【信息技术与数据安全】信息系统一般控制审计计划（ITGC）.docxVIP

审计计划书

审计项目名称：信息系统一般控制专项审计（ITGC）

编制人：审计部XXX

编制日期：XXXX年XX月XX日

项目编号：SA-2026-021

一、审计目标

对公司信息系统一般控制（ITGeneralControls）的设计适当性与运行有效性实施独立审计，具体目标如下：

逻辑访问控制有效性：确认对应用系统、数据库、操作系统、网络设备的访问权限管理是否遵循“最小授权”和“职责分离”原则，能否有效防范未授权访问和不当操作。

变更管理规范性：评价应用系统、数据库及基础架构的变更（含紧急变更）是否遵循规范的申请、开发/配置、测试、审批、迁移上线的全流程控制，防止未授权或不合格的变更进入生产环境。

程序开发与系统实施控制：审查新系统开发或现有系统重大改造过程中，是否在需求、设计、开发、测试、数据迁移、切换等阶段实施了适当控制，确保系统上线质量。

计算机操作与批处理控制：验证生产系统的日常操作（如批处理作业、备份、数据接口、监控告警等）是否按规程执行，异常事件能否被及时发现和处理，确保业务连续性和数据完整性。

物理与环境安全：检查数据中心、核心网络设备间的物理访问控制、环境监控（温湿度、电力、消防）是否充分，能否防范物理入侵和环境事故。

灾难恢复与业务连续性：评估灾备策略、应急预案和恢复演练是否满足业务恢复目标（RPO/RTO），能否在重大灾难后保障关键业务的恢复。

最终对IT