鄭小翠

南方醫(yī)科大學(xué)財(cái)務(wù)處 廣東 廣州

一、引言

2016年，財(cái)政部發(fā)文《會(huì)計(jì)改革與發(fā)展“十三五”規(guī)劃綱要》，要求在不斷提高企業(yè)財(cái)務(wù)信息化水平的同時(shí)，積極探索推動(dòng)行政事業(yè)單位財(cái)務(wù)信息化工作。高等院校積極響應(yīng)號(hào)召，探索搭建財(cái)務(wù)信息化平臺(tái)，逐步實(shí)現(xiàn)網(wǎng)絡(luò)環(huán)境下的電子化財(cái)務(wù)報(bào)銷，推進(jìn)財(cái)務(wù)信息化平臺(tái)與其他業(yè)務(wù)系統(tǒng)的融合，推動(dòng)會(huì)計(jì)工作從傳統(tǒng)核算型向現(xiàn)代管理型轉(zhuǎn)變。財(cái)務(wù)信息通過信息化平臺(tái)實(shí)時(shí)傳遞、適時(shí)處理，提高財(cái)務(wù)服務(wù)質(zhì)量與業(yè)務(wù)處理效率。但是財(cái)務(wù)信息化平臺(tái)在實(shí)際運(yùn)行時(shí)，存在著錯(cuò)綜復(fù)雜、難以量化且普遍存在的風(fēng)險(xiǎn)，如何識(shí)別風(fēng)險(xiǎn)、規(guī)避風(fēng)險(xiǎn)成為財(cái)務(wù)信息化建設(shè)需要關(guān)注的問題。

本文以N高校為例，識(shí)別多層次、多影響因素的財(cái)務(wù)信息化風(fēng)險(xiǎn)指標(biāo)，采用層次分析法對(duì)風(fēng)險(xiǎn)指標(biāo)賦予權(quán)重，通過模糊綜合評(píng)判法綜合評(píng)價(jià)信息化風(fēng)險(xiǎn)，即賦予一個(gè)唯一的評(píng)價(jià)值。評(píng)價(jià)的目的不僅給N高校一個(gè)綜合評(píng)價(jià)分值，更重要的是識(shí)別出信息化平臺(tái)的薄弱環(huán)節(jié)，對(duì)風(fēng)險(xiǎn)進(jìn)行有針對(duì)性得防控規(guī)避，為國內(nèi)高校財(cái)務(wù)信息化風(fēng)險(xiǎn)管理工作提供經(jīng)驗(yàn)。

二、高校財(cái)務(wù)信息化風(fēng)險(xiǎn)評(píng)價(jià)與基于層次分析的模糊綜合評(píng)價(jià)法

高校財(cái)務(wù)信息化風(fēng)險(xiǎn)評(píng)價(jià)，是指在識(shí)別和衡量風(fēng)險(xiǎn)的基礎(chǔ)上，綜合全面評(píng)估高校財(cái)務(wù)信息化建設(shè)過程中可能發(fā)生損失的程度。高校財(cái)務(wù)信息化風(fēng)險(xiǎn)，是指高校財(cái)務(wù)信息化建設(shè)過程中可能存在影響信息化實(shí)現(xiàn)目標(biāo)的各種不確定因素，包括了組織管理風(fēng)險(xiǎn)、設(shè)施及環(huán)境風(fēng)險(xiǎn)、軟件應(yīng)用風(fēng)險(xiǎn)、信息管理風(fēng)險(xiǎn)等。其中，組織管理風(fēng)險(xiǎn)、設(shè)施及環(huán)境風(fēng)險(xiǎn)屬于外部因素影響，軟件應(yīng)用風(fēng)險(xiǎn)、信息管理風(fēng)險(xiǎn)屬于內(nèi)部因素影響。所以，實(shí)務(wù)界和理論界都嘗試對(duì)高校信息化風(fēng)險(xiǎn)的組成部分和風(fēng)險(xiǎn)程度進(jìn)行評(píng)價(jià)。但由于高校信息化風(fēng)險(xiǎn)組成部分通常不可度量，造成各因素之間常無法比較，所以對(duì)高校財(cái)務(wù)信息化風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)有一定的困難。

高校財(cái)務(wù)信息化風(fēng)險(xiǎn)評(píng)價(jià)通常是以文字描述、專家歸納等定性方法為主。定性分析較大程度依賴于評(píng)價(jià)人員的主觀判斷，主觀判斷可能出現(xiàn)紕漏和失誤，難以被修正，而且風(fēng)險(xiǎn)指標(biāo)之間不能進(jìn)行比較，風(fēng)險(xiǎn)權(quán)重也無法確定?？傮w來說，該方法缺乏科學(xué)嚴(yán)謹(jǐn)?shù)臄?shù)學(xué)思維。

