{内部管理}信息系统管理业务内部控制文件

《{内部管理}信息系统管理业务内部控制文件》由会员分享，可在线阅读，更多相关《{内部管理}信息系统管理业务内部控制文件（46页珍藏版）》请在金锄头文库上搜索。

1、内部管理信息系统管理业务内部控制文件内部管理信息系统管理业务内部控制文件 11.1 信息系统管理业务内部控制矩阵11.1 信息系统管理业务内部控制矩阵 会计报表认定会计报表认定 1 存在和发生/真实性；2 完整性； 3 权利与义务；4 估价或分摊；5 表达和披露；6 准确性 1 存在和发生/真实性；2 完整性； 3 权利与义务；4 估价或分摊；5 表达和披露；6 准确性 业务目标业务目标业务风险业务风险控制点控制点适用单位适用单位 不相容不相容 岗位岗位 控制点 分值 控制点 分值 控制点控制点 相关资料相关资料 相关制度 索引 相关制度 索引 123456 会计报表项目会计报表项目 1. I

2、T 整体层面管理1. IT 整体层面管理 1.1经营风险：信息化管理体系不完善，信息 化领导小组或 ERP 指导委员会设置不健 全，信息管理部门职责不落实，导致信息 化工作受损。 1.1 股份公司建立完善的信息化管理体系，设立 ERP 指导委员会，设立信息 系统管理部负责股份公司信息化归口管理工作；各分（子）公司设立信息 化领导小组或 ERP 指导委员会，定期召开会议，听取、总结和指导本单位 信息化工作，设立信息管理部门负责本单位信息化管理工作，对信息系统 和信息资源行使管理职责。 总部 分（子）公司 6ERP 指导委员会 或信息化领导 小组成立文件； 会议纪要 信息管理部门职 责文件 1.1

3、0.5 1.1 2.2 经营风险：信息化建设中长期规划不符合 股份公司经营战略目标，导致盲目建设、 投资低效。 1.2 根据股份公司发展战略目标和核心业务， 结合信息技术发展和股份公司 实际，信息系统管理部负责组织编制股份公司信息化建设中长期规划，在 充分征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并 根据专家意见负责组织修改，经信息系统管理部主任审核，按规定权限审 批后，纳入股份公司中长期发展规划。 信息系统管理部5股份公司信息化 建设中长期规划 1.10.5 1.3 教育和培训 1.1经营风险：信息化培训缺乏，导致信息系 统效能低下、信息化管理水平不高、信息 化技能缺失。 1

4、.3.1 各级信息管理部门负责编制年度信息化培训计划， 经部门负责人审批 后，纳入人事部门年度培训计划,并组织落实。 信息系统管理部 分（子）公司 2年度培训计划1.10.5 1.1经营风险：信息安全教育不足，导致员工 信息安全意识薄弱。 1.3.2 各级信息管理部门配合人事部门开展全员信息安全教育和培训， 并在 信息门户或内部网站发布安全教育培训材料。 信息系统管理部 分（子）公司 2安全教育培训 材料 1.10.5 1.4 风险评估 1.1 2.2 经营风险：信息系统风险评估缺失，导致 信息系统风险。 1.4.1 根据中国石油化工股份有限公司信息系统风险评估管理办法 ，信 息系统管理部负责

5、每年对信息系统进行年度综合风险评估，形成风险评估 报告，并组织专家组对风险评估报告进行评审，专家组对风险评估报告提 出评审意见并签字；分（子）公司信息管理部门会同相关业务部门，通过 多种形式，组织本单位信息系统的风险评估，包括企业信息系统整体风险、 重点系统风险、主要基础设施风险等，形成相关风险评估报告，并将风险 评估报告经信息管理部门负责人审核签字后报信息系统管理部备案。 信息系统管理部 分（子）公司 4风险评估报告2.10.3 1.5 信息安全管理 1.1 2.2 经营风险：信息安全规划不当，信息安全 方案缺失，导致信息系统风险。 1.5.1 信息系统管理部负责编制信息安全规划，在征求职能

