企業(yè)內(nèi)部控制規(guī)范-計(jì)算機(jī)信息系統(tǒng)

企業(yè)內(nèi)部控制具體規(guī)范第xx號(hào)——計(jì)算機(jī)信息系統(tǒng)（征求意見(jiàn)稿）第一章 總則第一條為了引導(dǎo)企業(yè)充分利用計(jì)算機(jī)信息系統(tǒng)規(guī)范交易行為，降低人為因素導(dǎo)致內(nèi)部控制失效的可能性，形成良好的信息傳遞渠道，根據(jù)國(guó)家有關(guān)法律法規(guī)和《企業(yè)內(nèi)部控制規(guī)范——基本規(guī)范第二條本規(guī)范所稱計(jì)算機(jī)信息系統(tǒng)是指利用計(jì)算機(jī)技術(shù)對(duì)業(yè)務(wù)和信息進(jìn)行集成處理的程序、數(shù)據(jù)和文檔等的總稱。第三條企業(yè)在建立并實(shí)施計(jì)算機(jī)信息系統(tǒng)內(nèi)部控制制度中控制措施：（一審批程序；（二）應(yīng)當(dāng)明確；（三）信息系統(tǒng)應(yīng)當(dāng)建立訪問(wèn)安全制度，操作權(quán)限、信息使用、信息管理應(yīng)當(dāng)有明確規(guī)定；（四）硬件管理事項(xiàng)和審批程序應(yīng)當(dāng)科學(xué)合理；（五）第二章崗位分工與授權(quán)審批第四條企業(yè)應(yīng)當(dāng)建立計(jì)算機(jī)信息系統(tǒng)崗位責(zé)任制系統(tǒng)崗位一般包括：（一）系統(tǒng)分析：分析用戶的信息需求，并據(jù)此制定設(shè)計(jì)或修改程序的方案。（二）案。（三）計(jì)算機(jī)操作：負(fù)責(zé)運(yùn)行并監(jiān)控應(yīng)用程序。（四）織數(shù)據(jù)資源。（五）程序和文件，并保留所有版本的數(shù)據(jù)和程序。（六）的錯(cuò)誤數(shù)據(jù)反饋到輸入部門并跟蹤監(jiān)控其糾正過(guò)程（七）終端：終端用戶負(fù)責(zé)記錄交易內(nèi)容，授權(quán)處理數(shù)據(jù)，并利用系統(tǒng)輸出的結(jié)果。系統(tǒng)開(kāi)發(fā)和變更過(guò)程中不相容崗位（或職責(zé)）一般應(yīng)包括：開(kāi)發(fā)（或變更）審批、編程、系統(tǒng)上線、監(jiān)控。系統(tǒng)訪問(wèn)過(guò)程中不相容崗位（或職責(zé)）操作、監(jiān)控。第五條（信息系統(tǒng)戰(zhàn)略規(guī)劃應(yīng)當(dāng)與企業(yè)業(yè)務(wù)目標(biāo)保持一致部門應(yīng)該參與信息系統(tǒng)戰(zhàn)略規(guī)劃、重要信息系統(tǒng)政策等的制定。第六條企業(yè)可以指定專門部門（或崗位，下稱歸口管理部門）維護(hù)等工作。生產(chǎn)、銷售、倉(cāng)儲(chǔ)及其他部門（下稱用戶部門）企業(yè)管理層應(yīng)該明確定義系統(tǒng)歸口管理部門和用戶部門在保證系統(tǒng)正常安全運(yùn)行過(guò)程中各自承擔(dān)的職責(zé)表。第三章信息系統(tǒng)開(kāi)發(fā)、變更與維護(hù)控制第七條計(jì)算機(jī)信息系統(tǒng)開(kāi)發(fā)包括自行設(shè)計(jì)（交易權(quán)限嵌入到系統(tǒng)程序中，以法性和效益性。