COBIT 2019 与 DORA 的证据对接：哪个治理目标产出哪份可检查的记录

COBIT2019与DORA的证据对接

哪个治理目标产出哪份可检查的记录本文档提供：治理目标与DORA条款的映射表（表1）；证据链三层判定规则（表2）；审计追问时的断链排查表（表3）；董事会证据包字段配置（表4）；信息登记册与风险台账的对账步骤（表5）；映射覆盖率的计算与对照（式1）；四条决策规则与两组矛盾处置；完整证据包示例（表6）；三套场景操作序列（表7）；数据来源与时效说明（表8）。2026-11-02表0目录与定位这一节的标题读完你能拿到什么这一节在全文中的功能一、监管来要证据时，先翻哪三份记录三份首要证据的定位规则启动动作，避免从框架文档开始找证据二、哪个COBIT目标对应哪条DORA要求，一张表定下来治理目标与DORA条款的映射表锁定映射关系，确定证据的出处三、COBIT说“做到了”，DORA要“拿出记录”，中间差在哪证据链三层判定规则区分声明与可检查的执行痕迹四、董事会纪要只有“已批准”三个字，审计会追什么董事会证据包字段配置补齐治理层证据的缺项五、风险台账和信息登记册对不上，按这个顺序对账对账步骤与判定阈值解决两份核心记录之间的断裂六、映射做完了，先查这几处断链断链排查表在审计前定位最常见的映射失效点七、什么时候停用某个映射：四条决策规则与两组矛盾决策规则与矛盾处置在映射不可持续时给出退路按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。接手时手里有一份COBIT2019的目标清单、一份DORA条款的合规检查表，还有上一任留下的“映射关系”草稿——草稿上写着APO12对应第6条、DSS05对应第9条，但审计提前发来的问题清单问的是“请提供过去四个季度董事会审查ICT风险的会议纪要”，草稿上没有任何一行告诉你去哪找这份纪要、纪要里必须有什么内容才算数。一、监管来要证据时，先翻哪三份记录DORA审计最先调取的三份记录：董事会或管理机构的会议纪要（证明治理层实际审查过ICT风险，而非仅签字批准）；ICT风险登记册的最新版本及版本历史（证明风险被持续跟踪，而非一次性填写）；信息登记册中与关键或重要功能相关的条目及其维护记录（证明第三方安排处于受控状态）。这三份记录分别对应DORA第5条（治理）、第6条（风险管理框架）和第28条（第三方风险），是审计问题中出现频率最高的出处。翻这三份记录之前，先确认每份的最后修改日期和批准人。会议纪要没有日期和批准人，无法证明审查发生在什么时间、由谁确认。风险登记册没有版本历史，无法证明当前版本与上次审计之间发生过什么。信息登记册的条目没有对应的合同或评估记录，无法证明该条目不是填表时临时补的。二、哪个COBIT目标对应哪条DORA要求，一张表定下来表1治理目标与DORA条款的映射表COBIT2019目标目标在做的事对应的DORA条款该目标应产出的可检查记录审计会拿它回答什么问题EDM03确保风险优化治理层评估ICT风险偏好、方向与容忍度第5条（治理与组织）董事会批准的风险偏好声明；含质询记录的会议纪要；培训记录治理层是否实际理解并审查了ICT风险，而非仅批准文件APO12管理风险识别、分析、记录ICT风险并维护风险概况第6条（ICT风险管理框架）ICT风险登记册（含版本历史、负责人、截止日期、剩余风险决策）风险是否被持续识别和跟踪；重大变化后是否更新APO13管理安全系统规划、实施和监控安全控制第9条（保护与预防）控制配置基线；安全控制测试结果；例外审批记录控制是否按设计运行，例外是否被记录和