1、優化信息系統提升管理水平18號信息系統、信息系統內部控制概述企業內部控制應用指引第18 號 信息系統中所指信息系統，是指企業利用計算機和通信技術，對內部控制進行集成、轉化和提升所形成的信息化管理平臺。信息系統內部控制的目標是促進企業有效實施內部控制，提高企業現代化管理水平，減少人為操縱因素；同時，增強信息系統的安全性、可靠性和合理性以及相關信息的保密性、完整性和可用性，為建立有效的信息與溝通機制提供支持保障。信息系統內部控制的主要對象是信息系統，由計算機硬件、軟件、人員、信息流和運行規程等要素組成。現代企業的運營越來越依賴于信息系統。比如航空公司的網上訂票系統、銀行的資金實時結算系統、攜程旅行

2、網的客戶服務系統等，沒有信息系統的支撐，業務開展就舉步維艱、難以為繼，企業經營就很可能陷入癱瘓狀態。還有一些新興產業和新興企業，其商業模式完全依賴信息系統，比如各種網絡公司（新浪、網易、百度）、各種電子商務公司（比如阿里巴巴、卓越公司），沒有信息系統，這些企業可能失去生存之基。同時應當看到，企業信息系統內部控制以及利用信息系統實施內部控制也面臨諸多風險， 至少應當關注下列方面：一是信息系統缺乏或規劃不合理，可能造成信息孤島或重復建設，導致企業經營管理效率低下；二是系統開發不符合內部控制要求，授權管理不當，可能導致無法利用信息技術實施有效控制；三是系統運行維護和安全措施不到位，可能導致信息泄漏或

3、毀損，系統無法正常運行。鑒于信息系統在實施內部控制和現代化管理中具有十分獨特而重要的作用，加之信息系統本身的復雜性和高風險特征，企業內部控制應當指引第18 號 信息系統規定，企業負責人對信息系統建設工作負責。換言之，信息系統建設是“一把手 ”工程。只有企業負責人站在戰略和全局的高度親自組織領導信息系統建設工作，才能統一思想、提高認識、加強協調配合，從而推動信息系統建設在整合資源的前提下高效、協調推進。企業應當重視信息系統在內部控制中的作用，根據內部控制要求，結合組織架構、業務范圍、地域分布、技術能力等因素，制定信息系統建設總體規劃，加大投入力度，有序組織信息系統開發、運行與維護，優化管理流程，

4、防范經營風險，全面提升企業現代化管理水平。二、信息系統的開發企業根據發展戰略和業務需要進行信息系統建設，首先要確立系統建設目標，根據目標進行系統建設戰略規劃，再將規劃細化為項目建設方案。企業開展信息系統建設，可以根據實際情況，采取自行開發、外購調試或業務外包等方式。選擇外購調試或業務外包方式的，應當采用公開招標等形式擇優選擇供應商或開發單位。選擇自行開發信息系統的，信息系統歸口管理部門應當組織企業內部相關業務部門進行需求分析，合理配置人員，明確系統設計、編程、 安裝調試、驗收、上線等全過程的管理要求。企業信息系統歸口管理部門應當加強信息系統開發全過程的跟蹤管理，增進開發單位與企業內部業務部門的

5、日常溝通和協調，組織獨立于開發單位的專業機構對開發完成的信息系統進行檢查驗收，并組織系統上線運行。（一）制定信息系統開發的戰略規劃信息系統開發的戰略規劃是信息化建設的起點，戰略規劃是以企業發展戰略為依據制定的企業信息化建設的全局性、長期性規劃。制定信息系統戰略規劃的主要風險是：第一，缺乏戰略規劃或規劃不合理，可能造成信息孤島或重復建設，導致企業經營管理效率低下。第二， 沒有將信息化與企業業務需求結合，降低了信息系統的應用價值。信息孤島現象是不少企業信息系統建設中存在的普遍問題，根源在于這些企業往往忽視戰略規劃的重要性，缺乏整體觀念和整合意識，常常陷于頭痛醫頭，腳痛醫腳，這就導致有的企業財務管理

