【文章內(nèi)容簡介】 出來的收益也應(yīng)做同樣應(yīng)的分析。對高級和詳細的控制目標(biāo)進行審計：獲得了解：訪談：首席財務(wù)官（CFO）首席信息官（CIO）IT計劃/指導(dǎo)委員會成員IT高級管理層獲得：與預(yù)算和成本核算相聯(lián)系的機構(gòu)的政策、方法和程序與預(yù)算和成本核算相聯(lián)系的IT政策和程序當(dāng)前和最近的以前年度IT職能部門的年度運作預(yù)算機構(gòu)目標(biāo)和長短期計劃IT目標(biāo)和長短期計劃高級管理層計劃/指導(dǎo)的角色和責(zé)任與差異監(jiān)控和控制相連接的差異報告及其它溝通狀況報告和計劃/指導(dǎo)委員會會議紀(jì)要評估控制：考慮是否：IT預(yù)算的過程與機構(gòu)的過程一致確保與機構(gòu)的預(yù)算、機構(gòu)的長短期計劃、IT長短期計劃相一致的年度IT運作預(yù)算的準(zhǔn)備和適當(dāng)審批的政策和程序的到位預(yù)算過程要與在準(zhǔn)備階段起作用的IT職能部門的主要單位的管理層分享有規(guī)律地監(jiān)控實際成本，并將其與計劃的成本相比較的政策和程序要到位，實際的成本是以機構(gòu)的成本會計系統(tǒng)為基礎(chǔ)的保證IT職能部門的服務(wù)交付具有合理的成本并遵守行業(yè)成本的政策和程序到位評定遵從性：測試：在證明IT年度運作計劃是合理的方面，IT預(yù)算的支持是適當(dāng)?shù)腎T支出的種類是全面的、適當(dāng)?shù)牟⑦M行了適當(dāng)?shù)姆诸惾粘Ｓ涗?、處理和報告與IT職能部門活動相聯(lián)系的成本的系統(tǒng)是適當(dāng)?shù)某杀颈O(jiān)控過程充分地比較實際的預(yù)算由受影響的用戶組的管理層、IT職能部門以及機構(gòu)的高級管理層所進行的成本/效益分析被充分地評價用來監(jiān)控成本的工具是有效的并適當(dāng)?shù)厥褂米C實沒有滿足業(yè)務(wù)目標(biāo)的風(fēng)險：執(zhí)行：依照類似的機構(gòu)或者適當(dāng)?shù)膰H標(biāo)準(zhǔn)/公認(rèn)的行業(yè)最好實踐的預(yù)算和成本的基準(zhǔn)最近的過去和當(dāng)前的年度預(yù)算，及與之相對的結(jié)果、差異和所采取的校正行動的詳細評價確定：沒有按照機構(gòu)的預(yù)算和長短期計劃、IT長短期計劃懂得IT預(yù)算沒有被捕捉到的IT職能部門的實際成本6 溝通管理的目標(biāo)和方向（PO6）控制的IT過程：溝通管理的目標(biāo)和方向滿足的業(yè)務(wù)需求：確保用戶知曉并理解這些目標(biāo)實現(xiàn)路線：建立政策并與用戶團體進行交流；此外，需要建立標(biāo)準(zhǔn)，以便將戰(zhàn)略性選擇轉(zhuǎn)化為實際及便于使用的用戶規(guī)則需要考慮的事項：清晰統(tǒng)一的使命連接業(yè)務(wù)目標(biāo)的技術(shù)方針行為/道德規(guī)范的法規(guī)質(zhì)量承諾安全和內(nèi)部控制政策安全和內(nèi)部控制實踐實例引導(dǎo)持續(xù)的溝通程序提供指導(dǎo)和遵從性檢查信息規(guī)范 IT資源P 效果 * 人員效率 應(yīng)用保密 技術(shù)完整 設(shè)施可用 數(shù)據(jù)S 遵從可靠 積極的信息控制環(huán)境為了給正確的行為提供指導(dǎo)，消除不道德行為的誘惑并嚴(yán)肅紀(jì)律，管理層應(yīng)建立一個全機構(gòu)范圍內(nèi)培育積極控制環(huán)境的框架和認(rèn)知程序。這些框架和程序應(yīng)專注于員工的誠信、倫理價值和能力以及管理哲學(xué)、操作風(fēng)格和義務(wù)。