電腦稽核，稽核電腦? --- 淺談IT Governance 內控內稽大揭密 2006/01/25 10:45

你以為電腦稽核的工作範圍及對象僅限於跟電腦相關而具備電腦專業背景也就成為執行電腦稽核工作的必要條件嗎？ 事實可不是這樣的喔！ 且聽我細細道來........

在談有關電腦稽核相關的話題之前，先說說我和電腦的淵源吧，那可真是頗為離奇的。記得在考上合作經濟系之前只曉得合作的口號是「我為人人，人人為我」，至於合作經濟是啥，可就一點概念也沒有！ 進去之後，儘管師長們如何地「賣瓜的說瓜甜」，甚至搬出憲法中的「合作事業應受政府之獎勵與扶助」的大旗，可是大夥兒都知道將來要靠本科系謀個前途可說是困難重重。 所以一上到大二，個個都在努力尋求別的出路，膽識夠大的寧可插班降轉其他學校的熱門科系；個性保守的就開始準備高普考，指望能在公家機關終老；界於這二者之間的騎牆派就採取「騎驢找馬」的策略，一邊應付本科的課業，一邊多學一些其他的本事，例如輔系、教育學分等。 當時有些同學就跑去學資料處理及分析，我隱約知道那是跟所謂的「電腦」有關的，但心想咱們學校理連電腦的影子都沒有，學那書面上的東西能有啥用？所以我只顧得像海綿一般盡情地去上所有感興趣的課程，而與電腦擦身而過。 好在有貴人相助，一位學長殷勤地來提醒（其實他是志在追求坐我旁邊的女同學罷了），說我們學校就要成立電腦中心了，大三時可記得一定要去修一些電腦相關的學分。那知這一番話倒為我開啟了一扇截然不同的路，決定了我往後近二十年的職場生涯。

在近二十年的電腦專業生涯中，從最基層的系統操作員、程式撰寫員，進而成為系統分析師、主任系統工程師，乃至於凡是與「電」字牽上關係的大小事都得管的電腦部主管。其間見識了電腦科技的日新月益，也看到了當時世界第二大電腦品牌UNIVAC的沒落、辦公室系統霸主WANG的竄起及墬落，更看到一些原是當紅炸子雞的專業人士，因為市場改變太快而落得成為「失去戰場的將軍」。 在參加了「資訊主管的前程規劃研討會」之後，更驚覺到再不另謀第二專長的話可是會死人的，就在眾裡尋他千百回後，終於讓我相中了電腦稽核這個行業。理由是當今各行各業為求生存發展，無不利用電腦來處理業務資料以達到快速反應的要求，然而在稽核這個領域裡的前輩們似乎還沒準備好，電腦稽核這個工作「理應」要由具備電腦專業背景的人士來擔綱。 然而在進入稽核這個行業後，隨著經驗的累積及內控內稽理論的紮實，讓我有了截然不同的看法。

談到電腦稽核(EDP Audit, IT Audit or IS Audit)，大部分的人一定跟我剛加入「電腦稽核協會」時一樣，以為電腦稽核的工作範圍及對象都限於跟電腦有密切關係的，而具備電腦專業背景也就成為執行電腦稽核工作的必要條件。 然而由於電腦科技的發展太快，現在電腦稽核的範圍可以大略地區分成三大塊：一般控制(General EDP Control)、應用控制(Application Control) 以及特定系統控制(Specific Technical Control)。 先來談一般控制，這有一點類似於內控模式(COSO Model)中的控制環境(Control Environment)的味道，主要是確保企業在採行電腦作業上，是否有明確的政策(Policy)、恰當的組織及分工，並依據政策落實各項的作業程序(Procedures)。以下所列是必須納入考量的主要控制：

<1>. 邏輯性安全(Logical security)–範圍包括程式、人員、資料及系統軟體。

控制的考量在於處理資料的程式必須確保資料處理的過程是可靠的，且只有經適當分工授權的人才可以使用這程式。而資料必須經由適當的程式來處理及修改。至於系統軟體的使用則必須先經過授權及測試，而使用的紀錄必須書面化。

