资源描述：
《基于生命周期的信息系统内部控制风险管理研究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。
1、基于生命周期的信息系统内部控制风险管理研究.吴炎太林斌孙烨=摘要>加强信息系统内部控制,降低信息系统风险,具有重要意义"本文介绍了COSO和COBIT有关信息系统内部控制的理论,分析了COBIT的控制思想和存在的不足,介绍了我国信息系统内部控制规范发展状况,分析了我国5企业内部控制应用指引)信息系统6的基本思想"论述了信息系统生命周期与风险管理之间的关系,提出了以信息系统生命周期为基础,根据信息系统不同阶段的风险特征进行信息系统风险控制的方法"本文按照信息系统生命周期的不同阶段,对信息系统内部控制主要风险进行了探讨,指出了信息系统各个阶段存在的主要风险,并据此提出了相应的信息系
2、统内部控制风险管理方法"[关键词1生命周期信息系统内部控制风险管理如何加强企业信息系统的内部控制,降低信息时发现和改正的能力"系统风险及企业经营风险,对于提高企业经济效COSO框架在/信息与沟通0要素部分论述了益,实现企业的业务目标和战略目标,具有重要的信息系统的战略作用"信息系统是企业经营不可缺现实意义"本文以信息系统生命周期为基础,对信少的一个组成部分,信息系统不仅通过提供决策所息系统内部控制风险管理进行探讨"需要的信息来影响控制,而且还更多地被用作支持企业战略!实现战略目标的手段"COSO认识到必一!国外信息系统内部控制理论回顾须将信息系统的规划!设计和实施同企业的整体战
3、(一)COSO框架略整合在一起,因此,在COSO框架中提到应建立在内部控制和风险管理的演进过程中,COsO战略一体化信息系统,信息系统的战略性应用要求的突出贡献是举世公认的"1992年COSO发布了突破单纯的财务信息系统而扩展到财务与业务集(内部控制)整合框架6,2004年COSO又发布了成的企业管理信息系统,这样有利于控制业务流5企业风险管理)整合框架6"COSO框架对企业程,实时跟踪和记录交易"但对如何构建这样的信的内部控制和风险管理产生了深远影响,强调对信息系统,该框架没有作进一步探讨"息系统的控制与信息系统的战略作用"(二)COBITCOSO框架在/控制活动0要素部分规
4、范了对COBIT(ControlObjeetivesforInformationand信息系统的控制"COSO将信息系统控制分为一般RelatedTechnofogy)即信息及相关技术控制目标,控制和应用控制,它们之间存在着相互依赖和相互是目前国际上公认的最先进!最权威的安全与信息支持的关系:应用控制功能的发挥依赖于一般控制技术管理和控制的标准"COBIT建立在对现有lT的支持,一般控制因为应用控制的存在而对企业具标准及最佳惯例分析和融合的基础之上,这些标准有实际意义,只有两者共同发挥作用才能使信息系包括:国际标准150/IEC27000!COSO的(内部控统在加强企业管理和实
5、现控制方面发挥其独特的制)整合框架6及5企业风险管理)整合框架6!优势"计算机对控制的一个最有意义的贡献就是其OGC(OfieeofGovernmentCommeree)的ITIL(IT防止错误进入系统的能力,以及一旦错误存在,及xnfrastruetureLibr娜,信息技术基础架构库)!SEI*吴炎太,广东金融学院计算机系,邮政编码:510521,电子信箱:wuyantai@163.com;林斌!孙烨,中山大学管理学院"感谢国家自然科学基金(70972076)!教育部人文社科规划项目和财政部重点会计课题(2008KJA12)的资助"作者特别感谢匿名审稿人和编辑提出的宝贵修改
6、意见,但文责自负"(SoftwareEngineeringInstitue)的CMM(CaPability当关注的一系列信息系统控制的风险,提出了企业MaturityModel,能力成熟度模型)及eMMI在建立与实施信息系统内部控制过程中,应当强化(C叩abilityMatorityModelIntegation,能力成熟度的关键方面和环节"5信息系统内控指引6从岗位模型集成)等"因此COBIT是r治理惯例的集大分工与授权审批!信息系统开发!运行维护与变更!成者"COBr为衡量!审计和控制信息系统提供了信息系统安全!信息技术设备!应用控制设计等方一个普遍适用的控制模型,指导企业
7、有效利用信息面制定了详细的规定"资源,有效地管理与信息相关的风险"三!信息系统的生命周期与风险管理COBIT通过r过程管理IT资源,以交付满足业务和治理要求的信息,实现r控制目标"COBIT(一)信息系统的生命周期包括34个通用的IT过程,按照信息系统生命周期信息系统的开发与运行过程,就是从问题提将r过程分为四个域:策划与组织!获取与实施!出!开发班子组成!系统规划!系统分析!系统设交付与支持!监控与评价,这些域映射到传统的r计!系统实施到系统运行维护和评价的全部过程"职责域就是:规划!实施
