当前位置：文档之家 › 应用系统IT一般性控制内部控制矩阵(制度范本、DOC格式).DOC

应用系统IT一般性控制内部控制矩阵(制度范本、DOC格式).DOC

  • 格式：doc
  • 大小：21.50 KB
  • 文档页数：13

第 1 页 共 1 页 应用系统IT一般性控制内部控制矩阵（制度范本、DOC格式）.DOC

11、4应用系统IT一般性控制内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性12345 61、程序和数据访问 1、 12、 32、4经营风险：程序和数据访问制度不健全，导致信息系统应用管理不规范、运维不及时。 1、1总部各部门、分（子）公司依据《中国石油化工股份有限公司管理信息系统应用管理办法（试行）》（以下简称《信息系统应用管理办法》），及相关应用系统管理办法实施程序和数据访问管理，包括用户权限管理、用户帐号及访问管理、密码管理、系统管理员、应用管理员、安全管理员（主要职责是承担对系统管理员、应用管理员的监管，负责审查系统管理员、应用管理员在系统中的操作）管理、第三方人员管理等。总部各部门分(子)公司5程序和数据访问管理制度 1、 第 1 页 共 1 页

10、 32、6、 42、 14、201、2 用户权限管理 1、 11、2经营风险：用户权限管理不规范，导致对系统的非法或非授权访问。 1、2、1新进员工及岗位变动人员按照用户权限相关管理办法填写用户权限审批表，经相关部门负责人审批后，由应用管理员在系统中新增、变更或锁定用户权限。总部各部门分(子)公司3用户权限审批表 1、 11、2经营风险：数据库用户权限管理不规范，导致对系统的非法或非授权访问。 1、2、2对于数据库用户权限，相关人员填写用户权限审批表，经相关部门负责人审批后，由系统管理员在数据库中新增、变更或锁定用户权限。总部各部门分(子)公司3用户权限审批表 1、3用户帐号及访问管理 1、 12、1经营风险：系统登录控制功能不健全，导致对系统的非法或非授权访问。 第 1 页 共 1 页

1、3、1操作人员访问应用系统时，必须输入用户帐号和密码。总部各部门分(子)公司2用户登录截屏 1、 11、2经营风险：账户共享，导致责任不清；系统账户审核清理不及时，导致对系统的非法或非授权访问。 1、3、2应用管理员在系统中为每个操作人员设置独立的用户帐号，不能设置共享用户帐号（查询用户帐号除外）。应用管理员至少每半年打印一次用户帐号权限清单，并由相关部门负责人审核。总部各部门分(子)公司3用户帐号清单 1、4密码管理 1、1经营风险：密码设置强度不够或更改不及时，造成系统泄密或受到非法访问 1、4、1操作人员应按照密码管理相关规定，遵循系统密码的长度至少为6位，复杂度为数字与字符的组合，三个月更改一次密码等密码规则设置密码，不得使用最近使用过的密码。应用管理员对操作人员密码定期更换记录进行检查。总部各部门分(子)公司3密码更换检查记录 1、1经营风险：系统、应用管理员密码设置强度不够或更改不及时，造成系统泄密或受到非法访问 1、4、2系统管理员、应用管理员应在系统投用前修改操作系统、数据库、应用系统的超级用户初始密码。上述密码至少三个月更换一次，安全管理员对定期更换记录进行检查。总部各部门 第 1 页 共 1 页

分(子)公司系统管理员应用管理员安全管理员3管理员更换密码记录 1、5系统管理员、应用管理员、安全管理员管理 1、 11、2经营风险：系统、应用管理员岗位设置不合理、授权不规范，导致对系统的非法或非授权访问。 1、5、1系统需配备专职或兼职系统管理员、应用管理员和安全管理员。安全管理员、系统管理员、应用管理员必须经相关部门负责人授权并遵循不相容岗位分离原则，且不得拥有应用系统的业务操作权限。相关部门负责人至少每半年对上述管理员在职情况进行审查。总部各部门分(子)公司系统管理员应用管理员安全管理员4信息系统岗位授权文档；在职情况审查记录 1、 11、2经营风险：安全管理员监督不到位，系统安全收到威胁。 1、5、2安全管理员至少每季度对系统管理员、应用管理员的操作日志或记录进行检查，提出审核意见，并报相关部门负责人。总部各部门分(子)公司系统管理员应用管理员安全管理员3操作日志或记录审核记录 1、6第三方人员管理 1、 11、 第 1 页 共 1 页

