19.1(手册)公司信息系统内控手册(信息部)
信息系统管理业务内部控制文件
信息系统管理业务内部控制文件信息系统管理业务内部控制文件一、引言信息系统管理是企业管理中至关重要的一环，它负责确保企业的信息系统安全、高效运行。
为了确保企业信息系统管理的规范和内部控制的有效性，制定一份业务内部控制文件具有重要意义。
本文旨在为企业制定一份有效的信息系统管理业务内部控制文件，以促使企业信息系统管理工作更加科学、规范。
二、目标和原则1. 目标：制定本内部控制文件的目标是确保企业信息系统管理工作的安全性、规范性和高效性。
通过内部控制的建立和完善，确保信息系统运行稳定、数据安全和合规性，提升企业的竞争力和创新能力。
2. 原则：本内部控制文件遵循以下原则：（1）合规性：严格遵守国家相关法律法规和政策，确保信息系统管理工作的合规性。
（2）风险导向：通过风险评估和把控，有效预防和控制信息系统管理中的风险。
（3）科学性：基于信息系统管理的理论、方法和经验，制定科学、系统的管理措施。
（4）透明度：确保信息系统管理工作的透明度，提供充分的信息和报告。
（5）连续性：对信息系统管理工作建立持续监控和改进机制，保证工作的连续性和稳定性。
三、内部控制范围和内容1. 范围：本内部控制文件适用于企业所有的信息系统管理活动，包括信息系统规划、开发、运维、安全管理等。
2. 内容：本内部控制文件包括以下内容：（1）信息系统规划相关控制：- 准确进行信息系统规划，并制定明确的目标和计划。
- 确保信息系统规划与企业整体战略和业务目标相适应。
（2）信息系统开发相关控制：- 严格执行信息系统开发流程，包括需求分析、系统设计、编码和测试等环节。
- 确保开发过程中的各项活动符合标准和规范，并进行适当的验收和审查。
（3）信息系统运维相关控制：- 建立健全的信息系统运维管理制度和标准操作规程。
- 确保信息系统运行稳定、性能优良，并及时解决出现的问题。
（4）信息系统安全管理相关控制：- 制定完善的信息系统安全策略和规则。
- 对信息系统进行风险评估和安全检查，加强对潜在风险的防范和控制。
内控系统操作手册
内控系统操作手册
内控系统操作手册是指企业内部控制系统的操作指南，主要用于指导企业员工在日常工作中如何正确、规范地运用内控系统进行工作。
操作手册的编制应根据企业的具体情况和内控系统的特点进行，一般包括以下内容：
1. 内控系统的基本概述：介绍内控系统的定义、目的、原则和
组成部分等内容，帮助员工对内控系统有一个整体的了解。
2. 内控流程和操作步骤：详细介绍内控系统的具体操作流程和
步骤，包括内控目标的设定、风险评估和控制措施的制定、内控实施和监控等环节。
3. 内控工具和方法：介绍企业常用的内控工具和方法，如控制
矩阵、风险评估表、内部审计等，帮助员工更好地运用这些工具和方法进行内控工作。
4. 内控责任和权限：明确各级员工在内控系统中的责任和权限，包括内控部门、管理层和员工三个层级的职责分工，确保内控工作能够有序进行。
5. 内控操作的注意事项：指导员工在操作内控系统时需要注意
的事项，如信息的保密性、数据的准确性、操作的合规性等，以确保内控工作的有效性和安全性。
6. 内控系统的维护和更新：介绍内控系统的维护和更新方法，
包括系统的备份和恢复、数据的清理和归档、系统的升级和优化等，以确保内控系统的正常运行和持续改进。
编制内控系统操作手册的目的是为了规范企业内部控制工作，提高内控工作的效率和准确性，降低内部风险和损失。
企业应根据自身情况编制相应的操作手册，并定期进行更新和修订，以适应企业发展和内控环境变化的需要。
信息系统内部控制
信息系统内部控制在当今数字化的时代，信息系统已经成为企业和组织运营的核心基础设施。
从日常的业务流程管理到关键的决策支持，信息系统都发挥着至关重要的作用。
