IT審計(jì)：某集團數據治理(lǐ)審計(jì)案例

某企業(yè)是集軍工(gōng)、消費電子、核心器(qì)件(jiàn)等研發與制(zhì)造爲一體的(de)綜合型跨國企業(yè)集團，20世紀90年代初開(kāi)始以自建的(de)财務信息系統爲基礎，逐步實現了生産、研發和(hé)營銷等各個(gè)經營管理(lǐ)領域的(de)信息化。在互聯網+的(de)新社會(huì)形态下，公司實施了集“智能(néng)研發”“智能(néng)制(zhì)造”“智能(néng)營銷”三大(dà)平台爲一體的(de)智能(néng)化戰略，産品數據和(hé)用(yòng)戶數據已從傳統生産、銷售領域拓展到(dào)了智慧小(xiǎo)區、智慧醫療等領域，從而成爲企業(yè)戰略核心。

經過20多年信息化發展，公司積累了海(hǎi)量的(de)業(yè)務和(hé)财務數據與經驗，爲保證有(yǒu)效規劃、監控和(hé)執行(xíng)數據資産，公司進行(xíng)了專門的(de)數據治理(lǐ)，發現數據質量和(hé)數據管理(lǐ)方面存在較多問題；曆年審計(jì)也(yě)發現數據存在維護不規範、标準不統一、清潔度低等問題，直接影響了智能(néng)化建設的(de)順利實施。

因此，數據治理(lǐ)審計(jì)是在數據管理(lǐ)基礎上(shàng)，通過對産業(yè)價值鏈的(de)分(fēn)析，對信息化建設情況和(hé)三大(dà)智能(néng)平台上(shàng)的(de)業(yè)務流程、數據質量、關聯、交付、應用(yòng)情況所開(kāi)展的(de)一項智能(néng)審計(jì)。 

1.審計(jì)目标：通過對集團範圍内的(de)信息系統建設和(hé)數據治理(lǐ)情況的(de)全面審計(jì)，以問題數據爲審計(jì)項目的(de)切入點、數據标準爲審計(jì)标準的(de)基礎、數據質量問題爲審計(jì)證據，全方位深入了解公司數據管理(lǐ)現狀，發現數據治理(lǐ)的(de)漏洞，揭示公司數據治理(lǐ)存在的(de)控制(zhì)缺陷和(hé)系統性風險，提出可(kě)行(xíng)的(de)審計(jì)建議，促進提高(gāo)信息化建設整體管理(lǐ)水(shuǐ)平，建設可(kě)信任的(de)企業(yè)級數據管理(lǐ)中心，打造數據共享服務典範。

2.審計(jì)标準：審計(jì)标準參照(zhào)公司發布的(de)《數據管理(lǐ)與治理(lǐ)工(gōng)作思路(lù)》、《數據管理(lǐ)與治理(lǐ)工(gōng)作推進計(jì)劃》、《數據管理(lǐ)體系》及核心制(zhì)度中明(míng)确的(de)相(xiàng)關單位的(de)工(gōng)作職責等規範文(wén)件(jiàn)

3.審計(jì)範圍和(hé)重點：通過對數據治理(lǐ)主要内容(安全、架構、質量、數據倉等)進行(xíng)分(fēn)析，數據治理(lǐ)審計(jì)涉及範圍寬廣、專業(yè)性強，而審計(jì)資源有(yǒu)限，加之公司主要是制(zhì)造和(hé)銷售企業(yè)，數據治理(lǐ)與三大(dà)智能(néng)平台建設緊密關聯，因此此次審計(jì)聚焦，以主數據管理(lǐ)爲審計(jì)重點，涉及采購(gòu)、銷售、研發、财務管理(lǐ)四個(gè)重要領域，審計(jì)客體包括數據管理(lǐ)部門、财務部門、信息系統開(kāi)發部門及各系統應用(yòng)子公司(業(yè)務單位)。

4.審計(jì)思路(lù)：通過對公司數據治理(lǐ)戰略目标、規劃方案和(hé)基本情況入手，了解公司數據治理(lǐ)的(de)願景、中長期目标，确定審計(jì)重點。以數據治理(lǐ)體系建設爲起點，從數據架構，主數據管理(lǐ)、元數據管理(lǐ)和(hé)數據安全等四個(gè)角度出發；以價值鏈分(fēn)析爲基礎分(fēn)爲采購(gòu)、營銷、研發、财務等子項。檢查數據治理(lǐ)層面的(de)開(kāi)發、應用(yòng)和(hé)交互情況，分(fēn)别對信息系統、業(yè)務流程、組織、角色等因素進行(xíng)分(fēn)析，延伸至信息安全層面，檢查數據質量、控制(zhì)、合規、預防和(hé)修複機制(zhì)。