批准BAI09管理资产维护ICT资产清单并映射到关键功能第8条（识别）资产清单（含关键功能标记、第三方依赖、单一故障点）是否知道哪些资产支撑关键功能，清单是否随变更更新DSS05管理安全服务监控、事件响应与恢复第10—11条（检测、响应与恢复）监控告警日志；事件分类记录；响应时间戳；恢复测试报告事件是否被检测、分类并按时间线响应；恢复目标是否经测试验证MEA03监控合规识别外部要求并监控合规状态第28条（信息登记册）及跨条款合规证明合规监控记录；信息登记册版本历史；差距补救跟踪表是否知道自身与DORA要求之间的差距，并跟踪到关闭这张表只保留存在直接产出关系的六组映射。COBIT2019有40个治理和管理目标，其中相当一部分与DORA不产生可检查的证据交集，例如BAI03（解决方案交付）的常规项目管理产出不直接回答DORA审计的任何一条问题。把它们放进映射表会让证据链变长，审计追问时无法从记录追溯到条款。映射的判定标准：如果某个COBIT目标的管理实践输出在DORA条款的检查清单中找不到对应的证据类型，该映射不进入表1。判定依据不是两个框架的“主题相似”，而是“COBIT实践产出的那个工件，审计员会不会要求打开看”。三、COBIT说“做到了”，DORA要“拿出记录”，中间差在哪COBIT2019的能力等级评估可以给出“APO12达到等级3”的结论，但DORA审计不接受等级结论作为证据。审计追问的是支撑该结论的原始记录。证据链需要分三层，每一层回答一个不同的问题。表2证据链三层判定规则层级这一层是什么回答审计的哪个问题合格判定（打开什么、看到什么）常见断链第一层：控制执行记录控制实际运行留下的日志或工件“这件事发生过吗”打开风险登记册的版本历史，看到每次修改的日期和修改人；打开事件记录，看到分类决策和时间戳只有汇总报告，没有原始日志；登记册只有一个“最后保存日期”，看不出中间变化第二层：佐证或审批记录证明第一层记录被审查过、不是自动生成的“有人实际看过并作了判断吗”打开董事会纪要，看到对某条高风险的具体质询记录和负责人的回应；打开风险登记册中某一行，看到“剩余风险接受”的审批人和日期纪要只有“听取了汇报”，没有质询或决策内容；审批栏是系统自动填入的默认用户名第三层：治理层行动痕迹治理层基于证据做了资源或方向上的调整“审查之后发生了什么变化”打开补救跟踪表，看到某项逾期行动被标注原因并在下次评审中被单独讨论；看到风险偏好声明在事件后被修订的版本记录审查意见停留在纪要里，没有进入任何跟踪表或预算决策；风险偏好声明多年未修订三层之间是递进关系，不是并列关系。第一层缺失，第二层和第三层无法成立。第一层存在但第二层为空，审计的判断是“控制运行了，但无人审查”，仍然构成治理缺陷。第二层存在但第三层为空，审计会追问“审查结论去了哪里”。以APO12映射第6条为例：风险登记册存在且有版本历史，是第一层；登记册中每一行有负责人的人名和截止日期，且上一次评审有对应的纪要条目，是第二层；上一次评审中识别的逾期行动在本次评审前被单独讨论并给出了资源或期限调整，是第三层。三层齐全，APO12到第6条的映射才在证据意义上成立。四、董事会纪要只有“已批准”三个字，审计会追什么DORA第5条将ICT风险责任置于管理机构，审计对董事会证据的检查超出“批准决议”本身。纪要被追问的通常是三个具体点：有没有质询、质询有没有回应、回应有没有后续动作。