信息系统管理工程师（中级）备考笔记 · 第四章：信息系统治理
考试科目：信息系统管理工程师（中级）—— 计算机技术与软件专业技术资格（水平）考试
章节定位：上午《基础知识》选择题考查，是 IT 治理顶层设计与管理体系的理论核心
预估分值：上午 3~8 分
更新日期：2026-06-12
教材对照：《信息系统管理工程师教程（第2版）》第4章（2024年9月版）
考试官网：中国计算机技术职业资格网
参考来源：希赛网-信息系统管理工程师
一、章节总览
第四章「信息系统治理」是全书从"技术基础"跨越到"管理治理"的桥梁章节。本章核心是回答「组织如何从上到下管好 IT」这个命题——从 IT 治理到底是什么、为什么需要它，到具体的治理体系、方法标准、实施框架，构建了一套完整的 IT 治理知识体系。
知识体系结构
| 小节 | 内容 | 考试权重 |
|---|---|---|
| 4.1 IT治理基础 | 驱动因素、三大目标、管理层次 | ⭐⭐⭐ |
| 4.2 IT治理体系 | 关键决策（5项）、体系框架、核心内容（6个） | ⭐⭐⭐⭐ |
| 4.3 IT治理任务 | 全局统筹、价值导向、机制保障、创新发展、文化助推 | ⭐⭐ |
| 4.4 IT治理方法与标准 | ITSS治理标准、COBIT、ISO 38500 | ⭐⭐⭐ |
| 4.5 IT治理的EDM | 评估（Evaluate）、指导（Direct）、监视（Monitor） | ⭐⭐ |
| 4.6 IT治理实施框架 | 实施环境、管理体系（8项）、资源（3类） | ⭐⭐⭐ |
🔔 教材变化提醒：第2版教材相比旧版大幅扩充了 IT 治理内容，新增了 4.5 EDM 和 4.6 实施框架两个小节，其中引入的 COBIT 详细框架、ITSS 系列标准 和 ISO 38500 是考试新增重点关注！
二、4.1 IT治理基础
2.1 IT治理的驱动因素
IT 治理是描述组织采用有效的机制，对信息技术和数据资源开发利用，平衡信息化发展和数字化转型过程中的风险，确保实现组织的战略目标的过程。
为什么需要 IT 治理？ 组织在信息化建设中常面临两大难题：
- 信息孤岛：多年分散开发或引进的信息系统缺乏共享，系统集成难题一直无法解决
- 资源整合困难：数据中心建设和数据集中管理等规划缺乏可操作性，尤其是数据标准化缺失
这些问题的根源——组织在 IT 资源方面没有做到有效统一规划。
高质量 IT 治理的驱动因素： 1. ✅ 确保 IT 投资的有效性 2. ✅ IT 属于知识高度密集型领域，价值发挥弹性大 3. ✅ IT 已融入管理、运行、生产和交付各领域 4. ✅ 信息技术快速发展和新兴技术引入带来新机会 5. ✅ 推动组织充分理解 IT 价值，促进价值挖掘与融合 6. ✅ IT 价值不仅取决于好技术，也需要良好的价值管理 7. ✅ 高级管理层管理幅度有限，需要明确责权的方式
IT 治理的内涵（5 个方面）： 1. 由组织治理层或高级管理层负责，从全局高度做出制度安排 2. 强调数字目标与组织战略目标保持一致 3. 保护利益相关者权益，平衡成本收益 4. 是一种制度和机制，涉及战略匹配、投资、安全、绩效评价 5. 组成部分包括管理层、组织结构、制度、流程、人员、技术等
2.2 IT治理的三大目标 ★★★
| 目标 | 说明 |
|---|---|
| 🎯 与业务目标保持一致 | 从组织目标和数字战略中抽取需求和功能，形成 IT 治理框架和系统整体模型 |
| 🎯 有效利用信息与数据资源 | 解决需求未满足、平台不支持、数据开发效能不高等问题，保证投资回收 |
| 🎯 风险管理 | 制定信息与数据资源的保护级别，实施有效监控和事件处理 |
💡 辨析：三大目标常以选择题形式考查，注意「质量控制」不属于 IT 治理目标！
2.3 IT治理的管理层次 ★★
IT 治理需要在组织全部范围内推行，分为三个层次：
| 层次 | 职责 | 角色 |
|---|---|---|
