信息系統(tǒng)內控設計要點

信息系統(tǒng)內控設計要點信息系統(tǒng)的開發(fā)方式有自行開發(fā)、外購調試、業(yè)務外包等多種方式，但基本流程大體相似，通常包含項目計劃、需求分析、系統(tǒng)設計、編程和測試、上線等環(huán)節(jié)。一、主要環(huán)節(jié)設計要點1．項目計劃環(huán)節(jié)戰(zhàn)略規(guī)劃通常將完整的信息系統(tǒng)分成若干子系統(tǒng)，并分階段建設不同的子系統(tǒng)。比如，制造企業(yè)可以將信息系統(tǒng)劃分為財務管理系統(tǒng)、人力資源管理系統(tǒng)、MRP系統(tǒng)（銷售、采購、庫存、生產）、計算機輔助設計和制造系統(tǒng)、客戶關系系統(tǒng)、電子商務系統(tǒng)等若干子系統(tǒng)。項目就是指本階段需要建設的相對獨立的一個或多個子系統(tǒng)。項目計劃通常包括項目范圍說明、項目進度計劃、項目質量計劃、項目資源計劃、項目溝通計劃、風險對策計劃、項目采購計劃、需求變更控制、配置管理計劃等內容。項目計劃不是完全靜止、一成不變的，在項目啟動階段，可以先制定一個較為原則的項目計劃，確定項目主要內容和重大事項，然后根據(jù)項目的大小和性質以及項目進展情況進行調整、充實和完善。項目計劃環(huán)節(jié)的主要風險是：信息系統(tǒng)建設缺乏項目計劃或者計劃不當，導致項目進度滯后、費用超支、質量低下。A企業(yè)應當根據(jù)信息系統(tǒng)建設整體規(guī)劃提出分階段項目的建設方案，明確建設目標、人員配備、職責分工、經費保障和進度安排等相關內容，按照規(guī)定的權限和程序審批后實施。B企業(yè)可以采用標準的項目管理軟件（比如OfficeProject）制定項目計劃，并加以跟蹤。在關鍵環(huán)節(jié)進行階段性評審，以保證過程可控。C項目關鍵環(huán)節(jié)編制的文檔應參照《GB8567－88計算機軟件產品開發(fā)文件編制指南》等相關國家標準和行業(yè)標準進行，以提高項目計劃編制水平。2．需求分析環(huán)節(jié)需求分析的目的是明確信息系統(tǒng)需要實現(xiàn)哪些功能。該項工作是系統(tǒng)分析人員和用戶單位的管理人員、業(yè)務人員在深入調查的基礎上，詳細描述業(yè)務活動涉及的各項工作以及用戶的各種需求，從而建立未來目標系統(tǒng)的邏輯模型。A信息系統(tǒng)歸口管理部門應當組織企業(yè)內部各有關部門提出開發(fā)需求，加強系統(tǒng)分析人員和有關部門的管理人員、業(yè)務人員的交流，經綜合分析提煉后形成合理的需求。C應使用版本控制軟件系統(tǒng)（例如CVS），保證所有開發(fā)人員基于相同的組件環(huán)境開展項目工作，協(xié)調開發(fā)人員對程序的修改。D應區(qū)分單元測試、組裝測試（集成測試）、系統(tǒng)測試、驗收測試等不同測試類型，建立嚴格的測試工作流程，提高最終用戶在測試工作中的參與程度，改進測試用例的編寫質量，加強測試分析，盡量采用自動測試工具提高測試工作的質量和效率。具備條件的企業(yè)，應當組織獨立于開發(fā)建設項目組的專業(yè)機構對開發(fā)完成的信息系統(tǒng)進行驗收測試，確保在功能、性能、控制要求和安全性等方面符合開發(fā)需求。5．