表3董事会证据包字段配置字段写什么只有“已批准”时缺什么怎么补审查对象本次会议审查的具体风险行号或事件编号，不写“ICT风险整体”无法定位到被审查的内容纪要中列出行号或事件号，与风险登记册一一对应质询记录至少一条董事或委员会成员提出的具体问题，以及负责人的回应无法证明治理层实质参与了判断下次会议起记录一问一答，不写“进行了讨论”风险接受或方向调整对某条超出偏好的风险，记录“接受”“要求降低”“暂缓新增”中的一项及理由审查没有产生决策在纪要中单列“决策”段，每条决策对应一个行号后续跟踪上次会议决策项的当前状态，逾期项的原因无法证明治理是持续周期而非一次性签字每次纪要附一页“上次决策跟踪”，逾期项标红并给新截止日期培训或知识更新董事在本次周期内接受的ICT风险相关简报或培训日期审计会追问董事是否具备判断能力保留培训签到或简报分发记录，作为纪要附件如果纪要当前只有“批准了ICT风险管理框架”，最短的修补路径不是重写历史纪要，而是从下一次会议开始按上表记录，同时在第一次使用新格式的纪要中写入一句“上次会议批准的框架在本周期内未发生触发重新审查的事件”。这句话本身不产生质询记录，但它把“批准”和“持续审查”之间的时间空档标记出来了，审计追问时有可回答的起点。五、风险台账和信息登记册对不上，按这个顺序对账APO12产出的ICT风险登记册和DORA第28条要求的信息登记册是两份不同的记录：前者记录风险（什么可能出错、影响多大、谁负责应对），后者记录第三方合同安排（谁在提供什么ICT服务、是否支撑关键功能、合同条款是否覆盖退出）。两份记录在“关键或重要功能所依赖的第三方”这个交叉点上必须一致。审计最常见的断链是：风险登记册中某条风险的应对措施是“切换备用供应商”，但信息登记册中找不到该备用供应商的条目。表4对账步骤与判定阈值步骤动作数据从哪读判定标准1在风险登记册中筛出“风险类别”为供应中断、第三方依赖或外包的行风险登记册“风险类别”列得到一组依赖第三方的风险行号2逐行读“应对措施”，提取其中提到的供应商名称或服务类型风险登记册“应对措施”列每行至少提取到一个可识别的服务或供应商3用提取到的名称在信息登记册中查找信息登记册“ICT服务描述”和“服务提供商名称”列每个名称能在登记册中找到对应条目4对找不到的名称，判断是“未登记”还是“不涉及合同安排”问负责人该服务是否由外部方提供外部方提供的服务未登记，计为断链；内部提供的，从对账范围排除5统计断链数步骤4的结果断链率超过20%时，在下次董事会材料中单列一页“第三方登记缺口”对账的判定阈值：如果步骤4发现的断链数占步骤1风险行数的比例超过20%，仅由风险经理在登记册中补条目不够；需要在董事会材料中写入缺口数量、涉及的风险行号和补齐计划。比例低于20%时，由风险经理直接补录并在版本历史中注明来源。六、映射做完了，先查这几处断链表5映射断链排查表第一检查点看到什么信号先查什么换哪条路1.打开风险登记册，看“剩余风险决策”列该列全空，或只填“接受”不填理由查最近一次评审纪要中是否讨论过任何一行剩余风险下次评审议程中预留十分钟，逐行过剩余风险，每行写一句理由，写入“决策”段2.打开董事会纪要，搜索“风险登记册”一词纪要中提到登记册，但没有行号或具体风险描述查纪要附件中是否有登记册摘录，摘录是否标了行号下次材料附一页登记册摘录，只摘评分最高的五行，每行附一行纪要中的对应讨论内容3.打开信息登记册，看“最后更新日期”超过一个季度未更新查该季度内是否新增或终止了第三方合同指定一人每季度末从合同管理系统中导出变更清单，与登记册比对，十分钟完成4.抽一条风险行，问“这条风险的负责人上次在评审中说了什么”回答不出具体内容查该负责人的评审发言是否有书面记录评审记录中为每条高风险行留一行“负责人意见”，一句话即可5.