基于生命周期会计信息系统安全风险评估与防范

山东工商学院会计学院 谷增军

会计信息系统是由计算机硬件、软件、数据、会计人员和会计信息系统的运行规程构成的，利用信息技术对会计数据进行采集、存储和处理，完成会计核算任务，并提供会计管理、分析、决策所需的辅助信息的系统。像其它事物一样，会计信息系统也有生命周期，该周期由以下阶段组成：（1）系统规划阶段：本阶段通过初步调查，明确需要解决的问题，研究建立新系统的必要性和可能性，若认为项目可行，则提出新系统开发的基本设想，制定开发计划。（2）需求分析阶段：本阶段的任务是在对现有系统详细调查和全面分析的基础上，绘制业务流程，找出需要完善的环节，提出修改方案并设计出新系统的逻辑模型。（3）系统设计阶段：本阶段的任务是设计实现逻辑模型的技术方案，包括系统总体结构、界面设计、程序设计、安全设计等。（4）系统实施阶段：本阶段的任务是编写软件代码、购置硬件设备、培训企业员工等。（5）系统运行与维护阶段：本阶段的工作主要是在系统运行过程中进行护，保证系统正常运行，从而延长系统使用寿命，主要包括程序、数据文件、机器设备等方面的维护。（6）系统废弃阶段：在系统被转移、终止或废弃时，应确保重要数据、信息能安全的转移到其它介质或系统中，同时用科学的方法安全清除无用的信息，对设备的处理也应符合国家相关部门的要求。

一、会计信息系统生命周期分阶段风险分析

（一）规划阶段面临的风险 具体包括：（1）规划风险。在系统规划阶段，要结合企业发展战略和业务目标，要解决好是否建立新系统、建立何种规模的系统、要解决什么问题、达到哪些目标，系统软硬件的总体配置方案如何等问题，做好合理规划，科学论证，避免论证不充分带来的风险。（2）人力资源风险。信息系统建设可以说是“一把手工程”，系统建设过程中如果得不到领导层的支持则面临项目搁浅的风险。（3）开发方式与项目代理方选择的风险。在进行初步调研和可行性研究后，如果确定进行系统开发，则会面临选择何种开发方式、选择什么样的项目代理方等风险。（4）外界环境风险。外界环境对信息系统的建设有重要影响，当政治、经济、社会等外部环境发生变化时，信息系统的规划势必要发生改变，不仅影响系统建设进度，也有可能导致信息系统无法按计划完工。

（二）需求分析阶段面临的风险 具体包括：（1）项目组织管理风险。众所周知，系统开发需要建立高效的开发团队，吸纳各方面技术人才，也需要企业各部门员工的积极参与，各部门员工作为一个整体发挥不同的作用，只有选择好、组织好、管理好团队成员，建立科学的激励机制，调动员工的积极性和创造性，才能减少因项目组织管理不善给系统开发进度和最终效果带来的风险。（2）用户需求分析的风险。为保证系统开发的针对性和有效性，需求分析需要详细列出用户需求，包括功能、性能、安全性、便捷性等方面的要求，但是实际上用户的需求很难百分百地传达给项目组，或者开发人员对用户的需求理解存在偏差，都会给系统开发带来不利影响，影响系统开发质量。（3）开发文档规范化、标准化的风险。在系统开发的每个阶段，要按国际标准形成规范化和标准化的开发文档，一方面便于项目组成员沟通和交流，保证各阶段工作的连贯性，另一方面便于系统开发完毕后维护，有据可查，从而提高项目成果质量和用户满意度。因此，开发文档是否规范也会影响到系统开发质量。（4）业务流程重组风险。在信息系统开发过程中，不能照搬以前的流程，需要进行业务流程重组，这样才能充分发挥信息系统的优势。

