систем и, соответственно, самими информационными системами во многом объясняется неправильным пониманием конечной цели оценки, которая должна заключаться в понимании и обучении. Утверждается, что развитие современных исследований в направлении изучения возможностей организационного обучения с помощью практических исследований на протяжении всего жизненного цикла информационной системы в какой-то мере поможет решить эту проблему. Инициатива гибридных менеджеров, направленная на преодоление семантического и культурного разрыва между "технологами", отвечающими за разработку информационных систем, и "бизнесменами", ответственными за их эффективное использование, является правильной, но недостаточной.
Аргирис и Шон (Argyris, Schon, 1978) дают ценные сведения о двойных связях или скрытых планах, которые препятствуют организационному или групповому обучению. Если рассматривать их в контексте описанного выше солипсизма, то отсутствие такого обучения становится ключевым моментом в непонимании назначения, возможностей и ценности информационных систем. Аргирис и Шон объясняют, что организации коллективно участвуют в одноцикличном обучении, прививая сотрудникам принятую мудрость, тем самым ожесточая их (интеллектуально), заставляя принимать организационные нормы, оставляя нормы неоспоримыми, организационное обучение подавленным, а власть группы неоспоримой. Аргирис и Шон (Argyris, Schon, 1978) показывают, что такое одноциклическое обучение возникает на основе врожденных "теорий действия", которыми индивиды руководствуются при принятии повседневных решений. Вторичная, более долгосрочная цель исследования, представленного в настоящем документе, заключается в изучении того, в какой степени теории действия и организационное обучение могут влиять на процесс разработки информационных систем и быть подвержены его влиянию; это потребует дальнейшего развития используемой на сегодняшний день системы оценки для измерения как преимуществ информационных систем, так и группового/организационного обучения.
Теоретики систем могут внести свой вклад в эти исследования, но только путем демонстрации ценности своей собственной практики. Остается надеяться, что мы, системные практики, сможем разработать методы оценки, которые позволят преодолеть доминирование бухгалтеров, и тогда изучение информационных систем будет направлено на их оценку, а не на обесценивание.
Важнейшие вопросы управления и контроля информации
Джеймс Гиллиган
Школа информационных систем Факультет компьютерных исследований и математики Университет Западной Англии
ВВЕДЕНИЕ
Поскольку новые организационные формы требуют существования и взаимодействия систем управленческой информации и контроля через соединительные метасистемы (а не просто сети), такие как Интернет, необходимость изменений в теории и практике аудита информационных систем обеспечивает критический фокус для существенных вопросов в текущих методологических подходах к разработке информационных систем для бизнеса и в эпистемологических предположениях, которые делаются в отношении таких систем.
Аудит был выбран как область исследования информационных систем, включающая важные вопросы управления и контроля информации, значимость многих из которых, вероятно, будет возрастать. На сегодняшний день аудит является скорее реактивным, чем проактивным агентом в управлении системами. Обсуждая критическое отставание аудита от технологий, Вебер (Weber, 1988, p.xiii) предупреждает, что "...скорость разработки и внедрения новых компьютерных технологий, похоже, опережает скорость, с которой мы можем разрабатывать жизнеспособные методологии аудита".
Современные темпы развития новых организационных форм и новых технологий, особенно в области коммуникаций, требуют критического пересмотра такой позиции. Данная статья представляет собой краткое изложение первых результатов проводимого автором исследования обоснованности системного подхода к аудиту CBIS в контексте организационных изменений и появляющихся технологий.
РОЛЬ АУДИТА В CBIS
Американская бухгалтерская ассоциация дает следующее общее определение аудита: "Аудит - это систематический процесс объективного получения и оценки доказательств, касающихся утверждений об экономических действиях и событиях.
Согласованность между этими утверждениями и установленными критериями и доведение результатов до сведения заинтересованных пользователей" (Cushing and Romney, 1994, p. 694).
В рамках этого определения существует ряд категорий внутреннего аудита:
Аудит информационных систем, который занимается проверкой общего и прикладного контроля CBIS.
Финансовый аудит, связанный с проверкой достоверности и целостности бухгалтерской отчетности.
Операционный аудит, иногда называемый управленческим аудитом, связан с проверкой операционных показателей конкретных видов деятельности в организации.
Аудит соответствия, используемый для оценки соблюдения организацией законов, договоров
положения, государственные нормативные акты и другие обязательства перед внешними сторонами.
В данной работе рассматриваются в основном первая и последняя из этих категорий. Кушинг и Ромни (Cushing and Romney, 1994, p. 698) утверждают, что аудит соответствия "имеет меньшее значение", чем другие категории. В данной работе высказывается предположение, что хотя в прошлом это, возможно, и было так, но по мере распространения межорганизационных систем (МОС) и электронного обмена данными (ЭОД) роль аудита соответствия, скорее всего, будет возрастать и приобретать существенное значение в рамках самой области аудита ИБ. Трудности управления и контроля в "недоверенной сети" (IEEE Computer Society, 1994), такой как Интернет, когда она и ей подобные становятся средствами обмена данными и участия в коммерческой деятельности, несомненно, повысят роль аудита соответствия. Цель данной статьи - выявить разрыв между традициями и будущим аудита в таких условиях.
Стандарты профессиональной практики внутреннего аудита Института внутренних аудиторов гласят (Cushing and Romney, 1994, p 695): "сфера применения внутреннего аудита включает изучение и оценку адекватности и эффективности системы внутреннего контроля организации и качества выполнения возложенных на нее обязанностей". Пять специальных стандартов посвящены области применения аудита:
1. Надежность и целостность информации.
2. Соответствие политикам, планам, процедурам, законам и нормативным актам.
3. Сохранность активов.
4. Экономичное и эффективное использование ресурсов.
5. Достижение установленных целей и задач для операций или программ.
Отметим, что второй стандарт требует соблюдения. Кушинг и Ромни (Cushing and Romney, 1994, p. 696) утверждают, что "обеспечение соответствия подобным вопросам требует глубокого анализа самого средства обработки информации".
Важно отметить, что термин "внутренний аудит", а также использование слов "система" и "внутренний контроль" предполагают наличие четко ограниченной, доступной и относительно статичной организации. Подобные характеристики, как правило, в меньшей степени относятся к современным организационным формам и появляющимся технологиям. Для проведения такого анализа Американский институт сертифицированных общественных бухгалтеров (Cushing and Romney, p. 704) предлагает четырехступенчатую схему:
Рассмотрим возможные типы ошибок и нарушений.
Определить процедуры бухгалтерского контроля, которые должны предотвратить или обнаружить такие случаи
ошибки и нарушения.
Определить, предписаны ли необходимые процедуры и выполняются ли они.
удовлетворительно.
Оценить все слабые места, т.е. типы потенциальных ошибок и нарушений, которые не
охваченных существующими процедурами контроля - для определения их влияния на а) характер, сроки и объем аудиторских процедур, которые необходимо применить, и б) предложения, которые необходимо сделать клиенту.
Это соответствует принятой практике "риск-ориентированного" аудита, требующего "анализа систем", "тестирования средств контроля", "оценки слабых мест в системе контроля и компенсации средств контроля". И в этом случае предполагается доступность и постоянство системы. Здесь нет необходимости подробно рассматривать различные инструменты, доступные для проведения такого анализа. В любом компетентном учебнике по аудиту ЭПР (например, Harnois, 1991) приводится перечень методов сбора и