| 最高管理层（顶层） | 证实 IT 战略与业务战略一致；交付 IT 价值；指导投资；分配资源 | 董事会、CEO |
| 执行管理层（中层） | 制定 IT 目标；分析新技术机遇和风险；建设关键流程；管理风险 | CIO、IT 总监 |
| 业务与服务执行层（基层） | 提供信息数据服务；建设和维护 IT 基础设施；提出和响应 IT 需求 | 技术团队 |
📌 记忆要点：治理层集中在最高管理层和执行管理层，但执行层负责提供决策所需信息。好的 IT 治理实践需要在组织全部范围内推行。
三、4.2 IT治理体系 ★★★★
3.1 IT治理关键决策（5项）★★★
有效的 IT 治理必须关注 5 项关键决策：
IT原则 → IT架构 → IT基础设施 → 业务应用需求 → IT投资和优先顺序
（驱动方向：从上到下，同时投资决策受到各决策的驱动）
| 决策项 | 关键问题 |
|---|---|
| IT原则 | 组织的运行模型是什么？IT 在业务中扮演什么角色？期望的 IT 行为是什么？ |
| IT架构 | 核心业务流程是什么？哪些信息驱动核心流程？哪些技术需要标准化？ |
| IT基础设施 | 哪些基础设施对战略目标最关键？服务水平需求是什么？如何定价？ |
| 业务应用需求 | 新业务应用的市场和机会是什么？如何评估业务应用成功与否？ |
| IT投资和优先顺序 | 投资组合与战略目标一致吗？哪个更重要？ |
💡 考试提示：5 项关键决策的名称和逻辑关系（IT原则→架构→基础设施→业务需求→投资）是选择题的高频辨析点！
3.2 IT治理体系框架 ★★
IT 治理体系框架形成了完整的运行闭环，共 6 个部分：
| 组成部分 | 说明 |
|---|---|
| ① IT战略目标 | 针对 IT 与业务关系、IT 决策、资源利用、风险控制等方面制定的目标 |
| ② IT治理组织 | 界定各主体的治理范围、责权划分（核心：IT 治理委员会） |
| ③ IT治理机制 | 决策机制 + 执行机制 + 风险控制机制 + 协调机制 |
| ④ IT治理域 | 对 IT 资源进行整合与配置，内容包括计划、构建、运维与监控 |
| ⑤ IT治理标准 | 基本规范 + 实施参照 + 评价体系 + 审计方法 |
| ⑥ IT绩效目标 | 评价 IT 规划与构建中是否满足业务需求、工期、成本、质量是否达标 |
3.3 IT治理核心内容（6个方面）★★★★
IT 治理本质上关心两件事：实现 IT 的业务价值 和 规避 IT 风险。二者分别通过战略匹配和职责实现，都需要资源支持和绩效度量。
┌──── 组织职责 ────┐
│ │
绩效 │ 战略匹配 │ 资源
管理 │ 核心 │ 管理
│ 内容 │
│ 价值交付 │
│ 风险管理 │
└───────────────────┘
| 核心内容 | 说明 | 记忆口诀 |
|---|---|---|
| ① 组织职责 | 明确信息部门和业务部门关系，划分系统所有者/建设者/管理者/监控者 | 谁来做 |
| ② 战略匹配 | IT 建设与组织战略相匹配，是 IT 贡献业务价值的驱动力 | 为什么做 |
| ③ 资源管理 | 优化 IT 投资和资源分配，做好人员培训和发展 | 用什么做 |
| ④ 价值交付 | 在预算、时间和质量要求内完成，确保实现预期业务价值 | 做得值不值 |
| ⑤ 风险管理 | 确保 IT 资产安全、灾难恢复、信息安全和隐私安全 | 做得安不安全 |
| ⑥ 绩效管理 | 跟踪和监控 IT 战略、项目、资源、服务的绩效，工具如平衡计分卡 | 做得好不好 |
记忆口诀："组战资价风绩" —— 组(织职责)战(略匹配)资(源管理)价(值交付)风(险管理)绩(效管理)
💡 考试提示：6 个核心内容是 4 章中最重要的考点之一，常以选择题（匹配/辨析）形式出现！
3.4 IT治理机制相关经验
