软件外包IT审计主要内容与实施,审计论文

软件外包IT审计主要内容与实施,审计论文内容摘要：软件外包成为信息系统及集成开发的主要手段之一,其经过产生的风险已进入IT审计实践与研究的视野,本文对IT审计及软件外包开展IT审计进行了具体的阐述,分别讨论了施行形式、内容以及意义,旨在提高软件开发的质量,为外包软件的质量提供一个新的思路。本文关键词语：IT审计;软件外包;1.基本概念和背景外包指组织动态地配置本身和其他组织的功能和服务,进而使成本下降,提高运行效率,使本身的作用充分发挥出来,提高了核心竞争力,能够针对环境的变化进行改变的管理形式。随着全球化的深切进入,外包的管理形式在越来越多的领域开场应用。但是,应用最为广泛的还是软件外包。最早由印度发展而来的软件外包,指的就是将软件的生产到销售的华而不实一个环节,由第三方担任。软件外包形式,能够有效减少软件开发的时间,减少开发成本,是当前非常有效的一种手段,在很多软件公司中都有应用。软件外包的优势比拟多,但是很多组织应用外包的方式,不是单纯的减少开发成本,最终夺得目的是为了消除人力资源的制约,不需要招聘新的员工就能够开展大型项目。外包根据实际的内容,朱亚奥分为三种类型,分别是:软件产品开发外包、软件专业服务外包、IT关联服务外包。软件与普通的产品还有一定的差异,属于一种逻辑产品,特点就是高度弹性、不可测量性以及不可见性。所以,想要有效控制软件的外包风险质量存在很大的难度,不管属于哪一种外包方式,软件在外包的环节中,必然存在一定的风险。软件外包风险原因有很多影响因素,由于存在信息不对称大的情况,委托人处于非常不利的位置。软件发包方与软件承包方之间的关系比拟复杂,软件承包方对发包方的详细情况不是十分了解,对于信息无法及时把握。而软件发包方对软件的开发经过不清楚明晰,导致项目存在很大的风险。为了使软件外包风险得到有效防备,使外包项目质量得以提高,就需要在施行软件外包的时候,应用IT审计制度,开展全经过的跟踪审计。基于这一情况,本文就针对软件开发的外包形式进行研究,对应IT审计形式和审计内容展开多角度的阐述。2.软件外包IT审计IT审计就是信息系统审计,也称IT监查,是独立于信息系统本身、信息系统相关开发、使用人员的第三方-IT审计师采用客观的标准对信息系统的策划、开发、使用维护等相关活动和产物进行全方位的评估和检查,能够审计对象提出针对性的问题活动。在开发软件项目的时候,应用IT审计最终的目的,主要是为了对整个开发经过进行有效的控制。主要涵盖的内容有项目质量、项目进度以及项目成本,假如软件在开发的经过中出现问题,能够第一时间发现,进而采取针对性的措施进行处理,确保整个开发经过的高效性和透明性。对于软件外包施行IT审计,审计对象主要是外包软件,包括了发包、开发以及后期的运行维护整个流程。为了确保外包软件的质量,就需要应用IT审计制度,从软件发包开场,一直到设计后期的维护,对整个外包软件流程进行全经过监管。软件外包IT审计内容主要涵盖了下面几方面。2.1发包方审计。对发包方的项目管理机制能否完善进行审计,社差技术人员及技术实力,能否具有良好的品牌度和信誉度。并且,对于发包软件的产品需求要进行全方面的分析,具体进行记录。2.2承包方审计。主要是针对承包方能否具有发包方要求的设计技术及人才开展审计工作,检查软件开发的管理能否知足实际的使用要求。并且,在业界的信誉能否良好。2.3发包流程审计。该经过主要是检查审计的合作计划和经过,能否完好、具体,签订的合作协议能否规范。还有就是在开展软件开发的经过中,发包方能否根据要求进行跟踪,陈述承包方的工作流程、条件、条款。