メニュー
デフォルトでは、最初にソースを確認する Prompt が選択されています。直接コマンドに切り替えるか、ローカルコピーをダウンロードすることもできます。
インストールを決める前に、SKILL.md と SkillsMP に表示されている付属ファイルをお読みください。
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
直接コマンドでは確認用 Prompt が省略されます。実行前にソースを確認してください。
npx skills add https://github.com/guoliang1114-boop/AriaAI --skill itgc-testingコマンドは1行のまま表示されます。コピー前に横へスクロールして全体を確認してください。
ローカルで確認しますか？SkillsMP が現在取得できるファイルをダウンロードできます。
SKILL.md を表示中
| name | itgc-testing |
| description | 执行IT一般控制测试，基于COBIT框架，覆盖访问控制、变更管理、系统开发和IT运维四大领域 |
| version | 1.0.0 |
| domain | audit |
| last_updated | 2026-08-26 |
| status | stable |
write - 创建ITGC测试矩阵和工作底稿read - 审阅IT政策、系统配置文档、用户权限清单grep - 搜索系统日志、变更记录bash - 执行权限分析脚本、日志比对ITGC四大领域与COBIT治理/管理目标的映射:
1. 访问控制 (Access to Programs and Data)
2. 变更管理 (Program Change Management)
3. 系统开发 (Program Development)
4. IT运维 (Computer Operations)
ITGC测试亦可参考ISO 27001 Annex A控制项:
参照PCAOB AS 2201 §36-38及IT Audit Guidance:
============================================================
ITGC测试矩阵 (ITGC Testing Matrix)
============================================================
客户名称: [客户名称]
报告期间: [YYYY年MM月DD日 至 YYYY年MM月DD日]
编制人: [姓名] | 编制日期: [YYYY-MM-DD]
复核人: [姓名] | 复核日期: [YYYY-MM-DD]
索引号: [索引号]
============================================================
一、IT系统清单
------------------------------------------------------------
系统编号 | 系统名称 | 版本 | 部署方式 | 所有者 | 对财务报告影响
SYS-01 | SAP ERP | S/4HANA | 本地 | IT总监 | 高
SYS-02 | Oracle HCM | 12.2 | 云端 | HR总监 | 中
SYS-03 | 银企直连系统 | V3.0 | 本地 | 财务总监 | 高
二、访问控制测试
------------------------------------------------------------
2.1 用户账号管理
测试控制: 新员工入职时，由HR发起IT账号开通申请，
IT管理员在AD和相关系统中创建账号，
部门经理审批权限分配。
控制频率: 每笔 (事件驱动)
样本量: 25笔
测试期间: [日期范围]
序号 | 员工编号 | 姓名 | 入职日期 | 申请日期 | 审批人 | 账号开通日期 | 结果
1 | EMP-0156 | 王小明 | 2024-01-15 | 2024-01-10 | 张经理 | 2024-01-14 | 通过
2 | EMP-0178 | 李华 | 2024-02-01 | 2024-01-25 | 刘经理 | 2024-01-31 | 通过
...
测试控制: 员工离职时，由HR通知IT禁用相关账号，
IT在24小时内完成账号禁用。
样本量: 15笔
序号 | 员工编号 | 姓名 | 离职日期 | 通知日期 | 禁用日期 | 是否24小时内 | 结果
1 | EMP-0089 | 赵强 | 2024-03-15 | 2024-03-15 | 2024-03-15 | 是 | 通过
...
2.2 权限分配与职责分离 (SoD)
测试控制: 系统权限按照权限矩阵分配，关键职责分离
在系统中进行配置约束。
权限冲突矩阵:
功能A | 功能B | 冲突类型 | 风险等级
创建采购订单 | 审批采购订单 | SoD冲突 | 高
录入应付发票 | 执行付款 | SoD冲突 | 高
维护供应商主数据 | 创建采购订单 | SoD冲突 | 中
测试结果: [是否有SoD冲突，如有则逐一列出并评估补偿控制]
2.3 特权账号管理
测试控制: 特权账号（SAP_ALL、DBA、域管理员）仅授予
必要人员，使用需审批，活动有日志记录。
账号名称 | 类型 | 授权人员 | 人数 | 是否有审批流程 | 是否有日志 | 结果
SAP_ALL | 应用超级 | 2人 | 合理 | 是 | 是 | 通过
ora_dba | 数据库 | 3人 | 合理 | 是 | 是 | 通过
2.4 定期权限复核
测试控制: IT部门每季度导出系统用户权限清单，
各部门负责人审阅并确认权限的适当性。
复核期间 | 复核完成日期 | 是否及时 | 是否有调整 | 证据形式 | 结果
2024 Q1 | 2024-04-05 | 是 | 是(3人调减) | 审批邮件 | 通过
2024 Q2 | 2024-07-08 | 是 | 否 | 签字确认表 | 通过
三、变更管理测试
------------------------------------------------------------
3.1 标准变更流程
测试控制: 所有系统变更需经过提出→审批→开发→测试→
上线审批的标准流程，开发与生产环境分离。
样本量: 25笔变更
序号 | 变更编号 | 描述 | 申请日期 | 审批人 | 测试通过 | 上线审批 | 结果
1 | CHG-2024-001 | 发票校验规则修改 | 2024-01-10 | 张经理 | 是 | 是 | 通过
2 | CHG-2024-015 | 报表字段新增 | 2024-02-15 | 李经理 | 是 | 是 | 通过
...
