Appearance
IT 治理与 IT 审计（零基础版）
本页导读：这一篇在教程第 4 版里分量明显加重，很多老考生对它也陌生。内容其实就两件事：公司里"谁说了算"（IT 治理）和"谁来查账"（IT 审计）。零基础版用一个"家族企业"的比喻贯穿全篇：董事会定方向，经理干活，审计师定期体检。学完你会发现：治理 = 董事会管方向和规矩，管理 = 经理按规矩把事做成，审计 = 请独立的人来查做得怎么样。考法以概念理解和流程排序为主，学习成本不高，性价比很好。
你将学会
- 用"董事会 vs 经理"一句话分清 IT 治理与 IT 管理（本篇第一考点）
- IT 治理体系六大要素和治理的组织保障
- COBIT 框架两代版本的关键数字（37 / 40）与 EDM 口诀
- IT 审计"准备→实施→报告→跟踪"四阶段，以及 ITGC 与应用控制的区别
一、先分清：治理 vs 管理（董事会 vs 经理）
比喻：想象一个家族企业。
- 董事会（治理）：不开店、不站柜台，但决定"我们做什么生意、不做什么生意"，给经理划红线、定赏罚，每个季度听汇报。它回答的是——方向对不对、值不值、风险可不可接受。
- 职业经理人（管理）：按董事会定的方向，去招人、采购、开店、做促销，把生意做出来。它回答的是——事情做没做好、效率高不高。
如果经理天天研究"要不要转型"而不去开店，公司乱；如果董事会天天冲进店里指挥摆货架，公司也乱。治理定方向和规矩，管理按规矩把事做成——这个辨析是本篇第一高频考点。
| 维度 | IT 治理 Governance | IT 管理 Management |
|---|---|---|
| 回答的问题 | 做 IT 的方向对不对、值不值 | 事情做没做好、效率高不高 |
| 比喻角色 | 董事会 | 职业经理人 |
| 关注层次 | 顶层设计、决策机制、权责分配 | 计划、组织、执行、控制 |
| 谁来干 | 董事会/高管层/治理委员会 | CIO 与 IT 部门 |
| 典型产出 | IT 战略、决策权限表、风险偏好 | 预算执行、运维报表、项目交付 |
二、IT 治理的体系内容
IT 治理的核心目标：让 IT 投资支撑业务战略、交付价值、管住风险、用好资源。落到实处通常包括六大要素（先想"董事会要过问的事"再记表）：
| 治理要素 | 董事会视角 | 内容 |
|---|---|---|
| 治理架构 | 设不设议事会 | 设立 IT 治理委员会/数字化委员会，明确决策权归属 |
| 战略对齐 | 生意方向和 IT 投入对不对得上 | IT 规划与业务战略保持一致（从业务出发定 IT 投入） |
| 价值交付 | 这笔钱花得值吗 | 让每笔 IT 投入可衡量、可问责（收益实现管理） |
| 资源管理 | 人、财、物够不够用 | 人才、基础设施、数据等核心资源的统筹 |
| 风险管理 | 最坏会亏成什么样 | IT 相关风险的识别、偏好设定与内控 |
| 绩效测量 | 怎么知道干得好不好 | 建立指标体系衡量 IT 的贡献（如平衡计分卡思路） |
考点提示："确保 IT 与业务目标一致"属于治理层面工作，而不是某个 IT 项目经理的日常职责——题干主语错位是常见坑：治理动作的主语应是董事会/治理委员会，不是项目经理。
三、治理的组织保障（谁坐在"董事会"上）
| 角色 | 在治理中的典型职责 |
|---|---|
| 董事会/最高管理层 | 批准 IT 战略与重大投资，承担最终责任 |
| IT 治理委员会 | 跨部门议事决策，审定架构原则与优先级 |
| CEO/业务高管 | 提出业务需求，参与价值评估 |
| CIO（首席信息官） | 治理决议的执行枢纽，牵头 IT 规划 |
| 风险与合规部门 | 独立监督风险与合规状态 |
记忆抓手：治理的议事机构在管理层之上或跨部门，项目团队不在治理链上——项目经理是"被治理"的对象之一，就像店长不是董事会成员。
四、主流框架速览
把框架想成"不同机构出版的经营手册"：
| 框架/标准 | 出品方 | 定位 | 考点抓手 |
|---|---|---|---|
| COBIT | ISACA | IT 治理与管理的综合框架（本篇主角） | 治理与管理目标分开列 |
| ISO/IEC 38500 | ISO/IEC | IT 治理国际标准 | 评估、指导、监督（EDM 思想）的治理模型 |
| ITIL | 英国起源（现 Axelos） | IT 服务管理实践库 | 服务战略→设计→转换→运营→持续改进 |
| ISO/IEC 20000 | ISO/IEC | IT 服务管理国际标准 | 对 ITIL 实践的标准化 |
