企业内部控制应用指引第18号——信息系统
【案例导入】忽略了安全需求的ERP
A企业是国内一家从事制造建筑工程施工车辆的公司。该企业从九十年代就开始准备ERP项目，并在二十世纪九十年代后期选定了软件，开始实施包括财务、分销和制造在内的整合的ERP系统。
为此，A公司专门成立了ERP实施小组，在专业咨询公司的协助下，经过一段时间的需求分析、流程设计、用户培训，实施工作进入了紧张的上线前数据准备的关键阶段。
这时候，采购部门对敏感的采购信息在系统中的安全性提出了质疑，包括对相关采购数据的输入、修改、批准、查询、报告、打印等，提出了一系列要求。
整个采购部门有几十个从事采购相关业务的工作人员，分管几十个大类、数以万计的不同物品的相关采购工作。
根据内控的要求，不同大类物品的采购价格和数量,以及到货时间等诸如此类的定单信息和供应商信息，对其他无关部门，甚至同部门的其他采购人员，都是保密的。
在这样的内控要求下，ERP用户权限的设定，不是仅在功能模块的菜单上设定权限，就能符合岗位隔离的要求的。不少安全要求，具体到需要对数据库内的数据表的字段做出相应的权限设定。岗位隔离的要求，形成了一个极其复杂的安全需求矩阵。
在系统实施工作的后期阶段，提出这样的安全要求，对ERP实施小组无疑是个难题。由于事先准备不足，ERP系统的功能、需求分析、流程设计、项目实施的资源，都没有充分考虑公司内控和信息安全的要求。
上述信息安全和岗位隔离的要求，对采购模块的实施，形成了难以逾越的障碍，并且直接导致：
1.采购模块没有和其他模块一起集成上线。
2.应付账款模块、库存管理模块、成本计算功能的应用，都受到了很大的制约。
3.该ERP系统的实施，没能达到产供销财务一体化的目标。
其实，该公司内其他部门也有类似的信息安全的考虑和内控的要求，只不过没有采购部门反应强烈而已。这些问题深深困扰着A企业……
1.在系统分析阶段，开发人员和A企业在哪方面存在重大的失误？
2.如果你是A企业的CIO，面对上述问题，你会做出什么样的决策？
3.在信息系统的建设过程中，要经历哪些阶段?公司的领导和各部门都起什么作用?
一、本指引的现实和长远意义
优化信息系统提升管理水平
——财政部会计司解读《企业内部控制应用指引第18号——信息系统》《企业内部控制应用指引第18号———信息系统》中所指信息系统，是指企业利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息化管理平台。信息系统内部控制的目标是促进企业有效实施内部控制，提高企业现代化管理水平，减少人为操纵因素；同时，增强信息系统的安全性、可靠性和合理性以及相关信息的保密性、完整性和可用性，为建立有效的信息与沟通机制提供支持保障。信息系统内部控制的主要对象是信息系统，由计算机硬件、软件、人员、信息流和运行规程等要素组成。
现代企业的运营越来越依赖于信息系统。比如航空公司的网上订票系统、银行的资金实时结算系统、携程旅行网的客户服务系统等，没有信息系统的支撑，业务开展就举步维艰、难以为继，企业经营就很可能陷入瘫痪状态。还有一些新兴产业和新兴企业，其商业模式完全依赖信息系统，比如各种网络公司（新浪、网易、百度）、各种电子商务公司（比如阿里
巴巴、卓越公司），没有信息系统，这些企业可能失去生存之基。
同时应当看到，企业信息系统内部控制以及利用信息系统实施内部控制也面临诸多风险，至少应当关注下列方面：一是信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下；二是系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制；三是系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。
鉴于信息系统在实施内部控制和现代化管理中具有十分独特而重要的作用，加之信息系统本身的复杂性和高风险特征，《企业内部控制应当指引第18号——信息系统》规定，企业负责人对信息系统建设工作负责。换言之，信息系统建设是“一把手”工程。只有企业负责人站在战略和全局的高度亲自组织领导信息系统建设工作，才能统一思想、提高认识、加强协调配合，从而推动信息系统建设在整合资源的前提下高效、协调推进。企业应当重视信息系统在内部控制中的作用，根据内部控制要求，结合组织架构、业务范围、地域分布、技术能力等因素，制定信息系统建设总体规划，加大投入力度，有序组织信息系统开发、运行与维护，优化管理流程，防范经营风险，全面提升企业现代化管理水平。
二、本指引的框架结构
该指引分为3章，共15条，主要说明对信息系统实施内部控制，重视在内部控制中的作用；根据信息系统建设整体规划提出项目建设方案，开发信息系统；企业应当加强信息系统运行与维护的管理，制定信息系统工作程序、信息管理制度以及各模块子系统的具体操作规范；具体框架结构如下表：
三、本指引主要内容解读
【解读】
随着社会信息化进程的迅速推进，信息系统成为不少企业内部管理与控制的关键工具。因此，信息系统的可靠性、安全性已经直接影响着审计工作效率和质量。在此背景下，《审计署2006至2010年审计工作发展规划》提出“逐步开展对关系国计民生的重大行业、部门的联网审计和信息系统审计，全面提高计算机应用水平”。
信息系统开发、运行与维护过程中的主要风险
企业应当关注与信息系统有关的下列风险：
1.信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。
2.系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制。
3.系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。
第二章信息系统的开发
第五条企业应当根据信息系统建设整体规划提出项目建设方案，明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定的权限和程序审批后实施。
企业信息系统归口管理部门应当组织内部各单位提出开发需求和关键控制点，规范开发流程，明确系统设计、编程、安装调试、验收、上线等全过程的管理要求，严格按照建设方案、开发流程和相关要求组织开发工作。
企业开发信息系统，可以采取自行开发、外购调试、业务外包等方式。选定外购调试或业务外包方式的，应当采用公开招标等形式择优确定供应商或开发单位。
第六条企业开发信息系统，应当将生产经营管理业务流程、关控制点和处理规则嵌入系统程序，实现手工环境下难以实现的控制功能。
企业在系统开发过程中，应当按照不同业务的控制要求，通过信息系统中的权限管理功能控制用户的操作权限，避免将不相容职责的处理权限授予同一用户
企业应当针对不同数据的输入方式，考虑对进入系统数据的检查和校验功能。对于必需的后台操作，应当加强管理，建立规范的流程制度，对操作情况进行监控或者审计。
企业应当在信息系统中设置操作日志功能，确保操作的可审计性。对异常的或者违背内部控制要求的交易和数据，应当设计由系统自动报告并设置跟踪处理机制。
第七条企业信息系统归口管理部门应当加强信息系统开发全过程的跟踪管理，组织开发单位与内部各单位的日常沟通和协调，督促开发单位按照建设方案、计划进度和质量要求完成编程工作，对配备的硬件设备和系统软件进行检查验收，组织系统上线运行等。
第八条企业应当组织独立于开发单位的专业机构对开发完成的信息系统进行验收测试，确保在功能、性能、控制要求和安全性等方面符合开发需求。
第九条企业应当切实做好信息系统上线的各项准备工作，培训业务操作和系统管理人员，制定科学的上线计划和新旧系统转换方案，考虑应急预案，确保新旧系统顺利切换和平稳衔接。系统上线涉及数据迁移的，还应制定详细的数据迁移计划。
【解读】
企业根据发展战略和业务需要进行信息系统建设，首先要确立系统建设目标，根据目标进行系统建设战略规划，再将规划细化为项目建设方案。企业开展信息系统建设，可以根据实际情况，采取自行开发、外购调试或业务外包等方式。选择外购调试或业务外包方式的，应当采用公开招标等形式择优选择供应商或开发单位。选择自行开发信息系统的，信息系统归口管理部门应当组织企业内部相关业务部门进行需求分析，合理配置人员，明确系统设计、编程、安装调试、验收、上线等全过程的管理要求。企业信息系统归口管理部门应当加强信息系统开发全过程的跟踪管理，增进开发单位与企业内部业务部门的日常沟通和协调，组织独立于开发单位的专业机构对开发完成的信息系统进行检查验收，并组织系统上线运行。
（一）制定信息系统开发的战略规划
信息系统开发的战略规划是信息化建设的起点，战略规划是以企业发展战略为依据制定的企业信息化建设的全局性、长期性规划。制定信息系统战略规划的主要风险是：第一，缺乏战略规划或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。第二，没有将信息化与企业业务需求结合，降低了信息系统的应用价值。信息孤岛现象是不少企业信息系统建设中存在的普遍问题，根源在于这些企业往往忽视战略规划的重要性，缺乏整体观念和整合意识，常常陷于头痛医头，脚痛医脚，这就导致有的企业财务管理信息系统、销售管理信息系统、生产管理信息系统、人力资源管理系统、办公自动化系统等各自为政、孤立存在的现象，削弱了信息系统的协同效用，甚至引发系统冲突。
主要控制措施：第一，企业必须制定信息系统开发的战略规划和中长期发展计划，并在每年制定经营计划的同时制定年度信息系统建设计划，促进经营管理活动与信息系统的协调统一。第二，企业在制定信息化战略过程中，要充分调动和发挥信息系统归口管理部门与业务部门的积极性，使各部门广泛参与，充分沟通，提高战略规划的科学性、前瞻性和适应性。第三，信息系统战略规划要与企业的组织架构、业务范围、地域分布、技术能力等相匹配，避免相互脱节。
（二）选择适当的信息系统开发方式
信息系统的开发建设是信息系统生命周期中技术难度最大的环节。在开发建设环节，要将企业的业务流程、内控措施、权限配置、预警指标、核算方法等固化到信息系统中，因此开发建设的好坏直接影响信息系统的成败。
开发建设主要有自行开发、外购调试、业务外包等方式。各种开发方式有各自的优缺点和适用条件，企业应根据自身实际情况合理选择。
