2008内控流程修订对照表--11-3ERP系统IT一般性控制流程修订对照表.doc

“11.3ERP系统IT一般性控制流程”修订对照表原流程现修订为备注二、业务风险1.1规章制度不健全，导致系统管理失控。增加1.7上线方案不合理，导致系统上线失败。增加1.8上线月结差异分析报告不准确，导致系统数据错误无法纠正，影响系统正确性。增加三、业务流程步骤与控制点1.2.1建立/变更用户帐号和角色，由申请人填写ERP系统用户权限申请表，经相关部门负责人审批后，由应用管理员在系统中建立/维护权限，由相关人员进行权限测试并填写测试记录，并将结果反馈给申请人。1.2.1建立/变更用户帐号和角色，由申请人填写ERP系统用户权限申请表，经相关部门负责人审批后，由应用管理员在系统中建立/维护权限，相关人员进行权限测试并确认，关键用户对角色矩阵实时维护并进行版本管理。修订1.2.2操作人员由于岗位变动或离开单位，相关部门及时填写ERP系统用户权限申请表锁定帐号，经相关部门负责人审核后，由应用管理员在系统中将该用户进行锁定。1.2.2操作人员由于岗位变动或离开单位，人事部门必须及时通知ERP支持中心，ERP支持中心应用管理员在系统中将该用户进行锁定或删除。修订1.3.1应用管理员每季度在线检查用户权限使用情况，半年至少打印一次用户帐号清单，提交相关部门负责人审核签字，根据审核结果在系统中进行相应的锁定。1.3.1应用管理员每季度在线检查用户权限使用情况，至少每半年将系统用户清单提交相关部门，由关键用户和部门负责人审核确认，应用管理员根据审核结果在系统中进行相应处理。修订1.4对于系统登录访问，要设置合理的密码规则，密码长度6位以上，采用数字和字符组合方式；用户密码3个月内必须更新一次；帐号密码重复输入5次错误则暂停登录或系统锁定；系统自动退出帐号登录的最大空闲时间不能超过50分钟。1.4对于系统登录访问，要设置合理的密码规则，密码长度6位以上，采用数字和字符组合方式，不能使用弱密码；用户密码3个月内必须更新一次；帐号密码重复输入5次错误则暂停登录或系统锁定；系统自动退出帐号登录的最大空闲时间不能超过50分钟。修订1.5.1应用管理员（BASIS管理员和权限管理员）、系统管理员（操作系统管理员、数据库管理员）、安全管理员必须经授权管理，遵循不相容岗位分离原则；信息管理部门负责人应至少每半年对上述管理员的在职情况进行审查。1.5.1应用管理员（BASIS管理员和权限管理员）、系统管理员（操作系统管理员、数据库管理员）、安全管理员必须授权管理，遵循不相容岗位分离原则，并且不能具有业务操作权限及开发权限；信息管理部门负责人应至少每半年对上述管理员的在职情况进行审查。修订1.7.1系统管理员在操作系统安装完成后对服务器根帐号（root）密码进行修改，并至少三个月更换一次密码。1.7.1系统管理员在操作系统安装完成后对服务器根帐号（root）密码进行修改，并至少三个月更换一次密码，密码以安全方式妥善保存。修订1.7.2系统管理员在数据库和SAP软件安装好后需用sapdba的工具修改SAP系统预置帐号（SAPR3，SYS，SYSTEM）的缺省密码，并至少三个月更换一次密码。1.7.2系统管理员在数据库和SAP软件安装好后，需用sapdba的工具修改SAP系统预置帐号（SAPR3，SYS，SYSTEM）缺省密码，并至少三个月更换一次密码，密码以安全方式妥善保存。修订1.7.3应用管理员在SAP软件安装好每次创建Client后，须修改SAP系统预置帐号（SAP*/DDIC）缺省密码，密码以安全方式妥善保存。增加1.9超级用户权限必须严格控制，申请时必须阐明使用原因，并经ERP支持中心负责人审核签字后，应用管理员才能在系统中进行分配，使用后要及时将权限回收。