附件
××××信息系统管理
风险内部控制办法（试行）
第一章总则
第一条为加强××××信息系统管理内部控制，有效防控财政信息系统管理风险，提高信息系统管理的规范性、科学性，加强信息化对财政业务管理的支撑与流程控制能力，根据《××××内部控制基本制度(试行)》有关规定和××××信息化建设管理相关制度，结合工作实际，制定本办法。
第二条本办法所称信息系统管理风险，是指在信息系统管理过程中，因相关管理制度、工作机制和标准规范不完善或执行不到位，在业务流程控制和信息安全等方面存在隐患，系统运行不稳定、业务操作不受控、信息安全不可靠、信息化辅助管理决策能力弱化，系统无法有效发挥业务支撑与流程管控的可能性。
第三条信息系统管理风险主要包括流程控制风险、数据应用与管理风险和信息安全风险三个方面（信息系统建设由**统一管理）。根据风险事件的情节轻重、影响范围和程度，分为重大风险和一般风险两个等级；按照风险来源和性质，分为制度流程风险、岗位职责风险、廉政风险三种类型。
重大风险：是指发生的风险事件对信息系统建设管理产生重大负面影响，或者严重损害国家或部门利益的可能性。
- 1 -
一般风险：是指发生的风险事件对信息系统建设管理产生一定的负面影响，或者对国家或部门利益造成一定损失的可能性。
制度流程风险：是指信息系统管理制度流程设计不合理、执行不到位，导致信息系统管理不规范、不科学的可能性。
岗位职责风险：是指由于岗位职责设定不明确、授权管理不到位，或履行岗位职责不作为、违背制度流程乱作为，导致信息系统建设管理不规范，影响工作质量与进度的可能性。
廉政风险：是指信息系统使用或管理人员凭借手中的权力，利用工作之便在信息系统中违反廉政规定谋求私利的可能性。
第四条信息系统管理风险内部控制的目标是，综合运用信息化建设与管理制度、标准规范和内部控制方法，将信息系统管理风险防控措施贯穿于信息系统管理和应用全过程，对信息系统管理和应用进行全程控制；将内控理念和控制措施嵌入信息系统，对业务流程运行进行审计监控，最大限度减少人为操纵因素，确保系统运行协同、业务流程固化、业务管理衔接以及信息共享、数据安全。
第五条本办法适用于局内各二级单位、股室、××××(以下简称部门)。
第六条明确职责分工。
(一)信息网络中心负责信息系统管理内部控制的组织实施，及时发现信息系统管理风险防控中存在的问题，提示有关部门，并向内控办报告。定期向内控办报送信息系统管理风险防控情况。
- 1 -
(二)各部门参与信息化系统建设实施，并对信息系统管理的重点业务环节实施持续、有效的风险防控，及时向内控办和信息网络中心报告本部门信息系统管理风险防控及异常情况。
第七条信息系统管理风险事件发生后，相关部门应在第一时间报告内控办和信息网络中心，及时采取应对措施，最大程度避免或减少负面影响。
第二章信息系统流程控制管理内部控制
第八条信息系统流程控制风险是指业务流程未完全固化在业务生产系统中、固化在信息系统中的业务流程未完全实现有效控制、业务处理未完全通过信息系统执行，导致信息系统支撑促进内部控制工作能力弱化的可能性。
其中，重大风险是指因业务流程未固化在业务生产系统中，或固化在信息系统中的业务流程未实现有效控制，或业务处理未通过信息系统固化的流程进行等情形发生，严重影响内部控制效果。
一般风险是指因业务流程在业务生产系统中固化程度不够，或固化在信息系统中的业务流程控制不完善，导致内部控制目标某些方面或环节失效。
第九条流程控制风险主要体现在业务管理流程化设计、控制措施与预警机制设定、信息系统实现、信息系统流程应用等方面。
第十条信息系统固化和管控业务流程的程序：
