治理与企业内控.pptxVIP

IT治理与企业内控  何迪生 Dixon Ho 主席 ｜ISACA 国际资讯系统审计协会（北京委员会） 副主任｜中国信息化推进联盟 - 信息安全专业委员会 信息安全及基础架构总监｜Microsoft 微软大中华区 国际信息系统审计协会 ISACA ? ;ISACA的背景;目录;SOX法案;第404条款及IT治理;为什么需要IT治理：;举例：为什么需要IT治理： --网上交易安全现状; 8; 9; 10;控制框架Control Framework;SOX法案第404条款要求的IT一般性控制的合规性实践往往采用下列的方法 首先是做一次IT一般性控制的现状分析。然后参照COBIT的要求建立公司的IT控制目标以便进行差距分析，并在此基础上找出和确定能涵盖这些控制目标的IT一般性控制的关键控制点。 每个关键控制点的控制活动都被清晰地描述和文档化，同时这些控制活动还必须具备可操作性和可检验性，最终形成所谓的IT控制矩阵(IT Control Matrix)。 相关公司都必须完成一整套与IT控制相关的文档，即所谓的SOX法案合规性文档，如IT政策、IT控制矩阵、IT控制活动描述、IT控制的测试方法等。随后通过细致扎实的工作落实已被确定的IT控制点，从而使IT控制得到贯彻实施。 根据SOX法案第404条款的要求，管理层必须每年对这些控制点进行测试和评估，对测试得