1.自行开发
自行开发是企业依托自身力量完成整个开发过程。其优点是开发人员熟悉企业情况，可以较好地满足本企业的需求，尤其是具有特殊性的业务需求。通过自行开发，还可以培养锻炼自己的开发队伍，便于后期的运行和维护。其缺点是开发周期较长、技术水平和规范程度较难保证，成功率相对较低。因此，自行开发方式的适用条件通常是企业自身技术力量雄厚，而且市场上没有能够满足企业需求的成熟的商品化软件和解决方案。比如百度的搜索引擎系统就偏重于自行开发。
2.外购调试
外购调式的基本做法是企业购买成熟的商品化软件，通过参数配置和二次开发满足企业需求。其优点是开发建设周期短；成功率较高；成熟的商品化软件质量稳定，可靠性高；专业的软件提供商实施经验丰富。其缺点是难以满足企业的特殊需求；系统的后期升级进度受制于商品化软件供应商产品更新换代的速度，企业自主权不强，较为被动。外购调试方式的适用条件通常是企业的特殊需求较少，市场上已有成熟的商品化软件和系统实施方案。比如大部分企业的财务管理系统、ERP系统、人力资源管理系统等多采用外购调试方式。
3.业务外包
信息系统的业务外包是指委托其他单位开发信息系统，基本做法是企业将信息系统开发项目外包出去，由专业公司或科研机构负责开发、安装实施，由企业直接使用。其优点是企业可以充分利用专业公司的专业优势，量体裁衣，构建全面、高效满足企业需求的个性化系统；企业不必培养、维持庞大的开发队伍，相应节约了人力资源成本。其缺点是沟通成本高，系统开发方难以深刻理解企业需求，可能导致开发出的信息系统与企业的期望产生较大偏差；同时，由于外包信息系统与系统开发方的专业技能、职业道德和敬业精神存在密切关系，也要求企业必须加大对外包项目的监督力度。业务外包方式的适用条件通常是市场上没有能够满足企业需求的成熟的商品化软件和解决方案，企业自身技术力量薄弱或出于成本效益原则考虑不愿意维持庞大的开发队伍。
（三）自行开发方式的关键控制点和主要控制措施
虽然信息系统的开发方式有自行开发、外购调试、业务外包等多种方式，但基本流程大体相似，通常包含项目计划、需求分析、系统设计、编程和测试、上线等环节。
1.项目计划环节
战略规划通常将完整的信息系统分成若干子系统，并分阶段建设不同的子系统。比如，制造企业可以将信息系统划分为财务管理系统、人力资源管理系统、MRP系统（销售、采购、库存、生产）、计算机辅助设计和制造系统、客户关系系统、电子商务系统等若干子系统。项目就是指本阶段需要建设的相对独立的一个或多个子系统。
项目计划通常包括项目范围说明、项目进度计划、项目质量计划、项目资源计划、项目沟通计划、风险对策计划、项目采购计划、需求变更控制、配置管理计划等内容。项目计划不是完全静止、一成不变的，在项目启动阶段，可以先制定一个较为原则的项目计划，确定项目主要内容和重大事项，然后根据项目的大小和性质以及项目进展情况进行调整、充实和完善。项目计划环节的主要风险是：信息系统建设缺乏项目计划或者计划不当，导致项目进度滞后、费用超支、质量低下。
主要控制措施：第一，企业应当根据信息系统建设整体规划提出分阶段项目的建设方案，明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定的权限和程序审批后实施。第二，企业可以采用标准的项目管理软件（比如Office Project）制定项目计划，并加以跟踪。在关键环节进行阶段性评审，以保证过程可控。第三，项目关键环节编制的文档应参照《GB8567－88计算机软件产品开发文件编制指南》等相关国家标准和行业标准进行，以提高项目计划编制水平。
2.需求分析环节
需求分析的目的是明确信息系统需要实现哪些功能。该项工作是系统分析人员和用户单位的管理人员、业务人员在深入调查的基础上，详细描述业务活动涉及的各项工作以及用户的各种需求，从而建立未来目标系统的逻辑模型。这一环节的主要风险是：第一，需求本身不合理，对信息系统提出的功能、性能、安全性等方面的要求不符合业务处理和控制的需要。第二，技术上不可行、经济上成本效益倒挂，或与国家有关法规制度存在冲突。第三，需求文档表述不准确、不完整，未能真实全面地表达企业需求，存在表述缺失、表述不一致甚至表述错误等问题。
主要控制措施：第一，信息系统归口管理部门应当组织企业内部各有关部门提出开发需求，加强系统分析人员和有关部门的管理人员、业务人员的交流，经综合分析提炼后形成合理的需求。第二，编制表述清晰、表达准确的需求文档。需求文档是业务人员和技术人员共同理解信息系统的桥梁，必须准确表述系统建设的目标、功能和要求。企业应当采用标准建模语言(例如UML)，综合运用多种建模工具和表现手段，参照《GB8567－88计算机软件产品开发文件编制指南》等相关标准，提高系统需求说明书的编写质量。第三，企业应当建立健
全需求评审和需求变更控制流程。依据需求文档进行设计（含需求变更设计）前，应当评审其可行性，由需求提出人和编制人签字确认，并经业务部门与信息系统归口管理部门负责人审批。
3.系统设计环节
系统设计是根据系统需求分析阶段所确定的目标系统逻辑模型，设计出一个能在企业特定的计算机和网络环境中实现的方案，即建立信息系统的物理模型。系统设计包括总体设计和详细设计。总体设计的主要任务是：第一，设计系统的模块结构，合理划分子系统边界和接口。第二，选择系统实现的技术路线，确定系统的技术架构，明确系统重要组件的内容和行为特征，以及组件之间、组件与环境之间的接口关系。第三，数据库设计，包括主要的数据库表结构设计、存储设计、数据权限和加密设计等。第四，设计系统的网络拓扑结构、系统部署方式等。详细设计的主要任务包括：程序说明书编制、数据编码规范设计、输入输出界面设计等内容。系统设计环节的主要风险是：第一，设计方案不能完全满足用户需求，不能实现需求文档规定的目标。第二，设计方案未能有效控制建设开发成本，不能保证建设质量和进度。第三，设计方案不全面，导致后续变更频繁。第四，设计方案没有考虑信息系统建成后对企业内部控制的影响，导致系统运行后衍生新的风险。
主要控制措施：第一，系统设计负责部门应当就总体设计方案与业务部门进行沟通和讨论，说明方案对用户需求的覆盖情况；存在备选方案的，应当详细说明各方案在成本、建设时间和用户需求响应上的差异；信息系统归口管理部门和业务部门应当对选定的设计方案予以书面确认。第二，企业应参照《GB8567－88计算机软件产品开发文件编制指南》等相关国家标准和行业标准，提高系统设计说明书的编写质量。第三，企业应建立设计评审制度和设计变更控制流程。第四，在系统设计时应当充分考虑信息系统建成后的控制环境，将生产经营管理业务流程、关键控制点和处理规程嵌入系统程序，实现手工环境下难以实现的控制功能，例如：对于某一财务软件，当输入支出凭证时，可以让计算机自动检查银行存款余额，防止透支。第五，应充分考虑信息系统环境下的新的控制风险，比如，要通过信息系统中的权限管理功能控制用户的操作权限，避免将不相容职务的处理权限授予同一用户。第六，应当针对不同的数据输入方式，强化对进入系统数据的检查和校验功能。比如，凭证的自动平衡校对。第七，系统设计时应当考虑在信息系统中设置操作日志功能，确保操作的可审计性。对异常的或者违背内部控制要求的交易和数据，应当设计由系统自动报告并设置跟踪处理机制。第八，预留必要的后台操作通道，对于必需的后台操作，应当加强管理，建立规范的操作流程，确保足够的日志记录，保证对后台操作的可监控性。
4.编程和测试环节
编程阶段是将详细设计方案转换成某种计算机编程语言的过程。编程阶段完成之后，要进行测试，测试主要有以下目的：一是发现软件开发过程中的错误，分析错误的性质，确定错误的位置并予以纠正。二是通过某些系统测试，了解系统的响应时间、事务处理吞吐量、载荷能力、失效恢复能力以及系统实用性等指标，以便对整个系统做出综合评价。测试环节在系统开发中具有举足轻重的地位。
这一环节的主要风险是：第一，编程结果与设计不符。第二，各程序员编程风格差异大，程序可读性差，导致后期维护困难，维护成本高。第三，缺乏有效的程序版本控制，导致重复修改或修改不一致等问题。第四，测试不充分。单个模块正常运行但多个模块集成运行时出错，开发环境下测试正常而生产环境下运行出错，开发人员自测正常而业务部门用户使用时出错，导致系统上线后可能出现严重问题。
主要控制措施：第一，项目组应建立并执行严格的代码复查评审制度。第二，项目组应建立并执行统一的编程规范，在标识符命名、程序注释等方面统一风格。第三，应使用版本控制软件系统（例如CVS），保证所有开发人员基于相同的组件环境开展项目工作，协调开
发人员对程序的修改。第四，应区分单元测试、组装测试（集成测试）、系统测试、验收测试等不同测试类型，建立严格的测试工作流程，提高最终用户在测试工作中的参与程度，改进测试用例的编写质量，加强测试分析，尽量采用自动测试工具提高测试工作的质量和效率。具备条件的企业，应当组织独立于开发建设项目组的专业机构对开发完成的信息系统进行验收测试，确保在功能、性能、控制要求和安全性等方面符合开发需求。
5.上线环节
系统上线是将开发出的系统（可执行的程序和关联的数据）部署到实际运行的计算机环境中，使信息系统按照既定的用户需求来运转，切实发挥信息系统的作用。这一环节的主要风险是：第一，缺乏完整可行的上线计划，导致系统上线混乱无序。第二，人员培训不足，不能正确使用系统，导致业务处理错误，或者未能充分利用系统功能，导致开发成本浪费。第三，初始数据准备设置不合格，导致新旧系统数据不一致、业务处理错误。
主要控制措施：第一，企业应当制定信息系统上线计划，并经归口管理部门和用户部门审核批准。上线计划一般包括人员培训、数据准备、进度安排、应急预案等内容。第二，系统上线涉及新旧系统切换的，企业应当在上线计划中明确应急预案，保证新系统失效时能够顺利切换回旧系统。第三，系统上线涉及数据迁移的，企业应当制定详细的数据迁移计划，并对迁移结果进行测试。用户部门应当参与数据迁移过程，对迁移前后的数据予以书面确认。
（四）其他开发方式的关键控制点和主要控制措施
下面介绍其他开发方式（业务外包、外购调试）的关键控制点和主要控制措施。
