第三章 信息系统治理

目录

1.IT治理的驱动因素

2.IT治理主要目标包括：与业务目标一致、有效利用信息与数据资源、风险管理。

3.IT治理的管理层次

4.IT治理体系

5.IT治理活动的主要任务

6.IT治理方法与标准

7.信息和技术治理框架

一、治理和管理目标

二、信息和技术治理解决方案的设计

8.IT治理国际标准

9.主流的 IT 审计定义

10.IT审计的目的和目标

11.IT审计范围

12.IT审计风险

13.IT审计常用方法

14.IT审计技术

15.审计证据的特性

16.审计工作底稿

17.审计流程

18.IT审计业务和服务

---

• 信息系统治理（IT治理）是组织开展信息技术及其应用活动的重要管控手段，也是组织治理的重要组成部分，尤其在以数字化发展为重要关注点的新时代，组织的数字化转型和组织建设过程中，IT治理起到重要的统筹、评估、指导和监督作用。

1.IT治理的驱动因素

• IT 治理的内涵主要体现在5 个方面：

1. IT治理作为组织上层管理的一个有机组成部分，由组织治理层或高级管理层负责，从组织全局的高度上对组织信息化与数字化转型做出制度安排，体现了治理层和最高管理层对信息相关活动的关注；
2. IT治理强调数字目标与组织战略目标保持一致，通过对IT 的综合开发利用，为组织战略规划提供技术或控制方面的支持，以保证相关建设能够真正落实并贯彻组织业务战略和目标；
3. IT 治理保护利益相关者的权益，对风险进行有效管理，合理利用IT 资源，平衡成本和收益，确保信息系统应用有效、及时地满足需求，并获得期望的收益，增强组织的核心竞争力；
4. IT 治理是一种制度和机制，主要涉及管理和制衡信息系统与业务战略匹配、信息系统建设投资、信息系统安全和信息系统绩效评价等方面的内容；
5. IT 治理的组成部分包括管理层、组织结构、制度、流程、人员、技术等多个方面，共同构建完善的IT 治理架构，达到数字战略和支持组织的目标。

2.IT治理主要目标包括：与业务目标一致、有效利用信息与数据资源、风险管理。

• 与业务目标一致。IT治理要从组织目标和数字战略中抽取信息与数据需求和功能需求，形成总体的IT治理框架和系统整体模型，为进一步系统设计和实施奠定基础，保证信息技术开发利用跟上持续变化的业务目标。
• 有效利用信息与数据资源。通过IT治理对信息与数据资源的管理职责进行有效管理，保证投资的回收，并支持决策。
• 风险管理。IT治理重视风险管理，通过制定信息与数据资源的保护级别，强调对关键的信息与数据资源，实施有效监控和事件处理。

3.IT治理的管理层次

• 管理层次大致可分为三层：最高管理层、执行管理层、业务与服务执行层。

管理层次	主要职责
最高管理层	证实IT战略与业务战略是否一致； 证实通过明确的期望和衡量手段交付IT价值； 指导IT战略、平衡支持组织当前和未来发展的投资； 指导信息和数据资源的分配。
执行管理层	制定IT的目标； 分析新技术的机遇和风险； 建设关键过程与核心竞争力； 分配责任、定义规程、衡量业绩； 管理风险和获得可靠保证等。
业务及服务执行层	信息和数据服务的提供和支持； IT基础设施的建设和维护； IT需求的提出和响应。

4.IT治理体系

• IT治理的核心是关注IT定位和信息化建设与数字化转型的职责权利划分。IT治理体系的具体构成包括IT定位：IT应用的期望行为与业务目标一致；IT治理架构：业务和IT在治理委员会中的构成、组织IT与各分支机构的IT权责边界等；IT治理内容：投资、风险、绩效、标准和规范等；IT治理流程：统筹、评估、指导、监督；IT治理效果（内外评价）等。

• 有效的IT 治理必须关注五项关键决策，包括IT原则、IT架构、IT基础设施、业务应用需求、IT 投资和优先顺序。

• IT 治理体系框架具体包括：IT战略目标、IT治理组织、IT治理机制、IT治理域、IT治理标准和IT绩效目标等部分，形成一整套IT治理运行闭环。

• IT 治理本质上关心：①实现IT的业务价值；② IT风险的规避。前者是通过IT 与业务战略匹配来实现的，后者通过在组织内部建立相关职责来实现。两者都需要相关资源的支持，并对其绩效进行有效度量。
• IT治理的核心内容包括六个方面：组织职责、战略匹配、资源管理、价值交付、风险管理和绩效管理。