然而，伴随着信息系统的广泛应用，各种风险也随之而来。
为了保障信息系统的安全、可靠和有效运行，信息系统内部控制就显得尤为重要。
信息系统内部控制是指为了保证信息系统的安全性、完整性、准确性和可用性，而采取的一系列管理和技术措施。
它涵盖了信息系统的规划、开发、实施、运行和维护等各个阶段，旨在预防和发现潜在的风险和问题，确保信息系统能够为组织的目标实现提供有力的支持。
首先，让我们来了解一下信息系统内部控制的目标。
其主要目标包括：保障信息系统的安全性，防止未经授权的访问、篡改和破坏；确保信息的完整性和准确性，避免数据丢失、错误和重复；提高信息系统的可用性，保证系统能够在需要的时候正常运行；促进合规性，使信息系统的运作符合法律法规和内部政策的要求；以及实现业务目标，通过有效的信息系统支持业务流程的高效运作，提高组织的竞争力。
为了实现这些目标，信息系统内部控制需要从多个方面入手。
在组织架构方面，要明确信息系统相关的职责和权限，建立有效的沟通和协调机制。
例如，设立专门的信息安全部门，负责制定和执行信息安全策略，同时与其他部门密切合作，共同保障信息系统的安全。
在人员管理方面，要对信息系统的用户进行培训和教育，提高他们的安全意识和操作技能。
比如，教导员工如何识别网络钓鱼邮件，如何设置强密码等。
同时，对信息系统的关键岗位人员进行严格的背景审查，确保其可靠性。
在访问控制方面，要建立完善的身份认证和授权机制。
只有经过授权的人员才能访问特定的信息资源，并且其操作权限要根据工作需要进行严格的限制。
比如，财务人员只能访问和操作与财务相关的信息，而不能越权访问其他部门的敏感数据。
在数据管理方面，要建立数据备份和恢复机制，定期对数据进行备份，并测试备份数据的可恢复性。
同时，要加强数据的质量管理，确保数据的准确性和一致性。
信息部管理手册
信息部部门手册为加强信息管理，加快公司信息化建设步伐，提高信息资源的运作成效，结合公司具体情况，制定本手册。
手册分为两大部分，1、网络管理手册2、信息管理手册（一）网络管理手册一、网络设备的监管维护1、交换机及服务器等设备，负责人要加强责任心，认真管理。
监控网络运行过程中设备的工作状态；2、不得随意更改机房的设备位置，不得随意变更电源、网线的连接，需临时更改的必须做好标识并及时复原。
显示器设备不工作的时候应关闭，不得处于待机状态。
3、注意防火、防盗。
机房要做到人走关门，原则上不允许外人随意进入机房，有事进入时须有本公司人员陪同。
4、归类存档设备相关资料和驱动光盘，保持随机资料的完整性。
填写所属设备清单，详细记录设备配置，对故障设备及时标注设备状态并尽早联系维修。
工作结束后应随手整理好各类物品，保持整齐；保持机房内清洁卫生，严禁在机房内随地吐痰和乱丢弃物，严禁在机房内吸烟、喝水，进食。
二、网站的维护及信息安全1、完成对主页、平台或相关模块的功能的增加或修改；2、做好以下服务器系统软件运行和日常维护，3、操作系统软件和应用软件的安装、设置、使用、更改、升级、删除等操作；4、磁盘碎片整理，防止过多的碎片导致信息丢失和降低系统访问速度；5、病毒的检测与清除，防止病毒的传播和对数据及磁盘分区的破坏；6、数据备份与灾难恢复，对重要数据进行定期备份或增量备份；7、密码的管理与使用，设立有足够复杂度的密码，增强系统的安全性；8、建立网站备份制度，完善数据灾难恢复机制，对重要的数据或程序定期备份，防止故障或病毒对数据的破坏三、构建安全的网络环境，做好安全防护对网站及信息的安全防护的第一步是建立较为安全的网络环境。
包括：1、对互联网接入点要安装硬件或软件防火墙产品，设置严格的防护策略，提供网络边界防护；2、数据库服务器应只允许被相应的前台应用程序服务器访问；3、服务器上只运行必要的服务软件，禁止在服务器上使用无关软件，特别是可能含有木马病毒的软件。
