内部控制手册第18号指引信息系统-信息系统开发、信息系统维护

的20.1信息系统开发

1.1概述

规定了XX股份有限公司集团总部及其下属公司（下属公司是指XX股份有限公司投资（参

股或控股）或托管或由上海XX有限公司托管的公司）有关信息系统开发的相关工作，涉及以下:

1.1.1）公司信息系统开发的立项、可行性研究、决策的流程

1.1.2）已有信息系统基础上的变更和二次开发需求申请、开发及验收交付流程

1.1.3）报表开发的申请、开发及验收交付流程

1.2适用范围

适用于XX股份有限公司集团总部及其卜属公司。

1.3相关制度

IT资源管理程序.

1.4职责分工

信息中心：负责对信息系统开发项目立项申请，对信息系统的开发进行需求分析和可行性分

析，在项目申请通过后负责选择系统开发商，负责在系统上线运行后建立相应的跟踪评价机制。

项目组：负责编制信息系统设计/开发说明书，负责开发项目的管控，组织系统验收和上线

测试，制定上线计划和方案，提出上线申请；负责系统测试、变更、评价。

I

1.5流程图

20.2信息系统运行维护安全管理

用户部门/授权IT安全IT系统IT资产

IT窗口

IT管理人员审批人员管理员管理员管理员

‘开始

-I]

需求中请＜未通过।

由一是否信息

h由叩世7H.S-期iiTJX

j警涔/

—AL-

t陵"7；

1T安全管

彳r

理

是否设备•

足M

维力啖/

rWW

IT设备/系

?统维护

是否资产.•JX

.等电类/

IT资产管理

>

7BAaJR备份

姑束

2

1.6控制目标

序号《内控手册》唯一具体控制目标编号控制目标目标类别

I20.1-CT1确保建立科学合理的信息系统开发管理体系经营效率目标

220.1-CT2确保信息系统开发符合公司需求经营效率目标

320.1-CT3确保信息系统开发计划切实可行经营效率目标

420.1-CT4确保信息系统开发效果效率达到预期水平经营效率目标

520.1-CT5确保信息系统开发项目按时完成经营效率目标

620.1-CT6确保系统运行安全有效经营效率目标

1.7控制矩阵

对应关键

不相

风险控制控制控制活对应用

风险描述关键控制措施容职

编号目标措施动类型度

务

编号编号

20.I-R公司未针对信息系20.1-C20.1-C1）公司信息化建设的对口部门是信经办/预防型IT资;

1统的开发项目设定T1AI息中心，负责公司及所属各单位的信审批管理;

申请审批流程，没息化方案（包括：计算机和网络设备序

有明确的开发文件的采购，网络建设、软件选型及二次

和项目计划,导致开发等过程）的审核及审批；2）公

管理混乱，影响信司及所属各单位的计算机和网络设备

息系统开发项目的的采购以及信息化项目建设严格按照

顺利实施先申请上报公司审批，经审批后进入

商务洽谈等流程

20.1-C20.1-C信息中心负责将审批确定后的项目开发现型IT资;

T1A2发文件及项目计划进行归档备案，并管理

设立台账监督项目的实施推进，考核序

项目计划的履行情况、进行跟踪确认

并协调计划修改等事宜，全面把握项

目的施行进程,保讦项目按时完成c

20.1-R信息中心未进行项20.1-C20.1-C信息中心负责将审批确定后的项目开预防型IT资;

2目的开发管理，包T1A2发文件及项目计划进行归档备案，并管理;

括已完成的内容、设立台账监督项目的实施推进，考核序

当前进度与项目实项目计戈］的履行情况、进行跟踪确认

施计划的比较、存并协调计划修改等事宜，全面把握项

在的有可能影响进目的施行进程，保证项目按时完成。

度的问题、人员、

资金的使用情况

等，导致项目进度

控制不力，影响项

目如期完成。

20.1-R公司的信息系统开20.I-C20.1-C1）公司信息化建设的对口部门是信经办/预防型IT资;

