某省“金保工程”信息系統(tǒng)審計(jì)案例 信息系統(tǒng)案例介紹

某省“金保工程〞信息系統(tǒng)審計(jì)審計(jì)署哈爾濱特派辦2021年12月信息系統(tǒng)案例介紹內(nèi)容簡(jiǎn)介一、工程摘要二、信息系統(tǒng)根本情況七、初步審計(jì)成果

八、工程的局限性四、信息系統(tǒng)審計(jì)總體目標(biāo)

三、信息系統(tǒng)控制情況

五、信息系統(tǒng)審計(jì)內(nèi)容和事項(xiàng)

六、信息系統(tǒng)審計(jì)過程和測(cè)試方法

聚焦“金保工程〞金保工程1一個(gè)工程

2兩大系統(tǒng)

3三級(jí)結(jié)構(gòu)4四項(xiàng)功能

1.工程摘要項(xiàng)目信息

名稱：某省“金保工程”信息系統(tǒng)審計(jì)；時(shí)間:2011年7-9月審計(jì)重點(diǎn)“金保工程”信息系統(tǒng)一般控制及社會(huì)保險(xiǎn)子系統(tǒng)應(yīng)用控制發(fā)現(xiàn)問題1.尚未建立健全信息系統(tǒng)制度建設(shè)，設(shè)備采購(gòu)管理亟待規(guī)范，信息系統(tǒng)安全投入不足，系統(tǒng)運(yùn)維外包存在潛在風(fēng)險(xiǎn)。2.數(shù)據(jù)備份、恢復(fù)及操作等方面管理機(jī)制不完善；機(jī)房缺少必要的安全設(shè)施，存在安全隱患。3.系統(tǒng)功能設(shè)置不完善，系統(tǒng)應(yīng)用缺乏有效控制，數(shù)據(jù)的完整性、準(zhǔn)確性和一致性等發(fā)面缺乏有效地校驗(yàn)機(jī)制控制。2.信息系統(tǒng)根本情況某省“金保工程〞系統(tǒng)平臺(tái)以省級(jí)大集中數(shù)據(jù)庫和統(tǒng)一應(yīng)用平臺(tái)為根底。負(fù)責(zé)管理和維護(hù)的信息系統(tǒng)共有99個(gè)。2.信息系統(tǒng)根本情況2.信息系統(tǒng)根本情況針對(duì)數(shù)據(jù)物理集中、業(yè)務(wù)處理實(shí)現(xiàn)高度信息化的特點(diǎn)，審計(jì)人員對(duì)某省“金保工程〞信息系統(tǒng)的部署及應(yīng)用進(jìn)行了調(diào)查，發(fā)現(xiàn)其在網(wǎng)絡(luò)部署及平安保護(hù)措施、業(yè)務(wù)流程控制、數(shù)據(jù)控制等方面存在一定風(fēng)險(xiǎn)。3.信息系統(tǒng)控制情況審計(jì)子類審計(jì)情況初步調(diào)查結(jié)論風(fēng)險(xiǎn)水平網(wǎng)絡(luò)部署及安全保護(hù)措施某省“金保工程”系統(tǒng)建立了專用網(wǎng)絡(luò)，通過專線與數(shù)據(jù)中心以及各分支機(jī)構(gòu)連接。繪制了網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，安裝了入侵檢測(cè)、漏洞掃描工具、防火墻以及熊貓網(wǎng)絡(luò)版殺毒軟件。制定了權(quán)限管理、用戶管理、安全管理等制度。中業(yè)務(wù)流程控制業(yè)務(wù)授權(quán)與審批較規(guī)范，數(shù)據(jù)處理邏輯基本合理，部分業(yè)務(wù)流程與有關(guān)規(guī)定不符。中數(shù)據(jù)控制主數(shù)據(jù)、業(yè)務(wù)參數(shù)和重要信息基本能夠滿足有效性、完整性和真實(shí)性的要求，部分?jǐn)?shù)據(jù)校驗(yàn)機(jī)制存在不足。中4.信息系統(tǒng)審計(jì)總計(jì)目標(biāo)5.審計(jì)重點(diǎn)內(nèi)容及審計(jì)事項(xiàng)序號(hào)審計(jì)內(nèi)容審計(jì)事項(xiàng)審計(jì)事項(xiàng)類別1信息系統(tǒng)組織控制情況制度建設(shè)一般控制2設(shè)備采購(gòu)管理一般控制3信息系統(tǒng)開發(fā)維護(hù)控制情況項(xiàng)目立項(xiàng)一般控制4系統(tǒng)運(yùn)行維護(hù)管理一般控制5信息系統(tǒng)安全控制情況情況系統(tǒng)安全投入一般控制6系統(tǒng)安全定級(jí)一般控制7系統(tǒng)操作管理控制情況數(shù)據(jù)資源管理一般控制8機(jī)房物理環(huán)境控制情況機(jī)房物理環(huán)境管理一般控制9信息系統(tǒng)效益情況系統(tǒng)應(yīng)用效益一般控制10信息系統(tǒng)流程和功能控制情況系統(tǒng)流程控制應(yīng)用控制11系統(tǒng)功能控制應(yīng)用控制12數(shù)據(jù)輸入控制情況主數(shù)據(jù)庫數(shù)據(jù)輸入控制應(yīng)用控制13數(shù)據(jù)處理控制情況主數(shù)據(jù)庫數(shù)據(jù)處理控制應(yīng)用控制6.審計(jì)過程和測(cè)試方法

