企业内部控制制度之信息系统管理

信息系统管理

第一节职责分离矩阵

职责ARcDRFGHT

AX

BXX

CX

DX

EX

FXX

GXX

HX

IX

>职责说明：

X:需分离的职务

A：立项申请

B：立项审批

C:需求分析的执行

D：需求分析的审批

E:系统操作使用人员

F:系统管理和维护

G:系统访问过程中的申请

H:系统访问过程中的审批

I：系统访问过程中的监控

第二节风险控制矩阵

控•

主要风险类别控

・»

产

资

告

报M

序号控制环节控制目标主要风险性等控制活动

安

法律全经普战略

风

除

n级

风

风险里风险风险率

123456789101112

缺乏故潞规划或规划不合理,可能造成信息孤

25-CI制定合理的故略规划并经有效审丑V

故略规划岛或者重复建设,导致企业经营管理效率低下。

信息系统肆设歌乏项目计划或右计划不当，导

25C2强保项目计划合理V

项目计划致项目进度滞后、费用超支、防量低下.

需求本身不合理.对信息系统提出的功能、性

发制表述清晰.表达准物的需求分析报告，评审

能、安全性等方圆的要求不符合业务处理和控

25C3需求分析需求的可行性，确保需求合理、可行V

制的要求。

技术上不合格,迁济上成本效益倒挂；需求文档

£制表沐涪师表旗准物的需求分析擢告,评审

表述不淮确.不完整.未能真实全面她表达企业

25-CI需求的可行使，胸保需求合理、可行V

需求分析需求，存在表述缺失、表述不一致昱至表述密误

等问题。

业务外包形式下，由于合作豕方的信息不对称.

严格筛选外包服务商，并实行严格的审批手续,

业务外包方容易爆发道镌风险.外包服务商可能会实施损

25C5朝保选择合格的外包服务商V

式迸行信息害企业利益的自私行为.如修工孤料、放松管

系统开发理、信息泄密等。

业务外包形式下,由于合同条款不准确、不完

业务外包方确保合同条款准阚完整

25-C6式迸行信息善，可能导致企业的正当权益无法得到有效保V

系统开发障。

企业缺乏外包眼务眼踪评价机制或跟踪评价不

业务外包方保证外包服务质■水平

25Y7式迸行信息到位,可能导致外包眼芬质量水平不能满足企,J

业信息系统开发需求。

系铳开发

软件产品送里不当,产品在功能、性能、易用性

外购信息系合理送择软件产品

25€8等方面无法满足企业需求。V

统

软件供应商选择不当，产储的支持服务能力不

外购信息系严格筛选软件供应商，并实行严格的审批手续.

25C9足.产品的后城升娘酸乏保障：服务提供商选择V

统鹤保选择合格的软件供应商

控

主要风险类别|«

a■耍

等

告

序号控制环节控制目标主要风险资产性控制活动

法律经普故略

除

安全n锻

风险风险风险

风险*

123456789101112

不当,削弱了外购软件产品的功能发挥，导致无

法有效满足用户需求。

缺乏完整可行的试运行、上姣计划，导致系筑试

25-10弱保试运行计划和上线计划切实可行y

系铳上线运行混乱无序.

对人员进行充分培训.确保上线用户正谪使用人员培训不足.不能正确使用系烧，导致业务处

25-11系统上线系烧理错误,或者未能充分利用系娩功能,导致浪V

费。

初始数据戊备设厦不合格，导致新旧系统数据

25-12徜保数据迁移顺利进行\

系妣上城不一致、出务处理错误。

没有建立规范的信息系统日常运行管理双范，

建立规范的信息系统日常运行管理规范

25-13日常运行维计算机软硬件的内在除愚易于饵发,可能导致V

护企业信息系统出借.

