10、中小企业 IT 规划与组织：SOX 合规指南

中小企业 IT 规划与组织：SOX 合规指南

1. 规划与组织的含义

规划旨在制定支持业务目标的 IT 战略计划，这些计划应具有前瞻性，并与公司的规划周期相契合，例如进行两年、三年或五年的预测。接下来，我们将深入探讨规划与组织领域各控制目标的具体内容，并尝试对这些目标进行总结提炼，使其更适合中小企业的结构。

由于 IT 组织所支持的功能会因公司的特定需求而有所不同，因此我们无法为您创建一个通用的模板。不过，我们将以 BuiltRight Construction 公司为例，说明如何根据 COBIT 指南，对其进行调整以适应中小企业的资源和结构，使其符合萨班斯 - 奥克斯利法案（SOX）的要求。

2. 具体控制目标

2.1 定义 IT 战略计划

• IT 融入组织长短期计划 ：评估 IT 问题和机会，并将其纳入整体业务目标。若 IT 部门目前未参与规划过程，这是一个纠正的机会。
• IT 长期计划 ：与业务流程所有者合作制定 IT 长期计划，确保 IT 计划与业务流程所有者相关联。
• IT 短期计划 ：IT 短期计划应是长期计划的子集，且业务流程所有者需对目标、时间和结果达成一致。
• IT 计划沟通 ：管理层负责将 IT 长短期计划传达给业务流程所有者，借此机会可改变 IT 部门的形象。
• IT 计划监控与评估 ：衡量组织实际执行情况与所承诺内容的差距，