1、信息系統(tǒng)控制培訓(xùn)講義目錄第一章-背景知識(shí)第二章-信息系統(tǒng)總體控制（簡(jiǎn)稱GCC )第三章-信息系統(tǒng)應(yīng)用控制（簡(jiǎn)稱AC ）第四章電子表格控制 第五章信息系統(tǒng)內(nèi)控關(guān)注要點(diǎn)背景知識(shí)薩班尼斯奧克斯萊法案(Sarbanes-Oxley，簡(jiǎn)稱SOx法案 ) 美國(guó)安然與世通事件引發(fā)保護(hù)投資者利益的廣泛討論，上市公司財(cái)務(wù)信息披露情況的法律遵循性備受關(guān)注，2002年美國(guó)國(guó)會(huì)出臺(tái)了薩班斯-奧克斯利法案 （Sarbanes-Oxley法案，簡(jiǎn)稱SOx法案），法案中404條款對(duì)上市公司建立與財(cái)務(wù)報(bào)告相關(guān)的內(nèi)部控制并維持其有效性提出了明確要求，管理層每年需對(duì)內(nèi)控體系的運(yùn)行效果進(jìn)行評(píng)估，外部審計(jì)師要對(duì)內(nèi)部控制體系和控制效果

2、進(jìn)行測(cè)試并出具審計(jì)意見。背景知識(shí)內(nèi)控體系建設(shè)要求企業(yè)除了有正確完整的財(cái)務(wù)報(bào)表外，還要有確保報(bào)表正確而完整的控制體系。由于目前公司的各個(gè)與財(cái)務(wù)數(shù)據(jù)相關(guān)的主要業(yè)務(wù)流程都有相應(yīng)的信息系統(tǒng)支持，對(duì)信息系統(tǒng)控制的一致性和有效性方面的薄弱，將降低數(shù)據(jù)和自動(dòng)控制的可依賴性，增加管理層和審計(jì)師在測(cè)試方面的工作量，從而對(duì)整個(gè)內(nèi)控體系的有效性產(chǎn)生負(fù)面影響。因此信息系統(tǒng)控制體系建設(shè)是公司內(nèi)控體系建設(shè)的重要內(nèi)容 。信息系統(tǒng)與財(cái)務(wù)報(bào)告之間的關(guān)系 公司層面控制企業(yè)道德規(guī)范公司行為方式公司組織架構(gòu)溝通流程業(yè)務(wù)活動(dòng)控制業(yè)務(wù)活動(dòng)控制 財(cái)務(wù)相關(guān)應(yīng)用系統(tǒng)控制信息系統(tǒng)總體控制IT 基礎(chǔ)設(shè)施數(shù)據(jù)庫(kù)操作系統(tǒng)公司層面控制業(yè)務(wù)活動(dòng)控制信息系

3、統(tǒng)總體控制內(nèi)控項(xiàng)目組 信息系統(tǒng)應(yīng)用控制 信息系統(tǒng)總體控制(GCC) 中國(guó)石油的SOx項(xiàng)目分為公司層面控制，業(yè)務(wù)活動(dòng)控制、 信息系統(tǒng)控制三個(gè)層面的內(nèi)容SOx內(nèi)控體系包括三個(gè)層面的內(nèi)容，目前中國(guó)石油分為三個(gè)項(xiàng)目組來(lái)完成相關(guān)內(nèi)控體系的建設(shè)，GCC項(xiàng)目組是其中的重要組成部分目錄第一章-背景知識(shí)第二章-信息系統(tǒng)總體控制（簡(jiǎn)稱GCC )第三章-信息系統(tǒng)應(yīng)用控制（簡(jiǎn)稱AC ）第四章電子表格控制 第五章信息系統(tǒng)內(nèi)控關(guān)注要點(diǎn)信息系統(tǒng)控制信息系統(tǒng)控制包含的主要內(nèi)容 信息系統(tǒng)總體控制（General Computer Control，簡(jiǎn)稱GCC ） 信息系統(tǒng)應(yīng)用控制（Application Control，簡(jiǎn)稱AC

4、 ）電子表格控制 信息系統(tǒng)總體控制信息系統(tǒng)總體控制(簡(jiǎn)稱GCC), GCC所指的是內(nèi)部控制中對(duì)信息系統(tǒng)相關(guān)部分的控制，保證由信息系統(tǒng)支持的流程控制是可靠的、生成的數(shù)據(jù)和報(bào)告是可信的。GCC涵蓋了IT管理和運(yùn)營(yíng)所涉及的各個(gè)方面 信息系統(tǒng)總體控制是內(nèi)控體系建設(shè)一項(xiàng)基礎(chǔ)性工作，信息系統(tǒng)總體控制為企業(yè)信息系統(tǒng)管理提出了新標(biāo)準(zhǔn)GCC涵蓋了IT管理和運(yùn)營(yíng)所涉及的各個(gè)方面系統(tǒng)控制環(huán)境：總體環(huán)境、信息與溝通、風(fēng)險(xiǎn)評(píng)估、監(jiān)控等項(xiàng)目建設(shè)管理：開發(fā)方法論、項(xiàng)目立項(xiàng)審批、項(xiàng)目啟動(dòng)階段、項(xiàng)目需求分析、項(xiàng)目設(shè)計(jì)、系統(tǒng)開發(fā)實(shí)施、系統(tǒng)符合性檢查、數(shù)據(jù)移植、系統(tǒng)上線、項(xiàng)目驗(yàn)收、上線后審閱、用戶培訓(xùn)、項(xiàng)目文檔管理等變更管理：應(yīng)用

5、系統(tǒng)日常變更、系統(tǒng)環(huán)境日常變更、緊急變更管理等系統(tǒng)日常運(yùn)作：機(jī)房環(huán)境控制、系統(tǒng)日常運(yùn)作監(jiān)控、批處理作業(yè)調(diào)度管理、數(shù)據(jù)備份與恢復(fù)、問(wèn)題管理等信息安全：信息安全組織、邏輯安全、物理安全、網(wǎng)絡(luò)安全、計(jì)算機(jī)病毒防護(hù)、外部第三方信息安全管理、信息安全事件響應(yīng)等 信息系統(tǒng)總體控制信息系統(tǒng)控制環(huán)境信息安全信息系統(tǒng)日常運(yùn)作變更管理項(xiàng)目建設(shè)管理最終用戶操作最終用戶操作：最終用戶計(jì)算機(jī)操作安全制度、電子表格管理等GCC規(guī)定是GCC體系的綱領(lǐng)性文件GCC規(guī)定是中國(guó)石油信息系統(tǒng)總體控制體系的重要組成部分，是GCC體系的綱要性文件，制定了與中國(guó)石油信息系統(tǒng)總體控制相關(guān)的政策和制度描述了中國(guó)石油GCC總體政策、適應(yīng)范圍及

6、制定、審批、發(fā)布、維護(hù)、更新流程明確了中國(guó)石油在總體控制環(huán)境、信息安全、項(xiàng)目建設(shè)管理、系統(tǒng)變更、信息系統(tǒng)日常運(yùn)作、最終用戶操作等方面的總體規(guī)定和要求中國(guó)石油天然氣股份有限公司信息系統(tǒng)總體控制規(guī)定2005年9月中國(guó)石油已經(jīng)建立起符合內(nèi)部控制及未來(lái)外審需要的信息系統(tǒng)總體控制體系GCC控制矩陣：是針對(duì)每個(gè)控制目標(biāo)確定一個(gè)或多個(gè)控制點(diǎn)，對(duì)每個(gè)控制點(diǎn)的控制頻率、控制類型等控制屬性進(jìn)行定義，并盡量明確其現(xiàn)行的制度文檔GCC實(shí)施要求 GCC控制矩陣測(cè)試計(jì)劃與測(cè)試方案相關(guān)表單2006年中國(guó)石油下發(fā)信息系統(tǒng)總體控制實(shí)施要求 ， GCC實(shí)施要求是對(duì)GCC規(guī)定的細(xì)化，用于指導(dǎo)日常的信息技術(shù)管理和運(yùn)營(yíng)維護(hù)GCC實(shí)施要

7、求GCC控制矩陣測(cè)試計(jì)劃與測(cè)試方案相關(guān)表單實(shí)施要求 涵蓋了IT管理和運(yùn)營(yíng)所涉及的各個(gè)方面控制環(huán)境信息技術(shù)組織人力資源管理信息溝通風(fēng)險(xiǎn)評(píng)估監(jiān)控信息安全信息安全組織邏輯安全物理安全網(wǎng)絡(luò)安全病毒防護(hù)第三方管理安全事件響應(yīng)項(xiàng)目建設(shè)管理項(xiàng)目立項(xiàng)項(xiàng)目立項(xiàng)審批商業(yè)軟件及硬件的外購(gòu)項(xiàng)目建設(shè)方法論項(xiàng)目啟動(dòng)需求分析項(xiàng)目設(shè)計(jì)系統(tǒng)開發(fā)實(shí)施系統(tǒng)測(cè)試數(shù)據(jù)移植系統(tǒng)上線項(xiàng)目驗(yàn)收和上線后審閱項(xiàng)目管理項(xiàng)目培訓(xùn)管理項(xiàng)目文檔管理項(xiàng)目問(wèn)題管理項(xiàng)目變更管理系統(tǒng)變更日常變更緊急變更信息系統(tǒng)日常運(yùn)作機(jī)房環(huán)境控制日常監(jiān)控批處理作業(yè)管理備份與恢復(fù)問(wèn)題管理最終用戶操作最終用戶操作安全制度電子表格管理為確保GCC體系實(shí)施的統(tǒng)一性和高效率，實(shí)施要求規(guī)