第八條企業(yè)計(jì)算機(jī)信息系統(tǒng)開(kāi)發(fā)應(yīng)當(dāng)遵循以下原則：（一）因地制宜原則：企業(yè)應(yīng)當(dāng)根據(jù)行業(yè)特點(diǎn)、企業(yè)規(guī)模、管理理念、組織結(jié)構(gòu)、核算方法等因素設(shè)計(jì)適合本單位的計(jì)算機(jī)信息系統(tǒng)。（二）成本效益原則：計(jì)算機(jī)信息系統(tǒng)的建設(shè)應(yīng)當(dāng)能起到降低域中關(guān)鍵因素進(jìn)行信息系統(tǒng)改造。（三。第九條信息系統(tǒng)開(kāi)發(fā)必須經(jīng)過(guò)正式授權(quán)案。具體程序包括用戶部門提出需求；歸口管理部門審核；企業(yè)負(fù)責(zé)人授權(quán)批準(zhǔn)；系統(tǒng)分析人員設(shè)計(jì)方案；程序員編寫代碼等。第十條項(xiàng)目整個(gè)過(guò)程實(shí)施監(jiān)控。對(duì)于外包合作開(kāi)發(fā)的項(xiàng)目，企業(yè)應(yīng)當(dāng)加強(qiáng)對(duì)外包第三方的監(jiān)控。第十一條外購(gòu)調(diào)試或外包合作開(kāi)發(fā)等需要進(jìn)行招投標(biāo)的信息性。第十二條企業(yè)應(yīng)當(dāng)制定詳細(xì)的信息系統(tǒng)上線計(jì)劃。對(duì)涉及新舊系統(tǒng)一旦失效，能夠順利回退到原來(lái)的系統(tǒng)狀態(tài)。第十三條新舊系統(tǒng)切換時(shí)，如涉及數(shù)據(jù)遷移，企業(yè)應(yīng)當(dāng)制定詳細(xì)的數(shù)據(jù)遷移計(jì)劃。試，并簽署測(cè)試報(bào)告。第十四條信息系統(tǒng)在投入使用前應(yīng)當(dāng)至少完成整體測(cè)試和用統(tǒng)庫(kù)管理員備份留存。第十五條信息系統(tǒng)原設(shè)計(jì)功能未能正常實(shí)現(xiàn)時(shí)序修正和軟件參數(shù)調(diào)整，盡快解決存在的問(wèn)題。第十六條更，應(yīng)當(dāng)參照上款有關(guān)系統(tǒng)開(kāi)發(fā)的審批和上線程序執(zhí)行。第十七條但不限于日常檢測(cè)、設(shè)立容錯(cuò)冗余、編制意外計(jì)劃等。第四章信息系統(tǒng)訪問(wèn)安全第十八條各模塊子系統(tǒng)的具體操作規(guī)范。第十九條計(jì)算機(jī)信息系統(tǒng)操作人員不得擅自進(jìn)行系統(tǒng)軟件的系統(tǒng)軟件，不得擅自改變軟件系統(tǒng)環(huán)境配臵。第二十條企業(yè)應(yīng)當(dāng)對(duì)信息系統(tǒng)操作人員的上機(jī)得作為操作人員。第二十一條的訪問(wèn)權(quán)限管理。的訪問(wèn)權(quán)限。企業(yè)應(yīng)當(dāng)定期對(duì)系統(tǒng)中的賬號(hào)進(jìn)行審閱，避免有授權(quán)不當(dāng)或冗余賬號(hào)存在。審閱監(jiān)控日志。第二十二條禁止未經(jīng)授權(quán)人員擅自調(diào)整、刪除或修改系統(tǒng)中設(shè)臵的各項(xiàng)參數(shù)。涉及上網(wǎng)操作的，企業(yè)應(yīng)當(dāng)加強(qiáng)防火墻、路由器等網(wǎng)絡(luò)安全方面的管理。第二十三條企業(yè)可以將信息系統(tǒng)訪問(wèn)安全事項(xiàng)交由第三方管理。在此情形下，企業(yè)應(yīng)當(dāng)加強(qiáng)對(duì)第三方的監(jiān)控。