【信息系统项目管理师】第3章：信息系统治理考点梳理

文章目录

- 3.1 IT 治理
- - 3.1.1 IT治理基础
  - 3.1.2 IT治理体系
  - 3.1.3 IT治理任务
  - 3.1.4 IT治理方法与标准
- 3.2 IT 审计
- - 3.2.1 IT审计基础
  - 3.2.2 审计方法与技术
  - 3.2.3 审计流程
  - 3.2.4 审计内容

3.1 IT 治理

IT治理起到重要的统筹、评估、指导和监督作用。

信息技术审计(IT审计)作为与IT治理配套的组织管控手段，是IT治理不可或缺的评估和监督工具，重点承担着组织信息系统发展的合规性检测以及信息技术风险的管控等职能。

IT治理所关注的问题:
• 组织如何从其信息系统投资中获得真正的价值;
• 如何将信息技术战略与组织战略相融合;
• 如何从组织治理的高度，对组织数字化能力做出制度安排;
• 如何从战略投资、组织管理变革的角度，降低IT的风险;
• 如何利用国内外信息技术开发利用的最佳实践和重要成果，加快组织的信息化、数字化工作推进等。

3.1.1 IT治理基础

1、IT治理的驱动因素
IT治理是指组织在开发利用信息技术过程中，为鼓励组织所期望的组织行为而明确决策权归属和责任担当的框架，其目标是通过IT治理的决策权和责任影响组织所期望的组织行为。

IT治理要从组织目标和数字战略中抽取信息需求和功能需求,形成总体的IT治理框架和系统整体模型。

IT治理的内涵主要体现在5个方面:
（1）IT治理作为组织上层管理的一个有机组成部分，由组织治理层或高级管理层负责，从组织全局的高度上对组织信息化与数字化转型做出制度安排，体现了治理层和最高管理层对信息相关活动的关注;【高层关注】

（2）IT治理强调数字目标与组织战略目标保持一致，通过对IT的综合开发利用，为组织战略规划提供技术或控制方面的支持，以保证相关建设能够真正落实并贯彻组织业务战略和目标;【落实战略】

（3）IT治理保护利益相关者的权益，对风险进行有效管理，合理利用IT资源，平衡成本和收益，确保信息系统应用有效、及时地满足需求，并获得期望的收益，增强组织的核心竞争力;【提升竞争力】

（4） IT 治理是一种制度和机制，主要涉及管理和制衡信息系统与业务战略匹配、信息系统建设投资、信息系统安全和信息系统绩效评价等方面的内容;【管理制衡】
（5）IT治理的组成部分包括管理层、组织结构、制度、流程、人员、技术等多个方面，共同构建完善的IT治理架构，达到数字战略和支持组织的目标。【支持目标】

2、IT治理的目标价值
组织实施IT治理的使命通常包括: 保持IT与业务目标一致，推动业务发展，促使收益最大化，合理利用IT资源，恰当理清与IT相关的风险等。

IT治理主要目标包括: 与业务目标一致、有效利用信息与数据资源、风险管理。

3、IT治理的管理层次
IT治理要保证总体战略目标能够从上而下贯彻执行，治理层主要集中在最高管理层(如董事会) 和管理执行层。

管理层次大致可分为三层: 最高管理层、执行管理层、业务与服务执行层。

最高管理层的主要职责包括：证实IT战略与业务战略是否一致;证实通过明确的期望和衡量手段交付IT价值;指导IT战略、平衡支持组织当前和未来发展的投资;指导信息和数据资源的
分配。
执行管理层的主要职责包括：制定IT的目标;分析新技术的机遇和风险;建设关键过程与核心竞争力;分配责任、定义规程、衡量业绩;管理风险和获得可靠保证等。
业务及服务执行层的主要职责包括：信息和数据服务的提供和支持;IT基础设施的建设和维护; IT需求的提出和响应。

3.1.2 IT治理体系

IT治理的核心是：关注IT定位和信息化建设与数字化转型的责权利划分。
在这里插入图片描述

1、IT治理关键决策
有效的IT治理必须关注五项关键决策，包括：IT原则、IT架构、IT基础设施、业务应用需求、IT投资和优先顺序。
在这里插入图片描述

2、IT治理体系框架
IT治理体系框架以组织的战略目标为导向。

IT治理体系框架具体包括：IT战略目标、IT治理组织、IT治理机制、IT治理域、IT治理标准和 IT绩效目标等部分，形成一整套IT治理运行闭环。
在这里插入图片描述

3、IT治理核心内容
IT治理本质上关心：①实现IT的业务价值；②IT风险的规避。前者是通过IT与业务战略匹配来实现的，后者通过在组织内部建立相关职责来实现。

IT治理的核心内容包括六个方面：组织职责、战略匹配、资源管理、价值交付、风险管理和绩效管理。其中风险管理是IT治理中非常重要的内容。风险管理是确保IT资产的安全和灾难的恢复、组织信息资源的安全以及人员的隐私安全。风险管理即是保护业务价值。

4、IT治理机制经验
建立IT治理机制的原则包括: ①简单(明确定义责任和目标); ②透明(依赖正式的程序; ③适合(鼓励处于最佳位置的个人制定特定决策)。

3.1.3 IT治理任务

组织的IT治理活动定义为统筹、指导、监督和改进。组织开展 IT治理活动的主要任务聚焦在如下五个方面:
(1)全局统筹。 (2)价值导向。 (3)机制保障。 (4)创新发展。 (5)文化助推。

3.1.4 IT治理方法与标准

IT治理相关的最佳实践方法、定义相关标准，比较典型的是:

我国信息技术服务标准库(ITSS)中IT治理系列标准
信息和技术治理框架(COBIT)【美国信息系统审计与控制协会(ISACA)】
IT 治理国际标准(IS0/IEC38500)0

