内控测试工具：信息系统总体控制测试内容与步骤.xlsVIP

表格1

信息系统总体控制测试内容与步骤

生成日期：2024-02-21

股份公司关键控制

测试步骤

样本总体

样本数量

计划例外情况数量

备注

流程名称

风险名称

关键控制编号

关键控制

控制方法

控制频率

控制环境-风险评估

GCC-HJ03缺乏有效风险管理或控制机制,没有识别信息系统相关威胁及评估各威胁的影响程度.没有定期对风险评估进行回顾

GCC-HJ-1.3-K

各级信息化工作主管部门对主要信息技术风险进行评估。当组织结构、环境发生变动或发生重大的信息技术应用时，各级信息化工作主管部门对变动情况进行风险评估，必要时调整相关风险防范措施。

人工

随时

1)访谈各级信息化工作主管部门负责人，了解风险评估框架制定、变更频度、风险评估流程、责任部门、管理层态度等情况，获得风险评估报告，检查报告是否经过修改，上一次修改后是否发生了重大变更，风险评估报告是否随之进行了更新，管理层是否对评估报告进行了审批；

2)检查风险评估报告的覆盖范围和内容是否全面和完整；

3)查看风险评估报告，检查风险是否对风险进行了有效的评估并依据评估结果制定了应对措施，审查控制措施是否可有效降低风险，管理层是否接受剩余风险。

全年的风险评估活动

控制环境-监控

GCC-HJ04缺乏合理的监控机制以保证信息技术流程可以满足企业目标及内部控制要求

GCC-HJ-1.11

各级信息化工作主管部门按照信息系统控制