计算机系统风险控制文件

计算机系统 制度编

KF…目录总则职责细则附则

等 级 C更改码 0起草人质量

起草部门审核日期

总经理签发：年 月 日计算机系统 第1

共8风险控制文件

等 级 C更改码 0总则目的为避免计算机配置不到位、运行不稳定、数据丢失、系统拦截失效等影响，造成药品经营过程中的质量风险，特制定本管理文件。依据《质量风险管理制度》《质量风险管理程序》适用范围适用于公司计算机系统的风险管理。职责详见《质量风险管理职责》。细则：计算机管理各风险点描述1：计算机系统未实现各经营流程及环节的质量控制功能风险描述：计算机系统未设置各环节（如采购、收货、验收、储存养护、运输配送、销售、售后、不合格品管理、特殊管理药品管理等）的质量控制控制功能，公计算机系统 第2

共8风险控制文件司质量管理控制人为管控，出现系统漏洞。风险评估：

等 级 C更改码 0风险优先指数RPN16，处理等级中级，采用风险预防控制。风险控制措施：3.1.3.1（如采购、品管理等）的质量控制功能；3.1.3.2有效、准确。2：系统配置达不到要求，未提供适宜的硬件,运行不稳定风险描述：系统配置达不到要求，服务器或专用终端设备配备不足；未提供适宜的硬件，公司服务器容量不够，运行不稳定；络攻击，造成服务器瘫痪或数据丢失。风险评估：风险优先指数RPN20，处理等级低级，采用风险预防控制。风险控制措施：计算机系统 第3

共8风险控制文件

等 级 C更改码 0建立计算机系统管理制度，明确计算机操作行为规范；展；建立可靠的信息平台，安装杀毒软件进行系统的防护；在内部网和外全管理措施、记录所有可疑事件。3：火灾、设施设备故障、损坏等造成数据丢失风险描述：存放服务器的机房发生火灾、设施设备故障、机房门禁系统密码外泄、其他人非法进入等原因，造成数据损坏或丢失。风险评估：风险优先指数RPN20，处理等级中级，采用风险预防控制。风险控制措施：定期检查消防设施设备，制定消防应急预案；5子进入机房造成破坏；定期对计算机系统数据备份场所安全、数据保存期限进行检查，发现计算机系统 第4

共8风险控制文件

等 级 C更改码 0问题，及时纠正。4：员工个人行为影响系统的稳定性员工设置用户口令或密码过于简单，易被猜测爆破；,锁定，其他人员可以操作，造成数据被恶意篡改与删除。风险评估：风险优先指数RPN16，处理等级中级，采用风险预防控制。风险控制措施：建立计算机系统管理制度，明确员工计算机操作行为规范；员工应定期对密码进行修改，防止密码泄漏；对违反人员进行通报并予以扣罚，规范员工行为。5：未及时清理离职、转岗员工系统账号员工离职、转岗未及时清理其系统账号，造成数据泄露或被篡改、删除。风险评估：风险优先指数RPN16，处理等级中级，采用风险预防控制。计算机系统 第5

共8风险控制文件风险控制措施：

等 级 C更改码 0离职手续后，及时通知信息部取消其系统操作账号及即时通账号；员工转岗时，企管部通知信息部删除其系统操作账户权限；账号及即时通账号，发现未清理及时通知信息部处理。6：信息部员工安全意识欠缺信息部员工安全意识欠缺，不能正确理解并履行职责，未对系统数据进行有效备份。该风险点的风险优先指数RPN18，处理等级中级，采用风险预防控制技术。风险控制措施：加强信息部员工的安全意识培训，明确其安全管理职责；进行检查。7：质量管理拦截功能失效因系统漏洞，质量管理拦截功能失效，造成超范围购销、资质过期购销或无效购销。计算机系统 第6

共8风险控制文件

等 级 C更改码 0该风险点的风险优先指数RPN20，处理等级低级，采用风险预防控制技术。风险控制措施：漏洞；加强全员质量风险意识，各岗位发现异常及时报质量管理部处理；建立可靠的信息平台，安装杀毒软件进行系统的防护。8：系统技术人员操作权限过大系统技术人员操作权限过大，后台数据存在被篡改、删除的风险。风险评估：风险优先指数RPN16，处理等级中级，采用风险预防控制技术。风险控制措施：集团信息总部协助公司信息部梳理公司系统技术人员操作权限；信息部部长定期检查，发现漏洞及时采取补救、预防措施。9：未建立计算机系统管理制度，人员操作不规范公司未建立计算机系统管理制度和操作规程；计算机系统 第7

共8风险控制文件各项记录的真实准确性无法保证。风险评估：

等 级 C更改码 0风险优先指数RPN12，处理等级低级，采用风险预防控制技术。风险控制措施：制定计算机系统管理制度和操作规程；信息部定期组织相关人员进行培训，让员工熟悉本岗位系统操作；对计算机系统管理制度的执行情况定期进行检查、考核。10：系统操作权限、数据修改未经质量管理部审核、监督计算机操作权限、系统数据的修改未经质量管理部审核；系统修改时质量管理部未监督，未能核实系统修改是否有效；系统更改过程未留有记录，不能有效追溯质量过程。风险评估：风险优先指数RPN16，处理等级中级，采用风险预防控制技术。风险控制措施：须经质量管理部审核；数据修改时应在质量管理部监督下进行，修改应留存记录；计算机系统计算机系统风险控