8、定了GCC表單GCC實(shí)施要求GCC控制矩陣測(cè)試計(jì)劃與測(cè)試方案相關(guān)表單GCC領(lǐng)域表單數(shù)量總體管理1控制環(huán)境1信息安全19項(xiàng)目建設(shè)管理1系統(tǒng)變更4信息系統(tǒng)日常運(yùn)作14最終用戶操作343合計(jì)并根據(jù)控制矩陣和實(shí)施要求的相關(guān)要求，制定了測(cè)試計(jì)劃和測(cè)試方案GCC實(shí)施要求GCC控制矩陣測(cè)試計(jì)劃與測(cè)試方案相關(guān)表單任務(wù)單是依據(jù)實(shí)施要求中對(duì)各級(jí)部門和崗位需要完成的GCC相關(guān)工作的要求而編制任務(wù)單明確了這些崗位應(yīng)完成哪些GCC任務(wù)，并說(shuō)明了該任務(wù)的執(zhí)行頻率及需留下的證據(jù)公司層面涉及：信息管理部門、財(cái)務(wù)部門、規(guī)劃計(jì)劃部門、法律部門、人事部門、銷售部門、物資部門等重要崗位的GCC任務(wù)單GCC_信息系統(tǒng)總體控制實(shí)施要求_

9、按崗位同時(shí)，為便于各單位的執(zhí)行， 為促進(jìn)GCC體系的實(shí)施，為涉及到的每個(gè)崗位制定了一整套GCC任務(wù)單，明確了這些崗位應(yīng)完成哪些GCC任務(wù)，并說(shuō)明了該任務(wù)的執(zhí)行頻率及需留下的證據(jù)公司層面，共確定了24個(gè)崗位的209項(xiàng)GCC任務(wù)需要說(shuō)明的是，這里列出的崗位與實(shí)際的組織機(jī)構(gòu)崗位和人員并不一一對(duì)應(yīng)，存在一人多崗和一崗多人的情況GCC_信息系統(tǒng)總體控制實(shí)施要求_按崗位小計(jì)：227崗位需完成的GCC任務(wù)數(shù)信息技術(shù)部門負(fù)責(zé)人23財(cái)務(wù)部門信息管理負(fù)責(zé)人16規(guī)劃計(jì)劃部負(fù)責(zé)人1人事部負(fù)責(zé)人1業(yè)務(wù)部門主管領(lǐng)導(dǎo)24信息安全管理負(fù)責(zé)人8應(yīng)用系統(tǒng)負(fù)責(zé)人23應(yīng)用系統(tǒng)管理員12操作系統(tǒng)管理員3數(shù)據(jù)庫(kù)管理員2機(jī)房負(fù)責(zé)人7網(wǎng)絡(luò)管

10、理負(fù)責(zé)人10網(wǎng)絡(luò)管理員9幫助熱線支持人員4項(xiàng)目指導(dǎo)委員會(huì)4項(xiàng)目管理辦公室3項(xiàng)目經(jīng)理19項(xiàng)目開發(fā)人員1系統(tǒng)上線操作人員1程序保管人員3變更實(shí)施人員8電子表格負(fù)責(zé)人7電子表格開發(fā)人員2一般員工18小計(jì)：209GCC各相關(guān)崗位和人員應(yīng)根據(jù)以下的步驟和方法來(lái)執(zhí)行具體的GCC任務(wù)1從“崗位人員對(duì)照表”中明確自己的崗位角色2在“GCC任務(wù)單”中查看本崗位需要完成哪些任務(wù)3對(duì)具體某些任務(wù)，到“實(shí)施要求”對(duì)應(yīng)章節(jié)中查看其詳細(xì)內(nèi)容和要求4執(zhí)行“實(shí)施要求”要求，根據(jù)需要填寫表單，并注意表單填寫的注意事項(xiàng)5每月將其相關(guān)的GCC證據(jù)提交給本部門文檔管理人員，由文檔管理人員統(tǒng)一歸檔“崗位人員對(duì)照表”GCC任務(wù)單”“GC

11、C實(shí)施要求”“GCC相關(guān)表單”“歸檔文件清單”所需的相關(guān)文檔以“信息安全管理負(fù)責(zé)人”為例1從“崗位人員對(duì)照表”中明確自己的崗位角色2在GCC任務(wù)單中查看本崗位需要完成哪些任務(wù)3對(duì)具體某些任務(wù)，到“實(shí)施要求”對(duì)應(yīng)章節(jié)中查看其詳細(xì)內(nèi)容和要求4執(zhí)行“實(shí)施要求”要求，根據(jù)需要填寫表單，并注意表單填寫的注意事項(xiàng)5每月將其相關(guān)的GCC證據(jù)提交給本部門文檔管理人員，由文檔管理人員統(tǒng)一歸檔信息系統(tǒng)總體控制要求及關(guān)注要點(diǎn)信息系統(tǒng)安全子領(lǐng)域信息系統(tǒng)日常運(yùn)作子領(lǐng)域變更管理子領(lǐng)域項(xiàng)目建設(shè)管理子領(lǐng)域控制環(huán)境子領(lǐng)域 信息安全子領(lǐng)域注：黃色表示風(fēng)險(xiǎn)級(jí)別：高，我將在后面詳細(xì)解釋?？刂拼胧┟枋觯盒畔踩芾碡?fù)責(zé)人定期（每六個(gè)月

12、）審核本單位信息系統(tǒng)總體控制活動(dòng)的職責(zé)分離狀況，填寫職責(zé)分離檢查表，將不符情況報(bào)相關(guān)負(fù)責(zé)人。控制措施：制度和流程AQ1信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：根據(jù)GCC實(shí)施要求的要求，確定1、特權(quán)用戶需填寫特權(quán)用戶備案登記表。2、了解職責(zé)分離的情況。3、該控制點(diǎn)與GCC其他控制點(diǎn)均有關(guān)聯(lián)，因此，該控制點(diǎn)要求對(duì)其他所有的控制點(diǎn)的職責(zé)分離情況進(jìn)行歸納和總結(jié)?？刂拼胧褐贫群土鞒藺Q1信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述：職責(zé)不分離會(huì)引發(fā)一人兼任多職的舞弊行為，造成無(wú)法對(duì)其活動(dòng)進(jìn)行有效的監(jiān)控和稽核。風(fēng)險(xiǎn)級(jí)別：高主要例外情況：1、職責(zé)分離檢查表中各項(xiàng)內(nèi)容的填寫未發(fā)現(xiàn)不符合控制要求的情況，但實(shí)際上

13、卻存在職責(zé)不分離，即一人兼多職的問(wèn)題。2、應(yīng)用系統(tǒng)管理員具備對(duì)操作系統(tǒng)和數(shù)據(jù)庫(kù)的特權(quán)訪問(wèn)的情況?？刂拼胧┟枋觯簯?yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)、操作系統(tǒng)（含網(wǎng)絡(luò)操作系統(tǒng)）及網(wǎng)絡(luò)設(shè)備的帳號(hào)及權(quán)限的申請(qǐng)、變更及撤銷需要經(jīng)過(guò)有效的審批或授權(quán)，審批時(shí)應(yīng)對(duì)照職責(zé)分離矩陣進(jìn)行檢查，確保用戶權(quán)限申請(qǐng)和變更符合職責(zé)分離要求?？刂拼胧哼壿嫲踩獳Q2信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：通過(guò)現(xiàn)有應(yīng)用系統(tǒng)來(lái)檢查表單：對(duì)通用角色與系統(tǒng)終端用戶對(duì)照表中的任何變更嚴(yán)格按照申請(qǐng)、變更和撤銷的流程執(zhí)行。明確應(yīng)用系統(tǒng)相關(guān)的臨時(shí)權(quán)限及其對(duì)應(yīng)的角色，對(duì)臨時(shí)權(quán)限管理應(yīng)遵循用戶帳號(hào)及權(quán)限管理的規(guī)定。是否填寫了用戶帳號(hào)及權(quán)限管理表及主數(shù)據(jù)變更申請(qǐng)

14、表。通過(guò)表單來(lái)檢查現(xiàn)有應(yīng)用系統(tǒng)：對(duì)照用戶帳號(hào)及權(quán)限管理表檢查應(yīng)用系統(tǒng)中的實(shí)際情況，檢查系統(tǒng)實(shí)際情況是否與表單一致。檢查職責(zé)分離情況：對(duì)照職責(zé)分離矩陣檢查現(xiàn)有應(yīng)用系統(tǒng)和表單中是否存在職責(zé)不分離的情況?？刂拼胧哼壿嫲踩獳Q2主要例外情況：1、賬戶新增與撤銷、崗位與角色變動(dòng)沒(méi)有填寫相應(yīng)的用戶帳號(hào)及權(quán)限管理表。2、用戶帳號(hào)及權(quán)限管理表的申請(qǐng)、審批和授權(quán)存在問(wèn)題。信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 應(yīng)用系統(tǒng)終端用戶權(quán)限申請(qǐng)審批控制是權(quán)限正確分配的基本控制之一，未執(zhí)行該控制或者控制執(zhí)行不到位，將有可能導(dǎo)致應(yīng)用系統(tǒng)實(shí)際權(quán)限分配不符合控制要求，如果審計(jì)同時(shí)發(fā)現(xiàn)系統(tǒng)實(shí)際的權(quán)限存在問(wèn)題，則將加大產(chǎn)生實(shí)質(zhì)

15、性漏洞的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：應(yīng)用系統(tǒng)負(fù)責(zé)人每三個(gè)月審核應(yīng)用系統(tǒng)的用戶賬號(hào)和用戶權(quán)限設(shè)置。控制措施：邏輯安全AQ4信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：應(yīng)用系統(tǒng)權(quán)限檢查結(jié)果應(yīng)與應(yīng)用系統(tǒng)權(quán)限檢查表的內(nèi)容保持一致。對(duì)已撤銷權(quán)限的用戶帳號(hào)應(yīng)加強(qiáng)管理，提供相應(yīng)的表單作為支持證據(jù)。控制措施：邏輯安全AQ4主要例外情況：1、應(yīng)用系統(tǒng)權(quán)限檢查表的檢查結(jié)果與系統(tǒng)中實(shí)際的檢查結(jié)果不一致。體現(xiàn)在臨時(shí)授權(quán)、多余權(quán)限沒(méi)有填寫用戶帳號(hào)及權(quán)限檢查表。2、系統(tǒng)中已經(jīng)被撤銷的用戶帳號(hào)沒(méi)有填寫對(duì)應(yīng)的用戶帳號(hào)及權(quán)限檢查表。信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 臨時(shí)權(quán)限、多余權(quán)限和多余賬號(hào)具備對(duì)所有會(huì)計(jì)科目產(chǎn)生

