IT控制是企業(yè)內(nèi)部控制的重要領(lǐng)域。COBIT（信息及相關(guān)技術(shù)控制目標(biāo)，Control Objectives for Information and Related Technology）作為一個通用的IT控制框架，已在美國等180多個國家廣泛使用，正逐漸成為事實上的國際標(biāo)準(zhǔn)。COBIT框架以業(yè)務(wù)為中心、以流程為導(dǎo)向、以控制為基礎(chǔ)、以績效測評為驅(qū)動，將企業(yè)內(nèi)部IT相關(guān)控制劃分為4個過程域、34個主要控制流程和310多個典型控制活動，以確保IT 與業(yè)務(wù)保持一致，從而實現(xiàn)IT價值的最大化，同時保證了IT成本的合理確認(rèn)與分?jǐn)偂?br />
“DS6-IT成本確認(rèn)與分?jǐn)偂睂儆贑OBIT框架（4.1版）中第三個過程域“交付與支持（DS）”中的第6個IT控制流程。從IT治理的角度看，IT成本的確認(rèn)與分?jǐn)偭鞒套铌P(guān)注的是IT治理5大領(lǐng)域中的“資源管理”領(lǐng)域；其次關(guān)注的是“價值交付”和“績效測評”兩個領(lǐng)域，該流程主要關(guān)注IT成本確認(rèn)與分?jǐn)偭鞒痰男屎涂煽啃浴?br />
一、IT成本確認(rèn)與分?jǐn)偭鞒谈攀?br />
IT成本的確認(rèn)與分?jǐn)偭鞒讨饕獓@IT服務(wù)的界定、IT成本核算、IT收費(fèi)和IT成本模型的維護(hù)四個活動展開。與企業(yè)內(nèi)其他所有流程一樣，該流程的執(zhí)行由一名流程所有者全面負(fù)責(zé)。首先，該流程所有者要識別所有的IT成本，并將它們映射到IT服務(wù)中，以支持一個透明的成本模型。將IT服務(wù)連接到業(yè)務(wù)流程中，使得業(yè)務(wù)部門能夠識別出相關(guān)服務(wù)成本的受益范圍。其次，IT成本的確認(rèn)與分?jǐn)偭鞒痰乃姓甙凑掌髽I(yè)成本模型獲取和分?jǐn)倢嶋H成本，預(yù)測與實際成本之間的差異，并按照企業(yè)的財務(wù)報告體系進(jìn)行分析和報告。再次，該流程所有者建立和使用基于服務(wù)定義的IT成本模型，以支持按服務(wù)進(jìn)行內(nèi)部收費(fèi)率的計算。IT成本模型應(yīng)該確保用戶可以識別、計量和預(yù)測服務(wù)的收費(fèi)，促進(jìn)資源的合理利用。最后，流程所有者定期審查和校準(zhǔn)成本、計費(fèi)模型的適當(dāng)性，維護(hù)不斷發(fā)展的業(yè)務(wù)和IT活動的相關(guān)性和適當(dāng)性。
設(shè)立“DS6-IT成本確認(rèn)與分?jǐn)偂绷鞒痰哪繕?biāo)是：使IT滿足業(yè)務(wù)需求，確保IT成本的透明性與可理解性，并通過使用快速廣泛的IT服務(wù)改進(jìn)業(yè)務(wù)流程的成本效益。該流程所有者通過關(guān)注獲取完整和準(zhǔn)確的IT成本，來建立各業(yè)務(wù)用戶統(tǒng)一、公平的成本分?jǐn)傮w系，并及時報告IT使用和成本分?jǐn)偟刃畔ⅰ?br />
二、流程控制及其實現(xiàn)
（一）信息流控制
在當(dāng)今日益復(fù)雜的信息化環(huán)境下，企業(yè)管理層需要不斷搜集簡明、及時的信息，才可能實施恰當(dāng)、充分的IT成本控制。IT成本的確認(rèn)與分?jǐn)偹栊畔⒌膩碓矗ㄝ斎耄┖腿ヌ帲ㄝ敵觯┤鐖D1所示。