3发计划与公司战略T2A1息中心，负责公司及所属各单位的信审批管理

和业务目标不相吻息化方案（包括：计算机和网络设备序

合，导致系统不能的采购，网络建设、软件选型及二次

4

对应关键

不相

风险控制控制控制活对应用

风险描述关键控制措施容职

编号目标措施动类型度

务

编号编号

满足公司未来发展开发等过程）的审核及审批；2）公

需要,影响公司发司及所属各单位的计律机和网络设备

展经营目标的实现的采购以及信息化项目建设严格按照

先申请上报公司审批，经审批后进入

商务洽谈等流程

20.1-R公司未召集相关“20.1-C20.1-C系统建设单位根据系统需求规格说明编制/预防型IT资;

4务部门就信息系统T2A3书编制系统设计说明书，项目负责人审核管理

的开发需求进行讨组织相关技术人员和系统用户部门进序

论和验证，导致需行审核确认，确保系统建设单位提供

求不明确，开发成的系统设计说明书中涵盖实际业务需

果与业务部门实际求，同时形成会议纪要

需要不符，影响信

息系统开发结果的

有效性，造成公司

人力及资金的浪

费。

201-R未对信息系统方案20.1-C20.1-C信息系统立项需先进行可行性研究，编制审预防型IT资;

5进行可行性研究，T3A4并按建设项目立项要求进行立项、审批管理:

导致系统开发失败批序

风险

20.1-C20.1-C信息系统申报部门进行项目可行性分预防型IT资;

T3A5析，形成可行性分析报告，内容从以管理

下方面进行分析：与公司战略目标相序

一致、能有效提升管理效率、与业务

流程相匹配、能有效防范风险、成本

可以被接受等

20.1-C20.1-C材料上报公司信息中心门审批，经审编制/预防型IT资;

T3A6批后进入商务洽谈等流程审批管理

序

20.1-R未进行市场调研及20.1-C20.1-C系统开发应该依据开发资源需求和开经办/预防型IT资;

6系统开发商的比T4A7发成本评估是自行开发或外包方案经审议管理

5

对应关键

不相

风险控制控制控制活对应用

风险描述关键控制措施容职

编号目标措施动类型度

务

编号编号

选，导致开发成本审批通过后，信息中心门负责进行市序

上升或系统开发未场调研，针对系统需求，选择适当的

达预期目标风险系统开发商进行开发情况了解，并形

成招标初步材料，报系统使用部门及

分管领导审议

20.1-R公司未明确信息系20.1-C20.1-C信息系统开发项目应指定项目负责人预防型IT资;

7统开发项目的责任T4A8签署责任意向书，负责全面协调、安管理

人，导致开发项目排项目工作小组的工作，保证项目顺序

失败时无人负责，利开展。

影响项目后期评估

结果的反馈及进，

步改进。

20.1-R系统用户及流程责20.1-C20.1-C合同预审时，招标工作小组相关人员经办/预防型IT资;

8任人未密切参与应T4A9需确认合同条款明确要求系统建设单审批/管理;

用系统开发及实施位提供最基本的系统工程文档，并对监督序

工作，导致开发的合同进行签字确认

应用系统不能支持20.1-C20.1-C招投标工作完成后，项目系统建设单预防型IT资:

业务流程，造成系T2AIO位和系统用户部门及信息中心共同组管理;

统开发失败风险成项目组，负责项目的建设和管理工序

作

20.1-C20.1-C系统建设单位与公司项目人员进行需预防型IT资;

T2All求细化工作，进行需求分析和商讨，管理

并形成相关系统需求规格说明书后签序

字确认，系统需求规格说明书由双方

一式二份双方进行妥善保管至项目完

成，作为系统开发、测试及后期工程

验收的依据

20.1-C20.1-C系统建设单位根据系统需求规格说明编制/预防型IT资;

T2A12书编制系统概要设计说明书，项目负审核管理;