22、 12、2经营风险：第三方合作单位管理不到位，造成系统泄密或受到非法访问。 1、6、1总部各部门、分（子）公司与第三方合作单位就相关应用系统签订安全保密协议。总部各部门分(子)公司3安全保密协议 1、 11、 22、 12、2经营风险：对第三方人员用户权限管理不规范，导致对系统的非法或非授权访问。 1、6、2第三方人员需访问系统时，由申请人/经办人按照相关管理办法填写用户权限审批表(需注明使用期限和权限)，经需求部门负责人审核后提交信息管理部门（责任处（科）室）负责人审批，由应用管理员在系统中新增或变更其帐号及权限。到期后必须及时删除或锁定第三方人员的帐号。总部各部门分(子)公司3用户权限审批表 2、程序变更 1、 11、2经营风险：程序变更制度不健全，导致信息系统应用管理不规范、运维不及时。 第 1 页 共 1 页

2、1总部各部门、分（子）公司依据《信息系统应用管理办法》及相关应用系统管理办法实施系统变更管理，包括变更申请审批、变更测试和变更版本管理等。总部各部门分（子）公司4程序变更管理制度 1、 10、 32、6、 42、 14、201、 11、2经营风险：系统变更管理不规范，导致应用系统运行和维护的无法正常进行。 2、2总部统一建设的应用系统，系统变更必须填写系统变更审批表上报信息系统管理部和总部相关部门，由总部统一组织升级、测试和变更，各分（子）公司不得自行变更。各分（子）公司自建系统或客户化开发的变更，必须经过分（子）公司信息管理部门和相关部门负责人审批。总部各部门分（子）公司3系统变更申请表 1、 11、2经营风险：系统变更管理不规范，未经审批、测试，导致应用系统运行和维护的无法正常进行。 第 1 页 共 1 页

2、3变更的应用程序移植到生产系统前，相关部门必须组织人员进行系统测试和最终用户测试，测试不能在生产环境中进行。总部各部门分（子）公司3测试记录 1、 11、2经营风险：系统变更版本管理、文档管理不规范导致应用系统运行和维护的无法正常进行。 2、4信息管理部门必须对操作系统、数据库、应用系统版本变更进行管理，记录每次变更的版本号，存档变更文档和变更升级程序。总部各部门分（子）公司3变更记录 3、程序开发 1、 12、 12、2经营风险：技术方案不合理，系统功能存在问题，导致应用系统不能满足生产经营管理业务需求。 3、1新建应用系统的项目计划、可研评审、立项审批、项目实施、竣工验收等开发步骤按照《 11、1信息系统管理业务流程》执行。 总部各部门分（子）公司 1、1经营风险：系统上线前未经严格测试，系统功能存在问题，导致应用系统不能正常运行。 第 1 页 共 1 页

3、2应用系统上线前,必须由信息管理部门组织测试系统功能，形成测试报告，并经最终用户部门负责人签字确认。总部各部门分（子）公司3系统功能测试报告 3、3系统初始化管理 1、 22、 32、4合规风险：应用系统数据的收集、整理不规范，未经审核确认，导致系统存在大量垃圾数据或数据失真。 3、3、1相关部门按照数据收集模板组织人员收集、整理业务数据，并由相关部门责任人审核确认。总部各部门分（子）公司3数据收集确认单 1、 22、 32、4合规风险：导入系统的数据未经审核确认，导致系统存在大量垃圾数据或数据失真。 3、3、2相关部门组织人员对导入和补录系统的数据进行核对，并由相关部门责任人签字确认。总部各部门分（子）公司5数据导入确认单 4、系统运行 1、1经营风险：系统运行制度不健全，导致信息系统应用管理不规范、运维不及时。 第 1 页 共 1 页

4、1总部各部门、分（子）公司依据《信息系统应用管理办法》及相关应用系统管理办法实施系统运行管理，包括系统备份及恢复、系统监控、维护及故障处理等。总部各部门分(子)公司5系统运行管理制度 1、 10、 32、6、 42、 14、204、2数据备份及恢复 1、 11、 22、3经营风险：备份策略和备份方案不完善，数据备份不及时、不成功，导致系统数据丢失，系统无法恢复。 4、2、1应用管理员（系统管理员）至少每月做一次数据全备份，并检查数据备份日志，确认备份是否成功。对备份异常情况进行记录，同时检查备份数据的可读性。总部各部门分(子)公司3数据备份日志或记录 1、 11、 22、3经营风险：备份策略和备份方案不完善，应用系统程序备份不及时，导致系统无法恢复。 第 1 页 共 1 页

