内控管理-信息系统培训讲义(简化版)

《内控管理-信息系统培训讲义(简化版)》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息系统控制培训讲义0目录n第一章--背景知识n第二章--信息系统总体控制（简称GCC)n第三章--信息系统应用控制（简称AC）n第四章—电子表格控制n第五章—信息系统内控关注要点1背景知识n萨班尼斯―奥克斯莱法案(Sarbanes-Oxley，简称SOx法案)n美国安然与世通事件引发保护投资者利益的广泛讨论，上市公司财务信息披露情况的法律遵循性备受关注，2002年美国国会出台了萨班斯-奥克斯利法案（Sarbanes-Oxley法案，简称SOx法案），法案中404条款对上市公司建立与财务报告相关的内部控

2、制并维持其有效性提出了明确要求，管理层每年需对内控体系的运行效果进行评估，外部审计师要对内部控制体系和控制效果进行测试并出具审计意见。2背景知识n内控体系建设要求企业除了有正确完整的财务报表外，还要有确保报表正确而完整的控制体系。n由于目前公司的各个与财务数据相关的主要业务流程都有相应的信息系统支持，对信息系统控制的一致性和有效性方面的薄弱，将降低数据和自动控制的可依赖性，增加管理层和审计师在测试方面的工作量，从而对整个内控体系的有效性产生负面影响。n因此信息系统控制体系建设是公司内控体系建设的重要内容

3、。3信息系统与财务报告之间的关系n4中国石油的SOx项目分为公司层面控制，业务活动控制、信息系统控制三个层面的内容SOx内控体系包括三个层面的内容，n公司层面控制目前中国石油分为三个项目组来完成相关内控体系的建设，GCC项目q企业道德规范组是其中的重要组成部分q公司行为方式q公司组织架构内控项目组公司层面控制q沟通流程n业务活动控制q业务活动控制信息系统业务活动控制应用控制q财务相关应用系统控制n信息系统总体控制qIT基础设施信息系统总体控制信息系统总体控制(GCC)q数据库q操作系统5目录n第一章--

4、背景知识n第二章--信息系统总体控制（简称GCC)n第三章--信息系统应用控制（简称AC）n第四章—电子表格控制n第五章—信息系统内控关注要点6信息系统控制n信息系统控制包含的主要内容n信息系统总体控制（GeneralComputerControl，简称GCC）n信息系统应用控制（ApplicationControl，简称AC）n电子表格控制7信息系统总体控制n信息系统总体控制(简称GCC),GCC所指的是内部控制中对信息系统相关部分的控制，保证由信息系统支持的流程控制是可靠的、生成的数据和报告是可信的

5、。GCC涵盖了IT管理和运营所涉及的各个方面n信息系统总体控制是内控体系建设一项基础性工作，信息系统总体控制为企业信息系统管理提出了新标准8GCC涵盖了IT管理和运营所涉及的各个方面n系统控制环境：总体环境、信息与沟通、风险评估、监控等信息系统总体控制n信息安全：信息安全组织、逻辑安全、物理安全、网络安全、计算机病毒防护、外部第三方信息安全管信理、信息安全事件响应等项息最信目变系终n项目建设管理：开发方法论、项目立项审批、项目启动阶段、息建更统用项目需求分析、项目设计、系统开发实施、系安设管日户统符合性

6、检查、数据移植、系统上线、项目验全管理常操收、上线后审阅、用户培训、项目文档管理等理运作n变更管理：应用系统日常变更、系统环境日常变更、紧急作变更管理等n系统日常运作：机房环境控制、系统日常运作监控、批处理作业调度管理、数据备份与恢复、问题管理等信息系统控制环境n最终用户操作：最终用户计算机操作安全制度、电子表格管理等9GCC规定是GCC体系的纲领性文件nGCC规定是中国石油信息系统总体控制体系的重要组成部分，是GCC体系的纲要性文件，制定了与中国石油信息系统总体控制相关的政策和制度n描述了中国石油GC

7、C总体政策、适应范围及制中国石油天然气股份有限公司信息系统总体控制规定定、审批、发布、维护、更新流程n明确了中国石油在总体控制环境、信息安全、项目建设管理、系统变更、信息系统日常运作、最2005年9月终用户操作等方面的总体规定和要求10中国石油已经建立起符合内部控制及未来外审需要的信息系统总体控制体系nGCC控制矩阵：是针对每个控制目标确定一个或多个控制点，对每个控制点的控制频率、控制类型等控制属性进行定义，并尽量明确其现行的制度文档GCC控制矩阵GCC实施要求相关表单测试计划与测试方案112006年中

8、国石油下发《信息系统总体控制实施要求》，GCC实施要求是对GCC规定的细化，用于指导日常的信息技术管理和运营维护n《实施要求》涵盖了IT管理和运营所涉及的各个方面n控制环境n项目建设管理n系统变更GCCq信息技术组织q项目立项q日常变更控制矩阵–项目立项审批q人力资源管理q紧急变更–商业软件及硬件的外购q信息沟通GCCq项目建设方法论实施要求q风险评估–项目启动n信息系统日常运作q监控–需求分析q机房环境控制–项目设计n信息安全q日常监控相