圖1提供了IT成本信息審計與控制的途徑。系統(tǒng)所有者是IT成本的受益者。IT投資管理中的成本收益報告和IT預(yù)算提供了IT成本確認(rèn)與分?jǐn)偟闹苯右罁?jù)。詳細(xì)的項目報告提供了進(jìn)一步確認(rèn)和分?jǐn)侷T成本的基礎(chǔ)。服務(wù)水平協(xié)議為IT成本確認(rèn)與分?jǐn)偺峁┝撕戏ㄐ?、合理性證據(jù)。從以上四個信息源，IT成本確認(rèn)與分?jǐn)偟牧鞒趟姓呖梢越⒒蚓S護(hù)合理的IT成本確認(rèn)與分?jǐn)偰Ｐ?，并將IT成本確認(rèn)與分?jǐn)傂畔鬟f給IT投資管理和IT績效評價部門或人員。
（二）職責(zé)分離
實務(wù)界通常通過RACI矩陣描述企業(yè)流程的職責(zé)分離機(jī)制。IT成本的確認(rèn)與分?jǐn)傊械牡湫蜆I(yè)務(wù)活動的RACI矩陣如表1所示。RACI 圖中，R代表Responsible，表示執(zhí)行；A代表Accountable，表示問責(zé)；C代表Consulted，表示協(xié)商；I代表Informed，表示告知。
（三）控制目標(biāo)與測量指標(biāo)
COBIT的基本特征之一是控制為基礎(chǔ)，該框架依次在三個層次上制定了控制目標(biāo)及其對應(yīng)的測量指標(biāo)。第一層次：IT 目標(biāo)和指標(biāo)，定義了業(yè)務(wù)對 IT 的期望和如何測評；第二層次：流程目標(biāo)和指標(biāo)，定義了 IT 流程為了滿足 IT 目標(biāo)必須交付的服務(wù)和如何進(jìn)行評估；第三層次：活動目標(biāo)和指標(biāo)，確定為達(dá)到所需性能而采取的流程內(nèi)活動以及如何測評。IT成本確認(rèn)與分?jǐn)偭鞒淘O(shè)計的三層目標(biāo)及其對應(yīng)測量指標(biāo)如圖2所示。
（四）基于成熟度模型的流程控制評價
對流程能力進(jìn)行評估是企業(yè)內(nèi)部控制的關(guān)鍵要素之一。識別關(guān)鍵的IT流程和控制點后，成熟度模型用來識別各個流程成熟度的差別，并向管理層標(biāo)識差距的具體情況，幫助管理層制定相應(yīng)的行動方案，提高IT成本確認(rèn)和分?jǐn)偭鞒痰男Ч?，使IT更好地滿足企業(yè)業(yè)務(wù)需求：確保IT成本的透明性和可理解性，以及通過IT服務(wù)快速廣泛地使用改進(jìn)成本效益，以期達(dá)到期望的成熟度級別。與其他流程一樣，IT成本確認(rèn)與分?jǐn)偭鞒炭梢猿霈F(xiàn)于0—5的6個級別中，各個級別的關(guān)鍵屬性特征闡述如下：
0—無級別：企業(yè)管理層完全缺乏任何可識別的流程。組織甚至沒有意識到用于確認(rèn)和分?jǐn)偹峁┑男畔⒎?wù)的成本。企業(yè)管理層甚至沒有傳達(dá)任何關(guān)于基本的IT成本核算存在有待處理的問題。
1—初始級：企業(yè)管理層對信息服務(wù)的整體成本有一個大致的了解，但是沒有按照每一用戶、客戶、部門、用戶組、服務(wù)功能、項目或可交付的服務(wù)對成本進(jìn)行細(xì)分。企業(yè)事實上不存在成本監(jiān)控，僅僅把整體成本報告給管理層。財務(wù)部門把IT成本作為一個運(yùn)行開銷分?jǐn)?，各業(yè)務(wù)部門提供有關(guān)IT服務(wù)成本或效益的所需信息。
2—可重復(fù)級：企業(yè)管理層對需要確認(rèn)和分?jǐn)偟腎T成本有一個整體的認(rèn)識。但是IT成本分?jǐn)偸腔诜钦降幕蛟嫉某杀炯僭O(shè)，如硬件成本，事實上沒有與價值驅(qū)動連接起來；成本分?jǐn)偭鞒淌强芍貜?fù)的，而且，企業(yè)對標(biāo)準(zhǔn)的成本確認(rèn)和分?jǐn)偝绦驔]有正式的培訓(xùn)和傳達(dá)，也沒有分配收集和分?jǐn)偝杀镜呢?zé)任。
