COBIT在信息系统审计中的研究与应用.pdfVIP

SSM COBI 文／孙莹 二、研究COBIT控制评价模型的必要性 二十世纪五十年代以来，随着信息技术的高速 在信息化的时代中，管理人员在面对传统经营 发展与广泛应用，特别是电子商务的推广，信息技 风险和财务风险的同时，必须随时面对信息风险对 术正成为当今企业环境中最重要的资源之一。面对 企业生存和发展的挑战。不难想象，假如银行的存 激烈的竞争环境，企业无论为求生存还是求发展， 贷款数据库被黑客破坏，假如证券交易所的信息系 都必须以未来IT的发展为前提。但在目前企业信息 统突然崩溃，假如企业的ERP系统中的应收账款模 化过程中，仍存在着许多的问题，导致信息资源未 块产生混乱，假如仓库的自主订货和发货系统无法 被充分合理的利用，信息化成果无法有效评价。 修复，我们面对的将不单单是损失，而是破产、混 所以，开发一个完善的信息系统审计平台，协 乱和崩溃!正是由于对业务管理、信息系统管理缺 助系统审计师进行系统审计，充分发挥企业信息化 乏足够的控制和评价才导致这些后果，如果在系统 的优势，促进企业的整体发展。 开发初期就采纳合理的系统控制和评价模型，则可 一 、 审计理论的发展 能将企业信息化的风险降到最低。 上世纪八、九十年代信息技术的发展与普及， 同时，面对当今企业高度引入IT技术以协助经 使得企业越来越依赖信息及产生信息的信息系统。 营与提高整体竞争力的趋势，企业本身必须对导入 人们开始更多地关注信息系统的安全性、保密性、 的IT技术之相关风险，要有充分的了解，并及时修 完整性及其实现企业目标的效率、效果。 正其内部控制来控管这些风险。 美国在计算机进入实用阶段时就开始提出系统 国际专用标准COBIT(Control Objectives for Infer— 审计(System Audit)，从成立电子数据处理审计协会 mation and related Technology)正是针对IT技术的事实 (EDPAA后更名为ISACA)以来，从事系统审计活动 标准，除了保留过去常用的营运绩效控制、法规遵 已有i十多年历史，成为信息系统审计的主要推动 循控制和IT技术可靠性控制以外，提出了 “内部控 者，在全球建有一百多个分会，推出了一系列信息 制系统必须在以协助企业业务流程为主轴的观念下 系统审计准则、职业道德准则等规范性文件，并开 构建”这一基本理念。另外，增加了保密性、完整 展了大量的理论研究，在1996年提出了IS审计的一 性和可获得性等三项专门针对IT技术的安全控制标 套完整的理论模型一IT控制的开放式标准COBIT 准。 (信息及相关技术的控制目标J。 由此，运用COBIT理论，通过具体的控制目标 28 SSm／2008／2 SSM 体系和评价模型对企业信息系统进行具体的指导和 管理框架 量化的评价，对推动企业的信息化过程的制度化、 规范化，具有格外重要的意义。 管理指南J 『控制目标I I审计指南I l工具集 三、COBIT模型的内容和结构 1．COBIT模型理论 关键成功因素 成熟度模型 关键目标指标 关键性能指标 ① COBIT简介 图2 COBIT体系框架(参见_． ) COBIT的全名是Control Objectiv