信息系统项目管理师教程（第4版）笔记——第 3 章 信息系统治理

第 3 章 信息系统治理

3.1 IT 治理

IT 治理（信息技术治理）是组织治理的核心组成部分，是对信息技术及数据资源开发利用的有效管控机制，核心作用是统筹、评估、指导和监督组织数字化转型，确保 IT 战略与业务战略匹配，平衡风险与收益，让 IT 真正为组织创造价值。简单说，IT 治理就像 “IT 领域的导航系统”，帮组织在数字化浪潮中找对方向、避开风险、用好资源。

3.1.1 IT 治理基础

1. IT 治理的驱动因素

组织开展 IT 治理，本质是为了解决数字化过程中的核心问题，主要驱动因素包括：

• 破解 “信息孤岛” 难题：多年分散开发或引进的系统导致数据无法共享，系统集成困难，需通过治理实现资源统一规划；
• IT 资产的重要性凸显：IT 资产已成为组织核心资产，需通过明确决策权和责任担当，规范 IT 相关行为；
• 战略匹配的需求：组织 IT 投资越来越大，需确保 IT 战略与业务战略一致，避免资源浪费，保持核心竞争力；
• 其他关键因素：IT 是知识密集型领域，价值发挥弹性大；IT 已融入组织管理、生产、服务全流程；新兴技术带来新机遇；需挖掘 IT 价值、做好价值管理；管理层无法事无巨细管控 IT；行业领先组织的治理实践证明其有效性。

2. IT 治理的内涵

IT 治理的核心逻辑可概括为 5 个方面：

• 层级定位：属于组织上层管理，由治理层或高级管理层负责，是组织治理的有机组成；
• 核心目标：确保 IT 与业务目标一致，为组织战略提供技术和控制支持；
• 价值导向：保护利益相关者权益，平衡成本与收益，管控风险，增强核心竞争力；
• 本质属性：是一套制度和机制，涵盖 IT 与业务匹配、投资、安全、绩效评价等内容；
• 构成要素：包括管理层、组织结构、制度、流程、人员、技术等，共同搭建治理架构。

3. IT 治理的目标价值

IT 治理的核心使命是让组织从 IT 中获得最大价值，具体目标包括三大核心：

• 与业务目标一致：从组织战略中提炼 IT 需求，形成治理框架和系统模型，确保 IT 开发利用跟上业务变化，不偏离方向；
• 有效利用信息与数据资源：解决 IT 项目超期、需求不满足、数据价值低、业务融合浅等问题，确保 IT 投资有回报，支撑决策；
• 风险管理：应对组织对 IT 的依赖度提升带来的新风险（如新技术管理缺失、合规问题、安全威胁），对关键信息和数据实施分级保护、监控和事件处理。

4. IT 治理的管理层次

IT 治理需层层落实，从高层到基层形成闭环，三个层次的职责各有侧重：

• 最高管理层（如董事会）：把控方向，确认 IT 与业务战略一致；指导 IT 战略和投资平衡；分配信息与数据资源；确保 IT 价值交付；
• 执行管理层：制定 IT 目标；分析新技术机遇与风险；建设核心流程和竞争力；分配责任、定义规程、衡量业绩；管理风险并获取可靠保证；
• 业务与服务执行层：落地执行，提供信息和数据服务支持；建设和维护 IT 基础设施；提出和响应 IT 需求。

