jù)，自動進(jìn)行預(yù)警分析，改變原來手工提取數(shù)據(jù)，單機(jī)分析模式，同時(shí)兼顧了審計(jì)覆蓋面和效率。

通過審計(jì)軟件后臺清理不清潔、不規(guī)范數(shù)據(jù)，匯總整理審計(jì)過程中發(fā)現(xiàn)的數(shù)據(jù)質(zhì)量問題。將整理好的錯(cuò)誤數(shù)據(jù)集中推送給各開發(fā)和使用單位，要求反饋產(chǎn)生的原因及擬采取的修正措施，區(qū)分系統(tǒng)性及個(gè)性問題。與數(shù)據(jù)治理小組及各業(yè)務(wù)單位協(xié)商解決方案，發(fā)布采購數(shù)據(jù)質(zhì)量報(bào)告，提出采購數(shù)據(jù)規(guī)范建議(見表1-2)

3.現(xiàn)場審計(jì)

在確定抽樣樣本和取份相關(guān)在線預(yù)警數(shù)據(jù)后，利用其他審計(jì)項(xiàng)目組的現(xiàn)場工作小組，直接提取有用信息。審計(jì)人員根據(jù)審計(jì)軟件在線預(yù)警結(jié)果，按照系統(tǒng)指示的作業(yè)流程，帶打問題進(jìn)入現(xiàn)場審計(jì)，重點(diǎn)是對軟件無法直接識別的紙質(zhì)資料進(jìn)行審查，如各種制度、招標(biāo)文件、相關(guān)簽批報(bào)告等，對在線預(yù)警結(jié)果進(jìn)行深入追查，并與被審計(jì)單位達(dá)成初步共識。

審計(jì)報(bào)告反映

對于綜合性復(fù)雜的審計(jì)項(xiàng)目，審計(jì)報(bào)告格式非常重要。在該項(xiàng)目中，由于審計(jì)反映的問題涵蓋面廣、系統(tǒng)性問題與個(gè)性問題較多、系統(tǒng)間的關(guān)系復(fù)雜，因此分別從以下維度反映審計(jì)發(fā)現(xiàn)。

第一，全面反映公司信息平臺建設(shè)整體情況(見表1-3)。

表1-3截止審計(jì)日公司信息平臺和系統(tǒng)的投資運(yùn)營維護(hù)情況

第二，反映數(shù)據(jù)管理體系規(guī)劃和架構(gòu)情況，指出公司需加強(qiáng)數(shù)據(jù)管理規(guī)劃，進(jìn)一步打通內(nèi)外部數(shù)據(jù)。例如，公司級數(shù)據(jù)倉庫缺少管理和規(guī)劃運(yùn)用效率低；未形成統(tǒng)一的企業(yè)級“元數(shù)據(jù)”管理，不利于提高信息系統(tǒng)的共享性、可讀性、實(shí)用性；主數(shù)據(jù)管理范圍及標(biāo)準(zhǔn)尚未健全；管理邊界不明確，不利于各產(chǎn)業(yè)共享數(shù)據(jù)信息資源，主數(shù)據(jù)標(biāo)準(zhǔn)多次頻繁修訂，影響數(shù)據(jù)治理效果:公司數(shù)據(jù)管理文化氛圍需要加強(qiáng)，尚未建立數(shù)據(jù)治理監(jiān)控和考核體系，數(shù)據(jù)管理未形成閉環(huán)。

第三，從數(shù)據(jù)治理實(shí)施層面，反映數(shù)據(jù)管理單位數(shù)據(jù)管理意識不夠，未嚴(yán)格執(zhí)行管理規(guī)范，影響數(shù)據(jù)質(zhì)量。如申請入口不統(tǒng)一造成主數(shù)據(jù)不一致的情況。

第四，分業(yè)務(wù)類型關(guān)注主數(shù)據(jù)及業(yè)務(wù)數(shù)據(jù)的質(zhì)量問題。主要針對交易界面的關(guān)鍵風(fēng)險(xiǎn)點(diǎn)，充分反映問題數(shù)據(jù)的細(xì)節(jié)和責(zé)任單位，如對采購(供應(yīng)商)、銷售(客戶)、物料/產(chǎn)品主數(shù)據(jù)等管理情況分別進(jìn)行反映。

