文/黃彥棻 (記者) 2010-06-04

從即日起到明年3月底止，國際電腦稽核協會針對符合資格者推出免試申請該證照的服務

國際電腦稽核協會（ISACA）於今年4月推出一款風險與資訊系統安全控制的新認證CRISC（Certified in Risk and Information System Control），是針對企業風險以及各種IT系統資安控制所推出的新款認證。而配合國際電腦稽核協會慣例，新款認證推出到舉行第一次正式考試之前，會有大約1年的推廣時間。在此時，國際電腦稽核協會也會針對符合該新款認證資格的業界人士，推出免試申請該認證的機會。國際電腦稽核協會表示，符合申請資格的人，即日起到明年3月底前，可以免試申請CRISC認證。

國際電腦稽核協會編審委員花俊傑表示，CRISC是一張針對企業風險以及IT系統資安控制措施所推出的風險認證，這裡的風險主要是針對企業營運相關的風險，再加上IT系統控制的風險，也因為風險往往和法規遵循有關，也因此，適合取得這張風險認證的人，除了一般的IT專業人員、專業風險人員、了解營運風險的業務分析人員、專案經理以及法規遵循人員都包含在內。

花俊傑表示，這張新認證對於工作領域的要求相當嚴格，工作業務範圍必須囊括風險以及IT系統控制兩大領域，這也是這張認證的考試範圍內容。
依照國際電腦稽核協會對於工作領域進一步的要求與規範，工作領域可以分成5個項目內容，最重視、比重也最高的就是「風險鑑別」，考試占比高達31％。花俊傑解釋，所有的風險應對策略第一步就是，必須要能夠識別出企業面臨的風險有哪些，若是企業的風險無法被鑑別出來，相對應的風險應對措施也都無效。所以，這項考試內容的占比最高。

其次，就是風險回應，考試範圍占比達17％。花俊傑表示，應對風險的方式有4種，分別是避免、降低、轉嫁以及接受，對多數企業而言，當風險無法避免時，大家都希望能夠做到降低風險，至於是否接受風險，主要視發生機會高低以及成本高低而定。而花俊傑說：「當風險鑑別做對了，風險應對才會做對。」

第三項工作領域是風險監控，考試占比17％。花俊傑指出，這個環節和稽核工作有關，當風險鑑別產出一份報告時，風險應對就針對報告內容產出一份應對計畫，風險監控的目的就是在看風險應對計畫是否有按照計畫進行，而每一個監控環節是否有發揮應有功能。

花俊傑表示，第四項和第五項工作領域就偏重IT系統的控制與監控，兩項考試占比分別是17％和18％。例如，事涉IT系統的控制設計時，工作內容多半包含是否有因為IT系統設計控制不良，甚至導致IT效率不彰的問題。至於監控IT系統的控制措施，主要工作內容是確認相關的IT系統監控與矯正措施是否發揮效能等。

花俊傑表示，這個新認證正處於推廣的時期，國際電腦稽核協會從現在到明年3月底前，有提出一個免試申請的Grandfathering升級條款。他說，申請者至少必須有8年以上IT或者是企業營運的經驗，這期間的工作內容，必須包含上面5個工作領域，相關的總工作經驗至少6年，但對於風險相關工作內容，包關風險鑑別、風險應對及風險監控的工作，至少3年以上。 文☉黃彥棻

3