《应用指引第18号——信息系统》解读 财政部会计司.pdf》由会员分享，可在线阅读，更多相关《应用指引第18号——信息系统》解读 财政部会计司.pdf（7页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、 一、信息系统内部控制概述 企业内部控制应用指引第 1 8 号 信息系统 中所指 信息系统，是指企业利用计算机和通信技术，对内部控制进 行集成、转化和提升所形成的信息化管理平台。信息系统 内 部控制的目标是促进企业有效实施 内部控制，提高企业现代 化管理水平，减少人为操纵因素，同时，增强信息系统的安 全 性、可靠性、合理性以及相关信息的保密性、完整性和可 用性，为建立有效的信息与沟通机制提供支持保障。信息系 统内部控制的主要对象是信息系统，由计算机硬件、软件、人员、信息流和运行规程等要素组成。现代企业的运营越来越依赖于信息系统。比如航空公司 的网上订票系统、银行的资金实时结算系统、旅游网站的客
2、 户服务系统等，没有信息系统的支撑，业务开展就举步维艰、难 以为继，企业经营就很可能陷入瘫痪状态。还有一些新兴 产业和新兴企业，其商业模式完全依赖信息系统，比如各种 网络公司、各种电子商务公司等，没有信息系统，这些企业 可能失 去生存之 基。同时应当看到，企业信息系统内部控制以及利用信息系 统实施内部控制也面临诸多风险，至少应当关注下列方面：一是信息系统缺乏或规划不合理，可能造成信息孤岛或重 复建设，导致企业经营管理效率低下；二是系统开发不符合 内部控制要求，授权管理不当，可能导致无法利用信息技术 实施有效控制；三是系统运行维护和安全措施不到位，可 能导致信息 泄漏或 毁损，系 统无法 正常
3、运行。鉴于信息系统在实施 内部控制和现代化管理中具有十 分独特而重要的作用，加之信息系统本身的复杂性和高风险 特征，企业内部控制应当指引第 1 8 号 信息系统规定，企 业负责人 对信 息系 统建 设 工作 负责。换言之，信 息 系统 建 财政部会计 司 设是“一把手”工程。只有企业负责人站在战略和全局的高度 亲 自组织领导信息系统建设工作，才能统一思想、提高认识、加强协调配合，从而推动信息系统建设在整合资源的前提下 高效、协调推进。企业应 当重视信息系统在内部控制中的作 用，根据内部控制要求，结合组织架构、业务范围、地域分 布、技术能力等因素，制定信息系统建设总体规 划，加大投 入力度，有序
4、组织信息系统开发、运行与维护，优化管理流 程，防范经营风险，全面提升企业现代化管理水平。二，信息系统的开发 企业根据发展战略和业务需要进行信息系统建 设，首 先要确立系统建设 目标，根据 目标进行系统建设战略规划，再将规划细化为项目建设方案。企业开展信息系统建设，可 以根据实际情况，采取 自行开发、外购调试或业务外包等方 式。选择外购调试或业务外包方式的，应当采用公开招标等 形式，择优选择供应商或开发单位。选择自行开发信息系统 的，信息 系统归 口管理 部 门应 当组织 企业 内部相关 业务 部 门 进行需求分析，合理配置人员，明确系统设计、编程、安装调 试、验收、上线等全过程的管理要求。企业
5、信息系统归 口管 理部门应当加强信息系统开发全过程的跟踪管理，增进开发 单位与企业内部业务部门的日常沟通和协调，组织独立于开 发单位的专业机构对开发完成的信息系统进行检查验收，并 组 织系 统上线 运 行。(一)制定信息系统开发的战略规划 信息系 统开发 的战略规 划是 信息化建 设 的起 点，战略 规 划 是 以企 业 发展 战 略为依 据 制定 的企 业信息 化建 设 的全 局 性、长期性规划。制定信息系统战略规划的主要风险是：第 一，缺乏战略规划或规划不合理，可能造成信息孤岛或重复 建 设，导 致 企业 经 营管 理 效率 低 下。第 二，没有 将 信息化 与 2 0 1 1 0 6 财
