如何構(gòu)建一個(gè)滿足企業(yè)業(yè)務(wù)發(fā)展需要的預(yù)警式ＩＴ內(nèi)控體系，這是當(dāng)下很多ＣＩＯ在思考的問題。筆者根據(jù)接觸過的多位ＣＩＯ的意見和經(jīng)驗(yàn)，提出以下幾個(gè)建設(shè)高效ＩＴ內(nèi)控體系的策略，供大家參考。
風(fēng)險(xiǎn)識別：對ＩＴ內(nèi)控能力現(xiàn)狀評估對企業(yè)運(yùn)營中可能遇到的ＩＴ風(fēng)險(xiǎn)進(jìn)行識別，這是ＩＴ內(nèi)控中最為關(guān)鍵的內(nèi)容，包括ＩＴ風(fēng)險(xiǎn)形勢評估、ＩＴ風(fēng)險(xiǎn)識別、ＩＴ風(fēng)險(xiǎn)分析和ＩＴ風(fēng)險(xiǎn)評價(jià)等幾部分。它要求企業(yè)從全局的角度去考慮、分析、規(guī)劃需要控制的事情和范圍。例如，ＩＴ風(fēng)險(xiǎn)評估可使公司更加清晰地認(rèn)識到ＩＴ意外事件的發(fā)生將如何限制業(yè)務(wù)目標(biāo)的達(dá)成。它的目的是要辨別ＩＴ潛藏的內(nèi)在風(fēng)險(xiǎn)與殘存風(fēng)險(xiǎn)。
因此，只有了解ＩＴ風(fēng)險(xiǎn)影響的因素，才能把握ＩＴ風(fēng)險(xiǎn)發(fā)展變化的規(guī)律，才能對其制定應(yīng)對措施以進(jìn)行控制。對于企業(yè)來說，如果ＩＴ風(fēng)險(xiǎn)不能得到有效控制，將可能出現(xiàn)系統(tǒng)宕機(jī)、網(wǎng)絡(luò)癱瘓、服務(wù)中斷、信息錯(cuò)誤、數(shù)據(jù)被非法篡改等嚴(yán)重后果，會(huì)直接影響到企業(yè)業(yè)務(wù)的正常開展。通常的做法是要把可能的風(fēng)險(xiǎn)劃分一個(gè)優(yōu)先級，對于優(yōu)先級高的風(fēng)險(xiǎn)要給以更多的關(guān)注。
正確評估：分析潛在ＩＴ風(fēng)險(xiǎn)的破壞力企業(yè)在構(gòu)建靈活安全的ＩＴ內(nèi)控體系之前，還需要透徹地分析業(yè)務(wù)發(fā)展所面臨的潛在ＩＴ風(fēng)險(xiǎn)的破壞力。也就是說，要對ＩＴ系統(tǒng)出現(xiàn)故障時(shí)對各關(guān)鍵業(yè)務(wù)的影響和破壞力作出正確的評估。因?yàn)橹挥姓_分析可能存在的各類ＩＴ風(fēng)險(xiǎn)，并正確評估各類ＩＴ風(fēng)險(xiǎn)可能造成的影響，才能采取正確有效的措施來規(guī)避ＩＴ風(fēng)險(xiǎn)。這是構(gòu)建高效ＩＴ內(nèi)控體系的一個(gè)重要步驟。
許多ＣＩＯ表示，企業(yè)在進(jìn)行ＩＴ風(fēng)險(xiǎn)的規(guī)避和管控的過程中，往往要面臨著如何平衡ＩＴ風(fēng)險(xiǎn)管理與業(yè)務(wù)保護(hù)成本的挑戰(zhàn)。根據(jù)多年來的實(shí)踐經(jīng)驗(yàn)，我們建議企業(yè)ＩＴ管理者可采取分層次、分步驟的方式來做出合理決策，以實(shí)現(xiàn)ＩＴ風(fēng)險(xiǎn)規(guī)避與ＩＴ成本之間的巧妙平衡。
