2024年内部控制流程手册信息系统管理

内部控制流程手册第拾七章信息系统管理第一节概述第二节不兼容岗位职责表及岗位职责分派表第三节业务流程及控制阐明INF001.信息系统的開发INF002.信息系统的运行INF003.信息系统的维护第四节有关制度索引概述INF001.信息系统的開发重要描述了企业信息系统開发流程和控制，重要包括制定和审批项目建设方案，明确企业信息系统归口部门以及各职能部门的职责，跟踪督促系统上线运行進度，验收测试信息系统完毕状况，制定数据迁移计划，培训业务操作及管理人员等内容。INF002.信息系统的运行重要描述了企业信息系统的运行流程和控制，重要包括制定信息系统工作流程及操作规范，顾客授权使用制度，信息系统变更流程的建立。INF003.信息系统的维护重要描述了企业信息系统的维护的流程和控制，重要包括制定信息系统维护操作规范，系统数据的监控，以及平常维护等内容。不兼容岗位职责表及岗位职责分派表角色1角色2角色3角色4角色5角色6角色7角色8角色9角色1XX角色2X角色3X角色4X角色5X角色6角色7XX角色8角色9X：表达互相冲突的职责附注：信息化建设发展规划的编制信息化建设发展规划的审批项目立项申請项目立项审批项目协议签订项目协议审核项目实行過程中的管理项目评审项目竣工验收业务流程及控制阐明INF001.信息系统的開发合用范围本流程及控制合用于XXXX企业（“企业”）。控制目的和关键控制活動控制目的编号关键控制活動合理规划和实行信息系统建设，增進企业战略目的的实現#1對總投资超過300萬元的重大信息系统项目应编制《项目可行性研究汇报》，并由该项目负责人签字确认後报送至企业行政办公室。行政办公室和承接部门组织专家组對《项目可行性研究汇报》進行评审，专家组對项目提出可行性研究评审意見并签字。保证信息化建设计划的有效确立，并切实的纳入企业预算计划中#1承接部门将《项目需求書》以及開发信息系统的祈求以专題汇报的形式报行政办公室會签、报企业领导同意後，计划财务部将其列入企业年度预算计划。承建單位具有一定的资质及經验。变更的信息技术协议原则文本中波及的权利、义务等条款，通過恰當审批#1采购技术部會同项目承接部门、行政办公室、根据《项目需求書》审查集成商、征询商、開发商及供应商的资质，開展询、比价或招投標、商务談判等工作，并根据經投资证券法务部审定的采购协议或開发实行协议签订协议。保证项目的未来建设是满足各個职能部门的需求；且实行环节是合理而详细的#1和承建企业签约後，承接部门项目负责人會同承建企业，對各职能部门開展应用系统需求调研，制定《项目需求分析汇报》，承建企业制定《项目设计汇报》。承接部门应通過召集會议或者报批的形式审议《需求分析汇报》《项目设计汇报》。各有关部门均应参与會议。總投资额超過300萬的项目《项目需求分析汇报》和《项目设计汇报》必须以专題汇报的形式报企业领导签字同意。到达系统建设预期目的，系统运行安全、稳定，出現系统故障時可以及時恢复，系统具有扩展性、集成性#1行政办公室负责對项目实行單位的实行工作及過程進行监督检查。项目责任部门(單位)會同行政办公室對项目建设進行验收，對项目建设质量、進度、原则执行等進行检查，项目验收時，承建企业必须提交《顾客手册》，系统安装光盘，并编制《项目验收汇报》，项目负责人签字确认。加强信息化培训，提高信息系统效能、信息化管理水平、信息化技能#1承接部门应分批對系统使用部门的关键顾客与一般顾客進行培训和培训考核，培训记录和考核成绩提交行政办公室立案。3.0业务流程阐明各部门信息系统管理的职责在信息系统建设中，企业各职能部门在本部门职责范围和权限内，职责如下：行政办公室重要职责：归口管理企业的信息系统工作；负责企业的信息系统的硬件及软件安全工作；参与并指导信息系统项目開发工作，参与系统的评估工作；督促、协助系统正常运行；协助承接部门修订有关规章和制度。承接部门重要职责：a)技术项目的立项、评估工作，進行可行性分析；b)對项目進行阶段性测试，保证系统正常、有序运行；c)草拟信息技术项目的协议；d)制定规章和制度；e)组织對员工的培训和考核工作；f)负责對承接的信息技术项目進行维护（含安全）工作；g)保证信息系统项目数据得到及時更新。投资证券法务部重要职责：审核项目采购和開发实行协议，指导承接部门确定项目协议事宜；参与并指导项目開发协议纠纷的处理；在信息系统使用中，准時并精确的输入本部门的有关信息；配合承接部门做好對项目需求的调研工作。