謝彤芳，陳 平，盧小清

（北京師范大學 信息網絡中心，北京100875）

一、引言

信息化項目是根據一定區(qū)域或單位的信息化發(fā)展需要，采用現代通信技術和計算機技術等主要手段，以IT網絡、IT設施、IT資源和IT應用為主要建設內容的建設項目。在高校，信息化項目是以推行高校的管理、教學、科研、服務等主要職能而建設的信息化項目，包括軟件、硬件建設與運維項目。高校信息化自1995年互聯網引入中國開始，經過二十多年的蓬勃發(fā)展，已經歷“硬件為主、硬件軟件并舉、軟件建設為主”的三個階段[1]，各高校如何更好地對項目進行全生命周期的精細化和專業(yè)化管理成為決定信息化健康發(fā)展的重要因素。

本文針對高校的信息化項目管理，從內部和外部風險分析和控制視角著眼分析了管理風險，并著重探討了如何把握項目內部風險的管控域和管控點，進一步提升高校信息化項目建設的成功率。

二、高校信息化項目建設的復雜性和風險

1．信息化項目建設復雜性

高校信息化項目，在建設形式上，普遍采用外包給供應商的方式建設，在管理的流程上涉及項目規(guī)劃、項目預算、項目評審、項目招投標、項目合同、項目過程、運行維護、項目審計、項目驗收等多個環(huán)節(jié)，一般通過國家對高校專項資金或高校自籌資金進行建設。因此，整體上高校信息化項目是一個涉及到外部和內部、長流程的、全過程的、與經濟密切相關的綜合的復雜系統(tǒng)工程[2]。

2．信息化項目建設風險

項目建設到成功上線在整體面臨多個方面的風險：按照組織機構邊界分：外部風險、內部風險；按照性質分：規(guī)劃風險、需求風險、經濟風險、質量風險、信息安全風險。兩個維度有交集，我們主要從外部和內部維度來分析風險[3]。

（1）信息化項目外部風險

外部風險主要包括不可抗力風險和人為風險。不可抗力是因自然的不規(guī)則變化所導致的不利影響。人為風險是因人的主觀原因所造成的負面影響。綜合起來，外部風險主要是人為風險，該方面多和供應商相關。

選擇合作方失誤風險。高校在選擇信息技術供應商時，如果沒有正確評價供應商的綜合服務水平，會最終影響項目的完成質量。一些供應商中標后還會將項目外包給第三方[4]，使得項目建設管理起來更為復雜。

依賴合作方風險。信息化積累到一定階段，由于系統(tǒng)本身的內在關聯性、階段性和連續(xù)性，自然形成軟硬件設計上的門檻，導致學校在升級軟件或硬件設備的時候都只能繼續(xù)選擇該供應商的產品，會導致高校會嚴重依賴現有供應商[5]，尤其是軟件系統(tǒng)，導致選擇單一，無法再用招標杠桿來促進優(yōu)勝劣汰，而且在供應商研發(fā)團隊發(fā)生重大變故時，難以持續(xù)。

預算超限的風險。隨著對供應商的依賴越來越強，服務成本可能會上漲[6]；如果要變更供應商，則會導致前期的投入完全浪費，這些都會導致外包成本的上漲可能，致使校方在成本投入方面失去控制。

信息安全風險。技術人員可以輕易地獲取學校的一切信息，難以控制有意或無意的信息資源泄漏[7]。數據信息是學校的核心資產，尤其是一些大學承擔的涉密科研活動的數據，容易造成嚴重的外泄安全問題。

（2）信息化項目內部風險

內部風險含制度風險和人為風險。制度風險是由于高校管理制度不完善、管理能力有限導致建設項目未能完成既定目標而造成損失的可能性。管理制度不完善包括制定不完善、執(zhí)行不力，如沒有進行項目論證，沒有進行集體決策等；管理能力不足則包括決策短視性、細節(jié)不周、缺乏關鍵點控制等。

人為風險則是指由于專業(yè)人員數量不足、素質欠高、責任淡薄、廉政欠缺、缺乏管控分離、權力制衡、難以有效防止權力尋租等帶來損失的可能性。

外部風險和內部風險不是各自獨立存在的，而是密切相關的，互相影響和互相轉化的，是矛盾的兩個方面，當前我國高校發(fā)展階段的現實條件下，內部風險顯示出矛盾的主要方面，內部風險分析和控制關鍵因素，因此可以通過加強內部控制，既控制內部風險、也控制外部風險的邊界。

