電子商務－第17講附件－sox法案與信息安全-文庫吧
2024-12-25 23:37 本頁面
【正文】 重要工作。 Electronic Commerce 電子商務 第 17講 附件 10/36 SOX法案與信息安全 ?SOX法案對信息系統(tǒng)控制的要求主要包括： ?信息系統(tǒng)總體控制（ General Computer Control ,簡稱 GCC ）、 ?應用系統(tǒng)控制（ Application Control，簡稱 AC） ?電子表格控制三部分。 Electronic Commerce 電子商務 第 17講 附件 11/36 SOX法案與信息安全 ? 系統(tǒng)總體控制 ?信息系統(tǒng)總體控制指的是內(nèi)部控制中對信息系統(tǒng)相關部分的控制，它保證由信息系統(tǒng)支持的流程控制是可靠的，生成的數(shù)據(jù)和報告是可信的。信息系統(tǒng)總體控制涵蓋了 IT管理和運營所涉及的各個方面 : ① 1. 控制環(huán)境 : 包括信息技術組織、人力資源管理、信息溝通、風險評估、監(jiān)控等。 ② 2. 信息安全 : 包括信息安全組織、邏輯安全、物理安全、網(wǎng)絡安全、病毒防護、第三方管理、事件響應等。 ③ 3. 項目建設管理 : 包括方法論、立項審批、項目啟動、需求分析、項目設計、系統(tǒng)開發(fā)實施、系統(tǒng)測試、數(shù)據(jù)移植、用戶培訓、文檔管理、驗收和上線后審閱、商業(yè)軟硬件外購等。 ④ 4. 系統(tǒng)變更 : 包括日常變更、緊急變更等。 ⑤ 5. 信息系統(tǒng)日常運作 : 包括機房環(huán)境控制、日常監(jiān)控、批處理作業(yè)調(diào)度管理、數(shù)據(jù)備份與恢復、問題管理等。 ⑥ 6. 最終用戶操作 : 包括最終用戶作安全制度、電子表格管理等。 Electronic Commerce 電子商務 第 17講 附件 12/36 SOX法案與信息安全 ? 應用系統(tǒng)控制 ?應用系統(tǒng)控制指的是業(yè)務流程中內(nèi)嵌的信息系統(tǒng)相關控制，信息系統(tǒng)應用的潛在風險直接影響業(yè)務流程中的信息控制目標 : ① 1. 完整性 :所有的交易都經(jīng)過處理，且只處理一次 。 不允許數(shù)據(jù)的重復錄入和處理 。 例外情況的發(fā)現(xiàn)和解決。 ② 2. 準確性 : 所有的數(shù)據(jù)（包括金額和賬戶）是正確和合理的 。 例外情況被及時發(fā)現(xiàn)以保證交易被記錄在正確的會計期間。 ③ 3. 有效性 :交易被適當授權 。 系統(tǒng)不接受虛假交易 。 異常情況被發(fā)現(xiàn)和處理。 ④ 4. 接觸控制 :未經(jīng)授權，不得對系統(tǒng)或數(shù)據(jù)進行修改 。 數(shù)據(jù)保密性 。 物理設備的保護。 Electronic Commerce 電子商務 第 17講 附件 13/36 SOX法案與信息安全 ? 應用系統(tǒng)控制 ?上市公司內(nèi)部可能應用各類信息系統(tǒng)，進行應用系統(tǒng)控制之前，首先應對公司應用的信息系統(tǒng)進行判斷，界定是否屬于與財務報告相關的關鍵應用系統(tǒng)，判定原則包括 : ① 1. 該應用系統(tǒng)是否用于進行有關重要交易事項的生成、授權、記錄、處理或報告 。 ② 2. 該系統(tǒng)是否生成關鍵的表單和數(shù)據(jù)供財務部門使用，直接作為記賬依據(jù)或生成財務報表 。 ③ 3. 該系統(tǒng)是否生成關鍵的表單和數(shù)據(jù)為其他作為記賬依據(jù)或生成財務報表的系統(tǒng)使用 。 ④ 4. 對應用系統(tǒng)的依賴程度，即是否有來自系統(tǒng)的計算結果，應用系統(tǒng)中是否存在相應的計算、檢查、核對過程的控制 。 ⑤ 5. 上述應用控制是否是惟一依賴的控制措施，是否存在手工控制可以達到控制目標，彌補風險。 Electronic Commerce 電子商務 第 17講 附件 14/36 SOX法案與信息安全 ? 應用系統(tǒng)控制 ?符合以上判斷條件的與財務報告相關的關鍵應用系統(tǒng)應按照應用系統(tǒng)控制進行控制，控制分為 5類， ?即訪問控制、職責分離、輸入控制、處理控制、輸出控制。 ?其中應用系統(tǒng)的用戶權限管理和職責分離 (SoD， Segregation of Duties)，是內(nèi)部控制的重要組成部分，也是 SOX法案 404條款要求的重點之一。如 2022年 1月 11日的 Compliance Week的報道，在 2022年 SEC上登記的上市公司最典型的問題之一就是 SoD。根據(jù)業(yè)界最新的統(tǒng)計，截止到 2022年 4月份，在所有報告的實質(zhì)性漏洞 (Material Weakness)中，SoD一項就占了 5％以上，因此必須對與財務報告相關的關鍵應用系統(tǒng)的用戶進行合理的管理，以實現(xiàn)用戶的授權適當和合理分工。 Electronic Commerce 電子商務 第 17講 附件 15/36 SOX法案與信息安全 ? 電子表格控制 ?目前電子表格在上市公司的生產(chǎn)運營、信息管理、數(shù)據(jù)分析、財務核算與報告各個環(huán)節(jié)廣泛運用。 ?電子表格中的公式、宏及表間鏈接等功能
試題試卷相關推薦
鄂ICP備17016276號-1