【正文】 措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? 四、復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? 五、應(yīng)用系統(tǒng)權(quán)限管理基本情況及關(guān)注要點(diǎn) 79 信息系統(tǒng)應(yīng)用控制 ?信息系統(tǒng)應(yīng)用控制（ Application Control，簡稱 AC ） ?AC所指的是：業(yè)務(wù)流程中內(nèi)嵌的信息系統(tǒng)相關(guān)控制，信息系統(tǒng)應(yīng)用的潛在風(fēng)險(xiǎn)直接影響業(yè)務(wù)流程中的信息控制目標(biāo)。信息系統(tǒng)應(yīng)用控制包含的主要內(nèi)容有 ： ?（ 1）完整性 （ 2）準(zhǔn)確性： （ 3）有效性 : （ 4）接觸控制 80 信息系統(tǒng)應(yīng)用控制 ?（ 1）完整性 :所有的交易都經(jīng)過處理，且只處理一次；不允許數(shù)據(jù)的重復(fù)錄入和處理；例外情況的發(fā)現(xiàn)和解決。 ? （ 2）準(zhǔn)確性：所有的數(shù)據(jù)（包括金額和賬戶）是正確和合理的；例外情況被及時(shí)發(fā)現(xiàn)以保證交易被記錄在正確的會(huì)計(jì)期間。 ? （ 3）有效性 :交易被適當(dāng)授權(quán)；系統(tǒng)不接受虛假交易；異常情況被發(fā)現(xiàn)和處理。 ? （ 4）接觸控制 :未經(jīng)授權(quán)，不得對(duì)系統(tǒng)或數(shù)據(jù)進(jìn)行修改；數(shù)據(jù)保密性；物理設(shè)備的保護(hù)。 81 財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)） ? 公司內(nèi)部有各類應(yīng)用信息系統(tǒng)，應(yīng)對(duì)公司應(yīng)用的信息系統(tǒng)進(jìn)行判斷，界定是否屬于與財(cái)務(wù)相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)： （ 1）該應(yīng)用系統(tǒng)用于進(jìn)行有關(guān)重要交易事項(xiàng)的生成、授權(quán)、記錄、處理或報(bào)告； （ 2）該系統(tǒng)是否生成關(guān)鍵的表單和數(shù)據(jù)供財(cái)務(wù)部門使用，直接作為記賬依據(jù)或生成財(cái)務(wù)報(bào)表； （ 3）該系統(tǒng)是否生成關(guān)鍵的表單和數(shù)據(jù)為其他作為記賬依據(jù)或生成財(cái)務(wù)報(bào)表的系統(tǒng)使用； （ 4）對(duì)應(yīng)用系統(tǒng)的依賴程度，即是否有來自系統(tǒng)的計(jì)算結(jié)果，應(yīng)用系統(tǒng)中是否存在相應(yīng)的計(jì)算、檢查、核對(duì)過程的控制； （ 5）上述應(yīng)用控制是否是唯一依賴的控制措施，是否存在手工控制可以達(dá)到控制目標(biāo)，彌補(bǔ)風(fēng)險(xiǎn)。 82 財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)） ?符合以上判斷條件的與財(cái)務(wù)報(bào)告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)應(yīng)按照 AC進(jìn)行控制，控制分為 5類： ?訪問控制、職責(zé)分離、輸入控制、處理控制、輸出控制。 83 財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)） ?