6、部门、事业部和 分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修改， 经信息系统管理部主任审核后，正式发布。 各分（子）公司信息管理部门根据股份公司信息安全规划，结合自身生产 经营管理的需要，并针对风险评估报告中提出的问题，负责制订本企业的 信息安全方案，经分管经理审批后报信息系统管理部备案。 信息系统管理部 分（子）公司 4信息安全规划 信息安全方案 2.10.2 1.1 2.2 经营风险：系统未确定关键岗位，关键岗 位缺乏监管，导致系统存在安全隐患。 1.5.2 依照中国石油化工股份有限公司信息系统安全管理办法规定，各 级信息管理部门负责提出本单位的“信息系统关键岗位名录” ，

7、其中涉及信 息系统安全的关键岗位由信息管理部门确定，涉及业务信息安全的关键岗 位由主管业务部门商本单位保密委员会确定。 “信息系统关键岗位名录”上 的关键岗位人员要与所在单位签署“信息系统关键岗位安全责任书” ，并在 人事部门备案。 总部各部门 分（子）公司 3信息系统关键 岗位名录 信息系统关键 岗位安全责任 书 2.10.2 1.1 2.2 经营风险：系统安全岗位设置缺失，导致 系统存在安全隐患。 1.5.3 各级信息管理部门根据 中国石油化工股份有限公司信息系统安全管 理办法中的有关要求，按照不相容岗位分离的原则，设立安全管理员。 安全管理员必须具有相应资质，并经部门负责人审批授权。 信

8、息系统管理部 分（子）公司 3安全管理员授 权书 安全管理员资 质证书 2.10.2 2. 编制年度项目建议计划2. 编制年度项目建议计划 会计报表认定会计报表认定 1 存在和发生/真实性；2 完整性； 3 权利与义务；4 估价或分摊；5 表达和披露；6 准确性 1 存在和发生/真实性；2 完整性； 3 权利与义务；4 估价或分摊；5 表达和披露；6 准确性 业务目标业务目标业务风险业务风险控制点控制点适用单位适用单位 不相容不相容 岗位岗位 控制点 分值 控制点 分值 控制点控制点 相关资料相关资料 相关制度 索引 相关制度 索引 123456 会计报表项目会计报表项目 1.1 2.2 经营

9、风险：年度信息化项目建议计划不符 合股份公司经营战略目标， 导致盲目建设、 投资低效。 2.1 信息系统管理部根据股份公司信息化建设中长期规划和职能部门、 事业 部、分（子）公司申报的项目建议计划，结合年度实际，编制年度信息化 项目建议计划，由信息系统管理部主任审核，按规定权限审批后，分别纳 入股份公司年度投资计划、科技开发项目计划管理。各分（子）公司信息 管理部门负责编制年度信息化项目建议计划预案，按规定权限审批后，分 别纳入本单位年度投资建议计划、科技开发项目建议计划，上报信息系统 管理部和总部相关部门审核。 信息系统管理部 分（子）公司 5信息化建设年 度计划 1.10.5 3. 项目可

10、行性研究和评审3. 项目可行性研究和评审 1.1 1.2 经营风险：项目可行性研究报告提出的技 术方案不合理，业务流程不规范，系统功 能不健全，可研评审不到位，导致系统建 设不能满足业务需求。 3.1 信息管理部门会同项目责任部门(单位)委托有资格的单位承担项目可 行性研究，并组织专家组对项目可行性研究报告进行评审，专家组对项目 需求、目标、技术路线、风险分析、投资与效益、进度、组织落实等提出 可行性研究评审意见并签字。 信息系统管理部 分（子）公司 5可行性研究报 告 1.10.2 4.项目立项审批4.项目立项审批 1.1 1.2 经营风险 ： 信息化项目缺乏统一归口管理， 审批过程不规范，

11、导致重复建设，低效投 资。 4.1 通过可研评审的固定资产投资限额 （200 万元） 及以上的信息技术项目， 由信息系统管理部报发展计划部立项，批准立项的项目，由发展计划部列 入年度投资计划；申请总部立项的固定资产投资限额（200 万元）以下的信 息技术项目，由信息系统管理部负责审批，报发展计划部备案；由各事业 部审批的投资限额以下的信息技术项目投资计划，须经信息系统管理部和 发展计划部会签。 各分（子）公司一般措施及零星购置的信息技术项目在总部每年核定的限 额以内，由各分（子）公司根据当期生产经营管理的需要，按规定权限审 批后报各主管事业部、信息系统管理部和发展计划部审核备案，并纳入股 份公

