企业内部控制基本规范及三个指引——第十八章信息系统

第十八章信息系统

第十八章信息系统

信息系统，是指企业利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息化管理平台。

企业利用信息系统实施内部控制至少应当关注下列风险：

1.信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。

2.系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制。

3.系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。

第一节关键内部控制

一、岗位分工与授权审批

（一）企业应当建立计算机信息系统岗位责任制。

计算机信息系统岗位一般包括：

1.系统分析：分析用户的信息需求，并据此制定设计或修改程序的方案。

2.编程：编写计算机程序来执行系统分析岗位的设计或修改方案。

3.测试：设计测试方案，对计算机程序是否满足设计或修改方案进行测试，通过反馈给编程岗位以修改程序并最终满足方案。

4.程序管理：负责保障并监控应用程序正常运行。

5.数据库管理：对信息系统中的数据进行存储、处理、管理，维护组织数据资源。

6.数据控制：负责维护计算机路径代码的注册，确保原始数据经过正确授权，监控信息系统工作流程，协调输入和输出，将输入的错误数据反馈到输入部门并跟踪监控其纠正过程，将输出信息分发给经过授权的用户。

7.终端操作：终端用户负责记录交易内容，授权处理数据，并利用系统输出的结果。

系统开发和变更过程中不相容岗位（或职责）一般应包括：开发（或变更）立项、审批、编程、测试；系统访问过程中不相容岗位（或职责）一般应包括：申请、审批、操作、监控，即这几个职位中是不能够由同一人兼任的。

（二）企业计算机信息系统战略规划、重要信息系统政策等重大事项应当经由董事会（或者由企业章程规定的经理、厂长办公会等类似的决策、治理机构，以下简称董事会）审批通过后，方可实施。

信息系统战略规划应当与企业业务目标保持一致。信息系统使用部门应该参与信息系统战略规划、重要信息系统政策等的制定。

（三）企业应当指定专门机构对信息系统建设实施归口管理，明确相关单位的职责权限，建立有效工作机制。企业可委托专业机构从事信息系统的开发、运行和维护工作。企业负责人对信息系统建设工作负责。

财会部门负责信息系统中各项业务账务处理的准确性和及时性、会计电算化制度的制定、财务系统操作规定等；生产、销售、仓储及其他部门（下称用户部门）应当根据本部门

在信息系统中的职能定位，参与信息系统建设，按照归口管理部门制定的管理标准、规范、规章来操作和运用信息系统；企业管理层应该明确定义系统归口管理部门和用户部门（含财会部门）在保证系统正常安全运行过程中各自承担的职责，制定部门之间的职责分工表。

二、信息系统开发、运行与维护控制

（一）信息系统的开发控制

企业信息系统归口管理部门应当组织内部各单位提出开发需求和关键控制点，规范开发流程，明确系统设计、编程、安装调试、验收、上线等全过程的管理要求，严格按照建设方案、开发流程和相关要求组织开发工作。

1.企业计算机信息系统开发应当遵循以下原则：

（1）因地制宜原则：企业应当根据行业特点、企业规模、管理理念、组织结构、核算方法等因素设计适合本单位的计算机信息系统。

（2）成本效益原则：计算机信息系统的建设应当能起到降低成本、纠正偏差的作用，根据成本效益原则，企业可以选择对重要领域中关键因素进行信息系统改造。

（3）理念与技术并重原则：计算机信息系统建设应当将信息系统技术与信息系统管理理念整合，企业应当倡导全体员工积极参与信息系统建设，正确理解和使用信息系统，提高信息系统运作效率。

2.信息系统开发必须经过正式授权。具体程序包括:用户部门提出需求；归口管理部门审核；企业负责人授权批准；系统分析人员设计方案；程序员编写代码；测试员进行测试；系统最终上线；系统维护等。

3.企业应当成立项目管理小组，负责信息系统的开发，对项目整个过程实施监控；对于外包合作开发的项目，企业应当加强对外包第三方的监控。外购调试或外包合作开发等需要进行招投标的信息系统开发项目，企业应当保证招投标过程公平、公正、公开。

