信息技术服务 治理内部控制类审计、专项类审计、信息系统审计报告.pdfVIP

GB/TXXXXX—XXXX

附录A

（资料性）

内部控制类审计

A.1IT内部控制审计

A.1.1组织控制审计

组织控制审计范围包括但不限于：

a）控制环境，包括IT治理原则、IT战略与业务战略的一致性、决策层IT风险偏好及风险容忍

度、IT治理职责分工和制衡机制、人工智能伦理审核机制、IT内部控制监督机制、IT内部

控制机构的设置、职责与权限、内部审计机构设置、人员配备和工作独立性、制定和实施人

力资源政策、IT文化建设等；

b）风险评估，包括风险管理的目标、策略、原则、组织架构、制度与流程，风险识别、风险分

析、风险评价及风险处置的执行情况，信息资产的分类及信息资产所有者的职责，组织和重

要的利益相关者对其运营、报告、合规目标的评估及网络风险的考虑；

c）控制活动，包括通用要求（如控制政策与流程、授权与审批控制、预算控制、信息记录与报

告、资产保护、绩效考核及不相容职责分离等）及IT