上線環(huán)節(jié)系統(tǒng)上線是將開發(fā)出的系統(tǒng)（可執(zhí)行的程序和關聯(lián)的數(shù)據(jù)）部署到實際運行的計算機環(huán)境中，使信息系統(tǒng)按照既定的用戶需求來運轉，切實發(fā)揮信息系統(tǒng)的作用。這一環(huán)節(jié)的主要風險是：第一，缺乏完整可行的上線計劃，導致系統(tǒng)上線混亂無序。第二，人員培訓不足，不能正確使用系統(tǒng)，導致業(yè)務處理錯誤，或者未能充分利用系統(tǒng)功能，導致開發(fā)成本浪費。第三，初始數(shù)據(jù)準備設置不合格，導致新舊系統(tǒng)數(shù)據(jù)不一致、業(yè)務處理錯誤。A企業(yè)應當制定信息系統(tǒng)上線計劃，并經歸口管理部門和用戶部門審核批準。上線計劃一般包括人員培訓、數(shù)據(jù)準備、進度安排、應急預案等內容。B系統(tǒng)上線涉及新舊系統(tǒng)切換的，企業(yè)應當在上線計劃中明確應急預案，保證新系統(tǒng)失效時能夠順利切換回舊系統(tǒng)。C系統(tǒng)上線涉及數(shù)據(jù)遷移的，企業(yè)應當制定詳細的數(shù)據(jù)遷移計劃，并對遷移結果進行測試。用戶部門應當參與數(shù)據(jù)遷移過程，對遷移前后的數(shù)據(jù)予以書面確認。二、其他開發(fā)方式的關鍵控制點和主要控制措施（設計要點）下面介紹其他開發(fā)方式（業(yè)務外包、外購調試）的關鍵控制點和主要控制措施。在業(yè)務外包、外購調試方式下，企業(yè)對系統(tǒng)設計、編程、測試環(huán)節(jié)的參與程度明顯低于自行開發(fā)方式，因此可以適當簡化相應的風險控制措施，但同時也因開發(fā)方式的差異產生一些新的風險，需要采取有針對性的控制措施。1．業(yè)務外包方式的關鍵控制點和主要控制措施（1）選擇外包服務商這一環(huán)節(jié)的主要風險是：由于企業(yè)與外包服務商之間本質上是一種委托—代理關系，合作雙方的信息不對稱容易誘發(fā)道德風險，外包服務商可能會實施損害企業(yè)利益的自利行為，如偷工減料、放松管理、信息泄密等。主要控制措施：第一，企業(yè)在選擇外包服務商時要充分考慮服務商的市場信譽、資質條件、財務狀況、服務能力、對本企業(yè)業(yè)務的熟悉程度、既往承包服務成功案例等因素，對外包服務商進行嚴格篩選。第二，企業(yè)可以借助外包業(yè)界基準來判斷外包服務商的綜合實力。第三，企業(yè)要嚴格外包服務審批及管控流程，對信息系統(tǒng)外包業(yè)務，原則上應采用公開招標等形式選擇外包服務商，并實行集體決策審批。（2）簽訂外包合同這一環(huán)節(jié)的主要風險是：由于合同條款不準確、不完善，可能導致企業(yè)的正當權益無法得到有效保障。主要控制措施：第一，企業(yè)在與外包服務商簽約之前，應針對外包可能出現(xiàn)的各種風險損失，恰當擬定合同條款，對涉及的工作目標、合作范疇、責任劃分、所有權歸屬、付款方式、違約賠償及合約期限等問題做出詳細說明，并由法律部門或法律顧問審查把關。第二，開發(fā)過程中涉及商業(yè)秘密、敏感數(shù)據(jù)的，企業(yè)應當與外包服務商簽訂詳細的“保密協(xié)定”，以保證數(shù)據(jù)安全。第三，在合同中約定付款事宜時，應當選擇分期付款方式，尾款應當在系統(tǒng)運行一段時間并經評估驗收后再支付。第四，應在合同條款中明確要求外包服務商保持專業(yè)技術服務團隊的穩(wěn)定性。