信息系統(tǒng)審計(jì)(南京審計(jì)學(xué)院)chap4

《信息系統(tǒng)審計(jì)(南京審計(jì)學(xué)院)chap4》由會(huì)員分享，可在線閱讀，更多相關(guān)《信息系統(tǒng)審計(jì)(南京審計(jì)學(xué)院)chap4（33頁(yè)珍藏版）》請(qǐng)?jiān)谘b配圖網(wǎng)上搜索。

1、,單擊此處編輯母版標(biāo)題樣式,單擊此處編輯母版文本樣式,第二級(jí),第三級(jí),第四級(jí),第五級(jí),*,NANJING,AUDIT,UNIVERSITY,第四章 信息系統(tǒng)開(kāi)發(fā)與實(shí)施審計(jì),信息系統(tǒng)開(kāi)發(fā)是一項(xiàng)成本高又耗時(shí)的工作，為更好地開(kāi)發(fā)應(yīng)用系統(tǒng)，以,滿(mǎn)足企業(yè)戰(zhàn)略需要，必須有一個(gè)良好的控制環(huán)境，包括合適的系統(tǒng)開(kāi)發(fā)方,法、開(kāi)發(fā)過(guò)程，如可行性研究、分析、設(shè)計(jì)、測(cè)試、實(shí)施等過(guò)程。此外，還,包括項(xiàng)目管理、軟件開(kāi)發(fā)過(guò)程改進(jìn)等，也需要進(jìn)行控制。,ISA,通過(guò)審查系統(tǒng)開(kāi)發(fā)、獲取與實(shí)施過(guò)程，并對(duì)此進(jìn)行評(píng)估，提出改進(jìn),意見(jiàn)，從而確保系統(tǒng)能滿(mǎn)足企業(yè)的經(jīng)營(yíng)目標(biāo)、標(biāo)準(zhǔn)并實(shí)現(xiàn)其效益。,第一節(jié) 信息系統(tǒng)開(kāi)發(fā)與實(shí)施評(píng)價(jià),對(duì)信息系統(tǒng)開(kāi)發(fā)與實(shí)

2、施進(jìn)行控制與審計(jì)目的：,1,、,避免投資風(fēng)險(xiǎn)，實(shí)現(xiàn)投資利益最大化；,2,、,減少軟件商業(yè)風(fēng)險(xiǎn)，滿(mǎn)足業(yè)務(wù)需求；,3,、,避免軟件時(shí)效風(fēng)險(xiǎn)。,為了達(dá)到上述控制與審計(jì)目的，,ISA,通過(guò)參與系統(tǒng)開(kāi)發(fā)與實(shí)施過(guò)程，收,集有關(guān)證據(jù)，評(píng)價(jià)：,1,、,信息化項(xiàng)目的方針、程序；,2,、,系統(tǒng)開(kāi)發(fā)技術(shù)和方法的選擇；,3,、,系統(tǒng)各階段的目標(biāo)；,4,、,系統(tǒng)開(kāi)發(fā)、實(shí)施過(guò)程的控制；,5,、,系統(tǒng)項(xiàng)目的組織控制（如：項(xiàng)目發(fā)起人、項(xiàng)目指導(dǎo)委員會(huì)）；,6,、,系統(tǒng)項(xiàng)目管理的有效性。,通過(guò)評(píng)價(jià)，,IS,審計(jì)師采取向有關(guān)領(lǐng)導(dǎo)提出建議，為系統(tǒng)項(xiàng)目組提供咨詢(xún),和建議等方式，確保信息系統(tǒng)項(xiàng)目開(kāi)發(fā)、實(shí)施目標(biāo)的實(shí)現(xiàn)。,第二節(jié) 信息系統(tǒng)開(kāi)

