企業(yè)內(nèi)部控制應(yīng)用指引之內(nèi)部信息傳遞?企業(yè)內(nèi)部操縱應(yīng)用指引第17號(hào)——內(nèi)部信息傳遞?一、信息系統(tǒng)內(nèi)部操縱概述?企業(yè)內(nèi)部操縱應(yīng)用指引第18號(hào)——信息系統(tǒng)?中所指信息系統(tǒng)，是指企業(yè)利用運(yùn)算機(jī)和通信技術(shù)，對(duì)內(nèi)部操縱進(jìn)行集成、轉(zhuǎn)化和提升所形成的信息化治理平臺(tái)。完整性和可用性，為建立有效的信息與溝通機(jī)制提供支持保證。規(guī)程等要素組成。企業(yè)信息系統(tǒng)內(nèi)部操縱以及利用信息系統(tǒng)實(shí)施內(nèi)部操縱至少應(yīng)當(dāng)關(guān)注以下方面：1率低下；2效操縱；3、系統(tǒng)運(yùn)行愛(ài)護(hù)和安全措施不到位，可能導(dǎo)致信息泄漏或毀損，系統(tǒng)無(wú)法正常運(yùn)行。二、信息系統(tǒng)的開(kāi)發(fā)進(jìn)行系統(tǒng)建設(shè)戰(zhàn)略規(guī)劃，再將規(guī)劃細(xì)化為項(xiàng)目建設(shè)方案。式。位。求。企業(yè)信息系統(tǒng)歸口治理部門應(yīng)當(dāng)加強(qiáng)信息系統(tǒng)開(kāi)發(fā)全過(guò)程的跟蹤治理統(tǒng)進(jìn)行檢查驗(yàn)收，并組織系統(tǒng)上線運(yùn)行。〔一〕制定信息系統(tǒng)開(kāi)發(fā)的戰(zhàn)略規(guī)劃信息系統(tǒng)開(kāi)發(fā)的戰(zhàn)略規(guī)劃是信息化建設(shè)的起點(diǎn)。戰(zhàn)略規(guī)劃是以企業(yè)進(jìn)展戰(zhàn)略為依據(jù)制定的企業(yè)信息化建設(shè)的全局性、長(zhǎng)期性規(guī)劃。系統(tǒng)的應(yīng)用價(jià)值。要緊操縱措施：算的同時(shí)制定年度信息系統(tǒng)建設(shè)打算，促進(jìn)經(jīng)營(yíng)治理活動(dòng)與信息系統(tǒng)的和諧統(tǒng)一。配，幸免相互脫節(jié)。〔二〕選擇適當(dāng)?shù)男畔⑾到y(tǒng)開(kāi)發(fā)方式信息系統(tǒng)的開(kāi)發(fā)建設(shè)是信息系統(tǒng)生命周期中技術(shù)難度最大的環(huán)節(jié)。在開(kāi)發(fā)建設(shè)環(huán)節(jié)，要將企業(yè)的業(yè)務(wù)流程、內(nèi)控措施、權(quán)限配置、預(yù)警指標(biāo)、核算方法等固化到信息系統(tǒng)中，因此開(kāi)發(fā)建設(shè)的好壞直截了當(dāng)阻礙信息系統(tǒng)的成敗。開(kāi)發(fā)建設(shè)要緊有自行開(kāi)發(fā)、外購(gòu)調(diào)試、業(yè)務(wù)外包等方式；企業(yè)應(yīng)依照自身實(shí)際情形合理選擇。發(fā)周期較長(zhǎng)、技術(shù)水平和規(guī)范程度較難保證，成功率相對(duì)較低。外購(gòu)調(diào)試的差不多做法是企業(yè)購(gòu)買成熟的商品化軟件，通過(guò)參數(shù)配置和二次開(kāi)發(fā)滿外購(gòu)調(diào)試方式的適用條件通常是企業(yè)的專門需求較少，市場(chǎng)上已有成熟的商品化軟件和系統(tǒng)實(shí)施方案。3．當(dāng)使用。業(yè)務(wù)外包方式的適用條件通常是市場(chǎng)上沒(méi)有能夠滿足企業(yè)需求的成熟的商品化軟件和〔三〕自行開(kāi)發(fā)方式的關(guān)鍵操縱點(diǎn)和要緊操縱措施盡管信息系統(tǒng)的開(kāi)發(fā)方式有自行開(kāi)發(fā)、外購(gòu)調(diào)試、業(yè)務(wù)外包等多種方式，但差不多流程大體相似，通常包含項(xiàng)目打算、需求分析、系統(tǒng)設(shè)計(jì)、編程和測(cè)試、上線等環(huán)節(jié)。