16、重大影響的風(fēng)險(xiǎn)，因此，多余權(quán)限和賬號(hào)的管理要遵循信息系統(tǒng)總體控制的要求。如果審計(jì)同時(shí)發(fā)現(xiàn)系統(tǒng)實(shí)際的權(quán)限存在問(wèn)題，則將加大產(chǎn)生實(shí)質(zhì)性漏洞的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：應(yīng)用系統(tǒng)負(fù)責(zé)人每三個(gè)月審核數(shù)據(jù)庫(kù)管理員和操作系統(tǒng)管理員的賬號(hào)及權(quán)限設(shè)置?？刂拼胧哼壿嫲踩獳Q5信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：登錄到操作系統(tǒng)，檢查所有的操作系統(tǒng)用戶及其權(quán)限。登錄到數(shù)據(jù)庫(kù)系統(tǒng)，檢查各個(gè)庫(kù)的用戶及其權(quán)限。獲取相關(guān)管理員和負(fù)責(zé)人對(duì)操作系統(tǒng)數(shù)據(jù)庫(kù)的賬號(hào)及權(quán)限理解和認(rèn)識(shí)，關(guān)注其風(fēng)險(xiǎn)意識(shí)?？刂拼胧哼壿嫲踩獳Q5主要例外情況：1、操作系統(tǒng)及數(shù)據(jù)庫(kù)權(quán)限檢查表與系統(tǒng)不一致，對(duì)于操作系統(tǒng)及數(shù)據(jù)庫(kù)中的賬號(hào)沒(méi)有進(jìn)行登記和

17、管理。2、不熟悉操作系統(tǒng)及數(shù)據(jù)庫(kù)中的特權(quán)賬號(hào)和特權(quán)組。對(duì)某些具有特權(quán)權(quán)限的賬戶沒(méi)有進(jìn)行管理，沒(méi)有填寫相應(yīng)的特權(quán)用戶備案登記表。信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 賬號(hào)通常是高風(fēng)險(xiǎn)的，也是最容易遭受攻擊或被忽略的控制點(diǎn)。授權(quán)則會(huì)對(duì)該風(fēng)險(xiǎn)點(diǎn)可能造成的危害程度產(chǎn)生直接影響。對(duì)操作系統(tǒng)和數(shù)據(jù)庫(kù)的賬號(hào)和權(quán)限的控制是應(yīng)用系統(tǒng)和業(yè)務(wù)流程控制過(guò)程的基礎(chǔ)。賬號(hào)和權(quán)限問(wèn)題會(huì)導(dǎo)致實(shí)質(zhì)性缺陷。風(fēng)險(xiǎn)級(jí)別：中控制措施描述：信息安全管理負(fù)責(zé)人在操作系統(tǒng)管理員協(xié)助下，每年審核服務(wù)器操作系統(tǒng)設(shè)置是否符合標(biāo)準(zhǔn)配置方案?？刂拼胧哼壿嫲踩獳Q7、AQ8、AQ9信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：嚴(yán)格按照服務(wù)器安全配置

18、檢查表對(duì)操作系統(tǒng)進(jìn)行配置檢查。例如，應(yīng)刪除或關(guān)閉不用的用戶帳號(hào)和組賬號(hào)。獲取相關(guān)管理員和負(fù)責(zé)人對(duì)操作系統(tǒng)安全配置的了解程度，關(guān)注其風(fēng)險(xiǎn)意識(shí)。控制措施：邏輯安全AQ7、AQ8、AQ9主要例外情況： 服務(wù)器安全配置檢查表的填寫與系統(tǒng)中實(shí)際情況不符。沒(méi)有按照服務(wù)器安全配置檢查表逐項(xiàng)對(duì)操作系統(tǒng)進(jìn)行安全配置和安全檢查。例如，沒(méi)有刪除多余用戶帳號(hào)和組賬號(hào)，沒(méi)有關(guān)閉不必要的服務(wù)，沒(méi)有對(duì)操作系統(tǒng)中的賬號(hào)和權(quán)限進(jìn)行分析和檢查，使用特權(quán)賬號(hào)執(zhí)行終端登錄等。信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 該項(xiàng)控制是信息系統(tǒng)安全控制中最基本、重要的監(jiān)督性控制之一，如果配置不符合要求，則意味著檢查控制也失效，個(gè)別系統(tǒng)管理人

19、員不知道如何檢查或者對(duì)標(biāo)準(zhǔn)理解模糊，可能會(huì)對(duì)系統(tǒng)的安全性產(chǎn)生重大的隱患。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：用戶需要直接訪問(wèn)系統(tǒng)中的數(shù)據(jù)時(shí)，應(yīng)提出申請(qǐng)，由用戶主管領(lǐng)導(dǎo)和應(yīng)用系統(tǒng)負(fù)責(zé)人進(jìn)行審批后執(zhí)行?？刂拼胧哼壿嫲踩獳Q11信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：對(duì)所有涉及數(shù)據(jù)直接訪問(wèn)的申請(qǐng)嚴(yán)格按照GCC關(guān)于數(shù)據(jù)直接訪問(wèn)的要求加以執(zhí)行。獲取相關(guān)管理員和負(fù)責(zé)人對(duì)操作系統(tǒng)安全配置的了解程度，著重考察其風(fēng)險(xiǎn)意識(shí)?？刂拼胧哼壿嫲踩獳Q11主要例外情況：對(duì)于數(shù)據(jù)庫(kù)直接訪問(wèn)沒(méi)有填寫對(duì)應(yīng)的數(shù)據(jù)直接訪問(wèn)申請(qǐng)表。沒(méi)有建立數(shù)據(jù)直接訪問(wèn)的風(fēng)險(xiǎn)意識(shí)。信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 數(shù)據(jù)直接訪問(wèn)需要通過(guò)有效的方式

20、加以檢查和控制，檢查的目的是控制敏感數(shù)據(jù)被惡意訪問(wèn)、篡改和偽造。控制的目的是提供有效的監(jiān)督和管理手段。數(shù)據(jù)直接訪問(wèn)的隨意性管理會(huì)導(dǎo)致實(shí)質(zhì)性漏洞。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：機(jī)房負(fù)責(zé)人授權(quán)需要經(jīng)常進(jìn)出機(jī)房的人員，并記錄在授權(quán)人員名單中。控制措施：物理安全AQ12信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：對(duì)于機(jī)房長(zhǎng)期授權(quán)人員的任何變動(dòng)應(yīng)進(jìn)行及時(shí)的更新和歸檔。對(duì)機(jī)房的物理訪問(wèn)應(yīng)加以控制和記錄，例如門禁系統(tǒng)、授權(quán)管理、陪同機(jī)制、登記機(jī)制等?？刂拼胧何锢戆踩獳Q12主要例外情況： 對(duì)進(jìn)出機(jī)房的長(zhǎng)期授權(quán)人員的管理控制措施不足，在長(zhǎng)期授權(quán)人員發(fā)生變動(dòng)后，沒(méi)有及時(shí)更新機(jī)房授權(quán)人員名單。信息安全子領(lǐng)域控制要求及

21、關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 機(jī)房授權(quán)訪問(wèn)屬于物理層面的接觸，物理訪問(wèn)很容易得到驗(yàn)證，但卻很難被管理。容易產(chǎn)生無(wú)人管理，或授權(quán)混亂的情況。風(fēng)險(xiǎn)級(jí)別：中控制措施描述：用戶申請(qǐng)遠(yuǎn)程登錄帳號(hào)時(shí)，填寫遠(yuǎn)程登錄帳號(hào)申請(qǐng)表并提交給用戶主管領(lǐng)導(dǎo)和網(wǎng)絡(luò)管理負(fù)責(zé)人審批后方可實(shí)施。控制措施：網(wǎng)絡(luò)安全AQ15信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：對(duì)所有跨邊界網(wǎng)絡(luò)訪問(wèn)生產(chǎn)網(wǎng)的情況進(jìn)行一次集中的檢查。檢查是否使用物理隔離技術(shù)。獲取相關(guān)管理員和負(fù)責(zé)人對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)的認(rèn)知程度?？刂拼胧壕W(wǎng)絡(luò)安全AQ15主要例外情況：1、沒(méi)有對(duì)遠(yuǎn)程接入訪問(wèn)的情況進(jìn)行有效的管理。沒(méi)有對(duì)遠(yuǎn)程訪問(wèn)進(jìn)行審批和授權(quán)。2、不了解遠(yuǎn)程訪問(wèn)，無(wú)法對(duì)遠(yuǎn)程訪問(wèn)進(jìn)行有效的

22、管理。信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 遠(yuǎn)程訪問(wèn)通常屬于授權(quán)卻未登記，并未進(jìn)行有效的管理。遠(yuǎn)程訪問(wèn)通常不容易被查證，但卻很容易對(duì)系統(tǒng)產(chǎn)生嚴(yán)重的危害，原因是遠(yuǎn)程訪問(wèn)通常具有較高的權(quán)限。風(fēng)險(xiǎn)級(jí)別：中控制措施描述：安裝Windows操作系統(tǒng)的服務(wù)器和個(gè)人計(jì)算機(jī)，應(yīng)安裝統(tǒng)一的防病毒軟件。及時(shí)更新防病毒軟件商發(fā)布的最新病毒庫(kù)。定期（至少每月）進(jìn)行病毒掃描?？刂拼胧翰《痉婪禔Q18信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制要求：使用統(tǒng)一的防病毒軟件，采用集中管理的模式。管理員應(yīng)定期更新和升級(jí)病毒管理服務(wù)器的病毒庫(kù)、引擎版本。管理員應(yīng)對(duì)客戶端掃描制定策略，并跟蹤可能對(duì)系統(tǒng)產(chǎn)生嚴(yán)重影響的病毒?？刂拼胧┟?/p>

