誉杰咨询信息安全专版
400-960-6082
建立有效的COBIT模型

   随着互联网发展,我国绝大多数企业均实现了ERP系统,除此之外还有电子商务、WEB互联网等等,这些新兴的互联网技术在给企业带来无限发展机遇的同时。也使企业传统的内部控制面临着挑战。介绍下建立有效的COBIT模型
 

 一、内部控制的概念及发展

  内部控制贯穿企业经营管理的整个过程,是企业的一种自律行为,是为了达成企业目标而形成的方法。其本身并非企业的最终目的。其目的是为了规范企业的经营管理行为,确保企业的资产安全、高效经营,提高企业的经营效益和风险防范能力。传统的内部控制以信息论、系统论、控制论为基础,停留在“职责分离、岗位分工、授权授信、内部审计”层面上。1992年9月美国Treadway委员会发起组成的委员会(Committee of Sponsoring organization softhe Treadway Commission,简称COSO)发布并于1994年修订了一份研究报告:《内部控制一一体化框架》(IntenalControl--Integrated Framework)。该报告将内部控制拓展到了五个方面:

  控制环境

  风险评估

  控制活动

  信息与沟通

  监督

  这五个控制过程是一个多方向交叉多维的控制过程,体现了当时内部控制研究的最高水准,但是随着控制环境的变化,该方案也在不断的完善,随着信息化的发展,企业信息系统建设应用已渗透到各个领域,财务系统的信息化发展更为突出。所以到1996年美国ISACA(信息系统审计与控制协会)颁布了COBrr(信息与相关技术控制目标),并在此后的几年中不断的发展、变化,使之能够适应并满足对信息系统的管理与控制要求。2001年安然事件及2008年金融次贷危机的爆发使得企业内部控制成为人们关注的焦点。COBIT作为较为成熟、权威的安全与信息技术管理和控制的标准,成为了企业对于IT内部流程控制管理标准。

  二、COBIT模型的建立及有效实施

  COBIT将IT过程、IT资源与企业的策略与目标(准则)联系起来,形成一个三维的体系结构。IT准则集中反映了企业的战略目标,主要从质量、成本、时间、资源利用率、系统效率、保密性、完整性、可用性等方面来保证信息的安全性、可靠性、有效性;IT资源主要包括以人、应用系统、技术、设施及数据在内的信息相关的资源,这是IT治理过程的主要对象;IT过程则是在IT准则的指导下,对信息及相关资源进行规划与处理,从信息技术规划与组织、采集与实施、交付与支持、监控等四个领域确定了34个信息技术处理过程。每个处理过程还包括更加详细的控制目标和审计方针对IT处理过程进行评估。

  COBIT信息技术的控制目标包括以下7各方面:一是有效性(Effectiveness)是指信息与商业过程相关,并以及时、准确、一致和可行的方式传送。二是高效性(Efficiency)关于如何最佳(最高产和最经济)利用资源来提供信息。三是机密性(Confidentiality)涉及对敏感信息的保护,以防止未经授权的披露。四是完整性(Integrity)涉及信息的精确性和完全性,以及与商业评价和期望相一致。五是可用性(Availability)指在现在和将来的商业处理需求中.信息是可用的。还指对必要的资源和相关性能的维护。六是符合性(Compliance)遵守商业运作过程中必须遵守的法律、法规和契约条款,如外部强制商业标准。七是信息可靠性(ReLiabilityoflnformation)为管理者的日常经营管理以及履行财务报告责任提供适当的信息。

  COSO控制框架并非是针对IT的管理控制,更多的是关注于与财务风险相关的内容。但控制框架是通用的。COSO框架具有五个层次,即控制环境一风险评估一控制活动一信息和通信一监视,每个层次中都包含很多内控方面的要求。COBIT控制包含四个控制领域,每一个控制领域都渗透于COSO的控制框架之中。在不同层次的控制框架中,COBIT的控制领域涵盖了与内控相关的所有控制内容及控制目标,所以企业应依据自身的特点建立适合自己的COBIT模型来应对IT风险。


 

 


上一篇:信息系统审计标准
下一篇:没有了