IT審計｜某集團數(shù)據(jù)治理審計案例

案例速讀

某企業(yè)是一個綜合性跨國性的集團化公司，信息系統(tǒng)建設(shè)起步早，各系統(tǒng)各業(yè)務(wù)線智能化程度較高，在互聯(lián)網(wǎng)+的大形勢之下，對系統(tǒng)的要求會越來越高，因此，需要對集團整個系統(tǒng)進行全面的分析與評估。對整個系統(tǒng)進行全方位的評估，是內(nèi)審人員的難點與重點，案例詳細介紹審計實施過程、操作方法、思考策略等，對外行審計內(nèi)行，有較好的學(xué)習(xí)與參考作用。

案例背景

某企業(yè)是集軍工、消費電子、核心器件等研發(fā)與制造為一體的綜合型跨國企業(yè)集團，20世紀90年代初開始以自建的財務(wù)信息系統(tǒng)為基礎(chǔ)，逐步實現(xiàn)了生產(chǎn)、研發(fā)和營銷等各個經(jīng)營管理領(lǐng)域的信息化。在互聯(lián)網(wǎng)+的新社會形態(tài)下，公司實施了集“智能研發(fā)”“智能制造”“智能營銷”三大平臺為一體的智能化戰(zhàn)略，產(chǎn)品數(shù)據(jù)和用戶數(shù)據(jù)已從傳統(tǒng)生產(chǎn)、銷售領(lǐng)域拓展到了智慧小區(qū)、智慧醫(yī)療等領(lǐng)域，從而成為企業(yè)戰(zhàn)略核心。

經(jīng)過20多年信息化發(fā)展，公司積累了海量的業(yè)務(wù)和財務(wù)數(shù)據(jù)與經(jīng)驗，為保證有效規(guī)劃、監(jiān)控和執(zhí)行數(shù)據(jù)資產(chǎn)，公司進行了專門的數(shù)據(jù)治理，發(fā)現(xiàn)數(shù)據(jù)質(zhì)量和數(shù)據(jù)管理方面存在較多問題；歷年審計也發(fā)現(xiàn)數(shù)據(jù)存在維護不規(guī)范、標準不統(tǒng)一、清潔度低等問題，直接影響了智能化建設(shè)的順利實施。

因此，數(shù)據(jù)治理審計是在數(shù)據(jù)管理基礎(chǔ)上，通過對產(chǎn)業(yè)價值鏈的分析，對信息化建設(shè)情況和三大智能平臺上的業(yè)務(wù)流程、數(shù)據(jù)質(zhì)量、關(guān)聯(lián)、交付、應(yīng)用情況所開展的一項智能審計。

審計目標與思路

1.審計目標：通過對集團范圍內(nèi)的信息系統(tǒng)建設(shè)和數(shù)據(jù)治理情況的全面審計，以問題數(shù)據(jù)為審計項目的切入點、數(shù)據(jù)標準為審計標準的基礎(chǔ)、數(shù)據(jù)質(zhì)量問題為審計證據(jù)，全方位深入了解公司數(shù)據(jù)管理現(xiàn)狀，發(fā)現(xiàn)數(shù)據(jù)治理的漏洞，揭示公司數(shù)據(jù)治理存在的控制缺陷和系統(tǒng)性風(fēng)險，提出可行的審計建議，促進提高信息化建設(shè)整體管理水平，建設(shè)可信任的企業(yè)級數(shù)據(jù)管理中心，打造數(shù)據(jù)共享服務(wù)典范。

2.審計標準：審計標準參照公司發(fā)布的《數(shù)據(jù)管理與治理工作思路》、《數(shù)據(jù)管理與治理工作推進計劃》、《數(shù)據(jù)管理體系》及核心制度中明確的相關(guān)單位的工作職責(zé)等規(guī)范文件