6、务与会计57 万方数据 南 鸯 骠 企业业务需求结合，降低了信息系统的应用价值。信息孤岛 现象是不少企业信息系统建设中存在的普遍问题，根源在于 这 些 企业 往 往 忽视 战略 规划 的重 要性，缺 乏 整体 观念 和 整 合意 识，常 常 陷于头痛 医头、脚痛 医脚 的不 良管 理模 式，这 就导致部分企业的财务管理信息系统、销售管理信息系统、生产管理信息系统、人力资源管理系统、办公 自动化系统等 各自为政、孤立存在，削弱了信息系统的协同效用，甚至引发 系统冲突。主要控制措施：第一，企业必须制定信息系统开发的战 略规划和中长期发展计划，并在每年制定经营计划的同时 制定年度信息系统建设计划，促
7、进经营管理活动与信息系 统的协调统一。第二，企业在制定信息化战略过程中，要充 分调动和发挥信息系统归口管理部门与业务部门的积极性，促使各部门广泛参与，充分沟通，提高战略规划的科学性、前瞻性和适应性。第三，信息系统战略规划要与企业的组织 架构、业务范围、地域分布、技术能力等相匹配，避免相互 脱节。(二)选 择适 当的信 息系统开发方 式 信息系统的开发建设是信息系统生命周期中技术难度 最大的环节。在开发建设环节，要将企业的业务流程、内控 措施、权限配置、预警指标、核算方法等固化到信息系统中，因此开发建设的好坏直接影响信息系统的成败。开发建设主 要有自行开发、外购调试、业务外包等方式。各种开发方式
8、 有各自的优缺点和适用条件，企业应根据自身实际情况合理 选择。1 自行开发 自行开发是指企业依托自身力量完成整个开发过程。其 优点是开发人员熟悉企业情况，可以较好地满足本企业的需 求，尤其是具有特殊性的业务需求。通过自行开发，可以培 养锻炼自己的开发队伍，便于后期的运行和维护。其缺点是 开发周期较长、技术水平和规范程度较难保证，成功率相对 较低。因此，自行开发方式的适用条件通常是企业 自身技术 力量雄厚，而且市场上没有能够满足企业需求的成熟的商品 化软件和解决方案。比如百度公司的搜索引擎系统就偏重于 自行 开发。2 外 购调试 外 调试的基本做祛是企业购买成熟的商品化软件，通 过参数配置和二次
9、开发满足企业需求。其优点是开发建设 周期短；成功率较高；成熟的商品化软件质量稳定，可靠性 高；专业的软件提供商实施经验丰富。缺点在于难以满足企 业的特殊需求，且系统的后期升级进度受制于商品化软件供 应商产品更新换代的速度，企业自主权不 强，较为被动。外 购调试 方式 的适 用条件通 常是 企业 的特殊需 求较 少，市场 上 5 8财务与会计 2 0 1 1 0 6 已有成熟的商品化软件和系统实施方案。比如大部分企业的 财务管理系统、ER P系统、人力资源管理系统等多采用外购 调试 方式。3 业务 外包 信息系统的业务外包是指委托其他单位开发信息系统，即企业将信息系统开发项目外包出去，由专业公司
10、或科研机 构负责开发、安装实施，由企业直接使用。其优点是企业可 以充分利用专业公司的专业优势，量体裁衣，构建全面、高 效满足企业需求的个性化系统；企业不必自身培养、维持庞 大的开发队伍，节约了人力资源成本。其缺点是沟通成本高，系统开发方难以深刻理解企业需求，可能导致开发出的信息 系统与企业的期望产生较大偏差；同时，由于外包信息系统 与系统开发方的专业技能、职业道德和敬业精神存在密切关 系，也要求企业必须加大对外包项目的监督力度。业务外包 方式的适用条件通常是市场上没有能够满足企业需求的成 熟的商品化软件和解决方案，企业 自身技术力量较薄弱或出 于成本效益原则考虑不愿意维持庞大的开发队伍。(三)