1、ITSS中IT服务治理
1)IT治理通用要求
GB/T34960.1《信息技术服务治理第1部分:通用要求》规定了 IT治理的模型和框架、实施IT治理的原则，以及开展IT顶层设计、管理体系和资源的治理要求。该标准可用于:

①建立组织的IT治理体系，并实施自我评价;
②开展信息技术审计;
③研发、选择和评价IT治理相关的软件或解决方案;
④第三方对组织的IT治理能力进行评价。

2)IT治理实施指南
GB/T34960.2《信息技术服务治理第2部分:实施指南》提出了 IT治理通用要求的实施指南，分析了实施IT治理的环境因素，规定了 IT治理的实施框架、实施环境和实施过程，并明确顶层设计治理、管理体系治理和资源治理的实施要求。该标准适用于:

①建立组织的IT治理实施框架，明确实施方法和过程;
②组织内部开展IT治理的实施;
③IT治理相关软件或解决方案实施落地的指导;
④第三方开展IT治理评价的指导。

2、信息和技术治理框架
IT治理实施框架包括治理的实施环境、实施过程和治理域。

COBIT是面向整个组织的信息和技术治理及管理框架，由美国信息系统审计与控制协会(ISACA) 组织设计并编制的。

COBIT框架对治理和管理进行了区分，这两个学科涵盖不同的活动，需要不同的组织结构，服务于不同目的:

治理确保对利益干系人的需求、条件和选择方案进行评估，以确定全面均衡、达成共识的组织目标;通过确定优先等级和制定决策来设定方向;根据议定的方向和目标监控绩效与合规性;
管理是指按治理设定的方向计划、构建、运行和监控活动，以实现组织目标。 1)治理和管理目标

在这里插入图片描述

3、IT治理国际标准
ISO/IEC正式发布IT治理标准IS0/IEC38500,它的出台不仅标志着IT治理从概念模糊的探讨阶段进入了一个正确认识的发展阶段，而且也标志着信息化正式进入IT治理时代。
该标准规定治理机构应通过评估、指导和监督三个主要任务来治理IL

3.2 IT 审计

3.2.1 IT审计基础

IT审计重要性是指IT审计风险(固有风险、控制风险、检查风险)对组织影响的严重程度，如: 财务损失、业务中断、失去客户信任、经济制裁等。

1、IT审计定义
在这里插入图片描述

2、IT审计目的
IT审计的目的是指通过开展IT审计工作，了解组织IT系统与IT活动的总体状况，对组织是否实现IT目标进行审查和评价，充分识别与评估相关IT风险，提出评价意见及改进建议，促进组织实现IT目标。

组织的IT目标主要包括:

①组织的IT战略应与业务战略保持一致;
②保护信息资产的安全及数据的完整、可靠、有效;
③提高信息系统的安全性、可靠性及有效性;
④合理保证信息系统及其运用符合有关法律、法规及标准等的要求。
【2023年5月第6题】

3、IT审计范围
一般来说，IT审计范围需要根据审计目的和投入的审计成本来确定。
在这里插入图片描述

4、IT审计人员
根据GB/T34690.4《信息技术服务治理第4部分:审计导则》，对IT审计人员的要求包括职业道德、知识、技能、资格与经验、专业胜任能力及利用外部专家服务等方面。

5、IT审计风险
IT审计风险主要包括固有风险、控制风险、检查风险和总体审计风险。体审计风险是指针对单个控制目标所产生的各类审计风险总和。
在这里插入图片描述

参考例子:
固有风险例子：硬件故障或软件不足，造成信息损坏和丢失
控制风险例子：未按规范的流程测试，发布的增量导致系统崩溃;
检查风险例子：审计程序不完善，未能发现一些制度或流程漏洞。

3.2.2 审计方法与技术

1、IT审计依据与准则
国际上发布的常用审计准则有:

信息系统审计准则OSACA,国际信息系统审计协会发布)。
《内部控制-整体框架》，通称的COSO (美国虚假财务报告委员会下属发起人委员会)报告。
《萨班斯法案》(SOX),美国政府
信息及相关技术控制目标(COBIT)是目前国际上通用的信息及相关技术控制规范。

2、IT审计常用方法
常用审计方法包括: 访谈法、调查法、检查法、观察法、测试法和程序代码检查法等。
在这里插入图片描述

3、IT审计技术
常用的IT审计技术包括: 风险评估技术、审计抽样技术、计算机辅助审计技术及大数据审计技术。

（1）风险评估技术：风险识别(德尔菲法、头脑风暴等);•分析(对影响和后果进行评价和估量，定性、定量);•评价(揭示响应成败的关键风险因素，包括单因素和总体风险评价)、•应对技术(制定的应对技术方案，包括云计算、冗余链路、冗余资源、系统弹性伸缩、两地三中心灾备、业务熔断限流等)。
（2）审计抽样技术：选取一定数量的样本进行测试。
（3）计算机辅助审计技术(CAAT)：利用计算机，如通用审计软件(GAS)、测试数据、实用工具软件、专家系统等。
（4）大数据审计技术：包括大数据智能分析技术、大数据可视化分析技术及大数据多数据源综合分析技术。

4、IT审计证据
审计证据是审计意见的支柱，是审计人员形成审计结论的基础。审计证据的特性包括：充分性、客观性、相关性、可靠性、合法性。

5、IT审计底稿
审计工作底稿是指审计人员对制订的审计计划、实施的审计程序、获取的相关审计证据，以及得出的审计结论做出的记录。审计工作底稿是审计证据的载体，是审计人员在审计过程中形成的审计工作记录和获取的资料。审计底稿的作用表现在: