中国石化IT治理实践和成效.docVIP

中国石化IT治理的实践和成效 中国石油化工集团公司信息部 李德芳 （二〇〇九年十一月二十七日） 中国石化高度重视IT 治理IT 治理推动业务发展，IT 治理提高生产效率，降低生产成本，促进业升级快速响应市场需求，加快产品更新换代实现可持续发展提供物质基础，信息化应用发展需求ERP系统IT一般性控制流程”、“应用系统IT一般性控制流程”和“基础设施IT一般性控制流程”三个流程体现，包括了对程序和数据访问、程序变更、程序开发、系统运行及网络管理、服务器管理、桌面计算机管理、机房管理、备份介质管理等方面的控制。IT一般性控制有效防范了信息系统自身的一些风险，较好地解决了ERP等系统日常管理不严格，权限管理、密码管理不规范，不相容职责设置未分离和部分外部数据导入不合规等一般性控制缺陷，提高了系统的运行水平，为信息系统深化应用营造了良好的环境。 IT应用控制是IT内控体系中的重要组成部分。中国石化在IT应用控制方面一是密切结合ERP系统的业务应用，在相关内控业务流程中嵌入了160多个ERP控制点，初步实现了配置控制、数据输入控制、操作规范控制、用户权限管理控制和系统接口控制等。二是进一步挖掘ERP系统的控制功能，尽量通过ERP系统提供的功能来强化企业的内部控制，有效发挥ERP系统的应用控制功能。如将审计工作流程、方法与ERP系统功能相结合，通过对跨模块数据的检索，在国内率先实现在线审计，为事中审计、远程审计、绩效审计提供了手段。三是结合外部审计和内部内控检查发现的IT应用控制方面的缺陷，开展专项整改工作，不断完善和提升IT应用控制。2009年中国石化在企业层面分步开展ERP权限专项整改工作，主要围绕清理总部用户权限、关键事务代码检查与整改、组织级别检查与整改、不相容权限检查与整改等方面进行，初步形成了分级风险矩阵、关键事务代码、敏感数据和常用组织值等标准，为ERP系统日常管理和深化应用等奠定了基础。 （六）重视制度建设，发展信息化制度体系 中国石化十分重视信息化制度的建设，结合内控工作的要求，每年都对信息化管理制度和办法进行梳理和分析，充分考虑业务需求和信息化发展的实际，合并精简，废旧立新，不断充实和提升信息化制度，初步形成了有效规范中国石化信息化的管理制度体系。 中国石化信息化管理制度体系现有53个管理办法和制度，分为三级。一级是综合管理制度，主要反映信息化管理的纲领性要求，目前主要是《中国石化信息化管理办法》；二级是专项管理制度，主要反映信息化某一领域的总体要求，包括规划计划管理、项目建设管理、应用和运维管理、基础设施管理、信息安全管理、标准和规范管理、信息资源管理等，目前已有的制度主要是《中国石化信息技术项目管理办法》、《中国石化管理信息系统应用管理办法》、《中国石化信息基础设施管理办法》、《中国石化信息系统安全管理办法》、《中国石化信息化标准管理办法》、《中国石化信息资源管理办法》等；三级是细则和规范，目前主要有《中国石化ERP项目管理办法》、《中国石化ERP应用管理办法》、《中国石化ERP系统模板管理办法》、《中国石化MES系统管理办法》、《中国石化网络管理办法》等管理细则及《中国石化信息化发展规划编写规范》、《中国石化信息技术项目合同技术附件编写规范》、《中国石化ERP系统运行和应用规范》、《中国石化数据库系统安全使用规范》、《中国石化域名管理规范》等管理规范。 中国石化在信息化制度建设方面，一是通过深入总结实践经验，建立健全信息化制度，不断弥补在制度体系中的缺失。二是充分参照有关国际标准，借鉴业内最佳实践，全面审视已建制度，使之更加系统全面。三是努力使信息化制度既能够与中国石化信息化管理相适应，又能够引领信息化的发展。通过上述三方面的工作，不断发展信息化制度体系。 中国石化IT治理的成效 （一）IT治理保障了信息化健康有序的发展 中国石化信息化建设历史已有20多年，以2000年为界，可大体分为前后两个阶段。2000年前中国石化信息化建设也取得了较好的成绩，在生产操作层面，主要炼化装置基本安装了DCS系统，提高了炼化生产的效率和安全系数，在经营管理层面，大多数企业开发了财务、销售、供应、人事等MIS系统，提高了相关业务的处理效率和管理水平。但在此阶段，信息化建设以企业分散建设为主，企业各自为政，系统五花八门，“信息孤岛”现象严重，缺乏统一规划，缺乏系统集成，缺乏整体信息化优势。 2000年以来，中国石化有意识地加强了IT治理工作，在信息化建设中坚持“六统一”原则，加强统一规划，打破“各自为政”和“信息孤岛”现象，加强信息标准化和信息集成，建设全局性、集成性的信息系统，加强统一设计，避免低水平重复开发，加强统一管理，发挥整体信息化优势，使中国石化信息化建设健康有序不断发展。目前，中国石化已成功建设了覆盖绝大多数企业的ERP系