（三）设计阶段面临的风险 具体包括：（1）技术风险。随着计算机技术、信息技术的不断发展变革，会计信息系统的建设规模也日益庞大，技术难度越来越高，势必带来技术风险。因此，应从企业长远战略出发，选用适合的信息架构与技术方案，同时要考虑与其它系统的集成，满足企业现实及未来一定时期的需求。（2）设计风险。系统设计包括总体设计和详细设计两部分，总体设计算机配置设计（选择机型与确定系统的硬件结构）系统的模块结构进行设计；而详细设计是系统功能、结构实现方法的设计，是程序设计的依据。由于系统设计是一个复杂的过程，也势必面临众多风险，如控制功能是否嵌套到程序中、控制功能是否合理、权限控制设计是否合理等问题。（3）设计方案审核风险。系统设计阶段主要是解决“如何做”的问题，建立系统的物理模型，最终形成设计说明书，并要经过相关专家进行评审。在评审过程中要查验系统设计的合理性、业务流程变革的科学性、控制功能的完善性等系统性能，检查系统设计与需求分析相符，确认方案修改后得到审批，从而避免系统设计方案审核不严带来的风险。

（四）实施阶段面临的风险 具体包括：（1）程序开发风险。程序开发风险主要包括进度控制风险及质量控制风险。一方面，程序员花大量时间用于编写程序代码上，如果不严格按照预先计划的时间进度安排开展工作，可能导致系统不能按时完成的风险。另一方面，为了便于程序的修改和维护，在程序编写过程中应利用科学的开发方法，充分考虑到环境、技术、用户需求等因素的变化，防止方法使用不当给系统带来的风险。（2）采购风险。采购风险是指在购买相关的软件和硬件过程中有可能购买到假冒伪劣产品的风险，从而引发系统的安全性、稳定性等问题。（3）测试验收风险。系统测试主要包括功能测试和性能测试两方面的内容，按照测试的目的与特点可以采取多种测试方法。无论进行哪一种测试都需要制定详尽的测算计划和准备足量的数据样本，测试过程中需要不断的调试，减少系统错误不能被发现并及时纠正的风险。（4）新旧系统转换风险。当新的信息系统正式投入运行后，员工要正确掌握系统的使用方法并面临适应新系统的过程，新旧系统也有一个融合的过程。通常情况下，新老系统都会并行一段时间，在最终的转换过程中，可能会出现像数据迁移错误、迁移数据不完整和不准确等不利情况，将会严重影响到系统的正常运行。

（五）运行维护阶段面临的风险 具体包括：（1）信息安全风险。信息系统在运行过程中，由于物理环境、网络环境以及保密手段存在或多或少的不安全因素，会给数据的准确性、安全性、保密性带来挑战，从而引发信息安全风险。（2）人员短缺风险。系统维护人员是企业不可或缺的角色，需要经过系统培训及相关工作经验，如果系统维护员离职或其它原因不能从事系统维护工作，会给系统带来一定的风险，从而影响系统的正常运行。（3）岗位分工风险。根据内部的要求，系统中不相容岗位应当相互分离，做到责任明确，相互制约，相互监督。因此，在企业信息系统实施过程中，应避免不合理分工造成的效率低下、责任不清的风险。（4）灾难恢复风险。面对自然或人为灾害，企业应建立完善的灾难恢复计划，对灾难性风险做出评估、防范，减少灾难带来的损失，确保系统出现故障时系统的运行和业务的正常运转。

（六）更新淘汰阶段面临的风险 当信息系统不能满足企业实际需求时，信息系统进入更新淘汰阶段。本阶段需要关注的是硬件、软件、数据信息、系统组件等是否得到了妥善处置，应确保重要数据、信息能安全的转移到其它介质或系统中，再者应规范流程，确保更新过程的安全。

二、会计信息系统生命周期各阶段风险评估

在会计信息系统生命周期的各阶段，都要对风险进行评估，采取自我评估为主和检查评估等多种方式，各个评估方式应相互结合、互为补充。

（一）规划阶段风险评估 规划阶段风险评估要从企业战略需求出发，确定系统的安全需求。本阶段的评估应该能够描述系统建成后对现有业务模式、技术、管理等方面的影响，并以此确定系统建设应实现的安全目标。在信息系统整体规划或项目建议书中应包含本阶段的风险评估结果。

（二）需求分析阶段风险评估 需求分析阶段风险评估的目的是保证所开发的系统能够满足用户需求这一目标。为了提高所开发系统的质量，必须建立相应的沟通和评估机制，保证各项制度、流程和标准都能得到很好的落实。