針對IT的各方面，包括安全和業(yè)務(wù)持續(xù)性計劃，要給予具體的考慮。 管理層在政策方面的責(zé)任對于覆蓋總體目標(biāo)和方針的政策而言，管理層應(yīng)對政策的闡明、開發(fā)、聲明、公布和控制承擔(dān)全部責(zé)任。政策適當(dāng)性的評價應(yīng)有規(guī)率地進行。撰寫的政策及其程序的復(fù)雜性應(yīng)總是與機構(gòu)的規(guī)模和管理風(fēng)格相一致。 機構(gòu)政策的溝通管理層應(yīng)確保機構(gòu)政策在機構(gòu)內(nèi)的所有層次上被清晰地溝通、理解并被接受。溝通過程應(yīng)由一套使用靈活多變溝通手段的有效計劃所支持。 政策執(zhí)行資源為了政策的執(zhí)行，為了確保政策的遵循，管理層應(yīng)對適當(dāng)?shù)馁Y源做出計劃，以使它們構(gòu)筑到并成為運作的一個完整組成部分。管理層還應(yīng)監(jiān)控政策執(zhí)行的及時性。 政策的維護政策應(yīng)被有規(guī)率地調(diào)整，以適應(yīng)變化的條件。政策起碼應(yīng)按年或者根據(jù)運行或業(yè)務(wù)環(huán)境的重大變化而進行重新評估，評估它們的充分性和適當(dāng)性，并做必要的修改。對于定期的評價以及標(biāo)準(zhǔn)、政策、方針和程序的審批，管理層應(yīng)提供一個框架和過程。 遵從政策、程序和標(biāo)準(zhǔn)管理層應(yīng)確保合適的程序設(shè)置到位，以判定每個人是否理解了執(zhí)行的政策和程序，以及這些程序和政策是否被遵循。倫理道德、安全和內(nèi)部控制標(biāo)準(zhǔn)的遵從程序應(yīng)由最高管理層來建立，并由實例來促進其貫徹執(zhí)行。 質(zhì)量義務(wù)管理層應(yīng)定義、形成文件并維護與企業(yè)價值觀和政策相一致的質(zhì)量價值觀、政策和目標(biāo)，這些質(zhì)量價值觀、政策和目標(biāo)應(yīng)被IT職能部門的所有層次所理解、執(zhí)行和維持。 安全和內(nèi)部控制框架政策管理層應(yīng)對開發(fā)并維護框架的政策付全部責(zé)任，這個框架設(shè)立機構(gòu)的總體安全和內(nèi)部控制的方法，以建立并改善IT資源的保護和IT系統(tǒng)的完整。政策應(yīng)服從總體業(yè)務(wù)目標(biāo)，目標(biāo)是：通過預(yù)防性措施、及時辨識不規(guī)范行為、限制損失和及時恢復(fù)，使風(fēng)險最小化。這種措施應(yīng)以成本/收益分析為基礎(chǔ)，并應(yīng)區(qū)分優(yōu)先順序。另外，管理層應(yīng)確保這些高層次的安全和內(nèi)部控制政策詳細說明了目的和目標(biāo)、管理結(jié)構(gòu)、機構(gòu)內(nèi)的適用范圍、在所有層次上執(zhí)行的責(zé)任的定義和分配以及對違背安全和內(nèi)部控制政策行為的處罰的定義。應(yīng)詳細說明框架定期再評估的標(biāo)準(zhǔn)，以對正在變化著的機構(gòu)、環(huán)境和技術(shù)需求做出支持響應(yīng)。 知識產(chǎn)權(quán)管理層應(yīng)規(guī)定并執(zhí)行有關(guān)自行開發(fā)和簽約開發(fā)軟件的知識產(chǎn)權(quán)方面的書面政策。 特定問題政策措施應(yīng)設(shè)置到位，確保細節(jié)問題政策的建立，以便在從事特殊的活動、應(yīng)用、系統(tǒng)或技術(shù)時，歸檔管理決策。 IT 安全意識的溝通應(yīng)通過一個IT安全意識教程，將IT安全政策溝通給每一個IT用戶，并保證對IT安全重要性的完整理解。這個教程應(yīng)傳達這樣一種信息，那就是IT安全將使它的機構(gòu)、它的所有雇員受益，每個人對此都負(fù)有責(zé)任。