<2>. 變動管理(Change management) – 所有新增及修改的程式使用前則必須先經過授權及測試，且必須有書面化的紀錄。

<3>. 緊急應變計劃(Contingency planning) – 應具有適當的方案以確保電腦作業不中斷。

<4>. 實體性安全(Physical security) – 電腦作業所在場所應具備適當的防盜、防火、防水、防震等相關措施及設備，以確保電腦作業不中斷。

<5>. 配置管理(Configuration management) – 電腦相關配置的項目及容量大小應符合業務上之需求。

<6>. 作業及問題管理(Operations and problem management) – 電腦作業的完整性及正確性應以標準作業程序來規範及達成。

<7>. 帳務處理(Accounting) – 電腦作業的費用應由使用單位依實際使用情況來分擔。

綜觀上述可發現所謂的一般控制，其實與內控的原則並沒有甚麼不同，也不是非得要電腦專業人士才能勝任，反倒是若電腦專業人士並不具備內控的訓練，同樣也是無法勝任這項稽核的工作。根據我的經驗，一般營運稽核人員在執行電腦一般控制的稽核時所遭遇的問題，主要在於對電腦專業的術語無法適切地運用，因此會產生與受稽的電腦人員「說不是一國的語言」，而得不到電腦人員的信服。在此要鼓勵營運稽核人員平時應多在一般的電腦相關的知識上涉獵，以拉近與電腦人員在溝通上的落差。而電腦專業人士則不能以技術自滿，而應從管理層面的角度出發，充實在內控方面的不足，免得在執行電腦稽核時發生「見樹不見林」的缺憾。

接下來談應用控制，簡單地說應用控制就是在將原先的人工作業流程轉為電腦作業流程時必須存在的控制。因此廣義來說，應用控制除了電腦應用系統中已建置的控制(Application System Control)之外，還包括未納入電腦應用系統而必須透過人工作業流程來補足的控制(Compensation Control or User Control). 通常應用控制包括如下：

<1>. 擷取控制(Access controls) – 使用者對系統的擷取能力應符合組織的需要及分工的原則。

<2>. 資料驗證(Validation checks) – 包括系統內及人工的資料驗證，例如授信資料。

<3>. 資料輸入點應與以列管。

<4>. 被系統拒絕之資料的後續處理及紀錄。

<5>. 電腦處理的流程須符合作業要求，例如採購作業流程中的三方勾稽(3 way matching)。

<6>. 交易資料須依正確的順序登錄。

<7>. 不論是總帳或明細帳，期初餘額加上期間的交易資料應產出與期末餘額相同的數字。

<8>. 系統應提供處理異常報表，並應明定後續處理的權責。

<9>.敏感性資料之處理應有明確之授權，例如特別折扣、帳務沖銷等。

<10>.實際收發的處所應列管，包括資訊及實體財貨。

<11>. 交易資料的取消及沖銷應有適當授權，並應能與系統產生之交易資料與以區隔。

<12>. 主檔資料之維護，例如客戶主檔、產品主檔、供應商主檔以及總帳科目等。

<13>.物料表(Bill of Materials) 之完整與正確。

<14>.各相關模組應能與會計總帳相勾稽。

<15>. 期末(月底及年底)處理程序。

<16>.稽核軌跡(Audit trail)或歷史紀錄應予保存備查。

<17>.若與客戶或供應商之電腦系統透過連線交換資料，通訊安全應加管控。

<18>.所有系統產生之報表及其分發應予列管。

如上所述，應用控制就是我們在採用電腦應用系統時必須考慮的控制，控制的範圍及內容都與業務流程息息相關，因此一般營運稽核人員在執行應用控制的稽核時就比較能充分發揮，唯一的差別在於所留意的控制可能已建置於系統中，只需要求受稽單位人員實地操作系統，再逐步驗証即可。反而是電腦專業人士若無相關業務知識，恐怕難以下手執行應用控制的稽核。談到這兒恐怕有些電腦專業人士要抗議「照你這麼說電腦專業豈不是無用武之地了！」，看官稍安勿躁，我之前不是提過還有一項特定系統控制嗎？這可是非電腦專業人士莫辦的嘍！

由於網路科技及通訊科技的突飛猛進，不但讓我們可以更方便地利用電腦來擷取資料、處理資料，同時也將我們暴露於一個前所未有的危險時代，凡是看過「全民公敵」和「網路上身」這兩部影片的人應該都有同感。而當公司的業務幾乎全仰賴電腦及通訊網路時，相關的安全考量就變得非常重要了。但是安全性往往和方便性以及效率是互斥的，如何取得平衡就非得要對相關電腦系統的硬體配備及作業系統(Operating System)、網路通訊協定等具有深厚紮實的技術能力不可，而這種能力別說一般營運稽核人員聞所未聞，恐怕也只有少數特定的電腦專業人士足堪大任。因為要能勝任這項工作必須熟稔各種主要的作業系統(如UNIX,Windows,Solaris,Netware,Linux,etc.)及通訊系統協訂(如TCP/IP, PSDN, SDLC, ASM, etc.)，或者說根本就得具備駭客(Hacker)的本事，才能執行侵入測試(Intrusive Test)以發現系統管理上的漏洞，提出改善的建議，再配合業務上的風險評估，取得風險管控及使用效能上的平衡。這項稽核工作往往是在評估有實際需求時，才外包委由國際駭客級的大師來執行，當然是所需費用不扉的，有志之士應本著「大丈夫亦若是」的精神起而效尤！

