信息系统项目管理师-信息系统治理

如何确保企业IT系统高效安全？信息系统治理与IT审计是关键！本分享围绕IT治理体系与审计实践展开，涵盖治理框架（IT治理基础、体系搭建）、审计全流程（内容设计、方法技术），以及如何通过合规审查（IT审计基础）降低风险从理论到实操，助你掌握核心要点，提升企业IT管控能力。

信息系统治理

• IT治理
  • IT治理基础
  • IT治理体系
• IT审计
  • IT审计基础
  • 审计方法与技术
  • 审计流程
  • 审计内容

IT治理

• IT治理基础
  • 信息系统治理概述
    • 信息系统治理（IT治理）是组织开展信息技术及其应用活动的重要管控手段，也是组织治理的重要组成部分。信息技术审计（IT审计）是IT治理不可或缺的评估和监督工具，重点承担着组织信息系统发展的合规性检测以及信息技术风险的管控等职能。
  • IT治理的目标价值
    • IT治理的主要目标包括：与业务目标一致、有效利用信息与数据资源、风险管理
  • IT治理的管理层次
    • IT治理要保证总体战略目标能够从上而下贯彻执行，治理层主要集中在最高管理层 （如董事会）和管理执行层。好的IT治理实践需要在组织全部范围内推行。
    • IT治理的管理层次大致可分为三层：最高管理层、执行管理层、业务与服务执行层。
• IT治理体系
  • IT治理关键决策
    • IT原则的决策
      • 组织高层关于如何使用IT的陈述
    • IT架构的决策
      • 组织从一系列政策、关系以及技术选择中捕获的数据、应用和 基础设施的逻辑，以达到预期和商业、技术的标准化和一体化
    • 业务应用需求的决策
      • 为购买或内部开发IT应用确定业务需求
    • IT基础设施的决策
      • 集中协调、共享IT服务可以给组织的IT能力提供基础
    • IT投资和优先顺序的决策
      • 关于应该在IT的哪些方面投资以及投资多少的决策，包括项目的审批和论证技术
  • IT治理体系框架
    • IT治理体系框架以组织的战略目标为导向，架起了组织战略 与IT的桥梁，实现了IT风险的全面管理以及IT资源的合理利用。
    • IT治理体系框架包括：IT战略目标、IT治理组织、IT治理机制、IT治理域、 IT治理标准和IT绩效目标等部分，形成一整套IT治理运行闭环。
      • IT战略目标
        • 实现IT价值和目标，而针对IT与业务关系、IT决策、 IT资源利用、IT风险控制等方面制定的目标。
      • IT治理组织
        • 界定组织中各相关主体在各自方面的治理范围、责权利及其相互关系 的准则，它的核心是治理机构（如IT治理委员会等）的设置和权限的划分。
      • IT治理机制
        • IT治理决策机制、执行机制、风险控制机制、协调机制 的综合体，各机制之间是相辅相成、相互促进的关系
      • IT治理域
        • 在IT治理的规则之下，对组织的IT资源进行整合与配置，根据IT目标所采取的行动
      • IT治理标准
        • 包括IT治理基本规范、IT治理实施参照、IT治理评价体系和 IT治理审计方法等方面，作为组织实施IT治理最佳实践和对标依据
      • IT绩效目标
        • 关注IT价值的实现，评价IT规划与IT构建过程中是否满足 业务需求以及构建过程中的工期、成本、质量是否达到目标
  • IT治理的核心内容
    • IT治理本质上关心：①实现IT的业务价值；②IT风险的规避。
    • IT治理的核心内容包括六个方面：组织职责、战略匹配、 资源管理、价值交付、风险管理和绩效管理。
  • IT治理机制的原则
    • 简单
      • 机制应该明确地定义特定个人和团体所承担的责任和目标。
    • 透明
      • 有效的机制依赖于正式的程序。对于那些被治理决策所影响 或是想要挑战治理决策的人来说，机制如何工作是需要非常清晰的。
    • 适合
      • 机制鼓励那些处于最佳位置的个人去制定特定的决策。