在业务外包、外购调试方式下，企业对系统设计、编程、测试环节的参与程度明显低于自行开发方式，因此可以适当简化相应的风险控制措施，但同时也因开发方式的差异产生一些新的风险，需要采取有针对性的控制措施。
1.业务外包方式的关键控制点和主要控制措施
（1）选择外包服务商
这一环节的主要风险是：由于企业与外包服务商之间本质上是一种委托—代理关系,合作双方的信息不对称容易诱发道德风险，外包服务商可能会实施损害企业利益的自利行为,如偷工减料、放松管理、信息泄密等。
主要控制措施：第一，企业在选择外包服务商时要充分考虑服务商的市场信誉、资质条件、财务状况、服务能力、对本企业业务的熟悉程度、既往承包服务成功案例等因素,对外包服务商进行严格筛选。第二，企业可以借助外包业界基准来判断外包服务商的综合实力。第三，企业要严格外包服务审批及管控流程,对信息系统外包业务，原则上应采用公开招标等形式选择外包服务商，并实行集体决策审批。
（2）签订外包合同
这一环节的主要风险是：由于合同条款不准确、不完善，可能导致企业的正当权益无法得到有效保障。
主要控制措施：第一，企业在与外包服务商签约之前,应针对外包可能出现的各种风险损失,恰当拟定合同条款,对涉及的工作目标、合作范畴、责任划分、所有权归属、付款方式、违约赔偿及合约期限等问题做出详细说明,并由法律部门或法律顾问审查把关。第二，开发过程中涉及商业秘密、敏感数据的，企业应当与外包服务商签订详细的“保密协定”，以保证数据安全。第三，在合同中约定付款事宜时,应当选择分期付款方式，尾款应当在系统运行一段时间并经评估验收后再支付。第四，应在合同条款中明确要求外包服务商保持专业技术服务团队的稳定性。
（3）持续跟踪评价外包服务商的服务过程
这一环节的主要风险是：企业缺乏外包服务跟踪评价机制或跟踪评价不到位，可能导致外包服务质量水平不能满足企业信息系统开发需求。
主要控制措施：第一，企业应当规范外包服务评价工作流程，明确相关部门的职责权限，建立外包服务质量考核评价指标体系，定期对外包服务商进行考评,并公布服务周期的评估结果,实现外包服务水平的跟踪评价。第二，必要时，可以引入监理机制，降低外包服务风险。
2.外购调试方式的关键控制点和主要控制措施
在外购调试方式下，一方面，企业面临与委托开发方式类似的问题，企业要选择软件产品的供应商和服务供应商、签订合约、跟踪服务质量，因此，企业可采用与委托开发方式类似的控制措施；另一方面，外购调试方式也有其特殊之处，企业需要有针对性的强化某些控制措施。
（1）软件产品选型和供应商选择
在外购调试方式下，软件供应商的选择和软件产品的选型是密切相关的。这一环节的主要风险是：第一，软件产品选型不当，产品在功能、性能、易用性等方面无法满足企业需求。第二，软件供应商选择不当，产品的支持服务能力不足，产品的后续升级缺乏保障。
主要控制措施：第一，企业应明确自身需求，对比分析市场上的成熟软件产品，合理选择软件产品的模块组合和版本。第二，企业在软件产品选型时应广泛听取行业专家的意见。第三，企业在选择软件产品和服务供应商时，不仅要评价其现有产品的功能、性能，还要考察其服务支持能力和后续产品的升级能力。
（2）服务提供商选择
大型企业管理信息系统（例如ERP系统）的外购实施，不仅需要选择合适的软件供应商和软件产品，也需要选择合适的咨询公司等服务提供商，指导企业将通用软件产品与本企业的实际情况有机结合。这一环节的主要风险是：服务提供商选择不当，削弱了外购软件产品的功能发挥，导致无法有效满足用户需求。
主要控制措施：在选择服务提供商时，不仅要考核其对软件产品的熟悉、理解程度，也要考核其是否深刻理解企业所处行业的特点、是否理解企业的个性化需求、是否有过相同或相近的成功案例。
第三章信息系统的运行与维护
第十条企业应当加强信息系统运行与维护的管理，制定信息系统工作程序、信息管理制度以及各模块子系统的具体操作规范，及时跟踪、发现和解决系统运行中存在的问题，确保信息系统按照规定的程序、制度和操作规范持续稳定运行。
企业应当建立信息系统变更管理流程，信息系统变更应当严格遵照管理流程进行操作。信息系统操作人员不得擅自进行系统软件的删除、修改等操作；不得擅自升级、改变系统软件版本；不得擅自改变软件系统环境配置。
第十一条企业应当根据业务性质、重要性程度、涉密情况等确定信息系统的安全等级，建立不同等级信息的授权使用制度，采用相应技术手段保证信息系统运行安全有序。
企业应当建立信息系统安全保密和泄密责任追究制度。委托专业机构进行系统运行与维护管理的，应当审查该机构的资质，并与其签订服务合同和保密协议。
企业应当采取安装安全软件等措施防范信息系统受到病毒等恶意软件的感染和破坏。
第十二条企业应当建立用户管理制度，加强对重要业务系统的访问权限管理，定期审阅系统账号，避免授权不当或存在非授权账号，禁止不相容职务用户账号的交叉操作。
第十三条企业应当综合利用防火墙、路由器等网络设备，漏洞扫描、入侵检测等软件技术以及远程访问安全策略等手段，加强网络安全，防范来自网络的攻击和非法侵入。
企业对于通过网络传输的涉密或关键数据，应当采取加密措施，确保信息传递的保密性、准确性和完整性。
第十四条企业应当建立系统数据定期备份制度，明确备份范围、频度、方法、责任人、存放地点、有效性检查等内容。
第十五条企业应当加强服务器等关键信息设备的管理，建立良好的物理环境，指定专人负责检查，及时处理异常情况。未经授权，任何人不得接触关键信息设备。
【解读】
信息系统的运行与维护主要包含三方面的内容：日常运行维护、系统变更和安全管理。
（一）日常运行维护的关键控制点和主要控制措施
日常运行维护的目标是保证系统正常运转，主要工作内容包括系统的日常操作、系统的日常巡检和维修、系统运行状态监控、异常事件的报告和处理等。这一环节的主要风险是：第一，没有建立规范的信息系统日常运行管理规范，计算机软硬件的内在隐患易于爆发，可能导致企业信息系统出错。第二，没有执行例行检查，导致一些人为恶意攻击会长期隐藏在系统中，可能造成严重损失。第三，企业信息系统数据未能定期备份，可能导致损坏后无法恢复，从而造成重大损失。
主要控制措施：第一，企业应制定信息系统使用操作程序、信息管理制度以及各模块子系统的具体操作规范，及时跟踪、发现和解决系统运行中存在的问题，确保信息系统按照规定的程序、制度和操作规范持续稳定运行。第二，切实做好系统运行记录，尤其是对于系统运行不正常或无法运行的情况，应将异常现象、发生时间和可能的原因作出详细记录。第三，企业要重视系统运行的日常维护，在硬件方面，日常维护主要包括各种设备的保养与安全管理、故障的诊断与排除、易耗品的更换与安装等，这些工作应由专人负责。第四，配备专业人员负责处理信息系统运行中的突发事件，必要时应会同系统开发人员或软硬件供应商共同解决。
（二）系统变更的关键控制点和主要控制措施
系统变更主要包括硬件的升级扩容、软件的修改与升级等。系统变更是为了更好地满足企业需求，但同时应加强对变更申请、变更成本与进度的控制。这一环节的主要风险是：第一，企业没有建立严格的变更申请、审批、执行、测试流程，导致系统随意变更。第二，系统变更后的效果达不到预期目标。
主要控制措施：第一，企业应当建立标准流程来实施和记录系统变更，保证变更过程得到适当的授权与管理层的批准，并对变更进行测试。信息系统变更应当严格遵照管理流程进行操作。信息系统操作人员不得擅自进行软件的删除、修改等操作；不得擅自升级、改变软件版本；不得擅自改变软件系统的环境配置。第二，系统变更程序(如软件升级)需要遵循与新系统开发项目同样的验证和测试程序，必要时还应当进行额外测试。第三，企业应加强紧急变更的控制管理。第四，企业应加强对将变更移植到生产环境中的控制管理，包括系统访问授权控制、数据转换控制、用户培训等。
（三）安全管理的关键控制点和主要控制措施
安全管理的目标是保障信息系统安全，信息系统安全是指信息系统包含的所有硬件、软件和数据受到保护，不因偶然和恶意的原因而遭到破坏、更改和泄漏，信息系统能够连续正常运行。这一环节的主要风险是：第一，硬件设备分布物理范围广，设备种类繁多，安全管理难度大，可能导致设备生命周期短。第二，业务部门信息安全意识薄弱，对系统和信息安全缺乏有效的监管手段。少数员工可能恶意或非恶意滥用系统资源，造成系统运行效率降低。第三，对系统程序的缺陷或漏洞安全防护不够，导致遭受黑客攻击，造成信息泄露。第四，对各种计算机病毒防范清理不力，导致系统运行不稳定甚至瘫痪。第五，缺乏对信息系统操作人员的严密监控，可能导致舞弊和利用计算机犯罪。
主要控制措施是：
第一，建立信息系统相关资产的管理制度，保证电子设备的安全。硬件和网络设备不仅是信息系统运行的基础载体，也是价值昂贵的固定资产。企业应在健全设备管理制度的基础上，建立专门的电子设备管控制度，对于关键信息设备（例如银行的核心数据库服务器），未经授权，不得接触。
第二，企业应成立专门的信息系统安全管理机构，由企业主要领导负总责，对企业的信息安全作出总体规划和全方位严格管理，具体实施工作可由企业的信息主管部门负责。企业应强化全体员工的安全保密意识，特别要对重要岗位员工进行信息系统安全保密培训，并签署安全保密协议。企业应当建立信息系统安全保密制度和泄密责任追究制度。
第三，企业应当按照国家相关法律法规以及信息安全技术标准，制定信息系统安全实施细则。根据业务性质、重要程度、涉密情况等确定信息系统的安全等级，建立不同等级信息的授权使用制度，采用相应技术手段保证信息系统运行安全有序。对于信息系统的使用者和不同安全等级信息之间的授权关系，应在系统开发建设阶段就形成方案并加以设计，在软件系统中预留这种对应关系的设置功能，以便根据使用者岗位职务的变迁进行调整。
第四，企业应当有效利用IT技术手段，对硬件配置调整、软件参数修改严加控制。例如，企业可利用操作系统、数据库系统、应用系统提供的安全机制，设置安全参数，保证系统访问安全；对于重要的计算机设备，企业应当利用技术手段防止员工擅自安装、卸载软件或者改变软件系统配置，并定期对上述情况进行检查。
第五，企业委托专业机构进行系统运行与维护管理的，应当严格审查其资质条件、市场声誉和信用状况等，并与其签订正式的服务合同和保密协议。
