医院信息系统审计步骤.docx

1、信息系统审计重点及步骤1、在准备阶段，主要是与医院信息技术人员进行沟通，熟悉医院信息系统的基础设施，查阅与医院相关的法规政策，获取系统说明书、数据字典、操作流程图等关键技术文档，采集电子数据。2、在实施阶段,主要是查看医院信息的组织方式和处 理流程，绘制数据结构图和业务流程图，整理和分析电子数 据，观察和评 估系统内部控制是否完善、版本控制是否有效、功能设置是否完 备，开发文档是否完整、灾备计划是否健全等，并取证核实。3、在终结阶段，主要是根据前期工作结果，对医院信息系统 进行总体评价，汇总工作底稿，与被审计单位交换意见，编制正式的 信息系统审计报告，通过A0和0A进行项目归档等。注意：查看医

2、院信息系统建设方面的投入及升级改造 情况。审计发现典型问题：缺乏信息系统长期规划和规章制度：医院没有制定专门的信息化建设长期规划，也没有印发具体的信息系统管理 办法。同时，医院各科室人员对信息化政策缺乏了解，对信息系统的理解尚处于较低层次，大多局限在一般性应 用上。1、系统口令设置不安全性：审计发现，有98. 5%的医护工作站口令全部由数字“0”组成，且均未加密。方法：在调查问卷的基础上，在服务器上对各个工作站使用 者的口令 情况进行审查。弱口令会带来人员操作、结果生成、费用结算等方面的隐患，如果 被内外部人员利用，可能会产生舞弊。2、数据控制存在漏洞：医疗服务项目的默认收费单价和计 量单位，

3、 医护人员可以直接修改，缺少必要的输入输出约束控制，导致了大量 的误收费甚至是人情收费的问题。方法：从门诊开药到收费窗口进行现场流程测试，是否存在以上收费方面的漏洞，药品价格、数量等是否可以随意修改。3、如该院“床位费”核定有9种收费标准，实际收费中却出现了43种收费价格；B超、CT扫描、彩超等医疗检查的收费价格区间明 显异常，女口 “ CT扫描”收费在10元至2920元不等，且系统中均 无对应的详细医嘱。方法：审查业务数据。4、关联数值间不配比：医院业务系统反映年度挂号数为10.6万人次，而根据收费数据的统计，当年实际就诊取药有22.8 万人次，相差12. 2万人，差距悬殊，医院因此损失挂号

4、和 诊金费50多万元。造成这一问题的主要原因，为系统流程 设计不完善，导致了“逃方”现象的频繁发生。5、容灾备份不可靠: 医院的主机房与备份机房紧邻，同处顶楼，相隔仅一墙，在遇到雷击、浸水、火灾等特殊灾害时，极易出现主机和备份 机同时毁 坏、数据丢失的情况。方法：现场查看，绘制机房平面结构图。6、操作日志内容不完整：该院信息系统的操作日志，其内容主要为 一般性的登录和退出信息，缺少详细的操作内容记 录，不便于非授权 访问、恶意操作等问题的责任追查。方法：对服务器主机上的操作日志进行查看取证。7、药品加价不符合规定：系统未对药品加价设定正确的算 法，导致该院实际销售的 1802种西药及中成药中，

5、有821 种药品的进销加价率超过规定标准，合计多加价 507万元。特殊医用材料加价不符合规定：该院销售的一次性注射器、接骨板、人工晶体、钛夹等医用材料中，有101种材料的进销加价率和加价额超过规定标准，合计多加价23万元。方法：对业务数据进行筛选审查。8、重复收取相关费用：在向病人收取手术费后，又重复收取了手术巾、麻醉包、灭菌手套、输血皮条等费用，而这些 费用本身是包含在 手术费的内涵中的。类似的还有，在收取层流洁净病房、特需病房床位费的同时，又收取“病房降温取暖费”;收取“重症监护费”后，又收取“吸痰护理”、“动静脉置管护理”等费用。方法：审查业务数据，手术费，并抽取检查手术病人的住院病例、