IT安全意識教程應(yīng)代表管理層的觀點并被他們所支持。對高級和詳細的控制目標(biāo)進行審計：獲得了解：訪談：首席執(zhí)行官（CEO）首席運營官（COO）首席財務(wù)官（CFO）首席信息官（CIO）安全官IT高級管理層IT計劃/指導(dǎo)委員會成員獲得：與管理層的積極控制框架、認(rèn)知程序、安全和內(nèi)部控制框架、IT質(zhì)量程序相關(guān)的政策和程序高級管理層的指導(dǎo)角色和責(zé)任機構(gòu)的目標(biāo)和長短期計劃IT的目標(biāo)和長短期計劃狀況報告和計劃/指導(dǎo)委員會會議紀(jì)要溝通程序評估控制：考慮是否：機構(gòu)的政策和程序創(chuàng)造了一個框架和程序，給予信息技術(shù)以特別的關(guān)注，培育一個積極的控制環(huán)境，并選擇如下的方面：? 完整? 倫理價值? 行為規(guī)范? 安全和內(nèi)部控制? 人員的能力? 管理哲學(xué)和運作風(fēng)格? 由董事會的董事或相同人物提供的問責(zé)制、注意和方向由例子說明頂級管理層促進積極的控制環(huán)境管理層已經(jīng)接受了明確敘述、開發(fā)、歸檔、發(fā)布、控制并有規(guī)律地評價治理總目標(biāo)和方向的政策的責(zé)任提供相關(guān)于管理層的積極的控制環(huán)境的正在進行的溝通和培訓(xùn)的正式的認(rèn)知程序存在確保適當(dāng)?shù)暮妥銐虻馁Y源被分配，以便以及時的方式執(zhí)行機構(gòu)的政策的機構(gòu)政策和程序存在確保個人理解被執(zhí)行的政策和程序，政策和程序被追隨的適當(dāng)?shù)某绦虻轿籌T政策和程序定義、歸檔并維持一個正式的治理系統(tǒng)和服務(wù)質(zhì)量的哲學(xué)政策和目標(biāo)，其產(chǎn)生要與機構(gòu)的哲學(xué)、政策和目標(biāo)相一致IT管理層確保質(zhì)量哲學(xué)、政策和目標(biāo)被理解、執(zhí)行并在IT職能部門的所有層次上執(zhí)行選擇了定期評價和重新批準(zhǔn)的關(guān)鍵標(biāo)準(zhǔn)、方向、相關(guān)于信息技術(shù)的政策和程序需求的程序存在高級管理層已經(jīng)接受了為總體的安全和內(nèi)部控制方法開發(fā)一個框架的全部責(zé)任安全和內(nèi)部控制框架歸檔了詳細的安全和內(nèi)部控制政策、目的和目標(biāo)、管理結(jié)構(gòu)機構(gòu)之內(nèi)的范圍、責(zé)任的分配以及遵從安全與內(nèi)部控制政策失敗相關(guān)的處罰和懲戒的定義正式的安全和內(nèi)部控制政策確定機構(gòu)的內(nèi)部控制過程，包括諸如下述控制組件：? 控制環(huán)境? 風(fēng)險評估? 控制活動? 信息和溝通? 監(jiān)控歸檔選擇特殊活動、應(yīng)用、系統(tǒng)或技術(shù)的管理決策的發(fā)行的特定政策存在評定遵從性：測試：在培育積極的控制方面管理層的努力，包括諸如這些關(guān)鍵的方面：誠實、倫理價值、行為規(guī)范、安全和內(nèi)部控制、人員的能力、管理哲學(xué)和操作風(fēng)格、問責(zé)制、所提供的關(guān)注和方向雇員已經(jīng)收到了行為規(guī)范并理解它選擇機構(gòu)的內(nèi)部控制環(huán)境的政策的管理層的溝通正在發(fā)生管理層明確敘述、開發(fā)、歸檔、發(fā)布和控制的包含內(nèi)部控制環(huán)境的政策的資源承諾正在發(fā)生標(biāo)準(zhǔn)、方向、政策和程序的持續(xù)適當(dāng)性及其適應(yīng)變化條件能力的管理層的有規(guī)律地評價管理層的監(jiān)控努力正在確保適當(dāng)?shù)暮妥銐虻馁Y源被