摘要

  • 深入审查的十家机构共有 11,602 台硬件设备，其中 5,736 台符合审计的旧有系统标准。这个数字不代表南澳约 170 个政府实体的总量。
  • 18 家受访机构中，14 家表示替换资金只有部分落实或完全没有落实。3.265 亿澳元数字投资基金覆盖更广，不能直接从十家机构估算的 4.35 亿澳元升级和替换成本中扣除。

先问数字覆盖了谁

“5,736 台旧设备”很容易被读成一张全州采购清单。审计报告并没有这么说。这个计数来自 2025 年抽取的十家机构，并由机构提供资产信息、结合供应商支持资料进行判断。它让问题有了尺度，却没有把未受检的机构也变成数据。

南澳审计长在 2025 年向 18 家主要机构发出调查，再选出十家深入检查应用程序、操作系统、硬件、数据库管理系统和虚拟化平台。18 家受访机构全部报告有旧有系统，多数说这些系统支撑关键业务应用。南澳约有 170 个政府实体。受访机构的共同回答说明问题并不稀有，却不能替代全州盘点。

审计的“旧有”标准也不是设备到了某个年龄。系统先要符合 A 类条件——已到生命周期终点或不再获得供应商支持，包括扩展支持；还要符合至少一项 B 类条件，例如维护或升级已不现实、继续使用不划算、风险超过机构可接受范围、业务价值减弱，或妨碍技术战略。仅写下购置年份，既不能说明它为什么进入清单，也无法说明风险今天是否仍然存在。

五种对象，五个不同分母

在深入检查的十家机构中，11,602 台 ICT 硬件设备有 5,736 台被归为旧有系统，占 49%。操作系统实例为 766/3,181，占 24%；数据库管理系统为 168/1,026，占 16%；虚拟化平台为 121/392，占 31%。应用程序的范围是九家机构：812 个应用中有 195 个，占 24%。SA Health 的应用程序数量巨大，且所有权与管理方式混合，因此未计入该项。

这些分母不能混在一起。一台设备、一个操作系统实例、一个数据库平台和一个应用不是同一种经济单位：一个公共服务可能依赖其中好几层，一个平台也可能支撑多个服务。把几个旧有数量相加，只会把重复依赖再算成一遍“总量”。把 49% 说成全州政府硬件的旧有比例，则把样本冒充成普查。

真正值得治理的是层与层之间的关系。换掉硬件不会自动更新数据库，升级操作系统也不会移除旧应用留下的人工步骤。如果资产清单各自为政，项目组会报告自己的迁移进度，业务负责人却看不到服务还依赖哪一项未经支持的组件。风险应当跟着服务走，而不是停在一张技术表格上。

3.265 亿澳元不是 4.35 亿澳元的抵扣项

十家机构估算，升级或替换成本合计 4.35 亿澳元；14 家机构表示，只落实了部分或没有落实系统替换经费。审计长没有要求提供支撑材料来核实调查回答，有的机构若要估算成本还需大量前期工作。这是机构上报的快照，不是经过验证的全州债务。

数字投资基金最初在 2023–24 年预算中获批五年 2 亿澳元，之后在 2024–25 与 2025–26 年预算中扩大到 3.265 亿澳元。到 2026 年 4 月底，基金收到 55 份申请，批准 22 项，承诺支出 2.25 亿澳元，已支出 1.13 亿澳元。基金投向政府范围内的数字和网络安全项目；扩大后的安排还设立了专门的人工智能计划。它不是专门为审计所列系统准备的替换账户。

因此，两个数值没有可供直接相减的共同口径：一个是用途广泛的项目基金，一个是十家机构的系统改造估算。两者在对象、时间和项目范围上的重合度并未公布。有了这个空白，预算委员会不能假装算出了缺口。它需要知道哪项资产、支撑哪种服务、已有多少资金、剩下的决定由谁作出。

服务可以被磨损，而不必先停机

审计举出南澳儿童保护部门的案例。Department for Child Protection 在 2009 年上线 Connected Client and Case Management System（C3MS），用于记录并共享脆弱儿童与家庭的信息。该部门向审计表示，系统已超过生命周期支持期，维护所需的专业技能难以留住，工作人员不得不手工绕行并重复录入数据。审计把这些限制与高风险决策所用信息的及时性和完整性联系起来。

这里没有被报告的停机或数据泄露。机制已经足够具体：工作人员把时间花在跨表格核对和重复记录上，做高风险判断时可用的信息也更难做到及时、完整。系统继续运行，服务却要为旧系统持续付出人力成本。

南澳财政部当前的基金页面把 C3MS、eCARL 与 eLOG 现代化和替换列为进行中的项目，阶段是需求探索与市场分析。页面没有承诺交付日期或完成百分比。审计办公室在 2026 年 10 月的年度报告仍将旧有 ICT 列为公共部门的运营、安全和治理风险。项目开始推进是事实，风险已经消失则不是。

给每个依赖安排一张“去向单”

审计建议完成现有升级和替换项目，对没有计划的系统正式评估并记录风险，持续维护风险登记册，定期核查资产，并让治理委员会收到进度和剩余风险报告。实际决策还需要一条能把资产、公共服务和资金状态连起来的记录。

这张记录至少应当回答：资产和业务服务是什么；由谁负责；供应商支持状态依据什么资料、核验于何时；发生故障会怎样影响服务；当前缓解措施是什么；机构选择更换、隔离、整合还是退役；迁移处于哪一阶段；成本区间和估算可信度如何；已经落实多少资金；下一次决策日期是什么。对没有计划的系统，也应有责任人和下一次审查日期，而不是从项目看板上消失。

全州可以共享这些核验字段，机构仍按本地服务决定具体处置。这条分界既让预算委员会看得到谁在承担未处理的风险，也不会让中心部门用一张表替每个机构选技术路线。南澳下一轮数字投资公开信息，最有价值的不是再增加一个大总额，而是说明多少依赖已经有了负责人、资金、处置方案和可核验的退场日期。

来源