基于生命周期會計信息系統安全風險評估與防范

山東工商學院會計學院 谷增軍

會計信息系統是由計算機硬件、軟件、數據、會計人員和會計信息系統的運行規程構成的，利用信息技術對會計數據進行采集、存儲和處理，完成會計核算任務，并提供會計管理、分析、決策所需的輔助信息的系統。像其它事物一樣，會計信息系統也有生命周期，該周期由以下階段組成：（1）系統規劃階段：本階段通過初步調查，明確需要解決的問題，研究建立新系統的必要性和可能性，若認為項目可行，則提出新系統開發的基本設想，制定開發計劃。（2）需求分析階段：本階段的任務是在對現有系統詳細調查和全面分析的基礎上，繪制業務流程，找出需要完善的環節，提出修改方案并設計出新系統的邏輯模型。（3）系統設計階段：本階段的任務是設計實現邏輯模型的技術方案，包括系統總體結構、界面設計、程序設計、安全設計等。（4）系統實施階段：本階段的任務是編寫軟件代碼、購置硬件設備、培訓企業員工等。（5）系統運行與維護階段：本階段的工作主要是在系統運行過程中進行護，保證系統正常運行，從而延長系統使用壽命，主要包括程序、數據文件、機器設備等方面的維護。（6）系統廢棄階段：在系統被轉移、終止或廢棄時，應確保重要數據、信息能安全的轉移到其它介質或系統中，同時用科學的方法安全清除無用的信息，對設備的處理也應符合國家相關部門的要求。

一、會計信息系統生命周期分階段風險分析

（一）規劃階段面臨的風險 具體包括：（1）規劃風險。在系統規劃階段，要結合企業發展戰略和業務目標，要解決好是否建立新系統、建立何種規模的系統、要解決什么問題、達到哪些目標，系統軟硬件的總體配置方案如何等問題，做好合理規劃，科學論證，避免論證不充分帶來的風險。（2）人力資源風險。信息系統建設可以說是“一把手工程”，系統建設過程中如果得不到領導層的支持則面臨項目擱淺的風險。（3）開發方式與項目代理方選擇的風險。在進行初步調研和可行性研究后，如果確定進行系統開發，則會面臨選擇何種開發方式、選擇什么樣的項目代理方等風險。（4）外界環境風險。外界環境對信息系統的建設有重要影響，當政治、經濟、社會等外部環境發生變化時，信息系統的規劃勢必要發生改變，不僅影響系統建設進度，也有可能導致信息系統無法按計劃完工。

（二）需求分析階段面臨的風險 具體包括：（1）項目組織管理風險。眾所周知，系統開發需要建立高效的開發團隊，吸納各方面技術人才，也需要企業各部門員工的積極參與，各部門員工作為一個整體發揮不同的作用，只有選擇好、組織好、管理好團隊成員，建立科學的激勵機制，調動員工的積極性和創造性，才能減少因項目組織管理不善給系統開發進度和最終效果帶來的風險。（2）用戶需求分析的風險。為保證系統開發的針對性和有效性，需求分析需要詳細列出用戶需求，包括功能、性能、安全性、便捷性等方面的要求，但是實際上用戶的需求很難百分百地傳達給項目組，或者開發人員對用戶的需求理解存在偏差，都會給系統開發帶來不利影響，影響系統開發質量。（3）開發文檔規范化、標準化的風險。在系統開發的每個階段，要按國際標準形成規范化和標準化的開發文檔，一方面便于項目組成員溝通和交流，保證各階段工作的連貫性，另一方面便于系統開發完畢后維護，有據可查，從而提高項目成果質量和用戶滿意度。因此，開發文檔是否規范也會影響到系統開發質量。（4）業務流程重組風險。在信息系統開發過程中，不能照搬以前的流程，需要進行業務流程重組，這樣才能充分發揮信息系統的優勢。