分配以便以及時的方式執(zhí)行機構(gòu)的政策管理層關(guān)于其內(nèi)部控制環(huán)境的相關(guān)標(biāo)準(zhǔn)、方向、政策和程序的強制努力正確保貫穿機構(gòu)的遵從性質(zhì)量哲學(xué)、政策和目標(biāo)正決定遵從性，并與機構(gòu)的法人和IT職能哲學(xué)以及政策和程序相一致挑選的的IT管理、開發(fā)和運行人員正在決定質(zhì)量哲學(xué)，相關(guān)的政策、程序和目標(biāo)被理解，并被IT職能部門內(nèi)所有層次所遵循質(zhì)量測量過程正在確保機構(gòu)目標(biāo)的滿足挑選的的管理成員在他們的評價責(zé)任之下被包括并理解安全和內(nèi)部控制活動的內(nèi)容（也就是說，例外報告、調(diào)和、比較，等等）個人的角色、責(zé)任和權(quán)利在機構(gòu)的所有層次上被清楚地溝通和理解挑選的的部門評估日常監(jiān)控安全和內(nèi)部控制活動的程序（也就是說，例外報告、調(diào)和、比較，等等），為管理層提供反饋的過程正在發(fā)生挑選的的系統(tǒng)歸檔確定，按照機構(gòu)的政策和程序，系統(tǒng)特定的管理決策已經(jīng)被歸檔和批準(zhǔn)挑選的的系統(tǒng)歸檔確定，選擇特定活動、應(yīng)用系統(tǒng)或技術(shù)的管理決策已經(jīng)由高級管理層簽署證實沒有滿足業(yè)務(wù)目標(biāo)的風(fēng)險：執(zhí)行：依照類似的機構(gòu)或者適當(dāng)?shù)膰H標(biāo)準(zhǔn)/公認(rèn)的行業(yè)最好實踐的管理的信息控制框架和認(rèn)知程序的基準(zhǔn)與項目相關(guān)的、以成本/效益分析為基礎(chǔ)決定項目優(yōu)先順序和審批的、被批準(zhǔn)的安全和內(nèi)部控制實例的詳細評價確定：開始懷疑管理層在貫穿機構(gòu)范圍內(nèi)培育積極的內(nèi)部控制環(huán)境承諾的虛弱的控制框架選擇機構(gòu)的內(nèi)部控制環(huán)境，有效地溝通其政策的管理失敗被分配用來明確敘述、開發(fā)、歸檔、發(fā)布和控制的包含內(nèi)部控制環(huán)境的政策的資源的缺乏不是最近的標(biāo)準(zhǔn)、方向、政策和程序確保標(biāo)準(zhǔn)、方向、政策和程序貫穿機構(gòu)之內(nèi)遵守的不充分的管理遵從監(jiān)控IT職能部門在其質(zhì)量或其有效定義、歸檔、維持并溝通質(zhì)量哲學(xué)、政策和目標(biāo)能力承諾方面的不足在機構(gòu)的和/或IT職能部門的安全和內(nèi)部控制框架方面的弱點缺少所需要的選擇特定活動、應(yīng)用或技術(shù)的特定問題的政策7 管理人力資源（PO7）控制的IT過程：管理人力資源滿足的業(yè)務(wù)需求：獲取和維持一個被激發(fā)和有能力的工作隊伍，最大化個人對IT過程的貢獻實現(xiàn)路線：在員工的招募、訓(xùn)練、檢查、報酬、培訓(xùn)、評價、職位升降和解雇中，體現(xiàn)健全、公正和透明的人事管理實踐需要考慮的事項：招募和升職培訓(xùn)和任職要求意識的建立交叉培訓(xùn)和輪崗雇用、檢查和解雇程序目標(biāo)和可測量績效的評估技術(shù)和市場變化的響應(yīng)內(nèi)部和外部資源的適當(dāng)平衡關(guān)鍵職位的繼任計劃信息規(guī)范 IT資源P 效果 * 人員P 效率 應(yīng)用保密 技術(shù)完整 設(shè)施可用 數(shù)據(jù)遵從可靠 人員招募和升職在人員的招募和升職實踐中，管理層應(yīng)執(zhí)行并有規(guī)律地評估所要求的過程，以確保人員的招募和升職實踐依據(jù)以的標(biāo)準(zhǔn)為基礎(chǔ)，并考慮了教育背景、經(jīng)驗和責(zé)任。