信息化建設要規范 IT審計是根本

2014-11-08 22:00:40 大云網　點擊量：評論 (0)

隨著我國信息化建設的不斷推進，企業、教育、政府、醫院和農業等眾多不同行業的信息化建設得到了飛速發展。國家信息產業主管部門為了保證我國信息化建設的成功率，相繼在信息系統建設中實行信息監理、第三方測試

隨著我國信息化建設的不斷推進，企業、教育、政府、醫院和農業等眾多不同行業的信息化建設得到了飛速發展。國家信息產業主管部門為了保證我國信息化建設的成功率，相繼在信息系統建設中實行信息監理、第三方測試和IT審計制度。

信息集成制度的無奈

我國的信息系統集成資質的實施工作開展得比較早，信部規[1999]1047號《計算機信息系統集成資質管理辦法》的執行，對混亂的信息系統集成市場進行了規范。那些位于電腦城從事硬件設備銷售的公司不再可以隨便的進行系統集成工作的實施，一部分大的計算機銷售公司聚集人才，進入到系統集成行業。

市場門檻的提高，讓那些沒有信息系統集成資質的公司被擋在了門外，只有拿到了資質證書才能吃到集成這塊香餑餑。一時間，不少公司為了集成資質證書挖空心思，其中不乏有公司為了獲取資質證書而在硬件、軟件、管理等方面全面作假。當這樣的公司拿到了集成資質之后，必然無法保證項目實施的質量。

雖然后來信息產業部在集成項目中推行項目經理制度，但是這些都收效甚微。誰來監督、誰來管理、誰來處罰這些已經通過資質認定的集成公司呢？沒有了監督，拿到集成證書后，還是按那種作坊式的管理來進行項目建設，這無疑讓資質認證喪失了他應該有的作用。

目前，信息系統集成的現狀是有法可依，但是卻無人執法。只要建設單位不管，幾乎沒有人來管承建單位是否按照合同要求配備項目經理和具有資格的施工人員，沒有人來對施工過程中出現的違規行為進行處罰。因此，造成很多集成單位都認為，只要有資質就可以，實施過程反正沒有人管。

到底誰來充當這個執法人呢？信息產業部在此基礎上推出了信息系統建設的監理機制。

信息監理制度的尷尬

信部信[2002]570號《信息系統工程監理暫行規定》從2002年12月15日起開始實施，標志著信息系統監理制度在我國開始正式執行。經過5年的發展，信息系統監理已經初具規模，在我國政府信息化建設中發揮了不小的作用。但是，目前信息系統監理的發展遇到了瓶頸，在具體的監理工作中也存在著很多尷尬。

信息系統監理單位的工作是“四控、三管、一協調”，按道理說在建設單位授權的基礎上可以對集成單位進行監督管理。可是信息系統監理單位真的有能力充當“執法者”嗎？集成單位又是否會賣監理單位的帳呢？

信息系統監理實際上是根本就無法勝任“執法者”這一角色的，在我國，信息系統監理頂多充當的就是一個“協調者”的角色。作為“協調者”，監理沒有權利對于集成單位項目管理上的種種問題進行處理，最多就是建議權，只要集成單位沒有出現大的偏離合同的地方，就無法進行處理。而等到真的出問題的時候，監理也是無力回天。

回看信息系統監理本身，在監理一線從事信息系統監理工作的監理工程師的業務和技術水平不高，無法在監理過程中充分發揮監理本來應該有的作用，無法充當“專家”這一角色。因為監理工程師水平不高，造成監理工程師在監理過程不敢開展工作，因為怕自己做錯反而喪失監理工程師的權威。

之所以信息監理公司、包括建設監理都存在著留不住人才的局面。為什么人才會流失？為什么都愿意做開發而不愿意做監理？究其原因還是監理工程師待遇太低，目前信息系統監理工程師的待遇在2000-4000之間不等，而技術水平高一點的人去做開發或者項目管理的話，工資一般可以翻倍，沒有不走之理阿。

再來關注為什么監理工程師工資待遇低，信息監理在我國還屬于新生行業，一個行業在穩定之前必然會要受到市場的考驗，這個過程是一個起伏、適應的過程。在商業競爭中，部分監理公司會被淘汰，而競爭力強的最終能夠生存下來。商業競爭和戰爭一樣殘酷，很多信息監理公司為了眼前的利益，而拼命壓低監理工程師的待遇，讓人才流失，這也是一個讓人痛心的事實。