6.審計(jì)過程和測(cè)試方法

3.審計(jì)結(jié)果截至2021年6月末，省人社廳及所屬信息中心僅建立了關(guān)于“金保工程〞資產(chǎn)管理和系統(tǒng)運(yùn)行維護(hù)方面的相關(guān)制度7項(xiàng)，尚未對(duì)工程管理和資金使用制定相應(yīng)的管理制度，“金保工程〞建設(shè)監(jiān)管存在“盲區(qū)〞。6.審計(jì)過程和測(cè)試方法上述做法不符合原勞動(dòng)保障部?關(guān)于進(jìn)一步加快實(shí)施金保工程的意見?〔勞社部函〔2004〕262號(hào)〕關(guān)于各地要建立工程管理、資金使用、資產(chǎn)管理、系統(tǒng)運(yùn)行維護(hù)等方面的規(guī)章制度，明確分工，落實(shí)責(zé)任，采用科學(xué)的管理方法和管理模式，切實(shí)加強(qiáng)對(duì)金保工程建設(shè)的管理、控制與監(jiān)督的規(guī)定。6.審計(jì)過程和測(cè)試方法

〔二〕一般控制審計(jì)—設(shè)備采購(gòu)審計(jì)1.具體審計(jì)目標(biāo)：調(diào)查建設(shè)、改造“金保工程〞系統(tǒng)時(shí)，采購(gòu)過程是否符合相關(guān)法律法規(guī)要求。2.審計(jì)測(cè)試過程查看工程建設(shè)和設(shè)備采購(gòu)資料，對(duì)“金保工程〞系統(tǒng)設(shè)備的采購(gòu)過程進(jìn)行檢查。3.審計(jì)結(jié)果某省“金保工程〞系統(tǒng)局部工程的采購(gòu)未形成書面方案，采購(gòu)過程權(quán)責(zé)劃分不明晰，招標(biāo)采購(gòu)經(jīng)常出現(xiàn)單一廠商投標(biāo)的現(xiàn)象。6.審計(jì)過程和測(cè)試方法

