第五章信息与沟通
企业内部控制评估报告
企业内部控制评估报告第一章企业内部控制概述 (2)1.1 内部控制的定义与目标 (2)1.2 内部控制的原则与要素 (2)第二章内部控制环境评估 (3)2.1 内部控制环境的基本要素 (3)2.2 内部控制环境的建设与优化 (4)2.3 内部控制环境评估方法 (4)第三章风险评估与控制 (5)3.1 风险识别与评估 (5)3.2 风险控制策略与措施 (5)3.3 风险监控与报告 (5)第四章控制活动评估 (6)4.1 控制活动的分类与设计 (6)4.2 控制活动的实施与执行 (7)4.3 控制活动的有效性评估 (7)第五章信息与沟通评估 (7)5.1 信息系统的建设与管理 (7)5.2 信息沟通的渠道与机制 (8)5.3 信息与沟通的监控与改进 (8)第六章内部监督评估 (9)6.1 内部监督的组织架构 (9)6.1.1 监督机构设置 (9)6.1.2 监督人员配置 (9)6.1.3 权力与责任划分 (9)6.2 内部监督的程序与方法 (9)6.2.1 监督计划的制定 (9)6.2.2 监督活动的实施 (9)6.2.3 监督结果的反馈 (10)6.2.4 监督整改的跟踪 (10)6.3 内部监督的成效评估 (10)6.3.1 监督效果的评估 (10)6.3.2 监督制度的评估 (10)6.3.3 监督人员的评估 (10)6.3.4 监督工作的改进 (10)第七章人力资源管理评估 (10)7.1 人力资源政策的制定与执行 (10)7.2 员工培训与考核 (11)7.3 人力资源激励与约束机制 (12)第八章财务报告内部控制评估 (12)8.1 财务报告内部控制的基本要求 (12)8.2 财务报告内部控制的关键环节 (13)8.3 财务报告内部控制的评价方法 (13)第九章运营内部控制评估 (14)9.1 运营内部控制的主要领域 (14)9.2 运营内部控制的关键控制点 (14)9.3 运营内部控制的效果评估 (15)第十章合规内部控制评估 (15)10.1 合规内部控制的基本要求 (15)10.2 合规内部控制的关键环节 (16)10.3 合规内部控制的效果评估 (16)第十一章内部控制自我评估 (17)11.1 自我评估的组织与实施 (17)11.2 自我评估的方法与工具 (17)11.3 自我评估的结果分析与改进 (18)第十二章内部控制改进与完善 (18)12.1 内部控制改进的策略与措施 (18)12.2 内部控制完善的路径与方法 (19)12.3 内部控制改进与完善的持续监督 (19)第一章企业内部控制概述1.1 内部控制的定义与目标内部控制是企业在经营活动中，由董事会、监事会、经理层和全体员工共同实施的一种旨在实现特定控制目标的过程。
《组织行为学二5》沟通
二、沟通的渠道
（一）纵向沟通和横向沟通-信息传递通道的方向 纵向沟通和横向沟通-
1、纵向沟通指沿着企业组织管理层次（指挥链） 、纵向沟通指沿着企业组织管理层次（指挥链） 而进行的沟通 （1）自上而下的沟通 ） （2）自下而上的沟通 ）
2、横向沟通 、 指平行沟通和斜向沟通（交叉沟通） 指平行沟通和斜向沟通（交叉沟通）的总称 平行沟通：处于同样管理层次上的人员所进行的 平行沟通： 彼此交流 斜向沟通： 斜向沟通：处于不同层次上的但没有直接隶属关 系的人员之间的彼此交流
A
B
C
D
E
二、非正式网络 常称为小道消息的传播， 常称为小道消息的传播，它可以自由 地向任何方向运动，并跳过权力等级， 地向任何方向运动，并跳过权力等级，在 促进任务完成的同时， 促进任务完成的同时，非正式沟通满足了 群体成员的社会需要。 群体成员的社会需要。
（一）小道消息的特点