（3）持續(xù)跟蹤評價外包服務商的服務過程這一環(huán)節(jié)的主要風險是：企業(yè)缺乏外包服務跟蹤評價機制或跟蹤評價不到位，可能導致外包服務質量水平不能滿足企業(yè)信息系統(tǒng)開發(fā)需求。主要控制措施：第一，企業(yè)應當規(guī)范外包服務評價工作流程，明確相關部門的職責權限，建立外包服務質量考核評價指標體系，定期對外包服務商進行考評，并公布服務周期的評估結果，實現(xiàn)外包服務水平的跟蹤評價。第二，必要時，可以引入監(jiān)理機制，降低外包服務風險。2．外購調試方式的關鍵控制點和主要控制措施在外購調試方式下，一方面，企業(yè)面臨與委托開發(fā)方式類似的問題，企業(yè)要選擇軟件產品的供應商和服務供應商、簽訂合約、跟蹤服務質量，因此，企業(yè)可采用與委托開發(fā)方式類似的控制措施；另一方面，外購調試方式也有其特殊之處，企業(yè)需要有針對性的強化某些控制措施。（1）軟件產品選型和供應商選擇在外購調試方式下，軟件供應商的選擇和軟件產品的選型是密切相關的。這一環(huán)節(jié)的主要風險是：第一，軟件產品選型不當，產品在功能、性能、易用性等方面無法滿足企業(yè)需求。第二，軟件供應商選擇不當，產品的支持服務能力不足，產品的后續(xù)升級缺乏保障。主要控制措施：第一，企業(yè)應明確自身需求，對比分析市場上的成熟軟件產品，合理選擇軟件產品的模塊組合和版本。第二，企業(yè)在軟件產品選型時應廣泛聽取行業(yè)專家的意見。第三，企業(yè)在選擇軟件產品和服務供應商時，不僅要評價其現(xiàn)有產品的功能、性能，還要考察其服務支持能力和后續(xù)產品的升級能力。（2）服務提供商選擇大型企業(yè)管理信息系統(tǒng)（例如ERP系統(tǒng)）的外購實施，不僅需要選擇合適的軟件供應商和軟件產品，也需要選擇合適的咨詢公司等服務提供商，指導企業(yè)將通用軟件產品與本企業(yè)的實際情況有機結合。這一環(huán)節(jié)的主要風險是：服務提供商選擇不當，削弱了外購軟件產品的功能發(fā)揮，導致無法有效滿足用戶需求。主要控制措施：在選擇服務提供商時，不僅要考核其對軟件產品的熟悉、理解程度，也要考核其是否深刻理解企業(yè)所處行業(yè)的特點、是否理解企業(yè)的個性化需求、是否有過相同或相近的成功案例。三、信息系統(tǒng)的運行與維護信息系統(tǒng)的運行與維護主要包含三方面的內容：日常運行維護、系統(tǒng)變更和安全管理。（一）日常運行維護的關鍵控制點和主要控制措施日常運行維護的目標是保證系統(tǒng)正常運轉，主要工作內容包括系統(tǒng)的日常操作、系統(tǒng)的日常巡檢和維修、系統(tǒng)運行狀態(tài)監(jiān)控、異常事件的報告和處理等。這一環(huán)節(jié)的主要風險是：第一，沒有建立規(guī)范的信息系統(tǒng)日常運行管理規(guī)范，計算機軟硬件的內在隱患易于爆發(fā)，可能導致企業(yè)信息系統(tǒng)出錯。第二，沒有執(zhí)行例行檢查，導致一些人為惡意攻擊會長期隱藏在系統(tǒng)中，可能造成嚴重損失。第三，企業(yè)信息系統(tǒng)數(shù)據(jù)未能定期備份，可能導致?lián)p壞后無法恢復，從而造成重大損失。