這些過程應(yīng)符合整個機構(gòu)在這些方面的政策和程序，比如雇用、方向、培訓(xùn)、評估、商討、晉升、報酬和訓(xùn)練等程序。管理層應(yīng)確保知識和技能需求被不斷地評估，并且要保證機構(gòu)能夠獲得一個達到機構(gòu)目標(biāo)所需要的相匹配技能的工作隊伍。 人員的任職資格IT管理層應(yīng)有規(guī)律地查驗執(zhí)行具體任務(wù)的職員，看看他們在適當(dāng)?shù)慕逃?、培?xùn)和（或）經(jīng)歷的方面，是否具有所需要的資格。管理層應(yīng)鼓勵它的職員獲得專業(yè)機構(gòu)的認(rèn)證資格。 角色和責(zé)任管理層應(yīng)清晰地說明職員的角色和責(zé)任，包括遵守管理政策和程序、道德規(guī)范和職業(yè)慣例的規(guī)定的要求。雇傭的期限和條件應(yīng)強調(diào)雇員對于信息安全和內(nèi)部控制的責(zé)任。 人員培訓(xùn)管理層應(yīng)確保雇員得到雇用方向和在職的培訓(xùn)，以維持他們的知識、技能、能力和安全意識到所需的有效完成工作的水平。引導(dǎo)有效地提高員工的技術(shù)和管理技能水平的教育和培訓(xùn)程序應(yīng)被有規(guī)律地檢查。 交叉培訓(xùn)或人員后備管理層應(yīng)提供充足的交叉培訓(xùn)或確認(rèn)的關(guān)鍵人員的備份，以防不測。管理層應(yīng)對所有關(guān)鍵的職能和崗位建立持續(xù)性計劃，應(yīng)要求敏感崗位的人員休息一段連續(xù)的足夠長度的假期，以鍛煉機構(gòu)應(yīng)付關(guān)鍵人員的效效、預(yù)防和探測欺詐行為的能力。 人員的調(diào)查程序IT管理層應(yīng)確保他們的員工在被雇用、調(diào)離或升職之前，根據(jù)他們所在崗位的敏感性，進行安全調(diào)查程序。一個沒有接受過這樣安全調(diào)查的新雇員，不應(yīng)安排在敏感的崗位，直到他接受了安全調(diào)查。 雇員工作績效的評估管理層應(yīng)執(zhí)行一個雇員績效評估流程，借助有效的獎勵機制，加強員工對于個人的業(yè)績與機構(gòu)的成功之間的關(guān)系的認(rèn)識。評估應(yīng)依據(jù)已經(jīng)建立的標(biāo)準(zhǔn)和具體的工作職責(zé)有規(guī)律地執(zhí)行。無論何時，只要是適當(dāng)?shù)?，雇員應(yīng)得到業(yè)績方面的忠告或指導(dǎo)。 工作的變更和終止對于工作的變化和終止，管理層應(yīng)采取適當(dāng)和及時的行動，以便內(nèi)部控制和安全不被這樣的事件削弱。對高級和詳細的控制目標(biāo)進行審計：獲得了解：訪談：人力資源官和挑選的人員安全官挑選的安全人員IT經(jīng)理IT人力資源官挑選的IT管理層挑選的IT人員挑選的與IT職能敏感位置相關(guān)的人員獲得：與人力資源管理相關(guān)的政策和程序職位描述、績效評估形式、培訓(xùn)和發(fā)展形式選擇職位的人員文件和人員評估控制：考慮是否：使用標(biāo)準(zhǔn)招募和選擇人員，以填補公開的職位人員職位所需資格的說明書考慮適用的專業(yè)部門的相關(guān)需求管理層和雇員接受工作能力過程培訓(xùn)程序要與機構(gòu)的已歸檔的關(guān)于教育和包含安全問題的總體認(rèn)識的最小需求相一致管理層應(yīng)承擔(dān)個人培訓(xùn)和職業(yè)發(fā)展的義務(wù)技術(shù)和管理技能的縫隙被確定，針對這些縫隙，采取適當(dāng)?shù)男袆訉τ陉P(guān)鍵的工作職能，正在進行的交叉培訓(xùn)以及人員的備份發(fā)生強制的不間斷的假期政策發(fā)生機構(gòu)的安全檢查過程是適當(dāng)?shù)囊砸惶讟?biāo)準(zhǔn)