本章是选择题高频章节，同时部分概念会出现在案例分析，分为 IT 治理、IT 审计两大板块。全文干货，适合碎片时间阅读，考前直接背诵。

💡 本章导读 IT 治理解决的是：组织 IT“谁来决策、怎么决策、权责怎么划分”； IT 审计解决的是：“检查 IT 做的对不对、风险在哪里、给出整改建议”。 一个定规则，一个做检查，二者相辅相成。

・IT 治理依靠 决策权与责任划分 ，引导组织期望的行为。 ・数字化已经成为组织发展的关键特征。 ・IT 战略必须和组织业务战略保持对齐。 ・从组织目标、数字战略提取信息、功能需求，搭建 IT 治理框架与系统模型。

✅高质量 IT 治理：让 IT 决策、IT 应用和业务目标、组织期望行为保持一致。

1.2 IT 治理的目标与价值

IT 治理搭建一套管理体制： 以组织战略为导向、IT‑业务匹配为重心、价值交付为成果、绩效管理为控制手段 。 核心作用： ・找准 IT 团队在组织内的定位 ・统一规划、整合 IT 与信息资源 ・有效识别规避风险，支撑组织战略落地

1.3 IT 治理三层管理层次

🔹最高管理层（高层） ① 确认 IT 战略与业务战略保持一致 ② 确认 IT 价值可以依靠明确衡量手段交付 ③ 指导 IT 战略平衡，兼顾现在、未来的投资 ④ 统筹信息、数据资源分配

🔹执行管理层（中层） ① 制定 IT 具体目标 ② 识别新技术带来机遇和风险 ③ 打造关键业务过程核心能力 ④ 分配责任、定义流程、考核业绩 ⑤ 管理风险，获取风险保障

🔹业务与服务执行层（业务一线） ① 提供、支撑信息和数据服务 ② IT 基础设施建设、运维 ③ 提出 IT 需求，响应业务诉求

1.4 IT 治理体系五大组成

① IT 定位 ：IT 应用预期要匹配业务目标 ② IT 治理架构 ：治理委员会人员构成，总部‑分支机构 IT 权责边界 ③ IT 治理内容 ：决策、投资、风险、绩效、管理 ④ IT 治理流程 ：统筹、评估、指导、监督 ⑤ IT 治理效果 ：内部评价 + 外部评价

1.5 IT 治理 5 项关键决策

有效的 IT 治理，必须做好 5 个关键决策👇 ① IT 原则 ② IT 架构 ③ IT 基础设施 ④ 业务应用需求 ⑤ IT 投资和优先顺序

1.6 IT 治理体系框架六大要素

以组织战略目标为导向，打通业务战略和 IT，实现风险管控、资源合理利用

1.7 IT 治理六大核心内容

1. 组织职责 ：划清业务部门、信息部门权责；区分系统的所有者、建设者、管理者、监控者。

2. 战略匹配 ：IT 建设对齐组织战略，是 IT 产出业务价值的核心驱动力。

3. 资源管理 ：优化 IT 投资与资源分配，做好人员培训，满足业务需求。

4. 价值交付 ：产出实实在在的业务价值。

5. 风险管理 ：保障 IT 资产安全，保护业务价值不受损失。

6. 绩效管理 ：❗缺少绩效管理，其余所有治理域都无法有效运转。

1.8 IT 治理机制三大建立原则

• 简单 ：清晰定义个人、团体的责任、目标 ・ 透明 ：程序公开，所有人清楚治理如何运行 ・ 适合 ：把决策权交给最适合做决策的人

1.9 IT 治理活动与五大任务

✅四项基础活动： 统筹、评估、指导、监督

1. 全局统筹 ：统筹 IT 目标、范围、技术环境、发展趋势、人员权责

2. 价值导向 ：明确预期收益，建立收益实现的问责机制

3. 机制保障 ：管控 IT 发展，协调需求落地，识别、处置安全风险

4. 创新发展 ：依托 IT 创新拓展业务，降本增效，提升组织应变能力

5. 文化助推 ：向利益相关方传递治理目标，打造包容的组织文化

2.1 GB/T 34960 信息技术服务治理国标系列

✅GB/T34960.1 第 1 部分：通用要求

规定 IT 治理模型、框架、实施原则；针对顶层设计、管理体系、资源提出治理要求。

适用场景： ① 组织搭建 IT 治理体系，开展自我评价 ② 开展信息技术审计 ③ 研发、选型、评估 IT 治理软件方案 ④ 第三方机构评价组织 IT 治理能力

三大治理域： ① 信息技术顶层设计 ：IT 战略、配套组织与架构 ② 管理体系 ：质量管理、项目管理、投资管理、服务管理、业务连续性管理、信息安全管理、风险管理、供方管理、资产管理 ③ 资源 ：基础设施、应用系统、数据

✅GB/T34960.2 第 2 部分：实施指南

作为通用要求的落地指导文件，分析实施环境，明确实施框架、环境、过程。

适用场景： ① 搭建组织 IT 治理实施框架 ② 组织内部落地 IT 治理 ③ IT 治理解决方案落地指导 ④ 第三方 IT 治理评价指导

实施框架三大部分： ① 实施环境 ：组织内外部环境、促成因素 ② 实施过程 ：统筹和规划 → 构建和运行 → 监督和评估 → 改进和优化 ③ 治理域 ：顶层设计、管理体系、资源（和通用要求保持一致）