信息系統(tǒng)應(yīng)用控制 – 財(cái)務(wù)資產(chǎn) – 產(chǎn)品銷售 – 物資采購 – 存貨管理 – 人力資源與業(yè)績考核 84 財(cái)務(wù)關(guān)聯(lián)信息應(yīng)用系統(tǒng)（關(guān)鍵應(yīng)用系統(tǒng)） 等級(jí)一系統(tǒng) 等級(jí)二系統(tǒng) 等級(jí)三系統(tǒng) 重要的與財(cái)務(wù)內(nèi)部控制相關(guān)應(yīng)用系統(tǒng) 與財(cái)務(wù)內(nèi)部控制間接相關(guān)系統(tǒng)，該類應(yīng)用系統(tǒng)生成的數(shù)據(jù)作為財(cái)務(wù)記賬處理或?yàn)樨?cái)務(wù)系統(tǒng)所使用 除等級(jí)一系統(tǒng)和等級(jí)二系統(tǒng)外的系統(tǒng) 財(cái)務(wù) 總部資金管理系統(tǒng) 資產(chǎn)管理系 其他財(cái)務(wù)系統(tǒng) 系統(tǒng)等級(jí) 系統(tǒng)說明 系統(tǒng)名稱 復(fù)雜的采購，銷售，工資系統(tǒng) 簡單的采購，銷售類等系統(tǒng) 其他 信息系統(tǒng)應(yīng)用控制和信息系統(tǒng)總體控制測試范圍 85 系統(tǒng)相關(guān)控制措施分類 系統(tǒng)相關(guān)控制措施分類 業(yè)務(wù)流程名稱 總數(shù) 權(quán)限控制 信息系統(tǒng)總體控制 其他系統(tǒng)控制 賬務(wù)體系結(jié)構(gòu)與維護(hù) 10 3 4 3 會(huì)計(jì)業(yè)務(wù)處理 20 3 4 13 對(duì)外財(cái)務(wù)報(bào)告（地區(qū)公司） 19 3 4 12 總計(jì) 49 9 12 28 86 系統(tǒng)相關(guān)控制措施分類 業(yè)務(wù)流程名稱 總數(shù) 權(quán)限控制 信息系統(tǒng)總體控制 其他系統(tǒng)控制 主數(shù)據(jù)定義與維護(hù) 7 2 4 1 轉(zhuǎn)資 9 2 4 3 折舊（直線法） 12 2 4 6 報(bào)廢管理 8 2 4 2 總計(jì) 36 8 16 12 系統(tǒng)相關(guān)控制措施分類 87 復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng) 系統(tǒng)相關(guān)控制措施分類 業(yè)務(wù)流程名稱 總數(shù) 權(quán)限控制 信息系統(tǒng)總體控制 其他系統(tǒng)控制 物資采購 14 2 4 8 存貨管理 18 2 4 12 銷售管理 17 2 4 11 人力資源與業(yè)績考核 15 2 4 9 總計(jì) 64 8 16 40 系統(tǒng)相關(guān)控制措施分類 88 信息系統(tǒng)應(yīng)用控制 ? 一、應(yīng)用系統(tǒng)控制介紹 ? 二、應(yīng)用系統(tǒng)控制措施管理規(guī)范 ? 三、 等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? 四、復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? 五、應(yīng)用系統(tǒng)權(quán)限管理基本情況及關(guān)注要點(diǎn) 89 應(yīng)用系統(tǒng)控制措施管理規(guī)范 ?應(yīng)用系統(tǒng)關(guān)鍵控制文檔 ?應(yīng)用系統(tǒng)劃分規(guī)范及工作指引 ?應(yīng)用系統(tǒng)用戶權(quán)限管理工作規(guī)范 ?應(yīng)用系統(tǒng)用戶權(quán)限設(shè)置與測試方案 ?應(yīng)用系統(tǒng)業(yè)務(wù)變更管理流程 ?信息系統(tǒng)應(yīng)用控制測試方法與標(biāo)準(zhǔn) 90 信息系統(tǒng)應(yīng)用控制 ? 一、應(yīng)用系統(tǒng)控制介紹 ? 二、應(yīng)用系統(tǒng)控制措施管理規(guī)范 ? 三、 等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? 