6、信息系統、銷售管理信息系統、生產管理信息系統、人力資源管理系統、辦公自動化系統等各自為政、孤立存在的現象，削弱了信息系統的協同效用，甚至引發系統沖突。主要控制措施：第一， 企業必須制定信息系統開發的戰略規劃和中長期發展計劃，并在每年制定經營計劃的同時制定年度信息系統建設計劃，促進經營管理活動與信息系統的協調統一。 第二， 企業在制定信息化戰略過程中，要充分調動和發揮信息系統歸口管理部門與業務部門的積極性，使各部門廣泛參與，充分溝通，提高戰略規劃的科學性、前瞻性和適應性。第三，信息系統戰略規劃要與企業的組織架構、業務范圍、地域分布、技術能力等相匹配，避免相互脫節。（二）選擇適當的信息系統開發方式

7、信息系統的開發建設是信息系統生命周期中技術難度最大的環節。在開發建設環節，要將企業的業務流程、內控措施、權限配置、預警指標、核算方法等固化到信息系統中，因此開發建設的好壞直接影響信息系統的成敗。開發建設主要有自行開發、外購調試、業務外包等方式。各種開發方式有各自的優缺點和適用條件，企業應根據自身實際情況合理選擇。1自行開發自行開發是企業依托自身力量完成整個開發過程。其優點是開發人員熟悉企業情況，可以較好地滿足本企業的需求，尤其是具有特殊性的業務需求。通過自行開發，還可以培養鍛煉自己的開發隊伍，便于后期的運行和維護。其缺點是開發周期較長、技術水平和規范程度較難保證，成功率相對較低。因此， 自行開

8、發方式的適用條件通常是企業自身技術力量雄厚，而且市場上沒有能夠滿足企業需求的成熟的商品化軟件和解決方案。比如百度的搜索引擎系統就偏重于自行開發。2外購調試外購調式的基本做法是企業購買成熟的商品化軟件，通過參數配置和二次開發滿足企業需求。其優點是開發建設周期短；成功率較高；成熟的商品化軟件質量穩定，可靠性高；專業的軟件提供商實施經驗豐富。其缺點是難以滿足企業的特殊需求；系統的后期升級進度受制于商品化軟件供應商產品更新換代的速度，企業自主權不強，較為被動。外購調試方式的適用條件通常是企業的特殊需求較少，市場上已有成熟的商品化軟件和系統實施方案。比如大部分企業的財務管理系統、ERP系統、人力資源管理

9、系統等多采用外購調試方式。3業務外包信息系統的業務外包是指委托其他單位開發信息系統，基本做法是企業將信息系統開發項目外包出去，由專業公司或科研機構負責開發、安裝實施，由企業直接使用。其優點是企業可以充分利用專業公司的專業優勢，量體裁衣，構建全面、高效滿足企業需求的個性化系統； 企業不必培養、維持龐大的開發隊伍，相應節約了人力資源成本。其缺點是溝通成本高，系統開發方難以深刻理解企業需求，可能導致開發出的信息系統與企業的期望產生較大偏差； 同時， 由于外包信息系統與系統開發方的專業技能、職業道德和敬業精神存在密切關系，也要求企業必須加大對外包項目的監督力度。業務外包方式的適用條件通常是市場上沒有能

10、夠滿足企業需求的成熟的商品化軟件和解決方案，企業自身技術力量薄弱或出于成本效益原則考慮不愿意維持龐大的開發隊伍。（三）自行開發方式的關鍵控制點和主要控制措施雖然信息系統的開發方式有自行開發、外購調試、業務外包等多種方式，但基本流程大體相似，通常包含項目計劃、需求分析、系統設計、編程和測試、上線等環節。1項目計劃環節戰略規劃通常將完整的信息系統分成若干子系統，并分階段建設不同的子系統。比如，制造企業可以將信息系統劃分為財務管理系統、人力資源管理系統、MRP 系統（銷售、采購、庫存、生產）、計算機輔助設計和制造系統、客戶關系系統、電子商務系統等若干子系統。項目就是指本階段需要建設的相對獨立的一個或

11、多個子系統。項目計劃通常包括項目范圍說明、項目進度計劃、項目質量計劃、項目資源計劃、項目溝通計劃、風險對策計劃、項目采購計劃、需求變更控制、配置管理計劃等內容。項目計劃不是完全靜止、一成不變的，在項目啟動階段，可以先制定一個較為原則的項目計劃，確定項目主要內容和重大事項，然后根據項目的大小和性質以及項目進展情況進行調整、充實和完善。 項目計劃環節的主要風險是：信息系統建設缺乏項目計劃或者計劃不當，導致項目進度滯后、費用超支、質量低下。主要控制措施：第一， 企業應當根據信息系統建設整體規劃提出分階段項目的建設方案，明確建設目標、人員配備、職責分工、經費保障和進度安排等相關內容，按照規定的權限和程