23、述：第三方需要訪問(wèn)中國(guó)石油應(yīng)用系統(tǒng)生產(chǎn)環(huán)境時(shí)，應(yīng)填寫用戶帳號(hào)及權(quán)限管理表，說(shuō)明帳號(hào)使用的時(shí)間和期限，并得到相關(guān)業(yè)務(wù)部門主管領(lǐng)導(dǎo)的批準(zhǔn)。訪問(wèn)結(jié)束或訪問(wèn)期限到期，應(yīng)用系統(tǒng)管理員應(yīng)及時(shí)收回相應(yīng)的訪問(wèn)權(quán)限?？刂拼胧汗?yīng)商管理（外包服務(wù)）AQ17控制要求：涉及到任何第三方的訪問(wèn)(包括外包服務(wù))應(yīng)嚴(yán)格按照GCC的實(shí)施要求的要求進(jìn)行控制。嚴(yán)格審查外包服務(wù)合同，確定服務(wù)等級(jí)協(xié)議(SLA) 。SLA通常作為一種控制手段。加強(qiáng)對(duì)外包服務(wù)商實(shí)施工作的可控性和可監(jiān)管，加強(qiáng)對(duì)對(duì)應(yīng)管理員的培訓(xùn)。信息系統(tǒng)安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)主要例外情況：1、發(fā)現(xiàn)名實(shí)不符，具體實(shí)施工作通常是由外包服務(wù)商提供，而不是通過(guò)相應(yīng)的管理員

24、進(jìn)行操作。2、相關(guān)管理員和負(fù)責(zé)人對(duì)其所負(fù)責(zé)的工作不熟悉，不能對(duì)外包商的工作進(jìn)行有效的控制。3、沒(méi)有合理的監(jiān)控機(jī)制，相關(guān)負(fù)責(zé)人和主管領(lǐng)導(dǎo)對(duì)外包服務(wù)不甚了解，不清楚外包商何時(shí)、何地對(duì)應(yīng)用系統(tǒng)進(jìn)行了何種變更?？刂拼胧翰《痉婪禔Q18信息安全子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 病毒會(huì)導(dǎo)致以下情況的發(fā)生：關(guān)鍵系統(tǒng)的可用性降低，敏感數(shù)據(jù)被竊取、篡改或偽造，應(yīng)用系統(tǒng)可靠性降低等。風(fēng)險(xiǎn)級(jí)別：高主要例外情況：1、未使用統(tǒng)一的防病毒軟件。2、所使用的防病毒軟件的病毒庫(kù)未進(jìn)行及時(shí)的更新。3、防病毒軟件未進(jìn)行定期掃描信息系統(tǒng)總體控制要求及關(guān)注要點(diǎn)信息系統(tǒng)安全子領(lǐng)域信息系統(tǒng)日常運(yùn)作子領(lǐng)域變更管理子領(lǐng)域項(xiàng)目建設(shè)管理子領(lǐng)

25、域控制環(huán)境子領(lǐng)域信息系統(tǒng)日常運(yùn)作子領(lǐng)域主要控制措施控制要求及關(guān)注要點(diǎn)注：黃色表示出現(xiàn)例外情況的風(fēng)險(xiǎn)級(jí)別-高.我將在后面詳細(xì)解釋?？刂谱宇I(lǐng)域控制點(diǎn)編號(hào)出現(xiàn)例外控制點(diǎn)信息系統(tǒng)日常運(yùn)作GCC-YW-1GCC-YW-2GCC-YW-3GCC-YW-4GCC-YW-5GCC-YW-6GCC-YW-7GCC-YW-8GCC-YW-9控制措施描述：機(jī)房負(fù)責(zé)人指定人員每天對(duì)設(shè)備運(yùn)行狀況進(jìn)行巡檢，檢查人員對(duì)檢查結(jié)果簽字確認(rèn)?？刂拼胧合到y(tǒng)日常運(yùn)作監(jiān)控YW1控制要求：測(cè)試相關(guān)人員是否每天對(duì)機(jī)房進(jìn)行巡檢，如何檢查，以及是否在設(shè)備巡檢記錄表進(jìn)行記錄。主要例外情況：1、檢查人沒(méi)有簽字確認(rèn)2、設(shè)備巡檢記錄表中顯示某天某巡

26、檢人員進(jìn)行了巡檢，但是檢查AQ13的機(jī)房出入記錄發(fā)現(xiàn)，該巡檢人員當(dāng)天并沒(méi)有進(jìn)入機(jī)房。信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施：系統(tǒng)日常運(yùn)作監(jiān)控YW1信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 對(duì)機(jī)房關(guān)鍵通訊及計(jì)算機(jī)設(shè)備進(jìn)行巡檢，是保證信息系統(tǒng)正常運(yùn)行并防范來(lái)自外界環(huán)境損害的基本控制之一，為執(zhí)行該控制或者控制執(zhí)行不到位，將有可能導(dǎo)致通訊和信息系統(tǒng)遭到外界環(huán)境因素的損害，給整個(gè)信息系統(tǒng)帶來(lái)風(fēng)險(xiǎn)。機(jī)房巡檢記錄表是機(jī)房巡檢的關(guān)鍵證據(jù)，如果記錄表沒(méi)有檢查人簽字確認(rèn)，將導(dǎo)致審計(jì)師無(wú)法有效地對(duì)該等控制點(diǎn)實(shí)施測(cè)試，也將影響到管理層實(shí)施檢查的有效性。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：應(yīng)用系統(tǒng)管理員應(yīng)每周

27、檢查應(yīng)用系統(tǒng)日志，審查是否有錯(cuò)誤信息或異常登錄信息?？刂拼胧合到y(tǒng)日常運(yùn)作監(jiān)控YW2控制要求：通過(guò)日志審查確立應(yīng)用系統(tǒng)的運(yùn)行狀況。檢查應(yīng)用系統(tǒng)的日志是否存在漏洞。主要例外情況：1、應(yīng)用系統(tǒng)日志保存不完整2、某些系統(tǒng)沒(méi)有日志功能，如FA5.0以及部分財(cái)務(wù)關(guān)聯(lián)復(fù)雜系統(tǒng)。信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施：系統(tǒng)日常運(yùn)作監(jiān)控YW2信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 日志是應(yīng)用系統(tǒng)檢查的一項(xiàng)基本證據(jù)，是供審計(jì)師進(jìn)行測(cè)試的主要依據(jù)，如果日志記錄不完整、不完善，將導(dǎo)致審計(jì)師無(wú)法有效地對(duì)該等控制點(diǎn)實(shí)施測(cè)試，也將影響到管理層實(shí)施檢查的有效性；再者，日志檢查表是對(duì)每周檢查結(jié)果的記錄，

28、采取一次性打印的方式很大程度上說(shuō)明沒(méi)有有效執(zhí)行控制。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：網(wǎng)絡(luò)管理員每周檢查防火墻日志，對(duì)檢查結(jié)果簽字確認(rèn)?？刂拼胧合到y(tǒng)日常運(yùn)作監(jiān)控YW3控制要求：查看防火墻日志的報(bào)警級(jí)別的配置查看防火墻的日志記錄。主要例外情況：1、防火墻日志保存不完整2、發(fā)現(xiàn)防火墻日志中的異常情況報(bào)警之后，沒(méi)有填寫問(wèn)題記錄日志表信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施：系統(tǒng)日常運(yùn)作監(jiān)控YW3信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 防火墻日志通常會(huì)如實(shí)記錄所有對(duì)外部網(wǎng)絡(luò)的連接和訪問(wèn)情況，通過(guò)日志可以很快地查看本地網(wǎng)絡(luò)是否遭受探測(cè)、滲透和入侵。日志證據(jù)是審計(jì)師進(jìn)行測(cè)試的主要依據(jù)，如果日

29、志記錄不完整、不完善，將導(dǎo)致審計(jì)師無(wú)法有效地對(duì)該等控制點(diǎn)實(shí)施測(cè)試，也將影響到管理層實(shí)施檢查的有效性。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：應(yīng)用系統(tǒng)負(fù)責(zé)人指定人員根據(jù)應(yīng)用系統(tǒng)的重要程度，制訂備份和恢復(fù)策略，填寫備份作業(yè)清單及備份作業(yè)詳細(xì)說(shuō)明書，并經(jīng)過(guò)應(yīng)用系統(tǒng)負(fù)責(zé)人審批?？刂拼胧簜浞菖c恢復(fù)YW6控制要求：審查應(yīng)用系統(tǒng)備份方案或策略。查看備份相關(guān)表單的填制是否規(guī)范、合理和完整。主要例外情況：1、備份作業(yè)清單中的備份作業(yè)在備份作業(yè)詳細(xì)說(shuō)明書中沒(méi)有體現(xiàn)。2、備份作業(yè)清單中的備份頻率與備份作業(yè)詳細(xì)說(shuō)明書中的備份頻率不一致。3、備份作業(yè)清單中的備份作業(yè)編號(hào)與備份作業(yè)詳細(xì)說(shuō)明書中的編號(hào)不一致。4、備份作業(yè)詳細(xì)說(shuō)明書中的

30、“異常情況通告”填寫為“無(wú)異常情況”，實(shí)際上應(yīng)該填寫為出現(xiàn)異常情況的處理方式，如“通知應(yīng)用系統(tǒng)負(fù)責(zé)人”。信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施：備份與恢復(fù)YW6信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 備份和恢復(fù)策略的管理是保證業(yè)務(wù)數(shù)據(jù)完整、有效的重要措施，備份作業(yè)清單及備份作業(yè)詳細(xì)說(shuō)明書是備份和恢復(fù)策略管理的基本證據(jù)，是供審計(jì)師進(jìn)行測(cè)試的主要依據(jù)，如果填寫不完整或不能體現(xiàn)實(shí)際的備份情況，將導(dǎo)致備份管理混亂，并對(duì)審計(jì)師的判斷產(chǎn)生重大影響。風(fēng)險(xiǎn)級(jí)別：中控制措施描述：應(yīng)用系統(tǒng)負(fù)責(zé)人指定人員依據(jù)備份策略，執(zhí)行備份操作，并對(duì)執(zhí)行結(jié)果進(jìn)行檢查?？刂拼胧簜浞菖c恢復(fù)YW7控制要求：檢查

