CIO如何控制IT審計缺失的信息系統(tǒng)風險
隨著企業(yè)實施信息化進程的不斷深入,從信息系統(tǒng)安全性方面我們看到硬件故障、程序故障、操作系統(tǒng)錯誤、計算機犯罪,設備災害以及保密數(shù)據(jù)泄漏等現(xiàn)象發(fā)生的可能性越來來越高。此外,從投資的角度上看,我們看到隨
隨著企業(yè)實施信息化進程的不斷深入,從信息系統(tǒng)安全性方面我們看到硬件故障、程序故障、操作系統(tǒng)錯誤、計算機犯罪,設備災害以及保密數(shù)據(jù)泄漏等現(xiàn)象發(fā)生的可能性越來來越高。此外,從投資的角度上看,我們看到隨著信息化投資成本的不斷增加,企業(yè)領導看到投資效果反而不明顯。還有還會出現(xiàn)信息系統(tǒng)用戶不滿以及信息化產(chǎn)品落后于競爭對手、無法在市場上立足等問題。
而信息系統(tǒng)審計(又稱IT審計)正是幫助企業(yè)及CIO為了解決上述問題,提高信息系統(tǒng)的安全性、可靠性和開發(fā)、運營效率,使企業(yè)信息化得到健康、全面的發(fā)展而引入的預防機制。同時,為了確保信息系統(tǒng)的安全、可靠和有效,需要開展由獨立的具有資格的IT審計師對以計算機為核心的信息系統(tǒng)進行的IT審計。對于企業(yè)來講管理和業(yè)務的增加,企業(yè)對于內(nèi)部IT治理的審計更加嚴格。每年都會有大量的各種級別的內(nèi)外審計,而IT審計也是非常的重要內(nèi)容, 如何做好IT審計成為企業(yè)及CIO關注的焦點。
一、IT審計的作用
1、IT審計顧明思議,就是為了更好的控制IT的風險,有效的的幫助規(guī)避風險。現(xiàn)階段企業(yè)業(yè)務的增長,需要信息系統(tǒng)支撐的業(yè)務是越來越多, 促使企業(yè)在經(jīng)營管理過程中遇到很多的風險,企業(yè)在經(jīng)營過程中可以規(guī)避各種各樣的容易看得到的風險,比如管理上的缺陷、市場的變化都會企業(yè)的經(jīng)營管理層,做出及時的調(diào)整來應對不同的風險,而潛在的一個些風險,如信息系統(tǒng)存在的風險,企業(yè)的經(jīng)營管理層看不到,也意識不到他們會存在風險 , 而許多企業(yè)在某些項目或者企業(yè)退出往往正是由一部分信息系統(tǒng)中的數(shù)據(jù)泄露,而使企業(yè)破產(chǎn),因此,必須加大對于企業(yè)不僅要對企業(yè)本身的經(jīng)營管理內(nèi)部進行審計,同時還要對于支撐管理的信息系統(tǒng)進行審計,從而降低企業(yè)的風險。
2、提高IT的價值及CIO的管理思維
信息系統(tǒng)最大的價值是提高企業(yè)的管理及支撐企業(yè)的業(yè)務,一旦信息系統(tǒng)本身設計、開發(fā)存在安全風險,那么對于企業(yè)來講, 不僅沒有幫助企業(yè),反而運用信息系統(tǒng)使企業(yè)面臨比沒有上系統(tǒng)更大的風險,因此,加強信息系統(tǒng)本身的審計,才能規(guī)避信息系統(tǒng)帶來的風險,實現(xiàn)出信息系統(tǒng)的潛在價值。 同時,在做每一個信息系統(tǒng)開發(fā)時, 如果參與國際審計的標準,可有效的降低風險, 同時, 也可提高CIO或者IT經(jīng)理防范風險的管理思維。
二、IT審計的現(xiàn)狀及存在的問題
縱觀現(xiàn)狀,IT審計在國內(nèi)并不是很成熟,企業(yè)的IT審計并不完善,IT審計更多的是應用于銀行、保險等大型的金融類企業(yè),一些中小企業(yè)對于IT審計的認識存在偏見,導致了IT審計在部分中企業(yè)中并沒有應用也不成熟。同時,企業(yè)的CIO對IT審計存在一定的認識,企業(yè)加強IT審計顯得尤為重要。
1、IT審計標準不成熟
我們目前所指的IT審計標準一般是指ISACA制定的信息系統(tǒng)審計準則。IT審計標準是一套以管理為核心,以法律法規(guī)為保障,以技術為支撐的信息系統(tǒng)審計框架體系。它同時是一套規(guī)范化的管理框架,詳細地描述了審計方、開發(fā)方、用戶方的關系及各方的定位、權利、義務和職責等,并從標準的角度對IT審計師能力考核的限定、IT審計機構的資質認定給予了限定。從目標上講,IT審計標準跟著眼的目的是信息系統(tǒng)的安全性、穩(wěn)定性、有效性。 然而, 現(xiàn)階段的IT審計因企業(yè)的不同經(jīng)營性性質的不同,很難一套成熟的標準來做。而且不同行業(yè),不同企業(yè)會有不同的IT審計的標準也不同,因此, 建立行業(yè)化的IT審計標準體系是下一步的CIO所需要考慮的。
2、IT審計人才急缺
審計業(yè)務發(fā)展至今,傳統(tǒng)IT審計工作只是現(xiàn)代審計中一個特別小的組成部分。IT審計最重要工作之一,是發(fā)現(xiàn)被審計單位最重大的風險隱患,在認定其持續(xù)經(jīng)營的基礎上,再對潛在的真實、公允性發(fā)表審計意見。如果IT審計師認為被審計單位的信息系統(tǒng)是業(yè)務運轉的平臺,是風險高發(fā)區(qū),那么對信息系統(tǒng)的安全、穩(wěn)定和有效的評價就成為審計的基礎和重點。因此,IT審計師是開展計算機審計工作的重要推動力量。但目前,因國內(nèi)對于IT審計的重視程度不夠,同時審計水平不是很高, 導致審才人才非常奇缺,如何快速的培養(yǎng)優(yōu)秀的審計人才迫在眉睫。