11、自行开发方式的关键控制点和主要控制措施 虽然信息系统的开发方式有自行开发、外购调试、业务 外包等多种方式，但基本流程大体相似，通常包含项目计划、需求分析、系统设计、编程和测试、上线等环节。1 项 目计划环 节 战略规划通常将完整的信息系统分成若干子系统，并 分阶段建设不同的子系统。比如，制造企业可以将信息系统 划分为财务管理系统、人力资源管理系统、MRP 系统(销售、采购、库存、生产)、计算机辅助设计和制造系统、客户关系 系统、电子商务系统等若干子系统。项目就是指本阶段需要 建设的相对独立的一个或多个子系统。项目计划通常包括项目范围说明、项目进度计划、项 目 质量计划、项 目资源计划、项目沟通
12、计划、风险对策计划、项目采购计划、需求变更控制、配置管理计划等内容。项目 计划不是完全静止、一成不变的，在项目启动阶段，可以先制 定一个较为原则的项目计划，确定项目主要内容和重大事项，然后根据项 目的大小、性质以及项目进展情况进行调整、充 实和完善。项目计划环节的主要风险是：信息系统建设缺乏 项 目计 划或者 计 划 不 当，导 致项 目进 度滞后、费用超支、质 量低下。主要控制措施：第一，企业应当根据信息系统建设整体 规划提出分阶段项目的建设方案，明确建设 目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定的权 限和程序审批后实施。第二，企业可以采用标准的项目管理 软件(比如
13、Of f i c e P r o j e c t)制定项 目计划，并加 以跟 踪。在 关 键环 节进 行 阶段 性 评审，以保证 过程 可控。第 三，项 目关 键 万方数据环节编制的文档应参照 GB T 8 5 6 71 9 8 8计算机软件产品 开发文 件编 制指 南 等 相关 国家 标准 和行 业标 准进 行，以提 高项 目计 划编制水平。2 需求分析 环节 需求分析的目的是明确信息系统需要实现哪些功能。该 项工作是系统分析人员和用户单位的管理人员、业务人员在 深入调 查的基 础上，详 细描 述业 务活 动涉及 的各项 工作 以及 用户的各 种需 求，从 而建 立 未来 目标 系统 的逻
14、辑 模 型。这一 环节的主要风险是：第一，需求本身不合理，对信息系统提 出的功 能、性能、安全 性等 方面 的要求 不 符合 业务处 理和 控 制的需要。第二，技术上不可行，经济上成本效益倒挂，或与 国家有关法规制度存在冲突。第三，需求文档表述不准确、不完整，未能真实全面地表达企业需求，存在表述缺失、表 述 不一致甚 至表 述错 误等 问题。主要 控制 措施：第一，信息 系统 归 口管理 部 门应 当组 织 企 业 内部各有 关部 门提 出开发 需求，加强 系统分 析人 员和 有 关部门的管理人员、业务人员的交流，经综合分析提炼后形 成合理的需求。第二，编制表述清晰、表达准确的需求文档。需求文
15、档是业务人员和技术人员共 同理解信息系统的桥梁，必须准确表述系统建设的目标、功能和要求。企业应当采用 标 准建 模 语 言(例 如 UM L)，综 合 运 用多 种建 模 工 具和 表 现 手段，参 照(GB T 8 5 6 7 1 9 8 8 计算 机 软件产 品开发 文件 编 制指南 等相关标准，提高系统需求说明书的编写质量。第 三，企业应 当建 立健 全需 求评审 和 需求变 更 控制 流程。依 据 需求文档进行设计(含 需求变更设 计)前，应 当评审其可行 性，由需求提出人和编制人签字确认，并经业务部门与信息 系统归 口管 理部 门负责 人审 批。3 系统设 计环 节 系 统设 计 是
16、 根据 系 统 需 求分 析 阶段 所 确定 的 目标系 统 逻辑模型，设计出一个能在企业特定的计算机和网络环境 中 实现 的方 案，即建 立信息 系统 的物理 模 型。系 统设 计包 括总 体设计和详细设计。总体设计的主要任务是：第一，设计系 统 的模块 结 构，合 理 划 分 子系统 边 界和 接 口。第 二，选 择系 统实现 的技 术路 线，确 定系 统 的技术架 构，明确系统 重要 组 件 的内容 和 行为特 征，以及组 件之 间、组件 与环 境之 间的接 口关系。第三，数据库设计，包括主要的数据库表结构设计、存储 设 计、数 据权 限和加 密设 计等。第 四，设 计系统 的网络 拓扑