3、發(fā)方法簡(jiǎn)介,一、開(kāi)發(fā)的原因,1,、,系統(tǒng)的業(yè)務(wù)需求；,2,、,解決現(xiàn)有業(yè)務(wù)過(guò)程的問(wèn)題；,3,、,用新技術(shù)代替舊技術(shù)；,4,、,當(dāng)前技術(shù)存在問(wèn)題。,要開(kāi)發(fā)一個(gè)系統(tǒng)涉及：,系統(tǒng)的開(kāi)發(fā)方法,主要的系統(tǒng)開(kāi)發(fā)方法：,生命周期法、面向?qū)ο蠓?、原型法、基于組件的,開(kāi)發(fā)、快速開(kāi)發(fā)法、軟件包開(kāi)發(fā)、逆向工程、軟,系統(tǒng)方法論，基于,Web,應(yīng)用開(kāi)發(fā)，等,二、生命周期法（,SDLC,）,SDLC,法采用瀑布式技術(shù)，,是基于系統(tǒng)的、順序的軟件方法，開(kāi)始于,可行性研究，經(jīng)過(guò)需求分析、設(shè)計(jì)（選擇）、開(kāi)發(fā)（配置）、實(shí)施、維護(hù),等階段。,特點(diǎn)：,每個(gè)階段有明確的目標(biāo)和活動(dòng)；清晰的責(zé)任；預(yù)期的結(jié)果和完成,時(shí)間。,優(yōu)點(diǎn)：,提供摸板

4、，規(guī)定了需求定義、設(shè)計(jì)、編程等方法,缺點(diǎn)：,1,、,實(shí)際過(guò)程中的一些意外事件，造成很難遵守順序流程，且經(jīng)常反復(fù)；,2,、,要求十分明確的用戶(hù)需求，并充分預(yù)見(jiàn)可能發(fā)生的變化，條件苛刻；,3,、,項(xiàng)目生命周期的后期才能看到工作成果，要求客戶(hù)有足夠的耐心；,4,、,在開(kāi)發(fā)項(xiàng)目結(jié)束前，用戶(hù)需求可能已經(jīng)發(fā)生變化。,從,IS,審計(jì)師角度，該方法的優(yōu)點(diǎn)：,1,、,在生命周期的每個(gè)階段，都有規(guī)范的步驟和指南；,2,、,可以審查所有系統(tǒng)開(kāi)發(fā)項(xiàng)目階段、計(jì)劃目標(biāo)的遵循情況；,3,、,可以評(píng)估整個(gè)生命周期開(kāi)發(fā)的方法和技術(shù)；,4,、,可以評(píng)估開(kāi)發(fā)過(guò)程中的關(guān)鍵控制點(diǎn)，審查其控制的有效性。,三、原型法,原型法：亦稱(chēng)作啟發(fā)式

5、或者演化式開(kāi)發(fā)方法，,用戶(hù)首先提出開(kāi)發(fā),需求，開(kāi)發(fā)人員識(shí)別和歸納用戶(hù)要求，以此構(gòu)造原型，然后和用戶(hù)一,起評(píng)價(jià)、修改原型，直到用戶(hù)滿(mǎn)意為止。,特點(diǎn)：,它通過(guò)對(duì)原型的不斷修改完善而逐漸控制錯(cuò)誤，減少風(fēng)險(xiǎn)；,采用快速開(kāi)發(fā)工具，提高開(kāi)發(fā)效率和時(shí)間,支持第四代技術(shù)的開(kāi)發(fā)工具：,數(shù)據(jù)庫(kù)查詢(xún)的非過(guò)程化語(yǔ)言、報(bào)告生成器、數(shù)據(jù)操縱語(yǔ)言、屏幕,交互和定義工具、高級(jí)圖形能力和配置管理工具，等,優(yōu)點(diǎn)：,1,、,遵循認(rèn)識(shí)規(guī)律，采用循序漸進(jìn)的過(guò)程開(kāi)發(fā)和認(rèn)識(shí)系統(tǒng)；,2,、,便于用戶(hù)和系統(tǒng)分析人員的交流溝通；,3,、,充分利用最新工具軟件，減少系統(tǒng)開(kāi)發(fā)時(shí)間和費(fèi)用，提高效率。,缺點(diǎn)：,1,、,缺少系統(tǒng)開(kāi)發(fā)的全面控制機(jī)制；,2,