12、序審批后實施。第二，企業可以采用標準的項目管理軟件（比如 Ofice Project）制定項目計劃，并加以跟蹤。在關鍵環節進行階段性評審，以保證過程可控。第三，項目關鍵環節編制的文檔應參照GB8567 88 計算機軟件產品開發文件編制指南等相關國家標準和行業標準進行，以提高項目計劃編制水平。2需求分析環節需求分析的目的是明確信息系統需要實現哪些功能。該項工作是系統分析人員和用戶單位的管理人員、業務人員在深入調查的基礎上，詳細描述業務活動涉及的各項工作以及用戶的各種需求，從而建立未來目標系統的邏輯模型。這一環節的主要風險是：第一， 需求本身不合理， 對信息系統提出的功能、性能、 安全性等方面的要

13、求不符合業務處理和控制的需要。第二，技術上不可行、經濟上成本效益倒掛，或與國家有關法規制度存在沖突。第三，需求文檔表述不準確、不完整，未能真實全面地表達企業需求，存在表述缺失、表述不一致甚至表述錯誤等問題。主要控制措施：第一， 信息系統歸口管理部門應當組織企業內部各有關部門提出開發需求， 加強系統分析人員和有關部門的管理人員、業務人員的交流，經綜合分析提煉后形成合理的需求。第二，編制表述清晰、表達準確的需求文檔。需求文檔是業務人員和技術人員共同理解信息系統的橋梁，必須準確表述系統建設的目標、功能和要求。企業應當采用標準建模語言（例如UML）,綜合運用多種建模工具和表現手段，參照GB856788

14、計算機軟件產品開發文件編制指南等相關標準，提高系統需求說明書的編寫質量。第三，企業應當建立健全需求評審和需求變更控制流程。依據需求文檔進行設計（含需求變更設計）前，應當評審其可行性，由需求提出人和編制人簽字確認，并經業務部門與信息系統歸口管理部門負責人審批。設計出一個能在企業特3系統設計環節 系統設計是根據系統需求分析階段所確定的目標系統邏輯模型，定的計算機和網絡環境中實現的方案，即建立信息系統的物理模型。系統設計包括總體設計和詳細設計。總體設計的主要任務是：第一，設計系統的模塊結構，合理劃分子系統邊界和接口。 第二，選擇系統實現的技術路線，確定系統的技術架構，明確系統重要組件的內容和行為特征

15、，以及組件之間、組件與環境之間的接口關系。第三，數據庫設計，包括主要的數據庫表結構設計、存儲設計、數據權限和加密設計等。第四，設計系統的網絡拓撲結構、系統部署方式等。詳細設計的主要任務包括：程序說明書編制、數據編碼規范設計、輸入輸出界面設計等內容。系統設計環節的主要風險是：第一，設計方案不能完全滿足用戶需求，不能實現需求文檔規定的目標。第二， 設計方案未能有效控制建設開發成本，不能保證建設質量和進度。第三，設計方案不全面，導致后續變更頻繁。第四，設計方案沒有考慮信息系統建成后對企業內部控制的影響，導致系統運行后衍生新的風險。主要控制措施：第一， 系統設計負責部門應當就總體設計方案與業務部門進行

16、溝通和討論，說明方案對用戶需求的覆蓋情況；存在備選方案的，應當詳細說明各方案在成本、建設時間和用戶需求響應上的差異；信息系統歸口管理部門和業務部門應當對選定的設計方案予以書面確認。第二，企業應參照GB8567 88 計算機軟件產品開發文件編制指南等相關國家標準和行業標準，提高系統設計說明書的編寫質量。第三， 企業應建立設計評審制度和設計變更控制流程。第四， 在系統設計時應當充分考慮信息系統建成后的控制環境，將生產經營管理業務流程、關鍵控制點和處理規程嵌入系統程序，實現手工環境下難以實現的控制功能， 例如： 對于某一財務軟件，當輸入支出憑證時，可以讓計算機自動檢查銀行存款余額，防止透支。第五，應

17、充分考慮信息系統環境下的新的控制風險，比如，要通過信息系統中的權限管理功能控制用戶的操作權限，避免將不相容職務的處理權限授予同一用戶。第六， 應當針對不同的數據輸入方式，強化對進入系統數據的檢查和校驗功能。比如， 憑證的自動平衡校對。 第七， 系統設計時應當考慮在信息系統中設置操作日志功能，確保操作的可審計性。對異常的或者違背內部控制要求的交易和數據，應當設計由系統自動報告并設置跟蹤處理機制。第八，預留必要的后臺操作通道，對于必需的后臺操作，應當加強管理，建立規范的操作流程，確保足夠的日志記錄，保證對后臺操作的可監控性。4編程和測試環節編程階段是將詳細設計方案轉換成某種計算機編程語言的過程。編

