法规遵循管理的基础

　  有效的法规遵循管理涉及健全的法规遵循治理，与针对IT企业的基本过程控制。

　  法规遵循治理

　  企业往往发现他们自身处于这样一种状态，他们必须要满足多个标准、规定或政策。 对于客户定义的控制来说既不实际也没有成本效益。相反的，企业必须从企业高度建立起一套治理体系以从全局角度定位问题。图 2展示了一种可能的法规遵循治理体系的例子。

   
　
　  图 2：主动的法规遵循治理

　  法规遵循治理体系结构为以下内容提供了实现方法：

　  *分析标准和规定，源于对一系列政策的全面定位（如图 2中红色部分所示）。
　  *明确要符合这些政策的法规遵循需求（如图 2中蓝色部分所示）。
　  *组织法规遵循需求并按照次序排列（如图 2中红色部分所示）。
　  *批准和计划法规遵循增强项目（如图 2中黄色部分所示）。这些项目主要分为三大类 （如图 2中金色部分所示）：
　  　  &开发IT过程控制的项目 增强IT过程。这些控制直接应用于IT企业以改进软件开发过程本身的精确度 -- 例如，足够的项目跟踪、记录，整个软件生命周期都已具备的审批手续。
　  　  &开发应用控制的项目：这些控制用以构建企业IT系统，他们已成为监管的或是基于标准意义上的软件需求。例如，一种应用于人力资源(HR) 企业的普通控制用以"限制访问分类员工数据。" 这种控制利用使其成为所有HR系统的软件需求实现了自动化。
　  　  &IT 过程控制自动化项目： 这些项目处于开发IT 过程控制与开发应用控制的交合点。他们包括了使用（经常是商业）工具以实现自动化的工作流，并管理IT过程的产品。 这些项目要实现"工具指导行为" ，部分过程被强制加入工具本身。

　  IT 过程控制的基本原则

　  我们这里所介绍的控制对于IT过程的可审核性来说是极为关键的，因此是法规遵循领域的基本原则。他们是：

　  　  &正式列入并附有文档的过程。在审核员可选的各种任务中，他们往往首先选择熟悉您的软件开发过程。因此，详细的法规遵循资产清单应包括现有过程的文档。
　  　  &工作产品控制。这是一种依据特定过程生产的工作产品所指定的工作流控制。这种工作流描述了修订的概况及最终满意的工作产品。
　  　  &记录控制。 记录是种只写一次，只读的文档，它提供了正式的所实现内容的依据。记录控制指出了哪些记录是必须有的，如何产生的，哪些人有权利创建它们。
　  　  &可追踪性。 工作产品并不是独立开发或凭空产生的：他们具有依赖性与关联性。 追踪的目的就是确保相关工作产品的连续性。
　  　  &法规遵循管理相关信息的分离 。 这由定义面向法规遵循的工作产品实现。这有利于审核且将控制集中于面向法规遵循信息。
　  　  &基于角色的责任分离。 这是高级控制环境的基本原则。它的基础是工件的开发、复查和使用不能由同一人执行，且可以质疑流程的公平性。
　  　  &正式的把关过程（定义控制点）。 随着项目与产品变得越来越复杂，单独的计划已不能保证实现全部项目目标。可以定义控制点以管理以下行为：
　  　  　  @确保满足重要标准
　  　  　  @评估为实现目标所做的决定及改变
　  　  　  @审核与目标（风险、质量、内容，等等）关联的度量
　  　  　  @由（与责任分开）接收者全面评价目标内容
　  　  　  @通过电子标签批准实现的控制环节。