以風險為基礎之資訊科技控制(Based on Risk)

內部控制系統存在的目的主要是用來面對企業之風險。有效的內部控制系統牽涉的層面包括有風險確認、管理、傳遞、監控等。內部控制系統最終之目的是在確認可能之風險及進行風險管理。由於企業經營環境、組織型態及商業模式之快速改變，企業在無形中隱藏有更多之風險，因此風險管理在內部稽核中佔了極重要之角色。如何運用資訊科技控制去做到偵測風險，進一步對風險採取適當之回應策略，皆有賴內部控制系統之有效運作才能達成。就風險角度而言，資訊科技控制可分成下列三方面加以說明：

(1) 風險分析(Risk Analysis)：風險確認為風險管理的首要步驟，而且是影響風險管理成敗之關鍵因素。對於一定會發生之事件必須藉由事先之確認，才能進一步評估其對企業可能造成之衝擊，及決定採取適當之回應措施。而對可能會發生之風險唯有藉由事先之評估及規劃才能有效控制風險之影響程度。

(2) 風險回應(Risk Response)：COSO 的企業風險管理架構中提到，企業必須針對其風險偏好及所能容忍程度而建立風險之回應策略[2]。亦即在進行成本評估、責任歸屬、預算及成效規劃之後，再採取風險避免、降低、轉移和接受等風險回應措施。經過仔細評估之風險回應措施，可有效將風險衝擊減至最低。

(3) 基線控制(Baseline Controls)：針對影響層面不同之風險，應有不同之風險回應措施。任何風險回應措施都無法保證能達到預期規劃之目標，因此設定一個控制成效之最低基凖點是必要的。因為每一個控制活動皆投入相當多之人力及成本，所以最後的實施結果必須是讓管理階層能夠接受的，才能真正達到管理之目的。

2