余小兵　吴青

[摘 要] IT风险控制与审计是企业IT治理的关键环节，科学有效地发挥风险管理策略与审计的作用以实现企业经营目标是企业治理与管理的重要内容。IT治理、IT控制以及IT审计之间既有联系又有区别，共同的关注点在于风险与保证。IT治理必须在风险与利益之间找到均衡，通过IT审计不断促进调整IT控制环境，使组织在风险可识别、可控、可管理的环境下保证组织利益最大化。企业IT风险管理组织框架应当从“决策—管理—执行”三个层面设立风险管理职能，并辅以审计监督机制。

[关键词] IT治理框架下；IT风险控制；审计研究

[中图分类号] F272 [文献标识码] B

风险控制是公司IT治理机制的一个重要组成部分，在信息化建设中，需要管理与控制各种风险，以便达到保护IT投资、维持系统持续运行的目的。以风险为导向的审计是合理规避IT风险的一种有效途径，在大型企业中举足轻重。企业IT风险控制与审计需要在充分考虑企业IT系统状况、IT治理结构以及IT审计资源的基础上，借鉴与吸收国际相关企业IT审计的领先实践，全面提高IT审计水平和IT审计人员素质，有效规避IT风险，为企业的未来发展保驾护航。

一、IT治理与风险管理

IT治理是一种引导和控制企业各种关系和流程的结构，确保组织拥有适当的结构、政策、工作职责、运营管理机制和监督实务，以达到公司治理中对IT方面的要求，旨在通过平衡信息技术及其流程中的风险和收益，增加价值，以实现企业目标。……