17、结构、系统部署方式等。详细设计的主要任务包括：程 序 说 明书编制、数 据 编码 规 范设 计、输入 输 出界 面设 计等 内 容。系统设计环节的主要风险是：第一，设计方案不能完全 满 足 用户需 求，不 能实 现需 求 文 档 规定 的 目标。第二，设 计 方案 未 能 有效 控 制 建 设开发 成 本，不 能保 证建 设 质 量 和 进 度。第三，设计方案不全面，导致后续变更频繁。第四，设计 擦na ce C讲COU n t 毋 鸯霹 r l n A l 州 0 蜘 方 案没有 考虑信息 系统 建成 后对企业 内部控 制的影 响，导 致 系 统运 行后衍生 新 的风 险。主 要 控制措 施
18、：第 一，系统设 计 负责 部 门应当就 总体 设 计方 案与业 务部 门进行 沟通 和讨论，说 明方案 对用户需求 的 覆盖情况。存在备选方案的，应当详细说明各方案在成本、建 设时 间和用户需 求 响应上 的差异。信 息系统 归 口管理 部 门 和业务部门应当对选定的设计方案予以书面确认。第二，企 业 应参照 GB T 8 5 6 7 1 9 8 8 计 算机 软件产品开发文件编 制 指 南等相 关 国家标准 和行 业标 准，提高 系统设 计 说 明书 的 编 写质 量。第三，企业 应 建立 设计 评 审制度 和设 计变 更控 制 流程。第四，在系统设计时应当充分考虑信息系统建成后的 控制环
19、境，将生产经营管理业务流程、关键控制点和处理规 程嵌入系统程序，实现手工环境下难以实现的控制功能，例 如：对于某一财务软件，当输入支出凭证时，可以让计算机 自动检查银行存款余额，防止透支。第五，应充分考虑信息 系统环境下的新的控制风险，比如，要通过信息系统中的权 限 管理 功 能 控 制用户 的操 作 权 限，避 免 将不 相 容职 务 的处 理权限授予同一用户。第六，应当针对不同的数据输入方式，强化对进入系统数据的检查和校验功能。比如凭证的自动平 衡校对。第七，系统设计时应当考虑在信息系统中设置操作 日志 功能，确 保操 作 的可审 计性。对异 常 的或 者违 背 内部 控 制要 求 的交
20、易和数 据，应 当设 计 由系 统 自动 报告 并设置 跟踪 处理机制。第八，预留必要的后台操作通道，对于必需的后 台操作，应当加强管理，建立规范的操作流程，确保足够的 日志记录，保证后台操作的可监控性。4 编程和 测试 环节 编程阶段是将详细设计方案转换成某种计算机编程语 言的过程。编程阶段完成之后，要进行测试，测试主要有以 下 目的：一是 发现软件开 发过 程中的错 误，分析 错 误的性 质，确定错误的位置并予以纠正。二是通过某些系统测试，了解 系 统 的响应 时 间、事 务 处理 吞 吐量、载荷 能力、失 效恢 复 能 力以及系统实用性等指标，以便对整个系统做出综合评价。测试 环 节在系
21、 统开发 中具 有举足轻 重 的地位。这 一 环 节 的主 要风 险 是：第一，编 程 结 果与 设 计不 符。第 二，各程 序员 编程 风 格 差异 大，程 序可 读性 差，导 致后 期 维护困难，维护成本高。第三，缺乏有效的程序版本控制，导 致 重 复修 改或 修 改不一 致 等 问题。第 四，测 试不 充分。单 个 模块正常运行但多个模块集成运行时出错，开发环境下测试 正常而生产环境下运行出错，开发人员自测正常而业务部门 用户使用时出错，导致系统上线后可能出现严重问题。主要 控制 措施：第一，项 目组 应 建立 并执 行严格 的代码 复查评审制度。第二，项目组应建立并执行统一的编程规范，