3—已定義級：財務(wù)部已經(jīng)定義和文檔化了信息服務(wù)成本模型。同時定義了將IT成本與提供給用戶的服務(wù)聯(lián)系起來的流程。財務(wù)人員對將IT成本分?jǐn)偟絀T服務(wù)有一個適當(dāng)水平的認(rèn)識。各業(yè)務(wù)部門提供成本的原始信息。
4—可管理級：企業(yè)管理層已經(jīng)定義信息服務(wù)成本管理的責(zé)任和義務(wù)，且被各級管理層充分理解，并得到正式的培訓(xùn)支持。直接和間接的成本被及時和自動確認(rèn)并報告給管理層、業(yè)務(wù)流程的所有者和用戶。通常情況下，相關(guān)部門對成本進(jìn)行了監(jiān)控和評估，并且在發(fā)現(xiàn)成本偏離預(yù)算時采取了相應(yīng)的措施。將信息服務(wù)成本的報告與業(yè)務(wù)目標(biāo)和SLAa聯(lián)系起來，并且得到業(yè)務(wù)流程所有者的監(jiān)控。財務(wù)部門審核成本分?jǐn)偭鞒痰暮侠硇?。有一個自動的成本核算系統(tǒng)，但它更關(guān)注性能信息服務(wù)功能，而不是業(yè)務(wù)流程。對成本測量的目標(biāo)和指標(biāo)達(dá)成了一致，但未得到一致性測量。
5—優(yōu)化級：所提供的IT服務(wù)的成本被識別、收集、總結(jié)并報告給管理層、業(yè)務(wù)流程所有者和所有用戶。成本被識別為可計費(fèi)項，并支持一個內(nèi)部服務(wù)計費(fèi)系統(tǒng)，基于用戶的使用情況對提供的服務(wù)進(jìn)行適當(dāng)?shù)氖召M(fèi)。成本的詳細(xì)說明支持SLAs。服務(wù)成本的監(jiān)控和評估被用于優(yōu)化IT資源的成本。獲得的成本數(shù)據(jù)用于確認(rèn)組織在預(yù)算流程中所實現(xiàn)的效益。通過智能報告系統(tǒng)，信息服務(wù)成本的報告對業(yè)務(wù)需求的變化提供早期預(yù)警。由于每個服務(wù)的處理量不同，而采用了一個可變的成本模型。基于持續(xù)改善和借鑒其他組織的成果，成本管理被細(xì)化到一個行業(yè)實踐的水平。成本優(yōu)化是一個持續(xù)改進(jìn)的過程。管理層審核成本管理的目標(biāo)和指標(biāo)，并將其作為在重新設(shè)計成本測量系統(tǒng)時持續(xù)改善流程的一部分。
結(jié)論
通過信息流、RACI、控制目標(biāo)與測量指標(biāo)，以及成熟度模型四方面的控制和評價，IT成本的確認(rèn)與分?jǐn)偭鞒痰玫接行Ч芾砗涂刂?，從而降低了IT風(fēng)險，減少了企業(yè)內(nèi)部風(fēng)險。
【參考文獻(xiàn)】
［1］ 中國銀監(jiān)會.銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)風(fēng)險管理指引［S］.2006.
［2］ 中國內(nèi)部審計協(xié)會.信息系統(tǒng)審計準(zhǔn)則［S］.2008.
［3］ http://www.isaca.org/cobit ［EB/OL］.2010-11-06 .
［4］ 陳朝.我國信息化建設(shè)中信息系統(tǒng)審計問題研究［D］.東北師范大學(xué)，2006.
［5］ 呂凡.計算機(jī)輔助審計研究［D］.武漢大學(xué)，2005.
［6］ 陳婉玲，楊文杰.ISACA 信息系統(tǒng)管理準(zhǔn)則及其啟示［J］.審計研究，2006（增刊） .
［7］ 胡曉明，林娟.COBIT 4.0:解讀與啟示［J］.科技管理研究，2007（11） .
［8］ 吳炎太.COBIT控制思想在信息系統(tǒng)建設(shè)中的應(yīng)用［J］.財會通訊，2009（19）.
