как же понять, эффективен ли процесс управления ИТ-риском и контроль над ИТ?

В рамках управления ИТ-рисками компания с определенной периодичностью проводит оценку эффективности контроля над ИТ. Частью оценки является сбор свидетельств, которые могут подтвердить эффективность общего контроля над ИТ и отдельных контрольных процедур (может иногда называться «контрольным мероприятием»), исходя из их дизайна и цели (помните — «Кто делает? Что делает? Как часто? Каков результат?) и результата внедрения, то есть реализации.