当前位置：文档之家 › 无锡国联合并解决方案

无锡国联合并解决方案

  • 格式：docx
  • 大小：308.39 KB
  • 文档页数：18

无锡国联发展集团有限公司合并报表解决方案用友软件股份有限公司·无锡分公司2010年5月目录1、总体介绍 (3)1.1 公司简介 (3)1.2 系统目标 (3)1.3 原系统（手工）合并情况 (3)1.3.1合并流程 (3)1.3.2合并难点 (3)1.4 应用目标 (4)2、总体应用流程 (5)3、合并报表解决方案 (7)3.1基础设置 (7)3.2数据采集 (8)3.3合并方式 (8)3.3.1 逐级合并 (8)3.3.2 会计准则 (10)3.4合并范围 (10)3.4.1合并单位管理 (10)3.4.2需要合并的报表及合并频次 (10)3.5 投资关系 (10)3.6报表勾稽关系 (11)3.7报送体系 (11)3.7.1上报与请求取消上报 (11)3.7.2催报 (11)3.8报表调整 (11)3.8.1成本法转权益法调整 (11)3.8.2年初数调整 (12)3.8.3其他调整 (12)3.9抵消分录 (12)3.9.1抵消项目及取数公式 (12)3.9.2自动对账 (12)3.9.3对账未符数据的处理 (13)3.9.4可手工录入抵消分录 (13)3.10合并报表生成 (13)3.11报表查询分析 (13)3.12其他功能需求 (14)3.12.1个别报表数据支持多种取得方式 (14)3.12.2外币报表折算需求 (14)3.12.3支持跨行业的集团财务合并 (15)3.12.4复杂股权结构下股权投资的自动抵消算法 (15)3.12.5支持传统的逐级合并和跨越管理层级的一次性合并 (15)4、NC5.6合并报表新增功能 (16)4.1 新增功能 (16)4.2 优化功能 (17)4.3 改进功能 (18)1、总体介绍1.1 公司简介无锡市国联发展（集团）有限公司（简称“国联集团”）成立于1999年5月8日，是无锡市人民政府出资设立并授予国有资产投资主体资格的国有独资企业集团，注册资本金人民币80亿元。

国联集团成立10年来，综合效益快速提升、主要业务有效拓展、竞争实力持续增强，形成了以资本运作能力、投资盈利能力为主的核心竞争力。

业务范围涵盖以证券、信托等为主的金融领域；以电站成套设备生产、垃圾污泥焚烧电厂设计、工程建设总承包、经营管理等为主的环保能源领域；以棉纺、毛纺为主的纺织领域和以机场、物资、饭店为主的物流服务领域等。

截止2008年底，国联集团总资产308亿元，净资产112亿元，2008年实现利润9.27亿元。

集团公司拥有全资企业39家，控股企业40家。

1.2 系统目标建立集团统一的财务、报表管理体系。

●实现集团合并报表的规范、及时、准确、真实、可靠。

●实现报表数据一次录入、实时上报，在减少重复工作量、提高工作效率的同时，提高报送数据的准确性和及时性。

1.3 原系统（手工）合并情况1.3.1合并流程此前，各分子公司基础财务核算大部分使用NC记账。

集团及各出资企业的报表汇总和合并工作是手工编制，工作量大，要求高，数据的传递很难保证及时、准确、完整。

1.3.2合并难点●个别报表收集难。

●个别报表数据准确性难以保证。

●下级单位修改报表后无从知晓。

●对账难、存在大量对账不符数据●存在会计政策不统一造成的报表调整●新准则成本法转权益法调整麻烦。

●大量交叉持股导致权益抵消复杂。

●工作底稿的登记繁琐、容易出错。

●合并结果与事务所审计结果差异过大。

●合并结果查错难。

1.4 应用目标●满足除金融行业外的所有行业，按照标准财务报表格式编制合并报表的需求，包括资产负债表、利润表、利润分配表和现金流量表。

●支持最新的国内、国际会计准则。

●满足多级企业集团中，各级公司编制合并报表的要求。

●支持逐级合并、一次性大合并两种合并流程。

●支持复杂投资关系下，编制合并报表的需求。

●在合并报表处理周期上，满足年报、半年报、季报、月报处理。

●解决连续编制合并报表的情况下，年初数、上年同期数自动处理问题。

●作为附属应用目标，可满足集团内部公司间交易或往来余额对账的需求，以及投资管理要求。

2、总体应用流程IUFO合并报表依赖网络报表数据采集的能力进行数据采集，通过建立抵销模板进行数据对账检查、自动生成抵销分录，自动合并生成合并报表、合并工作底稿。

合并报表应用流程：应用流程说明：上图描述的是一次合并的完整应用流程，是采用大合并的方式进行合并的操作步骤示意。

如果整个集团采用逐级合并的方式进行合并，则每级合并主体都要经历上述合并过程，且上级的合并要在下级的合并完成后进行。

用逐级合并的方式完成一次集团合并，相当于多个合并流程的叠加。

1、集团主管统一制定合并报表的格式、分配任务、定义抵销模板，选择本次参与合并报表的单位范围。

其中，只有选择本次合并单位是每次合并合并都必需的步骤，报表格式、任务、抵销模板一经建立，可以供以后各期合并使用。

2、基层单位录入报表数据和内部交易数据，如果需要可以根据会计政策、法律法规等的差异，调整个别会计报表数据。

合并报表单位（母公司）也需要提供本单位的个别报表和内部交易数据，同时需要维护投资数据。

投资数据初始输入完成后，只在以后各期发生变动时维护。

3、合并报表单位（母公司）根据内部交易数据和抵销模板，选择对账单位后，系统自动对账。

权益类模板对账必须由母公司完成，交易类模板对账可以由相关单位自己来完成。

如果对账时发现数据错误，需要相关单位修改内部交易数据，然后重新执行对账。

4、系统根据对账对符结果自动产生抵销分录，另外也可以根据需要手工录入抵销分录。

然后系统自动合并，生成合并工作底稿及合并报表。

3、合并报表解决方案3.1基础设置●定义合并报表单位的级次结构：定义级次结构的目的在于确定参与合并报表的单位的范围及各单位所在的级次●用户管理：用户管理可以定制用户的身份及对数据和功能的访问能力。