〔三〕一般控制審計(jì)—信息系統(tǒng)開發(fā)維護(hù)控制審計(jì)1.具體審計(jì)目標(biāo)：檢查被審計(jì)單位在系統(tǒng)建設(shè)中，各項(xiàng)要素是否齊備；系統(tǒng)開發(fā)過程中，對(duì)系統(tǒng)分析、系統(tǒng)設(shè)計(jì)和系統(tǒng)實(shí)施過程所進(jìn)行的控制措施情況，能否保證信息系統(tǒng)的質(zhì)量以及平安可靠性。2.審計(jì)測(cè)試過程〔1〕與被審單位的管理人員、業(yè)務(wù)人員、軟件開發(fā)人員座談進(jìn)行詢問，了解系統(tǒng)建設(shè)、開發(fā)和變更的流程控制情況和質(zhì)量控制情況?！?〕要求被審計(jì)單位提供可行性研究報(bào)告、工程建設(shè)意見書、工程立項(xiàng)申請(qǐng)書、工程開發(fā)方案、軟件需求規(guī)格說明書、數(shù)據(jù)需求規(guī)格說明書或數(shù)據(jù)表E-R關(guān)系圖、概要設(shè)計(jì)說明書或程序設(shè)計(jì)說明書、詳細(xì)設(shè)計(jì)說明書或模塊設(shè)計(jì)說明書、測(cè)試方案、測(cè)試分析報(bào)告、開發(fā)進(jìn)度月報(bào)、工程開發(fā)總結(jié)報(bào)告、維護(hù)修改日志或軟件開發(fā)變更說明、操作手冊(cè)或用戶使用手冊(cè)、系統(tǒng)運(yùn)行維護(hù)協(xié)議等。審計(jì)人員審閱所提交的系統(tǒng)文檔。6.審計(jì)過程和測(cè)試方法

6.審計(jì)過程和測(cè)試方法

6.審計(jì)過程和測(cè)試方法

6.審計(jì)過程和測(cè)試方法6.審計(jì)過程和測(cè)試方法

〔五〕一般控制審計(jì)—系統(tǒng)操作管理情況控制審計(jì)1.審計(jì)具體目標(biāo):檢查被審計(jì)單位是否建立了一套完善可行的信息系統(tǒng)操作管理制度，確認(rèn)信息系統(tǒng)的各類操作人員是否嚴(yán)格按照系統(tǒng)操作管理制度進(jìn)行系統(tǒng)的使用和操作。2.審計(jì)測(cè)試過程〔1〕要求被審計(jì)單位提供信息系統(tǒng)操作管理制度和操作手冊(cè)。審閱信息系統(tǒng)操作管理制度，分析其是否完善可行；審閱各種操作手冊(cè)；要求被審單位相關(guān)人員填寫數(shù)據(jù)資源管理控制調(diào)查表?！?〕檢查操作日志，并就出現(xiàn)的事件和采取的行動(dòng)詢問有關(guān)操作人員。〔3〕實(shí)地觀察信息中心的活動(dòng)，包括日常備份等；觀察業(yè)務(wù)人員實(shí)際使用系統(tǒng)進(jìn)行業(yè)務(wù)辦理的情況，是否符合操作制度。6.審計(jì)過程和測(cè)試方法

6.審計(jì)過程和測(cè)試方法

6.審計(jì)過程和測(cè)試方法

6.審計(jì)過程和測(cè)試方法

系統(tǒng)測(cè)試審計(jì)風(fēng)險(xiǎn)應(yīng)用控制審計(jì)6.審計(jì)過程和測(cè)試方法測(cè)試環(huán)境怎么辦？大集中系統(tǒng)不適宜搭建大型信息系統(tǒng)搭建測(cè)試環(huán)境本錢高調(diào)試時(shí)間長(zhǎng)6.審計(jì)過程和測(cè)試方法信息系統(tǒng)審計(jì)方式結(jié)合式獨(dú)立式特殊式倒推式用哪個(gè)？010203“倒推式〞主要是根據(jù)業(yè)務(wù)審計(jì)發(fā)現(xiàn)問題，倒推出系統(tǒng)缺陷。但這種“倒推式〞并沒有明確的信息系統(tǒng)審計(jì)目標(biāo)，因而具有一定偶然性?！暗雇剖建?，是指根據(jù)業(yè)務(wù)流程對(duì)信息系統(tǒng)控制點(diǎn)進(jìn)行分解，在確定關(guān)鍵控制環(huán)節(jié)的根底上，建立數(shù)據(jù)分析模型對(duì)控制點(diǎn)數(shù)據(jù)進(jìn)行分析，并根據(jù)數(shù)據(jù)分析發(fā)現(xiàn)的異常倒推出系統(tǒng)控制缺陷的信息系統(tǒng)審計(jì)方式。昨天明天