- 1 -
1.各部门梳理完善业务流程。
2.各部门明确业务流程各环节控制活动、控制措施等。
3.各部门提出业务流程固化和管理控制的业务需求。
4.信息网络中心综合分析业务需求。
5.信息网络中心负责通过信息系统实现业务流程固化和管理控制。
第十一条业务管理流程化设计风险与防控。
(一)业务管理流程化设计风险点：
1.对于手工操作存在管理风险的财政业务，各部门未提出通过信息系统进行流程固化和管理控制，仍采取手工方式操作，增加了业务管理活动事前防范、事中控制、事后监督的难度，存在内控漏洞。
2.各部门对需要通过信息系统固化的业务流程梳理不清晰、分析不全面、优化不合理，导致业务流程通过信息系统固化后，难以有效发挥控制作用。
3.各部门业务流程变更频繁，影响信息系统稳定运行，不利于信息系统操作责任追溯。
(二)业务管理流程化设计风险事件类型：
- 1 -
(三)业务管理流程化设计风险防控措施：
1.对于手工操作存在管理风险的财政业务，必须通过信息系统固化流程。
2.各部门应按照业务实现的时间顺序和逻辑顺序，对需要通过信息系统固化的业务流程进行全面梳理、分析和细化，科学设定业务流程各环节，确保各环节既覆盖业务管理全过程又利于倒查问题根源。
3.各部门应将整理好的业务流程形成书面材料。
4.各部门应切实结合财政管理和改革的实际需要，审慎处理流程变更，避免流程变更的随意性。若确需变更，要充分考虑与原有业务流程的衔接。
第十二条控制措施与预警机制设定风险与防控。
(一)控制措施与预警条件设定风险点：
1.各部门对于业务流程的各环节未设置控制措施和预警机制，导致内部控制无法实现。
2.各部门对业务流程各环节授权控制不合理，对关键环节未
- 1 -
设置不相容岗位(职责)或不相容岗位(职责)分离措施不到位，导致一人可以操作流程的多个环节，无法形成相互制约、相互监督的工作机制。
3.各部门对各项控制措施未设置预警机制或设置不合理，导致信息系统自动控制、风险揭示能力弱化。
(二)控制措施与预警条件设定风险事件类型：
(三)控制措施与预警条件设定风险防控措施：
1.各部门应结合本部门业务和流程，全面梳理所涉及的不相容岗位，明确各个环节的岗位设置及职责。
2.各部门应对不相容岗位(职责)实施分离措施，明确细化职责，形成各司其职、各负其责、横向与纵向相互制约监督的工作机制。
3.各部门应建立授权管理体系,明确各岗位的授权主体、范围与权限，科学分配权利，确保各岗位人员在授权范围内开展工- 1 -
作，切实达到分事行权、分岗设权、分级授权的要求。
4.各部门应根据控制措施，合理设置预警条件。
第十三条信息系统实现风险与防控。
(一)信息系统实现风险点：
1.信息网络中心对各部门提出的需求调研不深入，导致系统功能不完善、授权管理功能弱化等，造成信息系统强化流程控制、风险揭示和自动控制能力弱化。
2.业务流程发生变更后，各部门未提出流程变更申请，导致新的内部控制措施失效。
3.各部门提出流程变更申请，信息网络中心未及时通过信息系统实现，导致信息系统不能按时实现新的控制，影响财政业务顺利开展。
4.信息网络中心对流程变更的信息化实现考虑不周全，影响上下游业务正常开展，导致业务中断的可能性。
(二)信息系统实现风险事件类型：
- 1 -
(三)信息系统实现风险防控措施：
1.各部门提出需要通过信息系统实现的业务流程及其控制活动、控制措施等，形成业务需求方案，经单位负责人审批并盖章后提交信息网络中心。
2.信息网络中心对业务需求进行分析。若业务需求不符合信息系统开发设计要求，信息网络中心提出改进建议并退回。
