如何借助IT手段来实现整个企业内部管理的精确化，将公司内部的管控建立在规范化、标准化、低成本和低风险的基础上？如何建立务实推进信息化战略的长效机制？如何进行信息化绩效考评？以上问题一直是困扰电信企业CIO和CEO的难题。

　　2006年上半年,北京移动发生网上盗窃通信公司资费案暴露出IT控制环境和信息监控的薄弱，这正反映了企业在IT治理和精确化管理上的缺失。北京移动信息安全事件正反映了中国电信运营商在完善信息系统审计机制，建立事前预防控制、事后检查控制等细节上问题。为什么信息安全事件在信息化建设水平领先的电信行业屡屡发生？信息安全风险评估作为企业IT治理和内控的重要一环，怎样才能落到实处？对于在信息化建设方面如火如荼的运营商，要解决这些问题显然还任重道远。其实，信息安全暴露的问题只反映了企业IT治理严峻形势的冰山一角。

　　问题重重

　　在电信运营企业集体转型的关键时期，信息化是战略而不是选择，但转型时期的信息化战略，其内涵到底是什么？这是运营商的领导层和信息化部门负责人正在思考的命题。

　　对此，ITGov中国IT治理研究中心主任孙强认为，未来公司治理和IT治理对企业的影响一定是革命性的，并且这种影响直接关系到中国企业的国际竞争力。进而孙强表示转型时期中国电信运营企业信息化战略包括：1、明确信息化建设的战略需求--业务战略需求和合法合规需求。2、构建和完善IT治理机制，提高信息技术的经营管理绩效。3、健全和完善激励机制，加强IT人才队伍建设。4、明确信息化建设企业架构、战略规划和战略重点，加强IT战略管理，确保信息化建设的高效、可持续发展。5、加强信息技术成本管理，提高信息技术投资价值。6、加强IT风险治理，创造新的战略竞争机遇。

　　而在IT投资的整体决策和管理和评价方面，还没有形成一套量化投入产出和进行绩效优化的有效评价机制，这也严重制约运营商信息化建设的可持续发展。

　　ITGov中国IT治理研究中心及国资委全面风险管理专家孟秀转女士表示，没有度量，就没有管理。如果企业没有度量和监控信息化的框架，那么，治理、IT与业务战略的一致性、价值交付、风险管理以及资源的有效利用等都将无从谈起。

　　不久前，国家颁布了《2006━2020年国家信息化发展战略》，把大力推进信息化作为覆盖我国现代化建设全局的战略举措。而要真正实现国家的信息化战略，电信企业必须发挥龙头作用和带动作用。电信企业要实现自身的历史使命，提升企业自身的IT管控水平包括IT投资管控水平则成为首当其冲的选择。

各个击破

　　虽然在信息化建设方面存在很多问题和挑战，但"方法总比问题多"。孙强认为，"要构建和完善IT治理的机制，必须实现三个结合，即公司治理要与IT治理、全面风险管理与IT治理相结合以及"六方"相结合。"

　　图：三个结合

　　同时，IT治理就是要解决好三方面的问题：一是解决目的性问题，即IT治理需要做出哪些决策？孙强主任认为电信企业IT决策主要包括五项：IT原则、IT架构、IT基础设施、IT商业应用、IT投资。二是解决组织性问题。三是解决系统性问题，即IT治理中如何制定和监控这些决策？电信运营企业需要通过一系列的治理机制--结构、流程和沟通实现治理计划。

　　针对IT治理这三方面的问题，如何构建善治的IT治理，北京信诚致远信息化管理咨询公司同期发布的IT治理生命周期实施解决方案--Meycor。包括以下软件模块：COBIT 控制自评估、Meycor COBIT 管理指南、Meycor COBIT 审计指南、Meycor COBIT 风险管理、 Meycor COBIT 知识提供、Meycor COBIT Delphos。

　　德勤企业风险管理服务经理薛梓源表示，为了应对萨班斯等一些国际法案对企业内控提出的更高要求，必须加大信息系统在总体控制方面的责任，在信息系统对管理流程的介入程度上，采取自上而下的基于风险管理的分配原则，尽量缩减成本，同时实现内控的合理化。实现流程和控制的集中化，建立一个好的集中身份管理措施和授权措施，以及加强包括用户身份、网络安全、系统安全在内的保护措施都是建立好的管理流程的要素。薛梓源在发言中还提到了结算和维护等内部系统，这些系统会对财务报告产生非常重要的直接或间接影响，特别是对于电信运营商，因其业务的庞大，更应该把这些财务相关的系统纳入内部控制体系建设，防止相关漏洞的发生。