第六，企业应当采取安装安全软件等措施防范信息系统受到病毒等恶意软件的感染和破坏。企业应当特别注重加强对服务器等关键部位的防护；对于存在网络应用的企业，应当综合利用防火墙、路由器等网络设备，采用内容过滤、漏洞扫描、入侵检测等软件技术加强网络安全，严密防范来自互联网的黑客攻击和非法侵入。对于通过互联网传输的涉密或者关键业务数据，企业应当采取必要的技术手段确保信息传递的保密性、准确性、完整性。
第七，企业应当建立系统数据定期备份制度，明确备份范围、频度、方法、责任人、存放地点、有效性检查等内容。系统首次上线运行时应当完全备份，然后根据业务频率和数据重要性程度，定期做好增量备份。数据正本与备份应分别存放于不同地点，防止因火灾、水灾、地震等事故产生不利影响。企业可综合采用磁盘、磁带、光盘等备份存储介质。
第八，企业应当建立信息系统开发、运行与维护等环节的岗位责任制度和不相容职务分离制度，防范利用计算机舞弊和犯罪。一般而言，信息系统不相容职务涉及的人员可以分为三类：系统开发建设人员、系统管理和维护人员、系统操作使用人员。开发人员在运行阶段不能操作使用信息系统，否则就可能掌握其中的涉密数据，进行非法利用；系统管理和维护人员担任密码保管、授权、系统变更等关键任务，如果允许其使用信息系统，就可能较为容易地篡改数据，从而达到侵吞财产或滥用计算机信息的目的。此外，信息系统使用人员也需要区分不同岗位，包括业务数据录入、数据检查、业务批准等，在他们之间也应有必要的相互牵制。企业应建立用户管理制度，加强对重要业务系统的访问权限管理，避免将不相容职责授予同一用户。企业应当采用密码控制等技术手段进行用户身份识别。对于重要的业务系统，应当采用数字证书、生物识别等可靠性强的技术手段识别用户身份。对于发生岗位变化或离岗的用户，用户部门应当及时通知系统管理人员调整其在系统中的访问权限或者关闭账号。企业应当定期对系统中的账号进行审阅，避免存在授权不当或非授权账号。对于超级用户，企业应当严格规定其使用条件和操作程序，并对其在系统中的操作全程进行监控或审计。
第九，企业应积极开展信息系统风险评估工作，定期对信息系统进行安全评估，及时发现系统安全问题并加以整改。
（四）系统终结的关键控制点和主要控制措施
系统终结是信息系统生命周期的最后一个阶段，在该阶段信息系统将停止运行。停止运行的原因通常有：企业破产或被兼并、原有信息系统被新的信息系统代替。这一环节的主要风险是，第一，因经营条件发生剧变，数据可能泄密。第二，信息档案的保管期限不够长。
主要控制措施：第一，要做好善后工作，不管因何种情况导致系统停止运行，都应将废弃系统中有价值或者涉密的信息进行销毁、转移。第二，严格按照国家有关法规制度和对电子档案的管理规定（比如审计准则对审计证据保管年限的要求），妥善保管相关信息档案。
四、本指引与评价指引的关系
五、本指引的实施
信息系统是信息内部传递和信息对外报告的技术手段，是企业利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息化管理平台。通过信息系统强化内部控制，有利于减少人为因素，提高控制的效率和效果。同时也应意识到，信息系统自身也存在风险，
需要加强管理和控制。首先，信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下；其次，系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制；最后，系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。为此，信息系统应用指引应当结合组织架构、业务范围、地域分布、技术能力等因素，制定信息系统建设整体规划，加大投入力度，有序组织信息系统开发、运行与维护，优化管理流程，防范经营风险。
一是，企业应当根据信息系统建设整体规划提出项目建设方案，明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定的权限和程序审批后实施。
二是，企业开发信息系统，应当将生产经营管理业务流程、关键控制点和处理规则嵌入系统程序，实现手工环境下难以实现的控制功能。
三是，企业应当加强信息系统开发全过程的跟踪管理，组织开发单位与内部各单位的日常沟通和协调，督促开发单位按时保质完成编程工作，对配备的硬件设备和系统软件进行检查验收，组织系统上线运行等。企业还应当组织独立于开发单位的专业人员对开发完成的信息系统进行验收测试，并做好信息系统上线的各项准备工作。
四是，企业应当加强信息系统运行与维护的管理，制定信息系统工作程序、信息管理制度以及各模块子系统的具体操作规范，及时跟踪、发现和解决系统运行中存在的问题，确保信息系统按照规定的程序、制度和操作规范持续稳定运行。
五是，企业应当重视信息系统运行中的安全保密工作，确定信息系统的安全等级，建立不同等级信息的授权使用制度、用户管理制度和网络安全制度，并定期对数据进行备份，避免损失。对于服务器等关键信息设备，未经授权，任何人不得接触。
【例题·多选题】
企业利用信息系统实施内部控制至少应当关注下列风险（）。
A.信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理
效率低下
B.系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施
有效控制
C.系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行
D.企业未能指定专门机构对信息系统建设实施归口管理，明确相关单位的职责权限，建立有效工作机制
【答案】ABC
【内部控制十大漏洞之顺口溜】
出纳管钱又对账，资金挪用不设防
休假出差人手忙，临时安排祸要闯
流水不腐是古训，轮换交接为良方
招人考试加面相，背景不查要遭殃
企业资源个人化，明星法师来当家
控制全靠一支笔，“两院院士”不稀奇
救火制度频频出，东一榔头西一棒
文本制度不可少，流程图表更重要
效率成本挂嘴上，风险存亡放两旁
说一套来做一套，制度如同放空炮
管理信息系统在企业中的应用 当21世纪信息化的浪潮席卷全球的时候，信息化的脚步正以它前所未有的渗透力深入到社会生活的每个角落，信息技术成为当今最活跃，发展最迅速，影响最广泛，渗透力最强的科学技术领域之一。信息化是一场深刻的革命，在社会许多领域对传统的生产、生活和思维方式产生着巨大冲击，并促进着经济和社会的快速和均衡发展，管理信息系统在信息化的大势所趋下，它的完善与发展、越来越受到人们的普遍关注，它是企业现代化的重要标志，是企业发展的一条心由之路,其在管理现代化中起着举足轻重的作用,它不仅是实现管理现代化的有效途径,同时，也促进了企业管理走向现代化的进程 一、管理信息系统的概念及功能 管理信息系统（management information systems，MIS）是一个以人为主导，利用计算机硬件、软件、网络通讯设备以及其他办公设备，进行信息的收集、传输、加工、储存、更新和维护，以企业战略竞优，提高效率为目的，支持企业高层决策、中层控制、基层运作的集成化的人机系统。一个完整的MIS应包括：辅助决策系统（DSS）、工业控制系统（IPC）、办公自动化系统（OA）以及数据库、模型库、方法库、知识库和与上级机关及外界交换信息的接口。 MIS具有多种功能，各种功能之间又有多种信息联系，构成一个有机结合的整体，形成一个功能结构。其功能主要是： 1、数据处理，即数据的收集、输入、传输、存储、加工处理和输出。 2、事务处理，即将管理人员从繁重的重复性的事务处理中解脱出来，以更多的精力思考管理问题，从事创造性劳动。 3、预测功能，即运用数学、统计或模拟等方法，根据过去的数据预测未来的情况。 4、计划功能，即合理安排各职能部门的计划，并按照不同的管理层提供相应的计划报告。 5、控制功能，即对计划的执行情况进行监测、检查，比较执行情况与计划的差异，并分析其原因，辅助管理人员及时用各种方法加以控制。 6、辅助决策功能，即运用数学模型，及时推导出有关问题的最优解，辅助各级管理人员进行决策。 组织是指完成计划所需的组织结构、规章制度、人财物的配备等。信息技术是组织改革的有效技术基础，信息系统的开发应用是组织规范管理、提高效率的
企业内部控制应用指引 单项选择题 1、安全生产措施不到位，责任不落实，可能导致的风险有（企业发生安全事故）。重要说明：考试所选科目为内部控制1-14讲 2、按规定办理需要有关负责人签字或盖章的经济业务时，签章手续要怎样办理（严格履行签字盖章手续）。 3、按照销售通知项目组织发货的部门是（发货和仓储部门）。 4、不在企业销售退回承诺范围之内的退货业务，企业应怎样处理（由独立于销售部门的销货争议处理机构调查原因）。 5、保证合同的当事人不包括（中介机构）。 6、采购验收不规范，付款审核不严，可能导致的风险是（信用受损）。 7、存货的保管于下列哪项职务是不相容的（存货的会计记录） 8、参与固定资产投资决策，分析、评价各种投资方案的部门是（财务部门）。 9、存货归口分级管理的主要部门是（财务管理部门）。 10、存货的保管于下列哪项职务是不相容的（存货的会计记录）。 11、存货积压或短缺，可能导致的风险不包括（缺乏竞争力）。 12、大额客户订单的签字权限在（销售部门主管）。 13、当担保申请人已进入重组、托管、兼并或破产清算程序，企业应（不得提供担保）。 14、对担保申请人的资信状况调查不深，审批不严或越权审批，可能导致的风险是（担保决策失误）。 15、担保企业决定是否提供对外担保的依据和基础是（担保项目评估的结论）。 16、对被担保人出现财务困难或经营陷入困境等状况监控不力，应对措施不当，可能导致的风险是（企业承担法律责任）。 17、担保业务单笔担保额越小，受保企业单笔贷款额就会（越小）。 18、当企业售后发现存在严重质量缺陷、隐患的产品时，应当采取的措施不包括（封锁消息）。 19、对财务报告的真实性、完整性负责的是（企业负责人）。 20、对财务报告中需要说明的事项作出真实、完整、清晰说明，属于财务报告重要组成部分的是（附注）。 21、对发展战略实施情况进行监控的机构是（战略委员会） 22、对销售通知进行审核的部门是（发货和仓储部门）。 23、对发展战略实施情况进行监控的机构是（战略委员会）。 24、对担保业务执行情况进行监测的部门是（执行部门）。 25、当受保企业资产负债率超过一定比例时，担保企业应拒绝担保，该比例是（70%）。 26、对于重大的无形资产处置，企业应当怎样确定处置价格（委托具有资质的中介机构进行资产评估） 27、对研发项目立项出具评估意见的机构是（独立于申请及立项审批之外的专业机构）。28、负责应收款项的催收工作的部门是（销售部门）。 28、负责办理资金结算并监督款项回收的部门是（财务部门）。 29、负责行使企业经营决策权的组织机构是（董事会）。 30、负责制定公司人力资源的战略规划的是（人力资源部经理）。 31、负责主持企业的生产经营管理工作的组织机构是（经理层）。