1、不受管理层控制 2、大多数员工认为它比高级管理层通过正式 沟通渠道解决问题更可信、更可靠 沟通渠道解决问题更可信、 3、它在很大程度上有利于人们的自身利益
三、克服沟通障碍的方法
运用反馈-反问？ （一）运用反馈-反问？ 简化语言（二）简化语言-通俗 积极倾听（三）积极倾听-做好听众 抑制情绪（四）抑制情绪-克服主观 （五）注意非语言提示 排除物理障碍-机器， （六）排除物理障碍-机器，如短信
第三节 沟通网络
沟通网络： 沟通网络：信息沟通渠道的总称 一、正式的小群体网络 二、非正式网络
一、正式的小群体网络
正式沟通网络一般是垂直的，它遵循权力系统， 正式沟通网络一般是垂直的，它遵循权力系统， 并只进行与工作相关的信息沟通 主要类型：链式、轮式、 主要类型：链式、轮式、全渠道式
制造业公司内控管理制度
第一章总则第一条为加强公司内部控制，规范公司经营管理，防范和化解经营风险，确保公司资产安全，提高经济效益，根据国家有关法律法规和公司实际情况，特制定本制度。
第二条本制度适用于公司各部门、各子公司及全体员工。
第三条公司内部控制体系包括内部控制环境、风险评估、控制活动、信息与沟通和内部监督五个方面。
第二章内部控制环境第四条公司建立健全内部控制环境，明确各部门职责，确保内部控制制度得到有效执行。
第五条公司领导层应当重视内部控制工作，加强内部控制制度建设，确保内部控制制度得到有效执行。
第六条公司各部门应当积极配合内部控制工作，提高内部控制意识，确保内部控制制度得到有效执行。
第三章风险评估第七条公司建立健全风险评估体系，对经营活动中可能存在的风险进行识别、评估和应对。
第八条公司各部门应当定期对风险进行识别、评估，及时上报风险情况，公司领导层应当对重大风险进行决策。
第九条公司应当建立风险预警机制，对潜在风险进行提前防范，降低风险损失。
第四章控制活动第十条公司建立健全控制活动体系，确保各项业务活动按照规定的程序和标准进行。
第十一条公司各部门应当严格按照内部控制制度执行业务，确保业务活动合规、高效。
第十二条公司应当加强关键业务环节的控制，如采购、销售、生产、研发等环节，确保业务活动风险可控。
第十三条公司应当建立健全合同管理制度，规范合同签订、履行和变更等环节，确保合同风险可控。
第五章信息与沟通第十四条公司建立健全信息与沟通体系，确保内部控制信息及时、准确、完整地传递。
第十五条公司各部门应当及时向上级部门报告内部控制信息，确保内部控制信息的真实性、准确性。
第十六条公司应当加强内部控制信息的保密工作，防止内部控制信息泄露。
第十七条公司应当建立健全内部审计制度，对内部控制制度执行情况进行监督检查。
第六章内部监督第十八条公司建立健全内部监督体系，对内部控制制度执行情况进行监督检查。
第十九条公司内部审计部门应当定期对公司内部控制制度执行情况进行审计，提出审计意见和改进建议。
内部控制基本规范
内部控制基本规范第一章总则第一条为了加强和规范广州伟通信息科技有限公司（以下简称“公司”）的内部控制，提高公司经营管理水平和风险防范能力，促进公司可持续发展，依据《中华人民共和国公司法》、《中华人民共和国会计法》、《深圳证券交易所上市公司内部控制指引》、《企业内部控制规范--基本规范》等法律、法规并结合公司具体情况，制定本规范。
第二条本规范适用于广州伟通信息科技有限公司。
第三条本规范所称内部控制，是由公司董事会、监事会、经营管理层和全体员工实施的，旨在实现控制目标的过程。
内部控制的目标是合理保证：（一）遵守国家法律、法规、规章及其他相关规定；（二）提高公司经营的效率和效果；（三）保障公司资产的安全性；（四）确保公司信息披露的真实、准确、完整和公平。
第四条建立与实施内部控制，应当遵循下列原则：（一）全面性原则。
内部控制应当贯穿决策、执行和监督全过程，覆盖公司及所属单位的各种业务和事项。
