电网企业IT审计的主要内容和建议

电网企业IT审计的主要内容和建议作者：吴晨来源：《华中电力》2014年第03期摘要：电网企业的信息化建设为推动企业的管理提升，起到了举足轻重的作用。

电网企业的运营管理对于信息系统的依赖性也在不断增强。

本文分析了电网企业开展IT审计的重要意义。

结合ISACA最新发布的COBIT5框架模型，分析了电网企业开展IT审计的治理过程和管理过程的37项主要内容，并对电网企业开展IT审计提出了在治理机制、建立审计机制和审计队伍方面的建议。

关键词：电网企业、IT审计、COBIT5近些年来，我国电网企业的信息化建设取得了非常显著的成就。

各企业的信息系统围绕覆盖面更广、集成度更深、智能化更高、安全性更强、互动性更好和可视化更优的要求，建立了贯穿电网发电、输电、变电、配电、用电、调度六大业务环节，覆盖规划、建设、运行、管理、决策等生产经营管理全过程的信息系统。

例如国家电网公司开展的SG-ERP工程，将信息化全面渗透到公司各个管理领域和各项业务环节，信息化在企业管理中的支撑和引领作用不断增强。

信息化不断推动电网企业的管控模式由割裂向协同、由分散向集中、由自发向可控、由孤岛向共享的转变，有效促进了企业经济效益的增长。

但是也必须看到，随着信息化对于电网企业的重要性不断增强，电网企业越来越有必要开展IT审计。

一、 IT审计的基本概念1. IT审计随着信息技术和网络技术在企业的广泛应用，信息系统的应用渗透到企业生产经营的方方面面，企业对信息系统的依赖也越来越强，企业的业务运营、经营管理、财务管理等各个方面都通过信息系统进行数据处理和信息传递。

因此，信息系统的安全性、可靠性、完整性以及支撑企业业务流程的有效性受到越来越多的关注。

IT审计即是为了确保这一目标而开展的现代企业内部审计。

按照国际IT审计委员会（ISACA）的定义，IT审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率利用组织的资源并有效果地实现组织目标地过程。

因此，IT审计是对信息系统及其业务应用的效能、效率、安全性进行检测、评估和控制，以识别企业信息管理的风险。

2. IT审计的内容与范围IT审计的主要目标是保护信息资产、维护数据完整性、评估系统有效性、评估系统效率。

IT审计的主要内容包括信息系统本身及其相关的环境，包括基础设施、系统开发、软硬件管理、信息安全、网络管理和通信等。

从时间周期上，IT审计涉及信息系统的整个生命周期，不仅仅是事后审计，同时还包含对信息系统建设过程中和运行过程中的监督和咨询，使信息系统更准确和有效的满足业务需求。

从内容上，IT审计关注三个层面的信息系统相关内容。

在公司层面，主要关注公司的战略规划、IT治理结构；在业务层面，主要关注业务流程的信息相关风险；在信息技术层面，主要关注信息系统和基础建设、IT服务的交付与支持、信息资产的保护、灾难恢复和保证业务连续性的能力。

二、电网企业开展IT审计的意义企业开展IT审计，对于提升内部管控水平和满足外部监管要求具有重要的意义，IT审计在信息系统建设和运营中能够提供必要和客观的评估和咨询意见，协助维护信息系统开发建设的规范性。

对于电网企业，开展IT审计则具有更加重要的意义。

1. 确保正常生产运行的需要电力行业是国民经济的基础产业，是国民经济发展和人民生活极其重要的基础设施之一。

信息系统在电网企业生产运行中扮演越来越重要的角色，信息系统的业务相关性越来越紧密，数据量越来越大，生产运营和经营管理对信息系统的依赖性也越来越强。

调度、电网、营销、财务等各类信息系统的安全性、可靠性，是电网企业维持正常生产运行的立命之本。

建设和维护这些信息系统是否能够满足业务需求，保证通信畅通，确保数据安全，是电网企业信息化工作所面临的重要课题，这也是IT审计关注和解决的问题。

2. 评价信息化建设绩效的需要企业信息项目建设投资巨大，动辄以百万、千万甚至亿元计。

但是，无论国内还是国外，信息项目建设失败的几率都很高，信息系统的实际应用效果与企业预期之间往往存在落差。

信息化建设往往会发生大量投入而不见回报的“黑洞”现象。

IT审计可以站在一个相对独立的立场上，对信息化建设的绩效做出检查、分析和评价，并找出影响信息化建设效益的症结，为加强管理、维护和提升企业利益提供有价值的建议。

3. 提升内部管理水平的需要企业开展信息化建设必不可少的一项工作是建立公司的IT治理机制，从IT决策权的归属机制和有关IT责任的承担机制进行策划和规范，以确保公司的信息建设与公司的战略目标、业务目标和IT目标相一致。

开展IT治理建设，明确公司信息化建设的组织模式、投资计划、系统架构、系统标准以及相关资源，既是企业信息化建设的需要，也是满足管理规范的需要，更是提升公司内部管理水平的需要。