22、在标识符命名、程序注释等方面统一风格。第三，应使用版 2 0 1 1 0 6 财务与会计59 万方数据 扬 奇翟 本控制 软件系统(例 如 C V S)，保证所 有开发人 员基 于相同的 组件环境开展项目工作，协调开发人员对程序的修改。第四，应区分单元测试、组装测试(集成测试)、系统测试、验收测 试等不同测试类型，建立严格的测试工作流程，提高最终用 户在测试工作中的参与程度，改进测试用例的编写质量，加 强测试分析，尽量采用自动测试工具提高测试工作的质量和 效率。具备条件的企业，应 当组织独立于开发建设项目组的 专业机构对开发完成的信息系统进行验收 测试，确保在功 能、性能、控制要求和安全性等方
23、面符合开发需求。5 上线环 节 系统上线是将开发出的系统(可执行的程序和关联的数 据)部署到实际运行的计算机环境中，使信息系统按照既定 的用户需求来运转，切实发挥信息系统的作用。这一环节的 主要风险是：第一，缺乏完整可行的上线计划，导致系统上 线混乱无序。第二，人员培训不足，不能正确使用系统，导致 业务处理错误，或者未能充分利用系统功能，导致开发成本 浪费。第三，初始数据准备设置不合格，导致新旧系统数据 不一致、业务处理错误。主要控制措施：第一，企业应当制定信息系统上线计划，并经归口管理部门和用户部门审核批准。上线计划一般包括 人员培训、数据准备、进度安排、应急预案等内容。第二，系 统上线涉及
24、新旧系统切换的，企业应当在上线计划中明确应 急预案，保证新系统失效 时能够顺利切换回旧系统。第三，系统上线涉及数据迁移的，企业应当制定详细的数据迁移计 划，并对迁移结果进行测试。用户部门应当参与数据迁移过 程，对迁移前后的数据予以书面确认。(四)其他开发方式的关键控制点和主要控制措施 在业 务外 包、外购调 试方 式下，企 业对系 统设计、编程、测试环节的参与程度明显低于自行开发方式，因此可以适当 简化相应的风险控制措施，但同时因开发方式的差异会产生 一些新的风险，需要采取有针对性的控制措施。1 业务外包方式的关键控制点和主要控制措施(1)选择外包服务商。这一环节的主要风险是：由于企 业与外包
25、服务商之间本质上是一种委托 代理关系，合作 双方的信息不对称容易诱发道德风险，外包服务商可能会实 施 损害 企 业利 益 的 自利 行 为，如偷工 减料、放 松 管理、信息 泄密 等。主要控制措施：第一，企业在选择外包服务商时要充分 考虑服务商 的市 场信誉、资质条 件、财务状况、服 务能力、对 本企业业务的熟悉程度、既往承包服务成功案例等因素，对 外包服务商进行严格筛选。第二，企业可以借助外包业界基 准来判断外包服务商的综合实力。第三，企业要严格外包服 务审批及管控流程，对信息系统外包业务，原则上应采用公 60财务与会计 2 0 1 1 0 8 开招标等形式选择外包服务商，并实行集体决策审批
26、。(2)签订外包合同。这一环节的主要风险是：由于合同 条款不准确、不完善，可能导致企业的正当权益无法得到有 效保障。主要控制措施：第一，企业在与外包服务商签约之前，应针对外包可能出现的各种风险损失，恰当拟定合同条款，对涉及的工作目标、合作范畴、责任划分、所有权归属、付款 方式、违约赔偿及合约期限等问题做出详细说明，并由法律 部门或法律顾问审查把关。第二，开发过程中涉及商业秘密、敏感数据的，企业应当与外包服务商签订详细 保密协定，以保证数据安全。第三，在合同中约定付款事宜时，应当选择 分期付款方式，尾款应当在系统运行一段时间并经评估验 收后再支付。第四，应在合同条款中明确要求外包服务商保 持专业