建立 IT 治理机制的原则： - 问责（Accountability） — 明确定义特定个人和团体的责任和目标 - 透明（Transparency） — 正式程序，决策过程清晰可见 - 适合（Appropriateness） — 鼓励处于最佳位置的人制定决策
IT 治理可以学习的最佳实践经验： 1. IT 指导委员会要吸纳有才干的业务经理 2. 谨慎管理 IT 架构和业务架构以降低成本 3. 设计严格的架构例外处理流程 4. 建立集中化的 IT 团队管理基础设施和共享服务 5. 应用连接 IT 投资和业务需求的流程 6. 设计需要集中协作和核准的 IT 投资流程 7. 设计简单的费用分摊和服务级别协议机制
四、4.3 IT治理任务
IT 治理活动定义为 统筹、评估、指导、监督。主要任务聚焦在 5 个方面：
| 任务 | 核心 | 关键举措 |
|---|---|---|
| ① 全局统筹 | 制定满足可持续发展的 IT 蓝图 | 科学决策、集约管理；横向业务集成和纵向业务管控；建立持续改进机制 |
| ② 价值导向 | 建立 IT 投资的价值框架 | 认可 IT 价值；识别投资目录并评估；设定关键指标；权衡成本与效益 |
| ③ 机制保障 | 建立适合组织特点的机制 | 指导规范过程管理；评审 IT 管理体系适宜性；审计完整性合规性 |
| ④ 创新发展 | 利用创新开辟业务新领域 | 建立知识资产创新体系；创造技术创新环境；评估创新能力 |
| ⑤ 文化助推 | 营造积极向上的组织文化 | 建立与 IT 发展相适应的文化策略；营造知识/技术/管理文化氛围；评估改进 |
记忆口诀："统价机新文"——统(筹)价(值)机(制)新(发展)文(化)
五、4.4 IT治理方法与标准 ★★★
5.1 ITSS 中的 IT 服务治理 ★★
ITSS（Information Technology Service Standards，信息技术服务标准）是我国自主研制的 IT 服务标准体系。
GB/T 34960.1《信息技术服务 治理 第1部分：通用要求》 规定了： - IT 治理的模型和框架 - 实施 IT 治理的原则 - 开展 IT 顶层设计、管理体系和资源的治理要求
适用范围： - 建立组织的 IT 治理体系并实施自我评价 - 开展信息技术审计 - 研发、选择和评价 IT 治理相关软件或解决方案 - 第三方对组织 IT 治理能力进行评价
ITSS IT 治理标准化逻辑关系：
围绕「做什么」「如何做」「怎么样」「如何评价」四个问题： - 做什么 → IT 治理通用要求（指导原则） - 如何做 → IT 治理实施指南（实施指南） - 怎么样 → IT 治理绩效评价指标体系（指标体系） - 如何评价 → IT 治理审计导则（审计导则）
5.2 COBIT 信息和技术治理框架 ★★★
COBIT（Control Objectives for Information and Related Technology）是 ISACA 发布的国际公认的 IT 治理框架。
COBIT 核心模型（五大领域）：
| 领域 | 全称 | 说明 |
|---|---|---|
| EDM | Evaluate, Direct, Monitor | 评估、指导、监视 |
| APO | Align, Plan and Organize | 调整、规划和组织 |
| BAI | Build, Acquire and Implement | 构建、获取和实施 |
| DSS | Deliver, Service and Support | 交付、服务和支持 |
| MEA | Monitor, Evaluate and Assess | 监控、评估和评价 |
COBIT 治理系统组件： 包括流程、组织结构、原则政策、程序、信息、文化道德与行为、人员技能与胜任能力、服务、基础设施和应用。
COBIT 设计因素（11个）： 组织战略、组织目标、风险概况、IT 相关问题、威胁环境、合规性要求、IT 角色、IT 采购模式、IT 实施方法、技术采用战略、组织规模、未来因素
