基于COBIT的信息系统管理_控制与审计的模型构建研究

基于COBIT的信息系统管理、控制与审计的模型构建研究金　文　张金城(南京审计学院　210029)【摘要】　随着信息时代的到来与发展,如何在信息系统的建设、应用与持续发展过程中,进行管理、控制与审计己成为当今一个重要的研究课题。

本文在COB IT研究的基础上,提出从信息系统生命周期出发,通过对生命周期各个阶段的任务与活动的有序排列,构建符合COB IT定义的信息技术过程和管理、控制与评价模型,并在此基础上,构建信息系统管理、控制与审计的模型。

【关键词】　信息系统　管理　控制　审计 一、引言随着信息时代的到来与发展,以计算机、网络、通讯等信息技术为基础的信息系统己成为国家和社会生活中不可缺少的基础设施。

一方面,随着新的信息技术不断涌现,人们为了追求更高的信息资源利用率,提高组织战略竞争力,正在不断地实施、更新信息系统,信息系统的发展己成为组织发展战略的一部分。

另一方面,人们对信息系统产生了依赖性,对信息系统的安全性、可靠性、有效性、持续性及性能要求也越来越高。

由于信息技术的复杂性与多样性,信息系统建设与应用受到各种因素的制约,如技术、管理与人力资源,因此,如何在信息系统的建设、应用与持续发展过程中,进行管理、控制与审计就成为当今一个重要的研究课题。

改革开放以来,我国将信息化建设作为国民经济发展战略的重要组成部分,使我国的信息化水平迅速提高。

但同时,也暴露出许多问题,主要有:信息化战略与组织战略脱节,信息系统建设目标错位;重技术,轻管理,风险控制与安全管理缺位;信息系统建设管理缺乏科学性,项目建设不能按计划的时间、质量和费用完成,建设结果不能达到预期的目标和服务水平;信息系统运行与维护过程不规范,系统生命周期较短。

上述问题是致使信息系统建设与应用成功率低、绩效差、安全得不到保证、对信息系统的审计与鉴证困难的重要原因,也是我国信息化水平与欧美发达国家的主要差距所在。

信息系统不仅仅是计算机、通讯、网络及相关软件等技术部件的集成,它是数据、应用系统、技术、设施和人员的总和。

它涉及到系统工程、信息技术和管理科学等多个学科,信息技术的日新月异、经济全球化和社会的复杂性使信息系统的建设与应用遇到很大挑战,通过对信息系统管理、控制与审计,使信息系统在其整个生命周期中与权益者对它的需求和前提条件相一致,并以合法的、高效的方式提供服务,以积极的方式影响组织机构的目标,是应对这种挑战的有效途径。

欧美发达国家对“信息系统管理、控制与审计”的研究与实践起步较早,也极为重视,从20世纪80年代中到现在,走过了“技术管理时期”、“多样化管理时期”和“专业管理时期”。

所谓“专业管理”就是除技术管理外,信息系统的功能管理和应用管理要以按照符合要求的标准或规范运行,这些标准与规范包括ISO9000、CMM、ISO/IEC17799、ITIL和COB IT等。

这些标准与规范来自于系统的理论研究和最佳实践归纳,是信息系统的质量、效用与安全达到一定水平的保证,也是评价信息系统的安全、风险和效用的参照标准,同时也是信息系统建设与维护过程中管理、控制的指标参数。

实践证明,系统应用这些标准与规范能极大地提高信息系统建设与应57用水平,信息系统的质量、效用、安全与可靠性获得很大提高,同时也为信息系统的审计与鉴证提供了基础。

二、COBIT 简介COB IT (Control Objectives For Information and Related Technology ),译为“信息及相关技术的控制目标”,由美国信息系统审计与控制协会(ISACA )出版,最早在1996年发布,现己发布了第三版,目前已成为国际上公认的最先进、最权威的信息技术管理、控制和审计的标准。

COB IT 将IT 过程,IT 资源及信息与组织的策略与目标联系起来,形成一个三维的体系结构。

其中,IT 准则维集中反映了企业的战略目标,主要从质量、成本、时间、资源利用率、系统效率、保密性、完整性、可用性等方面来保证信息的安全性、可靠性、有效性;IT 资源维主要包括人、应用系统、技术、设施及数据在内的与信息相关的资源;IT 过程维则是在IT 准则的指导下,对信息及相关资源进行规划与处理,从信息技术的规划与组织、采集与实施、交付与支持、监控四个方面确定了34个信息技术处理过程。

图1　COBIT 体系结构COB IT 的体系框架给出了“管理指南”和“控制指南”,为每个过程定义了具体的管理关键因素和指标(KPI 、CSF 、KGI )、控制目标以及审计方针,并采用CMM 成熟度模型来表示“过程的成熟度”,引入平衡经营记分卡以实现可跟踪的业绩衡量,评价企业目标的实现情况以及IT 绩效,使之可以通过对信息系统的过程、目标的控制与改善,进行持续的IT 管理,不断提升信息系统的成熟度。

COB IT 覆盖整个信息系统的全部生命周期,涵盖了战略、战术与操作的所有层次,处于各个阶段的信息系统都可以参照应用,它所带来的益处是十分明显的,它使IT 战略与组织战略紧密联系,在事业目标、信息系统、业务绩效目标之间维持平衡。

它为IT 过程提供了管理的要素、标准和控制目标,使复杂的管理控制结构化、模式化,为信息系统的安全、可靠、效用与效率达到预定目标提供了保障,并为信息系统的审计提供了指导和基础,使审计工作切实可行,审计结论更有说服力和影响力。