31、數(shù)據(jù)庫(kù)及生產(chǎn)系統(tǒng)的備份頻率、方式、介質(zhì)等。檢查備份操作是否保留有證據(jù)。主要例外情況：1、檢查備份日志，發(fā)現(xiàn)備份日志與備份作業(yè)記錄表記錄的情況不一致。如備份日志中顯示沒(méi)有進(jìn)行備份，但是備份作業(yè)記錄表中記錄為“正?！?。2、備份日志保存不完整，導(dǎo)致無(wú)法檢查備份作業(yè)記錄表與系統(tǒng)實(shí)際是否一致。信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施：備份與恢復(fù)YW7信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 只有按照已經(jīng)制定備份和恢復(fù)策略進(jìn)行業(yè)務(wù)數(shù)據(jù)備份和恢復(fù)工作并進(jìn)行備份作業(yè)記錄表和記錄備份、恢復(fù)日志才能保證業(yè)務(wù)數(shù)據(jù)完整、有效，備份作業(yè)記錄表和備份、恢復(fù)日志是供審計(jì)師進(jìn)行測(cè)試的主要依據(jù)，如果填寫或記錄

32、不完整，將導(dǎo)致審計(jì)師無(wú)法有效地對(duì)該等控制點(diǎn)實(shí)施測(cè)試，也將影響到管理層實(shí)施檢查的有效性。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：應(yīng)用系統(tǒng)負(fù)責(zé)人指定人員每年，或備份方法、步驟或環(huán)境發(fā)生重大變化時(shí)，進(jìn)行恢復(fù)性測(cè)試，應(yīng)用系統(tǒng)負(fù)責(zé)人對(duì)測(cè)試結(jié)果簽字確認(rèn)?？刂拼胧簜浞菖c恢復(fù)YW8控制要求：針對(duì)備份策略的變化，及環(huán)境發(fā)生變化，檢查是否執(zhí)行了備份恢復(fù)測(cè)試。獲取相關(guān)管理員和負(fù)責(zé)任對(duì)備份恢復(fù)測(cè)試的理解程度。主要例外情況：系統(tǒng)發(fā)生重大變更時(shí)，沒(méi)有進(jìn)行備份恢復(fù)性測(cè)試。如FMIS安裝清欠模塊，沒(méi)有進(jìn)行備份恢復(fù)性測(cè)試。信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施：備份與恢復(fù)YW8信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述：

33、對(duì)備份數(shù)據(jù)進(jìn)行恢復(fù)性測(cè)試是保證備份有效性的主要措施， 備份恢復(fù)測(cè)記錄表是供審計(jì)師進(jìn)行測(cè)試的主要依據(jù)，如果填寫或記錄不完整，將導(dǎo)致審計(jì)師無(wú)法有效地對(duì)該等控制點(diǎn)實(shí)施測(cè)試，也將影響到管理層實(shí)施檢查的有效性。風(fēng)險(xiǎn)級(jí)別：低控制措施描述：幫助熱線支持人員定期分類匯總當(dāng)月發(fā)生的問(wèn)題，形成書面分析報(bào)告，向本部門主管領(lǐng)導(dǎo)匯報(bào)。控制措施：?jiǎn)栴}管理YW9控制要求：確認(rèn)各應(yīng)用系統(tǒng)的熱線幫助人員。確認(rèn)問(wèn)題管理是否系統(tǒng)化，熱線幫助人員是否具有主動(dòng)、積極的態(tài)度。主要例外情況：1、有問(wèn)題發(fā)生，但是沒(méi)有填寫問(wèn)題記錄日志表，如發(fā)現(xiàn)備份不成功，在備份作業(yè)記錄表中選擇了“轉(zhuǎn)問(wèn)題處理”這一選項(xiàng)，但是實(shí)際沒(méi)有填寫問(wèn)題記錄日志表2、問(wèn)題分

34、類匯總月報(bào)表中的問(wèn)題數(shù)量與當(dāng)月問(wèn)題記錄日志表中的問(wèn)題總數(shù)不一致3、負(fù)責(zé)人沒(méi)有在問(wèn)題分類匯總月報(bào)表上簽字。信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施：?jiǎn)栴}管理YW9信息系統(tǒng)日常運(yùn)作子領(lǐng)域控制要求及關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 有效的問(wèn)題管理流程將保證公司信息系統(tǒng)和業(yè)務(wù)流程有效的運(yùn)轉(zhuǎn)，問(wèn)題記錄日志表是供審計(jì)師進(jìn)行測(cè)試的主要依據(jù)，如果填寫或記錄不完整，將導(dǎo)致審計(jì)師無(wú)法有效地對(duì)該等控制點(diǎn)實(shí)施測(cè)試，也將影響到管理層實(shí)施檢查的有效性。風(fēng)險(xiǎn)級(jí)別：中信息系統(tǒng)總體控制要求及關(guān)注要點(diǎn)信息系統(tǒng)安全子領(lǐng)域信息系統(tǒng)日常運(yùn)作子領(lǐng)域變更管理子領(lǐng)域項(xiàng)目建設(shè)管理子領(lǐng)域控制環(huán)境子領(lǐng)域變更管理子領(lǐng)域注：黃色表示出現(xiàn)例外情況的風(fēng)險(xiǎn)級(jí)別-

35、高.我將在后面詳細(xì)解釋?？刂拼胧┟枋觯河脩羯暾?qǐng)變更時(shí)應(yīng)提交變更申請(qǐng)，由主管領(lǐng)導(dǎo)和應(yīng)用系統(tǒng)負(fù)責(zé)人（或信息技術(shù)部門負(fù)責(zé)人）進(jìn)行審批后實(shí)施?？刂拼胧鹤兏暾?qǐng)BG1變更管理子領(lǐng)域控制要求和關(guān)注要點(diǎn)控制要求：表單的規(guī)范填寫和審批。系統(tǒng)中實(shí)際發(fā)生的變更活動(dòng)的管理，例如，通過(guò)日志檢查、應(yīng)用系統(tǒng)模塊查看、訪問(wèn)和使用方式等?？刂拼胧鹤兏暾?qǐng)BG1主要例外情況：變更申請(qǐng)表與變更統(tǒng)計(jì)表不一致；變更申請(qǐng)表填寫不規(guī)范，例如，缺少“變更預(yù)期時(shí)間”，未選擇“變更受理”等內(nèi)容。變更管理子領(lǐng)域控制要求和關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 對(duì)于系統(tǒng)變更活動(dòng)如果沒(méi)有有效的申請(qǐng)、審批流程等控制，將導(dǎo)致審計(jì)師無(wú)法有效地對(duì)該等控制點(diǎn)實(shí)施測(cè)試，也將影

36、響到管理層實(shí)施檢查的有效性。另外，也無(wú)法對(duì)變更實(shí)施統(tǒng)一的、有效的管理。風(fēng)險(xiǎn)級(jí)別：中 控制措施描述：負(fù)責(zé)變更實(shí)施及測(cè)試的信息技術(shù)人員建立與生產(chǎn)環(huán)境相隔離的開發(fā)/測(cè)試環(huán)境，并在其中進(jìn)行變更的開發(fā)及測(cè)試。控制措施：變更實(shí)施BG3變更管理子領(lǐng)域控制要求和關(guān)注要點(diǎn)控制要求：物理上接觸測(cè)試環(huán)境和生產(chǎn)環(huán)境。邏輯上訪問(wèn)測(cè)試環(huán)境和生產(chǎn)環(huán)境。控制措施：變更實(shí)施BG3主要例外情況：變更過(guò)程中開發(fā)和測(cè)試環(huán)境與生產(chǎn)環(huán)境之間未進(jìn)行有效的隔離。變更管理子領(lǐng)域控制要求和關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 開發(fā)、測(cè)試與生產(chǎn)環(huán)境未進(jìn)行有效的隔離可能會(huì)導(dǎo)致：開發(fā)人員在應(yīng)用系統(tǒng)中安裝后門程序，導(dǎo)致應(yīng)用系統(tǒng)自身的安全控制失效；開發(fā)與生產(chǎn)環(huán)境未分離會(huì)導(dǎo)

37、致開發(fā)環(huán)境的不確定性進(jìn)而影響到生產(chǎn)系統(tǒng)的可靠性、穩(wěn)定性和安全性。風(fēng)險(xiǎn)級(jí)別：高控制措施描述：變更申請(qǐng)人的主管領(lǐng)導(dǎo)、應(yīng)用系統(tǒng)負(fù)責(zé)人（或信息技術(shù)部門負(fù)責(zé)人）共同審核程序版本的準(zhǔn)確性，確定是否可以上線?？刂拼胧鹤兏暇€BG4變更管理子領(lǐng)域控制要求和關(guān)注要點(diǎn)控制要求：檢查上線申請(qǐng)與審批的流程及證據(jù)。檢查上線測(cè)試的流程和狀況。控制措施：變更上線BG4主要例外情況：1、變更上線未經(jīng)過(guò)充分的測(cè)試。2、變更上線未經(jīng)過(guò)審批，或未留下證據(jù)。變更管理子領(lǐng)域控制要求和關(guān)注要點(diǎn)風(fēng)險(xiǎn)描述： 變更上線若未經(jīng)過(guò)充分的測(cè)試，將會(huì)對(duì)生產(chǎn)系統(tǒng)產(chǎn)生無(wú)法預(yù)料的影響。輕則影響應(yīng)用系統(tǒng)的功能和性能，嚴(yán)重的可能導(dǎo)致整個(gè)應(yīng)用系統(tǒng)崩潰。未經(jīng)充分