基于单位的用户管理，用户是属于某一单位的用户，即该用户只可以访问本单位和下级单位的数据。

●收购日数据维护：本功能负责维护收购日数据和处置日数据，包括投资成本和持股比例的新增、减少等。

主要目的是为自动合并功能中的购买法二、购买法三的算法提供投资抵消分录的数据来源和为商誉维护功能提供数据源。

●定义抵消项目和报表：用友IUFO的特点之一是指标设计，系统把报表中每个填录项目设置为指标，指标是对元数据进行的命名或元数据的数值运算结果。

通过建立指标体系，建立用户进行数据分析的维度，通过指定维度即可定义为进行多维分析奠定基础。

●任务及审核体系：当我们为一个集中管理系统完成报表输出时，由于业务数据是完全集中的，因此报表输出也具有集中、批量和快速分发特征，这是报表任务主要需要完成的工作。

同时有部分任务需要用户采用手工的方式进行数据的填报，这种使用要求需要提供对报送流程的控制和对报表数据进行审核。

●定义抵消关系：在合并报表编制过程中，编制抵消分录抵消集团企业的内部交易是最重要的一项工作。

用友合并报表系统提供了灵活设置抵消的项目及其抵消关系的功能，所谓定义的每一条抵消关系，就是为定义了借贷方项目名称，并且定义了每一个项目的取数公式的抵消分录。

根据定义的抵消关系通过系统自动对账功能，系统将自动生成符合设定要求的抵消分录。

●系统提供两个大类抵消关系：母子权益类、内部交易类。

定义为母子权益类的指标在自动对账时仅在母公司及其下属公司之间进行，内部交易类的指标对账范围是整个集团企业内部的合并报表单位。

对于每条抵消关系的借贷等式两边，可以分别是一个项目或多个项目, 自动生成的抵消分录形式可以是”一借一贷”、”一借(贷)多贷(借)”、”多借多贷”。

●抵消关系的每一个项目都可以定义取数公式，从不同的数据源提取需要的数据，并且可以进行加、减、乘、除和代有括号、常数的四则运算。

3.2数据采集●个别报表数据采集⏹针对个别报表数据的采集，我们提供了报送中心功能模块，报表报送中心是对需要进行手工数据采集的任务的功能集合。

主要包括报送任务的管理、报表报送、报送考核、报表数据权限的设置和报送规则和参数的设置。

⏹在线审核提供对报表数据审核结果的管理，可查询审核结果、执行表间和表内审核。

●内部交易数据采集⏹内部交易录入功能用于采集内部交易数据。

内部交易数据的录入可以采取手工输入的方式；如果是用友集团管控信息系统账务系统的用户，可以定义内部交易项目取数公式，计算时自动从账务系统提取数据；对于不经常发生变化的项目，也可将前期数据复制到本期。

录入内部交易数据的同时，系统会根据交易类抵消分录模版自动生成交易类抵消关系，为对账做准备。

⏹我们既可以通过手工方式进行内部交易数据的录入，也可以直接从业务系统中直接获得业务系统的数据。

3.3合并方式3.3.1 逐级合并国联发展集团属于“产业+分子公司制”的投资控股集团企业，是依赖投资关系形成的，内部管理关系与股权关系完全匹配，存在一些中间级别的实际或虚拟的产业集团，具有多级的管理层次。

组织结构图如下：根据组织架构和投资关系的分析，建议采用逐级合并+多合并任务的方式。

选择逐级合并方式时，集团作为合并主体，将下级合并主体的合并报表看作其个别报表，必须下级合并单位完成合并后，上级单位才能合并。

逐级合并方式数据流向如下图所示：通过共享的用友合并报表数据中心，运用用友独有的“等效股权”算法，就可以准确划分母公司的实际权益（损益）份额和少数股东权益（损益）。

这样，即使集团内部存在跨越级次的股权投资关系，或者在两个子集团间存在股权投资时，就显示出合并算法的准确优势，也使得股权投资的抵消可以自动化。

面对这个问题，那些不具备核心算法的系统将一筹莫展。

3.3.2 会计准则按照财政部2006年颁布的新会计制度进行报表合并。

3.4合并范围3.4.1合并单位管理每次合并之前，都需要确定本次合并的合并方式及参与合并的子公司范围。

合并单位的待选范围由本次合并方式决定，逐级合并只能选择单位树上的直接下级，大合并时可以是单位树上的所有下级，也可以是由投资关系确定的直接投资和间接投资的子公司。

系统还提供本次合并单位查询功能。

3.4.2需要合并的报表及合并频次资产负债表、利润表、现金流量表：每月合并。

所有者权益变动表：每年合并，手动填制。

除现金流量表是一个季度做，其他都是每月做，现金流量表考虑以后也每月做。

3.5 投资关系国联发展集团投资关系属于交叉持股型，集团内的一家公司可以直接控制其他两家或以上的公司，同时任何一家公司可以被两家或以上的公司直接拥有股权。

图示如下：由于存在大量交叉持股，且对参股双方的控股方的投资比例不足100%，因此需要用该公司成本法转权益法调整后的结果来计算上一级公司的调整数，在成本法转权益法调整相关设置时需要考虑此情况。