18、程階段完成之后，要進行測試，測試主要有以下目的：一是發現軟件開發過程中的錯誤，分析錯誤的性質，確定錯誤的位置并予以糾正。二是通過某些系統測試，了解系統的響應時間、事務處理吞吐量、載荷能力、失效恢復能力以及系統實用性等指標，以便對整個系統做出綜合評價。測試環節在系統開發中具有舉足輕重的地位。這一環節的主要風險是：第一， 編程結果與設計不符。第二， 各程序員編程風格差異大，程序可讀性差，導致后期維護困難，維護成本高。第三，缺乏有效的程序版本控制，導致重復修改或修改不一致等問題。第四， 測試不充分。單個模塊正常運行但多個模塊集成運行時出錯， 開發環境下測試正常而生產環境下運行出錯，開發人員自測正常而

19、業務部門用戶使用時出錯，導致系統上線后可能出現嚴重問題。主要控制措施：第一，項目組應建立并執行嚴格的代碼復查評審制度。第二，項目組應建立并執行統一的編程規范，在標識符命名、程序注釋等方面統一風格。第三，應使用版本控制軟件系統（例如CVS） ，保證所有開發人員基于相同的組件環境開展項目工作，協調開發人員對程序的修改。第四，應區分單元測試、組裝測試（集成測試）、系統測試、驗收測試等不同測試類型，建立嚴格的測試工作流程，提高最終用戶在測試工作中的參與程度，改進測試用例的編寫質量，加強測試分析，盡量采用自動測試工具提高測試工作的質量和效率。具備條件的企業，應當組織獨立于開發建設項目組的專業機構對開發完

20、成的信息系統進行驗收測試，確保在功能、性能、控制要求和安全性等方面符合開發需求。5上線環節系統上線是將開發出的系統（可執行的程序和關聯的數據）部署到實際運行的計算機環境中， 使信息系統按照既定的用戶需求來運轉，切實發揮信息系統的作用。這一環節的主要風險是：第一，缺乏完整可行的上線計劃，導致系統上線混亂無序。第二，人員培訓不足，不能正確使用系統，導致業務處理錯誤，或者未能充分利用系統功能，導致開發成本浪費。第三，初始數據準備設置不合格，導致新舊系統數據不一致、業務處理錯誤。主要控制措施：第一， 企業應當制定信息系統上線計劃，并經歸口管理部門和用戶部門審核批準。上線計劃一般包括人員培訓、數據準備、

21、進度安排、應急預案等內容。第二，系統上線涉及新舊系統切換的，企業應當在上線計劃中明確應急預案，保證新系統失效時能夠順利切換回舊系統。第三，系統上線涉及數據遷移的，企業應當制定詳細的數據遷移計劃，并對遷移結果進行測試。用戶部門應當參與數據遷移過程，對遷移前后的數據予以書面確認。（四）其他開發方式的關鍵控制點和主要控制措施下面介紹其他開發方式（業務外包、外購調試）的關鍵控制點和主要控制措施。在業務外包、外購調試方式下，企業對系統設計、編程、 測試環節的參與程度明顯低于自行開發方式，因此可以適當簡化相應的風險控制措施，但同時也因開發方式的差異產生一些新的風險，需要采取有針對性的控制措施。1業務外包方

22、式的關鍵控制點和主要控制措施（ 1）選擇外包服務商這一環節的主要風險是：由于企業與外包服務商之間本質上是一種委托 代理關系,合作雙方的信息不對稱容易誘發道德風險，外包服務商可能會實施損害企業利益的自利行為,如偷工減料、放松管理、信息泄密等。主要控制措施：第一， 企業在選擇外包服務商時要充分考慮服務商的市場信譽、資質條件、財務狀況、服務能力、對本企業業務的熟悉程度、既往承包服務成功案例等因素,對外包服務商進行嚴格篩選。第二，企業可以借助外包業界基準來判斷外包服務商的綜合實力。第三，企業要嚴格外包服務審批及管控流程,對信息系統外包業務，原則上應采用公開招標等形式選擇外包服務商，并實行集體決策審批。