公司内部信息系统管理手册
（7）定期进行数据备份，且对数据存储设备做定期的维护，保养；
（8）定期升级杀毒软件，保证系统的稳定性和安全性；
（9）规范信息系统保密管理流程，提高公司信息化管控程度，保证公司信息系统的可靠运行；
（10）加强公司信息数据的管理模式，提高员工的信息安全保密意识。
技术中心
无
低
《计算机管理办法》（参照XX文件）
《计算机软件和数据管理办法》（参照XX文件）
《信息化建设考核管理办法》（参照XX文件）
D4
数据未能定期备份:定期备份数据，且对数据备份的软硬件做定期的维护
技术中心
无
中
《《计算机管理办法》（参照XX文件）
《计算机软件和数据管理办法》（参照XX文件）
《信息化建设考核管理办法》（参照XX文件）
1.2信息系统管理主要风险
（1）信息系统实现目标未与企业业务目标保持一致，可能导致开发的信息系统没有实际利用价值；
（2）信息系统无实施、开发项目计划，导致项目实施、开发失控；
（3）信息系统访问安全措施不当，可能导致商业秘密泄露；
（4）信息系统开发与使用违反国家法律、法规，企业可能遭受外部处罚、经济损失和信誉损失；
6、项目小组负责信息系统项目的具体组织、实施和协调工作，并制定项目具体实施计划和进度分解实施方案。
7、形成《项目设计方案》、《项目开发文档》、《项目模块测试报告》、《项目集成测试报告》等阶段性文档。
8、项目试运行，时间不少于二至三个周期。
技术中心、项目小组
业务部门
中
《计算机管理办法》（参照XX文件）
《计算机软件和数据管理办法》（参照XX文件）
《企业内部控制流程手册》-信息系统
第1章企业内部控制流程—-信息系统1．1 信息系统与审批控制1．1．1 信息系统战略规划流程1．信息系统战略规划流程与风险控制图D1D2D32．信息系统战略规划流程控制表开始信息系统战略规划如果未与企业业务目标保持一致，可能导致开发的信息系统没有实际利用价值如果信息系统战略规划未经适当审核或超越授权审批，可能会产生重大差错或舞弊、欺诈行为，从而使企业遭受损失如果信息系统战略规划方法不适合企业的实际情况，可能导致信息系统无法顺利完成下达企业参与审提出信息系统进行可行性分析拟定项目选择信息系统起草信息系统参与对方案进行进行仿真撰写信息系统组织开发结束进行开发1234561．1．2 重要信息系统政策制定流程1．重要信息系统政策制定流程与风险控制图D1D2开始结束重要信息系统政策制定申请如果未经审批或越权审批，可能导致企业经济损失如果职责分工、权限范围和审批程序不规范、机构设置和人员配备不合理、重要信息系统制定未能按照审批程序进行编制，可能会产生重大差错或舞弊、欺诈行为，从使企业遭受损失提出重要信息系统政策制定申请1通过 未通过审批组织编制重要起草《重要 信息系统政策》召开重要信息系统参与整理、汇总各部门审批234下达正式《重要信息系统政策》资料归档2．重要信息系统政策制定流程控制表1．2 系统开发与维护控制1．2．1 信息系统自行开发流程1．信息系统自行开发流程与风险控制图D1D2D32．信息系统自行开发流程控制表开始如果信息系统开发与使用未经适当审核或超越授权审批，可能会产生重大差错或舞弊、欺诈行为，从而使企业遭受损失如果信息系统访问安全措施不当，可能导致商业秘密泄露如果信息系统开发与使用违反国家法律、法规，企业可能遭受外部处罚、经济损失和信誉损失提出信息系统开发申请审结束1审受理该项申请分析需求 编制《系统开发任务书》32审审设计程序方案 编写程序代码进行系统测试安装、调试系统使用授权 开始使用7456891．2．2 信息系统开发招标流程1．信息系统开发招标流程与风险控制图D1D2D3开始结束如果信息系统开发招标违反国家法律、法规，企业可能遭受外部处罚、经济损失和信誉损失如果信息系统开发招标、评标不规范，可能导致徇私舞弊的行为或商业秘密泄露，从而造成企业经济损失如果信息系统开发招标过程违反法律、法规和企业的规章制度，企业可能会受到有关部门的处罚，从而造成资产损失审索取资格审查文件资料归档确定采用招标方式选择外包合作商参与评标发布招标广告2填报资格审查文件进行资格审查发售招标书34接收标书发送投标书组织评标选取中标者审发布中标通知接到中标通知书谈判并签订合同签订合同561782．信息系统开发招标流程控制表。