層次分析法（TheAnalyticHierarchyProcess,下文簡(jiǎn)記AHP）是美國著名的運(yùn)籌學(xué)家T.L.Satty等人在20世紀(jì)70年代提出的一種定性與定量分析相結(jié)合的多準(zhǔn)則決策方法。它將待分析問題的本質(zhì)、影響因素及內(nèi)在關(guān)系等進(jìn)行深入分析之后，構(gòu)建一個(gè)層次結(jié)構(gòu)模型，然后利用較少的定量信息把待分析問題的思維過程數(shù)學(xué)化，從而為求解多目標(biāo)、多準(zhǔn)則或無結(jié)構(gòu)特性的復(fù)雜問題提供一種簡(jiǎn)便的決策判斷方法。對(duì)于高校財(cái)務(wù)信息化平臺(tái)這個(gè)復(fù)雜系統(tǒng)來說，采用AHP可以解決層次結(jié)構(gòu)模型中各層次指標(biāo)相對(duì)于評(píng)價(jià)對(duì)象的權(quán)重問題。權(quán)重確定后，則需要通過模糊綜合評(píng)價(jià)法為信息化風(fēng)險(xiǎn)給與綜合評(píng)價(jià)。

模糊綜合評(píng)價(jià)法，是借助模糊數(shù)學(xué)的一些概念對(duì)實(shí)際的綜合評(píng)價(jià)問題提供一些評(píng)價(jià)的方法。針對(duì)信息化風(fēng)險(xiǎn)，可以將其作為一個(gè)整體，從風(fēng)險(xiǎn)構(gòu)成因素的角度出發(fā)，對(duì)各個(gè)因素分別評(píng)價(jià)賦分，然后綜合各部分的評(píng)價(jià)分值，實(shí)現(xiàn)對(duì)信息化風(fēng)險(xiǎn)整體的評(píng)價(jià)。

基于AHP的模糊綜合評(píng)價(jià)法的具體步驟如下。首先，把高校財(cái)務(wù)信息化風(fēng)險(xiǎn)解構(gòu)成不同因子，并將因子依據(jù)相互關(guān)系和隸屬關(guān)系分類，從而形成層次分析結(jié)構(gòu)模型。然后，專家團(tuán)由下而上地給各層次因子的重要性給予賦值評(píng)判，確定最底層次因子相對(duì)于最高層次目標(biāo)的相對(duì)重要性權(quán)值。最后，通過因子權(quán)數(shù)和專家評(píng)分，算出該風(fēng)險(xiǎn)的最終評(píng)價(jià)，即風(fēng)險(xiǎn)程度的整體評(píng)價(jià)。

三、N高校財(cái)務(wù)信息化風(fēng)險(xiǎn)基于AHP的模糊綜合評(píng)價(jià)法應(yīng)用

1.高校財(cái)務(wù)信息化風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)體系的設(shè)計(jì)

考慮到目前我國高校財(cái)務(wù)信息化評(píng)價(jià)指標(biāo)體系尚不完善，本文主要根據(jù)較為成熟并在信息安全領(lǐng)域普遍得到應(yīng)用的《信息安全風(fēng)險(xiǎn)綜合評(píng)價(jià)指標(biāo)體系》，再結(jié)合國內(nèi)高校財(cái)務(wù)信息化風(fēng)險(xiǎn)的特點(diǎn)，確立了既有硬件又有軟件，既有外部影響又有內(nèi)部影響，各因素相互影響、互相制約的指標(biāo)體系，包括組織管理、設(shè)施及環(huán)境、軟件應(yīng)用、信息管理四個(gè)方面，并分別為每個(gè)方面設(shè)立對(duì)應(yīng)的評(píng)價(jià)指標(biāo)，形成一個(gè)多層次、多準(zhǔn)測(cè)層的財(cái)務(wù)信息化風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)層級(jí)體系，如圖1。

圖1 財(cái)務(wù)信息化風(fēng)險(xiǎn)評(píng)價(jià)體系

2.運(yùn)用AHP確定指標(biāo)權(quán)重

指標(biāo)權(quán)重是指標(biāo)評(píng)價(jià)過程中相對(duì)于評(píng)價(jià)對(duì)象的重要程度的一種主觀客觀度量的反映。目前傳統(tǒng)確定權(quán)重的方法主要是依靠個(gè)人經(jīng)驗(yàn)，該方法主要缺點(diǎn)是主觀隨意性較大。為了提高科學(xué)性，本文采用層次分析法，在數(shù)據(jù)處理方面使用算術(shù)平均值代表專家們的集中意見。這樣所確定的權(quán)數(shù)能正確反映各指標(biāo)的重要程度，保證評(píng)價(jià)結(jié)果的準(zhǔn)確性。