38、測(cè)試和審批的變更上線屬于實(shí)質(zhì)性漏洞。風(fēng)險(xiǎn)級(jí)別：高信息系統(tǒng)總體控制要求及關(guān)注要點(diǎn)信息系統(tǒng)安全子領(lǐng)域信息系統(tǒng)日常運(yùn)作子領(lǐng)域變更管理子領(lǐng)域項(xiàng)目建設(shè)管理子領(lǐng)域控制環(huán)境子領(lǐng)域項(xiàng)目建設(shè)管理子領(lǐng)域注：黃色表示出現(xiàn)例外情況的風(fēng)險(xiǎn)級(jí)別-高.我將在后面詳細(xì)解釋。風(fēng)險(xiǎn)分析： 項(xiàng)目建設(shè)屬于高風(fēng)險(xiǎn)的領(lǐng)域，其中所涉及的KF1至KF9共9個(gè)點(diǎn)理論上均屬于高風(fēng)險(xiǎn)控制點(diǎn)。在實(shí)際測(cè)試中，我們發(fā)現(xiàn)用戶對(duì)項(xiàng)目建設(shè)管理的整個(gè)生命周期和關(guān)鍵控制點(diǎn)未做到有效的控制，體現(xiàn)在某些控制沒(méi)有實(shí)施，控制證據(jù)不足。同時(shí)，未理解項(xiàng)目建設(shè)中可能存在重大隱患的控制點(diǎn)。 以上所列問(wèn)題會(huì)影響到對(duì)整體項(xiàng)目及應(yīng)用系統(tǒng)的控制，或是對(duì)整體項(xiàng)目是否成功產(chǎn)生實(shí)質(zhì)性的影響。

39、同時(shí)，會(huì)影響到外審對(duì)該控制領(lǐng)域的判斷。也會(huì)對(duì)財(cái)務(wù)報(bào)告產(chǎn)生重大影響。 在項(xiàng)目建設(shè)中，應(yīng)重點(diǎn)關(guān)注項(xiàng)目計(jì)劃、上線測(cè)試、項(xiàng)目變更、環(huán)境分離等控制點(diǎn)。項(xiàng)目建設(shè)管理子領(lǐng)域風(fēng)險(xiǎn)分析控制措施描述：項(xiàng)目經(jīng)理應(yīng)組織制訂項(xiàng)目的總體計(jì)劃，應(yīng)包括項(xiàng)目范圍、進(jìn)度管理、人員需求、溝通管理等基本內(nèi)容?？刂拼胧悍椒ㄕ摷绊?xiàng)目審批KF1控制要求：分析項(xiàng)目的總體計(jì)劃、成本控制、質(zhì)量控制、人員組織等信息?？疾祉?xiàng)目經(jīng)理的背景以及是否經(jīng)過(guò)相關(guān)培訓(xùn)。了解項(xiàng)目管理的目標(biāo)、方法和流程。主要例外情況：1、資產(chǎn)系統(tǒng)5.0升級(jí)到資產(chǎn)系統(tǒng)6.0項(xiàng)目沒(méi)有制定專門的項(xiàng)目總體計(jì)劃，而是把其他文檔（如資產(chǎn)信息集中管理項(xiàng)目的工作計(jì)劃表）作為替代，2、項(xiàng)目總體計(jì)

40、劃中缺少項(xiàng)目范圍、人員需求、溝通管理等基本內(nèi)容，或者缺少項(xiàng)目經(jīng)理的簽名和審批意見。項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施描述：項(xiàng)目立項(xiàng)由項(xiàng)目建設(shè)單位根據(jù)自身業(yè)務(wù)需求提出申請(qǐng)，本單位信息技術(shù)部門和規(guī)劃計(jì)劃部門負(fù)責(zé)審批。控制措施：方法論及項(xiàng)目審批KF2控制要求：分析業(yè)務(wù)目標(biāo)和預(yù)期收益。主要例外情況：可行性研究報(bào)告中缺少：項(xiàng)目目標(biāo)與范圍、現(xiàn)狀與需求分析、技術(shù)方案、系統(tǒng)設(shè)計(jì)、組織機(jī)構(gòu)與定員、實(shí)施計(jì)劃、實(shí)施投資估算、實(shí)施風(fēng)險(xiǎn)與效益分析中的一項(xiàng)或幾項(xiàng)。項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施描述：需求分析報(bào)告完成后，項(xiàng)目經(jīng)理組織項(xiàng)目組與各相關(guān)方共同討論該報(bào)告，各方確認(rèn)報(bào)告內(nèi)容后，在報(bào)告上簽字?？?/p>

41、制措施：系統(tǒng)開發(fā)KF3控制要求：分析業(yè)務(wù)需求、概要設(shè)計(jì)和詳細(xì)設(shè)計(jì)等內(nèi)容。報(bào)告是否執(zhí)行了有效的、全面的審批。主要例外情況：需求分析報(bào)告缺少業(yè)務(wù)部門負(fù)責(zé)人或者項(xiàng)目經(jīng)理的簽字項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施描述：系統(tǒng)應(yīng)經(jīng)過(guò)用戶接受測(cè)試，用戶要對(duì)測(cè)試結(jié)果進(jìn)行簽字確認(rèn)?？刂拼胧簻y(cè)試KF5控制要求：用戶對(duì)應(yīng)用系統(tǒng)功能的熟悉程度，對(duì)性能的接受度。檢查測(cè)試實(shí)施證據(jù)是否完整。主要例外情況：1、沒(méi)有進(jìn)行用戶接受測(cè)試2、用戶對(duì)測(cè)試結(jié)果沒(méi)有簽字項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施描述：數(shù)據(jù)移植應(yīng)進(jìn)行測(cè)試，確保數(shù)據(jù)移植的準(zhǔn)確性和完整性，由用戶對(duì)數(shù)據(jù)移植的測(cè)試結(jié)果進(jìn)行確認(rèn)并簽名。控制措施：數(shù)據(jù)移植K

42、F6控制要求：分析數(shù)據(jù)移植方案或策略。檢查數(shù)據(jù)移植的相關(guān)證據(jù)。主要例外情況：1.沒(méi)有進(jìn)行數(shù)據(jù)移植測(cè)試2.對(duì)數(shù)據(jù)移植的測(cè)試結(jié)果沒(méi)有簽字確認(rèn)項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施描述：在上線前，項(xiàng)目經(jīng)理要提交系統(tǒng)上線計(jì)劃和上線申請(qǐng)表給信息技術(shù)部門和業(yè)務(wù)部門管理層審批，系統(tǒng)上線操作人員負(fù)責(zé)將最后版本的系統(tǒng)程序移植到生產(chǎn)環(huán)境?？刂拼胧荷暇€KF7控制要求：分析上線方案或策略。上線回退機(jī)制的分析?？疾焐暇€申請(qǐng)與審批。主要例外情況：1.沒(méi)有編制上線計(jì)劃和上線申請(qǐng)表；2.上線計(jì)劃和上線申請(qǐng)表的內(nèi)容不完整；3.上線計(jì)劃和上線申請(qǐng)表中沒(méi)有相關(guān)人員的審批簽字。項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施描述

43、：項(xiàng)目進(jìn)程中出現(xiàn)變更需求時(shí)，應(yīng)填寫變更申請(qǐng)單，由項(xiàng)目經(jīng)理決定是否變更，或逐級(jí)上報(bào)項(xiàng)目管理辦公室和項(xiàng)目指導(dǎo)委員會(huì)進(jìn)行審批?？刂拼胧喉?xiàng)目變更KF8控制要求：明確項(xiàng)目建設(shè)子領(lǐng)域的變更與變更活動(dòng)子領(lǐng)域的差異。對(duì)比項(xiàng)目概要設(shè)計(jì)與應(yīng)用系統(tǒng)實(shí)際情況。項(xiàng)目變更實(shí)施證據(jù)。主要例外情況：檢查項(xiàng)目階段報(bào)告，發(fā)現(xiàn)系統(tǒng)開發(fā)過(guò)程中發(fā)生了某些變更，如增加系統(tǒng)模塊或者修改現(xiàn)有模塊的功能，屬于項(xiàng)目開發(fā)過(guò)程中的變更，但是沒(méi)有填寫相應(yīng)的變更申請(qǐng)表。項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)控制措施描述：在項(xiàng)目的執(zhí)行過(guò)程中，應(yīng)確保開發(fā)、測(cè)試和生產(chǎn)環(huán)境的隔離，項(xiàng)目經(jīng)理應(yīng)對(duì)項(xiàng)目執(zhí)行過(guò)程中是否符合環(huán)境隔離要求進(jìn)行審閱，并將審閱結(jié)果反映在項(xiàng)目階

44、段報(bào)告中?？刂拼胧喉?xiàng)目管理KF9控制要求：考察測(cè)試、開發(fā)和生產(chǎn)的物理環(huán)境?？疾鞙y(cè)試、開發(fā)和生產(chǎn)的邏輯環(huán)境。主要例外情況：1.沒(méi)有做到測(cè)試環(huán)境和開發(fā)環(huán)境、生產(chǎn)環(huán)境的分離，2.項(xiàng)目經(jīng)理沒(méi)有對(duì)環(huán)境分離情況進(jìn)行審閱，階段報(bào)告中沒(méi)有體現(xiàn)環(huán)境分離的相關(guān)內(nèi)容。項(xiàng)目建設(shè)管理子領(lǐng)域控制要求及關(guān)注要點(diǎn)信息系統(tǒng)總體控制要求及關(guān)注要點(diǎn)信息系統(tǒng)安全子領(lǐng)域信息系統(tǒng)日常運(yùn)作子領(lǐng)域變更管理子領(lǐng)域項(xiàng)目建設(shè)管理子領(lǐng)域控制環(huán)境子領(lǐng)域檢查結(jié)果： 對(duì)環(huán)境控制子領(lǐng)域的檢查結(jié)果未發(fā)現(xiàn)實(shí)質(zhì)性漏洞?？刂骗h(huán)境子領(lǐng)域目錄第一章-背景知識(shí)第二章-信息系統(tǒng)總體控制（簡(jiǎn)稱GCC )第三章-信息系統(tǒng)應(yīng)用控制（簡(jiǎn)稱AC ）第四章電子表格控制 第五章信息系