選擇最佳實(shí)踐框架，降低ＩＴ內(nèi)控失效風(fēng)險(xiǎn)國內(nèi)最早倡導(dǎo)ＩＴ內(nèi)控的一批專家指出，我國ＩＴ內(nèi)控建設(shè)最大的問題，不是技術(shù)問題，也不是資金問題，而是缺乏有效的實(shí)踐經(jīng)驗(yàn)和管理方法的管理問題。簡單地說，缺乏ＩＴ內(nèi)控實(shí)踐方法和具體參照標(biāo)準(zhǔn)是導(dǎo)致許多企業(yè)ＩＴ內(nèi)控能力不足的根源之一。因此，為了更有效地建立一個(gè)可持續(xù)的ＩＴ內(nèi)控體系，企業(yè)應(yīng)要選擇一個(gè)最佳實(shí)踐框架，以降低ＩＴ內(nèi)控失效的風(fēng)險(xiǎn)。因?yàn)橥ㄟ^采用一種成熟的控制框架可以簡化溝通，同時(shí)減少所需工作和降低企業(yè)成本。我們建議國內(nèi)企業(yè)可采用《企業(yè)內(nèi)部控制基本規(guī)范》作為ＩＴ內(nèi)控評估標(biāo)準(zhǔn)，再結(jié)合國際上普遍采用的ＣＯＢＩＴ框架和《ＳＯＸ薩班斯法案》作為參考。
組建責(zé)任明確的ＩＴ內(nèi)控小組機(jī)構(gòu)ＩＴ內(nèi)控不應(yīng)只是ＩＴ部門一個(gè)部門的工作和責(zé)任，而應(yīng)該要上升為全員參與。企業(yè)應(yīng)該成立由公司領(lǐng)導(dǎo)和各部門負(fù)責(zé)人組成的責(zé)任明確的ＩＴ內(nèi)控小組機(jī)構(gòu)。該機(jī)構(gòu)要制定出符合本公司需要的ＩＴ管控策略。例如，企業(yè)可定期組織跨部門ＩＴ內(nèi)控工作會(huì)議，加強(qiáng)部門間ＩＴ內(nèi)控工作的協(xié)同配合，保障企業(yè)ＩＴ內(nèi)控的高效率執(zhí)行和實(shí)施。這個(gè)小組除了擔(dān)任ＩＴ內(nèi)控的日常工作外，還可負(fù)責(zé)對ＩＴ內(nèi)控、企業(yè)管控的質(zhì)量進(jìn)行協(xié)調(diào)和監(jiān)督。
制定完善和規(guī)范的ＩＴ內(nèi)控工作流程最后，企業(yè)ＩＴ部門只有加強(qiáng)ＩＴ內(nèi)控管理，嚴(yán)格執(zhí)行各項(xiàng)ＩＴ內(nèi)控的規(guī)章制度，才能有效的實(shí)現(xiàn)風(fēng)險(xiǎn)控制。因此，企業(yè)應(yīng)要借鑒國內(nèi)外先進(jìn)的經(jīng)驗(yàn)，結(jié)合業(yè)務(wù)需要分層次、分步驟地制定和完善ＩＴ內(nèi)控工作流程。例如，可從物理安全、系統(tǒng)安全和管理安全三個(gè)方面制定相應(yīng)的規(guī)章制度，逐步形成完備的管理手冊，使ＩＴ內(nèi)控工作有章可依、有據(jù)可查，并且定期對ＩＴ內(nèi)控制度的執(zhí)行情況進(jìn)行評估。
俗話說“凡事預(yù)則立，不預(yù)則廢”，一個(gè)成功的ＩＴ內(nèi)控體系可以防止和減少許多潛在ＩＴ事件的發(fā)生和引起的風(fēng)險(xiǎn)。