MRP系統(tǒng)〔銷售、采購(gòu)、庫(kù)存、生產(chǎn)項(xiàng)目確實(shí)是指本時(shí)期需要建設(shè)的相對(duì)獨(dú)立的一個(gè)或多個(gè)子系統(tǒng)。溝通打算、風(fēng)險(xiǎn)計(jì)策打算、項(xiàng)目采購(gòu)打算、需求變更操縱、配置治理打算等內(nèi)容。滯后、費(fèi)用超支、質(zhì)量低下。時(shí)期性評(píng)審，以保證過(guò)程可控。第三，項(xiàng)目關(guān)鍵環(huán)節(jié)編制的文檔應(yīng)參照?GB8567－88運(yùn)算機(jī)軟件產(chǎn)品開(kāi)發(fā)文件編制指南?等相關(guān)國(guó)家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)進(jìn)行，以提高項(xiàng)目打算編制水平。需求分析環(huán)節(jié)需求分析的目的是明確信息系統(tǒng)需要實(shí)現(xiàn)哪些功能。描述業(yè)務(wù)活動(dòng)涉及的各項(xiàng)工作以及用戶的各種需求，建立以后目標(biāo)系統(tǒng)的邏輯模型。這一環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：務(wù)處理和操縱的需要。第二，技術(shù)上不可行、經(jīng)濟(jì)上成本效益倒掛，或與國(guó)家有關(guān)法規(guī)制度存在沖突。第三，需求文檔表述不準(zhǔn)確、不完整，未能真實(shí)全面地表達(dá)企業(yè)需求，存在表述缺失、表述不一致甚至表述錯(cuò)誤等問(wèn)題。要緊操縱措施：析人員和有關(guān)部門的治理人員、業(yè)務(wù)人員的交流，經(jīng)綜合分析提煉后形成合理的需求。第二，編制表述清晰、表達(dá)準(zhǔn)確的需求文檔。需求文檔是業(yè)務(wù)人員和技術(shù)人員共同明白得信息系統(tǒng)的橋梁目標(biāo)、功能和要求。企業(yè)應(yīng)當(dāng)采納標(biāo)準(zhǔn)建模語(yǔ)言，綜合運(yùn)用多種建模工具和表現(xiàn)手段，參照運(yùn)算機(jī)軟件產(chǎn)品開(kāi)發(fā)文件編制指南?等相關(guān)標(biāo)準(zhǔn)，提高系統(tǒng)需求說(shuō)明書(shū)的編寫質(zhì)量。出一個(gè)能在企業(yè)特定的運(yùn)算機(jī)和網(wǎng)絡(luò)環(huán)境中實(shí)現(xiàn)的方案，即建立信息系統(tǒng)的物理模型。系統(tǒng)設(shè)計(jì)包括總體設(shè)計(jì)和詳細(xì)設(shè)計(jì)。總體設(shè)計(jì)的要緊任務(wù)是：第一，設(shè)計(jì)系統(tǒng)的模塊結(jié)構(gòu)，合理劃分子系統(tǒng)邊界和接口。為特點(diǎn)，以及組件之間、組件與環(huán)境之間的接口關(guān)系。第四，設(shè)計(jì)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、系統(tǒng)部署方式等。詳細(xì)設(shè)計(jì)的要緊任務(wù)包括：程序說(shuō)明書(shū)編制、數(shù)據(jù)編碼規(guī)范設(shè)計(jì)、輸入輸出界面設(shè)計(jì)等內(nèi)容。系統(tǒng)設(shè)計(jì)環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：第一，設(shè)計(jì)方案不能完全滿足用戶需求，不能實(shí)現(xiàn)需求文檔規(guī)定的目標(biāo)。第二，設(shè)計(jì)方案未能有效操縱建設(shè)開(kāi)發(fā)成本，不能保證建設(shè)質(zhì)量和進(jìn)度。第三，設(shè)計(jì)方案不全面，導(dǎo)致后續(xù)變更頻繁。新的風(fēng)險(xiǎn)。要緊操縱措施：響應(yīng)上的差異；信息系統(tǒng)歸口治理部門和業(yè)務(wù)部門應(yīng)當(dāng)對(duì)選定的設(shè)計(jì)方案予以書(shū)面確認(rèn)。