（二）重要性原则。
内部控制应当在全面控制的基础上，关注重要业务和高风险领域。
（三）制衡性原则。
内部控制应当在治理机构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。
（四）适应性原则。
内部控制应当与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。
（五）成本效益原则。
内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。
（六）合法性原则。
内部控制应当符合法律、行政法规的规定和有关政府监管部门的监管要求。
（七）有效性原则。
内部控制应当能够为内部控制目标的实现提供合理保证，企业全体员工应当自觉维护内部控制的有效执行，内部控制建立和实施过程中存在的问题应当能够得到及时地纠正和处理。
第五条建立与实施有效的内部控制，包括下列要素：（一）内部环境，是实施内部控制的基础，一般包括治理结构、机构设置与权责分配、公司文化、人力资源政策、内部审计等。
（二)风险评估，即及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。
国库业务内控制度模板
国库业务内控制度模板第一章总则第一条为确保国库业务的安全、高效和规范运行，提高资金管理水平和风险防范能力，根据《中华人民共和国预算法》、《中华人民共和国财政法》等相关法律法规，制定本内控制度。
第二条本内控制度适用于各级财政部门和国库机构开展国库业务的管理和操作，包括预算收支、资金调拨、账户管理、国债发行与兑付、国库单一账户体系运行等业务。
第三条国库业务内控制度遵循全面性、重要性、客观性、及时性和适应性原则，确保国库业务内部环境、风险评估、控制活动、信息与沟通、内部监督等要素的有效运行。
第二章内部环境第四条建立完善的组织结构，明确各岗位的职责权限，确保国库业务的顺畅进行。
设立国库业务管理岗位，负责国库业务的组织、协调和监督工作。
第五条建立高素质的国库业务团队，对从业人员进行专业培训和职业道德教育，提高从业人员的业务素质和廉洁自律意识。
第六条建立风险管理机制，对国库业务风险进行识别、评估和控制，确保国库业务的安全运行。
第七条建立内部审计制度，对国库业务进行定期审计，确保国库业务的合规运行。
第三章风险评估第八条定期进行国库业务风险评估，主要包括法律法规风险、操作风险、市场风险、技术风险等方面。
第九条针对评估出的风险，制定相应的风险应对措施，包括风险预防、风险分散、风险转移等。
第四章控制活动第十条建立预算收支控制制度，确保预算收支的合规、准确和及时。
包括预算编制、预算执行、预算调整等环节。
第十一条建立资金调拨控制制度，确保资金调拨的合规、准确和及时。
包括资金申请、资金审批、资金调拨等环节。
第十二条建立账户管理制度，确保账户管理的合规、安全和服务质量。
包括账户开设、账户变更、账户撤销等环节。
第十三条建立国债发行与兑付控制制度，确保国债发行与兑付的合规、公平和顺利进行。
包括国债发行、国债交易、国债兑付等环节。
第十四条建立国库单一账户体系运行控制制度，确保国库单一账户体系的高效、安全和稳定运行。
包括账户管理、资金清算、账户监督等环节。
华为内控管理制度范本
第一章总则第一条为加强公司内部控制，提高公司经营管理水平，确保公司资产安全、财务报告的真实性、完整性和准确性，根据国家有关法律法规和公司实际情况，制定本制度。
第二条本制度适用于公司及其所有子公司、分支机构和业务单元。
第三条公司内控体系基于COSO模型，包括控制环境、风险评估、控制活动、信息与沟通、监督五大部分。
