企业内部控制应用指引第17号——内部信息传递.docVIP

《企业内部控制应用指引第17号——内部信息传递》 一、信息系统内部控制概述 《企业内部控制应用指引第18号——信息系统》中所指信息系统，是指企业利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息化管理平台。 信息系统内部控制的目标是促进企业有效实施内部控制，提高企业现代化管理水平，减少人为操纵因素；同时，增强信息系统的安全性、可靠性和合理性以及相关信息的保密性、完整性和可用性，为建立有效的信息与沟通机制提供支持保障。 信息系统内部控制的主要对象是信息系统，由计算机硬件、软件、人员、信息流和运行规程等要素组成。 企业信息系统内部控制以及利用信息系统实施内部控制至少应当关注下列方面： 1、信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下； 2、系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制； 3、系统运行维护和安全措施不到位，可能导致信息泄漏或毁损，系统无法正常运行。 二、信息系统的开发 企业根据发展战略和业务需要进行信息系统建设，首先要确立系统建设目标，根据目标进行系统建设战略规划，再将规划细化为项目建设方案。 企业开展信息系统建设，可以根据实际情况，选择自行开发、外购调试或业务外包等方式。 选择外购调试或业务外包方式的，应当采用公开招标等形式择优选择供应商或开发单位。 选择自行开发信息系统的，信息系统归口管理部门应当组织企业内部相关业务部门进行需求分析，合理配置人员，明确系统设计、编程、安装调试、验收、上线等全过程的管理要求。 企业信息系统归口管理部门应当加强信息系统开发全过程的跟踪管理，增进开发单位与企业内部业务部门的日常沟通和协调，组织独立于开发单位的专业机构对开发完成的信息系统进行检查验收，并组织系统上线运行。 （一）制定信息系统开发的战略规划信息系统开发的战略规划是信息化建设的起点。 战略规划是以企业发展战略为依据制定的企业信息化建设的全局性、长期性规划。 制定信息系统战略规划的主要风险是：缺乏战略规划或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下；没有将信息化与企业业务需求结合，降低了信息系统的应用价值。 主要控制措施： 第一，企业必须制定信息系统开发的战略规划和中长期发展计划，并在每年制定经营计划的同时制定年度信息系统建设计划，促进经营管理活动与信息系统的协调统一。 第二，企业在制定信息化战略过程中，要充分调动和发挥信息系统归口管理部门与业务部门的积极性，使各部门广泛参与，充分沟通，提高战略规划的科学性、前瞻性和适应性。 第三，信息系统战略规划要与企业的组织架构、业务范围、地域分布、技术能力等相匹配，避免相互脱节。 （二）选择适当的信息系统开发方式信息系统的开发建设是信息系统生命周期中技术难度最大的环节。 在开发建设环节，要将企业的业务流程、内控措施、权限配置、预警指标、核算方法等固化到信息系统中，因此开发建设的好坏直接影响信息系统的成败。开发建设主要有自行开发、外购调试、业务外包等方式；企业应根据自身实际情况合理选择。 1．自行开发是企业依托自身力量完成整个开发过程。其优点是开发人员熟悉企业情况，可以较好地满足本企业的需求，尤其是具有特殊性的业务需求。 通过自行开发，还可以培养锻炼自己的开发队伍，便于后期的运行和维护。其缺点是开发周期较长、技术水平和规范程度较难保证，成功率相对较低。 2．外购调试的基本做法是企业购买成熟的商品化软件，通过参数配置和二次开发满足企业需求。其优点是开发建设周期短；成功率较高；成熟的商品化软件质量稳定，可靠性高；专业的软件提供商实施经验丰富。其缺点是难以满足企业的特殊需求；系统的后期升级进度受制于商品化软件供应商产品更新换代的速度，企业自主权不强，较为被动。 外购调试方式的适用条件通常是企业的特殊需求较少，市场上已有成熟的商品化软件和系统实施方案。 3．业务外包信息系统的业务外包是指委托其他单位开发信息系统，基本做法是企业将信息系统开发项目外包出去，由专业公司或科研机构负责开发、安装实施，由企业直接使用。 其优点是企业可以充分利用专业公司的专业优势，量体裁衣，构建全面、高效满足企业需求的个性化系统；企业不必培养、维持庞大的开发队伍，相应节约了人力资源成本。其缺点是沟通成本高，系统开发方难以深刻理解企业需求，可能导致开发出的信息系统与企业的期望产生较大偏差；同时，由于外包信息系统与系统开发方的专业技能、职业道德和敬业精神存在密切关系，也要求企业必须加大对外包项目的监督力度。 业务外包方式的适用条件通常是市场上没有能够满足企业需求的成熟的商品化软件和解决方案，企业自身技术力量薄弱或出于成本效益原则考虑不愿意维持庞大的开发队伍。 （三）自行开发方式的关键控制点和主要控制