三、IT審計實施的必需困素
1、提高IT審計人員的意識
做信息化并不難,難得對于企業(yè)老板對于信息化的看法和理解程度,同樣,對于IT審計也是一樣的道理,我們知道IT審計的職能來劃分主要是兩方面, 內(nèi)審和外審。
外審主要參照第三方咨詢機構來幫助企業(yè)IT部門進行信息系統(tǒng)審計, 如中國人民銀行早在2000年時候就開始了IT審計,在2004的時候就邀請ITGov中國IT治理研究中心(簡稱ITGov)對來自全行各分支機構的40名內(nèi)部審計人員參加了為期4天的信息系統(tǒng)審計培訓,強化信息系統(tǒng)審計中理論與實踐的結合,全面提升了信息系統(tǒng)審計人員的綜合素質。而內(nèi)審,主要在企業(yè)內(nèi)部成立于IT審計部門,這個IT審計部門不屬于IT部門也不屬于業(yè)務部門,它是一個單獨的部門,用以審計企業(yè)的信息系統(tǒng)。 做好IT審計需要提高企業(yè)對于審計的認識。企業(yè)的管理不僅要對于外審了如指掌,還要對于企業(yè)的內(nèi)審尤期是IT的內(nèi)外審都要所有了解 , 做不到精通階段 ,但必須要處于了解的階段。從CIO的角度來看,同樣也是相似的道理,必須要去對于IT審計要有一個清晰的認識,只有對于IT審計在意識和思路上認識了,才能做好IT審計的第一步。
“在技術層面,沒有實現(xiàn)不了的關健是審計意識的提高”業(yè)內(nèi)某著名的IT審計專家指出, 同時他強調(diào)IT審計重點要把握“三大關”:
第一、人員因素都直接影響IT審計的效果,這是IT審計的關鍵也是根本。
第二、IT風險管理。
第三、IT本身審計。
2、找準IT審計定位點
做好IT審計并不難,資料顯示,大多數(shù)的IT審計師認為,做好信息系統(tǒng)審計就是要找好企業(yè)信息系統(tǒng)的切入點或者叫做定位點。我們知道任何系統(tǒng)都有漏洞,從程序員開發(fā)設計到業(yè)務的應用信息系統(tǒng)不可避免的會遇到各種各樣的問題。對于CIO來講在配合企業(yè)IT審計部門做IT審計前要首先自身檢查信息系統(tǒng)存在的的問題,然后,在做系統(tǒng)開發(fā)或者項目時,按照Cobit IT治理框架、Iso1335、Iso27001,、COSO、ITIL等來提高信息系統(tǒng)的可用性。
實踐證明,IT審計必須符合科學、獨立、審慎的精神。CIO要進行認真細致的工作安排,從審計的實際目標出發(fā),選擇實用的方法,依據(jù)相關的國際IT審計準則開展相關工作,通過長期的、持續(xù)的改進,強化IT風險控制能力,最終降低經(jīng)營風險。
免責聲明:本文僅代表作者個人觀點,與本站無關。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實,對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾,請讀者僅作參考,并請自行核實相關內(nèi)容。
我要收藏
個贊
-
電動車產(chǎn)業(yè)紅利不好接?看看這四條缺了什么?
-
樂視網(wǎng)復牌首日即跌停 FF、Lucid、樂視汽車要被轉讓抵債?
-
科技部發(fā)布國家重點實驗室2018年度評估工作的通知 多項電力研究實驗室入圍
-
科技部發(fā)布國家重點實驗室2018年度評估工作的通知 多項電力研究實驗室入圍
-
2017年中國新能源重點細分行業(yè)發(fā)展現(xiàn)狀、新能源行業(yè)發(fā)展趨勢及投資前景分析【圖】
-
電力轉型是推動能源轉型的關鍵
-
湖北2017年電力運行情況:直接交易完成簽約電量351.44億千瓦時
-
河南12月全社會用電量275.86億千瓦時 同比增長0.77%
-
成交電量923億!河南年度雙邊協(xié)商交易競爭刷新紀錄 實現(xiàn)開門紅
-
微網(wǎng)工程設計解析:并網(wǎng)型微電網(wǎng)建設規(guī)模分析
-
全面解析微電網(wǎng)結構與發(fā)展趨勢(附五大案例與經(jīng)濟效益分析)
-
售電必備 | 聚焦2018年增量配電網(wǎng)的六大熱點問題
-
安徽電力直接交易執(zhí)行、出清細則和電力市場電量結算規(guī)則發(fā)布
-
電網(wǎng)經(jīng)營行業(yè)產(chǎn)品成本核算制度印發(fā):有配電業(yè)務的售電公司參照執(zhí)行
-
遼寧對居民電采暖用戶試行峰谷分時電價政策
-
預計南方五省區(qū)2018年用電保持中速增長:南方電網(wǎng)將多措并舉 全力保障電力供應平穩(wěn)有序
-
財政部發(fā)布:電網(wǎng)經(jīng)營行業(yè)產(chǎn)品成本核算制度
-
聚焦:貴州電力市場陷入僵局 大云網(wǎng)電力分析師邀您觀望