• 建立IT治理机制的原则包括：简单、透明、适合。

5.IT治理活动的主要任务

• 组织的IT治理活动定义为统筹、指导、监督和改进。统筹现在和未来的IT战略和组织规划、管理和绩效的实施计划、策略；指导IT管理实施、绩效考评、风险控制和业务合规；监督IT与业务的一致性、符合性及IT应用的合规性；改进IT战略规划、组织策略、信息系统全生命周期管控和数据治理。
• 组织开展IT治理活动的主要任务聚焦在如下五个方面：

主要任务	内容
全局统筹	组织需要把IT治理作为组织治理的组成部分，建立IT治理机构，并明确组织负责人对IT治理工作负责。组织还需要关注IT发展的规划、实施、检查和改进全过程，重点包括： 制订满足可持续发展的IT蓝图； 实施科学决策、集约管理的策略，实现横向的业务集成和纵向的业务管控； 通过内外部的监督，确保IT与业务的一致性和适用性； 建立适应内外部信息环境变化的持续改进和创新机制。
价值导向	组织需要建立价值递送规则，确保利益相关者明确相应的权利和义务，包括： 认可信息技术、信息系统和数据在组织中的价值； 识别投资目录,并以相应的方式进行评估和管理； 对关键指标进行设定和监督，并对变化和偏差做出及时回应； 权衡实施成本与预期效益，并随组织内外部环境的变化及时调整。
机制保障	指导建立规范过程管理和痕迹管理，并向利益相关者公开质量设定举措； 评审IT管理体系的适宜性、充分性和有效性； 审计IT完整性、有效性和合规性； 监督由审计和管理评审，提出改进内容的实施。
创新发展	创造基于业务团队与IT团队的深度沟通以及对内外部环境感知和学习的技术创新环境； 确保技术发展、管理创新、模式革新的协调联动； 对组织创新能力进行评估，并对关键创新要素进行分析和评价； 通过促进和创新有效抵御风险，并确保创新是组织文化的组成部分。
文化助推	建立与IT 发展相适应的组织文化发展策略； 营造包括知识、技术、管理、情操在内的积极向上的文化氛围； 根据组织内部环境的变化，评估并改进组织文化的管理。

6.IT治理方法与标准

• GB/T 34960.1《信息技术服务治理第1部分：通用要求》规定了IT治理的模型和框架、实施IT治理的原则，以及开展IT顶层设计、管理体系和资源的治理要求。该标准可用于：

1. 建立组织的IT治理体系，并实施自我评价；
2. 开展信息技术审计；
3. 研发、选择和评价IT治理相关的软件或解决方案；
4. 第三方对组织的IT治理能力进行评价。

• GB/T 34960.2《信息技术服务治理第2 部分：实施指南》提出了IT治理通用要求的实施指南，分析了实施IT治理的环境因素，规定了IT治理的实施框架、实施环境和实施过程，并明确顶层设计治理、管理体系治理和资源治理的实施要求。该标准适用于：

1. 建立组织的IT治理实施框架，明确实施方法和过程；
2. 组织内部开展IT治理的实施；
3. IT治理相关软件或解决方案实施落地的指导；
4. 第三方开展IT治理评价的指导。

7.信息和技术治理框架

一、治理和管理目标

• 在COBIT中治理目标被列入评估、指导和监控（EDM）领域。
• 管理目标分为四个领域：

1. 调整、规划和组织（APO）针对IT的整体组织、战略和支持活动;
2. 内部构建、外部采购和实施（BAD）针对IT解决方案的定义、采购和实施以及它们到业务流程的整合；
3. 交付、服务和支持（DSS）针对IT服务的运营交付和支持，包括安全；
4. 监控、评价和评估（MEA）针对IT的性能监控及其与内部性能目标、内部控制目标和外部要求的一致程度。

• 治理目标与治理流程有关，而管理目标与管理流程有关。

1. 治理流程通常由董事会和执行管理层负责；
2. 管理流程在高级和中级管理层的职责范围内。

• IT治理系统的组件包括：流程；组织结构；原则、政策和程序；信息；文化；人员、技能和胜任能力；服务、基础设施和应用程序。

二、信息和技术治理解决方案的设计

• COBIT定义的IT治理系统设计因素包括：组织战略、组织目标、风险概况、IT相关问题、威胁环境、合规性要求、IT角色、IT采购模式、IT实施方法、技术采用战略、组织规模和未来因素。

