电信企业信息技术内部控制体系与研究.pdfVIP

专题：电信企业信息化 基于COBIT框架的电信企业信息技术内部控制体系研究 谢羽霄，邱展旭 (中国电信股份有限公司上海研究院 上海200122) 本文以信息系统审计与控制协会(ISACA)发布的rIl内部控制目标(COBIT)框架为理论基础，结合 国内运营商信息技术内部控制的现状，提出了系统构建电信企业信息技术内部控制体系的方法， 设计了基于COBIT框架的信息技术内部控制体系，并对其实施策略和应用前景进行了探讨。 彰美键键COBIT；电信7一,11722—1．【；债患技术；瘫部控鹾}懒l辩 弘再糍岍 ；l搿西强7，、i”’9”珥’毪 繁，需要及时跟进相应的变化并且做出流程调整；其次是业 1 国内电信运营商信息技术内部控制现状 务转型过程中各部门职能划分不明确。这势必形成许多边 随着电信行业的快速发展和竞争的加剧．国内电信运 缘流程或交叉重复步骤，影响业务的有效开展；再次就是信 营商的运营风险在逐步加大，行业监管力度也日益加强，对 息系统与业务运营缺乏一致性．即业务需求无法完全通过 企业建立完善的内部控制体系提出了更高的要求。经过 系统支撑或者系统实际情况偏离前期策划初衷，这都会直 2008年的运营商重组，电信行业进入全业务运营时代，业 接影响公司运营的有效性。因此运营商必须尽快建立起完 务、流程、系统的衔接变得更加复杂，对业务流程与系统支 善并有效的信息技术内部控制体系。将其真正融人企业的 撑的要求越来越高。另一方面．财政部等5部委于2008年内部流程和系统运作中。并根据企业各方面的变化以及执 6月在北京联合发布了《企业内部控制基本规范》，要求国 行情况对体系架构进行持续优化，对一个庞大的企业真正 内上市公司与大型央企参考构建以内部环境为重要基础、 做到有效管控。 以风险评估为重要环节、以控制活动为重要手段、以信息与 2 COBIT框架简介 沟通为重要条件、以内部监督为重要保证，相互联系、相互 促进的5要素内部控制框架，这是继美国推出《萨班斯法 COBIT是目前国际上公认的权威的安全与信息技术管 案》之后，国内上市监管机构在内部控制监管方面的又一重 理和控制的标准，由ISACA在1996年公布，目前已经发展 要举措。 自2006年以来，为了满足《萨班斯法案》等上市公司监 210个控制目标．它为企业实施信息技术内部控制和完善 管要求。各运营商或多或少已经建立了一定的内部控制制 rI治理提出了建议框架。为信息系统审计提供了参考方案， 度，初步满足了相关法案的要求，但面对行业的转型和监管 同时也提供了具体的操作指引。COBIT框架从企业的业务 的加强．仍有诸多的困难与挑战。首先是业务流程变化频 目标和治理目标出发，以确保企业信息和数据的完整性、可 囊冀黻 万方数据 获得性、保密性、高效性、有效性、一致性和可靠性为根本， 3信息技术内控体系建立方法 以rI．资源(应用程序、信息、基础架构、人员)为基础，提出 了“计划与组织”、“获得与实施”、“服务和支持”、“监控和评 内部控制体系的建立是一个长期过程．根据每年企业 价”4大控制目标．如图l所示。 的运营策略、内部机触、业务范围的调整都要适时进行变化 通过借鉴COBIT框架。电信企业可以快速地建立满足更新。建立基于