增加2.2.3提报单位ERP支持中心组织需求变更部门对客户化开发变更内容进行记录，包括更新客户化功能说明文档、技术说明文档、测试文档、用户手册、管理制度、版本号管理等，由ERP支持中心归档。2.2.3提报单位ERP支持中心组织需求变更部门对客户化开发变更内容进行记录，包括更新客户化功能说明文档、技术说明文档、测试文档等，由ERP支持中心归档。修订2.3.1现有系统配置需进行调整，由需求部门填写“系统配置变更申请表”，并由部门负责人签字确认，提交信息管理部门审核。与ERP推广模板有差异的或者组织架构、业务流程发生变化的变更，以及新增功能模块，需信息系统管理部负责人审批并组织实施；其他系统配置变更，由分（子）公司按照系统配置变更管理制度进行调整，并将变更记录报总部ERP支持中心备案。2.3.2信息管理部门授权支持人员或第三方人员根据审批后的变更需求进行业务流程设计，经相关部门负责人签字确认后在开发环境进行配置修改，由被授权人员填写系统配置变更记录。2.3.1现有系统配置需进行调整，应由需求部门填写“系统配置变更申请表”，经部门负责人签字确认后提交信息管理部门审核。与ERP推广模板有差异的或者组织架构、业务流程发生变化的变更，以及新增功能模块，需信息系统管理部负责人审批并组织实施；其他系统配置变更，由信息管理部门授权支持人员或第三方人员根据审批后的变更需求进行业务流程设计，经相关部门负责人签字确认后在开发环境进行配置修改，由被授权人员填写系统配置变更记录，并将变更记录报总部ERP支持中心备案。合并（删除）修订2.3.3凡涉及业务流程、数据库变动的配置变更，由提报单位的业务人员在测试环境中进行测试，针对变更部分编制测试文档（包括测试场景和测试结果），经业务部门负责人签字确认后，由提报单位的应用管理员按照传输管理要求传入生产系统。2.3.2凡涉及业务流程、数据库变动的配置变更，由提报单位的业务人员在测试环境中进行测试，针对变更部分编制测试文档（包括测试场景和测试结果），经业务部门负责人签字确认后，应用管理员按照传输管理要求传入生产系统。修订2.3.4系统配置变更后由ERP支持中心组织相关人员修改配置文档和用户手册，并根据需要进行版本管理和业务人员的培训。2.3.3系统配置变更后由ERP支持中心组织相关人员及时修改配置文档，并根据需要编写用户手册，进行业务人员培训。修订2.4.3ERP支持中心负责人检查测试流程清单是否完整，并在“软件版本记录表”签字确认后，由应用管理员根据补丁/版本升级方案在生产系统完成补丁安装或者版本升级工作，在“软件版本记录表”中进行记录。2.4.3ERP支持中心负责人检查测试流程清单是否完整，并在签字确认后，由应用管理员根据补丁/版本升级方案在生产系统完成补丁安装或者版本升级工作，并进行软件补丁/版本升级记录。修订4.4.2应用管理员至少每月一次数据全备份，备份介质与生产服务器异地存放，并由系统管理员对备份介质存放进行日志记录。4.4.2应用管理员每日检查系统数据备份日志，确认每日数据备份是否成功，并记录备份异常情况；至少每季度进行一次数据全备份。修订4.5备份日志管理4.5.1应用管理员每日检查系统数据备份日志，确认备份是否成功，并记录备份异常情况。删除4.5.2系统管理员对数据备份介质每季度进行一次可读性测试并记录。4.5.3系统管理员对数据备份介质每半年进行一次恢复性测试并记录。4.4.3系统管理员对数据备份介质每季度进行一次可读性测试并记录，每年至少进行一次恢复性测试并记录。合并（删除）4.4.4系统管理员对备份设备中的备份介质至少每四年更换一次，并记录备份介质更换情况