第二，企業(yè)應(yīng)參照?GB8567－88運(yùn)算機(jī)軟件產(chǎn)品開(kāi)發(fā)文件編制指南?等相關(guān)國(guó)家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)，提高系統(tǒng)設(shè)計(jì)說(shuō)明書(shū)的編寫質(zhì)量。第三，企業(yè)應(yīng)建立設(shè)計(jì)評(píng)審制度和設(shè)計(jì)變更操縱流程。程、關(guān)鍵操縱點(diǎn)和處理規(guī)程嵌入系統(tǒng)程序，實(shí)現(xiàn)手工環(huán)境下難以實(shí)現(xiàn)的操縱功能。理功能操縱用戶的操作權(quán)限，幸免將不相容職務(wù)的處理權(quán)限授予同一用戶。第六，應(yīng)當(dāng)針對(duì)不同的數(shù)據(jù)輸入方式，強(qiáng)化對(duì)進(jìn)入系統(tǒng)數(shù)據(jù)的檢查和校驗(yàn)功能。比如，憑證的自動(dòng)平穩(wěn)校對(duì)。專門的或者違抗內(nèi)部操縱要求的交易和數(shù)據(jù)，應(yīng)當(dāng)設(shè)計(jì)系統(tǒng)自動(dòng)報(bào)告并跟蹤處理機(jī)制。作流程，確保足夠的日志記錄，保證對(duì)后臺(tái)操作的可監(jiān)控性。編程時(shí)期完成之后，要進(jìn)行測(cè)試，測(cè)試要緊有以下目的：一是發(fā)覺(jué)軟件開(kāi)發(fā)過(guò)程中的錯(cuò)誤，分析錯(cuò)誤的性質(zhì)，確定錯(cuò)誤的位置并予以糾正。能力以及系統(tǒng)有用性等指標(biāo)，以便對(duì)整個(gè)系統(tǒng)做出綜合評(píng)判。測(cè)試環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：第一，編程結(jié)果與設(shè)計(jì)不符。第二，各程序員編程風(fēng)格差異大，程序可讀性差，導(dǎo)致后期愛(ài)護(hù)困難，愛(ài)護(hù)成本高。第三，缺乏有效的程序版本操縱，導(dǎo)致重復(fù)修改或修改不一致等問(wèn)題。可能顯現(xiàn)嚴(yán)峻問(wèn)題。要緊操縱措施：第一，項(xiàng)目組應(yīng)建立并執(zhí)行嚴(yán)格的代碼復(fù)查評(píng)審制度。第三，應(yīng)使用版本操縱軟件系統(tǒng)〔例如CVS開(kāi)展項(xiàng)目工作，和諧開(kāi)發(fā)人員對(duì)程序的修改。第四，應(yīng)區(qū)分單元測(cè)試、組裝測(cè)試〔集成測(cè)試系統(tǒng)進(jìn)行驗(yàn)收測(cè)試，確保在功能、性能、操縱要求和安全性等方面符合開(kāi)發(fā)需求。行的運(yùn)算機(jī)環(huán)境中，使信息系統(tǒng)按照既定的用戶需求來(lái)運(yùn)轉(zhuǎn)，切實(shí)發(fā)揮信息系統(tǒng)的作用。這一環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：第一，缺乏完整可行的上線打算，導(dǎo)致系統(tǒng)上線紛亂無(wú)序。功能，導(dǎo)致開(kāi)發(fā)成本白費(fèi)。第三，初始數(shù)據(jù)預(yù)備設(shè)置不合格，導(dǎo)致新舊系統(tǒng)數(shù)據(jù)不一致、業(yè)務(wù)處理錯(cuò)誤。要緊操縱措施：打算一樣包括人員培訓(xùn)、數(shù)據(jù)預(yù)備、進(jìn)度安排、應(yīng)急預(yù)案等內(nèi)容。統(tǒng)失效時(shí)能夠順利切換回舊系統(tǒng)。行測(cè)試。用戶部門應(yīng)當(dāng)參與數(shù)據(jù)遷移過(guò)程，對(duì)遷移前后的數(shù)據(jù)予以書(shū)面確認(rèn)。