没有执行例行检宣,导致一些人力超意攻击会

日常运行缰加强系统运行的日常维护

25-11长期隐藏在系晚中，可能造成尸量损失。、

护

企业信息系圾数据未能定期备份，可能导致损

日常运行缰定期备份信息系统数空

2515坏后无法恢复.从而造成田大损失。V

护

信息系统变更过程得到适当的授权与管理层的企业没有建立严格的变更申请、审批、执行、测

25-16系筑变更V

批准试流•程,导致系统随意变更。

系统变更后的效果达不到预期目苟

25-17系统变更明保系统变更后的效果符合预期V

信息安全意识薄弱，对系铳和信息安全缺乏有

25-18维护信息系烧安全

安全管理效的监管手段。

对系统程序的缺陷或漏河安全防护不够,导致

维护信息系统安全

遭受黑客攻击，造成信息泄舞；对各种计算机病

25-19V

安全管理毒防第清理不力.导致系城运行不稔定甚至瘫

痪.

少数员工可能恶意或非恶意滥用系统资源,造

25-20缰济信总系疑安全VV

安全侑理成系统运行效率降低.信息港需。

第三节流程描述

1.目的

为了规范**面业股份有限公司（以下简称公司）信息系统的管理，提高企业现代化管理水平，

减少人为操纵因素，增强信息系统的安全性、可靠性和合理性，以及相关信息的保密性、完整

性和可用性，建立有效的信息与沟通机制提供支持保障。

2.适用范围

**面业股份有限公司及子公司。

3.术语与定义

3.1信息系统：指公司利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息

化管理平台。

4.关键控制活动

4.1战略规划

4.1.1公司应当按照《内部控制手册•发展战略管理》的规定，在制定公司发展战略时，制定信息

系统开发建设规划。

4.2项目计划

4.2.1信息系统归口管理部门（为企管部）应根据信息系统建设战略规划组织编制信息系统建设

立项建议书，明确建设目标、开发建设方式、人员配备、职责分工、经费预算和进度安排等

相关内容。

4.2.2信息系统归口管理部门组织使用部门等相关部门对立项建议开展可行性分析，出具可行性

分析报告并作为决策的依据。

4.2.3立项建议经归口管理部门负责人审核后，应根据项目决策权限履行以下审批手续：

（1）金额在5万元以下的，报分管领导审批：

（2）金额在5万元（含）以上，且在10万元以下的，经分管领导审核后，报总经理审批；

（3）金额在10万元（含）以上，且在100万元以下的，依次经分管领导、总经理审核后，

报董事长审批；

（4）金额10（）万元（含）以上且未达到股东大会决策权限的，依次经分管领导、总经理、

戢事长审核后，报茶事会审批：

（5）金额达到下列标准之一的,应经董事会审议通过后,提交股东大会审议：

1）交易涉及的资产总额（同时存在帐面值和评估值的，以高者为准）占上市公司最

近•期经审计总资产的50$以上；

5

2）交易的成交金额（包括承担的债务和费用）占上市公司最近一期经审计净资产的

50%以上，且绝对金额超过5000万元。

4.2.4立项通过审批后，由唁息系统归口管理部门信息主管制定详细的实施计划，明确信息系统

开发建设过程中各环节的H标、进度、措施等，加强监督、组织、协调。实施计划报部门负

责人审核，分管领导审批。

4.3需求分析

4.3.1各相关部门根据业务需要提出需求，明确信息系统需要实现的功能，确保信息系统的功能、

性能、安全性等符合业务处理和控制的需要。

4.3.2信息系统归口管理部门应汇总、梳理各相关部门提出的需求，编制表述清晰、表达准确的

信息系统需求分析报告，详细描述业务活动涉及的各项工作以及用户的各种需求。

4.3.3由公司分管领导组织各需求部门、相关技术人员对信息系统需求分析报告进行评审，必要

时可征求专业机构或专业人员的意见。评审完成后编制评审报告，涉及金额在1万元以下

的，由信息系统归口管理部门负责人审批：涉及金额在1万元（含）以上的，报分管领导审

批。

4.4以业务外包方式进行信息系统开发

4.4.1信息系统归口管理部门应组织相关部门对服务商的市场信誉、资质条件、持续服务能力和