（三）設計階段面臨的風險 具體包括：（1）技術風險。隨著計算機技術、信息技術的不斷發展變革，會計信息系統的建設規模也日益龐大，技術難度越來越高，勢必帶來技術風險。因此，應從企業長遠戰略出發，選用適合的信息架構與技術方案，同時要考慮與其它系統的集成，滿足企業現實及未來一定時期的需求。（2）設計風險。系統設計包括總體設計和詳細設計兩部分，總體設計算機配置設計（選擇機型與確定系統的硬件結構）系統的模塊結構進行設計；而詳細設計是系統功能、結構實現方法的設計，是程序設計的依據。由于系統設計是一個復雜的過程，也勢必面臨眾多風險，如控制功能是否嵌套到程序中、控制功能是否合理、權限控制設計是否合理等問題。（3）設計方案審核風險。系統設計階段主要是解決“如何做”的問題，建立系統的物理模型，最終形成設計說明書，并要經過相關專家進行評審。在評審過程中要查驗系統設計的合理性、業務流程變革的科學性、控制功能的完善性等系統性能，檢查系統設計與需求分析相符，確認方案修改后得到審批，從而避免系統設計方案審核不嚴帶來的風險。

（四）實施階段面臨的風險 具體包括：（1）程序開發風險。程序開發風險主要包括進度控制風險及質量控制風險。一方面，程序員花大量時間用于編寫程序代碼上，如果不嚴格按照預先計劃的時間進度安排開展工作，可能導致系統不能按時完成的風險。另一方面，為了便于程序的修改和維護，在程序編寫過程中應利用科學的開發方法，充分考慮到環境、技術、用戶需求等因素的變化，防止方法使用不當給系統帶來的風險。（2）采購風險。采購風險是指在購買相關的軟件和硬件過程中有可能購買到假冒偽劣產品的風險，從而引發系統的安全性、穩定性等問題。（3）測試驗收風險。系統測試主要包括功能測試和性能測試兩方面的內容，按照測試的目的與特點可以采取多種測試方法。無論進行哪一種測試都需要制定詳盡的測算計劃和準備足量的數據樣本，測試過程中需要不斷的調試，減少系統錯誤不能被發現并及時糾正的風險。（4）新舊系統轉換風險。當新的信息系統正式投入運行后，員工要正確掌握系統的使用方法并面臨適應新系統的過程，新舊系統也有一個融合的過程。通常情況下，新老系統都會并行一段時間，在最終的轉換過程中，可能會出現像數據遷移錯誤、遷移數據不完整和不準確等不利情況，將會嚴重影響到系統的正常運行。

（五）運行維護階段面臨的風險 具體包括：（1）信息安全風險。信息系統在運行過程中，由于物理環境、網絡環境以及保密手段存在或多或少的不安全因素，會給數據的準確性、安全性、保密性帶來挑戰，從而引發信息安全風險。（2）人員短缺風險。系統維護人員是企業不可或缺的角色，需要經過系統培訓及相關工作經驗，如果系統維護員離職或其它原因不能從事系統維護工作，會給系統帶來一定的風險，從而影響系統的正常運行。（3）崗位分工風險。根據內部的要求，系統中不相容崗位應當相互分離，做到責任明確，相互制約，相互監督。因此，在企業信息系統實施過程中，應避免不合理分工造成的效率低下、責任不清的風險。（4）災難恢復風險。面對自然或人為災害，企業應建立完善的災難恢復計劃，對災難性風險做出評估、防范，減少災難帶來的損失，確保系統出現故障時系統的運行和業務的正常運轉。

（六）更新淘汰階段面臨的風險 當信息系統不能滿足企業實際需求時，信息系統進入更新淘汰階段。本階段需要關注的是硬件、軟件、數據信息、系統組件等是否得到了妥善處置，應確保重要數據、信息能安全的轉移到其它介質或系統中，再者應規范流程，確保更新過程的安全。

二、會計信息系統生命周期各階段風險評估

在會計信息系統生命周期的各階段，都要對風險進行評估，采取自我評估為主和檢查評估等多種方式，各個評估方式應相互結合、互為補充。

（一）規劃階段風險評估 規劃階段風險評估要從企業戰略需求出發，確定系統的安全需求。本階段的評估應該能夠描述系統建成后對現有業務模式、技術、管理等方面的影響，并以此確定系統建設應實現的安全目標。在信息系統整體規劃或項目建議書中應包含本階段的風險評估結果。

（二）需求分析階段風險評估 需求分析階段風險評估的目的是保證所開發的系統能夠滿足用戶需求這一目標。為了提高所開發系統的質量，必須建立相應的溝通和評估機制，保證各項制度、流程和標準都能得到很好的落實。