四、復(fù)雜財(cái)務(wù)關(guān)聯(lián)信息系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? 五、應(yīng)用系統(tǒng)權(quán)限管理基本情況及關(guān)注要點(diǎn) 91 等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? （一） 點(diǎn) ? 會(huì)計(jì)業(yè)務(wù)處理流程 ? 地區(qū)公司對(duì)外財(cái)務(wù)報(bào)告流程 ? 帳務(wù)體系定義與維護(hù)流程 ? （二） 92 等級(jí)一系統(tǒng)主要控制措施實(shí)施細(xì)則及關(guān)注要點(diǎn) ? （三） ? 主數(shù)據(jù)定義與維護(hù)流程 ? 轉(zhuǎn)資流程 ? 折舊流程 ? 報(bào)廢管理流程 93 注 1：黃色表示風(fēng)險(xiǎn)程度比較高的控制點(diǎn)； 注 2：紅色表示風(fēng)險(xiǎn)程度很高的控制點(diǎn)； 注 3：紅色和黃色均為易出現(xiàn)例外的控制點(diǎn) 控制子領(lǐng)域控制點(diǎn)編號(hào) 風(fēng)險(xiǎn)程度KA4KA5KA6KA7KA9K A 10K A 11K A 15K A 16K A 16 1K A 17K A 18K A 19會(huì)計(jì)業(yè)務(wù)處理94 控制措施描述： 會(huì)計(jì)核算崗只有將憑證的重要內(nèi)容填列完整才能在系統(tǒng)中生成新憑證，如缺失責(zé)任中心、總賬科目、明細(xì)科目、金額等的任何一項(xiàng)，系統(tǒng)均不允許保存該憑證。 控制措施：會(huì)計(jì)業(yè)務(wù)處理流程－ KA9 實(shí)施細(xì)則： 在 【 賬務(wù)結(jié)構(gòu)定義 】 中，將 “ 允許不完整憑證存盤 ” 關(guān)閉。 主要例外情況： 沒有將 “ 允許不完整憑證存盤 ” 關(guān)閉。 95 控制措施描述： 只有借貸方金額相等的憑證才能被系統(tǒng)生成并保存。 控制措施：會(huì)計(jì)業(yè)務(wù)處理流程－ KA10 實(shí)施細(xì)則： 在 【 賬務(wù)結(jié)構(gòu)定義 】 中，必須將 “ 允許不完整憑證存盤 ” 關(guān)閉。否則系統(tǒng)允許借貸方金額不相等的憑證也能存盤。 主要例外情況： 由于沒有將 “ 允許不完整憑證存盤 ” 關(guān)閉，系統(tǒng)允許借貸方金額不相等的憑證存盤。 96 控制措施描述： 總賬崗只有根據(jù)財(cái)務(wù)負(fù)責(zé)人對(duì)修改事項(xiàng)的書面審批，并在系統(tǒng)中執(zhí)行 “ 取消完成 ” （取消記賬、取消審核），才能對(duì)已執(zhí)行 “ 憑證完成 ” 的記賬憑證進(jìn)行修改。 控制措施：會(huì)計(jì)業(yè)務(wù)處理流程－ KA16 實(shí)施細(xì)則： 取消完成、取消記賬權(quán)限為臨時(shí)類權(quán)限，當(dāng)需要發(fā)生相關(guān)業(yè)務(wù)時(shí)，只有提交申請(qǐng)并經(jīng)批準(zhǔn)后，由應(yīng)用系統(tǒng)管理員進(jìn)行賦權(quán)（取消完成、取消記賬）權(quán)限，才能進(jìn)行取消完成、取消記賬的操作； 對(duì)日常的取消審核業(yè)務(wù)，無需申請(qǐng)臨時(shí)權(quán)限，無需填寫 《 取消完成（記賬、審核）申請(qǐng)單 》 。 