承包商能否介入技术沟通和评审,根据规范要求能否选择正式评审里程碑,对软件的完成结果进行评价。2.4管理、规划与组织审计。主要对软件的管理、计划与组织策略、程序、标准以及政策进行审计。采用的标准是以软件计划为准,对软件开发的经过进行跟踪,主要涵盖了软件开发设计、规划以及整个施行经过。比照CMM(CapabilityMaturityModel)和ISO9000标准,及时更正出现的一些问题,尽可能降低软件开发中出现的问题。审计发包方对文档化的规划需要进行验收,对承包商的能力进行评价。2.5操作实务审计。主要就是针对审计评价承包方,在施行和管理操作基础设施和技术上的效率及有效性,对软件目的的顺利实现给予充分支持。2.6资产保卫审计。主要就是评价审计信息技术基础、环境以及逻辑的安全性,保证发包方的信息资产安全得到保障,避免信息资产被恶意损坏、修改及上使用,进而造成宏大的损失。2.7灾难恢复。就是在审计出现灾祸的时候,能够确保发包方的业务顺利开展下去,并简历里完善的流程评价。2.8软件施行与维护审计。该经过主要是开展审计的方式,维护和施行应用软件的流程,对整个处理流程进行评估,保证组织的业务目的有完善的风险管理。现前阶段,对于IT项目的监控,最为常见的方式就是项目管理。无论是项目管理还是IT审计,都是由第三方监管软件的质量。但是,IT项目管理的目的是工程项目,只是针对软件开发环节,也就是针对质量、进度以及成本。而完成项目之后项目管理就彻底结束,在整个软件中占据一多半的生命周期,却没有施行维护监管工作。从实际运行上就能够发现,在开发软件的时候测试工作无法全部测试出来软件开发经过中存在的漏洞,而这些漏洞必然会对软件的安全运行造成非常大的影响。外包的软件由于承包方或是发包方的因素,软件中的漏洞可能比拟多,假如没有全程监控软件的运行情况,或是没有足够重视软件后期的维护,必然会加大软件外包的风险。而在开展软件外包的时候应用IT审计工作,不但能够全程跟踪软件的整个开发环节,而且还能够实时监控软件的运行维护环境,从根本上确保了软件外包的质量,尽可能降低了软件风险。印度的软件组织在国际上占据非常重要的地位,为了对一些发达国家的软件外包业务承接过来,花费了海量的资源,对于ISO9000认证和CMM认证非常重要。当前,我们国家的软件公司固然规模大部分比拟小,而且资金状况堪忧,对于CMM等认证费用物理承当。但是,软件外包这一宏大的利润也吸引了很多人的目光,为了得到外包项目,就能够在对软件项目承包的使时候应用IT审计制度。在开展IT审计的时候,充分利用CMM模型思想,通过专业的IT审计人员对外包项目进行规范,确保其开发、计划等整个施行的质量和进度,全程蒋后续的运行维护。关于软件外包管理方面存在的问题,已经在CMM第二级和CMM2中的KPA上有非常明确的规定,提出对软件开发子合同和业务进行有效组织。CMM模型对软件子合同管理目的进行了明确的规定,提出在落实的时候必需要到达一定的能力,并对合同管理活动进行了明确的定义。但是,CMM模型当中只是提出了要到达何种目的、怎样去做,但是没有详细的指导。基于这一情况,我们在开展软件外包的时候应用IT审计活动时,能够将CMM模型的实践经历体验借鉴过来,对CMM的软件合同管理充分结合起来,从管理着手,将其视为能将其他软件开发经过从公司内部部分延伸到公司外部的管理理念、规范、技术。软件发包方通过应用IT审计,就能够对整个业务分包的经过进行全程的管理和控制工作。3.施行软件外包IT审计3.1获取IT审计证据。