3.信息网络中心按照需求将业务流程固化在信息系统中，并将控制活动、控制措施等嵌入信息系统，确保授权处理无误，不相容岗位相互分离。
4.业务流程发生变更后，各部门要及时形成流程变更书面材料，经单位负责人审批同意后提交信息网络中心。
5.信息网络中心应及时受理各部门的变更需求，并做好分析研究。
第十四条信息系统流程应用的风险与防控。
(一)信息系统流程应用风险点：
1.各部门未通过已固化流程的信息系统开展财政业务工作，导致信息系统固化流程和管理控制作用无法有效发挥。
2.操作人员未经授权擅自进入信息系统后台操作，导致绕过- 1 -
流程控制的风险。
3.与外部单位恶意串通，绕开流程进行后台操作，窃取财政业务信息，谋取利益，存在廉政风险。
(二)信息系统流程应用风险事件类型：
(三) 信息系统流程应用风险防控措施：
1.各部门应建立健全规章制度，确保财政业务通过信息系统处理，实现内部控制的程序化和常态化。
2.信息网络中心制定信息系统操作规程，加强培训，确保各部门正确应用信息系统。
3.信息网络中心应强化技术监控，通过自动报告、跟踪处理、日志管理等机制，及时发现异常或违背内部控制要求的操作，妥善进行处置并向内控办报告。
- 1 -
第三章数据应用与管理内部控制
第十五条数据应用与管理风险是指在数据收集、存储、处理和应用过程中，由于不主动提供数据、违规操作数据、越权使用数据、提供的数据不规范等原因，导致信息化数据分析利用和辅助决策能力弱化的可能性。
其中，重大风险是指由于单位间信息不共享或不该共享的数据共享、数据不贯通等，导致相关部门无法正常开展工作；或者由于数据失真、使用不当，导致决策出现失误；或者由于数据保管不当、越权使用数据，导致数据丢失或信息泄漏。
一般风险是指由于单位间信息未完全共享、数据未完全贯通，加重相关部门工作负担，一定程度上影响工作效率。
第十六条数据应用与管理遵循以下流程：
(一)数据收集。按照各部门提出的数据收集需求，信息网络中心收集财政业务管理需要的各类数据并进行集中管理。
(二)数据管理。按照各部门提出的数据存储需求，信息网络中心对收集到的各类数据进行筛选、分类、调整，并实现安全存储、有效管理。
(三)数据应用。信息网络中心对各部门提出数据应用需求进行技术实现，提供技术检索、展现及分析工具。
第十七条数据应用与管理风险主要体现在数据收集、数据管理和数据应用等工作过程与环节。
第十八条数据收集的风险与防控。
- 1 -
(一)数据收集流程：
1.各部门提出数据收集需求。
2.信息网络中心按照数据收集需求收集数据，并将收集结果反馈相关部门。
(二)数据收集风险点：
1.各部门不结合本职工作实际，不主动沟通协调获取外部单位数据，导致信息不对称、精细化管理弱化。
2.各部门对内分享数据，只提供短期或临时数据，分享数据缺乏持续性，导致数据断层、断档，影响他人决策使用。
3.从外部搜集数据时，由于沟通协调不够，无法获取所需要的数据，导致数据不全。
(三)数据收集风险事件类型：
(四)数据收集风险防控措施：
1.信息网络中心根据各部门提出的数据收集需求，分析整理，
- 1 -
统筹安排，开展数据收集工作，并做好技术实现和服务保障。
2.各部门应主动公开、共享业务数据，做到及时更新和长期输出，并配合信息网络中心做好数据集中管理工作。
3.信息网络中心从厅外单位收集数据时，各部门应主动协调配合，推进收集工作开展。
第十九条数据管理的风险与防控。
(一)数据管理流程：
1.各部门提出数据存储需求。
2.信息网络中心按照各部门数据存储需求，结合数据存储规范处理并存储数据，并将处理结果反馈相关部门。