既然監理目前自己的路都沒有走穩，而且在行政上面沒有任何的執法權，法律責任上面也沒有明確。那么這么一個弱不經風的信息監理，怎么能夠在信息系統建設中，力挽狂瀾呢？

第三方測試還在翹首等待

我國第三方軟件測試的概念推出已經有一段時日，隨著中國軟件評測中心的建設，各省也相繼成立了軟件評測中心，但是目前這些評測中心大多還是在進行一些政府要求通過測試的軟件的測試工作，完全沒有帶動第三方測試的市場。

我國計算機軟件評測與發達國家相比非常落后，主要表現為：

1、軟件產品質量評測無法可依、無章可循

2、軟件工程技術審查、復審流于形式，管理不力

3、軟件過程測試工程目標不明確

4、第三方軟件評測、質量監督剛剛起步，有待發展。

對于大多數應用軟件，甚至環境、工具系統軟件，大多數用戶都不是很熟悉其特性，質量評測基本難以進行。因此，第三方軟件評測、質量監督服務商，對于促進軟件產品應用維護，將具有重要意義。在我國一些重要計算機軟件應用領域，如金融、軍方等，都在逐步將軟件評測和質量監督，通過合同關系委托第三方承擔。在已經進行的一些工程項目當中，都取得了確保軟件產品質量的預期效果，逐步被軟件用戶和軟件企業所認可。

目前的信息系統工程既沒有政府備案制度，也沒有質量責任終生制，連一個正規的竣工驗收都沒有，只要建設單位在竣工驗收報告上簽了字，整個項目基本上就結束了。沒有后繼的評價，沒有責任追蹤，連來管一管的上級單位都沒有。如何來規范這個行業和市場呢？

IT審計，你為何還不上？

目前的審計已經不再局限于投資的審計，包括過程審計、安全審計等。建筑行業實行審計制度后，讓建設成本得到了很好的控制。那些瞞天過海、漫天要價的承建單位最終還是逃不過審計的眼睛，不再那么容易獲取暴利，也讓那些內外勾結、暗箱操作的項目一個個浮出水面。

信息系統審計無疑能夠公正客觀的評價信息系統建設過程和結果。在信息系統建設過程中引入審計制度，可以讓信息系統建設過程更加透明，與信息監理不同，信息審計只需要發現問題，并向建設單位和相關主管部門匯報，而不是像信息監理一樣，要去糾正偏差。因此，審計的工作過程遇到的阻力比較小，發現問題與處理問題的不是同一個人，可以讓發現者與執行者相互監督，有利于項目的實施。

很多信息系統工程驗收時，只關注系統是否能夠達到建設單位所要求顯性要求，而對于系統的安全性等指標卻不大關注。安全審計專門針對信息系統建設過程中和運行中的安全問題，達不到安全要求的系統是不合格的。

竣工結算中，IT審計根據項目建設過程中的開銷對項目成本進行審計，這個過程讓承建單位的暴利時代徹底結束，也讓建設過程中那些偷工減料的過程原形畢露。投資審計有效的保證了建設單位的有效投資。

只有IT審計的實施，才能夠暴露項目的眾多缺陷與問題，這樣才能夠推動信息監理工作的展開，一個有問題的信息項目，監理方如果沒有履行他的職責是要承擔監理責任的。監理協同第三方測試再來推動項目的集成單位做好建設工作。如果監理單位的工作到位了，而是由于施工單位的原因造成的問題，由施工單位負責。在明確了責任后，我想任何承建單位都不敢以身試法。如此循環，則所有的項目關系人才能夠在自己的責、權、利范圍內做好自己的工作。

信息化主管部門需要權利

建筑質量不合格，有人追查；信息系統項目質量不合格，就不了了之。歸根結底就是沒有人來管，沒有人來查。那么為什么信息系統建設行業就變成沒有人管了呢？

建筑質量的問題有建設行政部門，食品衛生的質量有食品衛生監督管理部門，質量技術監督局的業務范圍太廣，根本就無暇顧及信息系統。唯有本地的信息化主管部門可以來進行管理，可遺憾的是，沒有人賦予他們管理的權利。信息化主管部門的權利迫切的需要加強，沒有權的信息化部門等于拔了牙的老虎，要想讓老虎發揮總用，先給它把牙齒鑲好吧！

行業主管部門的執法才是信息系統建設整個領域的原動力，IT審計的結果固然可以讓建設單位找到維護自己權利的依據，但是如果沒有行業主管部門的法律手段，是不足以讓整個市場走上規范的道路的。IT審計的火苗還需要信息化主管部門來點燃。