・治理体系组件：流程、组织结构、原则政策程序、信息、文化、人员技能胜任力、服务、基础设施、应用程序。

治理系统设计四步流程： ① 了解组织环境与战略 ② 确定治理系统初步范围 ③ 优化治理系统的范围 ④ 完成治理系统最终设计

❗国际标准 IT 治理三大任务： 评估、指导、监督

审计目标： ① IT 战略与业务战略保持一致 ② 保护信息资产安全，保障数据完整、可靠、有效 ③ 提升系统安全性、可靠性、有效性 ④ 确保信息系统符合法律法规、行业标准

确定审计范围，需要综合审计目的、审计成本；要明确 4 类边界： ・总体范围 ・ 组织范围 ：机构、业务流程、人员 ・ 物理范围 • 逻辑范围

实操做法：先做整体调研、风险评估，识别重大 IT 风险；结合人力时间确定审计重点。

依据 GB/T34960.4《信息技术服务治理第 4 部分：审计导则》 人员要求：职业道德、知识、技能、资格经验、专业胜任能力，必要时引入外部专家。

3.4 IT 审计四大风险 【高频考点】

四、IT 审计方法、技术、证据与底稿

・访谈法：结构化访谈、非结构化访谈 ・调查法：制定调研计划，问卷收集资料 ・检查法：审阅法、核对法、复算法、分析法 ・观察法：实地现场查看业务运行 ・测试法 ▷ 黑盒测试 ：不关心内部逻辑，只校验功能是否满足需求 ▷ 白盒测试 ：深入程序内部结构，检验内部执行路径 ・程序代码检查法：逐条审查程序指令，校验合法、完整、逻辑正确

1. 风险评估技术 ：风险识别、风险分析、风险评价、风险应对

2. 审计抽样技术 • 统计抽样 ：依靠概率客观抽取样本 ▷属性抽样：统计发生比率，回答 “有多少”（例：审批签字检查） ▷变量抽样：估算金额、度量数值（例：交易金额核查） ・ 非统计抽样（判断抽样） ：审计人员依靠经验主观判断样本

3. CAAT 计算机辅助审计技术 ：计算机作为审计工具，手工、电算化系统都适用

4. 大数据审计技术 ：智能分析、可视化分析、多数据源综合分析

4.3 IT 审计证据（审计意见的支柱）

五大核心特性： ✅ 充分性 ：样本量足够支撑审计结论 ✅ 客观性 ：必须是客观事实 ✅ 相关性 ：证据和审计事项有实质联系 ✅ 可靠性 ：真实反映业务活动 ✅ 合法性 ：获取流程、形式符合法规

作用：支撑审计结论；划分经济责任；把控审计质量。

底稿 = 审计证据的载体，完整记录审计计划、程序、证据、结论。

1. 综合类工作底稿 （计划、报告阶段）：审计计划、审计总结、审计报告

2. 业务类工作底稿 （实施阶段）：内控调查表、流程图

3. 备查类工作底稿 ：备查使用，多由被审计单位提供

🔔 三级复核制度 ：审计机构负责人 → 部门负责人 → 项目负责人逐级复核底稿。

底稿四大作用： ① 出具审计结论、意见的直接依据 ② 考核审计人员 ③ 审计质量监督控制 ④ 为后续审计项目备查参考

1. 审计准备阶段 ：审计计划编制 → 发出审计通知书

2. 审计实施阶段 ：❗审计核心关键环节，直接决定审计成败

3. 审计终结阶段 ：整理底稿，编写审计报告，出具审计结论

4. 后续审计阶段 ：报告发出后，跟踪检查被审计单位整改落地效果

流程价值：指导审计工作，提升效率，保障审计质量，规范审计业务。

1. IT 内部控制审计 ① 组织层面 IT 控制审计 ② IT 一般控制审计 ③ 应用控制审计

2. IT 专项审计 针对特定风险、特定业务需求，选取部分模块开展专项审计。

📚本章最简记忆总结（考前速背）

1. IT 治理四大活动： 统筹、评估、指导、监督 ；三大目标：业务对齐、资源利用、风险管理。

2. IT 治理三层：高层定战略对齐，中层定目标管风险，业务层做运维、提需求。

3. IT 治理 5 项关键决策：IT 原则、IT 架构、IT 基础设施、业务应用需求、IT 投资优先级。

4. IT 治理六大核心：组织职责、战略匹配、资源管理、价值交付、风险管理、绩效管理。

5. GB/T34960.1 三大治理域：顶层设计、管理体系、资源；实施四步：统筹规划‑构建运行‑监督评估‑改进优化。

6. 审计风险区分：固有风险、控制风险属于被审计单位；检查风险属于审计方。

7. 抽样考点：属性抽样看比率；变量抽样看金额；非统计抽样依靠审计人员经验。

8. 审计证据 5 要素：充分、客观、相关、可靠、合法。

9. 底稿分三类：综合类、业务类、备查类；执行 三级复核制度 。

10. IT 审计四阶段：准备→实施→终结→后续审计；后续审计属于原审计的一部分。

11. IT 审计业务：内部控制审计（组织层面、一般控制、应用控制）、IT 专项审计。

本文由 AI 辅助创作，核心观点为本人提炼。

—— 往期文章推荐， 期望 你的阅读 ——

两个月上岸 【第三版】 软考中项 【系统集成项目管理工程师】

【第二版】 软考 【信息系统监理师】

【第二版】 信息安全工程师-软考学习笔记

【第四版】 软考高项 【信息系统项目管理师】

【第二版】 软考 【系统规划与管理师】

——未完待续，期望你的关注——