6、费 用明细清单。9、无依据收取相关费用：向住院病人收取了只有社区卫生服务机构才能收取的“健康咨询费”、“出诊费”；收取了 “防护 费”、“换单费”、“观察瞳孔费”等目录外医疗费用；方法：查阅现在收费标准，是否存在无依据收费、超标准收费问题。10、模糊收费：医院以“治疗费”、“检查费”、“化验费”、“介 入放射治疗费”等模糊项目名称，代替标准项目名称、套用 编码收取费用等问题。方法：根据标准收费项目编码进行筛选，看是否存在以上收费情况。信息系统审计不仅可以帮我们发现问题，还可以帮我们解释问题发生的原因，并从源头上预防类似问题的再次发 生。只有开展了信 息系统审计，我们才能更为全面地履行审计职责。

7、在项目实施过程 中，审计人员比较系统地运用了面谈询问、实地观察、数据测试等信息系统审计方法。如通过调查问卷 法，了解医院信息系统用户的职务分离情况；通过实地观察法，确认医院信息系统的物理运行环境是否达到规范要 求；通过平行模拟法，判断医院业务系统的收入金额是否计算准确；通过综合测试法，揭示医护收费系统的数据控制漏洞等。本次审计，在审前调查时所采用的技术方法主要有：问卷调查表法、会议座谈法、实地查看法。掌握某市人民医院信息系统建设及 管理的基本概况。对HIS系统分析时采用的技术方法主要有：资料审阅法、流程图检查法、数据核对法、模拟操作法。对信息系统的安全性、可 靠性和健壮性进行评估。对数据库业务

8、数据分析时采用的技术方法主要有：SQL语句查询法、钩稽关系效验法、横纵向比较法、量本利分析法等。重 点审查业务数据的真实性、完整性和效益性。一、信息系统基本情况主要包括以下几个方面：1、被审计单位信息系统建设和管理情况：市人民医院使用的医院信息 管理系统(HIS )是由市某软件开发公司1999年开发的，系统于2002年进行测试，2003年4月正式运行使用。系 统采用PowerBuilder进行开发，后台数据库为SQL2005。医院信息管理系统采用了c/s结构模式，服务器端操作系统为windows2003 ,客户端操作系统为windows2000/XP。该院每年都投入资金对其硬件环境进行升级改造

9、目前共有服务器7 台、计算机220台、交换机26台、硬件防火墙2台，打印机H5台。医院中心机房放置了温度、湿度探测器，同时配备了 UPS不间 断电源和自动灭火系统，为系统正常运行提供了保障；2、被审计单 位对信息系统业务依赖程度：人民医院信息管理系统(HIS )根据功能的要求，分为十三大子模块：门诊挂号、门诊划价收费、药库管 理、门诊药房 管理、病区药房管理、住院管理、病区医嘱管理、人事 工资管理、病案管理、物资管理、院长查询、经济核算、公费医 疗 等，基本包括了医院的主要业务和管理需求；3、被审计单位信息系统组织管理情况：人民医院设置了信息科，专职 进行软件 开发、系统维护和设备维修等；4

10、被审计单位信息系统运行情况：从维护日志来看，该院医院信息管理系统在不断地 进行系统升级和功能完善，数据库出现异常的情况越来越少。在审计 组现场审计期间，该信息系统运行正常，未发现服务器宕机等异常现 象；5、被审计单位信息系统总体业务数据流程情况：该系统业务流程主要分为，患者就医、就 诊，药库采购药品入库、发出药品出库，挂号费用、门诊（住院）费用和采购费用的结算等方面；6、被审计单位信息系统电子数据情况：本次审计我们取得了截止到2010年3月10日的数据库备份数据。HIS系统全库业务数据总量约32. 6G,其中：2008年约有1240万条记录，数据大小为4. 8G ; 2009年约有1650万

11、条记录，数据大小6. 4G。目前数据量年增长率为15%左右。二、被审计单位信息系统控制情况人民医院重视该院对信息系统维护的投入，也制定了相应的管理制度，实现了对信息化管理过程的控制。HIS系统的运行正常，基本满足了人民医院的主要业务需求。（一）一般控制方面在一般控制方面总体情况较好，但是也存在着设备采购管理不合规， 系统安全性和可靠性有待加强。（二）应用控制方面在应用控制方面人民医院做了大量工作，对业务流程进行了控制。其 数据处理逻辑和输入、输出控制较好。通过对系统 操作人员权限管 理，实现了对数据库的访问、修改等操作进行控制。数据接口方面也 能保证该系统与市医保系统、农保系统进行日常的业务数

