基于IT治理的企業(yè)IT風(fēng)險管理框架的研究.pdf

1、近年來，從美國的安然公司破產(chǎn)到世通公司的財務(wù)丑聞，從中國的銀廣夏、藍(lán)田到中科創(chuàng)等違規(guī)案的公開無疑都將注意力集中在財務(wù)報告的各個方面。作為美國公司的舞弊和給美國國會帶來的相關(guān)壓力的結(jié)果，《薩班斯——奧克利法案》于2002年夏天通過。美國證券交易委員會(SEC)和紐約證券交易所(NYSE)隨后制定的規(guī)則和管制，對于上市公司的公司治理、內(nèi)部控制產(chǎn)生了重大的影響。 法案的302節(jié)要求CEO和CFO就他們的內(nèi)部控制系統(tǒng)進(jìn)行報告，并在提交給

2、SEC的財務(wù)報表上簽字——以此作為保證，因此，這部法律將迫使高級執(zhí)行官確保其內(nèi)部控制系統(tǒng)的適當(dāng)；而法案的404節(jié)要求公司要：(1)陳述管理層建立和保持適當(dāng)?shù)膬?nèi)部控制和財務(wù)報告的責(zé)任；(2)在上市公司的財政年度末，對內(nèi)部控制結(jié)構(gòu)和財務(wù)報告程序的效果的評估。現(xiàn)在NYSE第一次要求所有登記上市的公司都要有內(nèi)部審計的職能。 1994年經(jīng)過修訂的COSO報告誕生了， COSO報告也被人們形象地稱作內(nèi)部控制的“圣經(jīng)”。 2004年9月，CO

3、SO又提出了《企業(yè)風(fēng)險管理——整體框架》，它既是對《內(nèi)部控制——整體框架》的超越，也標(biāo)志著內(nèi)部控制的轉(zhuǎn)型，在內(nèi)涵界定、目標(biāo)體系、構(gòu)成要素等方面都進(jìn)行了拓展和延伸。而COBIT作為國際上通用的信息系統(tǒng)審計的標(biāo)準(zhǔn)自1996年誕生以來已經(jīng)更新到了第四版，其中更加強(qiáng)化了其對IT風(fēng)險控制的目標(biāo)內(nèi)容，為信息系統(tǒng)審計界提出了許多新的課題。于此同時世界范圍內(nèi)多個影響范圍廣大的信息化安全標(biāo)準(zhǔn)都提出了自己的風(fēng)險管理的控制框架，一時間呈現(xiàn)出百花爭鳴的景象，文

4、中將會涉及到幾個比較有影響的內(nèi)部控制框架如ITIL、ISOl7799、CMMI、Prince2、NIST、ITGI。 多數(shù)框架提出了IT治理的理念，或者在IT治理的前提下研究IT風(fēng)險的內(nèi)部控制。似乎IT治理已經(jīng)成為了企業(yè)治理的重要方向。的確，在當(dāng)今的全球商業(yè)環(huán)境中，信息的重要性被廣泛接受，信息系統(tǒng)在各類組織中得到了廣泛的應(yīng)用。許多組織對其信息系統(tǒng)不斷增長的依賴性，加上在信息系統(tǒng)上運作業(yè)務(wù)的風(fēng)險、收益和機(jī)會，使IT治理成為了公司治

5、理越來越關(guān)鍵的一部分。目前，IT治理理論已經(jīng)成為內(nèi)部控制和信息系統(tǒng)審計領(lǐng)域的研究熱點。 企業(yè)對IT的依賴性越來越強(qiáng)，卻沒有太多合理的IT風(fēng)險管理框架來為信息化過程保駕護(hù)航，這導(dǎo)致了不斷增長的對風(fēng)險管理框架的需求。本文研究的目的在于為于信息化成熟度較高的企業(yè)建立一個針對信息技術(shù)部門的風(fēng)險管理框架。 本文研究的另一個重要內(nèi)容在于收集和整合IT風(fēng)險管理的需求，并將其融成一個系統(tǒng)的整體。 本文的第一章介紹了風(fēng)險管理框架產(chǎn)

6、生的背景、必要性，同時也概述了IT治理的一些概念。 第二章則從國內(nèi)國外兩個方面介紹了風(fēng)險管理框架的需求，主要側(cè)重于規(guī)則需求方面。 第三章介紹了國際流行的控制框架和標(biāo)準(zhǔn)。 第四章從對比和綜合兩個角度深入的對各個內(nèi)部控制框架進(jìn)行了分析。 隨后在此基礎(chǔ)上第五章構(gòu)建了新的風(fēng)險管理框架并對其進(jìn)行了分析，同時提出了實施的辦法。 文章的第六章在最后通過一個政務(wù)軟件的案例來看在新框架的指導(dǎo)下對組織的IT技術(shù)內(nèi)部控