4. 履行责任央企义务的需要2008年6月28日，财政部、证监会、审计署、银监会、保监会联合发布《企业内部控制基本规范》。

2010年4月26日，五部委联合发布《企业内部控制配套指引》，其中作为配套指引之一的《企业内部控制应用指引》第18号专门针对企业信息系统应用控制提供指导。

2006年6月6日国资委发布实施《中央企业全面风险管理指引》，明确指出信息系统风险作为全面管理风险的内容之一。

电网企业作为央企，有义务响应政府的管理要求，在行业内率先研究IT审计在电力行业的应用实践，并建立起完善的IT审计体系。

三、电网企业IT审计的主要内容开展IT审计时，一般按照公认的标准和指导规范对信息系统进行监测和评估。

目前，国际上已经建立起一套完善的以COBIT为核心的IT审计相关准则。

COBIT是ISACA公布的国际上通用的IT审计的标准，是在国际上公认为最先进、最权威的安全与信息技术管理和控制的标准。

该标准很好地联系了业务风险、内部控制和信息技术问题，不仅可以为管理者和业务用户提供指引，而且可以作为审计师的审计指南，指导信息系统审计工作。

目前ISACA已经发布了最新版的COBIT 5。

COBIT 5融合了BOBIT4.1、Val IT和Risk IT 的框架，并且吸收了其他的相关标准和实践，如BMIS、ITAF、TGF等。

与COBIT4.1相比，新标准明确定义了治理和管理的职能和控制目标，将企业的IT治理过程覆盖了端到端的企业活动，划分为5个治理流程和4个管理职能域。

电网企业开展IT审计，可以借鉴COBIT 5的框架要求，对企业IT治理和管理的过程进行全面的审计。

下面对照COBIT 5 IT治理5个流程和IT管理4个领域32个流程的主要要求和目标，列出电网企业开展IT审计的主要内容，在此基础上，电网企业还可以结合自身的具体管理工作，展开成具体的管理活动，使COBIT5的要求能够落到企业实处。

1. IT治理过程（1）治理体系：企业治理体系有效性和绩效。

（2） IT投资：企业进行IT投资的成本效益。

（3）风险优化：IT相关风险可控、在控，没有超过企业的风险偏好和风险容忍度。

（4）资源优化：根据企业的资源需求，根据成本优化的原则进行资源配置。

（5）相关方透明：与上级公司、社会、政府等利益相关者的沟通有效、及时、透明，符合各方要求。

2. IT管理过程——排列、计划和组织（1） IT管理框架管理：建立IT组织架构，如IT战略委员会等，明确IT人员的角色和职责。

（2）战略管理：企业的信息化规划符合业务目标和内外部环境。

（3）企业架构管理：通过建立包括业务流程、信息、数据、应用程序和技术领域等的架构，有效实现IT规划目标。

（4）创新管理：建立有利创新的环境，跟踪信息技术的发展，使企业获得竞争优势、业务创新和提升效率。

（5）投资组合管理：根据企业架构远景，基于成本和财务等因素确定合适的投资组合。

（6）预算和成本管理：开展IT相关的财务活动，如预算、成本和效益管理，以及支出的优先次序等，实现成本可控。

（7）人力资源管理：确保IT人员的胜任和合适，确定关键IT人员，评价和提升员工的能力。

（8）关系管理：IT与业务形成良好的关系，IT了解和匹配电网业务的需求，推动业务的发展。

（9）服务协议管理：满足业务需求的IT有效服务和服务水平，包括IT服务、服务水平和绩效指标的确定、规范、设计、发布、协定和监测等。

（10）供应商管理：管理由各类供应商提供的IT相关服务，满足企业要求，包括供应商选择、关系管理、合同管理和评审及供应商有效性和合规性绩效的监控。

（11）质量管理：建立质量管理体系，对所有流程进行有效的质量管理，包括质量目标、质量监测、持续改进等。

（12）风险管理：识别、评估和降低IT相关风险至高级管理层设定的可忍受的水平。

（13）安全管理：建立好维护信息安全管理系统，并进行定期的监控和检查。

3. IT管理过程——建设、获取和实施（1）项目管理：启动、计划、控制、执行投资组合中的方案和项目。

（2）需求定义管理：确保IT项目方案与涵盖业务流程、应用程序、信息和数据、基础设施和服务的企业战略需求保持一致。

（3）方案识别和建设管理：建立和维护符合企业需求的涵盖设计、开发、采购及与供应商的合作的解决方案。

（4）可用性和能力管理：评估目前和将来的可用性、性能和能力，符合业务需求、业务预测，达到有效平衡。

（5）组织变革使能管理：建立有效团队，实施整个企业范围内的快速组织变革，降低风险的可能性。

（6）变革管理：建立有效的变更标准和程序，实施有关业务流程、应用程序和基础设施的标准变更和紧急维护。

（7）变更接受和迁移管理：验收和制定可使用的新的解决方案，包括实施计划、系统和数据转换、验收测试、沟通、版本发布准备、推行新的或变更的业务流程和IT服务的产品，早期的产品支持，及实施后审查。

（8）知识管理：规划知识的识别、收集、组织、维护、使用和废止，提供所需的知识以支持所有员工的工作活动。

（9）资产管理：对IT资产进行全寿命周期管理，优化IT 资产提供的价值（10）配置管理：收集配置信息，建立基线，验证和审计配置信息，提供足够的有关服务资产的信息4. IT管理过程——交付、服务和支持（1）运营管理：协调和执行需要交付内部和外包IT服务的活动和运营程序。

（2）服务请求和事件管理：对用户请求和各类事件的解决提供及时和有效的响应。

（3）问题管理：确认和分类问题及其根本原因，提供及时解决以防止再次出现事件。

（4）连续性管理：制定业务连续性策略，确保关键业务流程的持续运行和需要的IT服务。

（5）安全服务管理：建立和维护信息安全的角色和存取权限，实行安全监控，保护企业的信息安全。

（6）业务流程控制管理：确保与内部或外包的业务流程有关的信息满足所有相关的信息控制要求5. IT管理过程——监控、评价和评估（1）监控、评价和评估绩效和合规：按商定的绩效和合规目标和指标，收集、验证和评估业务、IT和流程的执行情况。