Summary

  • GAO 审查 DOD 的 18 个大型业务 IT 项目。CIO 办公室计划在 2024 至 2026 财年为这些项目支出 103 亿美元。七个项目在问卷中表示，员工过去两年未接受或不知道有识别、报告 IT 系统欺诈与篡改的培训。
  • 另有十一个项目报告员工接受过或知道这种培训。谈到项目自身的欺诈风险评估，十个回答有，五个回答没有，三个不知道。DOD 要求一般反欺诈意识培训；其官员告诉 GAO，针对 IT 系统中欺诈迹象的专项培训目前并非强制要求。
  • GAO 新增一项建议：由 CIO 与 Comptroller 协同，将培训落到大型业务 IT 项目。DOD 称 Comptroller 自 2020 年 7 月起负责全机构欺诈风险。可核查的成果应包括各项目的风险、培训内容、员工覆盖和报警去向。

总部有结业率，项目有另一道题

大型机构喜欢通用课程，理由并不神秘：一次制作，统一发放，完成率可以按月列报。可是业务系统里出现的异常不会附上课程标题。维护人员面对的是权限、字段、审批与交易；他必须判断某次变化是否应当交给调查人员，再把信息送到能采取行动的地方。通用课程能提供词汇，项目课程才会告诉他这些词在自己的系统里长什么样。

GAO 于 2026 年 9 月 28 日发布的审计把这段距离量了出来。审计人员从 DOD 上报的大型 IT 投资中选出 18 个业务项目，向项目办公室发问卷。截至 2026 年 4 月，七个项目的官员说，员工过去两年没有接受、或者不知道有培训教他们识别并报告 IT 系统里的欺诈或篡改迹象。十一个项目则报告员工接受过或知道培训。这里考察的是项目报告的培训触达与可见性，正好击中了中央制度最容易失真的一环。

这些项目承托医疗、人事、财务、后勤和合同工作。DOD 的 CIO 办公室估计，18 个项目在 2024 至 2026 财年的计划支出合计 103 亿美元；其中四个项目占计划金额的一半。这个数字说明管理范围有多大。一份漂亮的总部培训报表，覆盖不了每个项目的数据流、人员分工和报告途径。项目越大，越值得追问实际操作人员是否得到与自己的工作相符的训练。

两间办公室，各有一半答案

DOD 向 GAO 说明，Office of the Under Secretary of Defense（Comptroller）自 2020 年 7 月起被指定统筹机构内的欺诈风险。DOD 也指出，员工必须参加一般欺诈意识培训，业务系统年度认证指引包含财务管理要求。这些安排赋予机构明确的规则与责任。CIO 掌握大型 IT 项目的管理范围，项目办公室则了解实际的业务流程、账户和权限。

问题发生在两者交接处。DOD 官员说，机构现在没有要求专门培训员工识别并报告 IT 系统里的欺诈迹象。于是，一个人在年度通用课程中得到“识别欺诈”的指令，回到项目后仍需要有人说明：本系统的风险是什么，哪种异常值得上报，谁接收报告，软件变更后课程由谁更新。这些都是实际工作决定，无法靠一项笼统的培训完成率替代。

风险评估的另一组数字把断点照得更亮。十个项目说自己评估面临的欺诈风险，五个说没有，三个不知道有没有。最后三个回答尤其尴尬：即便某处存有评估文件，项目负责人若无法在问卷中指出它，团队也很难用它设计培训或处理警讯。GAO 的欺诈风险框架要求员工理解本职工作的风险，区分反欺诈控制与一般财务控制，并持续接收有针对性的指导。文件必须进入岗位，才会变成识别能力。

GAO 在一项建议上写了两个地址

本次年度审计只新增一项建议。GAO 要求 Secretary of Defense 指示 CIO 与 Comptroller 合作，让大型业务 IT 项目持续开展反欺诈训练：员工应了解欺诈风险，在有关岗位上识别它，并知道本项目开展了哪些风险评估。审计也重申前几轮尚未落实的六项旧建议；新建议的核心是培训从总部送到项目。

DOD 部分同意，并强调 Comptroller 已承担全机构责任，年度业务系统认证也包含财务管理要求。GAO 仍要求两间办公室协调，确保项目员工得到相关培训且知道如何获取。双方说的是不同层次的证据：机构的答复证明有负责的办公室；审计要看办公室的职责怎样到达操作者。管理图可以把箭头画得很直，员工却可能不知道箭头指向哪门课程。

同一份报告还发现别的执行缺口：十个活跃开发软件的项目中，八个未证明采用要求的 Agile 指标与工具；18 个项目中，六个没有制定 2027 年前实施 zero trust 的计划，三个没有获批准的网络安全策略。它们分别对应不同要求。共同点是：宣布一个全局方向，距离证明每个项目在执行，还隔着大量具体记录。

当前缺少的是项目级证据链：本项目评估了哪些欺诈风险，哪些岗位接受了什么训练，员工是否知道课程，发现异常后由谁接手。DOD 或 GAO 日后若在 18 个项目中看到这条链，判断就会改变。眼下七个回答已经表明，中央培训的最后一段路走得不够稳。

来源