4、2、2系统管理员适时对系统进行备份，同时检查备份系统的可读性，确认备份是否成功。总部各部门分(子)公司3系统备份记录 1、 11、 22、3经营风险：数据库、应用系统日志备份不及时，导致系统问题无法追溯或系统无法恢复。 4、2、3系统管理员、应用管理员至少每月对数据库、应用系统的日志进行备份。总部各部门分(子)公司系统管理员应用管理员3日志备份记录 1、 11、 22、3经营风险：备份介质管理不规范，导致备份数据丢失、泄密，系统无法恢复。 4、2、4应用管理员（系统管理员）每月将备份介质与生产服务器异地存放，并由专人管理。备份介质存放要有记录，介质访问人员须经相关部门负责人授权并填写访问记录。总部各部门分(子)公司3介质存放及访问记录 1、 11、 22、3经营风险：备份数据可读性测试不及时，导致系统数据丢失，系统无法恢复。

合集下载

应用系统IT一般性控制流程

应用系统IT一般性控制流程

11.4应用系统IT一般性控制流程①一、业务目标1 经营目标1.1 保证应用系统长期稳定、安全、高效运行。

1.2 为生产经营管理提供业务支撑和及时、准确、完整的数据。

2 合规目标2.1 遵守保护知识产权的有关法律法规，使用合法软件。

2.2 信息技术合同符合合同法等股份公司制度、国家法律和法规。

2.3 应用系统数据的收集、提供、使用和转让符合国家安全、知识产权保护、合同法等法律、法规及股份公司内部规章制度的要求。

2.4 保证重要业务系统的生成报表、合并报表编制过程的真实性、完整性、可靠性符合国家规定及上市地监管机构要求。

二、业务风险1 经营风险①本流程适用于除ERP系统外的其它应用系统，包括财务管理信息系统、财务报表系统、加油卡系统及MES系统等。

1.1 技术方案不合理，系统功能存在问题，导致应用系统不能满足生产经营管理业务需求。

1.2 系统登录访问机制不健全、用户权限管理不规范等，导致对系统的非法或非授权访问。

1.3 密码设置强度不够或更改不及时，造成系统泄密或受到非法访问。

1.4 系统变更管理不规范，未经审批、测试，导致应用系统运行和维护的无法正常进行。

1.5 系统运行缺乏有效监控及维护管理，影响系统安全稳定运行。

1.6 系统问题处理不及时、不规范，不能保证系统问题得到及时有效解决。

1.7 备份策略和备份方案不完善，导致系统数据丢失，系统无法恢复。

1.8 制度不健全，导致信息系统应用管理不规范、运维不及时。

2 合规风险2.1 侵犯知识产权，导致诉讼及股份公司声誉受到损害。

2.2 应用系统数据的收集、提供、使用、转让违反国家法律法规及股份公司内部规章制度等，导致系统无法正常运行。

2.3 重要业务报表的编制不符合规定，导致股份公司声誉受到损害及受相关机构处罚。

三、业务流程步骤与控制点1 程序和数据访问1.1 总部各部门、分（子）公司依据《中国石油化工股份有限公司管理信息系统应用管理办法（试行）》（以下简称《信息系统应用管理办法》）及相关应用系统管理办法实施程序和数据访问管理，包括用户权限管理、用户帐号及访问管理、密码管理、系统管理员、应用管理员、安全管理员（主要职责是承担对系统管理员、应用管理员的监管，负责审查系统管理员、应用管理员在系统中的操作）管理、第三方人员管理等。