23、（ 2）簽訂外包合同這一環節的主要風險是：由于合同條款不準確、不完善，可能導致企業的正當權益無法得到有效保障。主要控制措施：第一，企業在與外包服務商簽約之前,應針對外包可能出現的各種風險損失 ,恰當擬定合同條款,對涉及的工作目標、合作范疇、責任劃分、所有權歸屬、付款方式、違約賠償及合約期限等問題做出詳細說明,并由法律部門或法律顧問審查把關。第二，開發過程中涉及商業秘密、敏感數據的，企業應當與外包服務商簽訂詳細的“保密協定”，以保證數據安全。第三，在合同中約定付款事宜時,應當選擇分期付款方式，尾款應當在系統運行一段時間并經評估驗收后再支付。第四， 應在合同條款中明確要求外包服務商保持專業技術服務

24、團隊的穩定性。（ 3）持續跟蹤評價外包服務商的服務過程這一環節的主要風險是：企業缺乏外包服務跟蹤評價機制或跟蹤評價不到位，可能導致外包服務質量水平不能滿足企業信息系統開發需求。主要控制措施：第一， 企業應當規范外包服務評價工作流程，明確相關部門的職責權限，建立外包服務質量考核評價指標體系，定期對外包服務商進行考評,并公布服務周期的評估結果,實現外包服務水平的跟蹤評價。第二，必要時，可以引入監理機制，降低外包服務風險。2外購調試方式的關鍵控制點和主要控制措施在外購調試方式下，一方面， 企業面臨與委托開發方式類似的問題，企業要選擇軟件產品的供應商和服務供應商、簽訂合約、跟蹤服務質量，因此，企業可采

25、用與委托開發方式類似的控制措施；另一方面，外購調試方式也有其特殊之處，企業需要有針對性的強化某些控制措施。（ 1）軟件產品選型和供應商選擇在外購調試方式下，軟件供應商的選擇和軟件產品的選型是密切相關的。這一環節的主要風險是：第一， 軟件產品選型不當，產品在功能、性能、 易用性等方面無法滿足企業需求。第二，軟件供應商選擇不當，產品的支持服務能力不足，產品的后續升級缺乏保障。主要控制措施：第一，企業應明確自身需求，對比分析市場上的成熟軟件產品，合理選擇軟件產品的模塊組合和版本。第二，企業在軟件產品選型時應廣泛聽取行業專家的意見。第三， 企業在選擇軟件產品和服務供應商時，不僅要評價其現有產品的功能、

26、性能，還要考察其服務支持能力和后續產品的升級能力。（ 2）服務提供商選擇大型企業管理信息系統（例如ERP系統）的外購實施，不僅需要選擇合適的軟件供應商和軟件產品，也需要選擇合適的咨詢公司等服務提供商，指導企業將通用軟件產品與本企業的實際情況有機結合。這一環節的主要風險是：服務提供商選擇不當，削弱了外購軟件產品的功能發揮，導致無法有效滿足用戶需求。主要控制措施：在選擇服務提供商時，不僅要考核其對軟件產品的熟悉、理解程度，也要考核其是否深刻理解企業所處行業的特點、是否理解企業的個性化需求、是否有過相同或相近的成功案例。三、信息系統的運行與維護信息系統的運行與維護主要包含三方面的內容：日常運行維護、

27、系統變更和安全管理。（一）日常運行維護的關鍵控制點和主要控制措施日常運行維護的目標是保證系統正常運轉，主要工作內容包括系統的日常操作、系統的日常巡檢和維修、系統運行狀態監控、異常事件的報告和處理等。這一環節的主要風險是：第一， 沒有建立規范的信息系統日常運行管理規范，計算機軟硬件的內在隱患易于爆發，可能導致企業信息系統出錯。第二， 沒有執行例行檢查，導致一些人為惡意攻擊會長期隱藏在系統中，可能造成嚴重損失。第三，企業信息系統數據未能定期備份，可能導致損壞后無法恢復，從而造成重大損失。主要控制措施：第一， 企業應制定信息系統使用操作程序、信息管理制度以及各模塊子系統的具體操作規范，及時跟蹤、發現