6、、,缺少文檔，變更控制變得更加復(fù)雜；,3,、,很難構(gòu)造適宜的原型，以供用戶(hù)評(píng)價(jià)；,4,、,大型系統(tǒng)不宜采用此法。,從,IS,審計(jì)師角度，對(duì)此方法應(yīng)認(rèn)識(shí)到：,1,、,缺少相應(yīng)評(píng)價(jià)規(guī)范、標(biāo)準(zhǔn)的弱點(diǎn)；,2,、,對(duì)系統(tǒng)控制、風(fēng)險(xiǎn)評(píng)價(jià)的復(fù)雜、困難；,3,、,給組織帶來(lái)省時(shí)、節(jié)約的效益。,四、面向?qū)ο蟮姆椒ǎ?OOM,）,面向?qū)ο蠓椒?接近人們認(rèn)識(shí)現(xiàn)實(shí)世界的一般方法，便于開(kāi)發(fā)人員利,用面向?qū)ο蠓ǖ幕靖拍钊ッ枋鰪?fù)雜問(wèn)題。,對(duì)象的特點(diǎn)：,封裝性、繼承性、多態(tài)性,面向?qū)ο蟮能浖_(kāi)發(fā)包括：,OOA,、,OOD,、,OOP,、,OOT,特點(diǎn)：,它是一個(gè)逐步細(xì)化的過(guò)程，可以把一個(gè)系統(tǒng)的開(kāi)發(fā)分成若干個(gè)小,范圍進(jìn)行。,

7、優(yōu)點(diǎn)：,1,、,采用特定的軟件工具，直接完成從對(duì)象客體的描述到軟件結(jié)構(gòu)之間,的轉(zhuǎn)換；,2,、,解決了客觀世界描述工具與軟件結(jié)構(gòu)不一致問(wèn)題，縮短開(kāi)發(fā)周期；,3,、,實(shí)現(xiàn)軟件復(fù)用，降低軟件系統(tǒng)復(fù)雜性，提高開(kāi)發(fā)效率；,4,、,封裝性簡(jiǎn)化了系統(tǒng)開(kāi)發(fā)過(guò)程；,5,、,多態(tài)性使系統(tǒng)對(duì)環(huán)境的適應(yīng)性增強(qiáng)。,缺點(diǎn)：,1,、,需要一定的軟件工具支持；,2,、,不適宜于大型復(fù)雜系統(tǒng)。,從,IS,審計(jì)師角度，應(yīng)重點(diǎn)把握：,1,、,系統(tǒng)對(duì)象的確定和描述環(huán)節(jié)，以及采取的控制措施；,2,、,對(duì)象之間的消息傳遞方式及控制機(jī)制；,3,、,訪問(wèn)系統(tǒng)資源的控制機(jī)制和安全機(jī)制；,4,、,網(wǎng)絡(luò)與分布設(shè)計(jì)。,五、基于組件的方法,該方法是,

8、OOM,的拓展，,用于,OOM,的實(shí)現(xiàn)環(huán)節(jié)，它通過(guò)預(yù)定義的接口,集成可執(zhí)行的軟件包，從而完成一定的功能任務(wù)。,基于組件的類(lèi)型主要有：,1,、,過(guò)程內(nèi)客戶(hù)端組件；（如瀏覽器）,2,、,獨(dú)立客戶(hù)端組件；（如,office,）,3,、,獨(dú)立服務(wù)器組件；（如,DCOM,、,RMI,）,4,、,過(guò)程內(nèi)服務(wù)器組件。（如,MTS,、,EJB,）,特點(diǎn)：,通過(guò)基于組件開(kāi)發(fā)技術(shù)，使不同程序?qū)ο竽軌蛳嗷ネㄐ?，集成使用?（中間件）,優(yōu)點(diǎn)：,1,、,減少開(kāi)發(fā)時(shí)間；,2,、,改善質(zhì)量；,3,、,能夠從商家買(mǎi)到可證實(shí)的、經(jīng)過(guò)測(cè)試的軟件；,4,、,允許開(kāi)發(fā)商更加關(guān)注業(yè)務(wù)功能；,5,、,加強(qiáng)模塊性；,6,、,提高重用性；,

