风险控制是公司IT治理机制的一个重要组成部分，在信息化建设中，需要管理与控制各种风险，以便达到保护IT投资、维持系统持续运行的目的。以风险为导向的审计是合理规避IT风险的一种有效途径，在大型企业中举足轻重。企业IT风险控制与审计需要在充分考虑企业IT系统状况、IT治理结构以及IT审计资源的基础上，借鉴与吸收国际相关企业IT审计的领先实践，全面提高IT审计水平和IT审计人员素质，有效规避IT风险，为企业的未来发展保驾护航。
一、IT治理与风险管理
IT治理是一种引导和控制企业各种关系和流程的结构，确保组织拥有适当的结构、政策、工作职责、运营管理机制和监督实务，以达到公司治理中对IT方面的要求，旨在通过平衡信息技术及其流程中的风险和收益，增加价值，以实现企业目标。IT治理是企业治理结构中不可或缺的一部分，而相关的IT治理流程则可确保企业IT目标与业务目标保持一致，并可持续发展。因此，IT治理必须与企业战略目标一致，使IT发挥更大的作用、创造更多的价值，实现公司价值和利益的最大化。
IT治理领域中，首重策略、组织架构、政策与内部流程。控制风险、绩效评量与提供价值则为组织架构中关注的焦点。同时，IT治理牵涉的范畴，包含：IT服务提供、IT服务支援、营运业务展望、基础建设管理与应用管理。其不同视角的IT治理作用如下表。
保证所有的缺陷都已被控制所覆盖利用风险控制与审计策略管理IT风险，要求企业的高层管理者具备良好的风险意识，清晰了解企业对风险的态度，了解合规性要求，将风险管理的职责嵌入组织架构设计中，围绕信息化战略目标构建全面风险管理体系以进行有效的风险管理与控制。
二、IT风险管理体系
基于IT治理的IT风险管理需要执行一整套风险管理程序，必须建立风险识别、风险分析与评估、风险规避与应对、风险监控等流程并严格执行。从操作层面上分析，IT风险管理中对IT风险的控制与审计是风险管理中的两个重要环节：
（一）IT控制
IT控制就是在治理结构下，为实现组织的目标提供合理保证而实施的一系列政策和程序，内部控制是一个持续的过程，为了保证组织经营的效率和效果、财务报告的可靠性以及对有关法律和规章制度的遵循等情况下评估风险并设计、实施和持续监督控制措施。可以看出IT控制的主要目的是建立一个可持续监控的控制环境使组织风险可识别、可控、可管理。
风险控制是指控制风险事件发生的动因、环境、条件等，来达到减轻风险事件发生时的损失或降低风险事件发生的概率的目的。风险无法彻底消除，仅能降低、控制与移转，对于残余风险，企业需自行审视可接受的程度。然而，在进行风险控制活动前，需先进行风险评估，对于潜在影响的弱点与威胁胪列出来，并分析评估矫正的优先程序，然后再针对风险，设计有关的预防性、检查性与纠正性的控制。控制的设计，应该就风险评估后的结果，因此，完整的风险评估作业，是极为重要的，不好的风险评估会影响后续控制设计，甚至于控制执行的落实程度。当控制设计完成后，需再次检视相对应的管理政策与办法是否足够满足控制的目标，倘若现有管理政策文件无法满足控制目标的要求，应立即进行增修作业，务必达到与现有作业机制一致的目标。
随着组织的发展对IT的依赖日趋明显，内部原有业务和管理风险特征由于信息系统越来越广泛的运用而出现了变化，业务对信息系统的依赖性增加，因此必须建立起有效的风险控制体系。管理层应从基本的内部控制环境着手建置，从一般信息技术控制环境到业务流程中的内部控制环境，其中应思考系统控制与人工控制紧密结合的协调性与完整性。
（二）IT审计
IT审计是一个获取并评价证据的过程，主要是判断信息系统是否能够保证资产的安全、数据的完整性、有效率利用组织的资源、有效果地实现组织目标地过程。
IT审计是监视和评审IT控制措施的执行情况和有效性的主要手段之一，可以从组织整体业务风险的角度，对实施和运行的控制措施进行持续监控，以管理组织的业务风险。
IT审计可以作为符合法律、法规以及管理要求的控制手段，可以证明管理层建立并维护了恰当的内控措施；可以提供证据说明业务相关数据的完整性，以及可以证明具备合法权限的人正确访问数据；可以提供报警和审计报告确保管理层知道重大信息和任何变更；IT审计可以围绕数据提供报告用于合规性评估，降低遵从成本。作为组织IT风险控制的最后防线，IT审计为组织进行风险防范，提高设计正确性和加强应用的管理控制提供建议。
（三）IT治理、IT控制与IT审计之间的联系
IT治理是为组织建立一个长效的均衡的治理结构，在风险可控的环境下保证组织获益。均衡的环境在满足组织外部约束的同时需要考虑如何降低成本、提高股东收益、满足客户要求以及建立良好的社会形象等条件下不断调整变化而达到的，因此IT治理侧重于宏观决策方面，要做哪些事，由谁来做这些事，以及如何建立决策机制、如何进行有效监控等。