12、据交换。但 存在业务数据的真实性和准确性欠缺的问题，系统使用效率性和效益 性有待提三、审计重点内容及审计事项（一）一般控制审计重点审计总体IT环境、基础设施控制、信息系统生命周期控制、信 息安全控制、信息系统运营维护控制等方面的情况。1 .审计目标 通过一般控制审计，对信息系统的基本情况、合法合规性、真实完整 性、安全可靠性、效率效益性等情况有全面的了解和掌握。2 .审计测试过程在审前准备阶段，审计组搜集了医院收费的相关文件和资料，采集了数据库业务数据,获取了数据字典。发放问卷调查表来了解情况:是发放信息系统控制矩阵的调查表，这 个表有9张，针对的是医院信息系统，我们要求人民医院信 息科填写。

13、二是给医院的使用信息系统 的医生、门诊病人和 住院病人发放满意度调查表。表里有信息信息系 统使用情 况，有医院收费情况，有医生服务态度等内容。还通过在院 长办公室举行座谈交流，了解财务情况以及信息系统使用情 况，并且 还对机房、设备和业务窗口进行了实地查看，了解 和掌握市中医院信 息管理系统运行的基本情况。再汇总调查 情况拟订具体的、可操作的 审计实施方案。在审计实施阶段，审计组参照医院信息系统软件基本功能 规范对其内部控制机制进行了初步评估，确定了审计重点 具体审计以下五个事项:(1)总体IT控制环境审计A .具体审计目标：主要查看信息系统的组织结构和管理政策 是否健 全。B.审计测试过程：

14、通过会议座谈、问卷调查和资料查阅等 方法，审 计组取得了关于医院信息系统建设的会议纪要、科 室职能等资料，了 解到人民医院对信息系统建设十分重视，成立了济仁软件公司对医院 信息系统进行开发、维护。每年 医院都投入大量资金对设备和系统进 行更新，信息系统由信息科设专人负责，系统的建设有计划、有规划。C.发现问题和建议：在审计中我们也发现，只有2名技术人员掌握HIS系统关键技术，且未签定保密协议。建议市人 民医院加强信息系统方面的学习，培养信息管理业务骨干。(2)基础设施控制审计A .具体审计目标：查看机房物理环境是否有效控制；对硬件设备、 系统软件采购管理是否控制；硬件、软件管理制度有 无建立健

15、全和执 行到位。B.审计测试过程：通过实地查看的方法，审计发现，人民医院的新机 房正在兴建，原有机房还在使用中。新机房按照电子信息系统机房设计规范(GB50174-2008)、电子信息系统机房施工及验收规范(GB50462-2008 )、电子信息系统机房工程设计与安装(GJBT1093)等国家标准和规定进行操作，机房建设比较规范，相关水、火灾探测设备，灭火装 置、续电设备、空调等设施齐全。市人民医院也制定了机房管理制 度，对机房安全和维护进行管理。在设备采购管理控制方面，人民医院计算机等设备采购数量 多、金额 较大，我们将此作为重点进行审计。具体步骤：一是采集转换人民医院的财务数据。市人民医院

16、财务软件使 用的是会稽山AC.NET标准会计软件，我们将2007-2009年数据转换至ij A0中o 二是运用SQL语句进行查询。三是对得出的近3年的电脑采购情况进行分析。审计发现，市人民医 院电脑设备采购金额越来越大，但设备采购未纳入 政府集中采购，也未执行招投标管理。四是审计中发现，有部分电脑供货单位为某济仁软件开发公司。该公司是医院的下属公司，总经理由医院信息科科长担 任。C.发现问题和建议：审计人员决定对采购电脑的票据进行延伸审查,最终发现有2笔票据存在疑点，经过分析核实,决定作移送处理。同时建议市人民医院建立健全医疗设备采购管理制度，按照要求将电脑等设备纳入政府集中采购。(3)信息系

