“怪胎”如此形成

    山東省計算中心的羅永剛教授講到：“在國際上，IT審計這套體系已經(jīng)相當成熟，但從國內(nèi)來講，IT審計是一個新事物，相關體系還沒有建立，而現(xiàn)在國內(nèi)炒的比較熱乎的是IT監(jiān)理這個體系。在國際上，審計與咨詢和監(jiān)理地位平等，都是可以作為獨立的第三方按照項目的實施進程提供相應服務的，三者的關系并列，各負其責。咨詢主要是提供項目的整體規(guī)劃：監(jiān)理是為業(yè)主提供項目管理而IT審計主要是對系統(tǒng)運行階段的評估。”但對于中國的信息化建設現(xiàn)狀而言，羅永剛認為：“中國的信息化項目在實施過程中，并沒有遵循國際標準，而是保持了自己的特色。國內(nèi)的監(jiān)理公司一般都將咨詢和審計融為一體，在為業(yè)主提供服務的時候，或稱咨詢或稱審計。據(jù)悉，目前IT監(jiān)理公司承攬審計業(yè)務有兩種表現(xiàn)形式，一種是監(jiān)理公司為業(yè)主提供審計、監(jiān)理一條龍服務，監(jiān)理公司貫穿于這個項目的始終。一般在這種情況下，監(jiān)理公司提供的審計服務都是免費的，因為它的目的是通過為業(yè)主做免費審計服務，以便得到業(yè)主的認可，最終目標是獲得項目監(jiān)理費用。”

    對于另外一種形式，北京朋佳科技咨詢有限公司總經(jīng)理鐘民認為：“另外一種就是監(jiān)理公司可以脫離監(jiān)理業(yè)務，單純地為需要前期咨詢的業(yè)主提供審計服務，并可單獨收費。但是有一個前提很重要，即它必須有國際IT審計的相關認證。據(jù)了解，具備這樣資質(zhì)的監(jiān)理公司還為數(shù)不多。”

    據(jù)悉，很多企業(yè)對信息化的認識還停留在認為應用簡單OA系統(tǒng)的便是信息化的初級階段，因此，要求每一個業(yè)主都把咨詢、監(jiān)理、審計、評估等名詞搞清楚還是有很大難度的。鐘民指出，對于今天出現(xiàn)在監(jiān)理市場中的，監(jiān)理公司既做咨詢和審計又做監(jiān)理的現(xiàn)象，希望大家不要見怪不怪，要用辯證的眼光去看待他們，因為存在即是合理的。

    并非“不務正業(yè)”

    無論監(jiān)理公司提供免費審計還是計費審計，難免有人說是監(jiān)理公司是“不務正業(yè)”。鐘民強調(diào)：對于監(jiān)理公司的這種行為應該辯證地看，他說：“由于大型信息化工程投資金額大、建設周期長、系統(tǒng)運行風險不可預測等特點，導致業(yè)主在實施項目伊始就心驚膽戰(zhàn)，唯恐出現(xiàn)差錯。因而，尋求IT審計是信息系統(tǒng)的安全性、可靠性和有效性的有力保障。”

    國內(nèi)外IT審計發(fā)展對比表

    “有人說做IT審計，必須要由專業(yè)的IT審計公司來做，這樣才有保障。但是就目前的現(xiàn)狀而言，為業(yè)主提供審計服務的都是一些監(jiān)理公司，而有些監(jiān)理公司提供審計的并不是很專業(yè)，大多數(shù)是為了承攬監(jiān)理業(yè)務而免費提供的午餐，并不見得好吃，往往達不到業(yè)主希望的審計要求。”羅永剛發(fā)表了自己的看法。

    對于有需求做審計的業(yè)主來講，不管是免費的也好，收費的也罷，尋求到貨真價實的公司為其做審計才是關鍵。鐘民說“我們公司就是一家集監(jiān)理、審計于一身的企業(yè)。需要說明的是，我們是國際信息系統(tǒng)審計與控制協(xié)會（ISACA）會員，擁有為業(yè)主做審計的資質(zhì)，無論是免費還是收費，朋佳公司對所有業(yè)主一視同仁。”鐘民認為，雖然國際上的IT審計標準已經(jīng)很成熟，但是簡單的拿來主義并不一定適用。因此，朋佳公司結合國際標準創(chuàng)建了一套自己的審計體系，依照此體系先后為北京奧組委中級網(wǎng)站、北京市電子政務網(wǎng)上審批試點工程、北京市新聞出版局網(wǎng)絡及信息系統(tǒng)等工程提供審計服務。“北京市新聞出版局網(wǎng)絡及信息系統(tǒng)安全的IT審計項目是從2004年7月7日正式啟動，2004年7月31日結束。項目結束時朋佳公司向新聞出版局提交了《項目測評計劃書》、《安全測評報告》、《安全自定級報告》、《安全建議》等相關成果文檔。可見，我們公司的服務是專業(yè)的。”鐘民對記者如是說。

    不難看出，朋佳公司雖然是一家監(jiān)理公司，但是在IT審計方面也絕不遜色。事實表明，業(yè)主方絕不能對提供審計服務的監(jiān)理公司一概而論，要深入地分析該監(jiān)理公司是否具有一定的資質(zhì)？能否為業(yè)主提供貨真價實的服務？

    引入社會專業(yè)力量推廣

    羅永剛并沒有否認北京朋佳監(jiān)理公司在審計方面的突出成績，但是他認為：監(jiān)理公司在一個信息化項目中，既做教練員又做裁判員的做法的確是不符合標準的。難免會出現(xiàn)一些職責不清的問題。比如，監(jiān)理公司為業(yè)主做審計，也就是給自己監(jiān)理的項目做評估，能否做到真正的公正是個疑問。而對于那些系統(tǒng)真正運行幾年后才會看到效果的大型項目而言，監(jiān)理公司的審計就是天方夜譚了，因為監(jiān)理工作會隨著工程的完成而結束。因此，監(jiān)理公司無法真正起到為項目后期運行中的審計做出評估。其次，對于北京朋佳監(jiān)理公司這樣具有資質(zhì)做審計的公司來講，免費給企業(yè)做審計未免有些吃虧。做審計不是簡單的咨詢，在這個過程中要耗費大量的人力、物力，但結果往往是分文未取，或者取得的只是很少的一部分監(jiān)理費用。

    羅永剛坦言：就目前的形勢而言，在IT監(jiān)理與IT審計之間強硬地劃出一道分水嶺是不現(xiàn)實的。而引進國際IT審計標準又不適合中國市場，因此，建設一套有中國特點、特色的審計體系對信息化建設而言是很有必要的。

    鐘民也有相同的看法：“信息系統(tǒng)工程涉及投資者大量的資金投入，而其又存在著失敗率高、復雜度高、風險大等問題。現(xiàn)在很多政府部門甚至是開發(fā)商都在呼吁，希望有人能為其做一個評估，給大家一個界定和說法。另外從國際發(fā)展趨勢來看，未來的審計行業(yè)和審計技術的發(fā)展動力將主要來自于IT審計的發(fā)展。而依靠政府相關部門來推廣IT審計體系可能會心有余而力不從，因此，引入社會專業(yè)力量來推廣IT審計是個新思路、新亮點。別看我們公司的主體業(yè)務是監(jiān)理，但是在今后我個人更看重咨詢和審計，咨詢和審計肯定要出彩的。