28、和解決系統運行中存在的問題，確保信息系統按照規定的程序、制度和操作規范持續穩定運行。第二，切實做好系統運行記錄，尤其是對于系統運行不正常或無法運行的情況，應將異常現象、發生時間和可能的原因作出詳細記錄。第三，企業要重視系統運行的日常維護，在硬件方面，日常維護主要包括各種設備的保養與安全管 理、故障的診斷與排除、易耗品的更換與安裝等，這些工作應由專人負責。第四，配備專業人員負責處理信息系統運行中的突發事件，必要時應會同系統開發人員或軟硬件供應商共同 解決。（二）系統變更的關鍵控制點和主要控制措施系統變更主要包括硬件的升級擴容、軟件的修改與升級等。系統變更是為了更好地滿足企業需求，但同時應加強對變

29、更申請、變更成本與進度的控制。這一環節的主要風險是：第一，企業沒有建立嚴格的變更申請、審批、執行、測試流程，導致系統隨意變更。第二，系統變更后的效果達不到預期目標。主要控制措施：第一， 企業應當建立標準流程來實施和記錄系統變更，保證變更過程得到適當的授權與管理層的批準，并對變更進行測試。信息系統變更應當嚴格遵照管理流程進行操作。信息系統操作人員不得擅自進行軟件的刪除、修改等操作；不得擅自升級、改變軟件版本；不得擅自改變軟件系統的環境配置。第二，系統變更程序（如軟件升級）需要遵循與新系統開發項目同樣的驗證和測試程序，必要時還應當進行額外測試。第三， 企業應加強緊急變更的控制管理。第四， 企業應加

30、強對將變更移植到生產環境中的控制管理，包括系統訪問授權控制、數據轉換控制、用戶培訓等。（三）安全管理的關鍵控制點和主要控制措施安全管理的目標是保障信息系統安全，信息系統安全是指信息系統包含的所有硬件、軟件和數據受到保護，不因偶然和惡意的原因而遭到破壞、更改和泄漏，信息系統能夠連續正常運行。這一環節的主要風險是：第一，硬件設備分布物理范圍廣，設備種類繁多，安全管理難度大，可能導致設備生命周期短。第二，業務部門信息安全意識薄弱，對系統和信息安全缺乏有效的監管手段。少數員工可能惡意或非惡意濫用系統資源，造成系統運行效率降低。 第三， 對系統程序的缺陷或漏洞安全防護不夠，導致遭受黑客攻擊，造成信息泄露

31、。第四， 對各種計算機病毒防范清理不力，導致系統運行不穩定甚至癱瘓。第五，缺乏對信息系統操作人員的嚴密監控，可能導致舞弊和利用計算機犯罪。主要控制措施是：第一， 建立信息系統相關資產的管理制度，保證電子設備的安全。硬件和網絡設備不僅是信息系統運行的基礎載體，也是價值昂貴的固定資產。企業應在健全設備管理制度的基礎上， 建立專門的電子設備管控制度，對于關鍵信息設備（例如銀行的核心數據庫服務器），未經授權，不得接觸。第二， 企業應成立專門的信息系統安全管理機構，由企業主要領導負總責，對企業的信息安全作出總體規劃和全方位嚴格管理，具體實施工作可由企業的信息主管部門負責。企業應強化全體員工的安全保密意識

32、，特別要對重要崗位員工進行信息系統安全保密培訓，并簽署安全保密協議。企業應當建立信息系統安全保密制度和泄密責任追究制度。第三， 企業應當按照國家相關法律法規以及信息安全技術標準，制定信息系統安全實施細則。 根據業務性質、重要程度、涉密情況等確定信息系統的安全等級，建立不同等級信息的授權使用制度，采用相應技術手段保證信息系統運行安全有序。對于信息系統的使用者和不同安全等級信息之間的授權關系，應在系統開發建設階段就形成方案并加以設計，在軟件系統中預留這種對應關系的設置功能，以便根據使用者崗位職務的變遷進行調整。第四，企業應當有效利用IT 技術手段，對硬件配置調整、軟件參數修改嚴加控制。例如，企業可利用操作系統、數據庫系統、應用系統提供的安全機制，設置安全參數，保證系統訪問安全；對于重要的計算機設備，企業應當利用技術手段防止員工擅自安裝、卸載軟件或者改變軟件系統配置，并定期對上述情況進行檢查。第五，企業委托專業機構進行系統運行與維護管理的，應當嚴格審查其資質條件、市場聲譽和信用狀況等，并與其簽訂正式的服務合同和保密協議。第六，企業應當采取安裝安全軟件等措施防范信息系統受到病毒等惡意軟件的感染和破 壞。企業應當特別注重加強對服務器等關鍵部位的防護；對于存在網絡應用的企業， 應當綜合利用防火墻、路由器等網絡設備， 采用內