主要例外情況： 實(shí)際執(zhí)行取消完成、取消記帳操作時(shí)，沒有填寫 《 取消完成（記賬、審核）申請(qǐng)單 》 ； 《 取消完成（記賬、審核）申請(qǐng)單 》 填寫不完整、不準(zhǔn)確； 97 申 請(qǐng) 人月 末 賬務(wù) 修 改申 請(qǐng)財(cái) 務(wù) 負(fù) 責(zé) 人審 批未 批 準(zhǔn)修 改 完 畢批 準(zhǔn)系 統(tǒng) 管 理 員收 回 相 關(guān) 權(quán) 限 權(quán) 限申 請(qǐng) 應(yīng) 用 系 統(tǒng)相 關(guān) 權(quán) 限未 批 準(zhǔn)取 消 完 成( 取 消 記 賬 或取 消 審 核 )月末憑證完整執(zhí)行后，發(fā)現(xiàn)需要進(jìn)行帳務(wù)修改情況時(shí)，財(cái)務(wù)部門填寫 《 取消完成（記賬、審核）申請(qǐng)單 》 后，執(zhí)行如下流程 : 98 控制措施描述： 系統(tǒng)記錄取消完成、取消記賬的日志，財(cái)務(wù)負(fù)責(zé)人每三個(gè)月檢查取消完成、取消記賬的日志，比照《 取消完成（記賬、審核）申請(qǐng)單 》 審查是否有非授權(quán)的變更，填寫 《 應(yīng)用系統(tǒng)操作日志復(fù)核表（取消類業(yè)務(wù)日志） 》 并簽字確認(rèn)。 控制措施：會(huì)計(jì)業(yè)務(wù)處理流程－ KA161 實(shí)施細(xì)則： 根據(jù)日志中的 “ 取消完成、取消記賬 ” 的信息，核對(duì)是否每次操作都填寫 《 取消完成（記賬、審核） 申請(qǐng)單 》 ，表單是否經(jīng)過相應(yīng)的審批。并填寫 《 應(yīng)用系統(tǒng)操作日志復(fù)核表 》 ； 目前，由于絕大部分公司的日志功能還不完善，導(dǎo)致無法執(zhí)行上述控制措施。 主要例外情況： 對(duì)于日志功能完善的系統(tǒng)：沒有填寫 《 應(yīng)用系統(tǒng)操作日志復(fù)核表 》 或填寫不完整、不準(zhǔn)確，填寫信息與實(shí)際日志信息不一致； 由于沒有日志功能，無法執(zhí)行上述控制。 99 控制措施：會(huì)計(jì)業(yè)務(wù)處理流程－ KA161（續(xù)） 風(fēng)險(xiǎn)分析： 對(duì)于重要的系統(tǒng)自動(dòng)控制操作， FMIS的日志沒有記錄充分的信息作為審計(jì)證據(jù)，降低了系統(tǒng)的可審計(jì)性，直接影響到對(duì)相關(guān)的系統(tǒng)控制措施進(jìn)行監(jiān)督檢查的有效性；如果相關(guān)的系統(tǒng)控制措施存在控制缺陷，則日志功能的不完善直接加大了潛在的控制風(fēng)險(xiǎn)，形成實(shí)質(zhì)性漏洞。 取消記賬權(quán)限由操作人員臨時(shí)申請(qǐng)，在經(jīng)過授權(quán)審批后才能在系統(tǒng)中對(duì)指定的記賬憑證執(zhí)行相應(yīng)的取消記賬操作，由于日志沒有提供對(duì)系統(tǒng)操作的詳細(xì)記錄，如執(zhí)行的明細(xì)菜單功能、訪問的記賬憑證編號(hào)等，從而影響了復(fù)核人員對(duì)操作人員使用取消權(quán)限所作的全部操作 (包括經(jīng)授權(quán)和未經(jīng)授權(quán)的活動(dòng) )，進(jìn)行全面有效檢查，存在使用取消權(quán)限對(duì)賬務(wù)數(shù)據(jù)進(jìn)行惡意修改的潛在風(fēng)險(xiǎn)。從而導(dǎo)致實(shí)質(zhì)性漏洞增加的風(fēng)險(xiǎn)。 100 控制措施描述： 在系統(tǒng)中對(duì)損益類科目，制造費(fèi)用等科目設(shè)置結(jié)平后，月末結(jié)賬時(shí)，系統(tǒng)自動(dòng)檢查設(shè)定科目（損益類科目，制造費(fèi)用等科目）月末是否結(jié)平，對(duì)于未結(jié)平科目不允許執(zhí)行 “ 結(jié)賬 ” 操作。 控制措施：會(huì)計(jì)業(yè)務(wù)處理流程－ KA19 實(shí)施細(xì)則： 在科目字典維護(hù)中，在損益類科目設(shè)置中，對(duì) “ 月末結(jié)平 ” 設(shè)置為 “ 是 ” 。 主要例外情況： 沒有對(duì)損益類科目的 “ 月末結(jié)平 ” 設(shè)置為 “ 是 ” 。 101 注 1：黃色表示風(fēng)險(xiǎn)程度比較高的控制點(diǎn)； 注 2：紅色表示風(fēng)險(xiǎn)程度很高的控制點(diǎn)； 注 3：紅色和黃色均為易出現(xiàn)例外的控制點(diǎn)。 