1、應用指引第18號信息系統(tǒng),為什么要制定本指引 利用信息系統(tǒng)實施內(nèi)部控制應關注哪些主要風險 利用信息系統(tǒng)實施內(nèi)部控制的總體要求 如何開發(fā)信息系統(tǒng) 如何運行、維護信息系統(tǒng),一、為什么要制定本指引,定義： 是指企業(yè)利用計算機和通信技術，對內(nèi)部控制進行集成、轉(zhuǎn)化和提升所形成的信息化管理平臺。 作用： 提高企業(yè)現(xiàn)代化管理水品的重要手段 提高企業(yè)風險防范能力的有效措施,一、為什么要制定本指引,特點： 企業(yè)內(nèi)部信息流的傳遞平臺。（效率） 實施內(nèi)部控制的手段。（有效性） 目的： 為了促進企業(yè)有效實施內(nèi)部控制，提高企業(yè)現(xiàn)代化管理水平，減少人為因素,二、應關注哪些主要風險,信息系統(tǒng)缺乏或規(guī)則不合理，可能造成信息孤

2、島或重復建設、資源浪費、導致企業(yè)經(jīng)營管理效率底下； 系統(tǒng)開發(fā)不符合內(nèi)部控制要求，授權(quán)管理不當，可能導致無法利用信息技術實施有效控制； 系統(tǒng)運行維護和安全措施不到位，可能導致信息泄漏或毀損，系統(tǒng)無法正常運行。,三、利用信息系統(tǒng)實施內(nèi)控的總體要求,本指引第4條規(guī)定： 企業(yè)應當重視信息系統(tǒng)在內(nèi)部控制中的作用，根據(jù)內(nèi)部控制要求，結(jié)合組織架構(gòu)、業(yè)務范圍、地域分布、技術能力等因素，制定信息系統(tǒng)建設整體規(guī)劃，加大投入力度，有序組織信息系統(tǒng)開發(fā)、運行與維護，優(yōu)化管理流程，防范經(jīng)營風險，全面提升企業(yè)現(xiàn)代化管理水平。 企業(yè)應當指定專門機構(gòu)對信息系統(tǒng)建設實施歸口管理，明確相關單位的職責權(quán)限，建立有效工作機制。企業(yè)可

3、以委托專業(yè)機構(gòu)對從事信息系統(tǒng)的開發(fā)、運行和維護工作。 企業(yè)負責人對信息系統(tǒng)建設工作負責。,四、如何開發(fā)信息系統(tǒng),開發(fā)階段的主要環(huán)節(jié)： 項目建設方案的提出與審批，進行開發(fā)，開發(fā)過程的跟蹤管理，驗收測試，上線準備,項目建設方案的提出與審批（本指引第5條）,企業(yè)應當根據(jù)信息系統(tǒng)建設整體規(guī)劃，提出項目建設方案，明確建設目標、人員配備、職責分工、經(jīng)費保障和進度安排等相關內(nèi)容，按照規(guī)定的權(quán)限和程序?qū)徟髮嵤?企業(yè)信息系統(tǒng)歸口管理部門應當組織內(nèi)部各單位提出開發(fā)需求和關鍵控制點，規(guī)范開發(fā)流程，明確系統(tǒng)設計、編程、安裝調(diào)試、驗收、上線等全過程的管理要求，嚴格按照建設方案、開發(fā)流程和相關要求組織開發(fā)工作。 企業(yè)

4、開發(fā)信息系統(tǒng)，可以采取自行開發(fā)、外購調(diào)試、業(yè)務外包等方式。選定外購調(diào)試或業(yè)務外包方式的，應當采用公開招標等形式則有確定供應商或開發(fā)單位。,進行開發(fā)（本指引第6號）,企業(yè)開發(fā)信息系統(tǒng)，應當將生產(chǎn)經(jīng)營管理全部業(yè)務流程，關鍵控制點和處理規(guī)則嵌入系統(tǒng)程序，實現(xiàn)手工環(huán)境下難以實現(xiàn)的控制功能。 企業(yè)在系統(tǒng)開發(fā)過程中，應當按照不同業(yè)務的控制要求，通過信息系統(tǒng)中的權(quán)限管理功能控制用戶的操作權(quán)限，避免將不同職責的處理權(quán)限授予同一用戶。 企業(yè)應當針對不同數(shù)據(jù)的輸入方式，考慮對進入系統(tǒng)數(shù)據(jù)的檢查和校驗功能。對于必須的后臺操作，應當加強管理，建立規(guī)范的流程制度，對操作情況進行監(jiān)控或者審計。 企業(yè)應當在信息系統(tǒng)中設置操