3.6报表勾稽关系参与合并的报表间存在以下数据勾稽关系：所有者权益变动表的各项上年年末数=上年的所有者权益变动表的各项期末数所有者权益变动表的归属于母公司的净利润本年发生数=利润表的归属于母公司的净利润累计数所有者权益变动表的少数股东损益本年发生数=利润表的少数股东损益累计数所有者权益变动表的各项期末数=资产负债表的对应各项期末数所有者权益变动表的各项本年年初数=资产负债表的各项年初数现金流量表附表的净利润=利润表的净利润累计数3.7报送体系3.7.1上报与请求取消上报报表数据录入完成后，用户如果确认数据没有问题，则可以上报给下发任务的上级单位。

合集下载

江苏省人民政府关于促进企业兼并重组的意见-苏政发[2011]188号

江苏省人民政府关于促进企业兼并重组的意见-苏政发[2011]188号

江苏省人民政府关于促进企业兼并重组的意见正文：---------------------------------------------------------------------------------------------------------------------------------------------------- 江苏省人民政府关于促进企业兼并重组的意见（苏政发〔2011〕188号）各市、县（市、区）人民政府，省各委办厅局，省各直属单位：为认真贯彻《国务院关于促进企业兼并重组的意见》（国发〔2010〕27号），深入落实省第十二次党代会精神，切实加快经济发展方式转变，促进企业创新发展和产业转型升级，结合我省实际，现就促进企业兼并重组提出如下意见：一、明确促进企业兼并重组的总体要求和基本原则（一）总体要求。

深入贯彻省第十二次党代会精神，全面落实国家和省“十二五”发展规划，以做优做强骨干企业为目标，突出重点领域和重点行业，鼓励支持优势企业通过兼并、收购、联合、参股等多种形式开展跨地区、跨行业、跨所有制和跨国（境）兼并重组及投资合作，促进规模化、集约化经营，加快培育一批主业突出、拥有自主知识产权和知名品牌、具有国际竞争力的优强骨干企业，促进产业结构优化升级。

（二）基本原则1．坚持市场导向与行政推动相结合。

以企业为主体、以资产为纽带，充分尊重企业意愿，注重发挥市场机制的基础性作用。

政府通过完善相关行业规划和政策措施，创造有利于企业兼并重组的良好环境，引导和激励企业自主参与兼并重组。

2．坚持规模扩张与做优做强相结合。

引导各行各业有条件的企业通过兼并重组有效整合存量资源，实现低成本超常发展。

加大增量投入，注重以兼并重组方式强化企业的研发创新能力，积极培育新的增长点。

避免盲目兼并扩张，防止落后产能转移。

3．坚持突出重点与分类指导相结合。

贯彻国家和省有关产业政策，重点围绕汽车、船舶、钢铁、水泥、机械制造、电子信息、石化、纺织等行业，鼓励支持优势骨干企业开展兼并重组。

国有企业合并方案

国有企业合并方案

国有企业合并方案国有企业合并可以促进资源的优化配置，提高经济效益和市场竞争力。

在制定国有企业合并方案时，需要充分考虑相关的法律法规和政策，确保合并过程的合法性和可行性。

下文将探讨国有企业合并方案的基本步骤和注意事项。

一、背景介绍国有企业合并是指两个或多个国有企业通过合并，形成一个新的实体。

这种合并可以提高资源利用效率，促进经济发展，同时也能够减少行业竞争和资源浪费。

二、合并目的和原则国有企业合并的目的在于优化资源配置，提高市场竞争力和经济效益。

合并方案应当遵循以下原则：1. 经济性原则：合并后的企业应能够在市场上具备更强的竞争力，实现经济效益的提升。

2. 公平性原则：合并过程应当公平公正，保障各方利益的平衡。

3. 可行性原则：方案应当经过充分的研究和论证，确保能够顺利实施。

4. 法律合规原则：合并方案必须符合相关法律法规和政策的规定，保证合并过程的合法性和合规性。

三、合并步骤和程序国有企业合并方案的制定需要经历以下几个步骤：1. 评估和选择合并对象：对合并候选企业进行全面评估，包括财务状况、市场地位、技术水平等方面的考量，选择合适的合并对象。

2. 制定合并协议：明确合并双方的权益和责任，确保各方利益得到平衡。

合并协议应当具体而详尽，包括合并方案、资源整合方案、人员安置等内容。

3. 公示和报批程序：按照相关法律法规和政策的要求，对合并方案进行公示和报批。

公示环节可以接受社会各界的意见和建议，提高合并方案的科学性和可行性。

4. 落实合并方案：合并方案获得批准后，需要按照协议的约定进行实施。

包括人员安排、资产调整、业务整合等方面的工作。

5. 监督和评估：在合并实施后，需要建立监督评估机制，对合并效果进行跟踪和评估，及时发现和解决问题。

四、合并方案注意事项在制定国有企业合并方案时，需要注意以下几个方面：1. 合并可行性研究：在制定方案之前，应进行充分的可行性研究，包括市场需求、竞争状况、资源整合等方面的分析，以评估合并的风险和收益。