| ITSS | 中国 | 信息技术服务标准体系 | 我国自主的 IT 服务标准 |
COBIT 怎么考（本篇核心数字）
- COBIT 5：把"治理"和"管理"明确分成两个域，共 37 个目标（5 个治理目标 + 32 个管理目标），围绕企业 IT 目标与业务目标级联
- COBIT 2019：现行版本，治理与管理目标扩展为 40 个（5 个治理目标 + 35 个管理目标），强调治理系统的设计因素与量身定制，配套"组件"（流程、组织结构、原则政策等）构建治理系统
五大治理目标域缩写 EDM（Evaluate-Direct-Monitor，评估、指导、监督）——正是董事会的三件套：看财报（评估）、下指令（指导）、盯执行（监督）。管理目标分属四大域：
| 缩写 | 全称 | 大白话 |
|---|---|---|
| APO | 统筹规划 | 定计划、配资源 |
| BAI | 建设获取实施 | 把系统建出来 |
| DSS | 交付服务支持 | 日常跑起来、出问题兜住 |
| MEA | 监控评价 | 盯绩效、评效果 |
记忆抓手：治理管 EDM，管理跑 APO-BAI-DSS-MEA。数字"5+35=40（2019 版）""5+32=37（COBIT 5）"都可能进选择题。
五、IT 审计：请人来做"全面体检"
比喻：公司说"我们管理得很好"，股东不信，怎么办？请一位独立的医生来做全面体检——IT 审计就是独立、客观地对 IT 的治理、建设、运维、安全进行检查与评价，出具"体检报告"（审计意见），帮组织发现风险、改进控制。
| 审计类型 | 谁来做 | 特点 |
|---|---|---|
| 内部审计 | 组织内部审计部门 | 家里请的私人医生，服务管理层与治理层，常态化 |
| 外部审计 | 第三方独立机构 | 独立体检机构，独立性强，常由监管或合同要求触发 |
IT 审计的常见范围：IT 治理体系、IT 基础设施、应用系统、数据质量与安全、IT 项目与投资、运维服务、合规性（等保、数据法规等）。
六、IT 审计流程（流程排序题高发区）
按"体检流程"记四阶段：
| 阶段 | 体检比喻 | 主要工作 | 产出 |
|---|---|---|---|
| 审计准备（计划） | 预约、定检查项目 | 确定范围与目标、初步了解被审对象、评估风险、编制审计方案、下达审计通知 | 审计计划/方案 |
| 审计实施 | 上机检查、抽血化验 | 现场检查、取证、测试控制有效性、编制底稿 | 审计工作底稿 |
| 审计报告 | 出体检报告并沟通 | 汇总发现、与被审单位沟通确认、评价与建议 | 审计报告 |
| 后续跟踪 | 三个月后复查 | 跟踪整改落实情况、评价整改效果 | 整改跟踪报告 |
常用审计方法：审阅（查文档，看病历）、访谈（问诊）、观察（看实际操作，查体）、验证/测试（重执行、抽验数据）、数据分析（化验比对）。
高频坑："编制审计方案"发生在准备阶段，不是实施阶段；"与被审单位沟通确认发现"在报告阶段——排序题按"准备→实施→报告→跟踪"走即可。
审计证据与工作底稿
- 审计证据按来源分：书面证据（文档记录）、口头证据（访谈）、环境证据（现场观察）、分析推理证据（数据比对结论）
- 证据力排序常识：独立第三方书面证据 > 内部书面证据 > 口头证据——就像"别家医院的盖章化验单"比"自己口述"可信
- 工作底稿记录审计过程与判断依据，是审计报告的支撑，需复核归档
七、内部控制：审计的"检查对象"
审计很大一部分工作是评价内控设计与执行。比喻：IT 内控像小区安保分两层——
| 类别 | 比喻 | 管什么 | 例子 |
|---|---|---|---|
| 一般控制（ITGC） | 小区物业：围墙、门禁、监控 | 整个 IT 环境的基础控制 | 权限与访问管理、变更管理、系统开发管理、机房与基础设施 |
| 应用控制 | 你家门锁与报警器 | 嵌在具体业务应用里的控制 | 输入校验、处理逻辑核对、输出对账 |
经典内控框架 COSO 五要素（IT 环境同样适用）：控制环境、风险评估、控制活动、信息与沟通、监控。
辨析："登录密码策略"属于一般控制（管整个环境）；"订单金额必须小于审批额度"属于应用控制（嵌在业务流程里）。
八、常考辨析汇总
| 易混点 | 一句话区分 |
|---|---|
| 治理 vs 管理 | 董事会定方向 vs 经理干成事 |
| COBIT vs ITIL | 治理框架 vs 服务管理实践 |
| COBIT 5 vs 2019 | 37 目标 vs 40 目标 |
| EDM | 评估、指导、监督（治理三连） |