27、技术服务团队的稳定性。(3)持续跟踪评价外包服务商的服务过程。这一环节的 主要风险是：企业缺乏外包服务跟踪评价机制或跟踪评价 不到位，可能导致外包服务质量水平不能满足企业信息系统 开发需求。主要控制措施：第一，企业应当规范外包服务评价工作 流程，明确相关部门的职责权限，建立外包服务质量考核评 价指标体系，定期对外包服务商进行考评，并公布服务周期 的评估结果，实现外包服务水平的跟踪评价。第二，必要时，可以引入监理机制，降低外包服务风险。2 外购调试方式的关键控制点和主要控制措施 在外购调试方式下，一方面，企业面临与在委托开发方 式下类似的问题，即企业要选择软件产品的供应商和服务供 应商、签订合约
28、、跟踪服务质量，因此，企业可采用与委托开 发方式类似的控制措施；另一方面，外购调试方式也有其特 殊之处，企业需要有针对性地强化某些控制措施。(1)软件产品选型和供应商选择。在外购调试方式下，软件供应商的选择和软件产品的选型是密切相关的。这一 环节的主要风险是：第一，软件产品选型不当，产品在功能、性能、易用性等方面无法满足企业需求。第二，软件供应商 选择不当，产品的支持服务能力不足，产品的后续升级缺乏 保 障。主要控制措施：第一，企业应明确自身需求，对比分析 市场上的成熟软件产品，合理选择软件产品的模块组合和版 本。第 二，企业在 软件产 品选 型时应广 泛听取行业 专家的意 见。第三，企业在选
29、择软件产品和服务供应商时，不仅要评 价其现有产品的功能、性能，还要考察其服务支持能力和后 续产品的升级能力。(2)服务提供商选择。大型 企业管理信息系统(例如 ER P系统)的外购实施，不仅需要选 择合 适 的软件 供应 商和 万方数据软件产品，也需要选择合适的咨询公司等服务提供商，指导 企业 将通用 软件产 品与 本企 业 的实际情 况有 机 结合。这一环 节的主要风险是：服务提供商选择不当，削弱了外购软件产 品的功 能发挥，导致无 法有效 满足 用户需求。主要控制措施：在选择服务提供商时，不仅要考核其对 软件产品的熟悉、理解程度，也要考核其是否深刻理解企业 所处行 业 的特 点、是否 理
30、解企 业 的个 性化 需求、是否有 过相 同或 相近 的成 功案例。三、信息系统的运行与维护 信息系统的运行与维护主要包含三方面的内容：日常运 行维 护、系统 变更 和安 全管 理。(一)日常运 行维 护 的关键 控制点和 主要 控制措 施 日常 运行 维 护 的 目标 是保 证系 统 正常 运转，主 要工作 内 容包括系统的日常操作、系统的日常巡检和维修、系统运行 状 态监 控、异 常事 件的报 告和 处理 等。这一 环 节的主要 风 险 是：第一，没有建立规范的信息系统日常运行管理规范，计 算机软硬件的内在隐患易于爆发，可能导致企业信息系统出 错。第二，没有执行例行检查，导致一些人为恶意攻
31、击长期 隐藏在系统中，可能造成严重损失。第三，企业信息系统数 据 未 能定 期 备份，可能 导致 损坏后 无 法恢 复，从 而造成 重 大 损失。主要 控制措 施：第一，企 业应 制定信息 系统 使用操 作程 序、信息管理制度以及各模块子系统的具体操作规范，及时 跟踪、发现和解决系统运行中存在的问题，确保信息系统按 照规 定 的程 序、制度 和操 作 规范 持 续 稳定 运 行。第二，切 实 做好系统运行记录，尤其是对于系统运行不正常或无法运 行的情况，应将异常现象、发生时间和可能的原因作出详细 记录。第三，企业要重视系统运行的日常维护，在硬件方面，日常维护主要包括各种设备的保养与安全管理、故
32、 障的诊 断与 排 除、易耗 品的更换 与安 装等，这 些工作应 由专人 负责。第四，配备专业人员负责处理信息系统运行中的突发事件，必要时应会同系统开发人员或软硬件供应商共同解决。(二)系统变更的关键控制点和主要控制措施 系 统变 更主 要 包 括 硬 件 的升 级 扩 容、软件 的修 改与 升 级等。系统变更是为了更好地满足企业需求，但 同时应加强 对变 更 申请、变更 成 本与 进度 的控 制。这一 环 节的主 要风 险 是：第一，企业没有建立严格的变更申请、审批、执行、测试 流 程，导 致系 统 随意 变更。第二，系 统变 更 后 的效 果达 不 到 预期 目标。主要控制措施：第一，企业
