确认公司的IT控制目标是落实公司IT治理架构的重要基础工作

　　在SOX法案第404条款的合规性实践中，很多公司以COBIT为参照标准，根据其具体情况确定必要的IT控制目标。由于在美国上市的公司分布在不同行业，公司的规模相差悬殊，信息系统的应用范围也有很大的不同，故对不同的公司而言，在合规性的要求下要实现的IT控制目标的范围有很大的差异。

　　公司要实现的IT控制目标，与公司IT应用的情况和公司的IT管理运作方式有关。在确定了要实现的IT控制目标后，接下来就是要发现和确认相关的IT控制点和控制活动。实现任何一个IT控制目标可能需要一个或多个相关的控制点，这取决于控制目标的要求和控制点的控制方式。以上工作的结果可以产生所谓的IT控制目标矩阵或IT控制矩阵。

　　确认公司的IT控制目标是落实公司IT治理架构的一个重要基础工作。在此基础上制定合理的IT控制矩阵是一项很重要的工作，它对落实公司IT治理架构和SOX法案第404条款的合规性实践有很大的实践意义，整个合规性活动的工作量，也与此密切相关。

　　定期测试IT控制活动的有效性是检验公司IT治理成效的试金石

　　在SOX法案第404条款的合规性实践中，对IT控制活动进行定期测试是重要的一环。IT控制活动的测试分为管理层的自我评估测试和外部审计师的合规性审计测试。

　　无论是上述何种测试，都将根据IT控制活动发生的频率，决定样本的大小，并对抽取的样本按照设计的测试步骤进行测试。IT控制的设计有效性和运行有效性二个方面将被分别测试。

　　按照重要性原则，公司属下的分公司、子公司或者分支机构，将会有选择地接受测试。这样的测试，一般每年进行一次，公司的管理层和公司的外部审计师都将为测试付出很大的努力。

　　任何被检测出的IT控制缺陷，需要在规定的期限前改正和接受再测试。控制缺陷如果不能在规定的期限前通过改正和测试，外部审计师会发表相应的审计意见。因此可以说，定期测试IT控制活动对公司的IT治理的落实和改进有极大的帮助，是检验公司IT治理成效的一个试金石。