倒推式信息系統(tǒng)審計(jì)演變今天6.審計(jì)過程和測(cè)試方法“倒推式〞是指通過數(shù)據(jù)審計(jì)發(fā)現(xiàn)異常，倒推系統(tǒng)內(nèi)控或信息系統(tǒng)的毛病。數(shù)據(jù)審計(jì)、信息系統(tǒng)審計(jì)和系統(tǒng)內(nèi)控審計(jì)三位一體全結(jié)合6.審計(jì)過程和測(cè)試方法132根據(jù)業(yè)務(wù)流程，確定系統(tǒng)關(guān)鍵控制環(huán)節(jié)，并設(shè)計(jì)數(shù)據(jù)分析目標(biāo)圍繞數(shù)據(jù)分析目標(biāo)，建立數(shù)據(jù)分析模型進(jìn)行數(shù)據(jù)分析，發(fā)現(xiàn)數(shù)據(jù)存在的異?；騿栴}線索針對(duì)數(shù)據(jù)分析發(fā)現(xiàn)的問題，編寫審計(jì)需求單提交被審計(jì)單位確認(rèn)并自查原因；審計(jì)人員采取前后臺(tái)數(shù)據(jù)比照分析等方法進(jìn)行驗(yàn)證，從系統(tǒng)應(yīng)用控制層面查找原因，從流程、功能、輸入、處理控制等4個(gè)方面確認(rèn)系統(tǒng)存在的問題審計(jì)需求信息系統(tǒng)社保業(yè)務(wù)社保政策審計(jì)方法審計(jì)需求審計(jì)實(shí)踐分析提煉各地社保業(yè)務(wù)中的變與不變分析提煉各種信息系統(tǒng)中的變與不變分析提煉審計(jì)需求中的共性與個(gè)性6.審計(jì)過程和測(cè)試方法6.審計(jì)過程和測(cè)試方法〔八〕應(yīng)用控制審計(jì)—信息系統(tǒng)流程控制審計(jì)1.具體審計(jì)目標(biāo)：檢查“金保工程〞系統(tǒng)流程設(shè)置及控制情況，判斷系統(tǒng)流程控制是否與實(shí)際經(jīng)辦流程相符。2.審計(jì)測(cè)試過程：要求被審單位提供系統(tǒng)流程設(shè)置及控制情況相關(guān)資料，與業(yè)務(wù)經(jīng)辦機(jī)構(gòu)人員座談并進(jìn)行分析性復(fù)核測(cè)試。3.審計(jì)結(jié)果通過對(duì)“金保工程〞系統(tǒng)的數(shù)據(jù)結(jié)構(gòu)進(jìn)行剖析發(fā)現(xiàn)，系統(tǒng)中只設(shè)定了參保登記和應(yīng)繳申報(bào)的二級(jí)經(jīng)辦審核機(jī)制，無法實(shí)現(xiàn)國(guó)家規(guī)定的“經(jīng)辦—審核—復(fù)核〞的三級(jí)審核機(jī)制。6.審計(jì)過程和測(cè)試方法〔九〕應(yīng)用控制審計(jì)—信息系統(tǒng)功能控制審計(jì)1.具體審計(jì)目標(biāo)：檢查“金保工程〞系統(tǒng)功能設(shè)置及控制情況，判斷系統(tǒng)功能控制是否滿足實(shí)際經(jīng)辦的需要。2.審計(jì)測(cè)試過程：要求被審單位提供系統(tǒng)功能設(shè)置及控制情況相關(guān)資料，與業(yè)務(wù)經(jīng)辦機(jī)構(gòu)人員座談并進(jìn)行分析性復(fù)核測(cè)試。3.