设计工作流程（4步）： 1. 了解组织环境和战略 2. 确定治理系统的初步范围 3. 优化治理系统范围（考虑威胁环境、合规要求、IT 角色、采购模式等） 4. 最终确定治理系统的设计
💡 考试提示：COBIT 核心模型的五大领域名称及缩写（EDM/APO/BAI/DSS/MEA）和设计因素重点了解即可，目前尚未列入高频考点。
5.3 ISO/IEC 38500 IT治理国际标准 ★★
2008 年 ISO 正式发布 IT 治理标准 ISO/IEC 38500，标志着 IT 治理从概念讨论进入发展阶段。
ISO 38500 的 6 个治理原则：
| 原则 | 说明 |
|---|---|
| ① 责任（Responsibility） | 个人和团体理解并接受 IT 供应和需求方面的责任 |
| ② 战略（Strategy） | 组织的业务战略考虑 IT 的当前和未来能力 |
| ③ 获取（Acquisition） | IT 获取出于正当理由，在短期和长期内平衡利益、机会、成本和风险 |
| ④ 性能（Performance） | IT 支持组织提供满足当前和未来业务需求的服务 |
| ⑤ 合规性（Conformance） | IT 使用符合所有强制性法律和法规 |
| ⑥ 人的行为（Human Behavior） | IT 团队政策、实践和决策尊重人的行为 |
记忆口诀："责战获性合规人" — 责任·战略·获取·性能·合规·人的行为
六、4.5 IT治理的EDM ★★
治理组织通过 评估（Evaluate）、指导（Direct）、监视（Monitor） 三个方面来治理 IT，简称 EDM。在使用过程中需要借鉴 ISO 38500 的 6 个原则。
EDM 三步骤：
| 步骤 | 说明 | 核心动作 |
|---|---|---|
| ① 评估（E） | 检查和评判当前和将来对 IT 的利用情况 | 考虑业务内外部压力、技术变更、经济和社会发展 |
| ② 指导（D） | 对策略和方针的准备和实施进行职责安排并指导 | 设定投资方向、确定应用 IT 的行为规则；鼓励良好 IT 治理文化 |
| ③ 监视（M） | 监视方针符合性和计划的实际绩效 | 通过测量体系监视 IT 绩效，确保符合外部义务和内部要求 |
EDM 最佳实践（示例）：
| 方面 | 评估（E） | 指导（D） | 监视（M） |
|---|---|---|---|
| 责任 | 评估 IT 决策人员能力（应为业务管理人员） | 对 IT 职责执行进行控制，确保按安排执行 | 治理和制度是否建立；人员是否理解职责 |
| 策略 | 确保 IT 为将来业务需求提供支持 | 审查策划和方针，鼓励创新性建议 | 监视 IT 进展，确保达到目标和分配资源 |
💡 EDM 是第 2 版教材新增内容，简单理解就是治理层对 IT 的「评估现状→指导方向→监视落实」的三步走流程。
七、4.6 IT治理实施框架 ★★★
7.1 实施环境
IT 治理实施需要考虑组织所处的实施环境，包括： - 内部环境：组织战略、文化、结构、制度、流程 - 外部环境：法律法规、行业监管、市场环境、技术发展
IT 治理域定义的治理对象包括： - 顶层设计 — 制定 IT 蓝图和架构 - 管理体系 — 建立 IT 管理体系和制度 - 资源 — 合理配置 IT 资源
7.2 管理体系（8个重点领域）★★★
1. 战略管理
组织需要建立信息技术战略制定、实施和评价机制，保证 IT 战略与业务战略一致。
2. 项目管理
组织需要制定项目管理机制，建立和维护项目管理流程，统计分析项目完成情况并评估绩效。
3. 投资管理
重点关注：业务需求治理不足、IT 决策流程缺乏管控、项目排序不科学。 解决思路： ①科学治理业务需求 ②建立合理的投资决策机制 ③用多项目管理技术为需求排序。
4. 服务管理
IT 服务管理是一组确保 IT 服务交付有效且高效的活动。组成活动： - 服务台、事件管理、问题管理、变更管理 - 配置管理、发布管理、服务级别管理 - 财务管理、容量管理、服务连续性管理、可用性管理