3.1.2 IT 治理体系

IT 治理体系是实现有效治理的 “骨架”，明确了 “治理目标、谁来做、做什么、怎么做、效果如何” 等核心问题，确保治理工作有序开展。

1. IT 治理关键决策

有效的 IT 治理需聚焦五项核心决策，它们相互关联、层层递进：

2. IT 治理体系框架

框架以组织战略为导向，搭建起 IT 与业务的桥梁，形成 “目标 - 组织 - 机制 - 治理域 - 标准 - 绩效” 的闭环，具体包括 6 个部分：

• IT 战略目标：明确 IT 与业务关系、决策、资源利用、风险控制等方面的目标，确保 IT 价值最大化；
• IT 治理组织：界定各主体的治理范围、责权利，核心是设置治理机构（如 IT 治理委员会）并划分权限，直接影响治理效率；
• IT 治理机制：包括决策、执行、风险控制、协调机制，四者相辅相成 —— 决策机制保障方向正确，执行机制保障落地，风险控制机制降低损失，协调机制发挥协同效应；
• IT 治理域：对 IT 资源的具体行动，包括信息系统的计划、构建、运维与监控，确保 IT“高效做事、敏捷决策”；
• IT 治理标准：包括基本规范、实施参照、评价体系、审计方法，是治理的 “标尺” 和最佳实践对标依据；
• IT 绩效目标：关注 IT 价值实现，评价 IT 规划和构建是否满足业务需求，工期、成本、质量是否达标。

3. IT 治理核心内容

IT 治理的本质是 “实现 IT 业务价值 + 规避 IT 风险”，核心围绕 6 个方面展开，如同 “治理的六大支柱”：

• 组织职责：明确参与 IT 决策和管理的所有人员责任，划分信息系统的所有者、建设者、管理者、监控者，理清 IT 部门与业务部门的关系；
• 战略匹配：让 IT 建设与组织战略同频，这是 IT 创造业务价值的核心驱动力，避免 “IT 自说自话”；
• 资源管理：优化 IT 投资和资源（人、应用系统、信息、基础设施）分配，做好人员培训，确保用户理解和用好 IT 资源；
• 价值交付：通过全生命周期管理 IT 项目，控制成本，确保项目在预算、时间内按质量要求完成，实现预期业务价值（创造价值）；
• 风险管理：保护 IT 资产、信息资源和人员隐私安全，做好灾难恢复，避免业务价值受损（保护价值）；
• 绩效管理：追踪和监视 IT 战略、项目实施、资源使用、服务提供和业务流程绩效，常用工具如平衡积分卡，将战略目标转化为具体行动目标。

4. IT 治理机制经验

（1）建立机制的原则

• 简单：明确个人和团体的责任与目标，不复杂冗余；
• 透明：程序正式，治理决策的制定过程对相关方清晰可见；
• 适合：让最适合的人制定特定决策，提升决策效率和准确性。

（2）高影响力且具挑战性的机制

（3）最佳实践经验

• IT 指导委员会吸纳业务经理，负责组织级 IT 治理决策，严格控制成本；
• 谨慎管理 IT 架构和业务架构，降低业务成本；
• 设计严格的架构例外处理流程，减少昂贵例外情况；
• 建立集中化 IT 团队，管理基础设施、架构和共享服务；
• 建立连接 IT 投资与业务需求的流程，平衡中心与各部门需求；
• 设计集中协作和核准的 IT 投资流程；
• 简化费用分摊和 SLA 机制，明确 IT 开支分配。

3.1.3 IT 治理任务

组织 IT 治理的核心活动可概括为 “统筹、指导、监督、改进”，具体聚焦 5 大任务：

• 全局统筹：规划 IT 治理的目标、范围、技术环境和人员责权利；建立 IT 治理机构，明确负责人；制定 IT 蓝图；实现业务横向集成和纵向管控；建立持续改进机制，确保 IT 与业务一致；
• 价值导向：明确 IT 投资的预期收益和问责机制；建立价值框架，在可控成本和风险下实现 IT 战略目标；识别投资目录并评估管理；设定关键指标，及时响应变化，平衡成本与效益；
• 机制保障：建立适合组织的管控机制，满足互补、协同、监督改进和风险可控原则；明确管理责任和权利关系；制定信息技术治理制度；规范过程管理和痕迹管理；评审 IT 管理体系有效性；审计 IT 完整性、有效性和合规性；
• 创新发展：利用 IT 创新开拓业务领域、提升管理水平、降本增效；建立围绕知识资产的创新体系；培养团队创新能力（发问、观察、交际、实验）；建立人员、技术、制度、资金等多方面的创新支持机制；
• 文化助推：与利益相关者沟通 IT 治理目标、策略和职责；营造积极包容的组织文化；引导员工适应 IT 变革、遵守职业规范；将 IT 相关文化建设纳入管理层职责；根据内部环境变化评估和改进组织文化。

