оценки доказательств, аналогичных методам поиска и анализа фактов в вычислительной технике. Однако следует отметить, что некоторые методики аудита применяются в последнее время и имеют отношение к рассматриваемым в данной работе изменениям.
Традиционный подход к системному аудиту часто напоминает археологию. Аудитор, изучая существующие или прошлые транзакции, пытается выявить и аутентифицировать "остатки" записи данных и построить на их основе проверяемую модель событий в исследуемой системе. Очевидно, что такой подход допускает принципиальную слабость современного аудита - проверку после события. Мошенник или ошибочная программа могут быть обнаружены только тогда, когда уже слишком поздно, если вообще обнаружены.
Чтобы компенсировать это в условиях все более широкого распространения онлайновых систем в 70-80-е годы, аудиторы стали применять такие методы, как относительно сложный файл обзора аудита системного контроля (SCARF) и непрерывное и прерывистое моделирование (CIS). В SCARF модули аудита встраиваются в прикладное программное обеспечение хоста. [Таким образом, транзакции, которые определяются как представляющие особый интерес, добавляются в файл SCARF и периодически проверяются аудиторским персоналом. Вебер (Weber, 1988, p. 710) приводит таксономию "информации", собираемой в таких системах, включая ту, которая относится не только к существенным неточностям, но и к "отклонениям в политике и процедурах". В CIS встроенные модули аудита располагаются не в приложении, а в системе управления базами данных, к которой обращается приложение. Преимущество заключается в том, что пользовательские программы (точнее, программисты) не имеют прямого контакта с модулями аудита. Такие подходы отделяют аудит от приложения и поэтому могут оказаться полезными при разработке методов аудита, когда приложение, его пользователь и средства взаимосвязи по своей природе удалены и неизвестны. Однако в целом современные подходы к аудиту компьютерной информации основаны на том, что специалисты по аудиту используют методики, предполагающие наличие полузакрытой, четко ограниченной информационной системы предприятия. Это справедливо не только для аудита, но и для самих системных методологий. Хотя в прошлом это предположение было вполне обоснованным, теперь на него можно не полагаться.
АКТУАЛЬНАЯ ЭПИСТЕМОЛОГИЯ КОМПЬЮТЕРНЫХ ИНФОРМАЦИОННЫХ СИСТЕМ
В настоящее время термин "компьютерные информационные системы" заменил термин "обработка данных", который чаще всего используется для описания профессиональной принадлежности и направления академического обучения тех, кто интересуется использованием компьютеров в бизнесе. Следовательно, хотя это и не обязательно, доминирующим взглядом на применение компьютеров в бизнесе является эпистемология системного мышления. Действительно, настолько распространено представление о "вычислениях для бизнеса" как об "информационных системах", что трудно обсуждать применение компьютеров в бизнесе, не прибегая к слову "система". Эта позиция все чаще подвергается сомнению, и в данном случае она рассматривается в контексте аудита как вида деятельности, связанного, но не подчиненного предположениям ученых, практиков и специалистов по информационным системам.
В работе Gilligan (1994) утверждается, что слово "информация" - это термин, который в настоящее время применяется к большому числу видов деятельности, основанных на использовании компьютеров, и уже не дает нам полезного определения. Однако то, что может показаться просто педантичным, имеет значительные последствия в реальном мире, когда мы смотрим на меняющиеся технологии, которые применяются в компьютерной деятельности. Например, насколько полезно описывать телефонный разговор или сообщение электронной почты как часть информационной системы? Является ли видеоконференция или групповая работа "информационной системой", соответствующей какой-либо традиционной эпистемологии в рамках этой дисциплины? Можно утверждать, что более распространенное употребление слова "система" не учитывает некоторые аспекты эмерджентных технологий, основанных на слабо связанных системах, находящихся в состоянии постоянной модификации и изменения, которые не обязательно должны рассматриваться как внутренне системные. Представляется возможным, что наряду со словом "информация" слово "система" в настоящее время используется в смысле, требующем радикального переосмысления. Это требование отчасти интеллектуальное, когда эти слова больше не дают нам полезных определений, заставляя пересмотреть эпистемологию предмета; а отчасти прагматическое, когда изменились организации или технологии, требующие от нас пересмотра средств, с помощью которых мы обсуждаем наши ситуации и требования. Со словом "система" тесно связано слово "граница". Литература, посвященная системному мышлению и практике, в некоторой степени представляет собой запись способов установления границ, а также тех сущностей и процессов, которые являются внутренними, внешними и переходными по отношению к тому, что рассматривается как модель системы. Эпистемология предполагает, что такие системы хорошо ограничены и содержатся внутри организации, что данные являются собственностью и их обработка может быть определена.
Системные методологии использовали такие предположения и развивались для поддержки более высоких уровней организационных требований, фокусируясь на эпистемологическом разделении субъекта и объекта (Doyle and Wood, 1991), необходимости хорошо спроектированных продуктов (Date, 1986) или соответствия консенсусному мнению о том, что желательно для управления и контроля организации (Checkland, 1981). Современные коммуникационные технологии могут разделять некоторые из этих эпистемологических идей и связанные с ними репрезентативные техники, но они принципиально отличаются от них тем, что не признают права собственности на системы или их интериоризации каким-либо лицом или организацией. Они используют их для участия в информационном процессе пользователя, а не для представления информации как таковой. Нельзя сказать, что Интернет хранит "информацию" в традиционном смысле (как "осмысленные" данные), поскольку в буквальном смысле невозможно определить, кто получит к ней доступ и что из нее возьмет.
Во многих областях возникающих коммуникационных технологий доступ и использование не предполагают четко сформулированных требований со стороны лица или организации, желающих воспользоваться тем или иным объектом. Существуют ресурсы, доступные для использования в деятельности по работе с информацией, осуществляемой пользователем. Такие средства не претендуют на преобразование данных в информацию, они доступны для тех, кто хочет быть информированным. Их преимущество заключается в управлении ресурсами, где информация остается деятельностью пользователя. Они не вписываются ни в методологию жестких или мягких систем, ни в "системный" взгляд на информацию, ни в корпоративные стандарты разработки информационных систем. Мы можем оглянуться назад, на устоявшийся класс компьютерных информационных систем, которые характеризуются моделированием организационной реальности, четко ограничены и претендуют на предоставление "информации". Однако сегодня появляется новый класс компьютерных технологий, которые адаптивны в своих средствах моделирования реальности, слабо ограничены и помогают пользователю в процессе получения информации. Этот последний класс не может быть легко определен в рамках традиционной эпистемологии информационных систем, но он включает в себя многие современные компьютерные технологии, для которых характерны роли предоставления данных, поддержки принятия решений или коммуникации.
ВЛИЯНИЕ ОРГАНИЗАЦИОННЫХ ИЗМЕНЕНИЙ, ВОЗНИКАЮЩИХ ТЕХНОЛОГИЙ И СОЕДИНИТЕЛЬНЫХ МЕТАСИСТЕМ НА РОЛЬ АУДИТА
Мы стремительно вступаем в эпоху "соединительных метасистем", которые представляют собой нечто большее, чем просто сети. Открытые, а не закрытые, они представляют собой магистрали данных на глобальном уровне, которые могут использоваться как отдельными людьми, так и корпорациями, с возможностью предоставления телекоммуникационных протоколов, сетевого управления, клиент-серверного программного обеспечения, человеческого