〔四〕其他開(kāi)發(fā)方式的關(guān)鍵操縱點(diǎn)和要緊操縱措施下面介紹其他開(kāi)發(fā)方式〔業(yè)務(wù)外包、外購(gòu)調(diào)試〕的關(guān)鍵操縱點(diǎn)和要緊操縱措施。在業(yè)務(wù)外包、外購(gòu)調(diào)試方式下，需要采取有針對(duì)性的操縱措施。1．業(yè)務(wù)外包方式的關(guān)鍵操縱點(diǎn)和要緊操縱措施1．業(yè)務(wù)外包方式的關(guān)鍵操縱點(diǎn)和要緊操縱措施〔1〕選擇外包服務(wù)商的要緊風(fēng)險(xiǎn)是：由于企業(yè)與外包服務(wù)商之間本質(zhì)上是一種〝托付—代理〞關(guān)系,合作雙方的信息不對(duì)稱容易誘發(fā)道德風(fēng)險(xiǎn)，外包服務(wù)商可能會(huì)實(shí)施損害企業(yè)利益的自利行為,如偷工減料、放松治理、信息泄密等。要緊操縱措施：第二，企業(yè)能夠借助外包業(yè)界基準(zhǔn)來(lái)判定外包服務(wù)商的綜合實(shí)力。第三，企業(yè)要嚴(yán)格外包服務(wù)審批及管控流程,對(duì)信息系統(tǒng)外包業(yè)務(wù)，原那么上應(yīng)采納公布招標(biāo)等形式選擇外包服務(wù)商，并實(shí)行集體決策審批。〔2〕簽訂外包合同這一環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：由于合同條款不準(zhǔn)確、不完善，可能導(dǎo)致企業(yè)的正當(dāng)權(quán)益無(wú)法得到有效保證。要緊操縱措施：密協(xié)定〞，以保證數(shù)據(jù)安全。第三，在合同中約定付款事宜時(shí),應(yīng)當(dāng)選擇分期付款方式，尾款應(yīng)當(dāng)在系統(tǒng)運(yùn)行一段時(shí)刻并經(jīng)評(píng)估驗(yàn)收后再支付。第四，應(yīng)在合同條款中明確要求外包服務(wù)商保持專業(yè)技術(shù)服務(wù)團(tuán)隊(duì)的穩(wěn)固性。〔3〕連續(xù)跟蹤評(píng)判外包服務(wù)商的要緊風(fēng)險(xiǎn)是：企業(yè)缺乏外包服務(wù)跟蹤評(píng)判機(jī)制或跟蹤評(píng)判不到位，可能導(dǎo)致外包服務(wù)質(zhì)量水平不能滿足企業(yè)信息系統(tǒng)開(kāi)發(fā)需求。要緊操縱措施：第一，企業(yè)應(yīng)當(dāng)規(guī)范外包服務(wù)評(píng)判工作流程，明確相關(guān)部門的職責(zé)權(quán)限，建立外包服務(wù)務(wù)水平的跟蹤評(píng)判。第二，必要時(shí)，能夠引入監(jiān)理機(jī)制，降低外包服務(wù)風(fēng)險(xiǎn)。2．外購(gòu)調(diào)試方式的關(guān)鍵操縱點(diǎn)和要緊操縱措施在外購(gòu)調(diào)試方式：2．外購(gòu)調(diào)試方式的關(guān)鍵操縱點(diǎn)和要緊操縱措施在外購(gòu)調(diào)試方式：〔1〕軟件產(chǎn)品選型和供應(yīng)商選擇在外購(gòu)調(diào)試方式下的要緊風(fēng)險(xiǎn)是：第一，軟件產(chǎn)品選型不當(dāng)，產(chǎn)品在功能、性能、易用性等方面無(wú)法滿足企業(yè)需求。要緊操縱措施：塊組合和版本。第二，企業(yè)在進(jìn)行軟件產(chǎn)品選型時(shí)應(yīng)廣泛聽(tīng)取行業(yè)專家的意見(jiàn)。要考察其服務(wù)支持能力和后續(xù)產(chǎn)品的升級(jí)能力。〔2〕服務(wù)提供商選擇大型企業(yè)治理信息系統(tǒng)〔例如ERP系統(tǒng)〕的外購(gòu)實(shí)施的要緊風(fēng)險(xiǎn)是：服務(wù)提供商選擇不當(dāng)，削弱了外購(gòu)軟件產(chǎn)品的功能發(fā)揮，導(dǎo)致無(wú)法有效滿足用戶需求。三、信息系統(tǒng)的運(yùn)行與愛(ài)護(hù)信息系統(tǒng)的運(yùn)行與愛(ài)護(hù)要緊包含三方面的內(nèi)容：日常運(yùn)行愛(ài)護(hù)、系統(tǒng)變更和安全治理。