電子商務(wù)－第17講附件－sox法案與信息安全-文庫(kù)吧
2024-12-25 23:37 本頁(yè)面
【正文】 重要工作。 Electronic Commerce 電子商務(wù) 第 17講 附件 10/36 SOX法案與信息安全 ?SOX法案對(duì)信息系統(tǒng)控制的要求主要包括： ?信息系統(tǒng)總體控制（ General Computer Control ,簡(jiǎn)稱(chēng) GCC ）、 ?應(yīng)用系統(tǒng)控制（ Application Control，簡(jiǎn)稱(chēng) AC） ?電子表格控制三部分。 Electronic Commerce 電子商務(wù) 第 17講 附件 11/36 SOX法案與信息安全 ? 系統(tǒng)總體控制 ?信息系統(tǒng)總體控制指的是內(nèi)部控制中對(duì)信息系統(tǒng)相關(guān)部分的控制，它保證由信息系統(tǒng)支持的流程控制是可靠的，生成的數(shù)據(jù)和報(bào)告是可信的。信息系統(tǒng)總體控制涵蓋了 IT管理和運(yùn)營(yíng)所涉及的各個(gè)方面 : ① 1. 控制環(huán)境 : 包括信息技術(shù)組織、人力資源管理、信息溝通、風(fēng)險(xiǎn)評(píng)估、監(jiān)控等。 ② 2. 信息安全 : 包括信息安全組織、邏輯安全、物理安全、網(wǎng)絡(luò)安全、病毒防護(hù)、第三方管理、事件響應(yīng)等。 ③ 3. 項(xiàng)目建設(shè)管理 : 包括方法論、立項(xiàng)審批、項(xiàng)目啟動(dòng)、需求分析、項(xiàng)目設(shè)計(jì)、系統(tǒng)開(kāi)發(fā)實(shí)施、系統(tǒng)測(cè)試、數(shù)據(jù)移植、用戶(hù)培訓(xùn)、文檔管理、驗(yàn)收和上線(xiàn)后審閱、商業(yè)軟硬件外購(gòu)等。 ④ 4. 系統(tǒng)變更 : 包括日常變更、緊急變更等。 ⑤ 5. 信息系統(tǒng)日常運(yùn)作 : 包括機(jī)房環(huán)境控制、日常監(jiān)控、批處理作業(yè)調(diào)度管理、數(shù)據(jù)備份與恢復(fù)、問(wèn)題管理等。 ⑥ 6. 最終用戶(hù)操作 : 包括最終用戶(hù)作安全制度、電子表格管理等。 Electronic Commerce 電子商務(wù) 第 17講 附件 12/36 SOX法案與信息安全 ? 應(yīng)用系統(tǒng)控制 ?應(yīng)用系統(tǒng)控制指的是業(yè)務(wù)流程中內(nèi)嵌的信息系統(tǒng)相關(guān)控制，信息系統(tǒng)應(yīng)用的潛在風(fēng)險(xiǎn)直接影響業(yè)務(wù)流程中的信息控制目標(biāo) : ① 1. 完整性 :所有的交易都經(jīng)過(guò)處理，且只處理一次 。 不允許數(shù)據(jù)的重復(fù)錄入和處理 。 例外情況的發(fā)現(xiàn)和解決。 ② 2. 準(zhǔn)確性 : 所有的數(shù)據(jù)（包括金額和賬戶(hù)）是正確和合理的 。 例外情況被及時(shí)發(fā)現(xiàn)以保證交易被記錄在正確的會(huì)計(jì)期間。 ③ 3. 有效性 :交易被適當(dāng)授權(quán) 。 系統(tǒng)不接受虛假交易 。 異常情況被發(fā)現(xiàn)和處理。 ④ 4. 接觸控制 :未經(jīng)授權(quán)，不得對(duì)系統(tǒng)或數(shù)據(jù)進(jìn)行修改 。 數(shù)據(jù)保密性 。 物理設(shè)備的保護(hù)。 Electronic Commerce 電子商務(wù) 第 17講 附件 13/36 SOX法案與信息安全 ? 應(yīng)用系統(tǒng)控制 ?上市公司內(nèi)部可能應(yīng)用各類(lèi)信息系統(tǒng)，進(jìn)行應(yīng)用系統(tǒng)控制之前，首先應(yīng)對(duì)公司應(yīng)用的信息系統(tǒng)進(jìn)行判斷，界定是否屬于與財(cái)務(wù)報(bào)告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)，判定原則包括 : ① 1. 該應(yīng)用系統(tǒng)是否用于進(jìn)行有關(guān)重要交易事項(xiàng)的生成、授權(quán)、記錄、處理或報(bào)告 。 ② 2. 該系統(tǒng)是否生成關(guān)鍵的表單和數(shù)據(jù)供財(cái)務(wù)部門(mén)使用，直接作為記賬依據(jù)或生成財(cái)務(wù)報(bào)表 。 ③ 3. 該系統(tǒng)是否生成關(guān)鍵的表單和數(shù)據(jù)為其他作為記賬依據(jù)或生成財(cái)務(wù)報(bào)表的系統(tǒng)使用 。 ④ 4. 對(duì)應(yīng)用系統(tǒng)的依賴(lài)程度，即是否有來(lái)自系統(tǒng)的計(jì)算結(jié)果，應(yīng)用系統(tǒng)中是否存在相應(yīng)的計(jì)算、檢查、核對(duì)過(guò)程的控制 。 ⑤ 5. 上述應(yīng)用控制是否是惟一依賴(lài)的控制措施，是否存在手工控制可以達(dá)到控制目標(biāo)，彌補(bǔ)風(fēng)險(xiǎn)。 Electronic Commerce 電子商務(wù) 第 17講 附件 14/36 SOX法案與信息安全 ? 應(yīng)用系統(tǒng)控制 ?符合以上判斷條件的與財(cái)務(wù)報(bào)告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)應(yīng)按照應(yīng)用系統(tǒng)控制進(jìn)行控制，控制分為 5類(lèi)， ?即訪(fǎng)問(wèn)控制、職責(zé)分離、輸入控制、處理控制、輸出控制。 ?其中應(yīng)用系統(tǒng)的用戶(hù)權(quán)限管理和職責(zé)分離 (SoD， Segregation of Duties)，是內(nèi)部控制的重要組成部分，也是 SOX法案 404條款要求的重點(diǎn)之一。如 2022年 1月 11日的 Compliance Week的報(bào)道，在 2022年 SEC上登記的上市公司最典型的問(wèn)題之一就是 SoD。根據(jù)業(yè)界最新的統(tǒng)計(jì)，截止到 2022年 4月份，在所有報(bào)告的實(shí)質(zhì)性漏洞 (Material Weakness)中，SoD一項(xiàng)就占了 5％以上，因此必須對(duì)與財(cái)務(wù)報(bào)告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)的用戶(hù)進(jìn)行合理的管理，以實(shí)現(xiàn)用戶(hù)的授權(quán)適當(dāng)和合理分工。 Electronic Commerce 電子商務(wù) 第 17講 附件 15/36 SOX法案與信息安全 ? 電子表格控制 ?目前電子表格在上市公司的生產(chǎn)運(yùn)營(yíng)、信息管理、數(shù)據(jù)分析、財(cái)務(wù)核算與報(bào)告各個(gè)環(huán)節(jié)廣泛運(yùn)用。 ?電子表格中的公式、宏及表間鏈接等功能
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1