speedrun3｜第3章 信息系统治理速通框架

ONEPSOFT | 软考学习知识库

---

speedrun3｜第3章 信息系统治理速通框架

1. 章节定位

• 一句话概括：讲组织层面如何 " 管 IT", IT 治理（定方向、分责权、控风险）与配套的 IT 审计（合规检查、风险管控）。
• 题型覆盖：综合知识 ✓（中频）｜案例分析 ✗｜论文 ✗（治理思想可点缀论文）。
• 重要性星级：（3 星，概念多、易混淆，选择题常考 IT 治理目标/层次/标准、IT 审计流程）。
• 教材出处：《信息系统项目管理师教程（第 4 版）》第 3 章 信息系统治理。

2. 本章在讲什么

• 主题：IT 治理（IT Governance）是组织治理的一部分，负责统筹、评估、指导、监督 IT；IT 审计是与治理配套的 " 评估 + 监督 " 工具。
• 解决啥问题：回答 " 组织怎么从治理高度管好 IT 投资、对齐战略、控住风险 "，以及 " 怎么审计 IT 确保合规 "。
• 在体系位置：位于 " 信息系统管理/工程 " 之上，是组织级视角；治理定调，后面管理 (第 4 章) 和工程 (第 5 章) 去执行。
• 前后逻辑：3.1 讲 IT 治理（基础/体系/任务/方法标准），3.2 讲 IT 审计（基础/方法/流程/内容），治理与审计配套出现。

3. 教材原文精摘

子节 3.1 IT 治理

3.1.1 IT 治理基础IT 治理是描述组织采用有效的机制对信息技术和数据资源开发利用，平衡信息化发展和数字化转型过程中的风险，确保实现组织的战略目标的过程。

IT 治理的内涵主要体现在 5 个方面：①IT 治理作为组织上层管理的一个有机组成部分……②IT 治理强调数字目标与组织战略目标保持一致……③IT 治理保护利益相关者的权益，对风险进行有效管理……④IT 治理是一种制度和机制……⑤IT 治理的组成部分包括管理层、组织结构、制度、流程、人员、技术等多个方面。

【讲解】IT 治理定义（确保战略目标实现的机制）与内涵 5 方面（对齐战略/风险管理/制度机制等）是重点。怎么考：定义、内涵要点。

IT 治理主要目标包括：与业务目标一致、有效利用信息与数据资源、风险管理。

【讲解】三大目标（一致/利用资源/风险管理）必背。怎么考：目标辨析。

IT 治理的管理层次大致可分为三层：最高管理层、执行管理层、业务与服务执行层。

【讲解】三层管理层次（最高/执行/业务服务执行）及各自职责。怎么考：层次与职责对应。

3.1.2 IT 治理体系IT 治理核心内容……包括六个方面：组织职责、战略匹配、资源管理、价值交付、风险管理和绩效管理。

建立 IT 治理机制的原则包括：①简单。②透明。③适合。

【讲解】治理核心内容 6 方面、机制三原则（简单/透明/适合）。怎么考：六内容、三原则。

3.1.4 IT 治理方法与标准比较典型的是我国信息技术服务标准库 (ITSS) 中 IT 治理系列标准、信息和技术治理框架 (COBIT) 和 IT 治理国际标准 (ISO/IEC38500) 等。

ISO/IEC38500……该标准规定治理机构应通过评估、指导和监督三个主要任务来治理 IT。

【讲解】三大标准（ITSS/COBIT/ISO38500）及 ISO38500 三任务（评估/指导/监督）。怎么考：标准名称与归属。

子节 3.2 IT 审计

3.2.1 IT 审计基础IT 审计的目的是指通过开展 IT 审计工作，了解组织 IT 系统与 IT 活动的总体状况，对组织是否实现 IT 目标进行审查和评价，充分识别与评估相关 IT 风险，提出评价意见及改进建议，促进组织实现 IT 目标。