45、統(tǒng)內(nèi)控關(guān)注要點(diǎn)信息系統(tǒng)應(yīng)用控制一、應(yīng)用系統(tǒng)控制介紹二、應(yīng)用系統(tǒng)控制措施管理規(guī)范三、等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)四、復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)五、應(yīng)用系統(tǒng)權(quán)限管理基本情況及關(guān)注要點(diǎn)信息系統(tǒng)應(yīng)用控制信息系統(tǒng)應(yīng)用控制（Application Control，簡(jiǎn)稱AC ）AC所指的是：業(yè)務(wù)流程中內(nèi)嵌的信息系統(tǒng)相關(guān)控制，信息系統(tǒng)應(yīng)用的潛在風(fēng)險(xiǎn)直接影響業(yè)務(wù)流程中的信息控制目標(biāo)。信息系統(tǒng)應(yīng)用控制包含的主要內(nèi)容有 ： （1）完整性（2）準(zhǔn)確性：（3）有效性:（4）接觸控制信息系統(tǒng)應(yīng)用控制（1）完整性:所有的交易都經(jīng)過(guò)處理，且只處理一次；不允許數(shù)據(jù)的重復(fù)錄入和處理；例外情況的

46、發(fā)現(xiàn)和解決。 （2）準(zhǔn)確性：所有的數(shù)據(jù)（包括金額和賬戶）是正確和合理的；例外情況被及時(shí)發(fā)現(xiàn)以保證交易被記錄在正確的會(huì)計(jì)期間。 （3）有效性:交易被適當(dāng)授權(quán)；系統(tǒng)不接受虛假交易；異常情況被發(fā)現(xiàn)和處理。 （4）接觸控制:未經(jīng)授權(quán)，不得對(duì)系統(tǒng)或數(shù)據(jù)進(jìn)行修改；數(shù)據(jù)保密性；物理設(shè)備的保護(hù)。財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)）公司內(nèi)部有各類應(yīng)用信息系統(tǒng)，應(yīng)對(duì)公司應(yīng)用的信息系統(tǒng)進(jìn)行判斷，界定是否屬于與財(cái)務(wù)相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)： （1）該應(yīng)用系統(tǒng)用于進(jìn)行有關(guān)重要交易事項(xiàng)的生成、授權(quán)、記錄、處理或報(bào)告； （2）該系統(tǒng)是否生成關(guān)鍵的表單和數(shù)據(jù)供財(cái)務(wù)部門使用，直接作為記賬依據(jù)或生成財(cái)務(wù)報(bào)表； （3）該系統(tǒng)是否生成關(guān)鍵

47、的表單和數(shù)據(jù)為其他作為記賬依據(jù)或生成財(cái)務(wù)報(bào)表的系統(tǒng)使用； （4）對(duì)應(yīng)用系統(tǒng)的依賴程度，即是否有來(lái)自系統(tǒng)的計(jì)算結(jié)果，應(yīng)用系統(tǒng)中是否存在相應(yīng)的計(jì)算、檢查、核對(duì)過(guò)程的控制； （5）上述應(yīng)用控制是否是唯一依賴的控制措施，是否存在手工控制可以達(dá)到控制目標(biāo)，彌補(bǔ)風(fēng)險(xiǎn)。財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)）符合以上判斷條件的與財(cái)務(wù)報(bào)告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)應(yīng)按照AC進(jìn)行控制，控制分為5類：訪問(wèn)控制、職責(zé)分離、輸入控制、處理控制、輸出控制。財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)）信息系統(tǒng)應(yīng)用控制財(cái)務(wù)資產(chǎn) 產(chǎn)品銷售物資采購(gòu)存貨管理人力資源與業(yè)績(jī)考核財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)）等級(jí)一系統(tǒng)等級(jí)二系統(tǒng)等級(jí)三系統(tǒng)重要的與

48、財(cái)務(wù)內(nèi)部控制相關(guān)應(yīng)用系統(tǒng)與財(cái)務(wù)內(nèi)部控制間接相關(guān)系統(tǒng)，該類應(yīng)用系統(tǒng)生成的數(shù)據(jù)作為財(cái)務(wù)記賬處理或?yàn)樨?cái)務(wù)系統(tǒng)所使用除等級(jí)一系統(tǒng)和等級(jí)二系統(tǒng)外的系統(tǒng)財(cái)務(wù)FMIS5.0/6.0/7.0- 總部資金管理系統(tǒng)- 資產(chǎn)管理系5.0/6.0/7.0 - 其他財(cái)務(wù)系統(tǒng)系統(tǒng)等級(jí)系統(tǒng)說(shuō)明系統(tǒng)名稱- 復(fù)雜的采購(gòu)，銷售，工資系統(tǒng)- 簡(jiǎn)單的采購(gòu)，銷售類等系統(tǒng)其他信息系統(tǒng)應(yīng)用控制和信息系統(tǒng)總體控制測(cè)試范圍系統(tǒng)相關(guān)控制措施分類FMIS6.0/7.0 系統(tǒng)系統(tǒng)相關(guān)控制措施分類業(yè)務(wù)流程名稱總數(shù)權(quán)限控制信息系統(tǒng)總體控制其他系統(tǒng)控制賬務(wù)體系結(jié)構(gòu)與維護(hù)10343會(huì)計(jì)業(yè)務(wù)處理203413對(duì)外財(cái)務(wù)報(bào)告（地區(qū)公司）193412總計(jì)499122

49、8 FA6.0/7.0 系統(tǒng)系統(tǒng)相關(guān)控制措施分類業(yè)務(wù)流程名稱總數(shù)權(quán)限控制信息系統(tǒng)總體控制其他系統(tǒng)控制主數(shù)據(jù)定義與維護(hù)7241轉(zhuǎn)資9243折舊（直線法）12246報(bào)廢管理8242總計(jì)3681612系統(tǒng)相關(guān)控制措施分類復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng)系統(tǒng)相關(guān)控制措施分類業(yè)務(wù)流程名稱總數(shù)權(quán)限控制信息系統(tǒng)總體控制其他系統(tǒng)控制物資采購(gòu)14248存貨管理182412銷售管理172411人力資源與業(yè)績(jī)考核15249總計(jì)6481640 系統(tǒng)相關(guān)控制措施分類信息系統(tǒng)應(yīng)用控制一、應(yīng)用系統(tǒng)控制介紹二、應(yīng)用系統(tǒng)控制措施管理規(guī)范三、等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)四、復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)五、應(yīng)

50、用系統(tǒng)權(quán)限管理基本情況及關(guān)注要點(diǎn)應(yīng)用系統(tǒng)控制措施管理規(guī)范應(yīng)用系統(tǒng)關(guān)鍵控制文檔應(yīng)用系統(tǒng)劃分規(guī)范及工作指引應(yīng)用系統(tǒng)用戶權(quán)限管理工作規(guī)范應(yīng)用系統(tǒng)用戶權(quán)限設(shè)置與測(cè)試方案應(yīng)用系統(tǒng)業(yè)務(wù)變更管理流程信息系統(tǒng)應(yīng)用控制測(cè)試方法與標(biāo)準(zhǔn)信息系統(tǒng)應(yīng)用控制一、應(yīng)用系統(tǒng)控制介紹二、應(yīng)用系統(tǒng)控制措施管理規(guī)范三、等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)四、復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)五、應(yīng)用系統(tǒng)權(quán)限管理基本情況及關(guān)注要點(diǎn)等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)（一）FMIS6.0/7.0 主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)會(huì)計(jì)業(yè)務(wù)處理流程地區(qū)公司對(duì)外財(cái)務(wù)報(bào)告流程帳務(wù)體系定義與維護(hù)流程（二）FMIS6.0/7

51、.0 報(bào)表公式初始化測(cè)試等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)（三）FA6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)主數(shù)據(jù)定義與維護(hù)流程轉(zhuǎn)資流程折舊流程報(bào)廢管理流程FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)注1：黃色表示風(fēng)險(xiǎn)程度比較高的控制點(diǎn)；注2：紅色表示風(fēng)險(xiǎn)程度很高的控制點(diǎn)；注3：紅色和黃色均為易出現(xiàn)例外的控制點(diǎn)控制措施描述：會(huì)計(jì)核算崗只有將憑證的重要內(nèi)容填列完整才能在系統(tǒng)中生成新憑證，如缺失責(zé)任中心、總賬科目、明細(xì)科目、金額等的任何一項(xiàng)，系統(tǒng)均不允許保存該憑證。控制措施：會(huì)計(jì)業(yè)務(wù)處理流程KA9實(shí)施細(xì)則：在【賬務(wù)結(jié)構(gòu)定義】中，將“允許不完整憑證存盤”關(guān)閉。主要例外情況：沒(méi)有將“

52、允許不完整憑證存盤”關(guān)閉。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施描述：只有借貸方金額相等的憑證才能被系統(tǒng)生成并保存?？刂拼胧簳?huì)計(jì)業(yè)務(wù)處理流程KA10實(shí)施細(xì)則：在【賬務(wù)結(jié)構(gòu)定義】中，必須將“允許不完整憑證存盤”關(guān)閉。否則系統(tǒng)允許借貸方金額不相等的憑證也能存盤。主要例外情況：由于沒(méi)有將“允許不完整憑證存盤”關(guān)閉，系統(tǒng)允許借貸方金額不相等的憑證存盤。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施描述：總賬崗只有根據(jù)財(cái)務(wù)負(fù)責(zé)人對(duì)修改事項(xiàng)的書面審批，并在系統(tǒng)中執(zhí)行“取消完成”（取消記賬、取消審核），才能對(duì)已執(zhí)行“憑