IT审计

• IT审计基础
  • IT审计目的
    • IT审计的目的是指通过开展IT审计工作，了解组织IT系统与IT活动的总体状况，对组织是否实现IT目标进行审查和评价，充分识别与评估相关IT风险，提出评价意见及改进建议，促进组织实现IT目标。
  • IT审计风险
    • 固有风险
      • 含义
        • 是指IT活动不存在相关控制的情况下，易于导致重大错误的风险
      • 分类
        • 可从IT组织层面控制、一般控制及应用控制三个方面分析固有风险
      • 特点
        • 固有风险是IT活动本身所具有的，审计人员只能评估，却无法控制或影响它； 固有风险的衡量是主观的、复杂的，不同的IT活动其固有风险水平不同
    • 控制风险
      • 含义
        • 是指与IT活动相关的内部控制体系不能及时预防或检查出存在的重大错误的风险
      • 分类
        • 可从IT组织层面控制、一般控制及应用控制三个方面分析控制风险
      • 特点
        • 与内部控制制度执行的有效性有关，与市计无关，属于内部控制的范畴，审计人员只能评估其风险水平而不能对其实施控制和影响。其风险水平的衡量由于需要兼顾传统内 部控制的思想和计算机系统管理的知识，因而较为复杂且难以准确计量
    • 检查风险
      • 含义
        • 检查风险是指通过预定的审计程序未能发现重大、单个或与其他错误相结合的风险
      • 影响检查风险的因素
        • 由于IT审计规范不完善、审计人员自身或者技术原因等造成影响审计测试正确性的各种因素
    • 总体审计风险
      • 是指针对单个控制目标所产生的各类审计风险总和
    • 审计风险也用于描述审计人员在执行审计任务时可接受的风险水平。审计人员可通过设定目标风险水平并调整审计工作量，以合适的审计成本满足最小化总体审计风险要求。
• 审计方法与技术
  • IT审计常用方法
    • IT审计方法就是为了完成IT审计任务所采取的手段。常用审计方法包括： 访谈法、调查法、检查法、观察法、测试法和程序代码检查法等。
      • 访谈法
        • 含义：是指通过访谈人和受访人面对面地交谈来了解被审计对象的信息。 依据不同研究问题的性质、目的或对象，访谈法具有不同的形式。 分类：根据访谈进程的结构化程度，可将它分为结构型访谈和非结构型访谈
      • 调查法
        • 含义：是指为了达到预期目的，在制订调研计划的基础上，通过书面或口头回答 问题的方式收集研究对象的相关资料，并做出分析、综合，得到某一结论的研究方法。 目的：可能是全面把握当前状况，也可能是为了揭示存在的问题，弄清前因后果，以便为进一步的研究或决策提供观点和论据
      • 检查法
        • 含义：是指审计人员对被审计单位内部或外部生成的记录和文件（如纸质、电子或其他介质形式存在的资料）进行审查，或对资产进行实物审查。 分类：从技术层面上可分为审阅法、核对法、复算法和分析法
      • 观察法
        • 含义：是审计人员到被审计单位的经营场所及其他有关场所进行实地察看，来证实审计事项的一种方法。 应用：观察程序具有方向性，即从书面记录观察到实物或过程，反之，从实物或过程观察到书面记录。观察法既可以用于对通过其他方法获得的审计证据进行补充，证实审计证据，也可以用于直接收集相关证据。观察法可以比较准确地获得审计项目如何运行的信息，适用于正在进行中的审计事项
      • 测试法
        • 含义：通过测试来评估程序的质量是一项常用的审计技术，其基本原理是从计算机输入开始，跟踪某项业务直至计算机输出，以检验计算机应用程序、控制程序和系统可靠性。执行此类方法使用的是用于测试目的的业务数据，称之为测试数据。 分类：主要包括黑盒法和白盒法。黑盒法测试是把程序看成黑盒子，完全不考虑其内部结构和处理过程，只检查程序的功能是否符合它的需求规格说明。白盒法是通过测试来检测产品内部动作是否按照规格说明书的规定正常进行，按照程序内部的结构测试程序，检验程序中的每条通路是否都能按预定要求正确工作，主要用于软件验证
      • 程序代码检查法
        • 含义：是指对被市程序的指令逐条加以車查， 以验证程序的合法性、完整性和程序逻辑的正确性。 应用：审计人员可使用代码静态扫描工具进行程序代码的检查
  • IT审计技术
    • 常用的IT审计技术包括风险评估技术、审计抽样技术、 计算机辅助审计技术及大数据审计技术。
    • IT风险评估技术一般包括
      • 风险识别技术：用以识别可能影响一个或多个目标的不确定性， 包括德尔菲法、头脑风暴法、检查表法、SWOT技术及图解技术等。
      • 风险分析技术：是对风险影响和后果进行评价和估量，包括定性分析和定量分析。
      • 风险评价技术：是在风险分析的基础上，通过相应的指标体系和评价标准，对风险程度进行划分，以揭示影响成败的关键风险因素，包括单因素风险评价和总体风险评价。
      • 风险应对技术：IT技术体系中为特定风险制定的应对技术方案，包括云计算、 冗余链路、冗余资源、系统弹性伸缩、两地三中心灾备、业务熔断限流等。
    • 审计抽样是指审计人员在实施审计程序时，从审计对象总体中选取一定数量的样本进行测试，并根据测试结果，推断审计对象总体特征的一种方法。适用于时间及成本都不允许对既定总体中的所有交易或事件进行全面审计时。
• 审计流程
  • 审计流程的含义有广义和狭义两种之分
    • 狭义的审计流程是指审计人员在取得审计证据、完成审计目标、得出审计结论过程中所采取的步骤和方法。
    • 广义的审计流程是指审计机构和审计人员对审计项目从开始到结束的整个过程采取的系统性工作步骤，一般分为审计准备、审计实施、审计终结及后续审计四个阶段，每个阶段又包含若干具体内容。
• 审计内容
  • IT审计业务和服务通常分为IT内部控制审计和IT专项审计。
    • IT内部控制审计主要包括组织层面IT控制审计、IT一般控制审计及应用控制审计；
    • IT专项审计主要是指根据当前面临的特殊风险或者需求 开展的IT审计，审计范围为IT综合审计的某一个或几个部分。
  • IT审计业务分类表