企业内部控制规范讲解第19章.pptVIP

第十九章 《企业内部控制应用指引第18号——信息系统》讲解 信息系统内部控制概述 一 信息系统的开发 二 信息系统的运行与维护 三 信息系统的应用控制 四 目 录 《企业内部控制应用指引第18号——信息系统》中所指信息系统，是指企业利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息化管理平台。信息系统内部控制的目标是促进企业有效实施内部控制，提高企业现代化管理水平，减少人为操纵因素；同时，增强信息系统的安全性、可靠性和合理性以及相关信息的保密性、完整性和可用性，为建立有效的信息与沟通机制提供支持保障。 现代企业的运营越来越依赖于信息系统。比如航空公司的网上订票系统、银行的资金实时结算系统、携程旅行网的客户服务系统等，没有信息系统的支撑，业务开展就举步维艰、难以为继，企业经营就很可能陷入瘫痪状态。还有一些新兴产业和新兴企业，其商业模式完全依赖信息系统，比如各种网络公司（新浪、网易、百度）、各种电子商务公司（比如阿里巴巴、卓越公司），没有信息系统，这些企业可能会失去生存之基。 一、信息系统内部控制概述 图19-1 信息系统内部控制框架 信息系统 内部控制 变更管理 战略规划 一般控制 应用控制 开发建设 系统终结 运行维护 输入控制 处理控制 输出控制 日常运行维护 安全管理 二、信息系统的开发 （一）制定信息系统开发的战略规划 制定信息系统战略规划的主要风险是： 第一，缺乏战略规划或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。 第二，没有将信息化与企业业务需求结合，降低了信息系统的应用价值。 主要管控措施： 第一，企业必须制定信息系统开发的战略规划和中长期发展计划，并在每年制定经营计划的同时制定年度信息系统建设计划，促进经营管理活动与信息系统的协调统一。 第二，企业在制定信息化战略过程中，要充分调动和发挥信息系统归口管理部门与业务部门的积极性，使各部门广泛参与，充分沟通，提高战略规划的科学性、前瞻性和适应性。 第三，信息系统战略规划要与企业的组织架构、业务范围、地域分布、技术能力等相匹配，避免相互脱节。 （二）选择适当的信息系统开发方式 1．自行开发 自行开发是企业依托自身力量完成整个开发过程。 其优点：开发人员熟悉企业情况，可以较好地满足本企业的需求，尤其是具有特殊性的业务需求。通过自行开发，还可以培养锻炼自己的开发队伍，便于后期的运行和维护。 其缺点：开发周期较长、技术水平和规范程度较难保证，成功率相对较低。 其适用条件：企业自身技术力量雄厚，而且市场上没有能够满足企业需求的成熟的商品化软件和解决方案。比如百度的搜索引擎系统就偏重于自行开发。　　 2．外购调试外购调试的基本做法是企业购买成熟的商品化软件，通过参数配置和二次开发满足企业需求。 其优点：开发建设周期短；成功率较高；成熟的商品化软件质量稳定，可靠性高；专业的软件提供商实施经验丰富。 其缺点：难以满足企业的特殊需求；系统的后期升级进度受制于商品化软件供应商产品更新换代的速度，企业自主权不强，较为被动。　　 其适用条件：企业的特殊需求较少，市场上已有成熟的商品化软件和系统实施方案。比如大部分企业的财务管理系统、ERP系统、人力资源管理系统等多采用外购调试方式。　　 3．业务外包 信息系统的业务外包是指委托其他单位开发信息系统，基本做法是企业将信息系统开发项目外包出去，由专业公司或科研机构负责开发、安装实施，由企业直接使用。 其优点：企业可以充分利用专业公司的专业优势，量体裁衣，构建全面、高效满足企业需求的个性化系统；企业不必培养、维持庞大的开发队伍，相应节约了人力资源成本。 其缺点：沟通成本高，系统开发方难以深刻理解企业需求，可能导致开发出的信息系统与企业的期望产生较大偏差；同时，由于外包信息系统与系统开发方的专业技能、职业道德和敬业精神存在密切关系，也要求企业必须加大对外包项目的监督力度。 其适用条件：通常是市场上没有能够满足企业需求的成熟的商品化软件和解决方案，企业自身技术力量薄弱或出于成本效益原则考虑不愿意维持庞大的开发队伍。 （三）自行开发方式的关键控制点和主要管控措施 1．项目计划环节 该环节的主要风险：信息系统建设缺乏项目计划或者计划不当，导致项目进度滞后、费用超支、质量低下。 主要管控措施：（1）企业应当根据信息系统建设整体规划提出分阶段项目的建设方案，明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定的权限和程序审批后实施。（3）企业可以采用标准的项目管理软件制定项目计划，并加以跟踪。（3）项目关键环节编制的文档应参照《GB8567－88计算机软件产品开发文件编制指南》等相关国家标准和行业标准进行，以提高项目计划