很多人把《企业内部控制基本规范》比作《萨班斯法案》的中文版，它是中国会计审计领域的一项重大改革举措，对于CIO们来说也是一个不小的挑战。
2008年5月22日，财政部、证监会、审计署、银监会、保监会五个部门联合发布了“关于印发《企业内部控制基本规范》的通知”。原定于2009年7月1日起实施的这套规范，将延至2010年1月1日在上市公司范围内实施，同时鼓励非上市大中型企业执行。
这份文件的重要性可以说非同小可，很多人将其比作《萨班斯法案》的中文版。这是中国会计审计领域的又一重大改革举措，客观上提升了对信息安全的需求。
据IDC预计，2007～2011年，国内风险管理解决方案市场将以22.4%的复合增长率快速增长。有业内人士表示，近2～3年内，国内市场将迎来一个需求迅猛增长的时期。而对于CIO来说，也是一个不小的挑战。一方面，CIO们可以利用信息技术管理和降低风险，一方面又对多数CIO们脆弱的管理能力，提出了新的要求。
一直以来，CIO大致分为两类，技术出身和管理出身。技术出身的CIO懂技术，对新技术的理解快、上手快；管理型CIO擅沟通，也能够更好地理解领导意图。
在任何机构，CIO是信息技术管理者的角色，既有管理的成份，也有信息技术的成份，如果脱离了技术而纯粹谈管理，很多时候就会盲目做事，不符合技术发展趋势，方向没有把握好就去盲目建设系统，其成功率要相对低一些。当然，如果纯粹就技术而技术也不合适，太强调技术的先进性，不考虑实际业务的需求，未来的系统建设可能会变成曲高和寡，最后不仅没有推动业务的发展，反而阻碍了业务的发展。
IT技术对于企业来说，就是一种工具。既然是工具，就一定要结合日常的管理、业务需求去应用，这就对CIO提出了三重要求：要懂IT，还要懂业务和管理。所以技术背景出身未必能做好CIO；业务或者管理背景出身也未必做不好CIO。还是要分两方面来看。第一是非技术背景，经过自学，掌握了IT技术方面的核心方法、理论，对技术整体发展有前瞻性的把握，如果这样，再加上在管理、业务方面的专长，把管理、业务、IT三者融于一体，完全可以做一名很出色的CIO。如果是纯技术背景的CIO，要注意不要过分强调技术，追求技术的先进性、高水平，而要加大对可用性的分析。
如今，随着信息化在企业中占据了越来越重要的地位，管理型的CIO开始多了起来。随着信息化系统的逐步完善，要懂得IT治理，是对CIO们提出的又一个新高度。这就要求CIO们不仅深谙管理学问，还要精通各种IT技术，关注前沿技术的趋势和应用。如何平衡管理和技术，做到既懂管理又精通技术，是信息化对CIO们的新挑战。
在如今的信息化水平下，即便是国外较为发达的状况下，一谈到IT相关问题，大多数人想到的仍然是管理与控制，而不是“治理”。
国外尚且如此，那么国内呢？我们到底需不需要IT治理呢？IT治理真的只是一个概念吗？IT治理的确“上能通天”，可是对于务实的中国CIO来讲，更需要的是“下能达地”。
在中国，CIO的定位依然是技术部门的管理人，并没有把他们放在整个企业信息化建设的领导者的位置上，自然也就体现不出这个角色的业务价值——充分利用IT能力；帮助企业的业务部门，提高业务价值。
企业形态不同，认责机制也大相径庭。在小型企业，CIO和IT部门可以相对多地参与企业信息化方面的决策，能实现较为集中的IT管理。而更多的企业似乎都是分散式管理，即每一个业务管理人都有自己对IT的专有权利，或者取决于业务部门以及上级的信息委员会来进行协调决策的。
决策完成之后，真正的责任衡量也就是绩效的考核，却没有得到有效地贯彻。业务部门仍掌握着较大的话语权，IT本身的成果、衡量的指标，却大多由市场所控制，CIO并没有机会去领导企业制定、支持和保证正确的IT投资决策。
虽然看到了IT治理的必要性，可这能给CIO一直以来的尴尬地位和隐忧带来多少缓解，似乎前景并不乐观。IT治理到底是良药还是苦果，全看我们怎么行动。
“橘生淮南则为橘，生于淮北则为枳。”但愿IT治理到了中国，不要变成中国CIO的负担。