《企业内部控制应用指引第2号——发展战略》解读：强化发展战略管理促进企业长远发展 什么都可以出错，战略不能出错；什么都可以失败，战略不能失败。战略的失败是最彻底的失败！无论是一个国家、一个地区和一个行业，还是一个微观组织，都面临发展战略管理的问题。作为一个现代企业，如果没有明确发展战略，就不可能在当今激烈的市场竞争和国际化浪潮冲击下求得长远发展。为此，我们研究制定了《企业内部控制应用指引第2号——发展战略》。该指引分为三章十一条，阐明了为什么要制定和实施发展战略、如何制定发展战略以及如何实 施发展战略等问题。本文就此进行解读。 一、为什么要制定和实施发展战略 发展战略是企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的中长期发展目标与战略规划。企业制定和实施发展战略，具 有十分重要的意义。 第一，发展战略可以为企业找准市场定位。市场定位就是要在激烈的市场竞争环境中找准位置。定位准了，才能赢得市场，才能获得竞争优势，才能不断发展壮大。定位所要解决的问题很广泛，包括为社会提供什么样的产品或服务、以什么样的方式满足客户和市场需求、如何充分利用内外部资源以保持持续竞争力、如何才能更好更快地迈进行业前列等。发展战略要着力解决的正是企业发展过程中所面临的这些全局性、长期性的问题。从这个角度讲，制定发展战略，就 是为企业进行市场定位。 第二，发展战略是企业执行层行动的指南。发展战略指明了企业的发展方向、目标与实施路径，描绘了企业未来经营方向和目标纲领，是企业发展的蓝图，关系着企业的长远生存与发展。只有制定科学合理的发展战略，企业执行层才有行动的指南，其在日常经营管理和决策时才不会迷失方向，才能知晓哪些是应着力做的“正确的事”；否则，要么盲目决策，要么无所作为，既浪费企业宝贵的资源，难以形成竞争优势，又可能失去发展机会，导致企业走向衰落甚至消 亡。 第三，发展战略为内部控制设定了最高目标。《企业内部控制基本规范》明确指出，“内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略”。从中可以看出，企业内部控制的系列目标中，促进发展战略实现是内部控制最高层次的目标。它一方面表明，企业内部控制最终所追求的是如何通过强化风险管控促进企业实现发展战略；另一方面也说明，实现发展战略必须通过建立和健全内部控制体系提供保证。发展战略为企业内部控制指明了方向，内部控制为企业 实现发展战略提供了坚实保障。 二、如何制定发展战略 制定发展战略是企业实现健康可持续发展的起点。企业应当按照科学发展观的要求，将企业的前途与国家的命运紧密联系起来，立足当前，面向未来，科学制定切合自身实际又符合市场经济发展规律的发展战略。 （一）要建立和健全发展战略 制定机构发展战略联系着企业的现在和未来，企业各层级都应给予高度重视和大力支持，要在人力资源配置、组织机构设置等方面提供必要的保证。 企业应当在董事会下设立战略委员会，或指定相关机构负责发展战略管理工作，履行相应职责。战略委员会对董事会负责，委员包括董事长和其他董事。
企业内部控制应用指引第3号——人力资源目录 第一章总则 第二章人力资源的引进与开发 第三章人力资源的使用与退出 第一章总则 第一条 为了促进企业加强人力资源建设，充分发挥人力资源对实现企业发展战略的重要作用，根据有关法律法规和《企业内部控制基本规范》，制定本指引。 第二条 本指引所称人力资源，是指企业组织生产经营活动而录（任）用的各种人员，包括董事、监事、高级管理人员和全体员工。 第三条 企业人力资源管理至少应当关注下列风险：（一）人力资源缺乏或过剩、结构不合理、开发机制不健全，可能导致企业发展战略难以实现。 （二）人力资源激励约束制度不合理、关键岗位人员管理不完善，可能导致人才流失、经营效率低下或关键技术、商业秘密和国家机密泄露。 （三）人力资源退出机制不当，可能导致法律诉讼或企业声誉受损。 第四条 企业应当重视人力资源建设，根据发展战略，结合人力资源现状和未来需求预测，建立人力资源发展目标，制定人力资源总体规划和能力框架体系，优化人力资源整体布局，明确人力资源的引进、开发、使用、培养、考核、激励、退出等管理要求，实现人力资源的合理配置，全面提升企业核心竞争力。 第二章人力资源的引进与开发 第五条
企业应当根据人力资源总体规划，结合生产经营实际需要，制定年度人力资源需求计划，完善人力资源引进制度，规范工作流程，按照计划、制度和程序组织人力资源引进工作。 第六条 企业应当根据人力资源能力框架要求，明确各岗位的职责权限、任职条件和工作要求，遵循德才兼备、以德为先和公开、公平、公正的原则，通过公开招聘、竞争上岗等多种方式选聘优秀人才，重点关注选聘对象的价值取向和责任意识。 企业选拔高级管理人员和聘用中层及以下员工，应当切实做到因事设岗、以岗选人，避免因人设事或设岗，确保选聘人员能够胜任岗位职责要求。 企业选聘人员应当实行岗位回避制度。 第七条 企业确定选聘人员后，应当依法签订劳动合同，建立劳动用工关系。 企业对于在产品技术、市场、管理等方面掌握或涉及关键技术、知识产权、商业秘密或国家机密的工作岗位，应当与该岗位员工签订有关岗位保密协议，明确保密义务。 第八条 企业应当建立选聘人员试用期和岗前培训制度，对试用人员进行严格考察，促进选聘员工全面了解岗位职责，掌握岗位基本技能，适应工作要求。试用期满考核合格后，方可正式上岗；试用期满考核不合格者，应当及时解除劳动关系。 第九条 企业应当重视人力资源开发工作，建立员工培训长效机制，营造尊重知识、尊重人才和关心员工职业发展的文化氛围，加强后备人才队伍建设，促进全体员工的知识、技能持续更新，不断提升员工的服务效能。 第三章人力资源的使用与退出 第十条 企业应当建立和完善人力资源的激励约束机制，设置科学的业绩考核指标体系，对各级管理人员和全体员工进行严格考核与评价，以此作为确定员工薪酬、职级调整和解除劳动合同等的重要依据，确保员工队伍处于持续优化状态。 第十一条
学年论文 管理信息系统在企业中的应用 学生姓名：张祥 学号：01110641Y23 所在系部：管理系 专业班级：11gb信管1班 指导教师：梁晶张岚 日期：二○一三年十二月
摘要 当21世纪信息化的浪潮席卷全球的时候，信息化的脚步正以它前所未有的渗透力深入到社会生活的每个角落，信息技术成为当今最活跃，发展最迅速，影响最广泛，渗透力最强的科学技术领域之一。信息化是一场深刻的革命，在社会许多领域对传统的生产、生活和思维方式产生着巨大冲击，并促进着经济和社会的快速和均衡发展，管理信息系统在信息化的大势所趋下，它的完善与发展、越来越受到人们的普遍关注，它是企业现代化的重要标志，是企业发展的一条心由之路,其在管理现代化中起着举足轻重的作用,它不仅是实现管理现代化的有效途径,同时，也促进了企业管理走向现代化的进程。 关键词：管理信息系统信息化企业管理企业战略应用问题
Abstract When the 21st century, information technology swept the world, when the pace of information technology is growing at its unprecedented penetration into every corner of social life, information technology become the most active and rapid development, the impact of the most extensive and most penetration one of the strong science and technology fields. Information technology is a profound revolution in many areas of society to the traditional way of production, life and thinking to generate a huge impact, and to promote the rapid and balanced economic and social development, and management information systems in the information technology trend, it the improvement and development, more and more people's attention, it is an important symbol of modern enterprise, the road is of one mind by the development of enterprises, which play a decisive role in the modernization of management, it is not only an effective modern management way, while also promoting the modernization of enterprise management process. Keywords：Management Information Service Information Technology Business Management Enterprise Strategy Application Problems