第二十四條企業(yè)應(yīng)當(dāng)定期檢測(cè)信息系統(tǒng)運(yùn)行情況統(tǒng)運(yùn)行。第二十五條信息系統(tǒng)操作人員應(yīng)當(dāng)在權(quán)限范圍內(nèi)進(jìn)行操作鎖定或退出已經(jīng)運(yùn)行的程序，防止其他人員越權(quán)操作或散發(fā)不當(dāng)信息。第二十六條企業(yè)應(yīng)當(dāng)利用計(jì)算機(jī)信息系統(tǒng)搭建本單位的信息化平臺(tái)，規(guī)范信息的使用和傳遞，促進(jìn)業(yè)務(wù)流程與信息流程的統(tǒng)一，確保交易的真實(shí)、合法，提高經(jīng)營(yíng)管理的效率和效果。第二十七條企業(yè)應(yīng)當(dāng)對(duì)所有的重要信息進(jìn)行密級(jí)劃分面形式和電子媒介形式保存的信息。企業(yè)可以根據(jù)信息的重要性程度和泄密風(fēng)險(xiǎn)損失等劃分標(biāo)準(zhǔn)用制度。第二十八條第二十九條第三十條（第三十一條或?qū)崟r(shí)處理的處理前自動(dòng)備份制度（交易日志。企業(yè)至少應(yīng)當(dāng)在遠(yuǎn)離計(jì)算機(jī)設(shè)備和操作的地方保存一套備份和交易日志第三十二條企業(yè)應(yīng)當(dāng)編制完整、具體的災(zāi)難恢復(fù)計(jì)劃，以備意并將其最新版本存放在系統(tǒng)之外。第五章硬件管理第三十三條企業(yè)應(yīng)當(dāng)制定計(jì)算機(jī)信息系統(tǒng)硬件管理制度備的新增、報(bào)廢、流轉(zhuǎn)等情況建檔登記，統(tǒng)一管理。第三十四條企業(yè)應(yīng)當(dāng)將計(jì)算機(jī)硬件設(shè)備放臵在合適的物理環(huán)信息系統(tǒng)硬件設(shè)備。第三十五條員提出申請(qǐng)，報(bào)上級(jí)主管負(fù)責(zé)人審批。未經(jīng)允許第三十六條企業(yè)應(yīng)當(dāng)加強(qiáng)計(jì)算機(jī)機(jī)房的物理安全管理供給設(shè)備。第三十七條企業(yè)操作人員應(yīng)當(dāng)嚴(yán)格遵守用電安全的損壞，企業(yè)可以使用電源保護(hù)器和線路調(diào)節(jié)器平緩電壓的振蕩。第三十八條企業(yè)應(yīng)當(dāng)完善計(jì)算機(jī)信息系統(tǒng)硬件設(shè)備異常狀況處理制度。一經(jīng)發(fā)生異?，F(xiàn)象（如冒煙、打火、異常聲響等立即通知有關(guān)部門，不得擅自處理。第六章會(huì)計(jì)電算化及其控制第三十九條行有效控制。第四十條企業(yè)應(yīng)當(dāng)建立會(huì)計(jì)電算化操作管理制度算化系統(tǒng)的合法有權(quán)使用人員及其操作權(quán)限和操作程序記賬憑證的審核工作。第四十一條度，重點(diǎn)關(guān)注以下風(fēng)險(xiǎn)和控制點(diǎn)：（一并采取替代性措施確保會(huì)計(jì)數(shù)據(jù)的連續(xù)性；（二企業(yè)應(yīng)當(dāng)健全計(jì)算機(jī)硬件和軟件出現(xiàn)故障時(shí)進(jìn)行排除的管理措施，保證會(huì)計(jì)數(shù)據(jù)的完整性；（三的非法修改和刪除；對(duì)磁性介質(zhì)存放的數(shù)據(jù)應(yīng)當(dāng)進(jìn)行雙備份。第四十二條企