• COBIT给出了建议设计流程：

1. 了解组织环境和战略；
2. 确定治理系统的初步范围；
3. 优化治理系统的范围；
4. 最终确定治理系统的设计。

8.IT治理国际标准

• 2008年4月，ISO/IEC正式发布IT 治理标准ISO/IEC38500 ,它的出台不仅标志着IT治理从概念模糊的探讨阶段进入了一个正确认识的发展阶段，而且也标志着信息化正式进入IT治理时代。
• 2014年，ISO/IEC发布了第二版的ISO/IEC38500 ,替换了 2008第一版的ISO/IEC 38500, ISO/IEC FDIS 38500：2014提供了IT良好治理的原则、定义和模式，以帮助最高级别组织的人员理解和履行其在组织使用IT方面的法律、法规和道德义务。该标准为组织的治理机构（可包括所有者、董事、合伙人、执行经理或类似机构）的成员提供了关于在其组织内有效、高效和可接受地使用信息技术（IT）的指导原则。该标准包括：责任；战略；收购；性能；一致性；人的行为。
• 该标准规定治理机构应通过评估、指导和监督三个主要任务来治理IT。

9.主流的IT审计定义

机构/标准名称	定义
国际信息系统审计协会（ISACA）	IT审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效利用组织的资源并有效实现组织目标的过程。
国际货币基金组织（IMF）	IT审计是对计算机化的系统进行审计，不仅是对现有信息系统的控制，还包括对系统建立过程、计算机设备和网络管理等方面的控制。
最高审计机关国际组织（INTOSAI）	IT审计是一个通过获取并评估证据，以判断IT系统是否保护组织的资产，有效地利用组织的资源，保障数据的安全性和一致性，以及有效地达到组织业务目标的过程。
GB/T 34690.4《信息技术服务 治理 第4 部分：审计导则》	IT审计是根据IT审计标准的要求，对信息系统及相关的IT内部控制和流程进行检查、评价，并发表审计意见。

10.IT审计的目的和目标

• IT审计的目的是指通过开展IT审计工作，了解组织IT系统与IT活动的总体状况，对组织是否实现IT目标进行审查和评价，充分识别与评估相关IT风险，提出评价意见及改进建议，促进组织实现IT目标。
• 组织的IT目标主要包括：

1. 组织的IT战略应与业务战略保持一致；
2. 保护信息资产的安全及数据的完整、可靠、有效；
3. 提高信息系统的安全性、可靠性及有效性；
4. 合理保证信息系统及其运用符合有关法律、法规及标准等的要求。

11.IT审计范围

IT审计范围	说明
总体范围	需要根据审计目的和投入的审计成本来确定。
组织范围	明确审计涉及的组织机构、主要流程、活动及人员等。
物理范围	具体的物理地点与边界。
逻辑范围	涉及的信息系统和逻辑边界。
其他相关内容	... ...

12.IT审计风险

类别	描述
固有风险	含义：是指IT活动不存在相关控制的情况下，易于导致重大错误的风险。 分类：可从IT组织层面控制、一般控制及应用控制三个方面分析固有风险。 特点：固有风险是IT活动本身所具有的，审计人员只能评估，却无法控制或影响它；固有风险的衡量是主观的、复杂的，不同的IT活动其固有风险水平不同。
控制风险	含义：是指与IT活动相关的内部控制体系不能及时预防或检查出存在的重大错误的风险。 分类：可从IT组织层面控制、一般控制及应用控制三个方面分析控制风险。 特点：与内部控制制度执行的有效性有关，与审计无关，属于内部控制的范畴，审计人员只能评估其风险水平而不能对其实施控制和影响。其风险水平的衡量由于需要兼顾传统内部控制的思想和计算机系统管理的知识，因而较为复杂且难以准确计量。
检查风险	含义：检查风险是指通过预定的审计程序未能发现重大、单个或与其他错误相结合的风险。 影响检查风险的因素：由于IT审计规范不完善、审计人员自身或者技术原因等造成影响审计测试正确性的各种因素。