企业内部控制基本规范及配套指引 目录 企业内部控制基本规范 (4) 第一章总则 (4) 第二章内部环境 (5) 第三章风险评估 (6) 第四章控制活动 (7) 第五章信息与沟通 (8) 第六章内部监督 (8) 第七章附则 (9) 企业内部控制应用指引 (9) 企业内部控制应用指引第1号——组织架构 (9) 第一章总则 (9) 第二章组织架构的设计 (9) 第三章组织架构的运行 (10) 企业内部控制应用指引第2号——发展战略 (11) 第一章总则 (11) 第二章发展战略的制定 (11) 第三章发展战略的实施 (11) 企业内部控制应用指引第3号——人力资源 (13) 第一章总则 (13) 第二章人力资源的引进与开发 (13) 第三章人力资源的使用与退出 (13) 企业内部控制应用指引第4号——社会责任 (15) 第一章总则 (15) 第二章安全生产 (15) 第三章产品质量 (15) 第四章环境保护与资源节约 (16) 第五章促进就业与员工权益保护 (16) 企业内部控制应用指引第5号——企业文化 (17) 第一章总则 (17) 第二章企业文化的培育 (17) 第三章企业文化的评估 (17) 企业内部控制应用指引第6号——资金活动 (19) 第一章总则 (19) 第二章筹资 (19) 第三章投资 (20) 第四章营运 (21) 企业内部控制应用指引第7号——采购业务 (22) 第一章总则 (22) 第二章购买 (22)
企业内部控制应用指引第8号——资产管理 (24) 第一章总则 (24) 第二章存货管理 (24) 第三章固定资产管理 (25) 第四章无形资产管理 (25) 企业内部控制应用指引第9号——销售业务 (27) 第一章总则 (27) 第二章销售 (27) 第三章收款 (27) 企业内部控制应用指引第10号——研究与开发 (29) 第一章总则 (29) 第二章立项与研究 (29) 第三章开发与保护 (30) 企业内部控制应用指引第11号——工程项目 (31) 第一章总则 (31) 第二章工程立项 (31) 第三章工程招标 (32) 第四章工程造价 (32) 第五章工程建设 (33) 第六章工程验收 (33) 企业内部控制应用指引第12号——担保业务 (35) 第一章总则 (35) 第二章调查评估与审批 (35) 第三章执行与监控 (36) 企业内部控制应用指引第13号——业务外包 (37) 第一章总则 (37) 第二章承包方选择 (37) 第三章外包业务实施 (38) 企业内部控制应用指引第14号——财务报告 (39) 第一章总则 (39) 第二章财务报告的编制 (39) 第三章财务报告的对外提供 (40) 第四章财务报告的分析利用 (40) 企业内部控制应用指引第15号——全面预算 (42) 第一章总则 (42) 第二章预算编制 (42) 第三章预算执行 (42) 第四章预算考核 (43) 企业内部控制应用指引第16号——合同管理 (44) 第一章总则 (44) 第二章合同的订立 (44) 第三章合同的履行 (45) 企业内部控制应用指引第17号——内部信息传递 (46)
企业内部控制应用指引第5号——企业文化 第一章总则 第一条为了加强企业文化建设，发挥企业文化在企业发展中的重要作用，根据《企业内部控制基本规范》，制定本指引。 第二条本指引所称企业文化，是指企业在生产经营实践中逐步形成的、为整体团队所认同并遵守的价值观、经营理念和企业精神，以及在此基础上形成的行为规范的总称。 第三条加强企业文化建设至少应当关注下列风险： （一）缺乏积极向上的企业文化，可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和竞争力。 （二）缺乏开拓创新、团队协作和风险意识，可能导致企业发展目标难以实现，影响可持续发展。 （三）缺乏诚实守信的经营理念，可能导致舞弊事件的发生，造成企业损失，影响企业信誉。 （四）忽视企业间的文化差异和理念冲突，可能导致并购重组失败。 第二章文化的建设 第四条企业应当采取切实有效的措施，积极培育具有自身特色的企业文化，引导和规范员工行为，打造以主业为核心的企业品牌，形成整体团队的向心力，促进企业长远发展。
第五条企业应当培育体现企业特色的发展愿景、积极向上的价值观、诚实守信的经营理念、履行社会责任和开拓创新的企业精神，以及团队协作和风险防范意识。 企业应当重视并购重组后的企业文化建设，平等对待被并购方的员工，促进并购双方的文化融合。 第六条企业应当根据发展战略和实际情况，总结优良传统，挖掘文化底蕴，提炼核心价值，确定文化建设的目标和内容，形成企业文化规范，使其构成员工行为守则的重要组成部分。 第七条董事、监事、经理和其他高级管理人员应当在企业文化建设中发挥主导和垂范作用，以自身的优秀品格和脚踏实地的工作作风，带动影响整个团队，共同营造积极向上的企业文化环境。 企业应当促进文化建设在内部各层级的有效沟通，加强企业文化的宣传贯彻，确保全体员工共同遵守。 第八条企业文化建设应当融入生产经营全过程，切实做到文化建设与发展战略的有机结合，增强员工的责任感和使命感，规范员工行为方式，使员工自身价值在企业发展中得到充分体现。 企业应当加强对员工的文化教育和熏陶，全面提升员工的文化修养和内在素质。 第三章企业文化的评估 第九条企业应当建立企业文化评估制度，明确评估的内容、
企业管理信息系统的发展趋势 企业在进行信息化规划时，要根据企业自身的特点,按照863／CIMS倡导的:总体规划，分步实施,效益驱动，重点突破的方针逐步实施。技术进步是永无止境的,企业信息化没有终点。 管理思想现代化 社会和科学技术总是不断发展的,适应知识经济的新的管理模式和管理方法不断涌现:敏捷制造、虚拟制造、精益生产、客户关系管理、供应商关系管理、大规模定制、基于约束理论的先进计划和排产ＡPＳ、电子商务、商业智能，基于平衡记分卡的企业绩效管理……不一而足。管理信息系统必须不断增加这些新思想、新方法以适应企业的管理变革和发展要求。 系统应用网络化 我们现在处在全球经济一体化的年代，网络经济的时代,由于互联网络和通信技术的高速发展，彻底改变了我们的经营管理模式、生活方式和做事的方法。企业对互联网络的依赖将像今天企业对电力和电话的依赖一样重要。离开互联网络的应用就谈不上敏捷制造、虚拟制造、精益生产、客户关系管理、供应商关系管理、电子商务。只有采用基于互联网络的系统才能方便地实现集团管理、异地管理、移动办公，实现环球供应链管理。 开发平台标准化 计算机技术发展到今天，那种封闭的专有系统已经走向消亡。基于浏览器／服务器的体系结构，支持标准网络通信协议，支持标准的数据库访问，支持XML的异构系统互联；实现应用系统独立于硬件平台、操作系统和数据库；实现系统的开放性、集成性、可扩展性、互操作性;这些已成为应用系统必须遵守的标准，反之,不符合上述标准的系统是没有前途的系统。 业务流程自动化 传统ＥRP是一个面向功能的事务处理系统。它为业务人员提供了丰富的业务处理功能，但是每个业务处理都不是孤立的,它一定与其他部门、其他人、其他事务有关,这就构成了一个业务流程。传统EＲＰ对这个业务流程缺乏有效的控制和管理。一些业务流程被写死在程序里,非此既彼，必须按其执行,否则就要修改程序。许多流程是由人工离线完成的。工作流管理技术是解决业务过程集成的重要手段，它与EＲP或其他管理信息系统的集成,将实现业务流程的管理、控制和过程的自动化,使企业领导与业务系统真正集成，实现企业业务流程的重构。所以工作流管理技术受到人们的高度重视并得到快速的发展。 应用系统集成化 企业信息化包括了很多内容：技术系统信息化包括ＣAD、CAM、CAPP、PＤＭ、PＬM；管理信息化包括ERP、CRM、SRM、ＢI、ＥC;生产制造过程自动化包括NC、FMS、自动化立体仓库AS／RS、制造执行系统ＭES。所有这些系统都是为企业经营战略服务的，它们之间存在着大量的共享信息和信息交换,在单元技术成功运行的基础上，它们之间要实现系统集成,使其应用效果最大化。 其他技术有重多的文章报道,这里不再赘述。但是对于制造执行系统MES(manufacturｉn ｇｅxeｃutioｎsyｓteｍs)国内讨论甚少。按照美国AMR研究公司对MEＳ的定义：ME Ｓ是一个常驻工厂层的信息系统，介于企业领导层的计划系统与主生产过程的直接工业控制系统之间。它以当前视角向操作人员/管理人员提供生产过程的全部资源（人员、设备、材
企业内部控制应用指引 控制环境类指引 企业内部控制应用指引第 1 号——组织架构 第一章总则 第一条为了促进企业实现发展战略，优化治理结构、管理体制和运行机制，建立现代企业制度，根据《中华人民共和国公司法》等有关法律法规和《企业内部控制基本规范》，制定本指引。 第二条本指引所称组织架构，是指企业按照国家有关法律法规、股东（大）会决议和企业章程，结合本企业实际，明确股东（大）会、董事会、监事会、经理层和企业内部各层级机构设置、职责权限、人员编制、工作程序和相关要求的制度安排。 第三条企业至少应当关注组织架构设计与运行中的下列风险： （一）治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略。 （二）内部机构设计不科学，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮，运行效率低下。 第二章组织架构的设计 第四条企业应当根据国家有关法律法规的规定，明确董事会、监事会和经理层的职责权限、任职条件、议事规则和工作程序，确保决策、执行和监督相互分离，形成制衡。 董事会对股东（大）会负责，依法行使企业的经营决策权。可按照股东（大）会的有关决议，设立战略、审计、提名、薪酬与考核等专门委员会，明确各专门委员会的职责权限、任职资格、议事规则和工作程序，为董事会科学决策提供支持。 监事会对股东（大）会负责，监督企业董事、经理和其他高级管理人员依法履行职责。 经理层对董事会负责，主持企业的生产经营管理工作。经理和其他高级管理人员的职责分工应当明确。 董事会、监事会和经理层的产生程序应当合法合规，其人员构成、知识结构、能力素质应当满足履行职责的要求。 第五条企业的重大决策、重大事项、重要人事任免及大额资金支付业务等，应当按照规定的权限和程序实行集体决策审批或者联签制度。任何个人不得单独进行决策或者擅自改变集体决策意见。 重大决策、重大事项、重要人事任免及大额资金支付业务的具体标准由企业自行确定。 第六条企业应当按照科学、精简、高效、透明、制衡的原则，综合考虑企业性质、发展战略、文化理念和管理要求等因素，合理设置内部职能机构，明确各机构的职责权限，避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责、相互制约、相互协调的