无锡市人民政府办公室关于印发市重点物流园区布局调整优化实施方案的通知-锡政办发[2010]274号

无锡市人民政府办公室关于印发市重点物流园区布局调整优化实施方案的通知-锡政办发[2010]274号

无锡市人民政府办公室关于印发市重点物流园区布局调整优化实施方案的通知正文：---------------------------------------------------------------------------------------------------------------------------------------------------- 无锡市人民政府办公室关于印发市重点物流园区布局调整优化实施方案的通知（锡政办发〔2010〕274号）各市（县）和各区人民政府，市各委、办、局，市各直属单位：《市重点物流园区布局调整优化实施方案》已经市政府同意，现印发给你们，请认真贯彻执行。

二○一○年十月二十日市重点物流园区布局调整优化实施方案为进一步贯彻落实市委、市政府有关加快现代服务业发展的要求，优化全市物流集聚区布局，推进物流业健康快速发展，特制定市重点物流园（区）布局调整优化实施方案。

一、指导思想根据城市建设和产业发展规划，以调整为主线，促进物流集聚区优化布局与制造业“退城进园”、商品市场发展相结合，加快现有物流功能优化整合、相关交通基础设施完善，逐步将位于主城区以及重点道口的传统物流产业向城市外围集中、集聚，并着力提高产业发展层次与水平。

二、主要目标（一）总体目标力争通过3年努力，完成无锡火车南站、石塘湾煤栈、下甸桥二类口岸、通江物流园等4个集聚区调整工作，结合商品市场布局的优化调整，市区物流园（区）和商品市场布局基本形成较为合理的空间格局；到2015年，依托城市区位优势，高起点规划，形成较为完善的物流产业体系，将无锡打造成为长三角商贸物流中心城市。

（二）分年度目标分3个阶段推进：1.启动准备阶段（2010年）。

重点是完成实施方案编制，确定年度工作目标及牵头单位。

各牵头单位制定具体工作计划，完成相关规划项目调整及审批等。

--2010年主要工作目标任务：形成若干物流园（区）优化调整实施方案，明确各年度工作目标任务以及工作重点，并分解落实到相关地区部门，确定实施主体；完成相关道桥建设规划、项目建设前期工作；启动通江大道西侧停车场拆除任务；高新物流中心新安物流园、新区硕放作业区、石塘湾煤栈等承接园（区）内部功能规划调整到位；继续推进西站物流园、胡埭物流园等在建物流园区建设；启动无锡火车南站外迁洽谈；对前洲物流园区进行功能规划研究。

最新PKI建设方案

最新PKI建设方案

PKI建设方案版本V 1.1作者张济美日期2015-08-20PKI建设方案PKI建设方案PKI建设方案国联人寿PKI基础设施建设 .................................................................... 错误!未定义书签。

1概述.................................................................................................. 错误!未定义书签。

2PKI技术 (1)3信安世纪与国密 (2)4数字证书的选择 (2)5方案 (3)5.1电子保单系统 (3)5.1.1.方案架构 (3)5.1.2.系统平移 (5)5.1.3.方案优势 (5)5.1.4.案例 ..................................................................................... 错误!未定义书签。

