软考高项-第三章-信息系统治理
2024-05-12 08:17:39 0 举报AI智能生成
软考高项-第三章-信息系统治理知识点整理
作者其他创作
大纲/内容
IT治理
IT治理基础
定义
IT治理是描述组织采用有效的机制对信息技术和数据资源开发利用，平衡信息化发展和数字化转型过程中的风险，确保实现组织的战略目标的过程
IT治理的驱动因素
IT治理的目标价值
与业务目标一致
有效利用信息与数据资源
风险管理
IT治理的管理层次
最高管理层：证实IT战略与业务战略是否一致
执行管理层：制定IT的目标，分析新技术的机遇和风险
业务与服务执行层：信息和数据服务的提供和支持，IT基础设施的建设和维护，IT需求的提出和响应
IT治理体系
IT治理体系的构成
IT定位（目标是什么）：IT应用的期望行为与业务目标一致
IT治理框架（由谁来做）：业务和IT在治理委员会中的构成，组织IT与各分支机构的IT责权边界等
IT治理内容（做什么）：投资、风险、绩效、标准和规范等
IT治理流程（怎么做）：统筹、评估、指导、监督
IT治理效果（做的效果如何）：内外评价
IT治理关键决策
IT原则
IT架构
IT基础设施
业务应用需求
IT投资和有限顺序
IT治理体系框架
IT战略目标
IT治理组织
IT治理机制
IT治理域
IT治理标准
IT治理目标
IT治理核心内容
IT治理本质上关心1）实现IT的业务价值；2）IT风险的规避
核心内容的6个方面
组织职责
战略匹配
资源管理
价值交付
风险管理
绩效管理
平衡计分卡（Balanced Score Card，BSC）
IT治理机制经验
IT治理任务
全局统筹
价值导向
机制保障
创新发展
文化助推
IT治理方法与标准（1分选择）
典型的标准
我国信息技术服务标准库（ITSS）中IT治理系列标准
IT治理通用要求GB/T34960.1《信息技术服务治理第一部分：通用要求》
标准可用于（自身研三）：
1）建立组织的IT治理体系，并实施自我评价
2）开展信息技术审计
3）研发、选择和评价IT治理相关的软件和解决方案
4）第三方组织对IT治理能力进行评价
该标准定义的IT治理模型包含治理的内外部要求、治理主体、治理方法、以及信息技术机器应用的管理体系
标准可用于（自身研三）：
1）建立组织的IT治理体系，并实施自我评价
2）开展信息技术审计
3）研发、选择和评价IT治理相关的软件和解决方案
4）第三方组织对IT治理能力进行评价
该标准定义的IT治理模型包含治理的内外部要求、治理主体、治理方法、以及信息技术机器应用的管理体系
IT治理实施指南GB/T34960.2《信息技术服务治理第二部分：实施指南》
标准适用于（三实施一指导）
1）建立组织的IT治理实施框架，明确实施方法和过程
2）组织内部开展IT治理的实施
3）IT治理相关软件或解决方案实施落地的指导
4）第三方开展IT治理评价的指导
标准适用于（三实施一指导）
1）建立组织的IT治理实施框架，明确实施方法和过程
2）组织内部开展IT治理的实施
3）IT治理相关软件或解决方案实施落地的指导
4）第三方开展IT治理评价的指导
信息和技术治理框架（COBIT）
治理和管理目标
董事会和执行管理层负责：评估、指导和监控（EDM）领域
高级和中级管理层的职责：监控、评价和评估（MEA）领域
信息和技术治理解决方案的设计
COBIT给出的建议设计流程
了解组织环境和战略
确定治理系统的初步范围
优化治理系统的范围
最终确定治理系统的设计
IT治理国际标准（ISO/IEC38500）
通过评估、指导、监督三个主要任务来治理IT
IT审计监督的作用：提供组织的信息系统治理水平，促进组织信息系统治理目标的实现
IT审计
IT审计基础
IT审计的重要性是指IT审计风险（固有风险、控制风险、检查风险）对组织影响的严重程度，如财务损失、业务中断、失去客户信任、经济制裁等
IT审计定义
IT审计目标
组织的IT战略应与业务占路人保持一致
保护信息资产的安全及数据的完整、可靠、有效
提高信息系统的安全性、可靠性及有效性
合理保证信息系统机器运用符合有效法律、法规及标准等的要求
IT审计范围
总体范围：需要根据审计目的和投入的审计成本来确定
组织范围：明确审计涉及的组织机构、主要流程、活动及人员等
物理范围：具体的物理地点与边界
逻辑范围：涉及的信息系统和逻辑边界
IT审计风险（总监控股）
固有风险（本身）
易导致重大错误的风险
是IT活动本身所具有的，审计人员只能评估，却无法控制或影响它
风险的衡量是主观的、复杂的
控制风险
是指与IT活动相关的内部控制体系不能及时预防或检查出存在的重大错误的风险
与内部控制制度执行的有效性有关
与审计无关
属于内部控制的范畴
审计人员只能评估其风险水平而不能对其实施控制和影响
检查风险
总体审计
是指单个控制目标所产生的各类审计风险总和
审计方法与技术
行业规范：《商业银行信息科技风险管理指引》《证券期货经营机构信息技术治理工作指引》《保险公司信息化工作指引》等
IT审计依据与准则
IT审计依据与准则
IT审计常用方法：访谈法、调查法、检查法、观察法、测试法和程序代码检查法
IT审计技术
IT风险评估技术
风险识别技术：德尔菲法、头脑风暴法、检查表法、SWOT技术及图解技术等
风险分析技术
风险评价技术
风险应对技术
审计抽样技术
统计抽样
非统计抽样
计算机辅助审计技术：通用审计软件（GAS）、测试数据、实用工具软件、专家系统
大数据审计技术
大数据只能分析技术
大苏局可视化分析技术
大数据多数据源分析技术
IT审计证据
充分性
客观性
相关性
可靠性
合法性
IT审计底稿
是指审计人员对制定的审计计划、实施的审计程序、获取的相关审计证据，以及得出的审计结论作出的记录。
作用表现
是形成审计结论、发表审意见的直接依据
是评价审计人员的主要依据
是审计质量控制和监督的基础
对未来审计业务具有参考备查作用
审计工作底稿分类
综合类工作底稿：计划、建议、声明、全记录
业务类工作底稿：执行、细节
备查类工作底稿：备查、冗余
内容要求：资料翔实、重点突出、繁简得当、结论明确
形式要求：要素齐全、格式规范、标识一致、记录清晰
审计流程
审计准备阶段
审计实施阶段
实施终结阶段
后续审计阶段
审计内容
IT内部控制审计
IT专项审计
0 条评论
下一页
