IT審計(jì)－項(xiàng)目管理篇
中國系統(tǒng)分析師/中國系統(tǒng)分析員顧問團(tuán)高級顧問　　張華（來自CSAI.cn）

在進(jìn)入本文之前，針對目前對IT審計(jì)的概念，有必要做一些澄清。采用計(jì)算機(jī)作為審計(jì)手段就叫做計(jì)算機(jī)審計(jì)，這樣容易與IT審計(jì)相混淆。前者的計(jì)算機(jī)系統(tǒng) 是手段，后者的計(jì)算機(jī)系統(tǒng)是被審計(jì)對象。IT審計(jì)關(guān)注的對象是信息系統(tǒng)及其整個(gè)生命周期。當(dāng)然不同的信息系統(tǒng)生命模型對應(yīng)的IT審計(jì)流程也就自然不一樣， 因此我們在實(shí)施IT審計(jì)的時(shí)候切忌千篇一律。
目前項(xiàng)目管理越來越受到IT界的重視，軟件項(xiàng)目管理的質(zhì)量在很大程度上影響著信息系統(tǒng)開發(fā)的績效，從軟件項(xiàng)目管理角度進(jìn)行有效地審計(jì)，成為IT審計(jì)中 一大亮點(diǎn)。本文不想對軟件項(xiàng)目管理與IT審計(jì)的關(guān)系做太多論述，而是以列表的方式列舉實(shí)施軟件項(xiàng)目管理應(yīng)注意的審計(jì)要點(diǎn)，供項(xiàng)目管理者和IT審計(jì)師們參 考，一來項(xiàng)目經(jīng)理可以通過本列表對自身的項(xiàng)目管理存在的缺陷做一些分析，二來IT審計(jì)師們可以直接利用本列表生成有關(guān)軟件項(xiàng)目管理的審計(jì)報(bào)告的主要部分。 該列表基本包括項(xiàng)目管理（PMI體系）的絕大多數(shù)實(shí)施點(diǎn)，適用于不同復(fù)雜度和規(guī)模的項(xiàng)目，IT審計(jì)師們可以自行根據(jù)實(shí)際情況有所增刪。

軟件項(xiàng)目管理審計(jì)列表

1.0 軟件項(xiàng)目管理審計(jì)目的
項(xiàng)目管理審計(jì)的目的應(yīng)該達(dá)到下列要求：
項(xiàng)目具有清晰的目標(biāo)、職責(zé)劃分和歸屬
成本和收益得到清晰的定義和監(jiān)控
項(xiàng)目在項(xiàng)目計(jì)劃的范圍、時(shí)間和預(yù)算限制內(nèi)得以成功地完成

2.0 軟件項(xiàng)目管理審計(jì)風(fēng)險(xiǎn)
主要的風(fēng)險(xiǎn)在于：
項(xiàng)目范圍和計(jì)劃與組織的需求不一致
存在時(shí)間延遲
成本超支
資源不足以滿足項(xiàng)目目標(biāo)
人員組織結(jié)構(gòu)不合理
項(xiàng)目未能達(dá)到目標(biāo)