质量、对公司所处行业和业务的熟悉程度、成功案例等情况进行调查，对外包服务商进行

严格筛选，调查完成后编制调查报告并提出初步意见。必要时可向专业人士或机构咨询。

4.4.2信息系统外包业务属于招标范围的，应当按《内部控制手册•招标管理》进行招标。不属于

招标范围的，可采取询比价或直接与供应商谈判等方式初步确定供应商及价格，在调查报

告中提出初步意见，报归口管理部门负责人审核、分管领导审核、总经理审批。

4.4.3业务外包的合同谈判和拟定、审批、签署按《内部控制手册•合同管理》的规定执行。

4.4.4开发过程中涉及商业秘密、敏感数据的，公司应当在外包服务商签订详细的保密协议，以

保证数据安全。

4.4.5信息系统归口管理部门应当加强业务外包过程管理，建立与外包服务商的沟通与协调机制，

加强日常监督，一旦发现偏离合同目标等情况，应及时要求承包方调整改进，及时、有效

解决业务外包过程存在的问题。

4.5外购信息系统信息系统

4.5.1归口管理部门应根据需求分析合理选择系统软件产品的模块组合和版本。

4.5.2信息系统归口管理部门应对市场的成熟系统软件产品和供应商的市场信誉、资质条件、质

量、持续服务能力、后续产品的升级能力、业界评价、口碑进行调查。在筛选供应商和系统

软件产品时，应当与供应商进行充分的沟通，以便详细了解供应商产品的功能、性能、安

全性、价格是否能够满足公司的需求，外购大型或重要系统软件时可广泛听取行业专家的

意见。

6

4.5.3外购信息系统属于招标范围的，应当按《内部控制手册•招标管理》进行招标。不属于招标

范围的，可采取询比吩或直接与供应商谈判等方式初步确定供应商及价格，在调查报告中

提出初步意见，报归口管理部门负责人审核、分管领导审核、总经理审批。

4.6系统上线

4.6.1信息系统归口管理部门应编制试运行计划，由信息系统归口管理部门组织各使用部门负责

人集体决策后实施。

4.6.2试运行达到《试运行计划》规定的终止条件时，由各使用部门反馈意见，归口管理部门收

集、整理组织相关使用部门、专业技人员等（必要时可聘请专家）进行验收，出具验收报

告，报公司分管领导审核。

4.6.3试运行验收合格后，由供方单位制定信息系统上线计划，报归口管理部门信息主管审核（需

与各使用部门负责人进行沟通），报归口管理部门负责人审核，分管领导审批。上线计划一

般包括人员培训、数据准备、进度安排、应急预案等内容。信息系统归口管理部门组织参

与试运行单位进行相关工作部署，根据试运行计划对相关用户和信息技术人员进行培训。

4.6.4系统上线涉及数据由外部往公司内部ii移的，由外部单位负责数据ii移，信息系统归口管

理部门负责人指派专人全程跟随；如果涉及数据是在公司内部迁移的，由供应商或企管部

软件工程师指导操作，由使用人自行备份关健数据。

4.7日常运行维护

4.7.1信息系统归口管理部门应当根据各系统设备运行环境要求及公司的具体情况为各系统设备

提供合适的工作环境，确保设备正常、安全运转。

4.7.2信息系统的保养记录

（1）软件：由系统负责人（即企管部相关软件工程师）每口对数据进行备份，并保留七

天后存入数据盘。企管部信息主管每周对其工作进行检查；

（2）硬件：由企管部硬件工程师每日早上检查机房，并对检查情况进行记录。

4.7.3信息系统归口管理部门应监督、指导使用人员正确使用和管理信息系统。信息系统使用人

员不得私自安装与工作无关的软件，维护人员应定期对各部门信息系统使用情况进行检查。

4.7.4信息系统出现故障时，由使用部门在ERP系统中提出申请，编制《ERP系统故障报告单》,

使用部门负责人审核后软件工程师及时进行处理，如软件需委外维修的，需由软件工程师

进行鉴定后，报信息主管后联系服务商联系进行维修，并按《内部控制手册•合同管理》的

规定与其签订委外维修合同；如硬件需委外维修的，需由硬件工程师进行鉴定后，与服务

商联系进行维修。

4.7.5归口管理部门应建立用户管理制度，根据工作岗位需求严格控制重要业务系统的访问权限。