（三）设计阶段风险评估 本阶段需要根据项目建议书中系统的运行环境、安全性、性能等要求，对系统建设方案中存在的风险给予评价，找出方案中可能存在的风险，判断信息技术方案的可靠性、可行性，确保后续工作的顺利开展。

（四）实施阶段风险评估 在系统实施阶段，应按照系统安全设计来识别系统实施过程的风险，确保设计阶段制定的安全措施能够落实，通过对系统的安全性测试、分析来加强质量控制。

（五）运行维护阶段风险评估 为了了解和控制运行过程中的安全风险，需要在系统运行维护阶段定期对信息系统、资产、威胁、脆弱性等方面进行风险评估，从而确保系统安全稳定运行。

（六）更新淘汰阶段风险评估 在系统更新淘汰阶段，维护技术人员和管理人员需要对废弃资产对企业的影响进行评估，根据评估结果采取不同的处理方式。同时，还要积极应对由于系统更新改造可能带来的新风险，加强管理，做好风险防范预案。

三、基于生命周期的会计信息系统安全风险防控措施

风险存在于会计信息系统生命周期的各个阶段，因此必须采取不同的有效措施来防控风险，确保系统的研发、运行、维护阶段的安全。

（一）规划阶段 会计信息系统的开发，需要开发者和用户的共同参与，本阶段系统分析师、系统工程师、程序设计人员和用户组建研发团队，对现行系统进行调查，确定新系统需要解决的问题、增加的功能及达到的目标，从技术、经济和管理等方面进行必要性和可行性研究，形成可行性项目建议书，最大程度地降低项目风险。

（二）需求分析阶段 本阶段需要对现有系统业务流程与需求进行详细调查，完全搞清楚现用系统的情况以及用户对新系统的种种需求，并用规范的工具表达出来，建立起新系统的逻辑模型。因此，理解（对现有系统的了解）和表达（用规范工具构建系统逻辑模型）是本阶段的主要工作，理解是前提，表达是目的，并最终形成需求分析说明书。

（三）设计阶段 本阶段应根据系统逻辑模型，结合会计业务特点和信息技术，进行一系列技术考虑和设计，优化流程，完善控制点，利用信息技术优势得到能在计算机上实现系统目标的实施方案，建立新系统的物理模型。同时，应加强控制功能的设计，解决实现手工处理环境下难以解决的问题，增强系统预防、发现和纠正错误和舞弊的功能。

（四）实施阶段 在系统实施过程中，企业应采用招标形式采购硬件设备，规范采购流程，规避采购风险，同时制定详尽的测试计划，加大对员工的培训工作，使员工掌握正确的系统使用方法。同时制定有效的系统试运行方案和数据迁移方案，保证新旧系统数据的一致性。

（五）运行维护阶段 在该阶段，企业严格用户权限管理，做到不相容岗位相互分离、制约和监督，同时应当建立并执行系统数据定期备份制度以及问题管理制度，加强信息保密工作，制定信息系统灾难恢复计划并进行演练，确保系统安全运行。

（六）更新淘汰阶段 由于不能满足企业需要，系统进行更新淘汰时，重点应关注系统内数据处理的安全性问题，做好数据备份、暂存和转移工作，加强对报废资产、系统组件的管理，加强监督，防止数据丢失和认为破坏。

会计信息系统给企业带来巨大经济效益的同时，也经常会受到来自系统本身、外部环境以及人和自然界的安全威胁，只要能够在系统建设、实施中规范运作方式，对生命周期各阶段进行“全过程”风险分析、评估和防范，预防为主，因地制宜，确定关键控制点，就可以有效规避各种风险。

［1］吴炎太、林斌：《基于生命周期的信息系统内部控制风险管理研究》，《审计研究》2009年第6期。

［2］谷增军：《基于模糊综合评判的会计信息系统安全风险评估模型及应用》，《财会通讯》（综合·上）2010年第8期。

［3］曹文正：《基于生命周期的企业信息系统风险防范研究》，《科技创业月刊》2010年第12期。

［4］王振武：《会计信息系统》，东北财经大学出版社2006年版。