5.2网上商城系统 (6)5.2.1.典型需求 (6)5.2.2.实现方式 (7)5.2.3.方案架构 (7)5.2.4.功能分析 (7)5.2.5.业务实现流程 (8)5.2.6.方案优势 (9)5.3OA系统 (10)5.3.1.典型需求 (11)5.3.2.系统概述 (11)5.3.3.系统架构 (12)5.3.4.流程介绍 (14)5.3.5.方案优势 (17)5.4支付系统 (18)5.4.1.典型需求 (18)5.4.2.实现方式 (18)5.4.3.方案架构 (19)5.4.4.业务实现流程 (19)5.4.5.方案优势 (20)6基于移动终端的CA设计 (21)6.1概述 (21)6.2适用系统 (21)6.3系统架构 (22)6.4使用流程 (23)6.4.1.PC端二维码登陆 (23)6.4.2.移动端APP数字签名系统验证 (24)6.4.3.动态密码认证 (25)7基于云CA的设计 (28)7.1概述 (28)7.2适用系统 (28)7.3系统架构 (29)7.4访问流程 (29)1PKI建设方案目前，国联人寿已经具有多套应用系统，通过不同的应用系统来完成不同的工作.既有安全级别较高的系统，如网上商城、电子保单、在线支付等系统，同时又有如同办公人员所使用的OA系统、ERP系统等.国联人寿目前计划通过投资建设PKI体系，对目前各个业务系统进行改造，以提高各个业务的整体安全性.2 PKI技术PKI系统全称为公钥基础设施系统，按照类型可以分为两块，如下所示：证书颁发系统：主要实现数字证书全生命周期管理，有以下部分组成：⏹CA：数字证书签发的核心，负责签发和管理所有的证书及证书废止列表（CRL）；⏹RA：数字证书注册系统，所有用户通过RA系统完成注册后，向CA发送申请，获取证书；⏹KMC：提供加密证书提供密钥对的产生、保存、恢复服务，防止使用者恶意加密文件所导致的文件无法访问；⏹OCSP：提供标准的“在线证书状态协议”（Online Certificate StatusProtocol）应答服务，负责向请求者返回特定证书的状态，完成即时的证书状态查询功能.⏹LDAP：公共信息存储；⏹RADS：RADS是信安NetCert 系统提供的开发软件包，RADS提供了C语言和Java语言接口的CA应用开发工具，能方便地嵌入到Java应用服务器中又能够支持其他采用C语言开发的应用系统，提供全部的证书管理功能⏹EEDS：CA Server与最终用户之间的连接器（Connector），EEDS将处理CA Server与最终用户之间的证书自主管理请求与响应⏹NetCertEnroll：CA 系统的用户端的证书管理控件，NetcertEnroll控件通过web方式下载，并在浏览器中运行，与EEDS配合，实现更加安全的最终用户自主证书管理功能.数字证书支撑平台：通过数字证书颁发平台所颁发的数字证书，实现应用系统的数据机密性、完整性、抗抵赖性等.常见包括：⏹SSL：通过数字证书，完成通信加密，客户端与服务端的身份认证等；⏹VPN：通过数字证书，完成通信加密，常用于创建虚拟局域网等功能；⏹数字签名：通过数字证书，完成数据传输时的完整性，以及数据的康抵赖性；⏹动态密码：通过算法，向客户端发送一次性口令，完成身份认证等操作.3信安世纪与国密目前，根据国家相关指导部门的意见，需要在金融行业内逐渐普及国密算法，例如在本年度7月30日，保监会即明确指出保险行业电子保单系统中，电子保单系统需支持国密算法.信安世纪PKI全线产品均支持国密算法（可在国密局官网在线查询），并且信安世纪签名服务器曾获得发改委专项资金支持，同时在银行领域，2012年全国性国密改造试点的4个银行中，中国农业银行、民生银行、鹤壁银行均与信安世纪合作，采用信安世纪PKI 产品，全线支持其国密改造试点工作.同时，中国工商银行总行、中国建设银行总行、中国交通银行总行、中国平安银行的CA系统也选择信安世纪NetCert作为国密CA解决方案.本文中所涉及的方案以及产品，均支持国密，故下述方案中不在具体说明支持国密. 4数字证书的选择目前，根据国联人寿的计划，将自行部署一套CA系统，通过该CA系统为各个使用者颁发数字证书.目前已规划在网上商城、OA系统、在线支付系统、电子保单系统使用PKI技术以增强其安全性.建议国联人寿在类似于网上商城、OA系统这样只涉及甲乙双方关系的系统中使用自建CA系统进行数字证书的颁发，一方面，由于此类系统中，使用人数众多，采用第三方CA系统颁发数字证书，需要高昂的数字证书维护费用（第三方CA所颁发证书为租赁方式，需要按年计费）.另一方面，这些系统的使用者如使用数字证书，需要灵活、便利的管理方式，因此在这些系统中建议使用自检CA系统进行数字证书的颁发.对于在线支付系统，电子保单系统等，涉及到第三方的应用系统，建议采用第三方CA生成的数字证书.在线支付以及电子保单系统，两个系统只需要向第三方CA颁申请两张表示国联人寿的企业证书即可.5方案不带签名的原始电子保单由APP应用服务器生成，APP应用服务器将原始电子保单送到签名服务器进行数字签名，签名服务器根据APP应用服务器提供的参数及文件，选择数字证书进行数字签名，并重新生成与原始电子保单格式相同的带签名的电子保单，签名服务器将此文件返回给APP应用服务器.APP应用开发，由应用开发人员根据保险公司电子保单的生成要求进行现场应用开发.当用户购买并确认提交保单后，APP应用服务器将用户信息、险种信息、保险条款等按照定义的保单模板组合，调用文件生成API（HTML文件不需要生成API），生成指定格式的原始电子保单.