三、內部控制視角下信息化項目管理的關鍵控制點分析

從內部控制視角看，高校信息化項目管理有幾個關鍵控制域，規(guī)劃管理、立項決策、招標管理、項目設計、監(jiān)理管理、內容變更、成本管理[8]等主要的5個控制域和44個控制點。掌控好這控制點，就能在主要方面掌控了項目的時間、經費、質量的關鍵要素，為項目的成功完成奠定了基礎。控制域、控制面、控制點的關系如圖1所示。

圖1 高校信息化項目風險控制

以下對5個主要控制域，14個控制面，44個控制點進行分析。

A.項目規(guī)劃控制是內控視角的第一步，科學的規(guī)劃和決策是項目從根本上成功和具有價值的基礎，如表1所示。

表1 信息化項目規(guī)劃控制域

B.招投標是把高校的信息化需求委托給合適的供應商的一個環(huán)節(jié)，從這個環(huán)節(jié)開始，內部風險和外部風險就有了互相影響、互相制約、互相促進的可能性。核心是選擇正確的供應方，從而把控兩者的關系，促成項目往風險削減、成功率提升的方向發(fā)展。如表2所示。

表2 信息化項目招投標控制域

C.項目的詳細的需求設計是高校和供應商一起來合作完成的，一方面是學校出正確的需求內容，另外一方面是供應方響應和設計出符合需求的資料，并通過會審來減小對需求偏差的幾率，在項目實施前加強共識，共同減小風險發(fā)生。如表3所示。

表3 信息化項目需求與設計控制域

D.在實施階段由過程控制域控制，需要有幾個風控面，首先是需要組織方面是要有監(jiān)理，監(jiān)理代表學校方對變更控制、成本控制、質量控制、進度控制等主要關鍵點進行管控。如表4所示。

表4 信息化項目建設過程控制域

E.建設完成后，首先對經濟進行審核設計，同時需要通過試運行進行功能檢驗測試，并在符合建設需求的情況下移交系統(tǒng)和資料，同時對決算控制、資產入賬，支付完成等方面進行管控。如表5所示。

表5 信息化項目審計驗收控制域

以上管控域和管控點的分析，是高校信息化建設成功的必要的管控域和管控點，每個管控節(jié)點都應該制定對應的管理方案，并完全落實實施。

四、落實高校信息化項目管理規(guī)范化建議

為切實完成對以上管控域和管控點的監(jiān)管落實，需要制定合理的規(guī)章制度和流程來確保。業(yè)務流程和控制方法體系是內部控制的核心環(huán)節(jié)，其合理、有效與否直接決定著能否實現控制目標[9]。

管理規(guī)范化應以以下5方面做好體系性的制度建設：①規(guī)范信息系統(tǒng)建設流程,有效控制內部風險。②加強信息系統(tǒng)建設溝通，有效控制外部風險。③民主公開，有效控制管理風險。④建立起“三道防線”（前期預防、中期監(jiān)控、后期處置）。⑤建立“四個環(huán)節(jié)”（計劃、執(zhí)行、考核、修正）。進一步合理分解權力，明晰崗位職責，優(yōu)化工作流程，完善制度措施，強化監(jiān)督制約。

落實內控機制還有一個最重要的舉措，就是建設內部控制信息系統(tǒng)，因為以上工作制度和流程需要通過建設內控信息系統(tǒng)來固化這些內部控制規(guī)則，并將關鍵風險管控點嵌入系統(tǒng)中。通過內控工作的工具化，才能把高校信息化項目管理的規(guī)范化真正落到實處。

參考文獻：

[1]黃炎.論述高校信息化建設的現狀及發(fā)展[J].電腦與電信,2013(6):57-58.

[2]許青云.高?；窘ㄔO內控存在的問題及對策[J].當代經濟,2009(9):17-19.

[3]財政部.行政事業(yè)單位內控規(guī)范(試行)[S].2012.

[4]宮偉.淺談高校工程項目內控[J].教育財會研究, 2011(4):23-26.

[5]梁新弘.論信息技術(IT)外包的動因、風險及防范[J].科技管理研究,2004(1):64-66.

[6]王旭.中國浦東干部學院IT服務外包及風險管理[J].信息網絡安全,2007(3):30-31.

[7]畢建新,孫正娟.高校信息安全風險及其對策——以東南大學為例[J].大學圖書情報學,2008(1):43-45.

[8]肖薇.高校預算精細化編制的實踐探索[J].財會月刊,2014(10上):31-33．

[9]喬春華.高校內部控制研究[M].蘇州:蘇州大學出版社,2013:88-90．