一項調查顯示，85％的中國企業IT內控不完善或者缺乏有效的執行，與此同時，大多數企業管理者認為IT內控能力不足，會成為企業發展的瓶頸。

　　內控與風險管理需要IT技術

　　近年來，IT已經成為推動企業發展的重要動力，企業對IT的依賴程度也越來越高，IT內控已成為企業信息化管理中規避潛在風險的重要方法。

　　“無論是市場還是企業本身，均存在著對企業內部控制的要求。許多國家均已頒布了相關法案，如美國的《薩班斯法案》、日本的《金融商品交易法》、中國的《企業內部控制基本規范》等，都對企業治理、職權控制、信息發布等方面提出了嚴格的企業規則和監管要求。”山東北方聯合會計師事務所合伙人李建軍表示。

　　“IT技術能幫助企業在內控和風險管理過程中實現可行、可控和可視，使內控規范具體落地，并且能對執行的效果進行評估、評價和信息反饋。”GBU集團管控事業部內控風險業務總監劉巍表示，IT內控是一個需要企業全員參與的體系，它的安全、穩定和可靠尤為重要，其整個授權和相關的權限管理對技術要求非常高。同時，IT內控是一個需要逐步建設、長期規劃的系統，這就要求該系統的架構必須能夠滿足可擴展、個性化應用的需求。

　　水能載舟，亦能覆舟

　　“IT技術的發展可能會讓企業作弊的手段更專業、更隱蔽，預防措施主要是防火墻、分級授權、備份、監控到位，以杜絕外部侵入。”李建軍說。

　　“信息安全里面有這樣一句話‘投入越早，見效越好，資金投入也越少’。從成本方面考慮來講，越早投入信息安全建設，你的成本就越少。”東軟NETEYE網絡安全產品營銷中心技術總監曹鵬這樣向記者表示。

　　IT技術對企業的內控、對企業的管理作用不容置疑，但是也存在利用IT技術盜取企業重要信息的隱患。

　　“信息安全其實最大的一部分內容就是監控，隨時響應。因為控制體系建好之后不需要經常變化，日常工作就是監控和響應，而且這也代表了信息安全大部分的內容。監控和響應在傳統情況下都由專人專職來做，這樣的效果肯定不好，因為隨著信息系統的飛速膨脹，人員的配套很難快速跟上。”曹鵬表示。

　　“技術”與“人”之間的橋梁

　　“面對IT風險，這就需要用一種手段，或者一種技術在人和機器之間搭建一個橋梁。”曹鵬告訴記者，現在東軟正在幫國內一些單位做一套系統，名叫“IT綜合運維管理平臺”，這個平臺主要實現的功能就是可以收集我們所有搭在網絡中的設備，如終端的主機、安全的設備等，然后把所有這些能夠產生日志和事件的網元單位的運行信息匯總，進行關聯分析之后，再把分析處理的結果發給相應的管理員。

　　風險無處不在、難以度量，這使得企業很難去評估風險，很多時候企業在實施IT內控和風險管理時常常感到無從下手。IT內控能力的提升在很大程度上取決于企業中的“技術”與“人”這兩個因素的契合程度。

　　傳統情況下，網絡中一些系統主機每天的日志和事件量可能成百上千，甚至上萬條。如果一天發5000條事件給一個人，讓他做出分析，這個是不現實的。事實上這5000條事件收集并歸類壓縮之后，可能也就15條事件是需要管理員去關注的。

　　“信息安全里還有一句話叫‘全員一致、人人參與、共同維護’。每一個信息系統的管理員，都應該參與到安全系統的維護中。現在，我們有一個公端的系統，可以把相應問題發給每一個對應的人，這樣管理員的工作就相對很輕松了。”曹鵬告訴記者，OA管理員每天只需看一下OA的事件就可以，然后把對這個問題的解決和處理方法通過公端反饋回來，這樣就可以把安全管理通過一個平臺，讓每一個人都能參與進來，然后大家共同讓整個平臺運維。