IT控制就是在这样的治理结构下，为实现组织的目标提供合理保证而实施的一系列政策和程序，内部控制是一个持续的过程，为了保证组织经营的效率和效果、财务报告的可靠性以及对有关法律和规章制度的遵循等情况下评估风险并设计、实施和持续监督控制措施。可以看出IT控制的主要目的是建立一个可持续监控的控制环境使组织风险可识别、可控、可管理。IT审计是一个获取并评价证据的过程，主要目标就是对组织实施的风险管理环境和控制环境的保证措施进行识别和评估，判断管理层关于控制的声明是否是可靠的，所以审计必须保持其独立性，以第三方客观的立场进行检查和评价。
IT治理、IT控制以及IT审计之间既有联系又有区别。共同的关注点在于风险与保证。风险管理的主要目标是为了保证组织经营的效率和效果、财务报告的可靠性以及对有关法律和规章制度的遵循。保证，主要来自一系列相互依存的控制政策与程序，以及评价控制有效性的证据，这些证据可以证明控制是连续和充分的。IT治理要明确目标与方向，为IT控制环境与活动设定明确的目标。IT控制要建立一个完整的，具有弹性的内部控制体系，应对组织面临的各种风险挑战和意外事件。IT审计是获取与IT控制和保证措施相关的证据，评估IT控制的有效性、评价IT绩效及IT战略与业务目标的符合程度。
IT治理必须在风险与利益之间找到均衡，通过IT审计不断促进调整IT控制环境，使组织在风险可识别、可控、可管理的环境下保证组织利益最大化。
三、企业IT风险控制与审计实务
（一）组织框架
企业IT风险管理组织框架应当从“决策—管理—执行”三个层面设立风险管理职能，并辅以审计监督机制。
决策机构，通常以风险管理委员会的形式，行使风险管理的决策、风险管理政策的制定与批准等职能。
管理机构通常为设置为风险管理委员会下的职能机构，如风险管理部，是风险管理政策的执行部门，负责根据风险管理的规章制度，协调各执行机构的关系，推动风险管理措施的实施。
风险管理政策与措施的执行是由信息技术部门、相关业务部门等涉及到IT及其安全运作的部门具体实施，尤其是信息技术部门承担大部分的IT风险管理政策、技术的实施。
IT审计部门作为IT风险管理的监督与审计部门，负责检查、评估企业IT风险管理战略、政策、组织与实施的有效性，并提出管理建议。
（二）IT控制与审计规范
企业IT控制规范可以参考财政部等五部委联合发布的《企业内部控制基本规范》及配套指引，建立有效的IT内部控制框架内，从公司内部控制层面、信息技术整体层面、业务流程层面等建立控制规范。企业IT控制以风险为导向，规范企业组织结构、明确岗位权利责任分配，建立科学的绩效考核体系和制度，提升企业风险管理和应对能力，通过风险评估对企业内部控制体系进行持续评价和改进，最终建立配套信息系统，实现内控体系的信息化落地。从风险的角度去审视内部控制有没有做好；通过对绩效指标的监控去实时检测有没有风险发生，然后再去找到企业的缺陷漏洞；最后通过信息系统将这个体系落地执行。
企业风险管理体系的控制层面上，内部审计发挥着重要的作用，以风险为导向的审计是合理规避IT风险的一种有效途径。IT审计应当建立一套完整的审计标准、规范，并提供可供参考的IT审计指南与实施细则。企业IT审计应当在内部审计总体框架下开展，在制定内部审计章程时要体现信息化条件下内部审计工作的特点，制定有关IT审计的规范与要求，必要时可进一步制定IT审计工作规范。
IT审计是信息技术条件下的内部审计，具有较强的操作性要求，参考各行业的内部审计工作经验，吸收国家审计机关的制度与操作指南，可以从IT整体控制审计、应用控制审计两个方面编制实施细则。
1.IT整体控制审计——确保程序和数据文件的完整性、确保信息系统良好运行。审计内容包括IT基础设施、系统开发、系统运行与维护、变更控制、网络安全控制、访问控制等普遍适用于所有的应用系统的控制。
2.应用控制审计——应用控制与特定的应用程序有关，设计应用控制是为了应对威胁应用系统的潜在风险，确保应用系统处理数据的有效正确而实施的控制。应用控制审计主要包括业务流程控制审计、数据输入处理输出审计，提供业务信息完整性、准确性、有效性、可用性保证。
此外，企业的信息化规划应当在充分考虑风险管理与审计需求的基础上，建立并完善信息化审计工作平台，充分利用信息技术推进IT审计服务于企业治理与全面风险管理，实现价值增值。
四、小结
企业IT风险控制与审计是IT治理中的重要内容，本文提出的基于IT治理框架的风险控制与审计体系在企业IT管理实务中发挥一定的作用，如何更深入地探究IT风险控制与审计及其作用机制、绩效评价等，还需要结合我国企业管理现状进一步展开研究。
作者：余小兵 吴青
