北大cio教程-it治理-陈伟-1

《北大cio教程-it治理-陈伟-1》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、IT治理与信息安全咨询顾问：陈伟建立IT治理机制，控制IT风险培训大纲一、什么是IT治理？二、战略层的IT治理三、战术层的IT治理四、IT治理实施路径一、什么是IT治理？ITG企业管理模式企业在确认自身战略目标的基础上，对组织架构、业务流程、以及业绩评估三个元素进行整合，并取得信息技术的充分配合与支持，才能全面提升管理水平。经营战略信息技术业绩评估业务流程组织架构环环市场境境业行1.1从企业管理到IT管理控制企业管理常见风险战略定位不明组织架构紊乱业务流程松散激励机制不足信息技术缺乏资金管理低效对企业实施风险管理目标：企业风险管理的目标是控制企业的风险，保护企

2、业的核心竞争力，风险管理是未来企业发展的主旋律。企业风险管理的背景2002年美国国会发布了SOX《萨班斯—奥克斯利法案》要求所有上市公司都必须建立有效的内部控制框架。2004年9月30日中国银监会发布了《商业银行内部控制评价办法》，2006年银监会发布《电子银行业务管理办法》、《电子银行安全评估指引》、《银行业金融机构信息系统风险管理指引》和《银行业金融机构内部审计指引》。2006年6月国资委发布《中央企业全面风险管理》；2006年6月5日，上海证券交易所发布了《上海证券交易所上市公司内部控制指引》；2006年9月28日深交所发布《深圳证券交易所上市公司内部控

3、制指引》财政部近日发起成立企业内部控制标准委员会，其目的是为推动企业完善治理结构和内部约束机制，中国式的SOX法即将出台。企业风险管理框架（COSO）目标：从各种角度来考虑因素：从相联的各种过程来考虑地点：在组织的各个层次考虑COSO风险管理框架的启发要站在企业管理者的角度来看待风险，企业风险是由包括IT风险在内的其他风险组合而成。强调“人”的重要性，组织中的每一个人对风险管理都负有责任；强调“软控制”的作用。“软控制”主要指那些属于精神层面的事物，如高级管理阶层的管理风格、管理哲学、企业文化、内部控制意识等，“软控制”影响人的行为。强调风险管理是一个“动态过

4、程”，风险管理是一个发现问题、解决问题、发现新问题、解决新问题的循环往复的PDCA过程。明确指出内部控制只能做到“合理”保证，目标达成的可能性受许多先天条件不足及各种“不确定性”的影响。没有不花钱的内部控制，也不存在完美无缺的内部控制。企业风险管理组成结构风险管理策略组织对风险的态度，对风险管理的承诺风险控制过程组织具体管理风险步骤、做法及工具风险管理基础组织内支持风险管理的人员、组织、技术等，来协助驱动风险管理风险模型举例IT风险控制是企业风险管理中的重要组成部分公司层控制应用层控制基础层控制IT控制层COSO控制框架ISMS、ITSM、BCP、CMMI、…

5、…IT面临哪些风险与挑战？在信息与信息系统上的投资规模与成本都在不断扩大，高投入带来了高风险；企业对IT系统的依赖性越来越强的同时，面临不断增多的系统薄弱性和各种各样的威胁，IT系统的停机将造成业务受到巨大损失、声誉下降、竞争优势丧失；IT应用与业务需求之间逻辑错位，IT设施最后成了摆设，IT建设缺乏绩效评估机制；IT项目的高失败率，使得企业无法实现其预期的创新与利益，不能实现对IT的投资回报，或者不通对投资回报进行测量；不断发展的科技潜力显著地改变组织形式与商业模型，在创造出新的机遇并降低了成本的同时，也使得商业竞争不断加剧;……ERP失败案例交易失误信息系

6、统风险的类型IT治理风险IT规划与架构风险IT项目管理风险IT基础设施风险IT应用系统风险IT服务交付风险信息安全风险业务性持续风险IT绩效风险合规性风险……IT不再重要?控制信息化的风险需要制度与管理创新决定信息系统是否有效运转的决定因素不是信息技术，而是制度、组织结构、规则与标准，最终是人。信息化需要合理有效的制度安排，建立良好的管理控制体系是企业信息系统建设成功的重要保证。应该逐步完善企业的IT治理机制，实现IT与战略、管理、业务运营、信息安全的深度融合。这样一方面使信息系统为企业创造价值并保护持续性，另一方面控制信息化的风险与降低成本。构筑信息时代新的

7、“游戏规则”，“规则”是“游戏”是重要组成部分。信息化最大的风险：控制制度--治理机制的缺失1.2IT治理-一种有效的IT管理控制框架建立PDCA的风险控制体系设定风险管理流程目的及目标共同语言结构决策资料订立策略避免利用接受转移减低评估风险验明来源量度不断的改善管理能力设计或引进管理能力监察风险管理表现用制度体系来建立风险控制框架IT风险的控制框架战略层IT治理战术层IT治理你的组织是如何治理IT的？各种回答--“什么是IT治理?以前没有听说过。它有具体的概念和定义吗?”“是不是公司治理?它与公司治理有区别吗?”--“IT工作一直是公司战略中的重点，具体的工

8、作我不太清楚,分管副总知道。”--“我