采购技术部重要职责：负责信息技术项目的招投標工作；配合承接部门做好對项目需求的调研工作；在信息系统使用中，准時并精确的输入本部门的有关信息。人力资源部重要职责：配合承接部门做好對项目需求的调研工作；b)按照规定，及時、精确地更新本部门有关信息；c)制定有关考核制度，负责考核事宜，贯彻奖惩工作。计划财务部重要职责：将项目预算列入企业年度预算计划；配合承接部门做好對项目需求的调研工作；按照规定，及時、精确地更新本部门有关信息。其他部门重要职责：配合承接部门做好對项目需求的调研工作；按照规定，及時、精确地更新本部门有关信息。项目立项审批對總投资超過300萬元的重大信息系统项目应编制《项目可行性研究汇报》，并由该项目负责人签字确认後报送至企业行政办公室。行政办公室和承接部门组织专家组對《项目可行性研究汇报》進行评审，专家组對项目提出可行性研究评审意見并签字。由承接部门根据企业對信息系统的需要制定《项目需求書》，承接部门将《项目需求書》以及開发信息系统的祈求以专題汇报的形式报行政办公室會签、报企业领导同意後立项。计划财务部将其列入企业年度预算计划。《项目需求書》应包括项目需求、目的、技术路线、進度等事项。采购技术部會同项目承接部门、行政办公室、，根据《项目需求書》审查集成商、征询商、開发商及供应商的资质，開展询、比价或招投標、商务談判等工作，并根据經投资证券法务部审定的采购协议或開发实行协议签订协议。项目实行和承建企业签约後，承接部门项目负责人會同承建企业，對各职能部门開展应用系统需求调研，制定《项目需求分析汇报》，承建企业制定《项目设计汇报》。承接部门应通過召集會议或者报批的形式审议《需求分析汇报》《项目设计汇报》。各有关部门均应参与會议。承接部门负责贯彻项目实行计划，组织项目实行和培训，控制项目建设质量、進度和成本；负责组织项目所需数据的搜集、整顿、审核和录入，保证数据的真实、完整和精确。行政办公室负责對项目实行單位的实行工作及過程進行监督检查。项目竣工验收承接部门组织项目承建單位進行数据和技术转移，包括顾客使用手册、系统光盘和系统维护手册等。项目责任部门(單位)會同行政办公室對项目建设進行验收，對项目建设质量、進度、原则执行等進行检查，承建企业必须提交《顾客手册》、系统安装光盘，并编制《项目验收汇报》，提交企业同意。《项目验收汇报》及系统上线事宜应由承接部门以签报形式报行政办公室會签，企业领导审批。系统使用有关制度与培训系统上线及功能更新時，承接部门应提前三天召開會议對系统的关键顾客与一般顾客進行培训；系统上线後，人力资源部、承接部门应及時制定考核方案，保证信息系统的数据得到及時更新，运行平稳；系统试运行一年内，承接部门应會同行政办公室制定信息系统的管理制度和工作原则；承接部门应积极配合人力资源部做好考核的動态管理工作；每年终，人力资源部应結合考核成绩贯彻奖惩措施。信息系统開发控制程序流程開始開始项目与否超過300萬的重大项目项目与否超過300萬的重大项目開发阶段测试工作制定系统使用制度系统上线应用對系统顾客進行培训验收并编制《项目验收汇报》通過修改通過调整企业领导或信息化工作领导小组制定《项目设计汇报》和《项目需求分析汇报》，确定開发時间表進行各职能部门需求调研签订信息系统项目開发协议對開发商進行招投標调整同意是专家组或企业领导论证与否同意立项编制《项目可行性研究汇报》否制定《项目需求書》制定《项目需求書》INF002.信息系统的运行開发阶段测试工作制定系统使用制度系统上线应用對系统顾客進行培训验收并编制《项目验收汇报》通過修改通過调整企业领导或信息化工作领导小组制定《项目设计汇报》和《项目需求分析汇报》，确定開发時间表進行各职能部门需求调研签订信息系统项目開发协议對開发商進行招投標调整同意是专家组或企业领导论证与否同意立项编制《项目可行性研究汇报》否制定《项目需求書》制定《项目需求書》合用范围本流程及控制合用于XXXX企业（“企业”）。控制目的和关键控制活動控制目的编号关键控制活動保证系统变更的必要性和修改後的可靠性#1系统顾客在操作中有发現問題，需填写《功能变更申請表》，經承接部门论证审核，企业领导同意後方可实行功能变更工作。变更完毕後由信息管理系统项目负责人测试後签字确认。系统变更上线前，承接部门应提前三天告知、公告，并進行培训以及数据备份工作。