内部控制制度范本

内部控制制度范本

内部控制制度范本一、引言随着企业的发展壮大，内部控制制度对于企业的经营管理变得至关重要。

一个完善的内部控制制度可以帮助企业提高经营效率，减少风险，保护企业的利益。

本文将为您提供一个内部控制制度的范本，旨在帮助企业建立自己的内部控制制度并进行优化。

二、目标与职责1. 目标：内部控制制度的目标是确保企业活动的合规性、准确性，并保护企业的资产和财务利益。

2. 职责：内部控制制度涉及以下职责：(1) 管理层应制定和维护内部控制政策和程序。

(2) 部门负责人应确保所属部门内部控制的有效实施。

(3) 内部审计部门负责评估内部控制制度的有效性，并提出改进建议。

(4) 所有员工都有义务遵守内部控制制度，并及时报告任何违规行为。

三、内部控制制度的要素内部控制制度包括以下要素：1. 控制环境：(1) 管理层的诚信和道德操守。

(2) 管理层对内部控制的重视程度。

(3) 管理层的风险意识和风险承受能力。

2. 风险评估：(1) 识别可能对企业造成威胁的风险。

(2) 评估每个风险的影响程度和可能性。

(3) 制定相应的控制措施以降低风险。

3. 控制活动：(1) 确保财务报告的准确性和可靠性。

(2) 保护企业的资产。

4. 信息与通信：(1) 确保信息的及时、准确、完整性。

(2) 建立有效的内部沟通渠道。

5. 持续监督：(1) 监督内部控制制度的有效性。

(2) 及时发现和纠正问题。

四、内部控制制度的流程1. 评估风险：针对企业的特点和活动进行风险评估，包括内部和外部因素。

评估完成后，确定风险的优先级。

2. 设计控制措施：根据评估的风险，设计相应的控制措施。

措施应该明确、可操作、有效，并符合法规要求。

3. 实施控制措施：管理层应确保控制措施得到全面执行，培训员工意识到控制措施的重要性，并及时解决任何潜在问题。

4. 监督和检查：内部审计部门应定期评估内部控制制度的有效性，发现问题并提出改进建议。

同时，管理层也应监督员工的遵守情况，并及时改进措施。

信息系统管理业务内部控制矩阵

信息系统管理业务内部控制矩阵

1信息系统管理业务内部控制矩阵11、1信息系统管理业务内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性1234561、IT整体层面管理1、1经营风险：信息化管理体系不完善，信息化领导小组或ERP指导委员会设置不健全，信息管理部门职责不落实，导致信息化工作受损。

1、1股份公司建立完善的信息化管理体系，设立ERP指导委员会，设立信息系统管理部负责股份公司信息化归口管理工作；各分（子）公司设立信息化领导小组或ERP指导委员会，定期召开会议，听取、总结和指导本单位信息化工作，设立信息管理部门负责本单位信息化管理工作，对信息系统和信息资源行使管理职责。

总部分（子）公司6ERP指导委员会或信息化领导小组成立文件；会议纪要信息管理部门职责文件1、10、51、12、2经营风险：信息化建设中长期规划不符合股份公司经营战略目标，导致盲目建设、投资低效。

1、2根据股份公司发展战略目标和核心业务，结合信息技术发展和股份公司实际，信息系统管理部负责组织编制股份公司信息化建设中长期规划，在充分征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修改，经信息系统管理部主任审核，按规定权限审批后，纳入股份公司中长期发展规划。

信息系统管理部5股份公司信息化建设中长期规划1、10、51、3教育和培训1、1经营风险：信息化培训缺乏，导致信息系统效能低下、信息化管理水平不高、信息化技能缺失。

1、3、1各级信息管理部门负责编制年度信息化培训计划，经部门负责人审批后，纳入人事部门年度培训计划,并组织落实。

信息系统管理部分（子）公司2年度培训计划1、10、51、1经营风险：信息安全教育不足，导致员工信息安全意识薄弱。

1、3、2各级信息管理部门配合人事部门开展全员信息安全教育和培训，并在信息门户或内部网站发布安全教育培训材料。

内部控制制度范文（五篇）

内部控制制度范文（五篇）

内部控制制度范文第一章总则一、为了确保本单位各项资产的安全有效使用、资金的安全运行，提高资金的使用效率，保障本单位财务会计管理的合法合规，财务报告及相关信息真实完整，根据《____会计法》、《财政违法行为处罚处分条例》、《会计基础工作规范》现制定芦葭镇卫生院财务管理制度第二章内部控制制度二、财务机构工作职责1、认真贯彻执行《会计法》，维护财经纪律，加强财务管理，搞好会计核算。

2、管理本部门、本单位经费以及其他有关专项业务经费，制定本部门的财务管理办法和实施细则，并____实施。

编报部门预算，____核定年度预算，做好相关资金的综合统筹平衡工作。

3、按照《会计法》的要求，认真做好记账、算账，做到手续完备、内容真实、数字准确、账目清楚；日清月结，按期报账。

4、按照有关财务制度规定，严格执行财务计划和预算，节约开支，考核资金使用效果，充分利用财务数据，客观、真实地对预算执行情况、财务报表数据进行分析，及时为领导提供准确数据。

5、负责债权、债务工作，加强固定资产管理，维护单位财产的安全、完整。

6、按照会计档案管理制度，负责记账凭证、账簿、报表等会计资料的立卷、建档工作。

7、负责本单位票据的领购、分发、缴销等工作。

8、负责本单位所属各科室经费申请报告和政府采购手续的____、监督和呈报工作。

9、____本单位财务人员，学习国家财政法规制度和现代化财务管理。

10、接受并配合审计、财政、税务等部门的监督检查。

第三章现金、银行存款和印章管理制度一、现金管理制度1、管理原则。

严格审核、手续齐备，当面点清、坚持复核，加盖戳记、编证入账，账账核对、日清日结，查核限额、及时存取，严禁“白条”、不得坐支，禁止违规大额提现，严防挪用、确保安全。

2、开支范围：(1)职工工资、津贴；(2)个人劳务报酬；(3)根据国家规定颁发给个人的各项奖金；(4)各种劳保、福利费用以及对个人的其他支出；(5)出差人员必须随身携带的差旅费；(6)结算起点以下的零星支出；3、定期盘点现金，做到账实相符。