3.審計范圍和重點：通過對數(shù)據(jù)治理主要內(nèi)容(安全、架構(gòu)、質(zhì)量、數(shù)據(jù)倉等)進行分析，數(shù)據(jù)治理審計涉及范圍寬廣、專業(yè)性強，而審計資源有限，加之公司主要是制造和銷售企業(yè)，數(shù)據(jù)治理與三大智能平臺建設(shè)緊密關(guān)聯(lián)，因此此次審計聚焦，以主數(shù)據(jù)管理為審計重點，涉及采購、銷售、研發(fā)、財務(wù)管理四個重要領(lǐng)域，審計客體包括數(shù)據(jù)管理部門、財務(wù)部門、信息系統(tǒng)開發(fā)部門及各系統(tǒng)應(yīng)用子公司(業(yè)務(wù)單位)。

4.審計思路：通過對公司數(shù)據(jù)治理戰(zhàn)略目標、規(guī)劃方案和基本情況入手，了解公司數(shù)據(jù)治理的愿景、中長期目標，確定審計重點。以數(shù)據(jù)治理體系建設(shè)為起點，從數(shù)據(jù)架構(gòu)，主數(shù)據(jù)管理、元數(shù)據(jù)管理和數(shù)據(jù)安全等四個角度出發(fā)；以價值鏈分析為基礎(chǔ)分為采購、營銷、研發(fā)、財務(wù)等子項。檢查數(shù)據(jù)治理層面的開發(fā)、應(yīng)用和交互情況，分別對信息系統(tǒng)、業(yè)務(wù)流程、組織、角色等因素進行分析，延伸至信息安全層面，檢查數(shù)據(jù)質(zhì)量、控制、合規(guī)、預(yù)防和修復(fù)機制。

結(jié)合智能審計軟件開發(fā)和應(yīng)用，分析公司在數(shù)據(jù)管理、數(shù)據(jù)質(zhì)量和共享分發(fā)等方面存在的問題，同時，進一步對公司三大智能平臺各子項目的藍圖規(guī)劃、開發(fā)狀況、實現(xiàn)效果等方面予以重點關(guān)注。

審計準備

1.組建聯(lián)合審計隊伍，取得專家支持

鑒于數(shù)據(jù)治理審計專業(yè)性較強，對信息化建設(shè)和審計能力的要求非常高，因此集IT審計、財務(wù)審計、采購審計和銷售審計人員組建聯(lián)合工作小組實施審計項目，同時，取得專家團隊支持，借助公司信息系統(tǒng)規(guī)劃、架構(gòu)人員和軟件開發(fā)人員對重要問題進行集中討論分析。

2.制訂審計計劃和進度安排

預(yù)計審計時間為3個月，進行審計任務(wù)分工，把控關(guān)鍵節(jié)點，確保高效完成任務(wù)。

3.選取樣本

鑒于集團下屬子公司較多，而審計資源有限，前期借助智能審計軟件大數(shù)據(jù)分析功能和現(xiàn)場調(diào)研，以業(yè)務(wù)規(guī)模、風(fēng)險程度、重要性等維度抽樣選取6家子公司

4.審計模式

建立前、中、后臺交互工作模式，以智能審計軟件(中臺)為主體，利用大數(shù)據(jù)處理技術(shù)，實施審計重點輸出，驅(qū)動審計業(yè)務(wù)(前臺)開展審計并在線反饋，審計專家(后臺)綜合分析后，對審計活動實施統(tǒng)一的計劃、協(xié)調(diào)、管理、控制與決策，最終形成并輸出審計成果。

另外利用智能審計系統(tǒng)的檔案管理功能，對前期所有審計項目發(fā)現(xiàn)的系統(tǒng)問題和數(shù)據(jù)問題，進歸集、分類、追蹤、分析，為本次審計提供更多的支持證據(jù)，得出審計結(jié)論。