審計(jì)結(jié)果企業(yè)根本信息查詢模塊無法實(shí)現(xiàn)對(duì)統(tǒng)籌區(qū)參保企業(yè)欠費(fèi)情況的統(tǒng)計(jì)匯總，只能按屬期把欠費(fèi)企業(yè)的數(shù)據(jù)列出，不能實(shí)現(xiàn)對(duì)欠費(fèi)數(shù)據(jù)按單位匯總，各基層社保經(jīng)辦機(jī)構(gòu)無法應(yīng)用查詢功能來加強(qiáng)欠費(fèi)的催繳等管理工作。6.審計(jì)過程和測(cè)試方法〔十〕應(yīng)用控制審計(jì)—數(shù)據(jù)輸入控制審計(jì)1.具體審計(jì)目標(biāo)：通過對(duì)輸入數(shù)據(jù)控制功能的審計(jì)，檢查系統(tǒng)自身應(yīng)用控制是否存在漏洞和功能缺陷，評(píng)價(jià)信息系統(tǒng)的可靠性及效果。2.審計(jì)測(cè)試過程：審計(jì)組制定了較為詳盡的測(cè)試方案與細(xì)那么，對(duì)運(yùn)行環(huán)境中的程序模塊處理功能進(jìn)行數(shù)據(jù)檢測(cè)。發(fā)現(xiàn)輸入校驗(yàn)功能較弱，存在違規(guī)設(shè)置事項(xiàng)。測(cè)試數(shù)據(jù)項(xiàng)包括正常、有效的交易數(shù)據(jù)，不正常、無效的交易數(shù)據(jù)，破壞性數(shù)據(jù)，進(jìn)行多種額度及權(quán)限下的有關(guān)交易測(cè)試。最后，將程序運(yùn)行結(jié)果與預(yù)期結(jié)果進(jìn)行比對(duì)，判斷有關(guān)程序的控制與處理功能是否恰當(dāng)、有效。6.審計(jì)過程和測(cè)試方法步驟1通過現(xiàn)場(chǎng)面談?dòng)^察法，初步了解系統(tǒng)輸入控制情況步驟2審計(jì)人員設(shè)計(jì)一套特定的測(cè)試數(shù)據(jù)樣本，采用測(cè)試數(shù)據(jù)法，檢查錯(cuò)誤、重復(fù)的關(guān)鍵數(shù)據(jù)是否能夠被拒絕采用數(shù)據(jù)驗(yàn)證法，檢查數(shù)據(jù)之間邏輯關(guān)系。步驟36.審計(jì)過程和測(cè)試方法3.審計(jì)結(jié)果〔1〕對(duì)某些關(guān)鍵信息項(xiàng)未作完整性校驗(yàn)，導(dǎo)致信息不全。在“金保工程〞系統(tǒng)數(shù)據(jù)的單位根本信息中，全省49090個(gè)單位存在行業(yè)代碼為空、組織機(jī)構(gòu)代碼為空、單位工商登記發(fā)照日期為空、單位繳費(fèi)開戶根本賬號(hào)為空、參保單位名稱為空等現(xiàn)象；單位參保信息中，也存在單位參保狀態(tài)正常但參保日期為空的現(xiàn)象。〔2〕對(duì)主要信息項(xiàng)未做正確性、合理性檢驗(yàn)或校驗(yàn)機(jī)制不完善，導(dǎo)致局部數(shù)據(jù)錯(cuò)誤。在“金保工程〞系統(tǒng)數(shù)據(jù)的個(gè)人根本信息表中，性別為異常標(biāo)識(shí)〔正常為“1〞或“2〞〕的記錄有3876條；身份證號(hào)碼異常〔身份證字段長(zhǎng)度大于18或小于15或信息為空〕的記錄有968條。〔3〕對(duì)主要信息項(xiàng)未做重復(fù)性檢驗(yàn)，導(dǎo)致局部信息存在重復(fù)。