12、司年度投资计划管理。 通过可研评审的科技开发项目，由信息系统管理部报科技开发部立项，批 准立项的项目，由科技开发部列入年度项目计划。 信息系统管理部 发展计划部 科技开发部 事业部 分（子）公司 5立项批文1.10.2 1.1 1.2 经营风险：总体（基础）设计技术方案不 合理， 业务流程不规范， 系统功能不健全， 专家组评审不到位， 导致系统建设不能满 足业务需求。 4.2 对批准立项的、投资在 500 万元及以上的项目，信息系统管理部委托有 资格的单位按要求对项目进行总体（基础）设计，其中投资在 2000 万元及 以上的项目需组织专家组对项目总体（基础）设计进行评审，专家组对项 目需求分析

13、、目标、功能设计、投资概算等提出评审意见并签字，由信息 系统管理部负责审批总体（基础）设计，报发展计划部备案。 信息系统管理部3总体（基础）设 计评审材料 1.10.2 5.合同签订5.合同签订 1.1 1.2 经营风险：承建单位资质及经验欠缺，导 致项目建设受损。未经审核，变更信息技 术合同标准文本中涉及的权利、 义务等条 款，导致财务风险。 财务风险： 交易不真实，影响财务报告。 5.1 信息管理部门负责组织项目责任部门(单位)审查集成商、咨询商、开发 商及供应商的资质，开展询比价、商务谈判等工作；涉及有关计算机服务 器、PC 机、打印机采购事宜，由物资采购部门归口管理、信息管理部门配 合

14、开展采购工作。依照规定权限并按经法律事务部审定的标准合同文本签 订合同；项目责任部门(单位)负责完成合同技术附件，并由负责人签字确 认。 信息系统管理部 物资装备部 分（子）公司 4合同 技术附件 1.10.2固定资产 无形资产 6.项目实施6.项目实施 1.1 1.2 经营风险：详细设计技术方案不合理，业 务流程不规范，系统功能不健全，审查不 到位，导致系统建设不能满足业务需求。 6.1 项目实施单位根据合同技术附件或总体设计进行详细设计， 详细设计的 形式可根据项目类别的不同（自主开发项目、引进试点项目、推广完善项 目、基础设施项目）采取与项目类别相适应的形式，投资在 500 万元及以 上

15、的项目需由信息管理部门组织人员对项目详细设计进行审查，项目实施 单位根据审查意见进一步修改完善深化详细设计。 信息系统管理部 分（子）公司 4项目详细设计1.10.2 1.1 1.2 经营风险：基础数据不完整、不准确、不 真实， 导致系统无法正常投运或计算出错。 6.2 项目责任部门(单位)负责项目实施，业务部门组织数据的收集、整理、 录入、审核，并进行审查和确认，保证数据的真实、完整和准确。 信息系统管理部 分（子）公司 31.10.2 会计报表认定会计报表认定 1 存在和发生/真实性；2 完整性； 3 权利与义务；4 估价或分摊；5 表达和披露；6 准确性 1 存在和发生/真实性；2 完整

16、性； 3 权利与义务；4 估价或分摊；5 表达和披露；6 准确性 业务目标业务目标业务风险业务风险控制点控制点适用单位适用单位 不相容不相容 岗位岗位 控制点 分值 控制点 分值 控制点控制点 相关资料相关资料 相关制度 索引 相关制度 索引 123456 会计报表项目会计报表项目 1.1 1.2 2.1 经营风险：系统安装调试不当，用户培训 缺失，导致系统运行受损。 合规风险：安装的软件侵犯知识产权，导 致诉讼及股份公司声誉受到损害。 6.3 信息管理部门负责对项目实施单位承担的软硬件系统安装调试、 用户培 训进行检查，审核和确认测试报告，并检查相应软件的合法性，提供经双 方签字的检查记录。 信息系统管理部 分（子）公司 3系统安装调试 和用户培训报 告 软件验收报告 1.10.2 1.1 1.2 经营风险 ： 项目监管不力， 系统建设延误， 导致系统不能按期投用。 6.4 信息管理部门负责组织对项目建设的阶段验收，进行项目建设质量、进 度、标准执行和成本控制等检查，提出阶段验收报告；项目实施单位根据 阶段验收报告对系统进行修改完善。 500 万元以下的一般信息技术项目可根据