现阶段，原始的电子保单格式一般采用HTML、PDF格式，这两种格式是目前互联网和客户主机非常通用的格式文件，用户使用时不需要额外的软件安装和设置.随着互联网的发展，会出现和使用更灵活的格式文件，APP应用服务器只要集成此文件格式的生成API，即可生成新格式的电子保单文件.原始的电子保单送到签名服务器，签名服务器使用数字证书对保单进行数字签名，并重新生成与原始保单格式相同的带签名的电子保单，并可以根据API所送参数在电子保单中增加附加信息，例如增加本保险公司图章，PDF文件在指定位置显示验签结果信息等. 5.1.1.2.电子保单验证用户下载带签名的电子保单后，可以在线或离线验证电子保单的数字签名.HTML格式通过信安世纪提供的验签控件对电子签名进行验签，并直接提示用户验签结果；PDF格式通过Adobe Reader软件自带的验签功能验签，并直观地显示验签结果.带签名的电子保单有任何改动，则验签不成功.HTML格式直接提示用户验签不成功，且不会显示保单内容；PDF格式文件改动后可能不能打开，即使能打开，也会提示用户文件有改动验签错误，并直观显示验签结果，例如验签成功则显示绿色√，失败则显示红色×.5.1.1.3.带数字签名电子保单生成流程1.客户登陆公司网站，查看并选择险种.2.所有客户的操作由WEB服务器送到APP应用服务器进行应用业务逻辑处理.3.客户选择险种，并使用用户名、密码登陆，填写保单所需信息后，提交保单.4.APP应用处理用户提交保单信息，根据用户信息生成原始的电子保单.5.APP应用将原始的电子保单发送到签名服务器进行数字签名.6.签名服务器完成原始电子保单数字签名后，将带签名的电子保单返给APP应用.7.用户下载最终带数字签名的电子保单8.用户本地保存带签名的电子保单.用户可离线或在线验签电子保单，并根据验签结果显示保单内容.5.1.2. 系统平移由于国联人寿目前已经采用了北京CA所提供的数字签名服务器完成电子保单的生成任务.但计划中将建设一套PKI基础设施平台，该平台中既包括了信安世纪数字签名服务器系统.如国联人寿计划使用信安世纪签名服务器对该平台进行替换，需完成以下两方面工作：1> 将北京CA所提供的数字证书导出，移入信安世纪签名服务器平台（也可等待当前北京CA签名服务器中数字证书到期后，又信安世纪平台进行重新生成CSR请求即可，这样就无需导入当前证书）；2> 重新部署API接口，使用信安世纪API接口替换北京CA接口，并调用信安世纪PDF签名方法即可.5.1.3. 方案优势⏹可支持用户在线或离线两种认证方式；⏹支持HTML和PDF两种方式的电子保单形式；⏹可根据需求定制电子图章，电子图章可直观的显示；⏹签名验签服务器可安全保存证书私钥；⏹可负载均衡或HA部署，实现系统高可用性；⏹每秒3000笔以上的高性能.5.1.4. 方案投入产品名称功能数量NetSign3300 签名/验签3（2生产，1开发）说明1：上述报价并不包含国联人寿所需的从国内第三方CA（如北京CA）获取的标示国联人寿企业身份的数字签名证书价格.说明2：本方案中报价均按照每一个系统所使用的产品进行报价，实际上，信安世纪产品均支持多服务，即一套产品均可以为多个系统使用(在网络以及安全策略允许的前提下).如签名服务器，一套签名服务器即可为电子保单使用，也可为网上商城所使用.5.2网上商城系统通信报文在网络中以密文形式传输，加密算法必须获得国密委的认同.7.2.1.2.完整性保证收到的数据与发送的数据完全一致.7.2.1.3.有效性通信报文不能被篡改或泄露7.2.1.4.不可否认性具备数字签名/验证签名功能，能为通信双方提供关键数据的不可否认性.7.2.1.5.安全审计能提供完善的审计功能，包括访问的时间、访问者身份、访问的资源、访问者的IP 地址等信息.具备行为日志的记录功能.7.2.1.6.高可靠性和高稳定性⏹具备并发处理的能力.⏹具备抗网络攻击的能力.⏹采用多级权限管理，实现权限分割，确保数据的安全.⏹可以满足客户7*24不间断工作的需求.5.2.2. 实现方式以B/S 结构为基本应用框架● 采用数字证书作为用户身份认证凭证● 以数字证书为基础实现应用安全● 以SSL 实现加密传输和身份认证● 以数字签名实现抗抵赖和防篡改● 保证在互联网上通信数据安全5.2.3.方案架构CRLCA防火墙防火墙保险应用服务器LDAP 服务器C R L C R L 浏览器NSAE NetSign NetOpti服务器负载均衡联通电信移动手机短信NetOpti 链路负载均衡 5.2.4. 功能分析1) 采用信安世纪NetCertCA 系统为网上商城建立认证中心系统（CA ），该系统可为网上银行用户签发数字证书.2) 数字证书的签发管理通过网上商城用户注册系统（RA ）实现，RA 系统以加密方式连接到CA 系统，实现证书的申请、签发、作废、更新等操作.3) 考虑到用户的使用便利性以及成本，建议采用文件证书的方式.4) 对于入站的请求，采用信安世纪NetOpit-LT 实现链路负载能力，以及基于用户所属ISP 的智能DNS 解析，实现链路高可靠性，乃至未来的全局负载能力.5) 信安世纪NSAE-NB作为网上商城系统的安全门户，NSAE实现与客户端IE浏览器的SSL加密通讯，并对用户数字证书进行验证.并且NSAE与后台系统通过J2EE证书处理机制联动，NSAE验证过的证书信息可直接为后台应用系统利用，实现应用系统中对用户身份的确认.6) 在应用服务器区，考虑到应用服务器作为系统的关键资源节点，采用信安世纪NetOpti ADN系统对服务器进行负载的同时，提高高可靠性.7) 信安世纪数字签名系统NetSign作为网上商城交易确认和事后审计的保证.5.2.5. 