根据数据的保密性和用途，确定拥有系统权限人员的存取权限、存取方式和审批手续。合

理分配用户权限，对不同岗位用户、不同信息等级分别设定口令。

4.7.6各业务部门相关人员如因业务需要，需开通额外权限的，需报部门负责人审核，分管领导

7

审批后，由企管部相关软件工程师负责开通。禁止不相容岗位用户账号的交叉操作。系统

管理员账号与业务账号分离。

4.7.7公司应与信息系统管理关键岗位人员签订保密协议或合同条款。

4.7.8系统数据应当定期进行备份，避免数据丢失造成损失。信息系统归口管理部门应督促各终

端用户定时对关键数据进行备份。

4.8系统变更

4.8.1信息系统变更由使用部门提出申请并编制系统变更方案，确保系统变更顺利、安全的进行，

信息系统变更方案应当由信息系统归口管理部门软件工程师对其方案进行评估后报使用部

门负责人审核，需按本手册4.1-4.6中的规定重新履行各流程及审批手续。

4.9安全管理

4.9.1信息系统归口管理部门应加强信息系统安全管理，询保公司信息安全。信息系统的维护人

员选择必须经过严格筛选。

4.9.2建立机房及网络、信息系统安全的操作规范，加强计算机及网络安全工作，做好公司局域

网、互联⑼的运仃监控，确保网络安全和信息安全。

4.9.3采取严格的安全防范措施，包括病毒防治软件、防火墙•技术和上网行为管理系统等。信息

系统归口管理部门应做好杀毒软件的维护和升级工作，定期在公司范围内发布病毒防治的

相关信息，监督指导员工进行计算机病毒防护的升级工作。

4.9.4建立用户管理制度，根据工作岗位需求严格控制重要业务系统的访问权限。根据数据的保

密性和用途，确定拥有系统权限人员的存取权限、存取方式和审批手续。合理分配用户权

限，对不同岗位用户、不同信息等级分别设定口令。定期审阅系统账号，避免授权不当或存

在非授权账号，禁止不相容岗位用户账号的交叉操作。

4.9.5通过网络传输的涉密或关键数据，应当采取加密措施，确保信息传递的保密性、准确性和

完整性。

8

第四节流程图

9

25-02信息系统管理

书

会

务

&

尔

之

史

除

.亚

色

4

也

M

.

7

m

女

S次

10

25-03信息系统管理

II

12

13

第五节权限表

信蜃系次归口管理部门使用部C

审批■理供方单位分管领导总经理“长・，会股东大会

相关人员负责人相关人员负责人

金额在5万元以下的/组织决制①审核②审批③

蛆织可行参与可行

金额在5万元（含）以上，且在10万元以下的姐蛆娘制①/审核④审批⑤///

性分析②性分析③

蛆枳可行参与可行

金额在10万元（含）以上,且在100万元以下的组织编制①审核©审核⑤审批⑥

性分析②性分析③

金额100万元（含）以上且未达到股东大会决策组蛆可行参与可行

信息系统组炽城制①/审核⑷审核⑤审被⑥审批⑦

权限的性分析②性分析③

建设立项

金额达到下到标准之一的.应经董事会审议通

过后,提交股东大会审议：

①交易涉及的资产总欲（同时存在账面值和

评估值的,以离者为:隹）占上市公司最近一蛆织可行拿与可行

组蛆决制①审核©审核⑤市议⑥审批⑦

期程审计总资产的50%以上；性分析②性分析③

②交易的成交金额（包括承担的债务和费

用）占上市公司最近一期经审计净资产的

50%以上.且绝对金猷超过5000万元。

信息系蜕建设实施计料制定①审核②审批③///

提出需求

涉及金前在1万元以下的汇总需求②审枇④组织评审③///

①

信息系崎需求分析

涉及金额在1万元（含）以上提出需求祖奴评审③

汇总需求②//

的①审批④

供应商及价格的璃定（注：不属于招标苑图的信息系蜕姐织调登、

审核①市核③中船④/

悬于招标范国的按《招标管外购及业务外包询价①

14

信息系费归口管理部门使用部n

审批，现供方单位分管领导总经理“长・事会股东大会

相关人员负责人相关人员负责人

理制度3执行）

组织进行

参与集体决

信息系统试运行计划/垢制①集体决策

第③

⑦

收集、整理意见②验收反馈意见

信息条就的整收/审核④