13.IT审计常用方法

分类	说明
访谈法	含义：是指通过访谈人和受访人面对面地交谈来了解被审计对象的信息。依据不同研究问题的性质、目的或对象，访谈法具有不同的形式。 分类：根据访谈进程的结构化程度，可将它分为结构型访谈和非结构型访谈。
调查法	含义：是指为了达到预期目的，在制订调研计划的基础上，通过书面或口头回答问题的方式收集研究对象的相关资料，并做出分析、综合，得到某一结论的研究方法。 目的：可能是全面把握当前状况，也可能是为了揭示存在的问题，弄清前因后果，以便为进一步的研究或决策提供观点和论据。
检查法	含义：是指审计人员对被审计单位内部或外部生成的记录和文件（如纸质、电子或其他介质形式存在的资料）进行审查，或对资产进行实物审查。 分类：从技术层面上可分为审阅法、核对法、复算法和分析法。
观察法	含义：是审计人员到被审计单位的经营场所及其他有关场所进行实地察看，来证实审计事项的一种方法。 应用：观察程序具有方向性，即从书面记录观察到实物或过程，反之，从实物或过程观察到书面记录。观察法既可以用于对通过其他方法获得的审计证据进行补充，证实审计证据，也可以用于直接收集相关证据。观察法可以比较准确地获得审计项目如何运行的信息，适用于正在进行中的审计事项。
测试法	含义：通过测试来评估程序的质量是一项常用的审计技术，其基本原理是从计算机输入开始，跟踪某项业务直至计算机输出，以检验计算机应用程序、控制程序和系统可靠性。执行此类方法使用的是用于测试目的的业务数据，称之为测试数据。 分类：主要包括黑盒法和白盒法。 黑盒法测试是把程序看成黑盒子，完全不考虑其内部结构和处理过程，只检查程序的功能是否符合它的需求规格说明。 白盒法是通过测试来检测产品内部动作是否按照规格说明书的规定正常进行，按照程序内部的结构测试程序，检验程序中的每条通路是否都能按预定要求正确工作，主要用于软件验证。
程序代码检查法	含义：是指对被审程序的指令逐条加以审查，以验证程序的合法性、完整性和程序逻辑的正确性。 应用：审计人员可使用代码静态扫描工具进行程序代码的检查。

14.IT审计技术

• 风险评估技术

1. 风险识别技术：用以识别可能影响一个或多个目标的不确定性，包括德尔菲法、头脑风暴法、检查表法、SWOT技术及图解技术等。
2. 风险分析技术：是对风险影响和后果进行评价和估量，包括定性分析和定量分析。
3. 风险评价技术：是在风险分析的基础上，通过相应的指标体系和评价标准，对风险程度进行划分，以揭示影响成败的关键风险因素，包括单因素风险评价和总体风险评价。
4. 风险应对技术：IT技术体系中为特定风险制定的应对技术方案，包括云计算、冗余链路、冗余资源、系统弹性伸缩、两地三中心灾备、业务熔断限流等。

• 审计抽样技术：从审计对象总体中选取一定数量的样本进行测试，并根据测试结果，推断审计对象总体特征的一种方法。审计抽样适用于时间及成本都不允许对既定总体中的所有交易或事件进行全面审计时。"总体”是指需要检查的全部事项，“样本”是用于测试总体的子集。

• 计算机辅助审计技术（CAAT）：也称为利用计算机审计，是指审计人员在审计过程和审计管理活动中，以计算机为工具来执行和完成某些审计程序和任务的一种新兴审计技术。CAAT包括多种工具和技术，如通用审计软件（GAS）、测试数据、实用工具软件、专家系统等。
• 大数据审计技术：是指遵循大数据理念，运用大数据技术方法和工具，利用数量巨大、来源分散、格式多样的数据，开展跨层级、跨系统、跨部门和跨业务等的深入挖掘与分析，提升审计发现问题、评价判断、宏观分析的能力。大数据审计技术包括大数据智能分析技术、大数据可视化分析技术及大数据多数据源综合分析技术等。

15.审计证据的特性

分类	说明
充分性	指要求审计人员根据所获证据足以对被审计对象提出一定程度保证的结论，是对审计证据数量的要求，主要与审计人员确定的样本量有关。
客观性	指审计证据必须是客观存在的事实材料。客观的审计证据比需要判断或解释的证据可靠。
相关性	指审计证据与审计事项之间必须有实质性联系。
可靠性	指审计证据能够反映和证实客观经济活动特征的程度。审计证据的可靠性受到审计证据的类型、取证的渠道和方式等因素的影响。
合法性	指审计证据必须符合法定种类，并依照法定程序取得。