模型构建的方法与步骤COB IT 基于已有的许多架构,如SEI 的能力成熟度模型(CMM )、ISO9000等标准。

COB IT 在总结这些标准的基础上重点关注做什么,而不是如何做,它不包括具体的实施指南和实施步骤,它是一个控制架构(Control Framework )而非具体如何做的过程架构(Process Framework )。

如何将COB IT 应用于“信息系统管理、控制与审计”过程中去是众多信息系统的管理者与审计师更关注的问题。

由于组织结构与目标的多样性,信息技术与资源的复杂性,信息系统的管理、控制与审计的过程也是复杂的,以至于人脑难以掌握其所有的细节,因此,构建信息系统管理、控制与审计的模型是必要的,模型可以协调组织与相关人员对问题的理解,并指导具体方案的产生。

但是,同样由于其多样性和复杂性,没有一个独立的模型能够完全描述不同信息系统应用COB IT 的过程。

尽管如此,如果运用系统工程的结构化方法,针对具体的组织与信息系统的特点,在信息系统生命周期模型的基础上,依据生命周期不同阶段的任务和活动,构建符合COB IT 的过程管理模型,并运用模型指导信息系统的管理、控制与审计过程,则这个过程将会减少对人的依赖,并使之结构化、程序化,便于运用技术与工具进行管理,对有效地实施基于COB IT 的信息系统管理、控制与审计具有十分积极的意义。

运用系统工程结构化的方法,构建基于COB IT 的信息系统管理、控制与审计的过程模型,其步骤是:首先,在信息系统的生命周期模型的基础上,依据生存周期不同阶段的任务和活动,对照COB IT 的34个过程定义,构建具体的信息技术过程集。

然后,运用科学的管理体系和方法,构建以信息技术过程为基础的管理、控制和评价模型,最后,对上述步骤进行综合,形成信息系统的管理、控制与审计模型。

67 三、构建信息技术过程集信息系统的生命周期开始于信息政策形成的时刻,以及以使用为目的开发信息系统的时刻,结束于信息系统消失的时刻。

在信息系统的生命周期过程中,可划分为四个阶段:规划阶段、开发阶段、接收和实现阶段、运行和维护阶段。

它们之间的关系如图所示:图2　信息系统生命周期的各阶段及其关系 规划阶段的任务是:确定发展战略、制定总体方案、安排项目计划以及制定资源分配计划,明确前提条件和约束条件。

在这一阶段中所制定的政策与规划将指导系统的开发,而以后各阶段所需要的变更/修改,也要反馈到规划工作。

开发阶段的任务是:设计、获取组件和构建信息系统或项目。

重点强调有关信息技术的部分,如技术基础设施、数据基础设施和应用软件包。

只有这一阶段工作完成后才能进入接收和实现阶段。

接收和实现阶段的工作任务是:接收开发阶段设计和构建的信息系统或项目,检查它是否遵守所有的技术规范与标准,进行验收测试,系统初始化,新旧系统转换,制定对信息系统硬件、软件、数据、性能、安全、操作的管理规则,最后交付使用。

运行与维护阶段的任务是:保障信息系统的正常使用;对信息系统充分利用和持续发展的研究;完成根据前两个任务发生的变更/修改。

依据上述各阶段的任务,我们可以采用WBS (工作结构分解)工具描述具体信息系统建设的具体任务活动,例如,图3表示某企业管理信息系统的规划工作分解。

图3　某企业管理信息系统的规划工作分解 图3中的需求分析、可行性研究、制定规划和总体方案部分是规划的执行活动,规划管理部分是对前述执行部分的管理。

对照COB IT 的过程定义和图3所描述的规划活动,通过对活动的有序排列,可以获得一系列符合COB IT 定义的过程,例如,图4表示的过程是由上述规划阶段的若干活动组成,它符合COB IT 中PO1过程:定义IT 战略计划。

77图4　PO1:定义IT战略计划过程 图4所示是获取IT战略计划的执行过程,要使执行过程有效进展,达到过程目的,必须对过程实施有效的管理,图3所列的“规划管理”活动应贯穿整个过程,在这个过程中,管理、控制的要素和标准的科学设定是极为关键的,COB IT给出了要素与标准的设定指南,具体的设定要依据信息系统的发展阶段与目标水平。

在信息系统的建设与应用过程中,不是COB IT 的全部34个过程都必须应用,而是根据具体信息系统的建设与应用过程中的活动,构建一系列符合COB IT定义的过程,也就是说,应根据实际情况剪裁COB IT的过程,构建信息技术过程集。

四、构建信息技术过程的管理、控制和评价模型 通过构建信息系统建设与应用的信息技术过程集,我们可以把对系统的管理细化到各个过程,针对过程的管理是进行信息系统管理、控制和审计的基础,是否科学与完善,将对系统的管理、控制与审计的有效性产生重大影响,因此,必须采用科学的、为实践所证明的管理体系与方法。

项目管理作为一个面向过程的科学管理体系,近几十年来得到飞速发展,各行各业的广泛应用,使其知识体系和方法日趋完善。

目前,美国项目管理协会开发的项目管理知识体系PMBO K已作为项目管理的事实标准,在欧美国家的信息化项目广泛使用。

针对所构建的基于COB IT的信息技术过程,以PMBO K为指导,构建过程的管理模型,可以化繁为简,使复杂的信息系统管理、控制和审计结构化,使人们对信息系统的建设与管理有正确的管理思想为指导,并促进建立和健全管理机制,便于应用技术与工具,使管理过程规范化。