5.建立信息溝通機制

(1)強化訪談和問卷調(diào)查，與各系統(tǒng)開發(fā)組及時溝通。

(2)審計小組以周例會形式報告和討論業(yè)務(wù)，保證信息暢通。

(3)定期匯報工作：鑒于審計開展時間太長，為保證讓公司領(lǐng)導(dǎo)能及時了解審計情況，采取階段式審計報告方式匯報工作。

實施步驟

根據(jù)前期了解到的數(shù)據(jù)治理基本情況，對審計問題進行分析、歸納和拆解，建立分工表格，關(guān)注主要風(fēng)險

1.根據(jù)審計思路確定關(guān)注重點及任務(wù)分配(見表1-1)

第一，從數(shù)據(jù)治理體系層面關(guān)注數(shù)據(jù)管理體系規(guī)劃和架構(gòu)信息、制度建設(shè)情況以及數(shù)據(jù)質(zhì)量管理是否持續(xù)落地。

第二，了解信息系統(tǒng)建設(shè)情況、開發(fā)運用效率、系統(tǒng)間的對接情況，數(shù)據(jù)倉庫建設(shè)情況，信息系統(tǒng)數(shù)據(jù)一致性和信息系統(tǒng)開發(fā)效率。

第三，了解主數(shù)據(jù)管理平臺(MDM)建設(shè)和系統(tǒng)間共享數(shù)據(jù)情況，例如，客戶、供應(yīng)商、賬戶和組織部門相關(guān)數(shù)據(jù)、元數(shù)據(jù)管理情況，數(shù)據(jù)倉庫和商業(yè)智能建設(shè)情況。

第四，檢查信息系統(tǒng)和數(shù)據(jù)安全問題表

1-1審計關(guān)注重點及任務(wù)分配表

2.問題收集與分析方法

借助智能審計軟件實現(xiàn)信息化審計，通過審計軟件自動提取數(shù)據(jù)，自動進行預(yù)警分析，改變原來手工提取數(shù)據(jù)，單機分析模式，同時兼顧了審計覆蓋面和效率。

通過審計軟件后臺清理不清潔、不規(guī)范數(shù)據(jù)，匯總整理審計過程中發(fā)現(xiàn)的數(shù)據(jù)質(zhì)量問題。將整理好的錯誤數(shù)據(jù)集中推送給各開發(fā)和使用單位，要求反饋產(chǎn)生的原因及擬采取的修正措施，區(qū)分系統(tǒng)性及個性問題。與數(shù)據(jù)治理小組及各業(yè)務(wù)單位協(xié)商解決方案，發(fā)布采購數(shù)據(jù)質(zhì)量報告，提出采購數(shù)據(jù)規(guī)范建議(見表1-2)

3.現(xiàn)場審計

在確定抽樣樣本和取份相關(guān)在線預(yù)警數(shù)據(jù)后，利用其他審計項目組的現(xiàn)場工作小組，直接提取有用信息。審計人員根據(jù)審計軟件在線預(yù)警結(jié)果，按照系統(tǒng)指示的作業(yè)流程，帶打問題進入現(xiàn)場審計，重點是對軟件無法直接識別的紙質(zhì)資料進行審查，如各種制度、招標文件、相關(guān)簽批報告等，對在線預(yù)警結(jié)果進行深入追查，并與被審計單位達成初步共識。

審計報告反映

對于綜合性復(fù)雜的審計項目，審計報告格式非常重要。在該項目中，由于審計反映的問題涵蓋面廣、系統(tǒng)性問題與個性問題較多、系統(tǒng)間的關(guān)系復(fù)雜，因此分別從以下維度反映審計發(fā)現(xiàn)。

