IT 治理、控制、审计关系
公众号回复：干货，领取价值58元/套IT管理体系文档
公众号回复：ITIL教材，领取最新ITIL4中文教材
正文
IT治理是什么？
IT治理侧重于宏观决策方面的指导，告诉人们：要做哪些事，由谁来做这些事，以及如何建立决策机制、如何进行有效监控等明确的目标。IT治理为组织建立一个长效均衡的治理结构，在风险可控的环境下保证组织获益。均衡的环境在满足组织外部约束的同时需要考虑如何降低成本、提高股东收益、满足客户要求以及建立良好的社会形象等条件。
IT控制是什么？
IT控制就是在这样的治理结构下，为实现组织的目标提供合理保证而实施的一系列政策和程序，内部控制是一个持续的过程，为了保证组织经营的效率和效果、财务报告的可靠性以及对有关法律和规章制度的遵循等情况下评估风险并设计、实施和持续监督控制措施。可以看出IT控制的主要目的是建立一个可持续监控的控制环境使组织风险可识别、可控、可管理。
IT审计是什么？
IT审计是一个获取并评价证据的过程，主要目标就是对组织实施的风险管理环境和控制环境的保证措施进行识别和评估，判断管理层关于控制的声明是否是可靠的，所以审计必须保持其独立性，以第三方客观的立场进行检查和评价。
三者之间的关系
从以上论述可以看出，IT治理、IT控制以及IT审计之间既有联系又有区别。分析来看，关注点是相同的，立场是不同。
共同的关注点在于风险与保证。风险管理的主要目标是为了保证组织经营的效率和效果、财务报告的可靠性以及对有关法律和规章制度的遵循。保证，主要来自一系列相互依存的控制政策与程序，以及评价控制有效性的证据，这些证据可以证明控制是连续和充分的。
IT 治理、IT控制与IT审计之间的关系
IT治理要明确目标与方向，为IT控制环境与活动设定明确的目标。
IT控制要建立一个完整的，具有弹性的内部控制体系，应对组织面临地各种风险挑战和意外事件。
IT审计是获取与IT控制和保证措施相关的证据，评估IT控制的有效性、评价IT绩效及IT战略与业务目标的符合程度。
IT治理必须在风险与利益之间找到均衡，通过IT审计不断促进调整IT控制环境，使组织在风险可识别、可控、可管理的环境下保证组织利益最大化。
扫码加入社群更多视频等干货分享讨论
ITSS体系框架及智能运维发展ISO20000与ITIL、ISO27000、CMMI、BS25999的相互区别优秀的项目管理与糟糕的项目管理ITIL改进信息安全的10种途径信息化总体架构（资料下载）