9、7,、,減少開(kāi)發(fā)成本；,8,、,支持多用戶(hù)開(kāi)發(fā)環(huán)境；,9,、,允許在構(gòu)造和購(gòu)買(mǎi)的選擇之間進(jìn)行協(xié)調(diào)；,10,、,便于系統(tǒng)重構(gòu)。,缺點(diǎn)：,保持組件架構(gòu)穩(wěn)定性復(fù)雜以及由此帶來(lái)項(xiàng)目工期風(fēng)險(xiǎn),從,IS,審計(jì)師角度，應(yīng)重點(diǎn)把握：,1,、,系統(tǒng)需求的有效定義；,2,、,組件架構(gòu)和穩(wěn)定的風(fēng)險(xiǎn)評(píng)估分析；,3,、,組件開(kāi)發(fā)過(guò)程的管理控制；,4,、,組件的可靠性、安全性。,六、快速應(yīng)用開(kāi)發(fā)法（,RAD,）,RAD,是一種方法論，,通過(guò)一系列已經(jīng)證明的應(yīng)用開(kāi)發(fā)技術(shù)，采用清,楚定義的方法論，快速開(kāi)發(fā)具有戰(zhàn)略性的信息系統(tǒng)，減少開(kāi)發(fā)成本和提高,維護(hù)質(zhì)量。,這些技術(shù)包括使用：,小型、良好培訓(xùn)的開(kāi)發(fā)團(tuán)隊(duì)；,演化原型法；,集成工

10、具，支持模型、原型、組件重用；,中央庫(kù)存；,交互的需求和設(shè)計(jì)工作組；,嚴(yán)格的開(kāi)發(fā)時(shí)間限制。,特點(diǎn)：,支持單獨(dú)系統(tǒng)的開(kāi)發(fā)和實(shí)施，但不支持整個(gè)企業(yè)信息需求或者某個(gè)主,要業(yè)務(wù)領(lǐng)域的信息需求的規(guī)劃與分析；,通過(guò)對(duì)系統(tǒng)開(kāi)發(fā)設(shè)立嚴(yán)格的時(shí)間框架，采用重用組件，提供一種快速,開(kāi)發(fā)系統(tǒng)的思路。,從,IS,審計(jì)師角度，應(yīng)重點(diǎn)把握：,1,、,各過(guò)程階段的控制目標(biāo)；,2,、,業(yè)務(wù)需求的有效定義；,3,、,時(shí)間管理控制機(jī)制；,4,、,安裝階段的充分控制。,七、利用軟件包開(kāi)發(fā)方法,利用軟件包實(shí)現(xiàn)組織的信息系統(tǒng)已經(jīng)成為一種可行的開(kāi)發(fā)策略。,軟件包：,是預(yù)先編制好的、能完成一定功能的、供出售或出租的成套,軟件系統(tǒng)。,特點(diǎn)：,

11、軟件包已經(jīng)完成系統(tǒng)開(kāi)發(fā)過(guò)程，以此來(lái)開(kāi)發(fā)信息系統(tǒng)，能有效縮,短開(kāi)發(fā)時(shí)間，以及降低相關(guān)費(fèi)用。,優(yōu)點(diǎn)：,1,、,縮短開(kāi)發(fā)時(shí)間；,2,、,可以得到較好的維護(hù)；,3,、,能減輕組織內(nèi)部對(duì)系統(tǒng)開(kāi)發(fā)的阻力。,缺點(diǎn)：,1,、,功能較為簡(jiǎn)單；,2,、,難以滿(mǎn)足特殊需求；,3,、,實(shí)施費(fèi)用隨客戶(hù)化工作量增大而急劇上升。,從,IS,審計(jì)師角度，應(yīng)重點(diǎn)把握：,1,、,軟件包的功能；,2,、,軟件包提供的模型選擇；,3,、,軟件的客戶(hù)化能力及提供的接口；,4,、,成本費(fèi)用控制。,八、逆向工程法,軟件的逆向工程，,指分析已有的程序，尋求比源代碼更高級(jí)的抽象表,現(xiàn)形式。,逆向工程采取如下方式：,1,、,將對(duì)象和可執(zhí)行文件拆