业务实现流程1)客户根据需求使用浏览器访问网上商城不同业务的域名或服务.2)用户产生DNS解析请求，最终会命中信安世纪NetOpti-NL设备，NetOpti-NL设备根据用户所属ISP，返回网上商城对应资源的公网IP地址，实现域名解析，快速入站的能力.同时，实现多链路冗余.3)用户完成请求后，访问至信安世纪NSAE-NB设备，实现SSL卸载：⏹用户可以采用单向SSL加密的手段，实现对银行域名服务的校验.⏹用户也可以采用双向SSL加密的手段，不但实现了对银行域名服务的校验、而且银行通过SSL加速设备还能校验客户端证书的有效性.4)NSAE-NB设备为All-in-One设备，在本项目中同时提供SSL与负载均衡功能，SSL加速设备通过对SSL的数据分析之后，将访问流量发送给负载均衡模块，负载均衡模块按照不同的应用类型(服务端口)或者访问路径(URL)等信息，并且根据不同的算法，将流量智能的分配到不同的后台Web服务器上，由Web服务器响应静态资源的请求，并将动态资源的请求转发到后台APP负载均衡设备上.5)APP负载均衡设备根据预定的算法将相应的请求命中至指定的APP服务器.同时，实施对服务器进行健康检查，当探测到任何一个服务器出现异常时，则在毫秒级时间片内将后续流量引导至正常工作的服务器上，确保其应用故障不影响使用者，从而隔离故障域.6)在一些涉及到用户资金的交易过程中，客户需要通过ActiveX控件将交易的信息进行数字签名，并将这些签名信息通过SSL加密隧道一层一层的传输到应用服务器上，应用服务器通过API的调用和签名服务器进行交互，由签名服务器判断签名数据在经过网络传输过程中是否经过恶意篡改，以及实现抗抵赖性5.2.6. 方案优势⏹高可用性对于链路而言，当一条链路失效时，信安世纪全局负载均衡系统可瞬时感知链路通断状态，并且屏蔽该链路对应的公网DNS地址，引导后续流量从正常ISP线路入站，对用户屏蔽线路故障.对于应用而言当系统的某个节点出现关机、宕机、重启或者网卡载波丢失（连接断开）时，所有的流量就会被立即转到另一台热备设备上.保证了整个系统的正常运行.⏹兼容性数字签名控件有良好的兼容性，能支持到主流浏览器，保证在多样化的客户端浏览器的正常使用.支持所有标准的Java应用服务器，包括Weblogic.⏹稳定性SSL加速设备提供能会话保持策略，保证每次会话指向固定应用服务器⏹安全性通过双向HTTPS协议认证客户端与服务端，通讯双方的身份得到认证，通讯内容的私密性得到保障.独立的CRL文件下载服务，保证应用系统运行的连续性和安全级别.⏹高性能信安世纪CA系统，SSL系统均为高性能系统，支撑了国内如工商银行总行、农业银行总行网银系统上千万用户规模的使用.另一方面，在本项目中，通过在关键节点部署负载均衡系统，将应用的A/S（Active/Standby）架构升级至A/A架构，按照双节点部署的典型应用下，系统容量理论值增加一倍.⏹可维护性基于Web和命令行的服务带来高可维护性.强大的审计功能保证了对用户的操作进行审计记录，并且可以按照管理员要求进行特殊的行为日志记录.⏹可扩展性SSL设备上需支持部署多个ssl证书并接入多个域名,保证了不同客户的不同SSL 加密入口.同时，采用负载均衡设计的架构下，当未来应用出现瓶颈时，仅需增加应用服务器资源即可，无需调整网络架构，实现模块化部署，极大的简化了应用系统投产的时间与复杂度.5.2.7. 方案投入产品名称功能数量说明NetSign3300 签名/验签3（2生产，1开发）NetOpti2200-LT 链路负载 2NSAE2500-NB SSL+服务器负载3（2生产，1开发）NetOpti2200-NL 服务器负载 2NetSign3300 签名服务器3（2生产，1开发）PC客户端签名控件Chrom 客户端签名标准版仅支持IEPC客户端签名控件FireFox 客户端签名标准版仅支持IE说明1：上述报价并不包含国联人寿所需的国际第三方证书（如Versign）价格，需国联人寿自行提供第三方的SSL服务器站点证书.说明2：本方案中均按照每一个系统所使用的产品，实际上，信安世纪产品均支持多服务，即一套产品均可以为多个系统使用(在网络以及安全策略允许的前提下).如签名服务器，一套签名服务器即可为电子保单使用，也可为网上商城所使用.5.3OA系统说明：对于内网的应用而言，可以通过NetCertCA系统所颁发的数字证书与微软的AD域控进行集成，在用户登录AD域控时，通过数字证书进行验证，从而实现身份认证.也可以与单点登陆系统进行对接，用户在登陆单点登陆系统时，需要出示数字证书，通过验证后才可登陆单点登陆系统.或者单独与OA系统进行对接，完成身份认证，数据加密，数据完整性校验等.无论与AD、单点登陆、还是单独与OA系统进行集成，其实现原理基本相同，本文仅描述与OA系统对接过程.7.2.1.7. CA 系统 ⏹ 同步OA 系统人员的相关的信息.⏹ 提供数字证书的申请、作废、更新和查询等相关操作.⏹ 证书申请和证书更新实现一步操作，成功后将数字证书发送到人员邮箱中，由用户自行下载安装数字证书.⏹ 证书作废实现一步操作，成功后删除该员工信息.⏹ 提供数字证书查询功能，查询RA 数据库中已有的员工相关信息.⏹ 提供日志查询功能，对操作RA 的操作员所做的功能操作都要有日志记录；同时提供日志查询界面⏹ 需要将RA 应用系统集成在国联金融OA 系统中，并且由国联金融OA 系统的管理员来操作数字证书管理的相关操作；同时，保证其访问RA 应用系统的安全性. ⏹ 提供OA 系统用户自主更新和账户关闭接口，完成用户自主更新和账户关闭操作.7.2.1.8. 