（1）構(gòu)建層次分析結(jié)構(gòu)模型。對(duì)于高校財(cái)務(wù)信息化風(fēng)險(xiǎn)這個(gè)問題來說，層次分析模型主要分為三層，詳情見圖1。最高目標(biāo)層即高校財(cái)務(wù)信息化風(fēng)險(xiǎn)防控；中間為準(zhǔn)則層，即為風(fēng)險(xiǎn)防控四方面的準(zhǔn)則組織管理風(fēng)險(xiǎn)、設(shè)施及環(huán)境風(fēng)險(xiǎn)、軟件應(yīng)用風(fēng)險(xiǎn)、信息管理風(fēng)險(xiǎn)；最下一層為方案層，即為解決問題的基本構(gòu)成單位。

（2）確定評(píng)價(jià)指標(biāo)權(quán)重及一致性檢驗(yàn)。建立層次分析模型之后，本文邀請(qǐng)專家對(duì)每一層次中的各元素進(jìn)行兩兩比較，就各因素的相對(duì)重要性給出主觀判斷，這些判斷通過1-9分的賦值表示出來，形成判斷矩陣，本文運(yùn)算過程以準(zhǔn)則層A和基準(zhǔn)層A1為例?，F(xiàn)需確定評(píng)價(jià)指標(biāo)對(duì)評(píng)價(jià)對(duì)象的權(quán)重，并進(jìn)行一致性檢驗(yàn)，數(shù)據(jù)結(jié)果見表1、表2。

表1 A財(cái)務(wù)信息化風(fēng)險(xiǎn)綜合評(píng)價(jià)（準(zhǔn)則層）判斷矩陣及一致性檢驗(yàn)結(jié)果

表2 A1組織管理風(fēng)險(xiǎn)的判斷矩陣及一致性檢驗(yàn)結(jié)果

最高目標(biāo)層和準(zhǔn)則層判斷矩陣的CR值均低于0.10，具有滿意的一致性。從上述結(jié)果可以看出，高校財(cái)務(wù)信息化風(fēng)險(xiǎn)相關(guān)因素的重要性排序結(jié)果為：決策人員的重視程度（0.1606），供應(yīng)商服務(wù)級(jí)別（0.1544），用戶訪問權(quán)限授權(quán)（0.0850），設(shè)施的安全保護(hù)（0.0768），系統(tǒng)使用者安全教育、培訓(xùn)和意識(shí)提升（0.0767），用戶訪問身份鑒別（0.0689），機(jī)房的人員訪問控制（0.0651），機(jī)房的環(huán)境安全保護(hù)（0.0617），周期性或不定期風(fēng)險(xiǎn)評(píng)估管理措施（0.0527），網(wǎng)絡(luò)安全級(jí)別（0.0495），與供應(yīng)商合同的控制和管理能力（0.0489），數(shù)據(jù)存儲(chǔ)加密（0.0362），系統(tǒng)恢復(fù)能力（0.0329），信息資產(chǎn)分類（0.0170），系統(tǒng)訪問日志審計(jì)（0.0135）。

3.構(gòu)建風(fēng)險(xiǎn)評(píng)價(jià)集和隸屬度矩陣

（1）建立風(fēng)險(xiǎn)評(píng)價(jià)集。風(fēng)險(xiǎn)評(píng)價(jià)集是對(duì)各層次風(fēng)險(xiǎn)指標(biāo)的一種語言描述，它是評(píng)價(jià)人對(duì)各評(píng)價(jià)指標(biāo)所給出的風(fēng)險(xiǎn)程度的集合。本模型的風(fēng)險(xiǎn)共分為五個(gè)等級(jí)。具體的風(fēng)險(xiǎn)集為：

F=(F1，F(xiàn)2，F(xiàn)3，F(xiàn)4，F(xiàn)5)={高風(fēng)險(xiǎn)，較高風(fēng)險(xiǎn)，中等風(fēng)險(xiǎn)，較低風(fēng)險(xiǎn)，低風(fēng)險(xiǎn)}

（2）構(gòu)造評(píng)價(jià)對(duì)象的隸屬度矩陣。選取10名包括財(cái)務(wù)領(lǐng)域、系統(tǒng)工程領(lǐng)域及有關(guān)專家組成評(píng)審團(tuán)，以問卷調(diào)查的形式讓他們對(duì)圖1中財(cái)務(wù)信息化風(fēng)險(xiǎn)指標(biāo)體系的方案層各元素進(jìn)行風(fēng)險(xiǎn)程度評(píng)價(jià)，得出對(duì)該項(xiàng)目所面臨的各種風(fēng)險(xiǎn)及其驅(qū)動(dòng)因素綜合評(píng)價(jià)結(jié)果。