第一，全面反映公司信息平臺建設(shè)整體情況(見表1-3)。

表1-3截止審計日公司信息平臺和系統(tǒng)的投資運營維護情況

第二，反映數(shù)據(jù)管理體系規(guī)劃和架構(gòu)情況，指出公司需加強數(shù)據(jù)管理規(guī)劃，進一步打通內(nèi)外部數(shù)據(jù)。例如，公司級數(shù)據(jù)倉庫缺少管理和規(guī)劃運用效率低；未形成統(tǒng)一的企業(yè)級“元數(shù)據(jù)”管理，不利于提高信息系統(tǒng)的共享性、可讀性、實用性；主數(shù)據(jù)管理范圍及標準尚未健全；管理邊界不明確，不利于各產(chǎn)業(yè)共享數(shù)據(jù)信息資源，主數(shù)據(jù)標準多次頻繁修訂，影響數(shù)據(jù)治理效果:公司數(shù)據(jù)管理文化氛圍需要加強，尚未建立數(shù)據(jù)治理監(jiān)控和考核體系，數(shù)據(jù)管理未形成閉環(huán)。

第三，從數(shù)據(jù)治理實施層面，反映數(shù)據(jù)管理單位數(shù)據(jù)管理意識不夠，未嚴格執(zhí)行管理規(guī)范，影響數(shù)據(jù)質(zhì)量。如申請入口不統(tǒng)一造成主數(shù)據(jù)不一致的情況。

第四，分業(yè)務(wù)類型關(guān)注主數(shù)據(jù)及業(yè)務(wù)數(shù)據(jù)的質(zhì)量問題。主要針對交易界面的關(guān)鍵風(fēng)險點，充分反映問題數(shù)據(jù)的細節(jié)和責(zé)任單位，如對采購(供應(yīng)商)、銷售(客戶)、物料/產(chǎn)品主數(shù)據(jù)等管理情況分別進行反映。

例如，采購數(shù)據(jù)存在的問題：

(1)供應(yīng)商歷史主數(shù)據(jù)質(zhì)量問題突出:通過對MDM系統(tǒng)供應(yīng)商主數(shù)據(jù)模塊審計分析測試，發(fā)現(xiàn)系統(tǒng)上線時從R/3遷移過來的歷史供應(yīng)商主數(shù)據(jù)在唯一性、規(guī)范性、有效性、完整性等方面均存在問題(見表1-4，略)。

(2)采購業(yè)務(wù)數(shù)據(jù)存在部分質(zhì)量問題(見表1-5，略)。

(3)ERP系統(tǒng)下的采購組織、采購組、價格有效期、付款方式等存在控制缺陷(略)

第五，單獨反映重要的信息平臺或信息系統(tǒng)存在的主要風(fēng)險，如對財務(wù)、供應(yīng)鏈、營銷等主要業(yè)務(wù)管理平臺的設(shè)計、應(yīng)用、交互和控制情況分別進行評價，充分反映各重要系統(tǒng)業(yè)務(wù)模塊上存在漏項、功能不足的情況。

例如，某子公司xx系統(tǒng)長遠規(guī)劃不足，投資總額xx萬元，后期每年支付xx萬元運維費。模塊設(shè)計存在局限，已不能滿足現(xiàn)有業(yè)務(wù)和未來業(yè)務(wù)發(fā)展需要，經(jīng)統(tǒng)計在結(jié)算、風(fēng)控等相關(guān)業(yè)務(wù)上系統(tǒng)模塊至少存在26項功能缺陷（見表1-6)。

第六，反映信息系統(tǒng)和數(shù)據(jù)安全，一是反映系統(tǒng)控制缺陷，評價風(fēng)險控制功能是否有效，二是評價信息平臺和系統(tǒng)本身安全性。例如，部分系統(tǒng)存在審核流程設(shè)置控制失效的情況:2016年對某子公司例行審計時，發(fā)現(xiàn)該公司信用系統(tǒng)后臺配置未能對標準訂單進行信用發(fā)貨控制，存在重大控制缺陷；MDM系統(tǒng)審批流程設(shè)置存在數(shù)據(jù)申請、審核、審批可以是同一人的情況，存在風(fēng)險未隔離情況。