例如，采購數(shù)據(jù)存在的問題：

(1)供應(yīng)商歷史主數(shù)據(jù)質(zhì)量問題突出:通過對MDM系統(tǒng)供應(yīng)商主數(shù)據(jù)模塊審計(jì)分析測試，發(fā)現(xiàn)系統(tǒng)上線時(shí)從R/3遷移過來的歷史供應(yīng)商主數(shù)據(jù)在唯一性、規(guī)范性、有效性、完整性等方面均存在問題(見表1-4，略)。

(2)采購業(yè)務(wù)數(shù)據(jù)存在部分質(zhì)量問題(見表1-5，略)。

(3)ERP系統(tǒng)下的采購組織、采購組、價(jià)格有效期、付款方式等存在控制缺陷(略)

第五，單獨(dú)反映重要的信息平臺或信息系統(tǒng)存在的主要風(fēng)險(xiǎn)，如對財(cái)務(wù)、供應(yīng)鏈、營銷等主要業(yè)務(wù)管理平臺的設(shè)計(jì)、應(yīng)用、交互和控制情況分別進(jìn)行評價(jià)，充分反映各重要系統(tǒng)業(yè)務(wù)模塊上存在漏項(xiàng)、功能不足的情況。

例如，某子公司xx系統(tǒng)長遠(yuǎn)規(guī)劃不足，投資總額xx萬元，后期每年支付xx萬元運(yùn)維費(fèi)。模塊設(shè)計(jì)存在局限，已不能滿足現(xiàn)有業(yè)務(wù)和未來業(yè)務(wù)發(fā)展需要，經(jīng)統(tǒng)計(jì)在結(jié)算、風(fēng)控等相關(guān)業(yè)務(wù)上系統(tǒng)模塊至少存在26項(xiàng)功能缺陷（見表1-6)。

第六，反映信息系統(tǒng)和數(shù)據(jù)安全，一是反映系統(tǒng)控制缺陷，評價(jià)風(fēng)險(xiǎn)控制功能是否有效，二是評價(jià)信息平臺和系統(tǒng)本身安全性。例如，部分系統(tǒng)存在審核流程設(shè)置控制失效的情況:2016年對某子公司例行審計(jì)時(shí)，發(fā)現(xiàn)該公司信用系統(tǒng)后臺配置未能對標(biāo)準(zhǔn)訂單進(jìn)行信用發(fā)貨控制，存在重大控制缺陷；MDM系統(tǒng)審批流程設(shè)置存在數(shù)據(jù)申請、審核、審批可以是同一人的情況，存在風(fēng)險(xiǎn)未隔離情況。

創(chuàng)新與反思

通過數(shù)據(jù)治理審計(jì)，系統(tǒng)性梳理了公司現(xiàn)有信息平臺的管理狀況和數(shù)據(jù)治理及對業(yè)務(wù)的支持情況，一是向決策層全面展示了公司數(shù)據(jù)管理的現(xiàn)狀和水平，二是從宏觀和微觀兩個(gè)維度反映了數(shù)據(jù)治理過程中存在的問題和風(fēng)險(xiǎn)，促進(jìn)公司完善數(shù)據(jù)管理體系，提升數(shù)據(jù)治理質(zhì)量，真正實(shí)現(xiàn)統(tǒng)一管理、共享和分發(fā)公司主數(shù)據(jù)，實(shí)現(xiàn)數(shù)據(jù)全生命周期管理，同時(shí)完善統(tǒng)一、準(zhǔn)確的數(shù)據(jù)治理有助于公司價(jià)值的提升。

1.審計(jì)方式創(chuàng)新

一是成立聯(lián)合工作小組和借助專家力量，保證數(shù)據(jù)治理審計(jì)的專業(yè)水平；二是利用前期所有審計(jì)項(xiàng)目中檢查發(fā)現(xiàn)的同類問題支撐審計(jì)結(jié)論，在有限審計(jì)資源下高效完成大型綜合審計(jì)項(xiàng)目。