软件外包IT审计证据主要大的获得方式为数据抽样、问卷调查以及查询文档。随着计算机技术的进步,信息系统也变得越来越复杂,这就导致系统输入、输出之间的关系越发薄弱,处理数据的痕迹非常少。所以,IT审计人员一定要对系统的功能模块有充分的了解,这样才能使数据资料的准确性得到保障,不但单纯依靠输入输出审计结果作为结论,需要开展全经过的跟踪审计工作。IT审计目的主要是为了使外包软件的有效性、可靠性以及安全性得到提升。审计人员在评价审计证据的时候,一定要对控制需求充分考虑,也就是对收集的审计证据能否知足控制目的进行全方位的评估。假如控制点不清,就要审计人员根据自个的实践经历体验进行准确的判定。实际在开展的时候,对系统控制的适当程度,主要是依靠控制矩阵进行衡量。其次,审计人员一定要对重叠性控制和补偿性控制考虑到位。补偿性控制就是指某系统机制的不断健全,能够补偿其他存在缺陷的控制机制。而重叠性控制指的是,某系统有两种完善的控制机制,所以,一定要加强重视控制的效果和相关性。但是,就算控制机制再完善,软件可以能会发生意外,这就需要审计人员对控制目的的相关性进行评估控制,确保测试程序顺利执行。通常情况下,IT审计人员首先要落实补偿性审计,在对控制缺陷进行上报。另外,IT审计人员还需要收集审计证据,对控制目的能否能够实现进行准确的判定。实际在开展审计工作的时候,IT审计人员经常使用的是信息系统效果评价模型和工程可靠性模型。3.2IT审计施行形式。首先,咨询式监理。咨询式监理就是只对用户方的问题进行解答,一般情况下,问题就组织信息化经过中会出现,就好比是方案咨询或是业务咨询。该方式最为显著的优势就是费用少,监理方的责任较轻,但对于用户方的要求比拟高,需要有较强的技术气力和准确把握信息化的能力。其次,里程碑式监理。该方式就是划分信息系统为不同的阶段,在每个阶段的尾部会设置里程碑。在到来的时候就会通知监理方进行测试。通常来讲,该方式相比拟咨询式建立要花费更多的资金,监理方也需要承当更多的责任。确定了里程碑之后需要乙方介入或是开发方的介入,不然就有可能由于里程碑确实立差异不同,出现相互扯皮的情况。3.3全程式监理。该方式相比拟前两种来讲愈加复杂,不仅需要审查里程碑,还需要布置专业的技术人员进行全经过的跟踪。对开发系统中产生的信息进行收集,对开发的效果和开发质量进行实时的评估。所以讲,该方式的费用是最高的,监理方也有全程监管的职责。一般情况下都是应用在技术气力较弱、对开发不是十分了解的用户方应用。上述的三种方式方法各有各的优势,也各有各的缺陷。相比拟项目监理来讲,IT审计存在很大的差异性,项目监理完成开发之后就完成了全部工作,但是IT审计在整个生命周期中都占据很重要的地位。所以讲,假如采用单独的咨询形式存在很大的弊端。而应用里程碑监理,能够对软件出现的错误及时发现处理,但由于软件产品的特殊性,只能对一两个里程碑进行测试及审查,对存在的漏洞无法及时发现,进而存在很大的风险。在开场施行IT审计工作的经过中,首先需要做的就是想审计负责人咨询相关的事物,由负责人布置专业小组到现场进行全经过的管理、控制以及监督。假如项目在开展经过中出现问题,第一时间提出改良意见。在开展审计工作的时候,由小组成员进行指导,及时汇报审计结果。4.总结综上所述,本文主要是针对软件项目中的外包进行了多角度的阐述,并对软件部分功能模块进行分析。由于开发软件具有非常突出的特性,比方:不容易测量结果、以为因素突出、柔性强以及风险大等等,导致在管理软件外包的时候存在很多的难题。这就需要对分包方的开发进度及质量加强控制的力度,通过不断的实践