33、应当建立标准流程来实施和 记录系统变更，保证变更过程得到适当的授权与管理层的批 准，并 对变更 进 行测试。信息 系统 变更 应 当严 格遵 照管 理 流 擦 Ce A l i井CCO Un t 两 命霹 rIna n Inq 蝴 i 程进行操作。信息系统操作人员不得擅 自进行软件的删除、修 改等 操 作；不得 擅 自升 级、改变软件 版本；不得 擅 自改变 软件系统 的环境配置。第二，系统变更程序(如软件升级)需 要遵 循与 新系统开 发项 目同样的验 证 和测试 程序，必要 时 还应当进行额外测试。第三，企业应加强紧急变更的控制管 理。第四，企业应加强对将变更移植到生产环境中的控制管 理，
34、包 括系统访 问授权 控制、数 据转换 控制、用户培 训等。(三)安 全管 理 的关键 控制点和 主要控 制措施 安全管理的目标是保 障信息系统安全，所谓信息系统安 全是指信息系统包含的所有硬件、软件和数据受到保护，不 因偶然 和 恶意 的原 因而 遭 到破坏、更改 和泄 露，信息系 统能 够 连 续正常 运 行。这一 环节 的主 要风 险是：第一，硬件设 备 分 布物 理 范 围广，设 备种 类 繁 多，安全 管理 难 度 大，可能 导 致 设 备生 命周 期短。第二，业 务 部 门信 息安 全 意识 薄 弱，对 系统和信息安全缺乏有效的监管手段。少数员工可能恶意或 非恶意滥用系统资源，造成
35、系统运行效率降低。第三，对系 统程序的缺陷或漏洞安全防护不够，导致遭受黑客攻击，造 成信息泄露。第四，对各种计算机病毒防范清理不力，导致 系统运行不稳定甚至瘫痪。第五，缺乏对信息系统操作人员 的严密监控，可能导致舞弊和利用计算机犯罪。主要 控制措 施是：第一，建立信息系统相关资产的管理制度，保证电子设 备 的安 全。硬 件 和 网络 设备 不仅 是 信 息 系统 运 行 的基 础 载 体，也是价值昂贵的固定资产。企业应在健全设备管理制度 的基础上，建立专 门的电子设备管控制度，对于关键信息设 备(例如银行 的核心 数据 库服务 器)，未 经授权，不 得接 触。第二，企业应成立专门的信息系统安全
36、管理机构，由企 业主要领导负总责，对企业 的信息安全作出总体规划和全方 位严格管理，具体实施工作可由企业的信息主管部门负责。企业应强化全体员工的安全保密意识，特别要对重要岗位员 工进行信息系统安全保密培训，并签署安全保密协议。企业 应当建立信息系统安全保密制度和泄密责任追究制度。第三，企业应当按照国家相关法律法规 以及信息安全技 术标准，制定信息系统安全实施细则。根据业务性质、重要 程度、涉密情况等确定信息系统的安全等级，建立不同等级 信息的授权使用制度，采用相应技术手段保证信息系统运行 安全有序。对 于信息 系统 的使用者 和不 同安全 等级信 息之 间 的授权关系，应在系统开发建设 阶段就
37、形成方案并加以设 计，在 软件系 统 中预 留这种 对应 关系 的设 置功 能，以便根 据 使用者岗位职务的变迁进行调整。第 四，企 业 应 当有 效 利 用 I T技 术 手段，对硬 件 配 置 调 整、软件参 数修改 严加控 制。例如，企业可利用操 作系统、数 据库系统、应用系统提供 的安全机制，设置安全参数，保证 2 0 1 1 0 6 财务与会计61 万方数据万方数据企业内部控制应用指引第18号信息系统解读 财政部会计企业内部控制应用指引第18号信息系统解读 财政部会计司司作者：无作者单位：财政部会计司刊名：财务与会计英文刊名：Finance and Accounting年，卷(期)：2011(6)本文链接：http:/