Summary

  • TIGTA于2026年9月29日发布的最终审计发现，IRS的Procurement Hub第三份合同价值450万美元，其中65.1万美元为工程服务，却缺少清晰的工程里程碑和交付物；针对新用途的市场调查也不足。IRS于2025年10月在履约期开始时付清全款。
  • 2025年9月，1017名获得系统访问权的员工中，959人未通过IRS规定的BEARS授权流程申请这套工具。采购办公室于2026年9月21日宣布停用、23日终止访问。把功能迁往现有平台的目标日是12月31日，审计并未记录迁移完成。

先把钱花出去，再找人看门

IRS原先靠拼接多套系统的数据和电子表格，向财政部反复报告合同削减决定。每周报出的合同详情不一致。Procurement Hub的任务，是把三个数据源并到一处，让“Defend the Spend”行动有一份可追溯的决定记录。IRS于2025年4月签下首份订单，5月开始用Hub记录合同削减决定。需求真实，采购与授权的控制却被上线速度挤到后面。

同一家供应商的前两份订单各25万美元，覆盖六个月的入门价格。第三份合同从2025年9月持续一年，金额跃至450万美元，并加入人工智能能力。TIGTA报告记载，最初的合同清理行动在这份大订单前已经结束；IRS继续探索采购规划等新用途。审计员检查了IRS援引的旧调查，发现它针对刑事调查部门的案件分析，并非Hub的采购需求。

450万美元合同同时包含软件许可和65.1万美元工程服务。许可费通常预付，IRS据此在2025年10月先付了全部价款。审计员接受许可部分的解释，但工程服务缺少可衡量的里程碑和交付物，提前付款让IRS难以依进度验收、在未履约时保持议价能力。尚未交付的工程价值，需要对应的验收记录核定。

门禁也是同一套“先开再说”。截至2025年9月，1017名获准进入Hub的员工中，959人没有通过BEARS为该工具申请权限。其余58人虽走了流程，权限类别却只有一种，无法反映17类用户实际能看什么、做什么。日志显示，1017人中903人在4月至9月间未使用Hub；这些账户达到至少164天不活动，却未按IRS的120天规则停用。两组数字检验不同缺口，不能相加为一场安全事故。

系统本身被装进已有分析平台，处理的数据类型和业务任务改变，却没有交给授权官重新审批风险包。IRS有人把它称作试点；TIGTA指出试点也会改变原有安全边界。2026年5月，IRS建立新的BEARS权限，要求既有用户重新申请或失去访问权。7月报出的171项访问权限可能由同一人持有多项，不能直接当作171个独立用户。

最终审计尚未公布，采购办公室就在9月21日宣布让Hub退场，23日关闭访问。IRS计划在12月31日前把功能迁入一个已有平台。下一份值得看的文件是接收平台的名称、风险授权、对应业务任务的权限清单和实际迁移日期。对一套专门查节省开支的工具来说，采购本身成为最需要审计的一笔。

来源