第二章控制环境第四条公司应倡导诚信文化，高度重视职业道德，严格遵守企业公民道德相关的法律法规。
第五条公司制定员工商业行为准则（BCG），明确全体员工（包括高管）在公司商业行为中必须遵守的基本业务行为标准。
第六条公司建立完善的治理架构，包括董事会、董事会下属专业委员会、职能部门以及各级管理团队等，各机构均有清晰的授权与明确的问责机制。
第七条公司CFO负责全公司内控管理，内控管理部门向公司CFO汇报内控缺陷和改进情况。
第八条内部审计部门对公司所有经营活动的控制状况进行独立的监督评价。
第三章风险评估第九条公司设立专门的内控与风险管理部门，定期开展针对全球所有业务流程的风险评估。
第十条风险评估应覆盖公司所有业务领域，包括但不限于市场风险、信用风险、操作风险、合规风险等。
第十一条风险评估结果应形成风险评估报告，并由公司管理层审阅。
第四章控制活动第十二条公司应根据风险评估结果，制定相应的控制活动，确保风险得到有效控制。
第十三条控制活动应包括但不限于：（一）制定和实施内部控制政策、程序和标准；（二）建立健全授权和审批制度；（三）建立信息报告和内部控制缺陷报告制度；（四）定期进行内部控制自我评估；（五）加强员工培训，提高员工内控意识。
第五章信息与沟通第十四条公司应建立健全内部控制信息沟通机制，确保内部控制信息的及时、准确、完整。
第十五条公司应通过内部审计、风险管理、内部控制自我评估等方式，收集和传递内部控制信息。
第十六条公司应确保内部控制信息的保密性，防止信息泄露。
第六章监督第十七条公司应建立内部控制监督机制，确保内部控制制度得到有效执行。
内部控制学复习要点
内部控制复习知识点第一章内部控制概论1、内部控制学的发展阶段:五阶段①内部牵制阶段-—-——-起步阶段两个设想是：(1）两个或两个以上的人或部门无意识地犯同样的错误机会较少；（2）两个或两个以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个或部门舞弊的可能性.②内部控制制度阶段——-—-进化阶段③内部控制结构阶段--——提高阶段（内部控制结构是指为了实现特定公司目标提供合理保证而建立的一系列政策和程序构成的有机总体，包括控制环境、会计系统及控制程序三个部分。
)④内部控制框架阶段—-——演进阶段⑤风险管理阶段---——-提升阶段2 、内部控制框架(COSO报告）：（COSO委员会提出)内部控制是由企业董事会、经理阶层和其他员工实施的，为营运的效率效果、财务报告的可靠性、相关法令的遵循性等目标的达成而提供合理保证的过程。
（1)三目标提高经营效率，取得好的经营效果合理保证财务报告的可靠性遵循有关的法规制度(2）五要素控制环境风险评估控制活动信息和沟通监察3、风险管理模型：是一个由企业的董事会、管理层和其他员工共同参与的，应用于企业战略制定和企业内部各个层次和部门的，用于识别可能对企业造成潜在影响的事项并在其风险偏好范围内管理风险的,为企业目标的实现提供合理保证的过程。
(具有多目标驱动、全员、全过程、合理保证的特性。
)（1）四目标战略目标经营目标报告目标合规目标（2）八要素内部环境目标设定事项识别风险评估风险应对控制活动信息与沟通监控4、我国企业内部控制体系：（1）定义内部控制定义:是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。
（2）目标是合理保证单位经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进单位实现发展战略。
（3）五要素内部环境、风险评估、控制活动、信cc息与沟通、内部监督（4）原则全面性原则重要性原则制衡性原则适应性原则成本效益原则（5）我国企业内部控制体系中《基本规范》的作用规定内部控制的基本目标、基本要素、基本原则和总体要求，是内部控制的总体框架，在内部控制标准体系中起统领作用。
