信息系统审计指南.doc

COBIT信息技术审计指南(34个控制目标)计划与组织(选择3/6/11)1定义战略性的信息技术规划(PO1)PO域控制的IT过程:定义战略性的IT规划满足的业务需求:既要谋求信息技术机遇与IT业务需求的最佳平衡,又要确保其进一步地完成实现路线:在定期从事的战略规划编制过程中,要逐渐形成长期的计划,长期的计划应定期地转化成设置清晰并具体到短期目的的操作计划需要考虑的事项:企业的业务发展战略IT如何支持业务目标的明确定义技术解决方案与当前基础设施的详细清单追踪技术市场适时的可行性研究与现实性检查已有系统的评估在风险、进入市场的时机、质量方面,企业所处的位置需要高级管理层出钱、支持与必不可少的检查信息规范IT资源P效果*人员S效率*应用保密*技术完整*设施可用*数据遵从可靠1、1作为机构长期与短期计划一部分的IT高级管理层对开发与实施履行机构任务与目标的长期与短期的计划负责。在这一方面,高级管理层应确保IT有关事项以及机遇被适当地评估,并将结果反映到机构的长期与短期计划之中。IT的长期、短期计划应被开发,确保IT的运用同机构的使命与业务发展战略相结合。1、2IT长期计划IT管理层与业务过程的所有者要对有规律地开发支持机构总体使命与目的实现的IT长期计划负责。计划编制的方法应包括寻求来自受IT战略计划影响的相关内外部利害关系人引入的机制。相应地,管理层应执行一个长期计划的编制过程,采用一种结构化的方法,并建立一个标准的计划结构。1、3IT长期计划编制——方法与结构对于长期计划的编制过程来讲,IT管理层与业务过程的所有者应建立并采用一种结构化的方法。这样可以制定出高质量的计划,含盖什么、谁、怎样、什么时间与为什么等基本的问题。IT计划的编制过程应考虑风险评估的结果,包括业务、环境、技术与人力资源的风险。计划编制期间,需要考虑与充分投入的方面包括:机构的模式及其变化、地理的分布、技术的发展、成本、法律法规的要求、第三方或市场的要求、规划远景、业务过程再造、员工的安置、自行开发或者外包、数据、应用系统与技术体系结构。已做出选择的好处应被明确地确定下来。IT长期与短期计划应使绩效指标与目标合并在一起。计划本身还应参考其它的计划,比如机构的质量计划与信息风险管理计划。1、4IT长期计划的变更IT管理层与业务过程所有者应确保及时、准确地修改IT长期计划的过程的到位,以适应机构长期计划的变化与IT环境的变化。管理层应建立一个IT长期与短期计划开发与维护所需要的政策。1、5IT功能的短期计划编制IT管理层与业务过程的所有者应确保IT长期计划有规律地转换成IT短期计划。这样的短期计划应确保适当的IT功能资源以与IT长期计划内容相一致的基础上来分配。短期计划应定期地进行再评估,并被作为适应正在变化的业务与IT环境所必须的事项而改进。可行性研究的及时执行应确保短期计划的实行就是被充分地启动的。1、6IT计划的交流管理层应确保IT长期与短期计划同业务过程所有者以及跨越机构的其她相关部门人员的充分沟通。1、7IT计划的监控与评估管理层应建立一个流程,获取与报告来自业务过程所有者与用户有关长期与短期计划的质量及有效性的反馈。获取的反馈应予以评估,并在将来的IT计划编制中加以考虑。1、8现有系统的评估在开发或变更战略规划或长期计划、IT计划之前,IT管理层应按照业务自动化的程度、功能性、稳定性、复杂性、成本、优势与劣势,评估现有信息系统,以确定现有系统支持机构业务需求的程度。对高级与详细的控制目标进行审计:获得了解:访谈:首席执行官(CEO)首席运营官(COO)首席财务官(CFO)首席信息官(CIO)IT计划/指导委员会成员IT高级管理层与人力服务职员获得:与计划编制过程想关联的政策与程序高级管理层的指导角色与责任机构的目标与长短期的计划IT的目标与长短期的计划状况的报告与计划/指导委员会的会议纪要评估控制:考虑就是否:IT或者业务的企业政策与程序选择了一种结构化的计划编制方法方法到位,以便明确地表达并能够修改计划,起码它们要包括:•机构的使命与目的•支持机构使命与目的的IT初始•IT初始的机遇•IT初始的可行性的研究•IT初始的风险评估•当前与未来IT的最佳投资•反映企业使命与目的变化的IT初始的再造•数据应用、技术与机构可选择战略的评估机构的变化、技术的发展、规章的要求、业务过程的再造、员工的安置、自己开发与外包,等等被考虑,并在计划编制过程中充分地从事长短期的IT计划存在,就是当前的,充分针对全部企业、它的使命与关键的业务职能部门IT项目由IT计划编制方法中确定的适当文档所支持确保IT目标与长短期计划持续地满足机构目标与长短期计划的检查点存在由过程所有者与高级管理层评价与结束的IT计划发生根据业务自动化程度、功能性、稳定性、复杂性、成本、优势与弱点,IT计