結合智能(néng)審計(jì)軟件(jiàn)開(kāi)發和(hé)應用(yòng)，分(fēn)析公司在數據管理(lǐ)、數據質量和(hé)共享分(fēn)發等方面存在的(de)問題，同時，進一步對公司三大(dà)智能(néng)平台各子項目的(de)藍圖規劃、開(kāi)發狀況、實現效果等方面予以重點關注。

1.組建聯合審計(jì)隊伍，取得專家支持

鑒于數據治理(lǐ)審計(jì)專業(yè)性較強，對信息化建設和(hé)審計(jì)能(néng)力的(de)要求非常高(gāo)，因此集IT審計(jì)、财務審計(jì)、采購(gòu)審計(jì)和(hé)銷售審計(jì)人(rén)員組建聯合工(gōng)作小(xiǎo)組實施審計(jì)項目，同時，取得專家團隊支持，借助公司信息系統規劃、架構人(rén)員和(hé)軟件(jiàn)開(kāi)發人(rén)員對重要問題進行(xíng)集中討(tǎo)論分(fēn)析。

2.制(zhì)訂審計(jì)計(jì)劃和(hé)進度安排

預計(jì)審計(jì)時間爲3個(gè)月(yuè)，進行(xíng)審計(jì)任務分(fēn)工(gōng)，把控關鍵節點，确保高(gāo)效完成任務。

3.選取樣本

鑒于集團下屬子公司較多，而審計(jì)資源有(yǒu)限，前期借助智能(néng)審計(jì)軟件(jiàn)大(dà)數據分(fēn)析功能(néng)和(hé)現場(chǎng)調研，以業(yè)務規模、風險程度、重要性等維度抽樣選取6家子公司

4.審計(jì)模式

建立前、中、後台交互工(gōng)作模式，以智能(néng)審計(jì)軟件(jiàn)(中台)爲主體，利用(yòng)大(dà)數據處理(lǐ)技術(shù)，實施審計(jì)重點輸出，驅動審計(jì)業(yè)務(前台)開(kāi)展審計(jì)并在線反饋，審計(jì)專家(後台)綜合分(fēn)析後，對審計(jì)活動實施統一的(de)計(jì)劃、協調、管理(lǐ)、控制(zhì)與決策，最終形成并輸出審計(jì)成果。

另外利用(yòng)智能(néng)審計(jì)系統的(de)檔案管理(lǐ)功能(néng)，對前期所有(yǒu)審計(jì)項目發現的(de)系統問題和(hé)數據問題，進歸集、分(fēn)類、追蹤、分(fēn)析，爲本次審計(jì)提供更多的(de)支持證據，得出審計(jì)結論。

5.建立信息溝通機制(zhì)

(1)強化訪談和(hé)問卷調查，與各系統開(kāi)發組及時溝通。

(2)審計(jì)小(xiǎo)組以周例會(huì)形式報告和(hé)討(tǎo)論業(yè)務，保證信息暢通。

(3)定期彙報工(gōng)作：鑒于審計(jì)開(kāi)展時間太長，爲保證讓公司領導能(néng)及時了解審計(jì)情況，采取階段式審計(jì)報告方式彙報工(gōng)作。

根據前期了解到(dào)的(de)數據治理(lǐ)基本情況，對審計(jì)問題進行(xíng)分(fēn)析、歸納和(hé)拆解，建立分(fēn)工(gōng)表格，關注主要風險

1.根據審計(jì)思路(lù)确定關注重點及任務分(fēn)配(見表1-1)

第一，從數據治理(lǐ)體系層面關注數據管理(lǐ)體系規劃和(hé)架構信息、制(zhì)度建設情況以及數據質量管理(lǐ)是否持續落地(dì)。

第二，了解信息系統建設情況、開(kāi)發運用(yòng)效率、系統間的(de)對接情況，數據倉庫建設情況，信息系統數據一緻性和(hé)信息系統開(kāi)發效率。

第三，了解主數據管理(lǐ)平台(MDM)建設和(hé)系統間共享數據情況，例如(rú)，客戶、供應商、賬戶和(hé)組織部門相(xiàng)關數據、元數據管理(lǐ)情況，數據倉庫和(hé)商業(yè)智能(néng)建設情況。

第四，檢查信息系統和(hé)數據安全問題表

1-1審計(jì)關注重點及任務分(fēn)配表

2.問題收集與分(fēn)析方法

借助智能(néng)審計(jì)軟件(jiàn)實現信息化審計(jì)，通過審計(jì)軟件(jiàn)自動提取數據，自動進行(xíng)預警分(fēn)析，改變原來手工(gōng)提取數據，單機分(fēn)析模式，同時兼顧了審計(jì)覆蓋面和(hé)效率。