关于印发《企业内部控制控制控制基本规范》的通知(财会[2008]7号)
![关于印发《企业内部控制控制控制基本规范》的通知(财会[2008]7号)](https://img.taocdn.com/s3/m/52ba39d85022aaea998f0f0b.png)
关于印发《企业内部控制基本规范》的通知财会[2008]7号财政部审计署中国保险监督管理委员会中国银行业监督管理委员会中国证券监督管理委员会2008-5-22中直管理局，铁道部、国管局，总后勤部、武警总部，各省、自治区、直辖市、计划单列市财政厅（局）、审计厅（局），新疆生产建设兵团财务局、审计局，中国证监会各省、自治区、直辖市、计划单列市监管局，中国证监会上海、深圳专员办，各保监局、保险公司，各银监局、政策性银行、国有商业银行、股份制商业银行、邮政储蓄银行、资产管理公司，各省级农村信用联社，银监会直接管理的信托公司、财务公司、租赁公司，有关中央管理企业：为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，根据国家有关法律法规，财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》，现予印发，自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。
执行本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。
执行中有何问题，请及时反馈我们。
附件：企业内部控制基本规范第一章总则第一条为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，根据《中华人民共和国公司法》、《中华人民共和国证券法》、《中华人民共和国会计法》和其他有关法律法规，制定本规范。
第二条本规范适用于中华人民共和国境内设立的大中型企业。
小企业和其他单位可以参照本规范建立与实施内部控制。
大中型企业和小企业的划分标准根据国家有关规定执行。
第三条本规范所称内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。
内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 信息系统内部控制的目标是促进企业有效实施内部控制，提高 企业现代化管理水平，减少人为操纵因素；同时，增强信息系 统的安全性、可靠性和合理性以及相关信息的保密性、完整性 和可用性，为建立有效的信息与沟通机制提供支持保障。
• 信息系统内部控制的主要对象是信息系统，由计算机硬件、软 件、人员、信息流和运行规程等要素组成。
定义信息体系结构
获取并维护应用程序软件 管理第三方的服务
评价内部控制的适当性
确定技术方向
获取并维护技术基础设施 管理性能与容量
获取独立保证
定义IT组织与关系
程序开发与维护
确保服务的连续性
提供独立的审计
管理IT投资
程序安装与鉴定
确保系统安全
传达管理目标和方向 更新管理
确定并分配成本
人力资源管理
教育并培训客户
司机，司机采取及时有效措施，就可避免该项风
险事故的产生。
•
可见，信息滞漏不畅是造成事故的主要原因
。操作人员责任不到位是造成事故的源头。领导
风险意志薄弱是导致风险产生的根源。
第五章信息与沟通
第五章 信息与沟通
• 本章概要 第一节 信息控制 第二节 沟通 第三节 coso新框架中信息与
沟通的原则与要素
第五章信息与沟通
． 随着企业信息集成与共享的实现，企业价值