(二)数据管理风险点：
1.缺少有效的数据管理机制，如授权机制、查询机制，造成数据管理混乱，存储无序。
2.存档入库数据未经分类处理及必要的清洗，导致数据冗余或口径不对、降低数据使用效率。
3.未按安全等级分类存储数据，如在业务专网上存储**数据，导致重大信息安全隐患。
4.未建立数据备份与恢复机制，导致数据丢失。
5.利用数据管理之便，窃取财政信息，谋取私利，引发廉政风险。
(三)数据管理风险事件类型：
- 1 -
(四)数据管理风险防控措施：
1.信息网络中心建立规范的数据管理机制，加强使用授权，优化存储查询，确保数据的规范性和准确性。
2.各部门根据业务实际，提出数据存储需求，明确数据存储数量、时间和访问权限等，经单位负责人审批并盖章后提交信息网络中心。
3.信息网络中心对收到的数据存储需求进行分析，对不符合标准规范的，退回需求单位修改完善后重新提交。对符合标准规范的，通过处理程序，完成数据存储。
4.信息网络中心按照安全保密措施妥善保管数据，建立目录索引，控制访问权限，确保数据安全。
第二十条数据应用的风险与防控。
(一)数据应用流程：
1.各部门提出数据应用需求。
- 1 -
2.信息网络中心综合分析应用需求，实现数据应用。
(二)数据应用风险点：
1.共享数据不可用或可用性不强，无法达到预期使用效果，增加了数据综合利用的难度，不利于业务管理水平提高。
2.数据引用不正确，造成决策分析失误。
3.在数据复制转移过程中，未遵照保密规定进行违规操作，造成信息泄漏等重大风险。
4.利用数据应用的机会，蓄意窃取财政信息，谋取私利，存在廉政风险。
(三)数据应用风险事件类型：
(四)数据应用风险防控措施：
1.信息网络中心建立规范的数据应用机制，加强权限管理，实现流程控制，确保数据准确、安全。
- 1 -
2.各部门根据工作实际，提出数据应用需求，明确数据类型、层次及口径，并说明应用范围和具体用途。数据应用需求经单位负责人审批并盖章后提交信息网络中心。
3.信息网络中心对收到的数据应用需求进行分析，对不符合标准规范的，退回需求单位修改完善后重新提交。对符合标准规范的，做好数据准备，实现数据应用。
4.各部门严格按照授权使用数据，并将使用情况和效果反馈信息网络中心。
5.各部门在数据复制转移过程中，要严格执行有关审批手续并按照有关保密规定操作，实现操作过程留痕、责任可追溯，最大限度减少人为操纵风险。
第四章信息系统安全管理内部控制
第二十一条信息系统安全风险是指在信息系统应用与运行维护过程中，由于管理制度不健全、信息安全意识淡薄、安全防护技术或管理措施不到位，导致系统权限被冒用，重要信息泄漏、篡改的可能性；或信息系统自身抵御外部攻击能力不强，突发事故处理机制不到位，造成信息系统瘫痪、业务中断、数据丢失等可能性。
其中，重大风险是指因技术防护措施或管理严重缺失导致业务系统长时间无法恢复，**、敏感信息泄漏、丢失，系统瘫痪、
- 1 -
业务中断等安全事件发生，对国家安全、财政业务开展造成较大损失。
一般风险是指因安全防护技术措施或管理制度不到位导致一般信息泄漏、系统暂停运行等安全事件发生，对财政业务开展造成影响和一定损失。
第二十二条信息系统安全管理风险主要体现信息系统运行安全管理、信息系统运维安全管理、信息系统应用安全管理、信息系统安全审计管理、信息系统灾备与应急管理等方面。
第二十三条信息系统运行安全管理风险防控。
(一)信息系统运行安全管理风险点：
1.信息系统和相应的基础软硬件环境运行监控管理手段不完善，对运行故障的事前预警能力不高，信息系统或基础软硬件环境出现的故障得不到及时发现和解决，存在业务中断的安全隐患。