2.審計(jì)工具創(chuàng)新

借助智能審計(jì)系統(tǒng)實(shí)現(xiàn)對全業(yè)務(wù)鏈的持續(xù)監(jiān)控和預(yù)警，在重點(diǎn)檢查審計(jì)樣本的情況下，從縱橫兩個(gè)維度全面檢查數(shù)據(jù)管理情況。

3.審計(jì)模式和技術(shù)創(chuàng)新

針對全新的審計(jì)對象，審計(jì)布局創(chuàng)新，通過前、中、后臺交互式的審計(jì)模式，利用智能審計(jì)軟件(中臺)，運(yùn)用大數(shù)據(jù)處理技術(shù)和交易界面動態(tài)預(yù)警審計(jì)技術(shù)，對可能存在重要風(fēng)險(xiǎn)的業(yè)務(wù)數(shù)據(jù)進(jìn)行全量掃描分析，由審計(jì)專家(后臺)分析找出檢查重點(diǎn)，推送至現(xiàn)場審計(jì)人員(前臺)，從而提高審計(jì)效率，避免審計(jì)漏項(xiàng)。

4審計(jì)報(bào)告方式的創(chuàng)新

多維度反映不同的審計(jì)重點(diǎn)，便于不同受眾使用審計(jì)報(bào)告內(nèi)容；審計(jì)問題表格化.附件式列表既可全面展示所有審計(jì)抽查問題，又可清晰反映問題類別，以簡單方式反映復(fù)雜性問題。

5.審計(jì)成果推廣創(chuàng)新

此案屬首次對數(shù)據(jù)治理進(jìn)行審計(jì):一是在公司范圍內(nèi)對數(shù)據(jù)治理工作全面應(yīng)用審計(jì)結(jié)果；二是在審計(jì)實(shí)踐中進(jìn)行了全新的業(yè)務(wù)拓展和嘗試。

案例微評

數(shù)據(jù)信息安全是個(gè)大問題，可以說她關(guān)系到組織的生死存亡。集團(tuán)公司的IT審計(jì)一要確認(rèn)審計(jì)數(shù)據(jù)，二要審計(jì)信息系統(tǒng)，三要評估操作流程風(fēng)險(xiǎn)。

本案從內(nèi)審業(yè)界來看，此類審計(jì)項(xiàng)目無歷史經(jīng)驗(yàn)可借鑒，專業(yè)性極強(qiáng)，審計(jì)能力存在局限性，在發(fā)現(xiàn)問題和反映問題的廣度和深度上有所欠缺。但本案能全面說明整個(gè)審計(jì)范圍、審計(jì)策略與審計(jì)目標(biāo)重點(diǎn)，并對每個(gè)關(guān)鍵點(diǎn)作了審計(jì)操作說明，對內(nèi)審人員審計(jì)有一定的指導(dǎo)意義。

集團(tuán)公司的信息系統(tǒng)架構(gòu)龐大復(fù)雜，系統(tǒng)性梳理和重點(diǎn)關(guān)注可能仍然存在漏項(xiàng)。我們可以在審計(jì)時(shí)考慮(包括但不限于):硬件設(shè)施的采購、軟件系統(tǒng)的采購與使用；部門的安全管理、數(shù)據(jù)的備份等，均應(yīng)納入整個(gè)系統(tǒng)進(jìn)行評價(jià)。

- END -

來源：信息系統(tǒng)審計(jì)搬運(yùn)工、內(nèi)審之友，審計(jì)之家編輯整理。版權(quán)歸原作者所有（如有轉(zhuǎn)載，請注明以上信息）。

【小會福利時(shí)間到】

小會又來送福利啦！

【工資標(biāo)準(zhǔn)表】

【變更工資申請表】

關(guān)注+私信小編：資料

即可領(lǐng)取以上資料哦！

因領(lǐng)取人數(shù)太多，若是不能及時(shí)回復(fù)，請大家耐心等待哦~