分析企业it风险控制与审计实务

《分析企业it风险控制与审计实务》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、分析企业IT风险控制与审计实务风险控制是公司IT治理机制的一个重要组成部分，在信息化建设中，需要管理与控制各种风险，以便达到保护IT投资、维持系统持续运行的目的。以风险为导向的审计是合理规避IT风险的一种有效途径，在大型企业中举足轻重。企业IT风险控制与审计需要在充分考虑企业IT系统状况、IT治理结构以及IT审计资源的基础上，借鉴与吸收国际相关企业IT审计的领先实践，全面提高IT审计水平和IT审计人员素质，有效规避IT风险，为企业的未来发展保驾护航。一、IT治理与风险管理IT治理是一种引导和控制企业各种关系和流程的结构，确保组织拥有适当的结构、政策、

2、工作职责、运营管理机制和监督实务，以达到公司治理中对IT方面的要求，旨在通过平衡信息技术及其流程中的风险和收益，增加价值，以实现企业目标。IT治理是企业治理结构中不可或缺的一部分，而相关的IT治理流程则可确保企业IT目标与业务目标保持一致，并可持续发展。因此，IT治理必须与企业战略目标一致，使IT发挥更大的作用、创造更多的价值，实现公司价值和利益的最大化。IT治理领域中，首重策略、组织架构、政策与内部流程。控制风险、绩效评量与提供价值则为组织架构中关注的焦点。同时，IT治理牵涉的范畴，包含：IT服务提供、IT服务支援、营运业务展望、基础建设管理与应用

3、管理。其不同视角的IT治理作用如下表。保证所有的缺陷都已被控制所覆盖利用风险控制与审计策略管理IT风险，要求企业的高层管理者具备良好的风险意识，清晰了解企业对风险的态度，了解合规性要求，将风险管理的职责嵌入组织架构设计中，围绕信息化战略目标构建全面风险管理体系以进行有效的风险管理与控制。二、IT风险管理体系基于IT治理的IT风险管理需要执行一整套风险管理程序，必须建立风险识别、风险分析与评估、风险规避与应对、风险监控等流程并严格执行。从操作层面上分析，IT风险管理中对IT风险的控制与审计是风险管理中的两个重要环节：（一）IT控制IT控制就是在治理结构

4、下，为实现组织的目标提供合理保证而实施的一系列政策和程序，内部控制是一个持续的过程，为了保证组织经营的效率和效果、财务报告的可靠性以及对有关法律和规章制度的遵循等情况下评估风险并设计、实施和持续监督控制措施。可以看出IT控制的主要目的是建立一个可持续监控的控制环境使组织风险可识别、可控、可管理。风险控制是指控制风险事件发生的动因、环境、条件等，来达到减轻风险事件发生时的损失或降低风险事件发生的概率的目的。风险无法彻底消除，仅能降低、控制与移转，对于残余风险，企业需自行审视可接受的程度。然而，在进行风险控制活动前，需先进行风险评估，对于潜在影响的弱点与

5、威胁胪列出来，并分析评估矫正的优先程序，然后再针对风险，设计有关的预防性、检查性与纠正性的控制。控制的设计，应该就风险评估后的结果，因此，完整的风险评估作业，是极为重要的，不好的风险评估会影响后续控制设计，甚至于控制执行的落实程度。当控制设计完成后，需再次检视相对应的管理政策与办法是否足够满足控制的目标，倘若现有管理政策文件无法满足控制目标的要求，应立即进行增修作业，务必达到与现有作业机制一致的目标。随着组织的发展对IT的依赖日趋明显，内部原有业务和管理风险特征由于信息系统越来越广泛的运用而出现了变化，业务对信息系统的依赖性增加，因此必须建立起有效的

6、风险控制体系。管理层应从基本的内部控制环境着手建置，从一般信息技术控制环境到业务流程中的内部控制环境，其中应思考系统控制与人工控制紧密结合的协调性与完整性。（二）IT审计IT审计是一个获取并评价证据的过程，主要是判断信息系统是否能够保证资产的安全、数据的完整性、有效率利用组织的资源、有效果地实现组织目标地过程。IT审计是监视和评审IT控制措施的执行情况和有效性的主要手段之一，可以从组织整体业务风险的角度，对实施和运行的控制措施进行持续监控，以管理组织的业务风险。IT审计可以作为符合法律、法规以及管理要求的控制手段，可以证明管理层建立并维护了恰当的内控

7、措施；可以提供证据说明业务相关数据的完整性，以及可以证明具备合法权限的人正确访问数据；可以提供报警和审计报告确保管理层知道重大信息和任何变更；IT审计可以围绕数据提供报告用于合规性评估，降低遵从成本。作为组织IT风险控制的最后防线，IT审计为组织进行风险防范，提高设计正确性和加强应用的管理控制提供建议。（三）IT治理、IT控制与IT审计之间的联系IT治理是为组织建立一个长效的均衡的治理结构，在风险可控的环境下保证组织获益。均衡的环境在满足组织外部约束的同时需要考虑如何降低成本、提高股东收益、满足客户要求以及建立良好的社会形象等条件下不断调整变化而达到

8、的，因此IT治理侧重于宏观决策方面，要做哪些事，由谁来做这些事，以及如何建立决策机制、如何进行有效监控等。I