53、證完成”的記賬憑證進(jìn)行修改?？刂拼胧簳?huì)計(jì)業(yè)務(wù)處理流程KA16實(shí)施細(xì)則：1、取消完成、取消記賬權(quán)限為臨時(shí)類權(quán)限，當(dāng)需要發(fā)生相關(guān)業(yè)務(wù)時(shí)，只有提交申請(qǐng)并經(jīng)批準(zhǔn)后，由應(yīng)用系統(tǒng)管理員進(jìn)行賦權(quán)（取消完成、取消記賬）權(quán)限，才能進(jìn)行取消完成、取消記賬的操作；2、對(duì)日常的取消審核業(yè)務(wù)，無(wú)需申請(qǐng)臨時(shí)權(quán)限，無(wú)需填寫取消完成（記賬、審核）申請(qǐng)單。主要例外情況：1、實(shí)際執(zhí)行取消完成、取消記帳操作時(shí)，沒(méi)有填寫取消完成（記賬、審核）申請(qǐng)單；2、取消完成（記賬、審核）申請(qǐng)單填寫不完整、不準(zhǔn)確；FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)月末憑證完整執(zhí)行后，發(fā)現(xiàn)需要進(jìn)行帳務(wù)修改情況時(shí)，財(cái)務(wù)部門填寫取消完成（記賬、審核

54、）申請(qǐng)單后，執(zhí)行如下流程:FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施描述：系統(tǒng)記錄取消完成、取消記賬的日志，財(cái)務(wù)負(fù)責(zé)人每三個(gè)月檢查取消完成、取消記賬的日志，比照取消完成（記賬、審核）申請(qǐng)單審查是否有非授權(quán)的變更，填寫應(yīng)用系統(tǒng)操作日志復(fù)核表（取消類業(yè)務(wù)日志）并簽字確認(rèn)?？刂拼胧簳?huì)計(jì)業(yè)務(wù)處理流程KA16-1實(shí)施細(xì)則：1、根據(jù)日志中的“取消完成、取消記賬”的信息，核對(duì)是否每次操作都填寫取消完成（記賬、審核） 申請(qǐng)單，表單是否經(jīng)過(guò)相應(yīng)的審批。并填寫應(yīng)用系統(tǒng)操作日志復(fù)核表；2、目前，由于絕大部分公司的日志功能還不完善，導(dǎo)致無(wú)法執(zhí)行上述控制措施。主要例外情況：1、對(duì)于日志功能完善的系統(tǒng)

55、：沒(méi)有填寫應(yīng)用系統(tǒng)操作日志復(fù)核表或填寫不完整、不準(zhǔn)確，填寫信息與實(shí)際日志信息不一致；2、由于沒(méi)有日志功能，無(wú)法執(zhí)行上述控制。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施：會(huì)計(jì)業(yè)務(wù)處理流程KA16-1（續(xù)）風(fēng)險(xiǎn)分析：對(duì)于重要的系統(tǒng)自動(dòng)控制操作，F(xiàn)MIS的日志沒(méi)有記錄充分的信息作為審計(jì)證據(jù)，降低了系統(tǒng)的可審計(jì)性，直接影響到對(duì)相關(guān)的系統(tǒng)控制措施進(jìn)行監(jiān)督檢查的有效性；如果相關(guān)的系統(tǒng)控制措施存在控制缺陷，則日志功能的不完善直接加大了潛在的控制風(fēng)險(xiǎn)，形成實(shí)質(zhì)性漏洞。取消記賬權(quán)限由操作人員臨時(shí)申請(qǐng)，在經(jīng)過(guò)授權(quán)審批后才能在系統(tǒng)中對(duì)指定的記賬憑證執(zhí)行相應(yīng)的取消記賬操作，由于日志沒(méi)有提供對(duì)系統(tǒng)操作

56、的詳細(xì)記錄，如執(zhí)行的明細(xì)菜單功能、訪問(wèn)的記賬憑證編號(hào)等，從而影響了復(fù)核人員對(duì)操作人員使用取消權(quán)限所作的全部操作(包括經(jīng)授權(quán)和未經(jīng)授權(quán)的活動(dòng))，進(jìn)行全面有效檢查，存在使用取消權(quán)限對(duì)賬務(wù)數(shù)據(jù)進(jìn)行惡意修改的潛在風(fēng)險(xiǎn)。從而導(dǎo)致實(shí)質(zhì)性漏洞增加的風(fēng)險(xiǎn)。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施描述：在系統(tǒng)中對(duì)損益類科目，制造費(fèi)用等科目設(shè)置結(jié)平后，月末結(jié)賬時(shí)，系統(tǒng)自動(dòng)檢查設(shè)定科目（損益類科目，制造費(fèi)用等科目）月末是否結(jié)平，對(duì)于未結(jié)平科目不允許執(zhí)行“結(jié)賬”操作?？刂拼胧簳?huì)計(jì)業(yè)務(wù)處理流程KA19實(shí)施細(xì)則：在科目字典維護(hù)中，在損益類科目設(shè)置中，對(duì)“月末結(jié)平”設(shè)置為“是”。主要例外情況：沒(méi)有對(duì)損

57、益類科目的“月末結(jié)平”設(shè)置為“是”。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)注1：黃色表示風(fēng)險(xiǎn)程度比較高的控制點(diǎn)；注2：紅色表示風(fēng)險(xiǎn)程度很高的控制點(diǎn)；注3：紅色和黃色均為易出現(xiàn)例外的控制點(diǎn)。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施描述：財(cái)務(wù)部門負(fù)責(zé)人每半年審核系統(tǒng)中列示的合并范圍，確定該范圍符合公司的財(cái)務(wù)報(bào)告政策，書面記錄審核結(jié)果并簽字確認(rèn)，以保證合并范圍的完整與及時(shí)更新?？刂拼胧簩?duì)外財(cái)務(wù)報(bào)告流程KA1實(shí)施細(xì)則：財(cái)務(wù)部門負(fù)責(zé)人每半年審核系統(tǒng)中的合并范圍是否與實(shí)際情況一致，在財(cái)務(wù)會(huì)計(jì)報(bào)告審核情況記錄表上留下復(fù)核記錄，同時(shí)從系統(tǒng)中打印出報(bào)表責(zé)任中心列表，注明納入合

58、并范圍的責(zé)任中心，并簽字確認(rèn)，注明核對(duì)結(jié)果。主要例外情況：1、沒(méi)有留下書面的對(duì)系統(tǒng)中合并范圍進(jìn)行復(fù)核的證據(jù)；2、經(jīng)簽字確認(rèn)的合并范圍清單與系統(tǒng)中列示的納入合并范圍的責(zé)任中心列表不一致；3、復(fù)核記錄填寫不完整、不準(zhǔn)確。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施：對(duì)外財(cái)務(wù)報(bào)告流程KA1（續(xù)）風(fēng)險(xiǎn)分析：系統(tǒng)中的報(bào)表合并范圍如果沒(méi)有得到定期審核，存在合并范圍不準(zhǔn)確而未被發(fā)現(xiàn)的風(fēng)險(xiǎn)，可能導(dǎo)致資產(chǎn)和負(fù)債被高估或者低估，使得合并的財(cái)務(wù)報(bào)表不能準(zhǔn)確地反映整個(gè)公司的財(cái)務(wù)狀況，經(jīng)營(yíng)成果和現(xiàn)金流量。從而增加了出現(xiàn)實(shí)質(zhì)性漏洞的可能性。FMIS6.0/7.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施描述：

59、1、各報(bào)表管理崗需進(jìn)行報(bào)表公式（取數(shù)公式、計(jì)算公式等）變更時(shí)，向財(cái)務(wù)部門負(fù)責(zé)人提交報(bào)表公式變更申請(qǐng)表，財(cái)務(wù)部門負(fù)責(zé)人根據(jù)公司的財(cái)務(wù)報(bào)告政策以及核算和管理需要審批報(bào)表公式變更申請(qǐng)表，只有得到正式審批后報(bào)表管理崗才能執(zhí)行公式變更；2、對(duì)于總部下發(fā)的公式，各報(bào)表管理崗將報(bào)表公式導(dǎo)入系統(tǒng)后，在報(bào)表公式變更申請(qǐng)表書面記錄導(dǎo)入結(jié)果并簽字確認(rèn)；3、對(duì)于自行定義的公式，各報(bào)表管理崗在正式使用前要進(jìn)行測(cè)試，并在報(bào)表公式變更申請(qǐng)表中書面記錄測(cè)試結(jié)果并簽字確認(rèn)；4、獨(dú)立于報(bào)表公式修改人的財(cái)務(wù)人員檢查系統(tǒng)公式，確認(rèn)公式的變動(dòng)是否準(zhǔn)確，并在報(bào)表公式變更申請(qǐng)表中簽字確認(rèn)?？刂拼胧簩?duì)外財(cái)務(wù)報(bào)告流程KA5FMIS6.0/7

60、.0主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn)控制措施：對(duì)外財(cái)務(wù)報(bào)告流程KA5（續(xù)）實(shí)施細(xì)則：1、對(duì)于地區(qū)公司自行定義的公式，在正式使用之前需要進(jìn)行測(cè)試，并將通過(guò)公式測(cè)試的報(bào)表公式、帶有數(shù)據(jù)的報(bào)表及科目余額表打印出來(lái)，附在報(bào)表公式變更申請(qǐng)表后，并簽字確認(rèn)測(cè)試通過(guò)；2、對(duì)股份公司下發(fā)的報(bào)表公式導(dǎo)入后，在報(bào)表公式變更申請(qǐng)表上記錄導(dǎo)入結(jié)果，并簽字確認(rèn)；3、對(duì)于變更前后的公式，需要在報(bào)表公式變更申請(qǐng)表上進(jìn)行詳細(xì)描述，若變更公式較多，可將變更前后的公式單獨(dú)打印出來(lái)，附在報(bào)表公式變更申請(qǐng)表后；4、所有上報(bào)股份公司的報(bào)表的公式變更均需要執(zhí)行上述控制。5、公式定義規(guī)則參見中國(guó)石油財(cái)務(wù)管理信息系統(tǒng)手冊(cè)及中國(guó)石油天然氣股份有