5. 业务连续性管理
一组与组织持续提供服务的能力相关的活动，包括： - 业务连续性管理框架 - 应急管理与灾难恢复 - 连续性恢复后评价
6. 信息安全管理 ★★
信息安全是指信息的 保密性、完整性和可用性（CIA） 的保持。
信息安全治理 vs 信息安全管理： - 信息安全治理：是基础制度安排，是最高管理层对信息安全战略的监督管理过程 - 信息安全管理：是具体的程序、技术和保证措施
完整的安全体系 = 良好信息安全治理 → 明确管理策略和管理体系 → 产品安全技术
7. 风险管理
组织常见风险管理问题：①未广泛考虑风险 ②没有工具发现风险 ③缺乏处置流程 ④未定义风险生命周期 ⑤缺乏风险识别氛围。
风险认知要点： 只有认识它才能打败它；没有风险就没有收获；风险的另一面是机会。
8. 供方管理
外部供应商逐步成为组织 IT 管理的延续，需要： - 建立供方管理机制，明确职责流程 - 建立供方评估机制 - 保护商业秘密、知识产权和个人隐私
9. 资产管理
信息资产的特点：可以无成本复制、非常分散（每份文档、文件和数据设施都可能是一部分）。
10. 其他管理
变更管理、预算管理、需求管理、绩效管理等。
7.3 资源管理
IT 治理中的资源管理主要关注三大类：
| 资源 | 管理要点 |
|---|---|
| ① 基础设施 | 制定规划，建立采购/实施/运维机制，识别关键基础设施，建立服务定价和服务水平机制 |
| ② 应用系统 | 建立设计、开发、变更和测试保障机制，保证功能、性能和安全 |
| ③ 数据 | 明确数据治理框架，建立数据治理和管理机制，完善数据治理生命周期 |
八、历年常考点与频率统计
基于教材内容分析和近年考题趋势预测：
高频考点（≥3次 / 5年）
| 排名 | 考点 | 预测频率 | 考查形式 |
|---|---|---|---|
| 1 🔥 | IT治理核心内容（6个方面） | 极高 | 选择题匹配/辨析 |
| 2 🔥 | IT治理三大目标 | 极高 | 选择题辨析 |
| 3 🔥 | 5项关键决策 | 极高 | 选择题排序/匹配 |
| 4 🔥 | 管理层次三层级 | 高 | 选择题 |
| 5 🔥 | 信息安全管理（CIA + 治理vs管理） | 高 | 判断题 |
中频考点（2次 / 5年）
| 排名 | 考点 | 考查形式 |
|---|---|---|
| 6 ⭐ | ISO 38500 6个原则 | 匹配题 |
| 7 ⭐ | EDM三步骤 | 选择题辨析 |
| 8 ⭐ | IT治理实施框架 管理体系8个领域 | 归类题 |
| 9 ⭐ | 治理任务5个方面 | 辨析题 |
低频考点（1次 / 5年）
| 考点 | 备注 |
|---|---|
| ITSS 治理标准（GB/T 34960.1） | 了解适用范围即可 |
| COBIT 五大领域（EDM/APO/BAI/DSS/MEA） | 了解缩写含义 |
| 治理机制3原则（问责/透明/适合） | 低频考点 |
| 资产管理的特征 | 可无成本复制 |
🆕 新增考点预测（第2版教材）
| 新增内容 | 预测频率 | 说明 |
|---|---|---|
| EDM评估-指导-监视 | 中频 | 2026下半年可能首次出现 |
| COBIT详细框架 | 中低频 | 核心模型五大领域需了解 |
| IT治理实施框架 | 中频 | 管理体系8个重点领域需重点记忆 |
| 信息安全治理 vs 管理 | 高频 | 辨析题常考 |
九、备考策略
重点章节投入比
| 小节 | 建议投入时间 | 原因 |
|---|---|---|
| 4.2 IT治理体系 | 35% | 考点最密集：5项决策+6个核心内容+治理框架 |
| 4.1 IT治理基础 | 20% | 三大目标+管理层次是基础必考 |
| 4.6 IT治理实施框架 | 20% | 管理体系8领域+资源3类是重中之重 |