17、统生命周期控制审计A .具体审计目标：查看信息系统开发是否规范，系统变更是否在可 控范围内。B.审计测试过程：通过资料查阅法，对照医院信息系统软件评审管 理办法、医院信息系统软件基本功能规范的要求，重点查看了分析说明书、系统设计方案书、数据要求说明书、维护手册等资料。审计发现，医院信息管理系统为自主设计、开发，开发资料基本齐全，数据要求规 范，系统也进行过初步测试。c .发现问题和建议：该信息系统使用后多次进行开发和完善，缺乏相应变更方案的审核控制，虽然系统运行正常，但是无相关的客户验收报告或第三方验收报告，信息系统至今未经过验收，稳定性无法保证。(4)信息安全控制审计A.具体审计目标：网络、

18、操作系统数据库是否安全，有无防灾措施。B .审计测试过程:(1)通过实地查看、资料查阅等方法,审计发现，人民医院进行了 IP地址管理和用户权限分配，用户端安装了瑞星杀毒软件和硬件还原卡，部分用户操作系统漏洞安装了补丁。(2)通过上机查看、模拟操作，利用组建的局域网和基于备份数据还原模拟的HIS系统核对用户权限，未发现系统模 块控制问题。利用SQL语句，对备份数据进行查找,找到数据库存放用户权限管理的表格(ryqx人员权限表)，分析权 限分配情况，具体步 骤：一是查看系统管理员身份用户。是对用户密码进行查询分析。C.发现问题和建议：人民医院内、外网未完全物理隔离，局域网内部分电脑可以访问因特网，

19、可以下载资料到电脑 中，内、外网连接 也未通过任何设备或程序加以控制o 可登陆用户522位，其中72位用户的密码为空“系统管理员”权限的用户有8位，存在数据安全隐患。(5)信息系统运营维护控制审计A .具体审计目标：查看系统操作管理控制和灾难恢复控制功能是否 完善。B.审计测试过程：通过组建局域网，进行模拟操作的方法，测试了HIS系统的系统管理、住院管理、挂号系统、门诊收费、病区药房等模块功能，查看系统的硬件和软件是否支持HIS系统的正常运行。通过现场观察的方法,查阅系统日志、运行维护记录等资料,对系统操作管理控制和系统灾难恢复控制制度进行审计。市人民医院建立 了网络管理员及其主要工作关键设备

20、的管理的制度，完善了操 作手册的内容，能够将数据库数据备份完整。C.发现问题和建议：系统存在维护日志不完整；业务数据 都通过服务器磁盘进行存储、备份，磁盘数据容易被删除、修改，存在数据丢 失的风险。(二)应用控制审计 重点审计信息系统业务授权与审批失控等方面的情况；数据的真实 性、完整性情况；业务数据的合法性、合规性、效益 性情况。1 .审计目标通过对业务流程控制、数据控制、接口控制、补偿性控制审 2.审计测试过程计，主要检查信息系统业务流程是否合法合规,数据是否真实完整。(1)业务流程控制审计A .具体审计目标：通过对信息系统业务流程的分析，查出系 统在安 全性和可靠性等方面存在的薄弱环节。

21、B .审计测试过程：通过流程图分析法，绘制业务流程图，对业务流 程图中关键控制点进行分析，查看是否存在漏洞。通过业务流程分析，审计发现在药品价格调整控制点上，存 在漏洞。C.发现问题和建议：调价记录共有5894条，其中4904条 记录编制、 审核为同一人。医院未建立岗位职责分离制度，使得药品调价管 理环节上存在漏洞。(2)数据控制审计A .具体审计目标：对主数据的审计主要是：对业务收入的真实性审计；药品价格、特殊医疗器材价格的审查；对重复、超范围、超标准收取医疗服务费情况的审计等。对业务参数 的审计主要是检查药品价 格、收费项目等重要参数的合规性 和准确性。对重要信息的审计主要 是对业务数据的