談到電腦稽核就不得不提起ISACA(Information System Audit and Control Association)，這是一個國際性的組織，它除了以舉辦國際電腦稽核師CISA(Certified Information System Auditor)來促進大家對於電腦系統相關的管控及稽核之認識，它還成立了一個基金會ISACF(Information System and Audit and Control Foundation)專責於相關理論及實務的研究與發表，其中最具代表性的產品就是COBIT(Control Objectives for Information and related Technology),最早的第一版COBIT是由ISACF於1996年公佈，第二版則是於1998年發表。現行的第三版則是在2000年改由IT Governance Institute來發行。這個組織是由ISACA於1998年所創立，主要的目的在促進對資訊科技治理(Information Technology Governance)的了解及引進。至於原因嘛，因為目前世上有兩種截然不同的控制模式，一種是所謂的內部控制模式，以COSO為代表，另一種則是電腦控制模式，以DTI為代表，而COBIT的目標放在補足這兩者之間的斷層。COBIT的自我定位是要對經營階層顯而易懂，同時在資訊系統的管理上採取比純技術水準還要高的標準，簡言之，COBIT 就是要成為資訊科技治理的模式！

COBIT的基礎架構(也就是所謂的黃金定律Golden Rule)是：為了要提供組織達成其目標所需的資訊，資訊科技相關的資源須依據其自然組成的流程予以管理。這可以用下面的簡單圖示來表現：

在上面的圖示中，所謂的業務需求(也就是對資訊的需求)被歸納為七種如下：

<1>. 效能(Effectiveness) - 資訊必須是與業務流程有相關性的，資訊的提供必須是即時的、正確的、前後一致的、並且是可用的。

<2>. 效率(Efficiency) - 資訊的提供必須是經過最佳化的資源使用。

<3>. 保密(Confidentiality) – 敏感性的資訊必須妥善保護以避免未經授權的洩露。

<4>. 完整(Integrity) - 資訊必須是完整與正確且符合業務的價值及期望。

<5>. 持續(Availability) - 資訊的提供必須是持續的，不論現在或未來，所需的資源及其容量必須確保。

<6>. 遵行(Compliance) - 資訊的提供必須遵守法律、規範、及合約上的規定。

<7>. 可靠(Reliability) – 提供的管理資訊及財務報表必須是可靠。

至於所謂資訊科技相關的資源則包括：

<1>. 資料(Data) – 廣義的內外部資料，不論是否具有格式，也可以是圖示、聲音、等。

<2>. 應用系統(Application Systems) – 包括人工及程式化的程序的總合。

<3>. 科技(Technology) - 包括硬體、作業系統、資料庫系統、網路系統、多媒體等。

<4>. 設施(Facilities) –泛指所有用來支援資訊系統的所有資源。

<5>. 人員(People) - 包括技能、認知以及規劃、組織、獲取、提供、支援、監控資訊系統及服務的能力。

而資訊科技的自然組成的流程則是相關活動的群組關係，圖示如下：

COBIT的控制需求是依前面所述的區塊來定義，總共有四大區塊如下：

<1>. 規劃及組織(Planning & Organisation, PO)

<2>. 獲取及運用(Acquisition & Implementation, AI)

<3>. 交付及支援(Delivery & Support, DS)

<4>. 監控(Monitoring, MO)

根據COBIT的基礎架構，衍生出COBIT的資訊科技治理模式如下：

有鑑於資訊科技已成為企業的最主要的業務之一，所涵蓋的範圍及決策的層次已由過去的資訊管理部門，提升至企業的決策核心。因此相關的議題已非所謂的電腦稽核或電腦控制所能界定的。這樣的發展就有如之前的內控要求已提升為公司治理層次，如今電腦稽核已然在往資訊科技治理的層次推進，你感到惶恐不安嗎？安啦！電腦稽核協會(也許該改成資訊科技治理協會吧？)已經完成COBIT中文版的翻譯工作，有志者人手一本，必能對資訊科技治理的理論基礎及其發展有充分的認識，進可向公司經營階層引介資訊科技的策略性思考，退可與資訊部門主管研討前瞻性的資訊系統管理。如此一來，不論你是電腦專業人士與否，在這個新的領域裡，你已領先了一步！

3