合理设置权限，防止對系统的非法或非授权访問#1顾客新增、修改：如有顾客新增或者变更，有关部门应通過OA发送《工作联络單》給项目承接部门經理审核後，项目經理方可進行顾客名和對应密码的配置工作，项目經理应每月将《系统顾客登记表》报部门經理审核。权限修改：各部门如需對本部门员工的权限進行修改，应填写《权限变更申請表》經行政办公室审核、企业领导审批後，由系统项目管理员贯彻权限设置工作。每季度末，系统项目管理员整顿汇總《权限变更申請表》的贯彻状况，并對应地更新《系统权限配置实行细则》，报企业领导审批。3.0业务流程阐明信息系统变更流程的建立系统顾客在操作中有发現問題，需填写《功能变更申請表》，經承接部门论证审核，企业领导同意後方可实行功能变更工作。变更完毕後由信息管理系统项目负责人测试後签字确认。系统变更上线前，承接部门应提前三天告知、公告，并進行培训以及数据备份工作。3.1.1信息系统变更控制程序流程部门在使用過程中发現問題部门在使用過程中发現問題与否存在系统缺陷是填写《系统功能变更申請表》否办公室审核同意不一样意結束分管领导审核与否需要签订协议？是否同意不一样意走协议流程系统修改上线3.2顾客授权使用制度系统项目經理负责對各信息系统顾客权限制度的指定。并經行政办公室审核、企业领导签字确认後，由系统项目經理保留。顾客新增、修改：如有顾客新增或者变更，有关部门应通過OA发送《工作联络單》給项目承接部门經理审核後，项目經理方可進行顾客名和對应密码的配置工作，项目經理应每月将《系统顾客登记表》报部门經理审核。权限修改：各部门如需對本部门员工的权限進行修改，应填写《权限变更申請表》經行政办公室审核、企业领导审批後，由系统项目管理员贯彻权限设置工作。每月末，系统项目管理员整顿汇總《权限变更申請表》的贯彻状况，并對应地更新《系统权限配置实行细则》，报企业领导审批。顾客名和密码的组合定义了系统中顾客的身份，顾客和组由系统管理员進行管理，不设置多人共用的账号，當企业员工离职後，系统管理部门应及時将其账号進行删除。為防止非法顾客使用信息网络资源，對访問顾客的合法性進行鉴别，當不成功鉴别尝试次数到达限值時，系统将拒绝该顾客的访問，并自動告警。INF003.信息系统的维护合用范围本流程及控制合用于XXXX企业（“企业”）。控制目的和关键控制活動控制目的编号关键控制活動保证信息系统中数据的安全性#1被同意使用数据人员以外的其他人员不应進入机房工作；妥善处理打印成果，任何记有重要信息的废弃物在处理前应進行粉碎。未經容許，不准将机房设备、维护用品、软盘、资料等私自带出机房，如有特殊状况，需經负责人同意并進行登记後方可带出。保证系统运行安全、稳定。保证信息系统中数据的安全性。出現系统故障時可以及時恢复#17.3.2對不一样的信息系统進行不一样周期的系统数据库自動备份工作，做完整性查验，将备份数据寄存于档案室防磁柜内，填写《数据备份登记表》，由负责系统维护人员签字。网络管理员应至少每周一次自動的全系统病毒扫描，每天定期自動检查更新病毒定义文献，對于发現的病毒则要有有关信息提醒自動的发送到有关管理人员处。3.0业务流程阐明硬件及设施维护1＞行政办公室负责平常硬件系统维护、环境保持、应急处理等工作，保证信息系统安全、稳定运行，并做《运行维护记录》。《运行维护记录》由网络管理员签字。需委托進行维护的信息系统，行政办公室负责审查系统服务商资质；由系统承接部门自行维护的，应指定专人负责维护，制定岗位职责。2＞被同意使用数据人员以外的其他人员不应進入机房工作；妥善处理打印成果，任何记有重要信息的废弃物在处理前应進行粉碎。未經容許，不准将机房设备、维护用品、软盘、资料等私自带出机房，如有特殊状况，需經部门负责人同意并進行登记後方可带出。3＞机房网络管理员应熟悉机房内部消防安全操作和规则，理解消防设备操作原理、掌握消防应急处理环节、措施和要领。不定期進行消防演习、消防常识培训、消防设备使用培训。如发現消防安全隐患，应即時采用措施处理，不能处理的应及時向部门负责人汇报。软件维护及防病毒管理1＞行政办公室负责平常网络的监控。通過监控系统對网络链路带宽做实時监控，并在需要時做對应的调整。重要针對设备的网络活動，對关键服务器和网络设备做活跃性测试监控。由网络管理员填写《网络实行监控表》，每月末交行政办公室主任审核。2＞企业网络的防网络袭击和防病毒管理由行政办公室统一管理。各使用人或部门应采用行政办公室推荐的查毒、杀毒软件，包括服务器和客户端的查毒、杀毒软件。严禁使用来历不明、未經杀毒的软件，不阅讀和下载来历不明的電子邮件或文献，严格控制并阻