3.2 紧急变更管理
测试控制: 紧急变更可先上线后补审批，但须在48小时内
完成事后审批和文档补录。
序号 | 变更编号 | 紧急原因 | 上线日期 | 事后审批日期 | 是否48小时内 | 结果
1 | ECHG-2024-003 | 生产系统故障修复 | 2024-03-20 | 2024-03-21 | 是 | 通过
...
3.3 职责分离
测试: 变更的申请人、审批人、实施人是否为不同人员。
偏差: [如有同一人既是审批人又是实施人的情况]
四、系统开发测试
------------------------------------------------------------
4.1 项目审批与需求管理
测试控制: 新系统/重大升级项目需经项目委员会审批，
需求文档需业务方确认签字。
适用项目: [列出测试期间内的开发项目]
样本量: [根据项目数量确定]
项目编号 | 项目名称 | 审批日期 | 需求确认 | UAT通过 | 上线审批 | 结果
PRJ-2024-01 | 电子发票模块上线 | 2024-01 | 是 | 是 | 是 | 通过
4.2 数据迁移
测试控制: 数据迁移需执行数据完整性校验，
迁移前后数据对比差异需在可接受范围内。
五、IT运维测试
------------------------------------------------------------
5.1 作业调度与批处理
测试控制: 关键批处理作业（如夜间对账、报表生成）
按计划时间自动执行，异常时自动告警。
作业名称 | 计划时间 | 成功率 | 异常处理 | 结果
SAP夜间对账 | 02:00 | 99.5% | 有告警 | 通过
报表自动生成 | 06:00 | 100% | 有告警 | 通过
5.2 备份与恢复
测试控制: 数据库每日全量备份，每小时增量备份，
每季度执行一次恢复测试。
备份类型 | 频率 | 测试期间成功率 | 最近恢复测试日期 | 结果
全量备份 | 每日 | 100% | 2024-02-15 | 通过
增量备份 | 每小时 | 100% | - | 通过
5.3 灾难恢复
测试控制: 每年至少执行一次灾难恢复演练，
RTO和RPO满足业务连续性要求。
RTO要求: [X小时] | RPO要求: [X小时]
最近演练日期: [YYYY-MM-DD] | 演练结果: [通过/未通过]
六、第三方服务提供商 (SOC报告)
------------------------------------------------------------
服务商名称 | 服务内容 | SOC报告类型 | 报告期间 | 是否有例外 | 影响评估
阿里云 | IaaS基础设施 | SOC 1 Type II | 2023.10-2024.09 | 无 | 低风险
金蝶 | 财务系统托管 | SOC 1 Type II | 2023.07-2024.06 | 1项 | 需关注
SOC报告例外事项分析:
[如有例外，详细说明对客户控制环境的影响及补偿措施]
七、ITGC缺陷评估
------------------------------------------------------------
领域 | 缺陷描述 | 影响系统 | 缺陷等级 | 对审计策略影响
访问控制 | [描述] | [系统] | [等级] | [影响]
变更管理 | [描述] | [系统] | [等级] | [影响]
八、总体结论
------------------------------------------------------------
ITGC总体评价: [有效/存在重要缺陷/存在重大缺陷]
对应用层面控制的影响: [说明]
对实质性程序的影响: [说明]
后续跟进事项: [如有]
============================================================
audit/
├── [客户名称]/
│ ├── [报告期间]/
│ │ ├── itgc-testing/
│ │ │ ├── ITGC-Scope-系统清单.md
│ │ │ ├── ITGC-Access-访问控制.md
│ │ │ ├── ITGC-Change-变更管理.md
│ │ │ ├── ITGC-Development-系统开发.md
│ │ │ ├── ITGC-Operations-IT运维.md
│ │ │ ├── ITGC-SOC-第三方报告.md
│ │ │ └── ITGC-Deficiencies-缺陷评估.md
关键系统范围必须从财务报表影响、关键业务流程、自动化控制依赖、数据接口、外包服务和上年缺陷六个维度判断。
| Deliverable | When to use | Minimum content | Format |
|---|---|---|---|
| ITGC scoping memo | 确定系统范围 | 关键系统、流程依赖、接口、SOC、范围理由 | Word / Markdown |
| System inventory | 系统盘点 | 系统、owner、流程、数据、接口、财报影响 | Excel |
| ITGC test plan | 执行测试前 | 控制、频率、样本、证据、测试方法和负责人 | Excel |
| Access control workpaper | 权限测试 | 用户清单、特权用户、新增/变更/离职和例外 | Excel / Markdown |
| Change management workpaper | 变更测试 | 变更清单、审批、测试、上线、回退和例外 | Excel |
| ITGC deficiency memo | 缺陷评价 | 缺陷、根因、业务影响、补偿控制和整改建议 | Word |