打开MEA03的合规监控输出只有一份“合规状态清单”，没有差距项和补救跟踪查差距项是否进入了任何有截止日期的跟踪表合规清单中每个“部分符合”或“不符合”项移入补救跟踪表，给截止日期和人名6.查APO12.03（维护风险概况）的输出风险概况的日期早于最近一次重大变更查重大变更（新系统上线、供应商切换）后是否触发风险概况更新在变更管理流程中加一步：变更关闭前确认风险概况已更新，未更新则变更不关闭7.把表1的映射表拿给审计员看，问“这条映射的证据在哪”映射表上有对应关系，但指不出一个具体的文件或记录查该映射对应的COBIT实践输出是否被保存为每条映射指定一个具体记录作为“锚点证据”，锚点不存在则该映射标为“未建立”第3行的“每季度十分钟比对”是排查后的固定动作。第7行是映射表的自检：每条映射在写进表1时，必须同时写出锚点记录的存放位置和责任人；写不出的映射不进入表1，也不应在审计前临时拼凑。七、映射做完了，先查这几处断链（续：映射覆盖率与判定）映射覆盖率用于判断表1中的映射是否足以覆盖DORA审计高频追问的条款。计算时不覆盖全部64条DORA条款，只覆盖第5、6、8、9、10、11、28条这七条审计证据要求最集中的条款。式(1)映射覆盖率C变量定义：C为映射覆盖率；7为纳入统计的DORA条款数（第5、6、8、9、10、11、28条）；M_有锚点证据指这七条中，在表1里存在对应COBIT目标且该映射已指定一个具体锚点记录（文件或记录名称、存放位置、责任人）的条款数。常见错误一：把“表1里写了对应关系”当作“有锚点证据”。表1第二列的目标描述不构成锚点；锚点必须是审计可以要求打开的具体记录。常见错误二：把同一份记录重复计入多条条款。例如董事会纪要同时覆盖第5条和第6条时，只计一次锚点存在，但覆盖率按条款数计算，因此一份纪要不能替代第6条需要的风险登记册。校验方法：打开表1，逐行看“可检查记录”列是否写出了具体名称，再打开该名称对应的存放位置确认文件存在且最后修改日期在最近一个评审周期内。三个条件（名称具体、文件存在、日期在周期内）任何一个不满足，该行不计入分子。C低于70%时，优先补齐第5条和第6条的锚点，因为这两条是审计开场问题最集中的出处。表6映射覆盖率对照C的值判定动作≥85%映射覆盖充分进入正常评审周期，每季度复核一次锚点日期70%—84%覆盖不足，存在可定位的缺口在下次董事会材料中列出缺失锚点的条款，给出补齐日期<70%映射在审计意义上不成立暂停新增映射，先用一次专门会议把第5、6、28条的锚点建起来八、什么时候停用某个映射：四条决策规则与两组矛盾决策规则一：如果某条映射的锚点记录连续两个评审周期没有更新，则将该映射降级为“未建立”；如果该锚点对应的是第5条或第6条，在降级前必须把替代锚点写入董事会材料，否则不得降级。决策规则二：如果董事会纪要中连续两次会议没有任何一条质询记录涉及ICT风险行号，则第5条映射的证据层降为第一层（只有批准记录）；恢复第二层需要至少一次含行号质询的纪要。决策规则三：如果风险登记册与信息登记册的对账断链率连续两次超过20%，则在补齐断链之前，APO12到第6条的映射不宣称覆盖第三方依赖部分；董事会材料中该部分标注“登记缺口未关闭”。决策规则四：如果MEA03的合规监控输出中“差距项”连续两个季度没有关闭任何一条，则暂停新增映射，先处理差距补救跟踪的可行性；差距项无法关闭的原因需要写入决策规则一的记录，不能留空。矛盾一：映射的完备性与证据的可维护性矛盾陈述：把尽可能多的COBIT目标映射到DORA条款，可以展示更完整的治理覆盖；映射越多，每条映射需要维护的锚点证据越多，维护成本上升后锚点最先过期，过期锚点让映射在审计时反而成为缺陷证据。