控制子領(lǐng)域控制點(diǎn)編號(hào) 風(fēng)險(xiǎn)程度KA1KA5K A 51KA6KA7KA9K A 10K A 11K A 12K A 13K A 15對(duì)外財(cái)務(wù)報(bào)告102 控制措施描述： 財(cái)務(wù)部門負(fù)責(zé)人每半年審核系統(tǒng)中列示的合并范圍，確定該范圍符合公司的財(cái)務(wù)報(bào)告政策，書面記錄審核結(jié)果并簽字確認(rèn)，以保證合并范圍的完整與及時(shí)更新。 控制措施：對(duì)外財(cái)務(wù)報(bào)告流程－ KA1 實(shí)施細(xì)則： 財(cái)務(wù)部門負(fù)責(zé)人每半年審核系統(tǒng)中的合并范圍是否與實(shí)際情況一致，在 《 財(cái)務(wù)會(huì)計(jì)報(bào)告審核情況記錄表 》 上留下復(fù)核記錄，同時(shí)從系統(tǒng)中打印出報(bào)表責(zé)任中心列表，注明納入合并范圍的責(zé)任中心，并簽字確認(rèn)，注明核對(duì)結(jié)果。 主要例外情況： 沒有留下書面的對(duì)系統(tǒng)中合并范圍進(jìn)行復(fù)核的證據(jù)； 經(jīng)簽字確認(rèn)的合并范圍清單與系統(tǒng)中列示的納入合并范圍的責(zé)任中心列表不一致； 復(fù)核記錄填寫不完整、不準(zhǔn)確。 103 控制措施：對(duì)外財(cái)務(wù)報(bào)告流程－ KA1（續(xù)） 風(fēng)險(xiǎn)分析： 系統(tǒng)中的報(bào)表合并范圍如果沒有得到定期審核，存在合并范圍不準(zhǔn)確而未被發(fā)現(xiàn)的風(fēng)險(xiǎn)，可能導(dǎo)致資產(chǎn)和負(fù)債被高估或者低估，使得合并的財(cái)務(wù)報(bào)表不能準(zhǔn)確地反映整個(gè)公司的財(cái)務(wù)狀況，經(jīng)營成果和現(xiàn)金流量。從而增加了出現(xiàn)實(shí)質(zhì)性漏洞的可能性。 104 控制措施描述： 各報(bào)表管理崗需進(jìn)行報(bào)表公式（取數(shù)公式、計(jì)算公式等）變更時(shí)，向財(cái)務(wù)部門負(fù)責(zé)人提交 《 報(bào)表公式變更申請(qǐng)表 》 ，財(cái)務(wù)部門負(fù)責(zé)人根據(jù)公司的財(cái)務(wù)報(bào)告政策以及核算和管理需要審批 《 報(bào)表公式變更申請(qǐng)表 》 ，只有得到正式審批后報(bào)表管理崗才能執(zhí)行公式變更； 對(duì)于總部下發(fā)的公式，各報(bào)表管理崗將報(bào)表公式導(dǎo)入系統(tǒng)后，在 《 報(bào)表公式變更申請(qǐng)表 》 書面記錄導(dǎo)入結(jié)果并簽字確認(rèn)； 對(duì)于自行定義的公式，各報(bào)表管理崗在正式使用前要進(jìn)行測試，并在 《 報(bào)表公式變更申請(qǐng)表 》 中書面記錄測試結(jié)果并簽字確認(rèn)； 獨(dú)立于報(bào)表公式修改人的財(cái)務(wù)人員檢查系統(tǒng)公式，確認(rèn)公式的變動(dòng)是否準(zhǔn)確，并在 《 報(bào)表公式變更申請(qǐng)表 》 中簽字確認(rèn)。 控制措施：對(duì)外財(cái)務(wù)報(bào)告流程－ KA5 105 控制措施：對(duì)外財(cái)務(wù)報(bào)告流程－ KA5（續(xù)） 實(shí)施細(xì)則： 對(duì)于地區(qū)公司自行定義的公式，在正式使用之前需要進(jìn)行測試，并將通過公式測試的報(bào)表公式、帶有數(shù)據(jù)的報(bào)表及科目余額表打印出來，附在 《 報(bào)表公式變更申請(qǐng)表 》 后，并簽字確認(rèn)測試通過； 對(duì)股份公司下發(fā)的報(bào)表公式導(dǎo)入后，在 《 報(bào)表公式變更申請(qǐng)表 》 上記錄導(dǎo)入結(jié)果，并簽字確認(rèn)； 對(duì)于變更前