通過審計(jì)軟件(jiàn)後台清理(lǐ)不清潔、不規範數據，彙總整理(lǐ)審計(jì)過程中發現的(de)數據質量問題。将整理(lǐ)好的(de)錯誤數據集中推送給各開(kāi)發和(hé)使用(yòng)單位，要求反饋産生的(de)原因及拟采取的(de)修正措施，區分(fēn)系統性及個(gè)性問題。與數據治理(lǐ)小(xiǎo)組及各業(yè)務單位協商解決方案，發布采購(gòu)數據質量報告，提出采購(gòu)數據規範建議(見表1-2)

3.現場(chǎng)審計(jì)

在确定抽樣樣本和(hé)取份相(xiàng)關在線預警數據後，利用(yòng)其他(tā)審計(jì)項目組的(de)現場(chǎng)工(gōng)作小(xiǎo)組，直接提取有(yǒu)用(yòng)信息。審計(jì)人(rén)員根據審計(jì)軟件(jiàn)在線預警結果，按照(zhào)系統指示的(de)作業(yè)流程，帶打問題進入現場(chǎng)審計(jì)，重點是對軟件(jiàn)無法直接識别的(de)紙(zhǐ)質資料進行(xíng)審查，如(rú)各種制(zhì)度、招标文(wén)件(jiàn)、相(xiàng)關簽批報告等，對在線預警結果進行(xíng)深入追查，并與被審計(jì)單位達成初步共識。 

對于綜合性複雜的(de)審計(jì)項目，審計(jì)報告格式非常重要。在該項目中，由于審計(jì)反映的(de)問題涵蓋面廣、系統性問題與個(gè)性問題較多、系統間的(de)關系複雜，因此分(fēn)别從以下維度反映審計(jì)發現。

第一，全面反映公司信息平台建設整體情況(見表1-3)。

表1-3截止審計(jì)日公司信息平台和(hé)系統的(de)投資運營維護情況

第二，反映數據管理(lǐ)體系規劃和(hé)架構情況，指出公司需加強數據管理(lǐ)規劃，進一步打通内外部數據。例如(rú)，公司級數據倉庫缺少(shǎo)管理(lǐ)和(hé)規劃運用(yòng)效率低；未形成統一的(de)企業(yè)級“元數據”管理(lǐ)，不利于提高(gāo)信息系統的(de)共享性、可(kě)讀(dú)性、實用(yòng)性；主數據管理(lǐ)範圍及标準尚未健全；管理(lǐ)邊界不明(míng)确，不利于各産業(yè)共享數據信息資源，主數據标準多次頻繁修訂，影響數據治理(lǐ)效果:公司數據管理(lǐ)文(wén)化氛圍需要加強，尚未建立數據治理(lǐ)監控和(hé)考核體系，數據管理(lǐ)未形成閉環。

第三，從數據治理(lǐ)實施層面，反映數據管理(lǐ)單位數據管理(lǐ)意識不夠，未嚴格執行(xíng)管理(lǐ)規範，影響數據質量。如(rú)申請入口不統一造成主數據不一緻的(de)情況。

第四，分(fēn)業(yè)務類型關注主數據及業(yè)務數據的(de)質量問題。主要針對交易界面的(de)關鍵風險點，充分(fēn)反映問題數據的(de)細節和(hé)責任單位，如(rú)對采購(gòu)(供應商)、銷售(客戶)、物(wù)料/産品主數據等管理(lǐ)情況分(fēn)别進行(xíng)反映。

第五，單獨反映重要的(de)信息平台或信息系統存在的(de)主要風險，如(rú)對财務、供應鏈、營銷等主要業(yè)務管理(lǐ)平台的(de)設計(jì)、應用(yòng)、交互和(hé)控制(zhì)情況分(fēn)别進行(xíng)評價，充分(fēn)反映各重要系統業(yè)務模塊上(shàng)存在漏項、功能(néng)不足的(de)情況。

例如(rú)，某子公司xx系統長遠規劃不足，投資總額xx萬元，後期每年支付xx萬元運維費。模塊設計(jì)存在局限，已不能(néng)滿足現有(yǒu)業(yè)務和(hé)未來業(yè)務發展需要，經統計(jì)在結算、風控等相(xiàng)關業(yè)務上(shàng)系統模塊至少(shǎo)存在26項功能(néng)缺陷（見表1-6)。

第六，反映信息系統和(hé)數據安全，一是反映系統控制(zhì)缺陷，評價風險控制(zhì)功能(néng)是否有(yǒu)效，二是評價信息平台和(hé)系統本身安全性。例如(rú)，部分(fēn)系統存在審核流程設置控制(zhì)失效的(de)情況:2016年對某子公司例行(xíng)審計(jì)時，發現該公司信用(yòng)系統後台配置未能(néng)對标準訂單進行(xíng)信用(yòng)發貨控制(zhì)，存在重大(dà)控制(zhì)缺陷；MDM系統審批流程設置存在數據申請、審核、審批可(kě)以是同一人(rén)的(de)情況，存在風險未隔離(lí)情況。 

