信息系统的战略规划帮助管理层建立以组织战略为导向、以外界环境为依据、以业务与IT整合为重心的观念，从而正确定位IT部门在整个组织的作用，保证信息系统的战略目标能够和组织发展目标相协调。
为了保障规划目标能够在企业内推行，需要有信息化领导小组保证总体战略目标能够从上而下贯彻执行，使决策层的意图能够贯彻到企业的执行层，并通过执行层提供决策和评估活动所需要的信息。下层应用要和企业总体目标采用相同的原则，提供评估业绩的衡量方法，从而保证信息系统目标的实现。
策略与流程的目标是通过最大限度的控制达到公司设定的目标。在进行外部审计和内部管理时，必须考虑管理策略与流程。管理者支配组织如何划分成若干控制组。为准确评估信息系统审计范围，信息系统审计师要了解现有的策略与流程手册。
策略与流程应该是完备的文档，描述职能的范围、活动，以及和其他职能的联系等。所有策略和流程都应该被组织成标准化手册，此手册与组织目标紧密相连。
信息化领导小组一个组织的高层管理者需要任命一个信息化领导小组来监督IT部门的活动。
信息化领导小组是一种保证IT部门和组织整体目标和使命保证协调的一种机制。通常情况下，信息化领导小组的主管由理解风险和问题的董事会成员担当。该信息化领导小组成员来自高层管理者、IT部门、用户部门，是各部门的高层管理者，代表组织中所有业务领域。
信息化领导小组的任务与职责应该以正式的章程进行定义。信息化领导小组的成员应该了解IT部门的策略、实务、流程，且有权对其所辖领域进行决策。
该信息化领导小组通常作为信息系统项目总的检查信息化领导小组，参与日常运作。主要履行以下职能：
审查IT部门的长期和短期计划，并保证与组织目标一致；
在董事会授权范围内审查批准主要的硬件和软件获取计划；
批准和监督主要项目，建立优先顺序，批准标准、流程，监督整个系统的绩效；
在IT部门与用户部门之间进行沟通；
批准和监督主要项目，信息系统规划的状况、年度计划；
根据人员、时间、设备审查资源的充足性、资源的配置情况；
对集权或分权、责任指派进行决策；
审查和批准部分或全部信息系统外包计划；
信息化领导小组从系统部门、用户部门接收适当管理信息并进行审计，以协调和监督组织的信息系统资源的有效利用。信息化领导小组要监督绩效并且采取适当行动达到预想效果。信息化领导小组需要召开正式会议，并使其活动、决策文档化，向董事会汇报所有信息系统相关活动。
策略策略是组织的高层文档，代表组织的哲学和高层管理者以及业务过程所有者的战略思考。文档必须清楚、简洁以保证有效性。管理者必须创建一个积极的控制环境，承担制定和开发覆盖战略目标的策略，将策略文档化，并负责对文档的宣传和策略实施的控制。管理者必须采取必要步骤保证受某一具体策略影响的人员能够接受该策略，并且能够理解和运用它的内容。
除了公司策略为组织奠定战略基调以外，各个部门也需要定义更低层次的策略。这些策略从高层策略演化而来，是对上层策略的细化，主要应用于操作层，保证策略的可实施性。低层策略可以采取自上而下的方法，这样可以保证组织的战略一致性。然而，有些组织也自下而上的方法，即优先定义操作层策略，将公司策略作为一个后续的开发和对现有操作策略的综合。这种策略方式看起来更实用，但是却容易产生策略之间的冲突，无法达成上下一致性的策略。
组织中的高层管理者需要审查所有策略。策略需要实时更新以反映组织或部门的新技术及明显的变化。
流程流程是详细的文档，必须由上一级策略演化而来，必须贯彻策略声明的内容。流程需要简洁清楚，容易被使用者理解。流程文档(管理和操作)需要嵌入业务过程和控制。
与上一级策略相比，流程更加具有动态性，必须反映业务核心和环境的不断变化。因而，有必要经常审查和更新相关策略。信息系统审计师检查流程目的是鉴别和评估检验业务过程控制，发现组织中实务与组织策略之间的分歧。信息系统审计师还需要对嵌入在流程中的控制进行评估，保证它们实现必要的控制目标，同时使得整个过程有效率、切实可行。如果操作实务与文档化的流程不符，或者文档化流程不存在，则管理者和信息系统审计师很难鉴别控制并保证这些控制的持续运作。
信息系统审计师有必要进行独立审查，保证策略与流程都已经被理解和实施，并需要足够的工作证据使被审查者保证所进行的工作与所建立的策略流程保持一致。信息系统审计师在任何时候都应保持独立，不能受被审计组织任何人的影响。