5、作日志功能，確保操作的可審計性；對異常的或者違背內(nèi)部控制要求的交易和數(shù)據(jù)，應當涉及由系統(tǒng)自動報告，并設置跟蹤處理機制。,開發(fā)過程的跟蹤管理（本指引第7條）,企業(yè)信息系統(tǒng)歸口管理部門應當加強信息系統(tǒng)開發(fā)全過程的跟蹤管理，組織開發(fā)單位與內(nèi)部各單位的日常溝通和協(xié)調(diào)，督促開發(fā)單位按照建設方案、計劃進度和質(zhì)量要求完成編制工作，隊配備的硬件設備和系統(tǒng)軟件進行檢查驗收，組織系統(tǒng)上線等。,驗收監(jiān)測（本指引第8條）,企業(yè)應當組織獨立于開發(fā)單位的專業(yè)機構(gòu)對開發(fā)完成的信息系統(tǒng)進行驗收測試，確保在功能、性能、控制要求和安全性等方面符合開發(fā)需求。,上線準備（指引第9條）,企業(yè)應當切實做好信息系統(tǒng)上線的各項準備工作，培訓

6、業(yè)務操作和系統(tǒng)管理人員，制定科學的上線計劃和新舊系統(tǒng)轉(zhuǎn)換方案，考慮應急預案，確保新舊系統(tǒng)順利切換和平穩(wěn)銜接。系統(tǒng)上線涉及數(shù)據(jù)遷移的，還應制定詳細的數(shù)據(jù)遷移計劃。,五、如何運行與維護信息系統(tǒng),運行與維護階段的主要環(huán)節(jié)： 運行與維護的管理，系統(tǒng)安全管理，用戶管理，網(wǎng)絡安全管理，數(shù)據(jù)備份，設備管理,系統(tǒng)運行與維護管理（指引第10條）,企業(yè)應當加強信息系統(tǒng)運行與維護的管理，制定信息系統(tǒng)工作程序、信息管理制度以及各模塊子系統(tǒng)的具體操作規(guī)范，及時跟蹤、發(fā)現(xiàn)和解決系統(tǒng)運行中存在的問題，確保信息系統(tǒng)按照規(guī)定的程序、制度和操作規(guī)范持續(xù)穩(wěn)定運行。 企業(yè)應當建立信息系統(tǒng)變更管理流程，信息系統(tǒng)變更應當嚴格遵照管理流程

7、進行操作。信息系統(tǒng)操作人員不得擅自進行系統(tǒng)軟件的刪除、修改等操作，不得擅自升級、改變系統(tǒng)軟件版本，不得擅自改變軟件系統(tǒng)環(huán)境配置。,系統(tǒng)安全管理（指引第11條）,企業(yè)應當根據(jù)業(yè)務性質(zhì)、重要程度、涉密情況等確定信息系統(tǒng)的安全等級，建立不同等級信息的授權(quán)使用制度，采用相應技術手段，保證信息系統(tǒng)運行安全有序。 企業(yè)應當建立信息細同安全保密和泄密責任追究制度，委托專業(yè)機構(gòu)進行系統(tǒng)運行與維護管理的，應當審查該機構(gòu)的資質(zhì)，并與其簽訂服務合同和保密協(xié)議。企業(yè)應當采取安裝安全軟件等措施防范信息系統(tǒng)受到病毒等惡意軟件的感染和破壞。,用戶管理（指引第12條）,企業(yè)應當建立用戶管理制度，加強對重要業(yè)務系統(tǒng)的訪問權(quán)限管理，定期審閱系統(tǒng)賬號，避免授權(quán)不當或存在非授權(quán)賬號，禁止不相容職務用戶賬號的交叉操作。,網(wǎng)絡安全管理（指引第13條）,企業(yè)應當綜合利用防火墻、路由器等網(wǎng)絡設備，漏洞掃描、入侵檢測等軟件技術以及遠程訪問安全策略等手段，加強網(wǎng)絡安全、防范來自網(wǎng)絡的攻擊和非法侵入。 企業(yè)對于通過網(wǎng)絡傳輸?shù)纳婷芑蜿P鍵數(shù)據(jù)，應當采取加密措施，確保信息傳遞的保密性、準確性和完整性。,數(shù)據(jù)備份（指引第14條）,企業(yè)應當建立系統(tǒng)數(shù)據(jù)定期備