3.0 安全和控制
　　3.1 項(xiàng)目特征
項(xiàng)目管理流程是否包括計(jì)劃、組織、監(jiān)控等內(nèi)容
項(xiàng)目是否被劃分為子流程/階段
子流程/階段是有明確的定義
3.2 項(xiàng)目管理流程中的質(zhì)量
在組織中哪些流程是通過成本、資源、時(shí)間等利用來確保項(xiàng)目高效的進(jìn)行的
組織中是否具有保證項(xiàng)目質(zhì)量的行動指南和流程 3.3 戰(zhàn)略流程
顧客和供應(yīng)商是否需要清晰地知道項(xiàng)目相關(guān)的流程是否滿足他們的需求
項(xiàng)目是否作為一個(gè)計(jì)劃好的和獨(dú)立的流程集合被執(zhí)行
在組織、項(xiàng)目團(tuán)隊(duì)、顧客、供應(yīng)商間有無明確的權(quán)責(zé)劃分
項(xiàng)目進(jìn)度評估體系是否存在，如果存在，如何評估
質(zhì)量屬性是否存在于項(xiàng)目管理流程中（方法、文檔、預(yù)防措施、復(fù)核、跟蹤、培訓(xùn)等）
是否存在支持項(xiàng)目目標(biāo)的組織結(jié)構(gòu)
項(xiàng)目決定是否基于數(shù)據(jù)和事實(shí)上的信息
是否指派一有責(zé)任心、有威信的項(xiàng)目經(jīng)理負(fù)責(zé)項(xiàng)目
在項(xiàng)目的流程改進(jìn)中是否存在一個(gè)收集和分析相關(guān)信息的機(jī)制
3.4 具有關(guān)聯(lián)性的管理流程（時(shí)間、資源、順序等有依賴關(guān)系的流程）
3.4.1 概要
誰負(fù)責(zé)管理項(xiàng)目流程中具有關(guān)聯(lián)性的流程的
3.4.2 項(xiàng)目初始化和項(xiàng)目計(jì)劃展開
是否存在良好的項(xiàng)目和質(zhì)量計(jì)劃，如果有，它是否符合時(shí)宜，誰負(fù)責(zé)管理
項(xiàng)目計(jì)劃是否設(shè)計(jì)為可以跟蹤（度量、評估），如果否，是否存在一些非正式的跟蹤方法
項(xiàng)目的目標(biāo)是否滿足合同的需求，如果是，是否進(jìn)行了合同的復(fù)核
與項(xiàng)目相關(guān)的記錄是否得到較好的管理
所有復(fù)核和進(jìn)度評估中包括項(xiàng)目計(jì)劃嗎？如果是，復(fù)核和評估中還包括預(yù)防和矯正的界限嗎
存在什么樣的項(xiàng)目接口（聯(lián)絡(luò)體制、報(bào)告制度、組織功能）？它們是否定義項(xiàng)目計(jì)劃，它們控制項(xiàng)目計(jì)劃 3.4.3 互動管理
在項(xiàng)目的組織之上，是否存在對項(xiàng)目實(shí)施進(jìn)行互動的項(xiàng)目團(tuán)隊(duì)，諸如項(xiàng)目風(fēng)險(xiǎn)小組、項(xiàng)目效率評估團(tuán)體、項(xiàng)目溝通團(tuán)體等
3.4.4 項(xiàng)目變更
項(xiàng)目中是否包括變更管理流程/方法
項(xiàng)目變更管理流程中是否包括書面化的控制機(jī)制
3.4.5 項(xiàng)目結(jié)束
項(xiàng)目結(jié)束時(shí)，有關(guān)項(xiàng)目的所有記錄是否保存一段時(shí)間
項(xiàng)目結(jié)束時(shí)，是否對項(xiàng)目結(jié)束的相關(guān)情況進(jìn)行復(fù)核
3.5 與范圍相關(guān)的流程
3.5.1 概要
客戶的需求是如何映射到具體活動中去的
具體活動與項(xiàng)目目標(biāo)的關(guān)聯(lián)性如何
3.5.2 范圍展開和控制
項(xiàng)目范圍是否得以展開
存在項(xiàng)目范圍展開和控制的相應(yīng)方法和解決方案嗎
3.5.3 活動定義（任務(wù)、工作包、工作分解結(jié)構(gòu)WBS）
已經(jīng)定義的所有的活動是否有對應(yīng)的負(fù)責(zé)人和執(zhí)行者
活動的輸出是否可以度量
3.5.4 活動控制
活動是否明確定義并按項(xiàng)目計(jì)劃進(jìn)行展開
對活動的復(fù)核是否有相應(yīng)的計(jì)劃
已定義活動的相關(guān)變化是否在項(xiàng)目計(jì)劃中得以更新
3.6 與時(shí)間相關(guān)的管理流程
3.6.1 概要
是否存在一個(gè)與時(shí)間相關(guān)的管理流程來確定活動間的相關(guān)性（時(shí)間）和估算項(xiàng)目時(shí)間
是否有一個(gè)清晰的時(shí)間表
3.6.2 活動依賴性計(jì)劃
是否定義了項(xiàng)目活動間的邏輯順序、關(guān)聯(lián)和依賴等關(guān)系（用網(wǎng)絡(luò)圖）
3.6.3 時(shí)間估算
誰為項(xiàng)目中活動的時(shí)間估算負(fù)責(zé)
活動時(shí)間估算是否與項(xiàng)目資源相關(guān)聯(lián)
時(shí)間分配是否包括相關(guān)活動的準(zhǔn)備時(shí)間
3.6.4 進(jìn)度開發(fā)
項(xiàng)目進(jìn)度表格式如何
關(guān)鍵事件、里程碑、進(jìn)度評估、關(guān)鍵活動是否在進(jìn)度計(jì)劃中標(biāo)識清楚
3.6.5 進(jìn)度控制
影響項(xiàng)目目標(biāo)的變更在處理前是否得到顧客和供貨商的首肯
項(xiàng)目計(jì)劃修訂頻度如何
3.7 與成本關(guān)聯(lián)的流程
3.7.1 概要
項(xiàng)目成本如何滿足最初預(yù)算限制的