3.1.4 IT 治理方法与标准

国内外已形成成熟的 IT 治理方法和标准，为组织提供 “现成的操作指南”，核心包括以下三类：

1. ITSS 中 IT 服务治理（我国标准）

ITSS（信息技术服务标准库）中的 IT 治理系列标准，围绕 “做什么、如何做、怎么样、如何评价” 构建逻辑，核心包括两项关键标准：

（1）IT 治理通用要求（GB/T 34960.1）

• 核心作用：规定 IT 治理的模型、框架、实施原则，以及顶层设计、管理体系和资源的治理要求；
• 适用场景：建立 IT 治理体系并自我评价、开展信息技术审计、研发 / 选择 / 评价 IT 治理解决方案、第三方评价组织 IT 治理能力；
• 治理模型：以治理主体为核心，受组织章程、监管职责、利益相关方期望等驱动，通过 “评估 - 指导 - 监督” 流程，指导管理者完善信息技术管理体系；
• 治理框架：包含三大治理域，各域下设具体要素：
  • 顶层设计：信息技术战略、支撑战略的组织和架构；
  • 管理体系：质量管理、项目管理、投资管理、服务管理、业务连续性管理、信息安全管理、风险管理、供方管理、资产管理等；
  • 资源：基础设施、应用系统、数据。

（2）IT 治理实施指南（GB/T 34960.2）

• 核心作用：提供通用要求的实施方法，明确实施环境、过程和治理域要求；
• 适用场景：建立 IT 治理实施框架、内部实施 IT 治理、指导解决方案落地、指导第三方评价；
• 实施框架：
  • 实施环境：组织内外部环境和促成因素；
  • 实施过程：统筹规划→构建运行→监督评估→改进优化；
  • 治理域：与通用要求一致（顶层设计、管理体系、资源）。

2. 信息和技术治理框架（COBIT）

由美国信息系统审计与控制协会（ISACA）编制，是面向整个组织的治理和管理框架，核心是区分 “治理” 和 “管理”：

• 治理：由董事会和执行管理层负责，聚焦 “评估 - 指导 - 监控”，确定目标、设定方向、监控绩效；
• 管理：由高级和中级管理层负责，聚焦 “计划 - 构建 - 运行 - 监控”，按治理方向落地目标。

（1）治理和管理目标

COBIT 核心模型包含 40 项核心目标，分为 5 个领域：

• 评估、指导和监控（EDM）：治理领域，由董事会和执行管理层负责，包括确保治理框架设置、利益相关方参与、实现效益、风险优化、资源优化；
• 调整、规划和组织（APO）：管理领域，涉及 IT 组织、战略、预算、人力资源、企业架构、创新、组合管理等；
• 内部构建、外部采购和实施（BAI）：管理领域，涵盖解决方案识别与构建、需求定义、计划管理、IT 变更、组织变更等；
• 交付、服务和支持（DSS）：管理领域，包括运营管理、服务请求和事故管理、问题管理、连续性管理、安全服务等；
• 监控、评价和评估（MEA）：管理领域，涉及绩效和一致性监控、外部要求合规性、鉴证等。

（2）治理系统组件

包括流程、组织结构、原则 / 政策 / 程序、信息、文化 / 道德 / 行为、人员 / 技能 / 胜任能力、服务 / 基础设施 / 应用程序，共同支撑治理目标实现。

（3）治理系统设计

• 设计因素：组织战略、目标、风险概况、IT 相关问题、威胁环境、合规要求、IT 角色、采购模式、实施方法、技术采用战略、组织规模、未来因素；
• 设计流程：了解组织环境和战略→确定治理系统初步范围→优化范围→最终确定设计。

