一、信息系統(tǒng)內部控制概述

　　《企業(yè)內部控制應用指引第18號——信息系統(tǒng)》中所指信息系統(tǒng)，是指企業(yè)利用計算機和通信技術，對內部控制進行集成、轉化和提升所形成的信息化管理平臺。信息系統(tǒng)內部控制的目標是促進企業(yè)有效實施內部控制，提高企業(yè)現代化管理水平，減少人為操縱因素；同時，增強信息系統(tǒng)的安全性、可靠性和合理性以及相關信息的保密性、完整性和可用性，為建立有效的信息與溝通機制提供支持保障。信息系統(tǒng)內部控制的主要對象是信息系統(tǒng)，由計算機硬件、軟件、人員、信息流和運行規(guī)程等要素組成。

　　現代企業(yè)的運營越來越依賴于信息系統(tǒng)。比如航空公司的網上訂票系統(tǒng)、銀行的資金實時結算系統(tǒng)、攜程旅行網的客戶服務系統(tǒng)等，沒有信息系統(tǒng)的支撐，業(yè)務開展就舉步維艱、難以為繼，企業(yè)經營就很可能陷入癱瘓狀態(tài)。還有一些新興產業(yè)和新興企業(yè)，其商業(yè)模式完全依賴信息系統(tǒng)，比如各種網絡公司（新浪、網易、百度）、各種電子商務公司（比如阿里巴巴、卓越公司），沒有信息系統(tǒng)，這些企業(yè)可能失去生存之基。

　　同時應當看到，企業(yè)信息系統(tǒng)內部控制以及利用信息系統(tǒng)實施內部控制也面臨諸多風險，至少應當關注下列方面：一是信息系統(tǒng)缺乏或規(guī)劃不合理，可能造成信息孤島或重復建設，導致企業(yè)經營管理效率低下；二是系統(tǒng)開發(fā)不符合內部控制要求，授權管理不當，可能導致無法利用信息技術實施有效控制；三是系統(tǒng)運行維護和安全措施不到位，可能導致信息泄漏或毀損，系統(tǒng)無法正常運行。

　　鑒于信息系統(tǒng)在實施內部控制和現代化管理中具有十分獨特而重要的作用，加之信息系統(tǒng)本身的復雜性和高風險特征，《企業(yè)內部控制應當指引第18號——信息系統(tǒng)》規(guī)定，企業(yè)負責人對信息系統(tǒng)建設工作負責。換言之，信息系統(tǒng)建設是“一把手”工程。只有企業(yè)負責人站在戰(zhàn)略和全局的高度親自組織領導信息系統(tǒng)建設工作，才能統(tǒng)一思想、提高認識、加強協(xié)調配合，從而推動信息系統(tǒng)建設在整合資源的前提下高效、協(xié)調推進。企業(yè)應當重視信息系統(tǒng)在內部控制中的作用，根據內部控制要求，結合組織架構、業(yè)務范圍、地域分布、技術能力等因素，制定信息系統(tǒng)建設總體規(guī)劃，加大投入力度，有序組織信息系統(tǒng)開發(fā)、運行與維護，優(yōu)化管理流程，防范經營風險，全面提升企業(yè)現代化管理水平。

　　二、信息系統(tǒng)的開發(fā)

　　企業(yè)根據發(fā)展戰(zhàn)略和業(yè)務需要進行信息系統(tǒng)建設，首先要確立系統(tǒng)建設目標，根據目標進行系統(tǒng)建設戰(zhàn)略規(guī)劃，再將規(guī)劃細化為項目建設方案。企業(yè)開展信息系統(tǒng)建設，可以根據實際情況，采取自行開發(fā)、外購調試或業(yè)務外包等方式。選擇外購調試或業(yè)務外包方式的，應當采用公開招標等形式擇優(yōu)選擇供應商或開發(fā)單位。選擇自行開發(fā)信息系統(tǒng)的，信息系統(tǒng)歸口管理部門應當組織企業(yè)內部相關業(yè)務部門進行需求分析，合理配置人員，明確系統(tǒng)設計、編程、安裝調試、驗收、上線等全過程的管理要求。企業(yè)信息系統(tǒng)歸口管理部門應當加強信息系統(tǒng)開發(fā)全過程的跟蹤管理，增進開發(fā)單位與企業(yè)內部業(yè)務部門的日常溝通和協(xié)調，組織獨立于開發(fā)單位的專業(yè)機構對開發(fā)完成的信息系統(tǒng)進行檢查驗收，并組織系統(tǒng)上線運行。