链中各环节的资源能够得到优化利用，而与之 对应的是，信息技术对内部控制也将产生重大 影响，企业的内部控制系统必将随着信息技术 的更新而改变。 • 在这之中，内部控制系统的变化主要体现为 内部控制模式、手段和形式、内容等的变化。 其中内部控制模式的变化主要体现在由固定控 制向动态控制转变上。
事会、高级管理层及时了解本行的经营和风险状况，确保每一项信息均 能够传递给相关的员工，各个部门和员工的有关信息均能够顺畅反馈。
2010-3-28
第五章信息与沟通
• 1、信息系统的定义
按照《企业内部控制应用指引第18号——信息系 统》的规定，信息系统是指企业利用计算机和通 信技术，对内部控制进行集成、转化和提升所形 成的信息化管理平台。
搜集方式： （1）调查 （2）网络查询 （3）咨询 （4）交换和接收 （5）采访
第五章信息与沟通
三、对信息技术的利用
• 《企业内部控制基本规范》第四十一条
指出企业应当利用信息技术促进信息的集 成与共享，充分发挥信息技术在信息与沟 通中的作用。 • 企业应当加强对信息系统开发与维护、 访问与变更、数据输入与输出、文件储存 与保管、网络安全等方面的控制，保证信 息系统安全稳定运行。
第五章信息与沟通
第一节 信息控制
第五章信息与沟通
一、什么是信息系统
(一)信息的定义 (二)信息系统的定义
二、信息系统控制标准
企业内部控制学（第二版）
89 第五章信息与沟通
表5—1COBIT的4个控制域的34个处理过程
规划与组织
获取与实施
服务与支持
监控与评估
定义IT战略规划
确定自动化的解决方案 定义并管理服务水平 过程监控
《商业银行内部控制指 引》
第二十三条 商业银行应当实现业务操作和管理的电子化，促进各项业务的电 子数据处理系统的整合，做到业务数据的集中处理。
第二十四条 商业银行应当实现经营管理的信息化，建立贯穿各级机构、覆盖
各个业务领域的数据库和管理信息系统，做到及时、准碗提供经营管理 所需要的各种数据，并及时、真实、准确地向中国银监会及其派出机构 报送监管报表资料和对外披露信息。 第二十五 条商业银行应当建立有效的信息交流和反馈机制，确保董事会、监
确保与外部需求一致
信息技术咨询
风险评估
配置管理
项目管理
处理问题和突发事件
质量管理
数据管理
企业内部控制学（第二版）
设施管理 运营管理
90 第五章信息与沟通
三、内部控制信息披露规范
企业内部控制学（第二版）
91 第五章信息与沟通
第二节 沟通
第五章信息与沟通
• 一、内部沟通 二、外部沟通
1.与投资者和债权人的沟通 2第五章信息与沟通
•
事后国家安监总局局长王君说：这次事故充
分暴露了一些铁路营运企业安全生产认识不到位
、领导不到位、责任不到位、隐患排查不到位和
监督管理不到位的严重问题。反映了基层安全意
识薄弱，信息滞漏失误，现场管理存在严重漏洞
，导致这次风险事故的发生。假如在事故产生前
的任一信息，按规定能够及时正确地传达到客车
第五章信息与沟通
• 企业应准确识别、全面收集、不断完善 获取信息的机制，随时掌握市场、竞争 对手、行业变化等动态，并及时、有效 地传达给相关负责人员，使其有足够的 信息处理经营业务，对变化迅速地作出 反映。
第五章信息与沟通
• 会计信息 • 生产经营信息 • 资本运作信息 • 人员变动信息 • 销售信息 • 技术创新信息 • 综合管理信息 • 财务分析 • 生产计划 • 营销方案 • 会议总结 • 人力资源计划 • 经济形势信息 • 政策法规信息 • 行业动态信息 • 监管要求信息 • 客户信用信息 • 科技进步信息 • 社会文化信息
企业内部控制学（第二版）
92 第五章信息与沟通
第三节 coso新框架中信息与沟通的原 则与要素
第五章信息与沟通
第五章信息与沟通
•Thank You !
