ITGC 是什么
ITGC（IT 一般控制）是支撑应用控制可靠运行的基础控制，通常分四域：访问管理、变更管理、运维作业与系统开发。财务与合规审计依赖 ITGC 判断自动化控制能否被信赖——底层账号、变更与备份失控时，再精细的应用层控制也缺乏保证。
四大域
| 访问管理 | 谁能进系统、能做什么：账号审批、权限复核、特权管理 |
|---|---|
| 变更管理 | 改动如何被批准与验证：变更审批、测试、发布与开发职责分离 |
| 运维作业 | 日常作业是否受控：批处理监控、备份与恢复验证 |
| 系统开发 | 新系统建设是否受控：立项、测试、上线审批与文档 |
典型使用场景
- 外部审计进场前的内控自查，提前补齐控制证据
- SaaS 或核心系统上线时，用 ITGC 清单核对账号与变更流程
- 财务系统自动化控制评估，判断能否减少人工复核
- 外包运维管理：核查第三方操作是否有留痕与审批
- 年度权限复核与备份恢复演练的组织依据
控制证据清单示例
控制证据清单示例
访问：账号开通申请单、权限矩阵、季度复核签字记录
特权：管理员账号清单、操作会话录屏、轮换记录
变更：变更单与审批记录、测试报告、发布时间对照
运维：批处理监控告警、备份成功率、恢复演练结论
开发：立项审批、上线决策记录、生产与测试环境隔离说明
# 每项控制都要能指向具体证据，否则等于没有控制四大域核心问题
| 域 | 核心问题 | 典型控制证据 |
|---|---|---|
| 访问管理 | 谁能进系统、能做什么 | 审批单、权限复核记录 |
| 变更管理 | 改动如何被批准与验证 | 变更单、测试与发布记录 |
| 运维作业 | 批处理与备份是否受控 | 监控记录、恢复演练报告 |
| 系统开发 | 新系统建设是否受控 | 立项与上线审批、环境隔离 |
ITGC 是应用控制的地基：账号混乱、变更无审批、备份未验证时，审计会直接质疑该业务系统所有自动化控制的可靠性。