内控手册简介
©2008 德勤 版权所有
9
内控手册简介
－－常见的内控与其他文件的结合方式
• 情况二：层次清晰，化内控于“无形”
• 多见于跨国公司及其在华子公司的做法
• 除了在治理类或技术类等文件外，公司制定两个层次的文件：第1层，政策
(Policy)；第2层，操作程序/手册(Operation Procedure/Manual)；
RE-1B1/RE1B2 处理销售合同
销售人员填写客户 信用额度申请表
客户信用额度申请 表
RE-1C 客户信用控制
通知客户已审批的 信用额度
一份给财务部供应 收账款控制
总经理
2 复核并批准投标
4 根据公司审批权限 审批
行政部
RE-4 维护客户主文 档
存档《客户调查 表》和《信用额度 申请表》
控制活动： RE-1A-1根据公司政策要求，《客户调查表》须包括客户的背景资料。 RE-1A-2销售经理审核《客户调查表》，并在《客户调查表》上签署意见，决定是否参加客户招标。 RE-1A-3北京公司合规部做有关客户调查，查看是否该客户在公司禁止合作的公司范围内，并书面回复工厂是否批准参加投标。 RE-1A-4总经理按照公司审批权限书面批准《客户信用额度申请单》。
©2008 德勤 版权所有
8
内控手册简介
－－常见的内控与其他文件的结合方式
• 情况一：各成体系，定期协调
• 多见于海外上市的国有央企
• 跨部门或公司层面的制度/规定/办法多数通过公文系统走；更多的文件存放在公
司内部网站供查阅，由档案室归档并形成汇编；
• 内控手册/控制矩阵由一个常效管理部门负责以适应监管机构要求； • 定期由该常效管理部门对内控手册/矩阵进行更新。
内部控制手册-信息系统运行、维护、安全管理
预防性
机房管理每天检查机房温度、湿度以及防火、防水、清洁情况，并记录上述工作情况，保管有关的文档
月
机房环境情况记录表
18.2-PR5
机房管理员未定期检查机房主要设备的运行使用情况，可能导致设备的持续正常运转无法保证，造成公司的业务正常运营受影响
18.2-C5
预防性
机房管理员每天检查UPS的工作状态，每季度对UPS电池放电一次，并记录上述工作的情况，保管有关的文档
公司未能对服务器等关键系统硬件设备建立良好的物理环境并指定专人日常负责，无法有效防范设备出现异常物理状况而不能运行
18.2-C3
预防性
1）保持键盘、鼠标、显示器、主机干净，各种接口紧固，严禁带电插拔计算机的各种配件；
2）计算机避免在潮湿、粉尘、阳光直射、高温等条件下使用；
3）计算机或附属设备发生故障，使用者应及时通知系统管理人员进行修复处理,不得随便拆卸计算机及其附属设备的硬件和各种配件；
4）任何个人不得损坏、拆卸、移动安置在各办公室的网络设备、设施和线路，因工作原因需要移动的，及时通知系统管理人员，由系统管理人员报行政人事部办公室；
5）电信网及处室网络相连的机房建设，在电源防护、防盗、防火、防水、防尘、防雷等方面，采取规范的技术保护措施
月
机房环境情况记录表
18.2-PR4
机房管理未检查机房的环境和状态，可能导致机房设备受损，造成公司的资产和数据安全受影响
1.4职责分工
ERP专员：负责公司信息化安全管理，ERP系统及服务器的建设规划、安全运行及定期维护。
1.5流程图
1.6控制矩阵
18.2-PR1
信息中心的出入未严格控制，可能导致系统设置被篡改或安全被破坏，影响公司的数据安全