2.信息系统未按照**等级要求部署在正确的网络上运行，导致不符合国家信息安全保密要求，存在秘密信息泄漏的风险。
3.**信息系统上线运行后，没有按照确定的**等级加载**信息，引发**信息泄漏、被窃的风险。
4.信息系统上线运行后，不按要求定期开展等级(分级)保护测评，导致系统安全隐患得不到及时整改，系统自身防范外部攻击的能力弱化。
5.以人工方式处理网络或单机上的数据信息交换和传递，导致工作效率低下，出现数据差错、泄漏或丢失。
- 1 -
6.因楼宇维修、管网改造等需要断水、断电时，未提前通知信息网络中心做好信息系统运行环境的应急准备，导致系统运行中断，严重影响业务正常开展。
(二)信息系统运行安全管理风险事件类型：
(三)信息系统运行安全管理风险防控措施：
1.信息网络中心要提高信息系统和基础软硬件环境运行故障的事前预警能力。各部门应及时将发现的信息系统运行异常通
- 1 -
知信息网络中心，并配合进行异常情况调查和处置。
2.严格执行国家有关信息安全保密管理有关规定，确保** 和非**信息相互隔离。
3.系统上线运行后，应按照国家有关规定和标准，对**信息系统进行分级保护测评，对不符合要求的事项，及时进行整改。
4.研究建立不同网络上的数据信息交换与传递工作机制，建设部署相应技术手段，尽可能避免人工操作。
5.物业公司配合信息网络中心做好信息系统运行环境的保障工作，保证系统运行的连续性。
第二十四条信息系统运维安全管理风险防控。
(一)信息系统运维安全管理风险点：
1.各部门不遵从信息系统运行维护管理程序，遇到问题直接联系运维人员或系统开发人员，运维过程没有监督，导致由于不规范运维引发的事故责任无法追溯。
2.信息网络中心未按运维管理规定程序和要求及时组织开展运维工作，系统运行故障得不到及时解决，导致业务正常开展受到影响。
3.未建立信息安全管理系统管理员、系统安全员、系统审计员(以下简称“三员”)分离制度，或执行不到位，运维人员可以随意进行信息系统和数据库后台操作，或者一人独自在不受任何监控的情况下进行操作，存在系统参数配置被恶意更改或业务数据泄漏、丢失、篡改的重大风险。
- 1 -
4.机房管理制度执行不严格，运维人员进出机房不填写登记表，不记录运维工作内容，操作过程未留下痕迹，导致严重的系统运行与信息安全风险。
5.运维单位对信息系统及其基础资源环境不熟悉，无法按规定履行运维职责。
(二)信息系统运维安全管理风险事件类型：
- 1 -
(三)信息系统运维安全管理风险防控措施：
1.由信息网络中心统一负责信息系统运行维护工作的组织管理，按照上级有关运维服务管理规定的程序和要求执行。
2.信息系统的所有运行维护操作都必须进行完整记录，运维单位承担的所有维护操作必须在信息网络中心或相关业务部门的监控下进行，不允许运维单位人员独自开展系统运维工作。
3.规范业务系统上线、开放权限等变更操作流程，建立并严格执行“三员”分离制度，加强对后台设备、数据操作权限和操作行为的管理与审计，加强对业务系统操作人员的安全管理，规范安全操作行为。
4.严格执行机房管理制度，进出机房的运维人员都应完整填写相关登记表，详细说明要解决的故障，所涉及的设备、信息系统和数据，经审批后方可进入机房。
第二十五条信息系统应用安全管理风险防控。
(一)信息系统应用安全管理风险点：
1.业务人员安全意识欠缺，不按管理规范和流程操作信息系统，造成信息系统功能和性能受到影响，导致业务管理无法正常完成。
2.**硬盘、数字证书(USB Key)、电子印章、视频干扰器、- 1 -