3.7.2 成本估算
項(xiàng)目成本是否得到清晰定義，如果是，誰做的
項(xiàng)目成本開銷是否與定義的活動相關(guān)聯(lián)
項(xiàng)目估算中是否包括風(fēng)險(xiǎn)成分，該風(fēng)險(xiǎn)成分如何控制
項(xiàng)目中是否建立相應(yīng)的成本估算流程，它與組織的財(cái)務(wù)核算流程是否一致
3.7.3 預(yù)算
項(xiàng)目預(yù)算是否與項(xiàng)目需求、假設(shè)、風(fēng)險(xiǎn)和偶然性被書面化定義
3.7.4 成本控制
項(xiàng)目的采購/花費(fèi)需求的流程如何定義
成本控制是否被流程化，誰為成本控制負(fù)責(zé)
項(xiàng)目支出記錄是否被復(fù)核、控制和維護(hù)
導(dǎo)致項(xiàng)目預(yù)算變化的因素是否被標(biāo)識，如果有，是否在項(xiàng)目預(yù)算復(fù)核中
3.8 與資源相關(guān)的流程
3.8.1 概要
項(xiàng)目中是否進(jìn)行資源計(jì)劃和分配
3.8.2 資源計(jì)劃
是否有存在項(xiàng)目資源計(jì)劃
3.8.3 資源控制
如何確知現(xiàn)有的資源能夠滿足項(xiàng)目需要
3.9 人員相關(guān)的管理流程
3.9.1 概要
是否建立了一個(gè)項(xiàng)目組織結(jié)構(gòu)
是否建立了一個(gè)項(xiàng)目組織的溝通體制
項(xiàng)目組織結(jié)構(gòu)是否符合項(xiàng)目范圍、大小和特定的條件
項(xiàng)目組織結(jié)構(gòu)包括顧客和供應(yīng)商嗎
有關(guān)項(xiàng)目的角色、職權(quán)、崗位描述是否得到書面的定義
項(xiàng)目組織結(jié)構(gòu)的可行性和適合性的復(fù)核頻度如何
3.9.2 職員定位
項(xiàng)目成員選擇符合員工的定位嗎
項(xiàng)目成員的教育背景、知識、經(jīng)驗(yàn)是否存在記錄
項(xiàng)目經(jīng)理是否具有指派權(quán)
項(xiàng)目人員是否工作高效
3.9.3 團(tuán)隊(duì)開發(fā)
項(xiàng)目組是否得到表彰和獎賞
項(xiàng)目的環(huán)境是否為一維持良好的工作關(guān)系、信任、尊敬和開放式的溝通的環(huán)境
3.10 與溝通關(guān)聯(lián)的流程
3.10.1 概要
項(xiàng)目計(jì)劃中包括溝通計(jì)劃嗎
"項(xiàng)目流程報(bào)告"中包含項(xiàng)目溝通部分嗎
3.10.2 信息管理
信息管理的流程是否包括下列過程
準(zhǔn)備信息
收集信息
信息歸類
信息散發(fā)
篩選信息
更新信息
更正信息（錯(cuò)誤信息）
項(xiàng)目會議中有無議事事項(xiàng)
3.10.3 溝通控制
項(xiàng)目的溝通計(jì)劃是否得到監(jiān)控和復(fù)核以確保滿足項(xiàng)目需求
3.11與風(fēng)險(xiǎn)相關(guān)管理流程
3.11.1 概要
項(xiàng)目生命周期內(nèi)風(fēng)險(xiǎn)識別的頻度如何
這些風(fēng)險(xiǎn)如何得到控制？
3.11.2 風(fēng)險(xiǎn)評估
風(fēng)險(xiǎn)的發(fā)生頻度、影響范圍、可識別程度得到評估了嗎
何種評估技術(shù)被用于衡量風(fēng)險(xiǎn)優(yōu)先級、控制、記錄已標(biāo)識的風(fēng)險(xiǎn)
對進(jìn)度、預(yù)算發(fā)生影響的風(fēng)險(xiǎn)是否得到區(qū)分、對待
3.11.3 風(fēng)險(xiǎn)控制
項(xiàng)目計(jì)劃中是否包括偶然性計(jì)劃或意外計(jì)劃
項(xiàng)目風(fēng)險(xiǎn)是否在項(xiàng)目進(jìn)度報(bào)告中
3.12 與采購相關(guān)的流程
3.12.1 概要
項(xiàng)目計(jì)劃中是否包括采購流程
該流程是否包含項(xiàng)目內(nèi)部和外部采購的途徑
在項(xiàng)目組織結(jié)構(gòu)是否定義了與采購相對應(yīng)角色
采購流程是否得到審核
3.12.2 需求文檔
項(xiàng)目中有無采購文檔
戶的需求是否列入采購文檔中
采購文檔是否得到嚴(yán)格審核以確保所有采購需求說明完全
3.12.3 子承包商評價(jià)
與項(xiàng)目相關(guān)的子承包商是否得以評價(jià)（技術(shù)經(jīng)驗(yàn)、時(shí)間、質(zhì)量控制系統(tǒng)、財(cái)務(wù)狀況等）？
3.12.4 子承包流程
與項(xiàng)目相關(guān)的信息時(shí)如何傳遞并提供給子承包商的？
子承包商的估價(jià)如何？
3.12.5 合同控制
項(xiàng)目中是否包括所有合同需求、應(yīng)付日期、相關(guān)記錄的管理流程？
對子承包商的合同執(zhí)行情況的檢查頻度如何
在項(xiàng)目結(jié)束前的所有合同是否得到復(fù)核和更新？
3.13 項(xiàng)目結(jié)束
項(xiàng)目結(jié)束時(shí)，項(xiàng)目組織是否收集、存儲、更新、和審核項(xiàng)目　　的有關(guān)信息
項(xiàng)目結(jié)束時(shí)，有關(guān)項(xiàng)目績效、優(yōu)秀的經(jīng)驗(yàn)是否得到審核，客戶是否參與其審核
預(yù)算和目標(biāo)的花費(fèi)是否達(dá)到預(yù)期目標(biāo)，是否與項(xiàng)目賬目相符