12、編成源代碼，用它來(lái)分析程序；,2,、,采用逆向工程作為墨盒，采用測(cè)試數(shù)據(jù)揭示它的功能。,特點(diǎn)：,能夠?qū)崿F(xiàn)快速開(kāi)發(fā)并降低,SDLC,的時(shí)間,從,IS,審計(jì)師角度，應(yīng)重點(diǎn)把握：,1,、,軟件許可協(xié)議是否包括限制軟件逆向工程的聲明；,2,、,反編譯器的功能是否滿(mǎn)足逆向工程需要；,3,、,逆向工程過(guò)程控制；,4,、,成本費(fèi)用控制。,九、基于,Web,應(yīng)用開(kāi)發(fā)方法,基于,Web,應(yīng)用開(kāi)發(fā)方法,是利用,Web,服務(wù)應(yīng)用技術(shù)構(gòu)建企業(yè)的基于互聯(lián)網(wǎng),的分布式應(yīng)用系統(tǒng)的方法。,特點(diǎn)：,1,、,應(yīng)用的分布式；,2,、,應(yīng)用到應(yīng)用的交互性；,3,、,平臺(tái)無(wú)關(guān)性。,從,IS,審計(jì)師角度，應(yīng)重點(diǎn)把握：,1,、,系統(tǒng)可靠性

13、、安全性的控制措施；,2,、,系統(tǒng)安全技術(shù)的運(yùn)用；,3,、,系統(tǒng)的服務(wù)響應(yīng)。,第三節(jié) 信息系統(tǒng)開(kāi)發(fā)和實(shí)施過(guò)程審計(jì),信息系統(tǒng)開(kāi)發(fā)與實(shí)施過(guò)程審計(jì)貫穿于從可行性研究、需求分析、軟件,獲取、設(shè)計(jì)、編程、測(cè)試、實(shí)施的全過(guò)程。,一、,IS,審計(jì)師在系統(tǒng)開(kāi)發(fā)過(guò)程中的職責(zé)（任務(wù)）,1,、,贏得用戶(hù)信息系統(tǒng)專(zhuān)家的支持與合作；,2,、,審查用戶(hù)需求；,3,、,審查人工控制與應(yīng)用控制；,4,、,進(jìn)行方法與技術(shù)方面的評(píng)估；（適當(dāng)性、標(biāo)準(zhǔn)性）,5,、,審計(jì)是否應(yīng)用適當(dāng)項(xiàng)目管理工具；,6,、,判斷主要風(fēng)險(xiǎn)，選擇適當(dāng)控制方法；,7,、,與項(xiàng)目組人員交流，了解有關(guān)情況，提出相關(guān)建議；,8,、,采用審查文檔、觀察、走訪等對(duì)各階

14、段實(shí)施監(jiān)控；,9,、,審查開(kāi)發(fā)與實(shí)施的有關(guān)標(biāo)準(zhǔn)、規(guī)范及其過(guò)程執(zhí)行；,10,、,審查各階段有關(guān)團(tuán)隊(duì)、人員的項(xiàng)目執(zhí)行及完成情況，存在問(wèn)題；,11,、,審查各階段系統(tǒng)目標(biāo)的偏離，提出進(jìn)一步控制措施和意見(jiàn)；,12,、,在每個(gè)開(kāi)發(fā)階段，進(jìn)行設(shè)計(jì)走查并在每次走查之后提出書(shū)面建議；,13,、,在下一階段開(kāi)始前，保證建議被采納；,14,、,每個(gè)階段結(jié)束后進(jìn)行項(xiàng)目審查；,15,、,審查測(cè)試計(jì)劃；,16,、,評(píng)估實(shí)施準(zhǔn)備；,17,、,參與安裝后審計(jì)；,18,、,通過(guò)實(shí)施評(píng)估、測(cè)試等，分析判斷系統(tǒng)實(shí)施后控制的有效性、,完整性和安全性；,19,、,向管理層提交發(fā)現(xiàn)；,20,、,保持獨(dú)立性。,二、風(fēng)險(xiǎn)評(píng)估,在信息系統(tǒng)開(kāi)

