香港上市IT审计培训.

第四十七页，共83页。
提高可用性 - 最正确(zhèngquè)实务
Internet
T1
T1
HSR P
Firew alls HA CM P
Web Ser vers
Applicatin Server
SNA
第四十八页，共83页。
IBM S/370
数据备份
• 反省企业能否(nénɡ fǒu)恰外地中止了备份 • 增量备份，保管上次增量备份后更新的一切文件 • 全部备份，保管一切数据
第二十八页，共83页。
信息技术平安(píng ān)政策
信息技术政策框架:
1. 概述
2. 平安机构
3. 数据/信息技术设备的分类(fēn lèi)和控制
4. 人员平安
5. 物理访问控制
6. 逻辑访问控制
7. 计算机管理
8. 系统开发和控制
9. 紧急事故和灾祸恢复
第二十九页，共83页。
可管理性 - 组织(zǔzhī)架构 管理
• 暂时断电 为时数分钟、几个小时或甚至几天的外部电源缺陷 (发电 机)
第四十六页，共83页。
提高(tí gāo)可用性- 最正确实务
• 为消费效力器预备实时后备效力器 • 一切硬件设备冗余，消弭单点失败 • 为网上证券买卖系统树立灾难后备地点，并放在不同于原地址
的中央 • RAID 磁盘及镜像 • 装置负载平衡设备 • 对网络设备执行24小时(xiǎoshí)可用性监测流程 • 原址和灾祸后备地址中均装置电源维护系统、UPS和消防系统
事故报告应包括: 事情 时间段 设备 效果(xiàoguǒ)缘由 影响 后续措施 结果和建议
第三十九页，共83页。
可用性
第四十页，共83页。

（米高嘉道理先生之替任董事） 馬世民先生 柯清輝先生 黃頌顯先生
（亦為馬世民先生之替任董事）
•
第八页，共四十七页。
董事 個人資料 (dǒngshì)
• 李嘉誠，大紫荊勳章、英帝國 KBE 爵級司令勳銜、 巴拿馬 國 Grand Officer of the Order Vasco Nunez de Balboa 勳銜、比利時國 Commandeur de l'Ordre de Leopold 勳銜、法國榮譽軍團司令 勳銜、太平紳士，七十七歲，自一九七九年出任公 司執行董事，並自一九八一年出任公司主席。他同 時是公司薪酬委員會之主席。李先生是長江實業 （集團）有限公司（「長實」）的創辦人及主 席；根據證券及期貨條例（「證券及期貨條 例」）第 XV 部，長實為本公司的主要股東。 李先生在本港從事商業發展超過五十年。李先 生曾獲國家委任為香港特別行政區基本法起草 委員會委員、港事顧問及香港特別行政區籌備 委員會委員。他並為國內外多個城市之榮譽市 民(shìmín)。李先生積極參與社會服務，曾出任 多個社團的名譽會長。李先生獲北京大學、香 港大學、香港科技大學、香港中文大學、香港 城市大學、香港公開大學、加拿大卡加里大學 及英國劍橋大學頒授名譽博士學位。李嘉誠先 生為副主席李澤鉅先生之父親及執行董事甘慶 林先生之襟兄。
7.00% 6.00% 5.00% 4.00% 3.00% 2.00% 1.00% 0.00%
2000年 2001年 2002年 2003年 2004年
资产报酬率
第三十页，共四十七页。
• 资产报酬率主要是用来衡量企业利用资 产来获取利润的能力。据网上新闻报道， 该企业在2000年10月24日在法国(fǎ 购 ɡuó) 买3G牌照，进行了巨额投资，故之后几 年用于周转的资金大大减少，获得的净 利润锐减，导致资产报酬率减少。

密码管理
检查公司是否建立密码管 理制度，应用层、数据库 、操作系统层面的密码策 略设置（密码长度、复杂 度、有效期等）是否合理 。
特殊人员权限
检查系统管理员、高管人员授 权是否合理，权限是否过大； 获取操作日志，检查系统管理 员、高管人员有无越权操作的 情况
1、一般控制测试（ITGC） （3）信息系统开发、测试和维护
定时任务管理
检查公司定时任务是否经过 适当审批，是否定期检查定 时任务执行情况
系统备份
检查信息部是否定期将系统 数据进行备份。
事件上报
检查是否建立事件和问题上 报、解决及记录机制。
2、应用控制测试（ITAC）
（1）对系统各业务流程执行穿行测试 ，验证业务的真实性
（2）获取各系统间数据传输的内容、 日志，验证数据传输的准确性、可靠性 ；获取测试账号，使用测试账号验证数 据传输的准确性、可靠性。
机房管理
检查公司是否建立机房管理 制度，是否使用灭火器、监 控、门禁等物理安全设施， 是否加强巡检及限制人员访 问。
系统账号管理
检查公司是否建立账号管理制 度，账号权限开通、变更是否 经过适当审批，系统账号的权 限是否定期进行清查。
离职人员账号
检查离职人员是否仍拥 有权限；获取系统操作 日志，检查离职人员在 系统操作是否合规。
• （二）审计期间： • 2018年1月1日-2020年12月31日 • （三）审计组成员构成： • 一个项目经理，三个审计师（其中一人为大学实习生），一人负
责ITGC、一人负责ITAC • （四）编制资料清单及获取相关资料： • 事务所根据审计程序需要的资料，向被审计单位发送资料清单。 • 另外，ITAC（应用控制测试）需要信息部配合导出三年数据文件

７３０商定程序报告
７３０商定程序报告的特殊考虑事项（续） ：
４、非标准无保留审计意见对初步业绩公告的影响
主板及创业板上市规则要求，如果上市公司年度财务报 表的审计报告很可能将带保留意见或强调事项段（不论 是否同时很可能将带有保留意见），初步业绩公告须说 明保留意见或说明段的细节。 当导致审计师出具保留意见或强调事项段的事项的细节 内容对完整理解公司财务状况或审计报告是非常关键时， 除非该类重大事项在年度业绩初步公告中得到充分披露， 否则审计师不应同意年度初步业绩公告。
７４０审阅程序报告
７４０审阅程序： 审阅程序主要包括审阅程序包括查询、分析性程序和其 他程序（续）
１、向管理层询问（续）
• • • • •
企业的关连人士及其身份以及所有关连关系和交易 持续关连交易是否已获得上市公司的董事会批准 涉及由公司提供商品或服务的持续关连交易是否依照公 司的定价政策执行 管理持续关连交易的有关协议是否适当，并且持续关连 交易是否已经按照这些有关协议执行。是否存在与关连 交易相关的补充协议 持续关连交易是否超出先前公告披露的年度汇总数最大 值上限
７３０商定程序报告
７３０商定程序报告的特殊考虑事项（续） ： ５、如果未能与董事会就年度业绩初步公告中 的内容达成一致意见： 审计师应当向公司董事出具一份书面报告， 明确地阐述未能达成一致意见的原因，并 向公司董事提出建议：在这种情况下公布 年度业绩初步公告很可能是不恰当的。
７３０商定程序报告
７３０商定程序报告的特殊考虑事项（续） ： ６、上市公司可能在未能取得审计师同意的情况下发布年度 业绩初步公告： （１）很多原因可能导致此种情况的发生，例如公司董事无 意识的疏忽，或者公司董事明知发布的年度业绩初步公 告不能取得审计师同意。审计师应根据不同的情况针对 性地采取措施。当公司董事无意识地忽略取得审计师的 同意而直接公布年度业绩初步公告，而审计师事实同意 该年度业绩初步公告时，应提醒公司董事应遵照主板或 创业板的上市规则取得审计师同意。