3. IT 治理国际标准（ISO/IEC 38500）

2008 年首次发布，2014 年更新第二版，标志着 IT 治理进入规范化发展阶段，核心内容包括：

（1）六大治理原则

• 责任：个人和团体明确并接受 IT 供应和需求相关责任，有责有权；
• 战略：业务战略考虑 IT 当前和未来能力，IT 计划满足业务战略需求；
• 收购：IT 收购基于正当理由和透明决策，平衡短期与长期的利益、成本和风险；
• 性能：IT 支持组织需求，提供所需的服务、服务水平和质量；
• 一致性：IT 使用符合法律法规，政策和实践明确、落地执行；
• 人的行为：IT 相关政策、实践和决策尊重人的行为和需求。

（2）三大治理任务

• 评估：审查 IT 当前和未来使用情况，考虑内外部压力（技术变革、监管要求等）和业务需求，持续调整；
• 指导：编制和执行 IT 战略和政策，战略设定投资方向和目标，政策规范 IT 行为，鼓励良好治理文化；
• 监督：通过测量系统监控 IT 绩效，确保符合战略和业务目标，满足外部义务和内部惯例。

3.2 IT 审计

IT 审计是 IT 治理的 “监督和评估工具”，核心是对组织信息系统及相关 IT 内部控制、流程进行检查和评价，识别 IT 风险，确保 IT 资产安全、数据完整、合规运行，助力 IT 治理目标实现。随着新一代信息技术普及，IT 风险加剧，IT 审计的重要性愈发凸显。

3.2.1 IT 审计基础

1. IT 审计定义

不同机构对 IT 审计的定义核心一致，本质是 “通过证据评估 IT 系统是否达成目标”，主流定义如下：

2. IT 审计目的

IT 审计的核心目标是助力组织实现 IT 目标，具体包括：

• 确保 IT 战略与业务战略一致；
• 保护信息资产安全和数据的完整、可靠、有效；
• 提高信息系统的安全性、可靠性和有效性；
• 保证信息系统及运用符合法律法规和标准要求。

3. IT 审计范围

审计范围需结合审计目的、成本确定，明确 “审计哪些对象、覆盖哪些区域”，具体包括：

实际工作中，审计人员会先了解组织 IT 总体情况并评估风险（如环境控制风险、系统风险、数据风险），再结合时间、人力确定重点审计范围。

4. IT 审计人员要求

IT 审计人员需具备 “专业能力 + 职业素养”，具体要求如下：

5. IT 审计风险

IT 审计风险是指审计结果可能存在偏差的风险，核心包括四类：

审计人员可通过设定目标风险水平、调整审计工作量，以合理成本最小化总体风险。

3.2.2 审计方法与技术

1. IT 审计依据与准则

IT 审计需 “有法可依”，核心依据包括国内外法律法规、准则和标准：

• 国际准则：ISACA 信息系统审计准则、COSO《内部控制 — 整体框架》、《萨班斯法案》（SOX）、COBIT 控制目标；
• 我国依据：
  • 法律法规：《审计法》《网络安全法》《数据安全法》《个人信息保护法》；
  • 审计准则：《信息系统审计指南》《第 2203 号内部审计具体准则 — 信息系统审计》；
  • IT 审计标准：GB/T 34960.4《信息技术服务治理第 4 部分：审计导则》；
  • 内部控制：《组织内部控制基本规范》《组织内部控制应用指引第 18 号 — 信息系统》；
  • 行业规范：《商业银行信息科技风险管理指引》《证券期货经营机构信息技术治理工作指引》等。

2. IT 审计常用方法

审计方法是完成审计任务的 “工具”，常用方法及说明如下：

3. IT 审计技术

常用技术是审计方法的 “进阶工具”，核心包括四类：

• 风险评估技术：
  • 风险识别：德尔菲法、头脑风暴法、检查表法、SWOT、图解技术；
  • 风险分析：定性分析（如风险等级划分）和定量分析（如风险损失金额计算）；
  • 风险评价：单因素评价（单个风险评估）和总体风险评价（综合风险评估）；
  • 风险应对：云计算、冗余链路、灾备（两地三中心）、业务熔断限流等；
• 审计抽样技术：从审计对象总体中选取样本测试，推断总体特征，分为统计抽样（量化结果，如属性抽样、变量抽样）和非统计抽样（依赖审计人员判断）；
• 计算机辅助审计技术（CAAT）：以计算机为工具完成审计任务，包括通用审计软件（GAS）、测试数据、实用工具软件、专家系统，可独立收集信息、分析数据；
• 大数据审计技术：利用海量多样数据开展深度分析，包括智能分析技术（机器学习、数据挖掘）、可视化分析技术（R、Python、D3.js）、多数据源综合分析技术（数据比对、关联分析）。