实质分析：表1保留六组映射，是因为每一组都有明确的COBIT实践输出与DORA检查清单的交集。增加第七组、第八组映射不会增加审计通过的概率，但会增加需要季度核对的记录数量。排查表第7行已经显示，锚点不存在时映射应标为“未建立”；一个标为“未建立”的映射比不存在该映射更显眼。权衡规则：映射数量以式(1)的C≥85%为停止条件，不以“覆盖所有条款”为目标。C达到85%后新增映射必须同时指定锚点和维护人，且维护人书面确认能在每季度花不超过十五分钟核对日期。退路：如果新增映射的锚点在两个季度内过期，将该映射退回“未建立”，并在下一版表1中移出正文映射表，放入附录备查。矛盾二：董事会证据的完整性与会议纪要的可读性矛盾陈述：审计要求纪要能追溯到具体风险行号和质询内容，记录越细越好；纪要越接近逐字记录，董事在会上的发言意愿越低，实际讨论质量下降，纪要变成形式化文本。实质分析：DORA审计对纪要的检查集中在“有没有行号级质询”和“质询有没有回应”，不要求逐字稿。表3的字段配置已经将记录粒度控制在“一条质询加回应、一条决策加理由”。超过这个粒度不会增加证据强度，但会让纪要撰写时间延长，进而压缩会前材料准备时间。权衡规则：纪要保留“行号—质询—回应—决策”四要素各一句，不记录讨论过程。需要展开的内容放入附件“风险行讨论摘要”，每行不超过三句。退路：如果连续两次会议中董事对行号级质询的参与低于两条，改为会前向每位董事分发“三条待质询风险行”清单，会上只记录清单上被实际提出的条目和回应。九、完整证据包示例示例案例，细节为合理设定。某金融实体在DORA审计前一个月整理证据包，以第6条（ICT风险管理框架）对应的APO12映射为样本。起点：风险登记册有42行，版本历史显示过去六个月修改过三次，但“剩余风险决策”列全空。董事会最近一次纪要只有“批准了更新后的风险登记册”。分步操作：第一步，在登记册中为评分最高的10行补“剩余风险决策”，每行写“接受/要求降低/暂缓”加一句理由，由风险经理和对应负责人共同签字。第二步，从这10行中选3行写入下一次董事会议程，每行附一页摘要，含行号、评分、当前状态、建议决策。第三步，在纪要模板中加入“行号—质询—回应—决策”四列，会前发给会议记录人。第四步，会议后核对纪要是否对3行中的至少2行产生了行号级质询和明确决策；未达到2行则在下次会议前补一次15分钟的预沟通。第五步，把纪要中产生的决策项移入补救跟踪表，给截止日期和人名，作为下一季度董事会材料的首页。不顺利环节一：第一次按四列模板记录后，发现3行中只有1行产生了质询，另外2行董事没有提问。当时的判断是材料摘要太长，董事在会前没有读完。试了把摘要压缩到每行三句话（风险是什么、现在到什么程度、建议什么），并在会议开始时用两分钟口头过一遍行号。第二次会议质询行数上升到3行。新信息是：董事需要的是“这一行需要我做什么决定”，而不是完整背景。不顺利环节二：补救跟踪表建立后，下一次董事会材料中首页列出了5项逾期行动，其中3项没有原因说明。当时的判断是负责人没有收到跟踪表更新提醒。试了在截止日期前一周向负责人发一封含行号和动作的提醒邮件，并抄送其上级。试完发现逾期项从3项降到1项，但新增了一项“提醒后仍逾期”的项。新信息是：提醒能解决遗忘，不能解决资源冲突；资源冲突需要在董事会材料中单独标注“需要治理层分配资源”的项。不顺利环节三：用式(1)计算C，得到5/7=71%，发现第5条和第28条的锚点证据不满足“日期在周期内”。第5条的董事会纪要日期是八个月前，第28条的信息登记册上次更新是六个月前。