主要控制措施：第一，企業(yè)應制定信息系統(tǒng)使用操作程序、信息管理制度以及各模塊子系統(tǒng)的具體操作規(guī)范，及時跟蹤、發(fā)現(xiàn)和解決系統(tǒng)運行中存在的問題，確保信息系統(tǒng)按照規(guī)定的程序、制度和操作規(guī)范持續(xù)穩(wěn)定運行。第二，切實做好系統(tǒng)運行記錄，尤其是對于系統(tǒng)運行不正?；驘o法運行的情況，應將異?，F(xiàn)象、發(fā)生時間和可能的原因作出詳細記錄。第三，企業(yè)要重視系統(tǒng)運行的日常維護，在硬件方面，日常維護主要包括各種設備的保養(yǎng)與安全管理、故障的診斷與排除、易耗品的更換與安裝等，這些工作應由專人負責。第四，配備專業(yè)人員負責處理信息系統(tǒng)運行中的突發(fā)事件，必要時應會同系統(tǒng)開發(fā)人員或軟硬件供應商共同解決。（二）系統(tǒng)變更的關鍵控制點和主要控制措施系統(tǒng)變更主要包括硬件的升級擴容、軟件的修改與升級等。系統(tǒng)變更是為了更好地滿足企業(yè)需求，但同時應加強對變更申請、變更成本與進度的控制。這一環(huán)節(jié)的主要風險是：第一，企業(yè)沒有建立嚴格的變更申請、審批、執(zhí)行、測試流程，導致系統(tǒng)隨意變更。第二，系統(tǒng)變更后的效果達不到預期目標。主要控制措施：第一，企業(yè)應當建立標準流程來實施和記錄系統(tǒng)變更，保證變更過程得到適當?shù)氖跈嗯c管理層的批準，并對變更進行測試。信息系統(tǒng)變更應當嚴格遵照管理流程進行操作。信息系統(tǒng)操作人員不得擅自進行軟件的刪除、修改等操作；不得擅自升級、改變軟件版本；不得擅自改變軟件系統(tǒng)的環(huán)境配置。第二，系統(tǒng)變更程序(如軟件升級)需要遵循與新系統(tǒng)開發(fā)項目同樣的驗證和測試程序，必要時還應當進行額外測試。第三，企業(yè)應加強緊急變更的控制管理。第四，企業(yè)應加強對將變更移植到生產環(huán)境中的控制管理，包括系統(tǒng)訪問授權控制、數(shù)據(jù)轉換控制、用戶培訓等。（三）安全管理的關鍵控制點和主要控制措施安全管理的目標是保障信息系統(tǒng)安全，信息系統(tǒng)安全是指信息系統(tǒng)包含的所有硬件、軟件和數(shù)據(jù)受到保護，不因偶然和惡意的原因而遭到破壞、更改和泄漏，信息系統(tǒng)能夠連續(xù)正常運行。這一環(huán)節(jié)的主要風險是：第一，硬件設備分布物理范圍廣，設備種類繁多，安全管理難度大，可能導致設備生命周期短。第二，業(yè)務部門信息安全意識薄弱，對系統(tǒng)和信息安全缺乏有效的監(jiān)管手段。少數(shù)員工可能惡意或非惡意濫用系統(tǒng)資源，造成系統(tǒng)運行效率降低。第三，對系統(tǒng)程序的缺陷或漏洞安全防護不夠，導致遭受黑客攻擊，造成信息泄露。第四，對各種計算機病毒防范清理不力，導致系統(tǒng)運行不穩(wěn)定甚至癱瘓。第五，缺乏對信息系統(tǒng)操作人員的嚴密監(jiān)控，可能導致舞弊和利用計算機犯罪。主要控制措施是：第一，建立信息系統(tǒng)相關資產的管理制度，保證電子設備的安全。硬件和網絡設備不僅是信息系統(tǒng)運行的基礎載體，也是價值昂貴的固定資產。企業(yè)應在健全設備管理制度的基礎上，建立專門的電子設備管控制度，對于關鍵信息設備（例如銀行的核心數(shù)據(jù)庫服務器），未經授權，不得接觸。