text: 随着IT技术在企业中的应用越广，企业业务流程的正常运作就越离不开IT部门的支持。IT在给企业业务带来效益的同时，也带来了成本和风险的困扰，尤其是在某些特殊行业，例如电信、金融等行业。如何使已有的信息化资源发挥更大效能，如何使IT与企业业务紧密整合，如何规范企业IT服务管理，已成为决定企业能否在激烈的竞争中领先的重要课题。
  在企业内部，一方面管理层对IT部门提出了可度量IT投资回报的要求，而业务部门则对IT服务质量和可用性提出了更高的要求。如何才能兼顾两者的不同需求，如何才能达到质量与成本的平衡？
  另外，2002年美国颁布的Sarbanes-Oxley法案（Sarbanes-OxleyAct,简称SOX法案）要求组织机构使用文档化的财务政策和流程来改善可审计性，并更快地拿出财务报告。而该法案中，以第404节条款的影响最大，第404节条款规定两个必备的内容：一是公司管理层要对公司内控和财务会计报表的制定和编制的有效性、真实性负责，二是必须聘请外部审计师对公司内控和财务报表进行独立审计并出具审计结果。SOX法案对IT服务的成本和质量提出了非常直接的挑战。
  ITIL是用来提升IT服务质量，降低IT服务成本，协调IT服务部门内部运作，改善IT部门与业务部门的沟通，帮助企业对信息化系统的规划、研发、实施和运营进行有效管理的方法。ITIL结合企业的环境、组织结构、IT资源和管理流程的特点，从流程、人员和技术三方面来规划企业的IT结构。它强调将企业的运营目标、企业需求与IT服务的提供相协调一致。
  COBIT以ITIL为基础，将IT流程、IT资源及信息与企业的策略与目标联系起来，为企业管理的成功提供了集成的IT管理，通过保证有关企业处理流程的高效的改进措施，以更快、更好、更安全地响应企业需求。
  将ITIL的流程和COBIT的控制目标有机地结合可以应对SOX法案带来的挑战，帮助企业改进IT流程，实现业务对IT的需求。
  COBIT将IT流程、IT资源及信息与企业的策略与目标联系起来，形成一个三维的体系结构，如图1。其中，IT信息标准集中反映了企业的战略目标，主要从质量、成本、时间、资源利用率、系统效率、保密性、完整性、可用性等方面来保证信息的安全性、可靠性、有效性；IT资源主要包括以人、应用系统、技术、设施及数据在内的信息相关的资源；IT流程则是在IT信息标准的指导下，对信息及相关资源进行规划与处理，从规划与组织（PlanningandOrganisation）、获取与实施（AcquisitionandImplementation）、提供与支持（DeliveryandSupport）、监控（Monitoring）等四个方面确定了34个信息技术处理流程，每个处理流程还包括更加详细的控制目标和审计方针对IT处理流程进行评估。
  这个模型为企业管理的成功提供了集成的IT管理，通过保证有关企业处理流程的高效的改进措施，以更快、更好、更安全地响应企业需求。
  虽然英国、荷兰、加拿大和美国是采用ITIL最积极的地区，但ITIL在世界上其它地方的使用也在迅速增长。由于实现整个ITIL规范需要很长的时间，所以最初常常看到使用的只是部分实践。在ITIL实现中这些现象都不罕见――任何成功的实践实现都要求付出时间和管理。另外，ITIL是一个覆盖了IT环境运行维护中很多其它方面（如系统管理、网络管理和安全性）的库。这一服务管理规范提供了一个框架，IT和终端用户可以根据自己的能力定义自己所要求的不同服务性能水平。客户们通常采用一种持续的流程改进战略逐步实现这些流程。
  ITIL与COBIT类似，它并不是把相同的一套流程直接实施于企业，而是根据每个企业的详细需求量身定做，以实现企业IT部门的战略目标和流程。
  实施ITIL后企业可以获得的利益主要包括:
  2002年，美国国会通过了Sarbanes-Oxley法案（Sarbanes-OxleyAct,简称SOX法案），该法案要求组织机构使用文档化的财务政策和流程来改善可审计性，并更快地拿出财务报告。SOX要求企业针对产生财务交易的所有作业流程，都做到能见度/透明度、控制、通讯、风险管理和诈欺防治，且这些流程必须详加记录到可追查交易源头的地步。
  SOX法案不仅适用美国的所有在市场上进行公开交易的公司，还适用于在美国证券交易所登记的非美国公司。也就是说，凡在美国上市的公司都要受此法案约束。
  对于那些已开始SOX合规（SOXCompliance）的公司来说，IT很显然地在内部控制方面扮演一个至关重要的角色。IT专家，尤其是处于经理级职位上的专家，需要非常精通内部控制理论和实践来迎合SOX法案的需求。CIO们（ChiefInformationOfficer，首席信息执行官）需要接受以下挑战：
  把该IT控制计划与公司总体SOX合规计划集成在一起。
  围绕SOX法案的讨论大多集中在第302节和第404节。
  ITIL对应COBIT模型中的部分模块，它为支持企业业务流程定义了IT控制目标。
  ITIL服务支持与服务提供的11个关键流程和COBIT的34个主要流程之间的关系如图2所示。
  在此框架图中，绿色模块表示COBIT的需求与ITIL完全吻合，黄色模块表示COBIT的需求与ITIL部分吻合，红色模块表示ITIL目前不支持COBIT的需求。总体来说，ITIL覆盖了COBIT中40-50%的控制目标。
  为了迎合SOX的需要，外部审计师毫无疑问将把COBIT作为IT审计的工具。一位提供ITIL咨询的咨询师TroyDuMoulin说，“既然审计师使用COBIT，企业就有必要学习该模型。该模型确定了关键绩效考核指标（KPIs,KeyPerformanceIndicators）和主要成功要素（CSFs,CriticalSuccessFactors），企业在文档化和重组流程的时候能够通过这些指标确定需要考虑的事项。”
  除了ITIL和COBIT之外，还存在其他不同的IT框架，例如BS7799。但是其中大部分，包括COBIT，仍是以ITIL为核心。特别是ITIL服务支持与服务提供的流程涉及了11个主要的控制目标。
  因此，ITIL的流程和COBIT的控制目标有机地结合可以极大地加快SOX合规的进程。
  本文首先由IT为企业带来的成本和风险上的困扰以及SOX法案实施带来的影响，引出“将ITIL的流程和COBIT的控制目标有机地结合可以应对SOX法案带来的挑战。”