（三）設計階段風險評估 本階段需要根據項目建議書中系統的運行環境、安全性、性能等要求，對系統建設方案中存在的風險給予評價，找出方案中可能存在的風險，判斷信息技術方案的可靠性、可行性，確保后續工作的順利開展。

（四）實施階段風險評估 在系統實施階段，應按照系統安全設計來識別系統實施過程的風險，確保設計階段制定的安全措施能夠落實，通過對系統的安全性測試、分析來加強質量控制。

（五）運行維護階段風險評估 為了了解和控制運行過程中的安全風險，需要在系統運行維護階段定期對信息系統、資產、威脅、脆弱性等方面進行風險評估，從而確保系統安全穩定運行。

（六）更新淘汰階段風險評估 在系統更新淘汰階段，維護技術人員和管理人員需要對廢棄資產對企業的影響進行評估，根據評估結果采取不同的處理方式。同時，還要積極應對由于系統更新改造可能帶來的新風險，加強管理，做好風險防范預案。

三、基于生命周期的會計信息系統安全風險防控措施

風險存在于會計信息系統生命周期的各個階段，因此必須采取不同的有效措施來防控風險，確保系統的研發、運行、維護階段的安全。

（一）規劃階段 會計信息系統的開發，需要開發者和用戶的共同參與，本階段系統分析師、系統工程師、程序設計人員和用戶組建研發團隊，對現行系統進行調查，確定新系統需要解決的問題、增加的功能及達到的目標，從技術、經濟和管理等方面進行必要性和可行性研究，形成可行性項目建議書，最大程度地降低項目風險。

（二）需求分析階段 本階段需要對現有系統業務流程與需求進行詳細調查，完全搞清楚現用系統的情況以及用戶對新系統的種種需求，并用規范的工具表達出來，建立起新系統的邏輯模型。因此，理解（對現有系統的了解）和表達（用規范工具構建系統邏輯模型）是本階段的主要工作，理解是前提，表達是目的，并最終形成需求分析說明書。

（三）設計階段 本階段應根據系統邏輯模型，結合會計業務特點和信息技術，進行一系列技術考慮和設計，優化流程，完善控制點，利用信息技術優勢得到能在計算機上實現系統目標的實施方案，建立新系統的物理模型。同時，應加強控制功能的設計，解決實現手工處理環境下難以解決的問題，增強系統預防、發現和糾正錯誤和舞弊的功能。

（四）實施階段 在系統實施過程中，企業應采用招標形式采購硬件設備，規范采購流程，規避采購風險，同時制定詳盡的測試計劃，加大對員工的培訓工作，使員工掌握正確的系統使用方法。同時制定有效的系統試運行方案和數據遷移方案，保證新舊系統數據的一致性。

（五）運行維護階段 在該階段，企業嚴格用戶權限管理，做到不相容崗位相互分離、制約和監督，同時應當建立并執行系統數據定期備份制度以及問題管理制度，加強信息保密工作，制定信息系統災難恢復計劃并進行演練，確保系統安全運行。

（六）更新淘汰階段 由于不能滿足企業需要，系統進行更新淘汰時，重點應關注系統內數據處理的安全性問題，做好數據備份、暫存和轉移工作，加強對報廢資產、系統組件的管理，加強監督，防止數據丟失和認為破壞。

會計信息系統給企業帶來巨大經濟效益的同時，也經常會受到來自系統本身、外部環境以及人和自然界的安全威脅，只要能夠在系統建設、實施中規范運作方式，對生命周期各階段進行“全過程”風險分析、評估和防范，預防為主，因地制宜，確定關鍵控制點，就可以有效規避各種風險。

［1］吳炎太、林斌：《基于生命周期的信息系統內部控制風險管理研究》，《審計研究》2009年第6期。

［2］谷增軍：《基于模糊綜合評判的會計信息系統安全風險評估模型及應用》，《財會通訊》（綜合·上）2010年第8期。

［3］曹文正：《基于生命周期的企業信息系統風險防范研究》，《科技創業月刊》2010年第12期。

［4］王振武：《會計信息系統》，東北財經大學出版社2006年版。