12、企业 IT 合规与自动化实践指南

企业 IT 合规与自动化实践指南

1. SOX 与 COBIT 相关要点

在企业 IT 管理与合规工作中，SOX（萨班斯 - 奥克斯利法案）和 COBIT（信息及相关技术控制目标）是两个重要的概念。SOX 主要是为了确保财务报告数据的准确性以及支持这些数据的系统的可靠性而制定的法案；而 COBIT 则是为了帮助 IT 组织部署“最佳实践”而开发的一套指南。

在规划和组织 IT 战略时，有三个基本原则需要牢记：
- 以组织架构驱动适用领域 ：让独特的组织结构来决定适用的领域项目。
- 遵循优质方法论 ：在开发流程时，确保遵循良好的质量方法论，例如 PDCA（计划、执行、检查、行动）循环。
- 定制现有流程 ：如果组织中已经存在完善且合理的现有流程，可对其进行定制和修改，使其符合 COBIT 的要求。

同时，IT 业务政策的定义和审批流程也非常关键。这些政策构成了 IT 战略的核心，是所有程序的基础。以下是一些关于政策管理的要点：
|要点|详情|
|----|----|
|政策示例|提供了 BuiltRight 和 NuStuff 公司的许多 IT 政策示例，并讨论了它们的异同，以此说明 SOX 合规的基本要求。|
|审批流程|最终的政策版本需提交审批，获得正式批准后才能生效。在 SOX 合规中，管理层对支持业务目标的 IT 实践进行签字确认是非常重要的一个环节，为此还详细讨论了工作流应用。|

另外，关于 COBIT 还有一些常见问题解答：
|问题|答案|
|--