15、發(fā)與實(shí)施過(guò)程審計(jì)中，,IS,審計(jì)師首先必須完成對(duì)開(kāi)發(fā),與實(shí)施過(guò)程的風(fēng)險(xiǎn)分析，以便確定審計(jì)重點(diǎn)。,信息系統(tǒng)開(kāi)發(fā)與實(shí)施過(guò)程的主要風(fēng)險(xiǎn)體現(xiàn)在：,1,、,系統(tǒng)開(kāi)發(fā)缺少戰(zhàn)略方向；,2,、,系統(tǒng)開(kāi)發(fā)缺少開(kāi)發(fā)標(biāo)準(zhǔn)；,3,、,缺少正規(guī)開(kāi)發(fā)目標(biāo)；,4,、,組織的環(huán)境差；,5,、,資源不可用；,6,、,項(xiàng)目復(fù)雜性；,7,、,沒(méi)有經(jīng)驗(yàn)的員工；,8,、,缺少終端用戶(hù)的參與；,9,、,缺少管理層的參與。,風(fēng)險(xiǎn)的級(jí)別根據(jù)應(yīng)用的復(fù)雜性、重要決策的依賴(lài)程度、應(yīng)用時(shí)間、使用,者的數(shù)量等因素綜合確定。,三、審計(jì)計(jì)劃,IS,審計(jì)師在了解相關(guān)情況的基礎(chǔ)上，首先要制定審計(jì)計(jì)劃,審計(jì)計(jì)劃包括：,長(zhǎng)期計(jì)劃、短期計(jì)劃,審計(jì)計(jì)劃的主要內(nèi)容包括

16、：,1,、,理解闡述系統(tǒng)目標(biāo)、過(guò)程、技術(shù)；,2,、,進(jìn)行風(fēng)險(xiǎn)分析；,3,、,進(jìn)行內(nèi)部控制審查；,4,、,確定審計(jì)的范圍和目標(biāo)；,5,、,審計(jì)的方法和策略。,四、審計(jì)實(shí)施,IS,審計(jì)師在審計(jì)計(jì)劃的基礎(chǔ)上，通過(guò)審查現(xiàn)有標(biāo)準(zhǔn)與流程，進(jìn)行控制,環(huán)境分析，評(píng)估標(biāo)準(zhǔn)與開(kāi)發(fā)實(shí)施過(guò)程的完整性及效率性，還要初步調(diào)查并,識(shí)別組織戰(zhàn)略以及管理與控制開(kāi)發(fā)的責(zé)任。,1,、可行性研究階段,該階段，,IS,審計(jì)師的主要任務(wù)包括：,（,1,）,審查該階段產(chǎn)生文檔的合理性；,（,2,）,判斷是否所有的成本效益都是真實(shí)的；,（,3,）,識(shí)別并判斷系統(tǒng)需求的必要程度；,（,4,）,判斷是否能通過(guò)現(xiàn)有的系統(tǒng)來(lái)解決。若不能，則評(píng)估替代方案,的合理性；,（,5,）,判斷所選解決方案的可行性。,通過(guò)參與可行性階段的審計(jì)，確保所開(kāi)發(fā)系統(tǒng)是可行的，且符合開(kāi)發(fā),條件要求。,2,、需求定義階段,該階段，,IS,審計(jì)師的主要任務(wù)包括：,（,1,）,獲取詳細(xì)的需求文檔，通過(guò)和相關(guān)用戶(hù)部門(mén)面談確認(rèn)其正確性；,（,2,）,確定項(xiàng)目組的關(guān)鍵成員是否能夠代表所有業(yè)務(wù)部門(mén)；,（,3,）,判斷項(xiàng)目的發(fā)起和成本是否都已經(jīng)得到適當(dāng)?shù)氖跈?quán)批準(zhǔn)；,（,4,）,審