6

对应关键

不相

风险控制控制控制活对应用

风险描述关键控制措施容职

编号目标措施动类型度

务

编号编号

责人组织相关技术人员和系统用户部序

门进行审核确认，确保系统建设单位

提供的系统概要设计说明书中涵盖实

际业务需求，同时形成会议纪要

20.1-R公司没有进行适当20.1-C20.1-C公司信息中心建立符合公司系统开发预防型IT资;

9的质量控制，导致T4A13需要的开发管理细则，要求严格遵守管理

开发的应用系统无该规范标准，系统开发和实施各阶段序

法满足业务需求，工作成果均得到适当的管理层审核并

影响业务流程的持批准后，方可开始下一阶段工作，并

续稳定及相关数据要求用户参与应用系统的开发设计或

的准确完整外购软件的选择及测试等工作

20.1-R未对项目成果进行20.I-C20.1-C项目初步完成之后应召集相关业务部执行/预防型IT资;

10有效验收，导致系T4A14门共同进行验收，确保项目成果符合验收管理

统与实际需求有偏各部门日常运营需要序

差，影响业务部门

正常使用

20.1-R公司未对开发方为20.1-C20.1-C1）在系统开发招投标阶段，在招投预防型IT资:

11系统配备的硬件设T4A15标文件内详细明确系统所需相应软、管理;

备和系统软件进行硬件及相应配置标准，并规定采购方序

检查验收，无法剔式、方法；2）系统实施阶段，项目

除不合格或多余设组对系统开发阶段的软硬件设施进行

备、软件，导致开分析评估，评估结果为此设备是系统

发成本上升风险必须且在协议范围外的，需另行商议

购买

20.1-R信息系统开发项目20.1-C20.1-C项目负责人应有效监督项目预兜的使发现型IT资;

12启动前及进行过程T4A16用情况，定期检查项目费用使用台账，管理

中没有进行有效的合理进行成本控制序

成本控制，导致开

发成本过高

7

对应关键

不相

风险控制控制控制活对应用

风险描述关键控制措施容职

编号目标措施动类型度

务

编号编号

20.1-R未对项目进行有效20.1-C20.I-C信息中心负责将审批确定后的项目开发现型IT资:

13的时间控制,影响T5A2发文件及项目计划进行归档备案，并管理

开发项目的推进进设立台账监督项目的实施推进，考核序

程，导致系统无法项目计划的履行情况、进行跟踪确认

按时上线。并协调计划修改等事宜，全面把握项

目的施行进程，保证项目按时完成。

20.1-C20.1-C系统上线前，由信息中心和系统用户预防型IT资;

T4A17部门组成专门独立于开发人员的测试管理

小组，并需要严格遵守测试文档模板序

中的相关参数

20.1-C20.1-C测试小组负责制定测试计划和测试方编制/预防型IT资;

T4A18案，经过信息中心和系统使用部门负审批管理;

20.1-R系统实施上线前未

责人的签字审批。测试计划应包含具序

14进行适当测试，无

体的测试内容

法预防系统实施时

可能出现的问题，

20.1-C20.1-C如有数据迁移需求时，项目组需制定预防型IT资;

导致应用系统无法

T4A19专门的数据迁移方案，包括具体数据管理

支持业务流程

的转换和验证对比方法，并在上线实序

施前由测试小组依据数据迁移方案制

定相应的测试计划，进行新旧系统的

数据迁移一致性对比测试和相关的功

能测试

20.1-C20.1-C测试小组负责执行系统测试并形成上编制/预防型IT资;

T4A20线测试报告，并对测试结果进行分析评审管理;

和评审，形成系统上线测试总结报告，序

并判断系统是否具备上线条件

20.1-C20.1-C信息中心和系统使用部门负责人对上编制/预防型IT资;

T4A2I线测试报告和上线测试总结报告进行审阅管理

分析和审阅，签字认可测试结果和结序

论

8

对应关键

不相

风险控制控制控制活对应用

风险描述关键控制措施容职

编号目标措施动类型度

务

编号编号

20.1-C20.I-C系统测试均在独立的测试环境中进预防型IT资:

T4A22行，对于无法建立独立测试环境的情管理

况，上线时必须采取相关的控制措施，序

如选择试点实施上线，制定系统还原

计划，实施前备份旧系统数据等方式

Idi20.2信息系统运行、维护、安全管理

1.1概述

规定了XX股份有限公司集团总部及其下属公司（卜.属公司是指XX股份有限公司投费（参

股或控股）或托管或由上海XX有限公司托管的公司）有关信息系统管理方面的具体要求，涉及

公司信息系统使用中的权限设定、物理管理、变更、灾害恢复的流程。

1.2适用范围

适用于XX股份有限公司集团总部及其下属公司。

1.3相关制度

IT资源管理程序

9

IT信息安全管理规定。

1.4职责分工

IT安全管理员：负责公司信息化系统安全管理。

IT系统管理员：负责公司系统的建设、管理和维护。

IT资产管理员：负责TT资产的规划、申购、管理、维护、协调和优化工作。

L5流程图

10

20.2信息系统运行维护安全管理

用户部门/授权IT安全IT系统IT资产

IT窗口

◎IT管理人员审批人员管理员管理员管理员

「开始

需求申请｛一

未通过］

：+一,矩/信息

4足M.

5咫亡类

▼

IT安全管

f

理

“提言

设备

发口

维护类

r

11•设备/系

统维护

fJ

点否资产...

终£呼,XE

1f

n资产管理

>

2数据备份

__JT_

:结束

1.6控制目标

II

序《内控手册》唯一具体控控制目标目标类别

号制目标编号

120.2-CT1确保机房设施/设备/系统得到安全防护资产保全目标

220.2-CT2确保信息系统中数据真实完整经营效率目标

320.2-CT3确保信息系统中数据不泄露经营效率目标

420.2-CT4确保公司数据不受重大灾害影响经营效率目标

12

1.7控制矩阵

会计报表认定

1存在和发生/真实

对应控关键控

风险不相容控制活对应制控制痕性；2完整性；3权利会计报表

风险描述制目标制措施关键控制措施

编号联务动类型度选与义务；4估价或分项目

编号编号

摊；5表达和披露

12345

信息中心的出入未

信息中心指定专人管理机房和配线

严格控制,导致系IT资源

20.2-2O.2-C2O.2-C箱。非工作需要，任何人不得进入。出入登

统设置被乳改或安预防型管理程

R1TlAI机房管理员对经批准进入的人发放翎记龙

全被破坏，影响公序

通,并记录和保管有关文档。

司的数据安全

各类人员未经授权

可随意进出设备存

信息中心指定专人管理机房和配线

放地或触摸系统关IT资源

20.2-2O.2-C2O.2-C箱。非工作需要.任何人不得进入。出入登

健设备，导致设备畏防型管理程

R2TIAl机房管理员对经批准进入的人发放钥

遭遇人为损坏.影序

世，并记录和保管有关文档。

响公司日常生产经

营

20.2-公司未能对眼务器2O.2-C2O.2-C1.'保持键盘、鼠标、显示需、主机IT资源机房环

预防型

R3等关雄系统硬件设TIA2干净，各种接1」紧固，严禁带电插拔管理程境情况

会计报表认定

1存在和发生/真实

对应控关键控

风险不相容控制活对应制控制痕性；2完整性：3权利会计报表

风险描述制目标制措施关健控制措施

编号职务动类型度迹与义务；4估价或分项目

编号编号

摊：5表达和披露

12345

备建立良好的物理计舞机的各种配件:2）计算机避免序记录表

环境并指定专人日在潮湿、松尘、阳光直射、高温等条

常负击，无法有效件下使用;3）计算机或附属设备发

防范设备出现异常生故障，使用者应及时通知系统管理

物理状况而不能运人员进行修史处理,不得随便拆卸计

行,影响公司日常算机及其附属设需的硬件和各种