門事件的報(bào)告和處理等。這一環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：可能導(dǎo)致企業(yè)信息系統(tǒng)出錯(cuò)。缺失。要緊操縱措施：第一，企業(yè)應(yīng)制定信息系統(tǒng)使用操作程序、信息治理制度以及各模塊子系統(tǒng)的具體操作和操作規(guī)范連續(xù)穩(wěn)固運(yùn)行。門現(xiàn)象發(fā)生時(shí)刻和可能的緣故作出詳細(xì)記錄。養(yǎng)與安全治理、故障的診斷與排除、易耗品的更換與安裝等，這些工作應(yīng)由專人負(fù)責(zé)。或軟硬件供應(yīng)商共同解決。本與進(jìn)度的操縱。這一環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：第一，企業(yè)沒(méi)有建立嚴(yán)格的變更申請(qǐng)、審批、執(zhí)行、測(cè)試流程，導(dǎo)致系統(tǒng)隨意變更。第二，系統(tǒng)變更后的成效達(dá)不到預(yù)期目標(biāo)。要緊操縱措施：治理層的批準(zhǔn)，并對(duì)變更進(jìn)行測(cè)試。信息系統(tǒng)變更應(yīng)當(dāng)嚴(yán)格遵照治理流程進(jìn)行操作刪除、修改等操作；不得擅自升級(jí)、改變軟件版本；不得擅自改變軟件系統(tǒng)的環(huán)境配置。必要時(shí)還應(yīng)當(dāng)進(jìn)行額外測(cè)試。第四，企業(yè)應(yīng)加強(qiáng)緊急變更的操縱治理。據(jù)轉(zhuǎn)換操縱、用戶培訓(xùn)等。遭到破壞、更換和泄漏，信息系統(tǒng)能夠連續(xù)正常運(yùn)行。這一環(huán)節(jié)的要緊風(fēng)險(xiǎn)是：周期短。可能惡意或非惡意濫用系統(tǒng)資源，造成系統(tǒng)運(yùn)行效率降低。第三，對(duì)系統(tǒng)程序的缺陷或漏洞安全防護(hù)不夠，導(dǎo)致遭受黑客攻擊，造成信息泄露。信息系統(tǒng)操作人員的嚴(yán)密監(jiān)控，可能導(dǎo)致舞弊和利用運(yùn)算機(jī)犯罪。要緊操縱措施是：上，建立專門的電子設(shè)備管操縱度，關(guān)于關(guān)鍵信息設(shè)備，未經(jīng)授權(quán)，不得接觸。企業(yè)應(yīng)當(dāng)建立信息系統(tǒng)安全保密制度和泄密責(zé)任追究制度。專門要對(duì)重要崗位職員進(jìn)行信息系統(tǒng)安全保密培訓(xùn)，并簽署安全保密協(xié)議。企業(yè)應(yīng)當(dāng)建立信息系統(tǒng)安全保密制度和泄密責(zé)任追究制度。細(xì)那么。第五，企業(yè)應(yīng)當(dāng)有效利用IT技術(shù)手段，對(duì)硬件配置調(diào)整、軟件參數(shù)修改嚴(yán)加操縱。企業(yè)可利用操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、應(yīng)用系統(tǒng)提供的安全機(jī)制，設(shè)置安全參數(shù)，保證系或者改變軟件系統(tǒng)配置，并定期對(duì)上述情形進(jìn)行檢查。聲譽(yù)和信用狀況等，并與其簽訂正式的服務(wù)合同和保密協(xié)議。絡(luò)安全，嚴(yán)密防范來(lái)自互聯(lián)網(wǎng)的黑客攻擊和非法侵入。關(guān)于通過(guò)互聯(lián)網(wǎng)傳輸?shù)纳婷芑蛘哧P(guān)鍵業(yè)務(wù)數(shù)據(jù)傳遞的保密性、準(zhǔn)確性、完整性。非法利用；系統(tǒng)，就可能較為容易地篡改數(shù)據(jù)，從而達(dá)到侵吞財(cái)產(chǎn)或?yàn)E用運(yùn)算機(jī)信息的目的。準(zhǔn)等，在他們之間也應(yīng)有必要的相互牽制。應(yīng)當(dāng)采納數(shù)字證書(shū)、生物識(shí)別等可靠性強(qiáng)的技術(shù)手段識(shí)別用戶身份