四大域
| 域 | 核心问题 | 典型控制 |
|---|---|---|
| 访问管理 | 谁能进系统、能做什么 | 账号审批、权限复核、特权管理 |
| 变更管理 | 改动如何被批准与验证 | 变更审批、测试、发布分离 |
| 运维 | 日常作业是否受控 | 批处理监控、备份与恢复验证 |
| 开发 | 新系统建设是否受控 | 立项、测试、上线审批 |
ITGC 没做好时，应用层控制再完善也难被信赖。
IT 一般控制 ITGC
ITGC 是支撑应用控制可靠运行的基础控制：访问管理（账号与权限）、变更管理（审批与测试）、运维（作业与备份）、系统开发生命周期；财务审计依赖 ITGC 判断自动化控制能否信赖。
易错点
- 只补应用控制：ITGC 缺陷导致整体不可信赖
- 控制清单照抄模板：与系统实际不匹配，执行两张皮
数据来源与参考
- SOX 与财务审计中的 ITGC 公开框架
- PCAOB AS 2201 语境