管理信息系统课程总结这个学期新学了管理信息系统这门学科,觉得受益不浅。 我想先描述一下管理信息系统的基本职能：数据的收集和录入，负责数据的存贮，负责系统内信息的传输，数据的加工，模型的建立、求解、应用和修改，输出信息，向各管理层提供信息，支持决策，管理信息系统自身的管理及维护。后面主要为根据结构化的系统规范来讲主要有系统分析系统设计等等。 众所周知，管理信息系统是为了适应现代化管理的需要，在管理科学、系统科学、信息科学和计算机科学等学科的基础上形成的一门科学，它研究管理系统中信息处理和决策的整个过程，并探讨计算机的实现方法。它是一个由人、计算机、通信设备等硬件和软件组成的，能进行管理信息的收集、加工、存储、传输、维护和使用的系统。管理信息系统可促使企业向信息化方向发展，使企业处于一个信息灵敏、管理科学、决策准确的良性循环之中，为企业带来更高的经济效益。所以，管理信息系统是企业现代化的重要标志，是企业发展的一条必由之路。 信息系统在管理各项事务中有着普遍的应用，促进了企业管理工作的提升。管理信息系统是为管理服务的，它的开发和建立使企业摆脱落后的管理方式，实现管理现代化的有效途径。管理信息系统将管理工作统一化、规范化、现代化，极大地提高了管理的效率，使现代化管理形成统一、高效的系统。过去传统的管理方式是以人为主体的人工操作，虽然管理人员投入了大量的时间、精力，然而个人的能力是有限的，所以管理工作难免会出现局限性，或带有个人的主观性和片面性。而管理信息系统使用系统思想建立起来的，以计算机为信息处理手段，
以现代化通信设备为基本传输工具，能力管理决策者提供信息服务的人机系统，这无疑是将管理与现代化接轨，以科技提高管理质量的重大举措。管理信息系统将大量复杂的信息处理交给计算机，使人和计算机充分发挥各自的特长，组织一个和谐、有效的系统，为现代化管理带来便捷。 在现代化管理中，计算机管理信息系统已经成为企业管理不可缺少的帮手，它的广泛应用已经成为管理现代化的重要标志。在企业管理现代化中，组织、方法、控制的现代化离不开管理手段的现代化。随着科学技术的发展，尤其是信息技术和通讯技术的发展，使计算机和网络逐渐应用于现代管理之中。面对越来越多的信息资源和越来越复杂的企业内外部环境，企业有必要建立高效、实用的管理信息系统，为企业管理决策和控制提供保障，这是实现管理现代化的必然趋势。 所以我觉得学习管理信息系统是非常必要的，特别是对我们酒店管理的学生而言。我觉得平时上课学习是不够的，要更加注重实践操作，并且也要多做练习题，这样有利于更好的了解管理信息系统。 企业管理信息系统存在的问题 不少企业，为了开发企业管理信息系统，在没有进行认真的系统分析和设计的情况下，仓促购买计算机；开发过程中又不按系统工程的理论与方法办事，开发出来的系统达不到预期目标，得不到应有的经济效益。以我厂为例，十几年来开发的系统有几十项，总投资百万元之多，但真正运行良好的系统寥寥无几。 国内外的经验教训都告诉我们，必须严格地按照系统开发步骤和原则来开发管理信息系统。科学技术问题，必须要按科学技术的客观规律来办事。管理信息系统的开发与应用是一
附件2： 企业内部控制应用指引 （征求意见稿） 企业内部控制应用指引第xx号——资金 （征求意见稿） 第一章总则 第一条为了引导企业加强对资金的内部控制，保证资金的安全，提高资金的使用效益，根据国家有关法律法规和《企业内部控制基本规范》，制定本指引。 第二条本指引所称资金，是指企业所拥有或控制的现金、银行存款和其他资金。 第三条企业至少应当关注涉及资金管理的下列风险： （一）资金管理违反国家法律法规，可能遭受外部处罚、经济损失和信誉损失。 （二）资金管理未经适当审批或超越授权审批，可能因重大差错、舞弊、欺诈而导致损失。 （三）银行账户的开立、审批、使用、核对和清理不符合国家有关法律法规要求，可能导致受到处罚造成资金损失。 （四）资金记录不准确、不完整，可能造成账实不符或导致财务
报表信息失真。 （五）有关票据的遗失、变造、伪造、被盗用以及非法使用印章，可能导致资产损失、法律诉讼或信用损失。 第四条企业在建立与实施资金内部控制中，至少应当强化对下列关键方面或者关键环节的控制： （一）职责分工、权限范围和授权审批程序应当明确规范，机构设置和人员配备应当科学合理。 （二）现金、银行存款的管理应当合法合规，银行账户的开立、审批、使用、核对、清理严格有效，现金盘点和银行对账单的核对应当按规定严格执行。 （三）资金的会计记录应当真实、准确、完整和及时。 （四）票据的购买、保管、使用、销毁等应当有完整记录，银行预留印鉴和有关印章的管理应当严格有效。 第二章职责分工与授权批准 第五条企业应当建立资金业务的岗位责任制，明确相关部门和岗位的职责权限，确保办理资金业务的不相容岗位相互分离、制约和监督。 资金业务的不相容岗位至少应当包括： （一）资金支付的审批与执行。 （二）资金的保管、记录与盘点清查。 （三）资金的会计记录与审计监督。
附件1： 企业内部控制应用指引 企业内部控制应用指引第1号——组织架构 第一章总则 第一条 为了促进企业实现发展战略，优化治理结构、管理体制和运行机制，建立现代企业制度，根据《中华人民共和国公司法》等有关法律法规和《企业内部控制基本规范》，制定本指引。 第二条 本指引所称组织架构，是指企业按照国家有关法律法规、股东（大）会决议和企业章程，结合本企业实际，明确股东（大）会、董事会、监事会、经理层和企业内部各层级机构设置、职责权限、人员编制、工作程序和相关要求的制度安排。 第三条 企业至少应当关注组织架构设计与运行中的下列风险：（一）治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略。 （二）内部机构设计不科学，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮，运行效率低下。 第二章组织架构的设计 第四条 企业应当根据国家有关法律法规的规定，明确董事会、监事会和经理层的职责权限、任职条件、议事规则和工作程序，确保
决策、执行和监督相互分离，形成制衡。 董事会对股东（大）会负责，依法行使企业的经营决策权。可按照股东（大）会的有关决议，设立战略、审计、提名、薪酬与考核等专门委员会，明确各专门委员会的职责权限、任职资格、议事规则和工作程序，为董事会科学决策提供支持。 监事会对股东（大）会负责，监督企业董事、经理和其他高级管理人员依法履行职责。 经理层对董事会负责，主持企业的生产经营管理工作。经理和其他高级管理人员的职责分工应当明确。 董事会、监事会和经理层的产生程序应当合法合规，其人员构成、知识结构、能力素质应当满足履行职责的要求。 第五条 企业的重大决策、重大事项、重要人事任免及大额资金支付业务等，应当按照规定的权限和程序实行集体决策审批或者联签制度。任何个人不得单独进行决策或者擅自改变集体决策意见。 重大决策、重大事项、重要人事任免及大额资金支付业务的具体标准由企业自行确定。 第六条 企业应当按照科学、精简、高效、透明、制衡的原则，综合考虑企业性质、发展战略、文化理念和管理要求等因素，合理设置内部职能机构，明确各机构的职责权限，避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责、相互制约、相互协调的工作机制。 第七条 企业应当对各机构的职能进行科学合理的分解，确定具
西安财经学院管理学院学年论文 题目信息管理系统在企业中的作用 姓名学号李路丹1002100211 指导教师邢喜荣 专业信息管理与信息系统 系别信息与物流管理系 西安财经学院管理学院信息与物流管理系 2013 年 3 月 论文提要
在人类进入信息时代的今天，信息和信息技术已成为社会发展的基本动力，因特网的蓬勃发展和电子商务的迅速崛起，数字化、网络化、电子化正在成为世界由工业社会走向信息社会的新的经济运行模式。企业信息化成为中国信息化领域最受关注的发展重点，并被明确为我国“信息化带动工业化”战略国策的实施重点。信息是现代企业的重要战略资源，也是企业管理的基础。在网络经济时代，一个企业现代信息技术水平的高低，将成为企业竞争力强弱的重要标志。
信息管理系统在企业中的作用 李路丹 摘要：企业的计算权脑息管理系统建设应矫拄企业的特点。找准切入点。重．点介绍了企业ERP模型及数据结构模型。 关键词：计算机信息管理系统；企业；应用； 随着信息技术的飞速发展，企业信息化建设在理论和实践上也发生了深刻的变化。从MRP．MRPII、CIMS、到ERP理论和概念的提出，我们深刻的感受到企业信息系统在理沦上已经走出了传统软件工程的框架。而是从管理的内涵和企业资源变化规律入手，建立起符合计算机特点的管理模式。 一、信息化建设给企业管理带来本质性的变化。 1.企业管理对象分析企业资源我们可以看成ERP系统管理的对象或企业管理对象。以往企业信息系统建设需求分析都是从业务流程开始的，对企业管理对象没有—个全面认识，很容易走上MIS建设的老路。因此需求分析首先应了解和分析企业管理的对象。 从企业信息系统的角度和企业的主要任务来看，企业的管理对象可分为两大类：—类是流动的管理对象，—类是静态的管理对象。流动的管理对象，主要有三种：它们是物流、资金流和信息流；静态管理对象则较多。但主要有固定资产、员工、档案等内容。这两大类管理对象各有其自身的特点。 2．企业ERP模型企业信息系统可分为三个层次来考虑。 第—个层面是数据的采集层面，它的主要任务是完整、准确和及时地反映管理对象的变化和运动，无论业务流程是如何实现的，只要管理对象状态变化得以确认，则变化信息应及时的在信息系统反映出来。因此，我们在做系统分析时，第一步要做的工作是系统地描述管理对象状态变化和运动的流程。以此来确定企业信息系统的数据采集点，从而进一步的确认采集的内容和额度，确定历史数据的储存和利用方法。 第二个层面是对企业各个管理业务，管理流程和控制方式的设计，这是企业信息系统设计的难点，管理对象的变化应该是按照企业的需要和计划来进行的，也就是说是完全受控的，而管理业务流程则又是多变和复杂的，它不仅和管理对象有关，而且和人、管理方法、市场、社会环境有关。 第三个层面是计划管理。找出每—个环节变化的规律和条件，进行管理和控制的依据，物流则是ERP BOM为主线(流程性企业则是以装置单耗为指标，配方等，确定BOM)。 3．数据结构模型在事务处理层上，其完成的主要任务是结合具体事务处理流程对原始数据的进行采集。根据数据组织的需要，这些数据可分为静态数据和动态数据两大类。静态数据反映企业资源的基本属性。动态数据反映企业资源变化和运动过程。只要认真分析，并