当时的判断是只要文件存在就算锚点。试了把八个月前的纪要作为锚点提交，在模拟审计中被追问“这八个月里治理层做了什么”。换的路是：第5条的锚点改为“最近一次含行号质询的纪要”，如果最近一次纪要没有行号质询，则先按表3补一次专题会议，用专题会议纪要作为锚点。不顺利环节四：补完第5条专题会议后，发现专题会议的决策是“要求风险经理在两个月内完成剩余风险决策的补录”，但两个月后补录没有完成，专题会议纪要本身成了“有决策无跟踪”的反例。当时的判断是专题会议可以替代常规董事会审查。试了把专题会议决策项放入补救跟踪表，发现它和其他行动混在一起，没有被单独看待。换的路是：为治理层直接产生的决策设一个单独字段“治理决策编号”，与普通行动行分开跟踪，每次董事会材料首页先列治理决策的完成状态。终点：审计前证据包包含：含行号质询的专题会议纪要（第5条锚点）、风险登记册中10行有剩余风险决策和签字的版本（第6条第一层加第二层）、董事会材料中列出的逾期行动及原因（第三层）、信息登记册更新记录及对账结果页（第28条辅助证据）。式(1)的C从71%升至100%，增加的2条锚点分别来自专题会议纪要和季度更新后的信息登记册。表7变量与处置变化变量案例中情形如果变量不同处置变化风险登记册行数42行超过80行补剩余风险决策时只补评分前20%的行，其余行标“按评分阈值豁免”，豁免规则写入纪要董事会质询行数/次3行中1行被质询连续两次低于2行改为会前分发“三条待质询行”清单，会上只记录清单条目C的初始值71%低于70%暂停新增映射，优先补第5、6、28条锚点，专题会议纪要作为临时锚点信息登记册断链率未计算（案例未展开）超过20%在董事会材料中单列“第三方登记缺口”页，APO12到第6条映射暂不宣称覆盖第三方部分治理决策逾期数1项超过3项董事会材料首页将治理决策逾期项与普通行动逾期项分两栏列出治理决策逾期数在本案例中权重较高：它直接影响第三层证据（治理层行动痕迹）的可信度。超过3项时，审计对“审查之后发生了什么变化”的追问将无法用跟踪表回答。十、三套场景操作序列表8三套场景操作序列版本适用判定操作序列不能妥协的底线完整版对外审计或监管检查按表1逐条确认锚点存在且日期在周期内→按式(1)算C，低于85%则补齐→按表2对每条锚点做三层判定→按表4对账风险台账与信息登记册→按表5排查七处断链→按表3补齐董事会纪要字段第5条和第6条的锚点必须存在于最近一个评审周期内；C不得低于70%；董事会纪要必须含至少一条行号级质询精简版内部治理评审且时间受限只处理表1中第5、6、28条三条映射→确认三条锚点的日期→对第6条锚点做第二层判定（有无审批或质询记录）→用表4对账断链率→补一条行号级质询记录第6条锚点必须同时有第一层和第二层；第5条锚点纪要日期不超过一个季度极简版个人准备或非治理岗位初查找到三份记录（纪要、风险登记册、信息登记册）→看每份的最后修改日期→在风险登记册中找一行有“负责人人名、截止日期、剩余风险决策”的记录→找不到则从该行开始补三份记录中至少两份在最近一个季度内被修改过；风险登记册中至少一行三层要素齐全极简版的不符排查规则具体为：打开风险登记册，找任意一行，看“负责人”列是不是人名、“截止日期”是不是具体日期、“剩余风险决策”列有没有内容。三项中任何一项为空，不继续查其他行，先把这一行三项补齐，再判断该行能否作为第6条映射的临时锚点。附录表9差异化增补汇总增补项所在板块对应缺口类型解决什么问题表1只保留六组有直接产出关系的映射第二节多数映射资料把主题相似当作证据对应避免映射表膨胀后锚点无法维护证据链三层判定