通過數據治理(lǐ)審計(jì)，系統性梳理(lǐ)了公司現有(yǒu)信息平台的(de)管理(lǐ)狀況和(hé)數據治理(lǐ)及對業(yè)務的(de)支持情況，一是向決策層全面展示了公司數據管理(lǐ)的(de)現狀和(hé)水(shuǐ)平，二是從宏觀和(hé)微觀兩個(gè)維度反映了數據治理(lǐ)過程中存在的(de)問題和(hé)風險，促進公司完善數據管理(lǐ)體系，提升數據治理(lǐ)質量，真正實現統一管理(lǐ)、共享和(hé)分(fēn)發公司主數據，實現數據全生命周期管理(lǐ)，同時完善統一、準确的(de)數據治理(lǐ)有(yǒu)助于公司價值的(de)提升。

1.審計(jì)方式創新

一是成立聯合工(gōng)作小(xiǎo)組和(hé)借助專家力量，保證數據治理(lǐ)審計(jì)的(de)專業(yè)水(shuǐ)平；二是利用(yòng)前期所有(yǒu)審計(jì)項目中檢查發現的(de)同類問題支撐審計(jì)結論，在有(yǒu)限審計(jì)資源下高(gāo)效完成大(dà)型綜合審計(jì)項目。

2.審計(jì)工(gōng)具創新

借助智能(néng)審計(jì)系統實現對全業(yè)務鏈的(de)持續監控和(hé)預警，在重點檢查審計(jì)樣本的(de)情況下，從縱橫兩個(gè)維度全面檢查數據管理(lǐ)情況。

3.審計(jì)模式和(hé)技術(shù)創新

針對全新的(de)審計(jì)對象，審計(jì)布局創新，通過前、中、後台交互式的(de)審計(jì)模式，利用(yòng)智能(néng)審計(jì)軟件(jiàn)(中台)，運用(yòng)大(dà)數據處理(lǐ)技術(shù)和(hé)交易界面動态預警審計(jì)技術(shù)，對可(kě)能(néng)存在重要風險的(de)業(yè)務數據進行(xíng)全量掃描分(fēn)析，由審計(jì)專家(後台)分(fēn)析找出檢查重點，推送至現場(chǎng)審計(jì)人(rén)員(前台)，從而提高(gāo)審計(jì)效率，避免審計(jì)漏項。

4.審計(jì)報告方式的(de)創新

多維度反映不同的(de)審計(jì)重點，便于不同受衆使用(yòng)審計(jì)報告内容；審計(jì)問題表格化.附件(jiàn)式列表既可(kě)全面展示所有(yǒu)審計(jì)抽查問題，又(yòu)可(kě)清晰反映問題類别，以簡單方式反映複雜性問題。

5.審計(jì)成果推廣創新

此案屬首次對數據治理(lǐ)進行(xíng)審計(jì):一是在公司範圍内對數據治理(lǐ)工(gōng)作全面應用(yòng)審計(jì)結果；二是在審計(jì)實踐中進行(xíng)了全新的(de)業(yè)務拓展和(hé)嘗試。

數據信息安全是個(gè)大(dà)問題，可(kě)以說它關系到(dào)組織的(de)生死存亡。集團公司的(de)IT審計(jì)一要确認審計(jì)數據，二要審計(jì)信息系統，三要評估操作流程風險。

本案從内審業(yè)界來看，此類審計(jì)項目無曆史經驗可(kě)借鑒，專業(yè)性極強，審計(jì)能(néng)力存在局限性，在發現問題和(hé)反映問題的(de)廣度和(hé)深度上(shàng)有(yǒu)所欠缺。但(dàn)本案能(néng)全面說明(míng)整個(gè)審計(jì)範圍、審計(jì)策略與審計(jì)目标重點，并對每個(gè)關鍵點作了審計(jì)操作說明(míng)，對内審人(rén)員審計(jì)有(yǒu)一定的(de)指導意義。

集團公司的(de)信息系統架構龐大(dà)複雜，系統性梳理(lǐ)和(hé)重點關注可(kě)能(néng)仍然存在漏項。我們可(kě)以在審計(jì)時考慮(包括但(dàn)不限于):硬件(jiàn)設施的(de)采購(gòu)、軟件(jiàn)系統的(de)采購(gòu)與使用(yòng)；部門的(de)安全管理(lǐ)、數據的(de)備份等，均應納入整個(gè)系統進行(xíng)評價。