企业内部控制应用指引—固定资产 （征求意见稿） 第一章总则 第一条为了引导企业加强对固定资产的内部控制，防止并及时发现和纠正固定资产业务中的各种差错和舞弊，保护固定资产的安全完整，提高固定资产的使用效率，根据国家有关法律法规和《企业内部控制基本规范》，制定本指引。 第二条本指引所称固定资产，是指为生产商品、提供劳务、出租或经营管理而持有的，使用寿命超过一个会计年度的有形资产。 第三条企业至少应当关注涉及固定资产的下列风险： （一）固定资产业务违反国家法律法规，可能遭受外部处罚、经济损失和信誉损失。 （二）固定资产业务未经适当审批或超越授权审批，可能因重大差错、舞弊、欺诈而导致资产损失。 （三）固定资产购买、建造决策失误，可能造成企业资产损失或资源浪费。 （四）固定资产使用、维护不当和管理不善，可能造成企业资产使用效率低下或资产损失。 （五）固定资产处置不当，可能造成企业资产损失。 （六）固定资产会计处理和相关信息不合法、真实、完整，可能导致企业资产账实不符或资产损失。 第四条企业在建立与实施固定资产内部控制中，至少应当强化对下列关键方面或者关键环节的控制：
（一）职责分工、权限范围和审批程序应当明确规范，机构设置和人员配备应当科学合理。 （二）固定资产取得依据应当充分适当，决策过程应当科学规范。 （三）固定资产取得、验收、使用、维护、处置和转移等环节的控制流程应当清晰严密。 （四）固定资产的确认、计量和报告应当符合国家统一的会计准则制度的规定。 第二章职责分工与授权批准 第五条企业应当建立固定资产业务的岗位责任制，明确相关部门和岗位的职责、权限，确保办理固定资产业务的不相容岗位相互分离、制约和监督。同一部门或个人不得办理固定资产业务的全过程。 固定资产业务不相容岗位至少包括： （一）固定资产投资预算的编制与审批。 （二）固定资产投资预算的审批与执行。 （三）固定资产采购、验收与款项支付。 （四）固定资产投保的申请与审批。（五）固定资产处置的审批与执行。 （六）固定资产取得与处置业务的执行与相关会计记录。 第六条企业应当配备合格的人员办理固定资产业务。办理固定资产业务的人员应当具备良好的业务素质和职业道德。 第七条企业应当对固定资产业务建立严格的授权批准制度，明确授权批准的方式、权限、程序、责任和相关控制措施，规定经办人的职责范围和工作要求。严禁未经授权的机构或人员办理固定资产业务。 第八条审批人应当根据固定资产业务授权批准制度的规定，在授权范围内进行审批，不得超越审批权限。
《企业内部控制应用指引第2号—发展战略》解读 什么都可以出错，战略不能出错；什么都可以失败，战略不能失败。无论是国家、地区、行业，还是微观组织，都应重视发展战略管理问题。没有明确发展战略的现代企业，不可能在当今激烈的市场竞争和国际化浪潮冲击下求得长远发展。为此，我们研究制定了《企业内部控制应用指引第2号—发展战略》。该指引分为三章十一条，阐明了为什么要制定和实施发展战略、如何制定发展战略以及如何实施发展战略等问题，本文就此进行解读。 一、为什么要制定和实施发展战略 发展战略是企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的中长期发展目标与战略规划。制定和实施发展战略，对企业具有十分重要的意义。 第一，发展战略可以为企业找准市场定位。定位所要解决的问题很广泛，包括为社会提供什么样的产品或服务、以什么样的方式满足客户和市场需求、如何充分利用内外部资源以保持持续竞争力、如何才能更好更快地迈进行业前列等，发展战略要着力解决的正是企业发展过程中所面临的这些全局性、长期性的问题。只有定位准了，才能赢得市场，获得竞争优势，才能不断发展壮大。 第二，发展战略是企业执行层行动的指南。发展战略指明了企业的发展方向、目标与实施路径，描绘了企业未来的经营方向和目标纲领，是企业发展的蓝图，关系着企业的长远生存与发展。只有制定科学合理的发展战略，企业执行层才有行动的指南，其在日常经营管理和决策时才不会迷失方向，才能知晓哪些是应着力做的“正确的事”。 第三，发展战略为内部控制设定了最高目标。《企业内部控制基本规范》明确指出，“内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略”。从中可以看出，在企业内部控制的系列目标中，促进发展战略实现是内部控制最高层次的目标。它一方面表明，企业内部控制最终所追求的是如何通过强化风险管控促进企业实现发展战略；另一方面也说明，实现发展战略必须通过建立和健全内部控制体系提供保证。
欢迎共阅 企业在进行信息化规划时，要根据企业自身的特点，按照863/CIMS倡导的：总体规划，分步实施，效益驱动，重点突破的方针逐步实施。技术进步是永无止境的，企业信息化没有终点。 管理思想现代化 社会和科学技术总是不断发展的，适应知识经济的新的管理模式和管理方法不断涌现：敏捷制造、虚拟制造、精益生产、客户关系管理、供应商关系管理、大规模定制、基于约束理论的先进计划和排产APS、电子商务、商业智能，基于平衡记分卡的企业绩效管理……不一而足。管理信息系统必须不断增加这些新思想、新方法以适应企业的管理变革和发展要求。 系统应用网络化 我们现在处在全球经济一体化的年代， 我们的经营管理模式、生活方式和做事的方法。 要。离开互联网络的应用就谈不上敏捷制造、 开发平台标准化 络通信协议，支持标准的数据库访问，支持XML 合上述标准的系统是没有前途的系统。 业务流程自动化 传统ERP 、CAM、CAPP、PDM、PLM；管理信息化包括ERP、CRM、、自动化立体仓库AS/RS、制造执行系统MES。所 在单元技术成功运行的基 MES(manufacturingexecutionsystems) MES是一个常驻工厂层的信息系统，介于企业领导层的计划系统与主生产过程的直接工业控制系统之间。它以当前视角向操作人员/管理人员提供生产过程的全部资源(人员、设备、材料、工具和客户要求)的数据和信息。MES在工厂综合自动化系统中起着中间层的作用，在ERP系统产生的长期计划的指导下，MES根据底层控制系统采集的与生产有关的实时数据，对短期生产作业的计划调度、监控、资源配置和生产过程进行优化。功能模块包括工序详细调度、资源分配和状态管理、生产单元分配、过程管理、人力资源管理、维护管理、质量管理、文档控制、产品跟踪和产品清单管理、性能分析和数据采集等模块。在MES下层，是底层生产控制系统，包括DCS、PLC、NC/CNC和SCADA或这几种类型的组合。最近几年国外MES发展迅速，应该引起我们的重视。
《企业内部控制应用指引第12号—担保业务》中所称担保，是指企业作为担保人按照公平、自愿、互利的原则与债权人约定，当债务人不履行债务时，依照法律规定和合同协议承担相应法律责任的行为。 担保制度起源于商品交易活动，但早期的简单商品交易，往往是以物易物，或者是钱货两清的即时交易，交易主体间失信问题不突出，也就没有担保的必要。随着商品交换形式不断发展，非即时交易大量出现，商品和货币的交付有了时间差，债权债务应运而生，随之而来的问题就是，在对债务人没有百分之百信赖的情形下，债权人需要通过某种方式确保债权的实现，而担保制度正好满足了这种需要。在现代市场经济中，担保制度一方面有利于银行等债权人降低贷款风险，另一方面使债权人与债务人形成了稳定可靠的资金供需关系。 但是，必须看到担保业务具有“双刃剑”特征，一些企业包括上市公司陷入担保怪圈和旷日持久的诉讼拉锯战，导致重大经济损失案件时有发生。财政部会计司发布的《我国上市公司2007年执行新会计准则情况分析报告》显示，在1570家上市公司中，有287家存在预计负债，占 18.28%，这287家上市公司2007年确认的预计负债总额为148.50亿元，其中，因担保事项确认的预计负债达到22.26亿元，占到了14.99%。另有研究资料表明，我国上市公司担保业务增速快、金额大、风险高、违规情况较为严重，仅2001年至2004年，平均每年新增121家上市公司涉及担保事项，年均增速达到35%；截至2004年10月，837家沪市上市公司中，有180家存在违规担保情况，涉及金额为279.98亿元，违规担保金额占上市公司担保总额的26.72%；在深市505家上市公司中，涉及担保的公司有311家，担保总额达420亿元，其中违规担保金额为131亿元，占担保总额的31.19%。鉴于担保业务的“双刃剑”特征，《企业内部控制应用指引第12号—担保业务》对严控担保风险提出了一系列有针对性的管控措施。 一、担保业务一般流程 企业办理担保业务，一般包括受理申请、调查评估、审批、签订担保合同、进行日常监控等流程。具体而言，一是担保申请人提出担保申请；二是担保人对担保项目和被担保人资信状况进行调查，对担保业务进行风险评估；三是担保人根据调查评估结果，结合本企业担保政策和授权审批制度，对担保业务进行审批，重大担保业务应提交董事会或类似权力机构批准；四是担保人依据既定权限和程序，与被担保人签订担保合同；五是担保人切实加强对担保合同的日常管理，对被担保人经营情况、财务状况和担保项目执行情况等进行跟踪监控；六是如果被担保人不能如期偿债，担保人应履行代为清偿义务并向被担保人追偿债务；同时，应当按照本企业担保业务责任追究制度，严格追 究有关人员的责