第五章信息与沟通
一、信息的类型与来源
• 信息是指信息系统辨识、衡量、处理 及报告的标的，来源于企业内部或外部 ，包括获取的行业、经济、监控，以及 内部生产经营管理、财务等方面的信息 。
第五章信息与沟通
一、信息系统
• 信息逐渐被人们当作一种战略资源，企业内 部各部门之间以及企业之间都会发生大规模的 信息交换，不同部门或不同企业间的信息需要 协同，信息系统的重要性日益增加。随着整个 社会信息化进程的加快，企业的日常经营管理 活动越来越离不开信息系统的支持。
• 完善的信息系统是企业建立有效的内部控制 体系的前提。
第五章信息与沟通
2.其他内部信息的搜集与传递
（1）财务信息。 （2）经营信息。 （3）规章制度信息。 （4）综合信息。 （5）员工提供的信息。 （6）信息系统产生的信息。
第五章信息与沟通
（二）外部信息的搜集与传递
根据基本规范第三十九条的规定，外部信息的搜集渠 道主要有行业协会组织、社会中介机构、业务往来单位 、市场调查、来信来访、网络媒体以及有关监管部门等 。
《深圳证券交易所上市 没有明确提出要求，但也有所涉及。 公司内部控制指引》
《中央企业全面风险管 理指引》
提出了“风险管理信息系统”的概念，要求企业应将信息技术应用于风险管 理的各项工作，建立涵盖风险管理基本流程和内部控制系统各环节的风 险管理信息系统，包括信息的采集、存储、加工、分析、测试、传递、 报告、披露等。
第五章信息与沟通
• 现已证实，事故线路是一条呈“S”型临时 线路，而超速被认为是这起事故的直接原因。 但超速的背后是信息传递混乱。行经此段的列 车限速一月内竟数次更改，而且令不畅通，规 章制度形同虚设。
• 事发前几天济南铁路局曾发文限速，但又 迅速取消限速。潜伏巨大危险的临时铁路，儿 戏般的调度管理，层层的疏忽与失职，最终导 致了中国铁路史上最重大的惨祸之一。
– 主要控制措施：保证变更过程得到适当的授权与管理层 的批准，并对变更进行测试。信息系统操作人员不得擅 自进行软件的删除、修改、升级、改变软件版本、改变 软件系统的环境配置。
第五章信息与沟通
(3)安全管理的关键控制点和主要控制措施 • 这一环节的主要风险是：
第一，硬件设备分布物理范围广，设备种类繁多，安全管理难度大， 可能导致设备生命周期短。
第三，企业要重视系统运行的日常维护，在硬件方面，日常 维护主要包括各种设备的保养与安全管理、故障的诊断与 排除、易耗品的更换与安装等，这些工作应由专人负责。
第五章信息与沟通
（二）系统变更的关键控制点和主要控制措施
– 系统变更主要包括硬件的升级扩容、软件的修改与升级 等。
–这一环节的主要风险是：第一，企业没有建立严格的变 更申请、审批、执行、测试流程，导致系统随意变更。 第二，系统变更后的效果达不到预期目标。
第五章信息与沟通
不同机构的内控相关指引对信息系统的规定
《上海证券交易所上市 对信息系统管理制度包括的内容进行了明确： 公司内部控制指引》 1．信息处理部门与使用部门权责的划分；2．信息处理部门的功能及职 责划分；3．系统开发及程序修改的控制；4．程序及资料的存取、数据 处理的控制；5．档案、设备、信息的安全控制；6．在本所网站或公司 网站上进行公开信息披露活动的控制。
加强信息系统的管控工作 3．其他开发方式的主要控制措施
选择信誉好的外包商或供应商
第五章信息与沟通
(2)信息系统运营与维护的主要风险点及其控制措施 （一）日常运行维护的关键控制点和主要控制措施
• 这一环节的主要风险是： 第一，没有建立规范的信息系统日常运行管理规范，
计算机软硬件的内在隐患易于爆发，可能导致企业 信息系统出错。 第二，没有执行例行检查，导致一些人为恶意攻击会 长期隐藏在系统中，可能造成严重损失。 第三，企业信息系统数据未能定期备份，可能导致损 坏后无法恢复，从而造成重大损失。
1．信息系统规划时期的主要风险点 2．信息系统自行开发方式的主要风险点
成本过高、产品不能满足企业需要。 3．其他开发方式的主要风险点
业务外包：外包商选择不当，导致信息泄密、成本 增加等
外购：产品不适合企业，供应商的服务能力有限。
第五章信息与沟通
（二）信息系统开发的关键控制措施
1．系统规划 2．自行开发
• 2、信息系统的生命周期
（一）系统规划期 （二）系统开发期 （三）系统运行与维护期