22、重要字段 合理性进行检查，分析系统在设计、录入、 存储上存在的问题。B .审计测试过程： 对业务参数的审计。我们将收费项目编码和药品编码作为 重要的业务数据参数，具体审计步骤：一是采用数据核对法，核对数 据库中收费项目和药品名称。对照苏价费2005213号文件内容，未发现可疑的项目编码 以及药品 名称的问题。二是采用钩稽关系效验法。将费用表中的收费情况和收费项目进行 关联，查找出住院病人和门诊病人费用表中药品和医疗服务价格异常 的数据。分析疑点发现，造成数据异常的原因是药品价格调整。根 据调价文件，查找调价时间大于调价文件规定时间。审计发现，药品价格未及时调整。 2009年度，系统未严格执行苏

23、价工2009 320号、扬价工2009 147号等相关规定，有XX种药品延期1-5天调价，涉及相关记录1145条，金 额X. XX万元。初步认为该系统对重要业务参数缺乏严格控制。 对重要信息的审计。主要是对人民医院的核心表中重要字段进行检查，查看系统在控制上是否存在不够严谨的问题。对病人信具体步骤：一是完整性审查。通过SQL查询分析的方法,息表等核心表进行分析，发现代表病人唯一的ID字 段长度不一致，存在为空、句号、加号的现象。病人的姓名、性别存 在数字等现象。同时还存在同一个住院号，病人入院时间晚于出院时间等异 常现象。二是冗余性审查。审计发现“费用表”等重要的业务数据表中还存在测试数据。医

24、院信息管理系统中208张表有61张 是无记录的空表。1年的人员,我们对医院人员信息进行核对，发现离岗超过仍可以登陆系统，系统人员信息未及时清理。经过分析，初步认为该系统基本信息不完整，对业务数据录 入未严格进行控制，存在冗余数据影响系统安全。对主数据的审计。我们结合SQL语句查询并编写了计算机审计方法，对数据的真实性 和准确性方面进行审计分析。a.真实性审计。具体步骤为:一是通过SQL查询，统计出各个年度业务收入。审计中我们抽查了 2009年门诊挂号收入。二是通过A0系统对财务数据进行分析，得出 挂号收入。2009年门诊三是比较业务数据与财务数据，分析得出2009年门诊挂号收入一致，初步认为系

25、统对业务数据真实性方面进行了控制。b.准确性审计。套用编码收费审计步骤：一是查找出药库记账表中，采购、库存药品 的编码。二是查找出病人缴纳的费用编码。三是将药品编码和费用编码进行关联,查出无采购、无库存,但是在使用的编码作为审计疑点。四是进一步分析审计疑点，求出套用编码收费的金额。审计最终发现，一次性巾单（编码N058） 2009年度采购数 量为0, 库存数量为0,但是销售给住院病人XXXXX条，涉 及金额XX. XX万 yc 对医疗器械加价情况进行审计，发现可吸收缝线（编码0001200 ）采购价XX. X元/根，销售给病人XX元/根，2009年度共计销售XXXX根，涉及金额XX万元。住院床

26、位费用审计步骤：一是根据住院病人基本信息表，计 算出入院日期和出院日期的时间差。按照入院当天计算，出院当天不 计算的规定，更新当天入院又出院的数据。查找出不二是不同的病床有不一样的收费标准，我们在项目收费表中 同病床的不同收费标准。三是由于每个病人的每条收费记录对应每个收费编码，我们 根据住院管理费用占业务支出比率逐年递减，并低于高邮、宝应，支出结构趋于合理。通过纵向比较得出：药品收入占医药收入比重在逐年增大，且2008年超过了 50% ( 2009年达53. 5% )。说明市人民医院业务收入呈过多依赖药品收入的趋势，医疗机构“以药养医”的 现象短期仍难改变。药占比变化情况如下图：(3)接口控制审计A .具体审计目标：对接口控制的审计主要是：对逻辑层接口标准的 审计；对传输层数据传输、转换实现的审计；对控制层差错控制、无 效传输的审计。B .审计测试过程：我们采用模拟测试等方法对HIS系统与医疗保险专线接口进行分析，系统按日进行汇总对账，经过 抽查，数 据能准确、完整的传输到信息系统中。C.发现问题和建议：未发现审计疑点。(4 )系统外控制审计A .具体审计目标：关注系统外的补偿性控制措施。B .审计测试过程：通过人为操作对系统进行补偿性控制。审计发现，市人民医院通过病区工作站、医务管理等55个不同的应用程序，对信息系统操作管理进行了有效控制。