第二，企業(yè)應成立專門的信息系統(tǒng)安全管理機構，由企業(yè)主要領導負總責，對企業(yè)的信息安全作出總體規(guī)劃和全方位嚴格管理，具體實施工作可由企業(yè)的信息主管部門負責。企業(yè)應強化全體員工的安全保密意識，特別要對重要崗位員工進行信息系統(tǒng)安全保密培訓，并簽署安全保密協(xié)議。企業(yè)應當建立信息系統(tǒng)安全保密制度和泄密責任追究制度。第三，企業(yè)應當按照國家相關法律法規(guī)以及信息安全技術標準，制定信息系統(tǒng)安全實施細則。根據(jù)業(yè)務性質、重要程度、涉密情況等確定信息系統(tǒng)的安全等級，建立不同等級信息的授權使用制度，采用相應技術手段保證信息系統(tǒng)運行安全有序。對于信息系統(tǒng)的使用者和不同安全等級信息之間的授權關系，應在系統(tǒng)開發(fā)建設階段就形成方案并加以設計，在軟件系統(tǒng)中預留這種對應關系的設置功能，以便根據(jù)使用者崗位職務的變遷進行調整。第四，企業(yè)應當有效利用IT技術手段，對硬件配置調整、軟件參數(shù)修改嚴加控制。例如，企業(yè)可利用操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應用系統(tǒng)提供的安全機制，設置安全參數(shù)，保證系統(tǒng)訪問安全；對于重要的計算機設備，企業(yè)應當利用技術手段防止員工擅自安裝、卸載軟件或者改變軟件系統(tǒng)配置，并定期對上述情況進行檢查。第五，企業(yè)委托專業(yè)機構進行系統(tǒng)運行與維護管理的，應當嚴格審查其資質條件、市場聲譽和信用狀況等，并與其簽訂正式的服務合同和保密協(xié)議。第六，企業(yè)應當采取安裝安全軟件等措施防范信息系統(tǒng)受到病毒等惡意軟件的感染和破壞。企業(yè)應當特別注重加強對服務器等關鍵部位的防護；對于存在網絡應用的企業(yè)，應當綜合利用防火墻、路由器等網絡設備，采用內容過濾、漏洞掃描、入侵檢測等軟件技術加強網絡安全，嚴密防范來自互聯(lián)網的黑客攻擊和非法侵入。對于通過互聯(lián)網傳輸?shù)纳婷芑蛘哧P鍵業(yè)務數(shù)據(jù)，企業(yè)應當采取必要的技術手段確保信息傳遞的保密性、準確性、完整性。第七，企業(yè)應當建立系統(tǒng)數(shù)據(jù)定期備份制度，明確備份范圍、頻度、方法、責任人、存放地點、有效性檢查等內容。系統(tǒng)首次上線運行時應當完全備份，然后根據(jù)業(yè)務頻率和數(shù)據(jù)重要性程度，定期做好增量備份。數(shù)據(jù)正本與備份應分別存放于不同地點，防止因火災、水災、地震等事故產生不利影響。企業(yè)可綜合采用磁盤、磁帶、光盤等備份存儲介質。第八，企業(yè)應當建立信息系統(tǒng)開發(fā)、運行與維護等環(huán)節(jié)的崗位責任制度和不相容職務分離制度，防范利用計算機舞弊和犯罪。一般而言，信息系統(tǒng)不相容職務涉及的人員可以分為三類：系統(tǒng)開發(fā)建設人員、系統(tǒng)管理和維護人員、系統(tǒng)操作使用人員。開發(fā)人員在運行階段不能操作使用信息系統(tǒng)，否則就可能掌握其中的涉密數(shù)據(jù)，進行非法利用；系統(tǒng)管理和維護人員擔任密碼保管、授權、系統(tǒng)變更等關鍵任務，如果允許其使用信息系統(tǒng)，就可能較為容易地篡