其他⏹ 通过技术手段实现数据传输时的机密性； ⏹ 通过技术手段时间数据传输过程中的完整性； ⏹ 通过技术手段时间操作者对所做操作的抗抵赖性；5.3.2. 系统概述国联金融自建CA ， RA 应用系统集成于国联金融OA 系统中，由OA 系统的管理员来管理和操作数字证书的申请、更新和作废，以及证书和日志查询操作；同时，RA 应用系统提供OA 系统用户自主更新证书和关闭账户的接口，以完成用户证书的更新和账户关闭的操作.同时，依托于PKI 技术，实现数据传输时的机密性以及完整性和抗抵赖性.5.3.3. 系统架构5.3.3.1.整体架构图⏹通过NSAE-NB设备，一方面构建基于SSL的安全通道，确保使用者使用OA时的机密性；同时，通过NSAE-NB的负载均衡功能，可以完成对OA系统的高可靠性保障；⏹通过NetCertCA系统为用户颁发数字证书；⏹通过数字签名系统完成数字签名，实现完整性以及抗抵赖性.由于本方案中，NetCertCA与OA系统集成要求较为紧密，下文主要描述NetCertCA系统：5.3.3.2. NetCert CA 系统架构如下图所示：证书认证机构服务器（CA Server ）证书注册机构服务器（RA Server ）与OA 系统部署在同一服务器证书认证机构数据库(私有信息)证书认证机构管理终端 （CA Admin ）证书管理系统由信安世纪公司负责开发和实施，通过自建CA 颁发行内员工数字证书，数字证书用于行内OA 系统的登陆凭证.系统管理员通过证书管理系统为行内每位员工申请证书，证书会自动发送到员工行内邮箱，员工安装所申请的证书即可完成OA 系统登陆.员工还可通过证书管理系统来进行证书的作废、更新等证书管理操作.5.3.4. 流程介绍5.3.4.1. 数字管理流程证书申请流程：输入员工ID 、姓名和选择部门通过OA 提供的视图和输入的查询条件获取员工信息数字证书发送到员工邮箱获取员工信息成功成功成功显示错误信息失败员工信息确认失败显示错误信息证书申请失败显示错误信息RA 管理员登录结束在国联金融OA 系统中，由OA 系统管理员登陆RA 系统，选择证书申请操作，输入员工编号、员工姓名以及选择部门等查询条件，通过OA 系统提供的视图查询得到员工的信息（员工编号、员工姓名、部门编号、部门名称和邮件地址）；确认员工信息后，进行证书申请操作，证书申请成功，则将数字证书发送到员工的邮箱中；如果证书申请失败，系统能够给出错误提示和要求信息.提供 对OA 系统新增加未申请证书人员查询功能，以及非正常操作导致的信息已确认但没有申请证书的查询功能.证书更新流程：输入员工ID 、姓名和选择部门根据所输入的查询条件获取员工的证书信息数字证书发送到员工邮箱获取证书信息成功成功显示错误信息失败证书更新失败显示错误信息RA 管理员登录结束在国联金融OA 系统中，由OA 系统管理员登陆RA 系统，选择证书更新操作，输入员工编号、员工姓名、证书的起止日期以及选择部门等查询条件，查询得到员工证书的信息（员工编号、员工姓名、部门名称和邮件地址）；确认员工信息后，进行证书更新操作，证书更新成功，则将数字证书发送到员工的邮箱中；如果证书更新失败，系统能够给出错误提示和要求提示信息. 提供人员证书30即将到期提醒和查询以及以日期（天）查询即将到期的人员证书.证书作废流程：输入员工ID、姓名和选择部门根据所输入的查询条件获取员工的证书信息获取证书信息成功成功显示错误信息失败证书作废失败显示错误信息RA管理员登录结束在国联金融OA系统中，由OA系统管理员登陆RA系统，选择证书作废操作，输入员工编号、员工姓名以及选择部门（OA系统提供部门信息的下拉列表框）等查询条件，查询得到员工证书的信息（员工编号、员工姓名、部门名称和邮件地址）；确认员工信息后，进行证书作废操作，证书作废成功，返回成功信息；如果证书作废失败，系统能够给出错误提示和要求提示信息.5.3.4.2.应用系统使用流程1)客户根据需求使用浏览器访问OA系统；2)用户完成请求后，访问至信安世纪NSAE-NB设备，实现SSL卸载，由于在内网使用，使用环境较为安全，建议采用单向SSL即可.3)NSAE-NB设备为All-in-One设备，在本项目中同时提供SSL与负载均衡功能，SSL加速设备通过对SSL的数据分析之后，将访问流量发送给负载均衡模块，负载均衡模块按照不同的应用类型(服务端口)或者访问路径(URL)等信息，并且根据不同的算法，将流量智能的分配到不同的后台OA服务器上.4)在一些涉及到领导审批等重要操作环节，客户需要通过ActiveX控件将交易的信息进行数字签名，并将这些签名信息通过SSL加密隧道一层一层的传输到应用服务器上，应用服务器通过API的调用和签名服务器进行交互，由签名服务器进行验签操作，完成后交给应用存档，以实操作者对签名操作的抗抵赖性.5.3.5. 方案优势⏹完善的数字证书管理功能：提供数字证书的申请、下载、更新、冻结、解冻、作废等功能，为数字证书提供完善的生命周期管理支持.⏹丰富的数字证书应用类型：产品自带签名证书、加密证书、SSL 站点证书等多种数字证书模板，用户还可以通过证书模板管理功能灵活配置各种算法、用途和格式的数字证书.⏹与管理方式高度融合的特性：基于RADS 开发组件定制开发的RA 系统可实现与证书管理和用户管理的高度融合.⏹安全的软件设计：系统采用安全的结构设计，各模块之间通讯使用独立的安全传输通道.在权限管理方面采取分权制衡的设计思路.⏹大规模应用实践检验：目前世界上发证数量最大的两大CA 系统，中国工商银行和中国农业银行CA 系统均采用的NetCert 产品系列，实践经验的积累使得NetCert 的稳定性和兼容性非常优秀.。