4.0 項(xiàng)目評估
　　Seriously Deficient（極差）
沒有項(xiàng)目相關(guān)的管理流程（計(jì)劃、組織、監(jiān)控、實(shí)施）
項(xiàng)目范圍未能符合項(xiàng)目目標(biāo)
組織渙散、時(shí)間和成本嚴(yán)重超支
項(xiàng)目組成員的技能未能達(dá)到項(xiàng)目的需求
項(xiàng)目結(jié)果未能符合項(xiàng)目目標(biāo)
Weak（較差）
項(xiàng)目管理流程雖然存在、但未能正確的執(zhí)行
項(xiàng)目范圍與項(xiàng)目目標(biāo)不一致
組織渙散、出現(xiàn)時(shí)間和成本超支
項(xiàng)目組成員的技能未能達(dá)到項(xiàng)目的高效性需求
項(xiàng)目結(jié)果未能完全符合項(xiàng)目目標(biāo)
Satisfactory（滿意）
基本的流程符合定義、基本滿足項(xiàng)目目標(biāo)
項(xiàng)目控制環(huán)境效率較高，時(shí)間和成本基本固定、超支部分不嚴(yán)重
項(xiàng)目組成員的技能達(dá)到項(xiàng)目的需求
項(xiàng)目結(jié)果基本符合項(xiàng)目目標(biāo)
　Good（好）
項(xiàng)目管理流程得到定義
項(xiàng)目范圍在項(xiàng)目目標(biāo)的范圍限定內(nèi)
項(xiàng)目符合時(shí)間和預(yù)算限制
項(xiàng)目組成員的技能達(dá)到項(xiàng)目的需求
項(xiàng)目達(dá)到預(yù)期目標(biāo)
Very Good（非常好）
項(xiàng)目管理流程得到清晰地定義、項(xiàng)目的計(jì)劃、組織、實(shí)施與監(jiān)控符合組織目標(biāo)。
項(xiàng)目符合時(shí)間和預(yù)算限制甚至大大低于限定值。
項(xiàng)目完全符合預(yù)期目標(biāo)。
優(yōu)秀的項(xiàng)目經(jīng)驗(yàn)得到標(biāo)識并提供給其它項(xiàng)目管理過程復(fù)用。

回《信息工程》頁