根據(jù)十名專家給出的風(fēng)險(xiǎn)評(píng)價(jià)數(shù)值，得出基準(zhǔn)層A1隸屬度矩陣，如下所示：

4.對(duì)評(píng)價(jià)對(duì)象進(jìn)行模糊綜合評(píng)價(jià)

由AHP確定的權(quán)重和隸屬度矩陣，進(jìn)行綜合評(píng)價(jià)，本文算子采用加權(quán)平均法。

根據(jù)權(quán)重?cái)?shù)據(jù)A1和隸屬度矩陣R1，得出基準(zhǔn)層綜合評(píng)價(jià)：

B1=A1R1=（0.016，0.129，0.268，0.332，0.225）

將上述基準(zhǔn)層綜合評(píng)價(jià)向量作為上層指標(biāo)評(píng)價(jià)矩陣R，如下所示。

由表1可知，基準(zhǔn)層對(duì)評(píng)價(jià)對(duì)象的權(quán)重A=(0.4406，0.2036，0.2364，0.1194)，便可算得“信息化風(fēng)險(xiǎn)”的綜合評(píng)價(jià)向量：

B=A R=（0.073，0.19，0.215，0.23，0.292）

以上的計(jì)算結(jié)果B為N高校信息化風(fēng)險(xiǎn)的綜合評(píng)判結(jié)果，其表明“風(fēng)險(xiǎn)高”的成分為7.3%，“風(fēng)險(xiǎn)較高”的成分為19%，“風(fēng)險(xiǎn)中等”的成分為21.5%，“風(fēng)險(xiǎn)較低”的成分為23%，“風(fēng)險(xiǎn)低”的成分為29.2%。根據(jù)最大隸屬度原則，N高校的財(cái)務(wù)信息化風(fēng)險(xiǎn)屬于“低風(fēng)險(xiǎn)”水平。

四、N高校財(cái)務(wù)信息化風(fēng)險(xiǎn)防控的經(jīng)驗(yàn)

通過分析可以看出，基于AHP的模糊綜合評(píng)價(jià)法為高校財(cái)務(wù)信息化風(fēng)險(xiǎn)的防控提供了有效的工具，實(shí)現(xiàn)對(duì)N高校財(cái)務(wù)信息化風(fēng)險(xiǎn)的整體評(píng)價(jià)，總體呈現(xiàn)低風(fēng)險(xiǎn)水平，說明N高校財(cái)務(wù)信息化安全建設(shè)成果較好。在控制財(cái)務(wù)信息化風(fēng)險(xiǎn)方面，N高校主要有以下幾個(gè)方面的經(jīng)驗(yàn)。

第一，高校決策人員重視程度是風(fēng)險(xiǎn)防控的關(guān)鍵所在。在信息化風(fēng)險(xiǎn)諸因素中，排名第一為高校決策人員的重視程度（16.06%）。決策人員的重視意味著足夠的資金投入與積極的人員調(diào)動(dòng)，這些都有利于信息化建設(shè)更安全地落地。

第二，選擇能力強(qiáng)的供應(yīng)商是風(fēng)險(xiǎn)防控的重要保障。供應(yīng)商服務(wù)級(jí)別占信息化風(fēng)險(xiǎn)各因素比重為15.44%。系統(tǒng)供應(yīng)商服務(wù)級(jí)別高能力強(qiáng)則能夠?qū)崿F(xiàn)更安全地更個(gè)性化地將信息系統(tǒng)應(yīng)用于高校。

第三，系統(tǒng)用戶的權(quán)限授權(quán)和身份鑒別是風(fēng)險(xiǎn)防控的重要抓手。在信息化風(fēng)險(xiǎn)諸因素中，用戶訪問權(quán)限授權(quán)占比8.50%、用戶訪問身份鑒別占比6.89%。提高系統(tǒng)應(yīng)用安全性，需做好用戶身份授權(quán)與身份鑒別。授權(quán)用戶在何時(shí)何地如何訪問何種信息或信息系統(tǒng)，控制力度越大風(fēng)險(xiǎn)值越小。

第四，系統(tǒng)設(shè)備及環(huán)境的保護(hù)是風(fēng)險(xiǎn)防控的最后一道防線。設(shè)施的安全保護(hù)占信息化風(fēng)險(xiǎn)各因素比重為7.68%。設(shè)施及環(huán)境的安全，尤為注意設(shè)施安全保護(hù)。設(shè)施包括了網(wǎng)絡(luò)線路安全、計(jì)算機(jī)安全、網(wǎng)絡(luò)設(shè)備安全等。做好定期檢查線路計(jì)算機(jī)等設(shè)施，減少硬件損壞造成系統(tǒng)崩潰的風(fēng)險(xiǎn)。