16.审计工作底稿

• 审计底稿的作用表现

1. 是形成审计结论、发表审计意见的直接依据；
2. 是评价考核审计人员的主要依据；
3. 是审计质量控制与监督的基础；
4. 对未来审计业务具有参考备查作用。

• 审计工作底稿分类

底稿类型	说明
综合类工作底稿	指审计人员在审计计划阶段和审计报告阶段，为规划、控制和总结整个审计工作并发表审计意见所形成的审计工作底稿，主要包括：审计业务约定书、审计计划、审计总结、审计报告、管理建议书、被审计单位管理当局声明书以及审计人员对整个审计工作进行组织管理的所有记录和资料。
业务类工作底稿	指审计人员在审计实施阶段为执行具体审计程序所形成的审计工作底稿，包括：符合性测试中形成的内部控制问题调查表和流程图、实质性测试中形成的项目明细表等。
备查类工作底稿	指审计人员在审计过程中形成对审计工作仅具有备查作用的审计工作底稿。备查类工作底稿应随被审计单位有关情况的变化而不断更新；应详细列明目录清单，并将更新的文件资料随时归档；应根据需要，将其中与具体审计项目有关的内容复印、摘录、综合后归入业务类审计工作底稿的具体审计项目之后。通常，备查类审计工作底稿是由被审计单位或第三者根据实际情况提供或代为编制，审计人员应认真审核，并对所取得的有关文件、资料标明其具体来源。

17.审计流程

• 审计准备阶段。IT审计准备阶段是指IT审计项目从计划开始，到发出审计通知书为止的期间。准备阶段是整个审计过程的起点和基础。

1. 明确审计目的及任务；
2. 组建审计项目组；
3. 搜集相关信息；
4. 编制审计计划等。

• 审计实施阶段。IT审计实施阶段是审计人员将项目审计计划付诸实施的期间。

1. 深入调查并调整审计计划；
2. 了解并初步评估IT内部控制；
3. 进行符合性测试；
4. 进行实质性测试等。

• 审计终结阶段。IT审计终结阶段是整理审计工作底稿、总结审计工作、编写审计报告、做出审计结论的期间。

1. 整理与复核审计工作底稿；
2. 整理审计证据；
3. 评价相关IT控制目标的实现；
4. 判断并报告审计发现；
5. 沟通审计结果；
6. 出具审计报告；
7. 归档管理等。

• 后续审计阶段。后续审计是在审计报告发出后的一定时间内，审计人员为检查被审计单位对审计问题和建议是否己经采取了适当的纠正措施，并取得预期效果的跟踪审计。后续审计并不是一次新的审计，而是前一次审计的有机组成部分。实施后续审计，可不必遵守审计流程的每一过程和要求，但必须依法依规进行检查、调查，收集审计证据，写出后续审计报告。

18.IT审计业务和服务

• IT内部控制审计主要包括组织层面IT控制审计、IT一般控制审计及应用控制审计；
• IT专项审计主要是指根据当前面临的特殊风险或者需求开展的IT审计，审计范围为IT综合审计的某一个或几个部分。

大类名称	子类名称	审计内容
IT 内部控制审计	组织层面IT控制审计、IT 一般控制审计及应用控制审计	组织层面IT控制审计主要指对IT战略、组织、架构、业务连续性、风险管理、外包管理、网络与信息安全及监督管理等进行审计。 IT一般控制审计主要是指针对与应用系统、数据库、操作系统、网络相关的策略和措施等进行审计。 应用控制审计是指针对业务流程层面运行的人工或自动化程序进行审计，主要包括输入控制、处理控制和输出控制的审计。
IT专项审计	信息系统生命周期审计	主要是对信息系统的规划、设计、开发、测试、运行和维护等进行审计。
	信息系统开发过程审计	主要围绕信息系统规划、设计、建设、实施是否符合IT架构和战略进行评估和监督。
	信息系统运行维护审计	主要针对IT 途维能力、IT 运维流程策划、实施、监控改进等情况进行审计，内容包括基础设施的运行、系统的运行、维护、质量保证及IT 服务管理等。
	网络与信息安全审计	主要以网络与信息安全为核心，围绕安全相关的组织、人员、系统、设备和环境等，重点关注网络与信息安全相关流程、制度的执行情况，对相关法律法规的遵从性，包括适用的数据保护，个人隐私保护等合规要求。
	信息系统项目审计	主要是通过对信息系统项目管理过程的评价，向管理层提供信息系统项目管理过程得到控制、监督并遵循最佳实践要求的合理保证。
	数据审计	通过控制活动，负责定期分析、验证、讨论、改进数据安全管理相关的政策、标准和活动。
	... ...	... ...