IT 审计风险主要包括固有风险、控制风险、检查风险和总体审计风险。

【讲解】IT 审计目的（审查评价、识别风险、提建议）与四类风险（固有/控制/检查/总体）。怎么考：目的、风险分类。

3.2.3 审计流程广义的审计流程分为审计准备、审计实施、审计终结及后续审计四个阶段。

【讲解】审计四阶段（准备/实施/终结/后续）必背。怎么考：阶段排序、名称。

3.2.4 审计内容IT 审计业务和服务通常分为 IT 内部控制审计和 IT 专项审计。

【讲解】审计两类（内部控制审计/专项审计）。怎么考：分类。

4. 核心知识树

信息系统治理
├── IT治理
│   ├── 定义目标
│   ├── 三管理层
│   ├── 六核心内容
│   └── 三标准
└── IT审计
    ├── 目的风险
    ├── 四流程
    └── 两分类

5. 知识脑图

思维导图（结构化呈现）

• 信息系统治理
  • IT治理
    • 定义与内涵
    • 三目标
    • 三管理层
    • 六核心内容
    • ITSSCOBITISO
  • IT审计
    • 目的
    • 四类风险
    • 四阶段流程
    • 内控与专项

6. 关键概念速解

概念	教材定义原词	大白话速解	怎么考
IT 治理	采用有效机制平衡风险确保实现战略目标的 process	组织给 IT 定方向、分责权、控风险	定义、目标
IT 治理三目标	与业务目标一致、有效利用资源、风险管理	对齐战略、用好数据、防风险	三目标
IT 治理三层次	最高管理层、执行管理层、业务与服务执行层	决策层/管理层/干活层	层次职责
COBIT	面向整个组织的信息和技术治理及管理框架	国际 IT 治理 " 教科书 "	标准归属
IT 审计	对是否实现 IT 目标审查评价识别风险	给 IT 做合规体检	目的、流程
IT 审计四阶段	准备、实施、终结、后续审计	查前查中查完复查	阶段排序

7. 记忆口诀&类比

• 口诀（IT 治理三目标）：「一对 (业务) 二用 (资源) 三防 (风险)」。
• 口诀（审计四阶段）：「准 (准备) 施 (实施) 终 (终结) 后 (后续)」。
• 口诀（ISO38500 三任务）：「评 (评估) 指 (指导) 监 (监督)」。
• 类比（施工/土木）：IT 治理就像工程集团的 " 法人治理 + 总工负责制 ", 最高管理层像董事会定战略投不投这个项目，执行管理层像总工排计划控成本，业务执行层像项目部真干活。IT 审计就像 " 政府质监站 + 第三方飞检 "，按四阶段（进场准备→现场检查→出报告→整改复查）给工程做合规体检。COBIT/ITSS/ISO38500 就像三套不同的 " 工程管理规范体系 "。

8. 易混淆点对比

易混 A	易混 B	核心区别
IT 治理	IT 管理	治理定方向分责权 (做正确的事)，管理抓执行 (正确地做事)
IT 治理	IT 审计	治理是统筹指导监督，审计是配套的检查评价工具
固有风险	控制风险	前者无控制就存在，后者控制不到位才产生
ITSS	COBIT/ISO38500	ITSS 是我国标准库，后两者是国际框架/标准

9. 与其他章节关联

• 上游前置：第 1 章（数字化战略背景）、第 2 章（IT 技术基础）。
• 下游依赖：第 4 章信息系统管理（治理定调、管理执行）、第 5 章工程（审计内容含生命周期/运维审计）。
• 联动考点：IT 审计 " 运行维护审计 " 与第 4 章运维、系规（IT 服务）呼应；治理目标 " 战略一致 " 贯穿全书。

10. 考试出题方式

• 选择：中频。IT 治理三目标、三层次、六核心内容、三标准、ISO38500 三任务、IT 审计四阶段/四类风险, 概念辨析题。
• 案例：基本不直接考，但 " 治理缺失导致项目失控 " 可作案例背景。
• 论文：不直接考，但可在论文中体现 " 从治理高度对齐战略 " 的格局。

高项速通地图（本批第 1-6 章）

章	知识点	星级	题型
第 1 章	信息化发展	★★	综合
第 2 章	信息技术发展	★★★★	综合
第 3 章	信息系统治理	★★★	综合
第 4 章	信息系统管理	★★★	综合 + 案例
第 5 章	信息系统工程	★★★★	综合 + 案例
第 6 章	项目管理基础	★★★★★	综合 + 案例 + 论文