《中國聯(lián)通通信公司it內(nèi)控體系建立與實施講解報告》-全文預覽
【正文】 表格的定義和如何開展工作沒有明晰的認識，困難重重。 ? 原網(wǎng)通河北省分公司 IT內(nèi)控工作組積極與公司 COSO組溝通，完成了 IT內(nèi)控與 COSO內(nèi)控流程進行有效銜接。 41 33 企業(yè)通用業(yè)頻道 信息系統(tǒng)風險評估過程 確定信息資產(chǎn)或管理工作的范圍 開始 確定信息資產(chǎn)或管理工作 本身存在的弱點或漏洞 確定信息資產(chǎn)或管 理工作面臨的威脅 確定目前信息系統(tǒng)或管 理工作采取的控制措施 結(jié)合信息資產(chǎn)本身或管理工作 的弱點或漏洞及面臨的威脅， 考察目前已采取的控制措施， 確定信息系統(tǒng)或管理工作有可 能出現(xiàn)的問題（風險）； 對可能出現(xiàn)的問題進行排序， 確定風險的優(yōu)先級和控制水平 提交公司安全現(xiàn)狀風險報告， 提供風險列表，歸類風險等級 結(jié)束41 34 企業(yè)通用業(yè)頻道 事例：綜合結(jié)算系統(tǒng)資產(chǎn)風險評估表 序號信息資產(chǎn)類別資產(chǎn)詳細名稱資產(chǎn)本身存在的弱點或漏洞資產(chǎn)存在的外部威脅威脅發(fā)生的可能性威脅發(fā)生的后果目前采取的控制措施確定可能會出現(xiàn)的問題（風險）確定風險的優(yōu)先級風險的控制水平提出整改建議易受參數(shù)配置的影響產(chǎn)生錯誤可能遭到非法訪問或數(shù)據(jù)竄改 小1 、業(yè)務連續(xù)性受到影響2 、業(yè)務數(shù)據(jù)的真實性受影響1 、適當設(shè)置安全參數(shù)并定期檢查2 、正確設(shè)置其他參數(shù)3 、定期的參數(shù)復核檢查流程 很低 無硬件有一定的故障幾率 設(shè)備硬件老化 小1 、業(yè)務連續(xù)性受到影響2 、硬件重新購置的費用1 、維保合同2 、雙機等冗余配置 很低 無易受電源、溫度等不穩(wěn)定影響。 41 32 企業(yè)通用業(yè)頻道 六、開展信息系統(tǒng)風險評估，模擬演練預案。 變更管理員職責； 信息系統(tǒng)服務支撐部門職責。 變更申請、變更實施、變更測試、變更驗收、變更上線 開發(fā)與實施的相關(guān)流程文檔。 ? 以工單方式，監(jiān)督各單位的內(nèi)控落實工作，對出現(xiàn)的問題進行密切跟蹤，保證落實到位。 ? 由于過去開發(fā)的信息系統(tǒng)沒有按內(nèi)控要求進行程序設(shè)計，所以，有些信息系統(tǒng)實現(xiàn)的功能不能達到 IT內(nèi)控要求，而由于建設(shè)資金和建設(shè)周期的原因，又不可能為實現(xiàn) IT內(nèi)控要求立即實現(xiàn)信息系統(tǒng)改造，因此必須采用人工控制來降低信息系統(tǒng)風險。 41 23 企業(yè)通用業(yè)頻道 四、問題整理及整改措施的落實 建立和落實 IT內(nèi)控責任分解表 ? 為了加強 IT內(nèi)控責任管理，原網(wǎng)通集團公司企業(yè)信息化部從 20xx年開始上報 IT內(nèi)控責任分解表，以明確每個信息系統(tǒng)中涉及內(nèi)控的每個管理人和責任人。 ? 為了改變上述局面，我們分析公司信息化各項制度和目前河北省分公司信息系統(tǒng)現(xiàn)狀，收集了各單位信息化流程和各位記錄文檔，征求 15個單位內(nèi)控工作人員的意見，提出將河北省分公司 IT內(nèi)控文檔統(tǒng)一描述的建議，得到了公司內(nèi)控工作組和各相關(guān)部門的支持。 41 20 企業(yè)通用業(yè)頻道 二、貫徹風險管理方式，開展針對性培訓（續(xù)） ? 為了配合上述培訓工作，我們編寫下列等 1200多頁的 IT內(nèi)控培訓文檔： ? 《 河北網(wǎng)通 IT開發(fā)與實施與控制環(huán)境矩陣 》 ； ? 《 風險管理與內(nèi)控 》 ； ? 《 SOX法案與 IT內(nèi)部控制 》 ； ? 《 電子表格管理說明 》 ； ? 《 增進與外審師溝通 》 ； ? 《 電子表格內(nèi)控自查與復核工作要點 》 。 問題整理及整改措施的落實 現(xiàn)場督導，提出具體的管理措施，保證通過普華永道的測試 開展信息系統(tǒng)風險評估，模擬演練預案 積極與相關(guān)部門溝通，解決 COSO、 UAT和久其系統(tǒng)存在的問題 組織各單位，有效開展電子表格內(nèi)控管理。 ? 電子表格內(nèi)控工作更是涉及網(wǎng)通公司每個專業(yè)工作。 [操作系統(tǒng)維護人員必須通過設(shè)置操作系統(tǒng)的安全參數(shù)等安全措施限制對信息資源的訪問。 ? 財務報告數(shù)據(jù)來源的內(nèi)部控制包括信息系統(tǒng)控制、電子表格控制、人工處理數(shù)據(jù)控制等三個方面。 41 4 企業(yè)通用業(yè)頻道 每年內(nèi)控工作各階段劃分 依據(jù)內(nèi)控模板制定、修正本地化控制活動 省公司組織檢查 各單位改進 外審第一次測試 各單位改進 外審第二次測試 工作進度 日期 各單位依據(jù)本地化控制活動檢查實際工作中差距，并改正。 ? 20xx年 5月 31日，普華永道在美國證券交易委員會（ SEC）的 20F報告中，對原中國網(wǎng)通內(nèi)控工作正式出具了無保留意見的審計報告。經(jīng)過世界知名的普華永道會計師事務所審計，中國網(wǎng)通（集團）有限公司測試結(jié)果為零缺陷，內(nèi)控工作最終取得令人滿意的實質(zhì)效果。 41 3 企業(yè)通用業(yè)頻道 內(nèi)部控制基本執(zhí)行路徑 在美國上市的公司請管理咨詢公司，制定滿足 SOX要求，遵循 COSO框架的制度 在企業(yè)各個層面落實 在資本市場公布審計結(jié)果 企業(yè)請外審公司對執(zhí)行情況進行審計，得出結(jié)論。 企業(yè)信息化工作 信息系統(tǒng)建設(shè)與運營 信息化管理控制 IT內(nèi)控 41 6 企業(yè)通用業(yè)頻道 對財務數(shù)據(jù)來源控制的途徑 ? SOX404強調(diào)財務報告數(shù)據(jù)來源的準確與控制。 IT維護部門系統(tǒng)維護主管每月審核系統(tǒng)的安全參數(shù)設(shè)置。 41 13 企業(yè)通用業(yè)頻道 舉例：應用系統(tǒng)、數(shù)據(jù)庫開發(fā)內(nèi)控結(jié)構(gòu) 應用系統(tǒng)、數(shù)據(jù)庫開發(fā) 需求分析 設(shè)計 編碼 測試 開
教學課件相關(guān)推薦
鄂ICP備17016276號-1