| 内审 vs 外审 | 自己人查 vs 第三方查 |
| ITGC vs 应用控制 | 小区物业 vs 家门锁 |
| 审计准备 vs 实施 | 定方案、发通知 vs 取证、写底稿 |
| 审阅 vs 观察 | 查文档 vs 看现场 |
九、论文里怎么用
- 治理类素材适合写进"项目背景与组织环境"：公司设有信息化委员会，重大项目立项需治理委员会决策——体现治理意识
- 审计可作风险/质量措施：项目中主动引入第三方安全测评与内审，按审计建议整改——质量管理段落的加分细节
- 注意分寸：论文主角仍是项目管理过程，治理审计是"组织背景与保障措施"，一两句点到即可
术语卡
| 术语 | 大白话 | 考试怎么考 |
|---|---|---|
| IT 治理 | 董事会管 IT 的方向与规矩 | 与管理的概念辨析，第一考点 |
| IT 管理 | 经理按规矩把事干成 | 同上 |
| 治理委员会 | 公司里的"IT 董事会" | 角色职责匹配 |
| COBIT | 最主流的 IT 治理与管理框架 | 两代目标数 37/40 |
| EDM | 治理三连：评估、指导、监督 | 缩写展开 |
| ITIL | IT 服务管理的"操作手册" | 与 COBIT 定位区分 |
| IT 审计 | 独立体检，出报告 | 概念与类型（内/外审） |
| 审计四阶段 | 预约→检查→报告→复查 | 排序题 |
| 工作底稿 | 检查过程的记录本 | 阶段归属（实施阶段产出） |
| ITGC | 小区物业式的基础控制 | 与应用控制辨析 |
| 应用控制 | 嵌在业务里的家门锁 | 输入校验等举例 |
| COSO 五要素 | 内控框架的五大件 | 名称背诵 |
易错点
- 治理 vs 管理只看字面：判断题干时先看主语和层面——董事会/战略/权责 = 治理；执行/效率/日常 = 管理。
- 把项目经理的活算成治理：治理议事机构在管理层之上或跨部门，项目经理是被治理对象，"确保 IT 与业务一致"不是项目经理日常职责。
- COBIT 两代数字记反：COBIT 5 是 37（5+32），COBIT 2019 是 40（5+35），考前扫一眼别互换。
- "编制审计方案"归错阶段：方案在准备阶段编好并下达通知；实施阶段是取证写底稿。
- ITGC 与应用控制举错例：密码策略、机房、变更管理 = 一般控制；输入校验、额度校验 = 应用控制。
- COBIT 与 ITIL 定位混淆：COBIT 管"治理+管理"全局，ITIL 只管服务管理（运维那一摊）。
- EDM 三个词翻译错：Evaluate 评估、Direct 指导、Monitor 监督，别把 Direct 记成"执行"。
自测 5 题
1. "批准 IT 战略、确定风险偏好"这类工作属于？ A. IT 管理 B. IT 治理 C. 系统运维 D. 项目执行
2. COBIT 2019 中治理目标与管理目标共有多少个？ A. 37 个（5+32） B. 40 个（5+35） C. 35 个（5+30） D. 32 个（5+27）
3. "登录密码策略、机房门禁、变更管理流程"属于哪类控制？ A. 应用控制 B. 一般控制（ITGC） C. 输出控制 D. 业务控制
4. 审计流程的正确顺序是？ A. 实施准备→审计→跟踪报告 B. 准备→实施→报告→后续跟踪 C. 报告→实施→准备→跟踪 D. 准备→报告→实施→跟踪
5. 下列哪项属于 EDM 中"Direct"的含义？ A. 评估现状 B. 指导方向、下达指令 C. 监督执行 D. 执行操作
点开看答案与解析
1. B —— 批准战略、定风险偏好是董事会层（治理）的动作；管理是按既定方向执行。 2. B —— COBIT 2019 共 40 个目标 = 5 个治理目标 + 35 个管理目标；37（5+32）是 COBIT 5 的数字。 3. B —— 面向整个 IT 环境的基础控制是一般控制（ITGC）；嵌在具体业务应用里（如输入校验）才是应用控制。 4. B —— 按体检流程记：预约准备→上机检查（实施）→出报告→复查跟踪。 5. B —— EDM = Evaluate 评估、Direct 指导、Monitor 监督；Direct 是"下指令、定方向"，不是执行。
小结
- 治理 vs 管理用"董事会 vs 经理"秒答，是本篇第一考点
- COBIT 记两代数字（37/40）与 EDM；管理四域 APO-BAI-DSS-MEA
- 审计流程记"准备→实施→报告→跟踪"；内控分 ITGC（小区物业）与应用控制（家门锁）
下一页：信息系统架构 →