4. IT 审计证据

审计证据是形成审计结论的 “依据”，核心要求和分类如下：

• 核心特性：
  • 充分性：证据数量足够支持结论（如足够样本量）；
  • 客观性：证据是客观存在的事实（如系统日志）；
  • 相关性：证据与审计事项有实质性联系（如权限申请表与权限控制审计相关）；
  • 可靠性：证据能真实反映客观情况（如原始日志比复制件可靠）；
  • 合法性：证据符合法定种类，按法定程序取得；
• 电子证据：以电子、数据、磁性等形式存在的证据（如系统日志、邮件），需规范收集、提取、保存、认证流程，目前正逐步获得独立法律地位；
• 证据评价：需考虑证据提供者独立性、个人资质、客观性、时效性、与审计目标的相关性、说服力、充分性，同时兼顾成本效益原则。

5. IT 审计底稿

审计底稿是审计过程和结果的 “记录载体”，核心作用和要求如下：

• 核心作用：形成审计结论的直接依据；评价考核审计人员的依据；审计质量控制与监督的基础；未来审计的参考；
• 分类：
  • 综合类工作底稿：审计计划、总结、报告、管理建议书等（规划和总结类记录）；
  • 业务类工作底稿：符合性测试、实质性测试形成的记录（实施阶段具体程序记录）；
  • 备查类工作底稿：对审计有备查作用的资料（如被审计单位制度文件）；
• 编制要求：
  • 内容：资料翔实、重点突出、繁简得当、结论明确；
  • 形式：要素齐全、格式规范、标识一致、记录清晰；
• 复核与保密：通常实行三级复核（审计机构负责人、部门负责人、项目负责人）；对商业秘密保密，法院、检察院等依法查阅不属于泄密；归档后由档案管理部门保管。

3.2.3 审计流程

IT 审计流程是审计工作的 “步骤指南”，广义上分为四个阶段，形成闭环：

• 审计准备阶段（起点）：明确审计目的和任务→组建审计项目组→搜集相关信息（如组织 IT 制度、系统架构）→编制审计计划；
• 审计实施阶段（核心）：深入调查并调整审计计划→了解并初步评估 IT 内部控制→进行符合性测试（测试控制是否有效执行）→进行实质性测试（测试数据和流程的真实性、准确性）；
• 审计终结阶段（收尾）：整理与复核审计工作底稿→整理审计证据→评价 IT 控制目标实现情况→判断并报告审计发现→沟通审计结果→出具审计报告→归档管理；
• 后续审计阶段（跟踪）：审计报告发出后，检查被审计单位是否落实纠正措施并取得预期效果，是前一次审计的有机组成部分。

3.2.4 审计内容

IT 审计主要分为 IT 内部控制审计和 IT 专项审计两大类，具体内容如下：

1. IT 内部控制审计

聚焦组织 IT 内部控制的有效性，包括三类：

• 组织层面 IT 控制审计：审计 IT 战略、组织、架构、业务连续性、风险管理、外包管理、网络与信息安全、监督管理等；
• IT 一般控制审计：审计与应用系统、数据库、操作系统、网络相关的策略和措施（如操作系统权限控制、数据库备份策略）；
• 应用控制审计：审计业务流程层面的人工或自动化程序，包括输入控制（如数据校验）、处理控制（如逻辑运算准确性）、输出控制（如报表生成合规性）。

2. IT 专项审计

针对特定风险或需求开展的审计，核心包括：

3. 信息系统项目管理审计（示例）

这类审计聚焦项目管理全过程，核心内容和方法如下：