企业开发信息系统，应当将生产经营管理业务流程、关键控制点和处理规则嵌入系统程序，实现手工环境下难以实现的控制功能。

企业在系统开发过程中，应当按照不同业务的控制要求，通过信息系统中的权限管理功能控制用户的操作权限，避免将不相容职责的处理权限授予同一用户。

企业应当针对不同数据的输入方式，考虑对进入系统数据的检查和校验功能。对于必需的后台操作，应当加强管理，建立规范的流程制度，对操作情况进行监控或者审计。

企业应当在信息系统中设置操作日志功能，确保操作的可审计性。对异常的或者违背内部控制要求的交易和数据，应当设计由系统自动报告并设置跟踪处理机制。

（二）信息系统的运行与维护控制

1.运行与维护

信息系统在投入使用前应当至少完成整体测试和用户验收测试，以确保系统的正常运转。信息系统原设计功能未能正常实现时，企业应当指定相关人员负责详细记录，并及时报告归口管理部门。归口管理部门负责系统程序修正和软件参数调整，以实现设计功能。

信息系统上线后，发生的功能变更，应当参照系统开发的审批和上线程序执行。企业应当积极倡导采用预防性措施，确保计算机信息系统的持续运行。

企业应当加强信息系统运行与维护的管理，制定信息系统工作程序、信息管理制度以及各模块子系统的具体操作规范，及时跟踪、发现和解决系统运行中存在的问题，确保信息系统按照规定的程序、制度和操作规范持续稳定运行。

2.安全管理

企业应当根据业务性质、重要性程度、涉密情况等确定信息系统的安全等级，建立不同等级信息的授权使用制度，采用相应技术手段保证信息系统运行安全有序。

企业应当采取安装安全软件等措施防范信息系统受到病毒等恶意软件的感染和破坏。

企业应当建立用户管理制度，加强对重要业务系统的访问权限管理，定期审阅系统账号，避免授权不当或存在非授权账号，禁止不相容职务用户账号的交叉操作。

企业应当综合利用防火墙、路由器等网络设备，漏洞扫描、入侵检测等软件技术以及远程访问安全策略等手段，加强网络安全，防范来自网络的攻击和非法侵入。

企业对于通过网络传输的涉密或关键数据，应当采取加密措施，确保信息传递的保密性、准确性和完整性。

企业应当建立系统数据定期备份制度，明确备份范围、频度、方法、责任人、存放地点、有效性检查等内容。

3.硬件管理

企业应当加强服务器等关键信息设备的管理，建立良好的物理环境，指定专人负责检查，及时处理异常情况。未经授权，任何人不得接触关键信息设备。

企业应当制定计算机信息系统硬件管理制度，对设备的新增、报废、流转等情况建档登记，统一管理。

企业应当完善计算机信息系统硬件设备异常状况处理制度。一经发生异常状况（如冒烟、打火、异常声响等），应当立即通知有关部门，并按处理制度进行处理。

三、会计信息化及其控制

会计信息化是指利用计算机信息技术代替人工进行财务信息处理，以及替代部分由人工完成的对会计信息的分析和判断的过程。

企业应当建立会计信息系统硬件、软件和数据管理制度，重点关注下列风险和控制点：

1.对正在使用的会计核算软件进行修改、对通用会计软件进行升级和对计算机硬件设备进行更换时，企业应有规范的审批流程，并采取替代性措施确保会计数据的连续性。

2.企业应当健全计算机硬件和软件出现故障时进行排除的管理措施，保证会计数据的完整性。

3.确保会计数据安全保密，防止对数据的非法修改和删除。

企业应当建立信息化会计档案管理制度。

信息化会计档案是指存储在磁性介质或光盘介质的会计数据和计算机打印出来的书面等形式的会计数据，包括记账凭证、会计账簿、财务报表（包括报表格式和计算公式）等数据。

企业应当指定专人负责信息化会计档案的管理，做好防消磁、防火、防潮和防尘等工作；对于存储介质保存的会计档案，应当定期检查，防止由于介质损坏而使会计档案丢失。