在“金保工程〞系統(tǒng)數(shù)據(jù)的單位根本信息中，全省參保單位名稱重復(fù)但參保單位編號(hào)不一致的記錄為2530條；某市個(gè)人根本信息表中，身份證號(hào)重復(fù)的記錄為59774條，其中最多一個(gè)身份證號(hào)重復(fù)了14次。6.審計(jì)過程和測(cè)試方法上述做法不符合原勞動(dòng)保障部?關(guān)于進(jìn)一步加快實(shí)施金保工程的意見?關(guān)于要加強(qiáng)根底數(shù)據(jù)庫建設(shè)，切實(shí)做好根底數(shù)據(jù)的采集、整理和入庫工作，要按照部里的標(biāo)準(zhǔn)和要求，對(duì)根本工程不全、記錄不實(shí)的數(shù)據(jù)，抓緊補(bǔ)齊記實(shí)，同時(shí)要剔除冗余數(shù)據(jù)，更正錯(cuò)誤數(shù)據(jù)，清理垃圾數(shù)據(jù)，確保各項(xiàng)數(shù)據(jù)真實(shí)準(zhǔn)確的規(guī)定。6.審計(jì)過程和測(cè)試方法〔十一〕應(yīng)用控制審計(jì)—數(shù)據(jù)處理控制審計(jì)1.具體審計(jì)目標(biāo)：以構(gòu)建審計(jì)分析模型為出發(fā)點(diǎn)，通過采集審計(jì)分析模型需要的數(shù)據(jù)和對(duì)數(shù)據(jù)進(jìn)行處理分析，判斷和評(píng)價(jià)系統(tǒng)數(shù)據(jù)的真實(shí)性、合法性、完整性，通過數(shù)據(jù)審計(jì)發(fā)現(xiàn)的問題，提供給審計(jì)組成員進(jìn)行核實(shí)，提高工作效率，進(jìn)而反推信息系統(tǒng)缺陷。2.審計(jì)測(cè)試過程：分析該系統(tǒng)的數(shù)據(jù)字典，掌握保存程序運(yùn)行結(jié)果的庫表結(jié)構(gòu)與分布情況，采集了審計(jì)所需的數(shù)據(jù)庫文件，通過SQL等數(shù)據(jù)庫分析處理工具，對(duì)采集的數(shù)據(jù)文件進(jìn)行轉(zhuǎn)換，對(duì)照法律法規(guī)要求設(shè)定各種運(yùn)算條件，使用查詢、排序、計(jì)算、分析等SQL語句，分別構(gòu)建邏輯關(guān)系模型、審計(jì)經(jīng)驗(yàn)?zāi)Ｐ?，用于檢查，發(fā)現(xiàn)疑點(diǎn)。6.審計(jì)過程和測(cè)試方法〔1〕重復(fù)繳費(fèi)審計(jì)

2021年至2021年度，某省“金保工程〞系統(tǒng)中存在2058名身份證號(hào)相同但個(gè)人編號(hào)不同的人員繳費(fèi)記錄，繳費(fèi)記錄共計(jì)53980條。3.審計(jì)結(jié)果6.審計(jì)過程和測(cè)試方法6.審計(jì)過程和測(cè)試方法6.審計(jì)過程和測(cè)試方法6.審計(jì)過程和測(cè)試方法6.審計(jì)過程和測(cè)試方法6.審計(jì)過程和測(cè)試方法針對(duì)以上問題，建議如下：1完善“金保工程”系統(tǒng)管理制度建設(shè)，統(tǒng)籌考慮信息系統(tǒng)資金運(yùn)用。2加強(qiáng)“金保工程”系統(tǒng)規(guī)