| 4.4 IT治理方法与标准 | 15% | ISO 38500和COBIT需理解 |
| 4.3 + 4.5 | 10% | EDM和治理任务重点了解 |
核心记忆口诀整理
IT治理核心内容6个：组战资价风绩
└─ 组(组织职责)战(战略匹配)资(资源管理)价(价值交付)风(风险管理)绩(绩效管理)
IT治理三大目标：一至用资理风险
└─ 一至(与业务目标一致)用资(有效利用资源)理风险(风险管理)
IT治理三大层次：最高→执行→执行层
管理层次区别：治理看高层(董事会/CEO)，管理看中层(CIO/IT总监)
ISO 38500 六原则：责战获性合规人
└─ 责任·战略·获取·性能·合规·人的行为
EDM：评估→指导→监视 (先看现状→定方向→看落实)
信息安全：治理是制度安排(顶层)，管理是具体措施(落地)
易混淆点对比
| 概念 | 说明 | 关键词 |
|---|---|---|
| 治理 | 制度安排，最高管理层负责，关注「方向」 | 决策权、责任担当、战略匹配 |
| 管理 | 具体执行，中层负责，关注「效率」 | 计划、组织、执行、控制 |
| 信息安全治理 | 基础制度，由最高管理层推动 | 制度安排、战略一致 |
| 信息安全管理 | 具体措施，技术+流程保障 | CIA、访问控制、培训 |
| COBIT | 国际 IT 治理框架（ISACA） | 五大领域、设计因素 |
| ITSS | 中国 IT 服务标准体系 | GB/T 34960.1 通用要求 |
| ISO 38500 | IT 治理国际标准 | 六原则、EDM |
| EDM | 治理的评估/指导/监视过程 | 评估→指导→监视 |
十、自测清单
复习完后，你能回答这些问题吗？
- [ ] IT 治理的驱动因素有哪些？（为什么要做 IT 治理？）
- [ ] IT 治理的三大目标是什么？（质量控制是目标吗？）
- [ ] IT 治理三个管理层次是什么？每层的职责分别是什么？
- [ ] 5 项关键 IT 治理决策是什么？它们的逻辑关系是怎样的？
- [ ] IT 治理核心内容的 6 个方面是什么？（口诀：组战资价风绩）
- [ ] IT 治理体系框架包括哪 6 个部分？
- [ ] IT 治理任务的 5 个方面是什么？
- [ ] ISO 38500 的 6 个原则是什么？（口诀：责战获性合规人）
- [ ] EDM 的全称和三个步骤分别是什么？
- [ ] IT 治理实施框架中，管理体系包括哪 8 个重点领域？
- [ ] 信息安全治理和信息安全管理的区别是什么？
- [ ] COBIT 的核心模型包括哪五大领域？
- [ ] IT 资产有什么特殊属性？（为什么很难管？）
十一、章节总结
第四章「信息系统治理」是全书从技术到管理的转折章节，核心逻辑可以概括为：
- 为什么做治理 → IT 的复杂性和高风险驱动治理需求（4.1）
- 怎么做治理 → 建立治理体系，明确决策、核心内容和机制（4.2）
- 做什么任务 → 统筹、评估、指导、监督（4.3）
- 参考什么标准 → ITSS、COBIT、ISO 38500（4.4）
- 通过什么方式 → EDM 三步走（4.5）
- 如何落地 → 实施框架：环境→体系→管理→资源（4.6）
核心策略： 1. 6个核心内容是重中之重，必须倒背如流 2. 三大目标和管理层次是基础题必拿分 3. 5项关键决策的逻辑关系要理解 4. ISO 38500 六原则要能匹配辨析 5. 治理 vs 管理的区别要搞清楚（高频混淆点） 6. EDM 和 COBIT 是教材新增，2026下半年考试重点关注
本文由 小溪 💧 整理发布 · 信息系统管理工程师备考系列 · 持续更新中
教材依据：《信息系统管理工程师教程（第2版）》清华大学出版社 · 2024年9月版
下一篇预告：第五章：信息技术服务管理（IT服务管理概述、ITIL框架、服务级别管理等）
评论（0）
还没有评论，来抢沙发吧 🛋️
发表评论