創(chuàng)新與反思

通過數(shù)據(jù)治理審計，系統(tǒng)性梳理了公司現(xiàn)有信息平臺的管理狀況和數(shù)據(jù)治理及對業(yè)務(wù)的支持情況，一是向決策層全面展示了公司數(shù)據(jù)管理的現(xiàn)狀和水平，二是從宏觀和微觀兩個維度反映了數(shù)據(jù)治理過程中存在的問題和風(fēng)險，促進公司完善數(shù)據(jù)管理體系，提升數(shù)據(jù)治理質(zhì)量，真正實現(xiàn)統(tǒng)一管理、共享和分發(fā)公司主數(shù)據(jù)，實現(xiàn)數(shù)據(jù)全生命周期管理，同時完善統(tǒng)一、準確的數(shù)據(jù)治理有助于公司價值的提升。

1.審計方式創(chuàng)新

一是成立聯(lián)合工作小組和借助專家力量，保證數(shù)據(jù)治理審計的專業(yè)水平；二是利用前期所有審計項目中檢查發(fā)現(xiàn)的同類問題支撐審計結(jié)論，在有限審計資源下高效完成大型綜合審計項目。

2.審計工具創(chuàng)新

借助智能審計系統(tǒng)實現(xiàn)對全業(yè)務(wù)鏈的持續(xù)監(jiān)控和預(yù)警，在重點檢查審計樣本的情況下，從縱橫兩個維度全面檢查數(shù)據(jù)管理情況。

3.審計模式和技術(shù)創(chuàng)新

針對全新的審計對象，審計布局創(chuàng)新，通過前、中、后臺交互式的審計模式，利用智能審計軟件(中臺)，運用大數(shù)據(jù)處理技術(shù)和交易界面動態(tài)預(yù)警審計技術(shù)，對可能存在重要風(fēng)險的業(yè)務(wù)數(shù)據(jù)進行全量掃描分析，由審計專家(后臺)分析找出檢查重點，推送至現(xiàn)場審計人員(前臺)，從而提高審計效率，避免審計漏項。

4審計報告方式的創(chuàng)新

多維度反映不同的審計重點，便于不同受眾使用審計報告內(nèi)容；審計問題表格化.附件式列表既可全面展示所有審計抽查問題，又可清晰反映問題類別，以簡單方式反映復(fù)雜性問題。

5.審計成果推廣創(chuàng)新

此案屬首次對數(shù)據(jù)治理進行審計:一是在公司范圍內(nèi)對數(shù)據(jù)治理工作全面應(yīng)用審計結(jié)果；二是在審計實踐中進行了全新的業(yè)務(wù)拓展和嘗試。

案例微評

數(shù)據(jù)信息安全是個大問題，可以說她關(guān)系到組織的生死存亡。集團公司的IT審計一要確認審計數(shù)據(jù)，二要審計信息系統(tǒng)，三要評估操作流程風(fēng)險。

本案從內(nèi)審業(yè)界來看，此類審計項目無歷史經(jīng)驗可借鑒，專業(yè)性極強，審計能力存在局限性，在發(fā)現(xiàn)問題和反映問題的廣度和深度上有所欠缺。但本案能全面說明整個審計范圍、審計策略與審計目標重點，并對每個關(guān)鍵點作了審計操作說明，對內(nèi)審人員審計有一定的指導(dǎo)意義。

集團公司的信息系統(tǒng)架構(gòu)龐大復(fù)雜，系統(tǒng)性梳理和重點關(guān)注可能仍然存在漏項。我們可以在審計時考慮(包括但不限于):硬件設(shè)施的采購、軟件系統(tǒng)的采購與使用；部門的安全管理、數(shù)據(jù)的備份等，均應(yīng)納入整個系統(tǒng)進行評價。

- END -

來源：信息系統(tǒng)審計搬運工、內(nèi)審之友，審計之家編輯整理。版權(quán)歸原作者所有（如有轉(zhuǎn)載，請注明以上信息）。

【小會福利時間到】

小會又來送福利啦！

【工資標準表】

【變更工資申請表】

關(guān)注+私信小編：資料

即可領(lǐng)取以上資料哦！

因領(lǐng)取人數(shù)太多，若是不能及時回復(fù)，請大家耐心等待哦~