　?。ㄒ唬┲贫ㄐ畔⑾到y(tǒng)開發(fā)的戰(zhàn)略規(guī)劃

　　信息系統(tǒng)開發(fā)的戰(zhàn)略規(guī)劃是信息化建設的起點，戰(zhàn)略規(guī)劃是以企業(yè)發(fā)展戰(zhàn)略為依據制定的企業(yè)信息化建設的全局性、長期性規(guī)劃。制定信息系統(tǒng)戰(zhàn)略規(guī)劃的主要風險是：第一，缺乏戰(zhàn)略規(guī)劃或規(guī)劃不合理，可能造成信息孤島或重復建設，導致企業(yè)經營管理效率低下。第二，沒有將信息化與企業(yè)業(yè)務需求結合，降低了信息系統(tǒng)的應用價值。信息孤島現象是不少企業(yè)信息系統(tǒng)建設中存在的普遍問題，根源在于這些企業(yè)往往忽視戰(zhàn)略規(guī)劃的重要性，缺乏整體觀念和整合意識，常常陷于頭痛醫(yī)頭，腳痛醫(yī)腳，這就導致有的企業(yè)財務管理信息系統(tǒng)、銷售管理信息系統(tǒng)、生產管理信息系統(tǒng)、人力資源管理系統(tǒng)、辦公自動化系統(tǒng)等各自為政、孤立存在的現象，削弱了信息系統(tǒng)的協(xié)同效用，甚至引發(fā)系統(tǒng)沖突。

　　主要控制措施：第一，企業(yè)必須制定信息系統(tǒng)開發(fā)的戰(zhàn)略規(guī)劃和中長期發(fā)展計劃，并在每年制定經營計劃的同時制定年度信息系統(tǒng)建設計劃，促進經營管理活動與信息系統(tǒng)的協(xié)調統(tǒng)一。第二，企業(yè)在制定信息化戰(zhàn)略過程中，要充分調動和發(fā)揮信息系統(tǒng)歸口管理部門與業(yè)務部門的積極性，使各部門廣泛參與，充分溝通，提高戰(zhàn)略規(guī)劃的科學性、前瞻性和適應性。第三，信息系統(tǒng)戰(zhàn)略規(guī)劃要與企業(yè)的組織架構、業(yè)務范圍、地域分布、技術能力等相匹配，避免相互脫節(jié)。

　?。ǘ┻x擇適當的信息系統(tǒng)開發(fā)方式

　　信息系統(tǒng)的開發(fā)建設是信息系統(tǒng)生命周期中技術難度最大的環(huán)節(jié)。在開發(fā)建設環(huán)節(jié)，要將企業(yè)的業(yè)務流程、內控措施、權限配置、預警指標、核算方法等固化到信息系統(tǒng)中，因此開發(fā)建設的好壞直接影響信息系統(tǒng)的成敗。

　　開發(fā)建設主要有自行開發(fā)、外購調試、業(yè)務外包等方式。各種開發(fā)方式有各自的優(yōu)缺點和適用條件，企業(yè)應根據自身實際情況合理選擇。

　　1．自行開發(fā)

　　自行開發(fā)是企業(yè)依托自身力量完成整個開發(fā)過程。其優(yōu)點是開發(fā)人員熟悉企業(yè)情況，可以較好地滿足本企業(yè)的需求，尤其是具有特殊性的業(yè)務需求。通過自行開發(fā)，還可以培養(yǎng)鍛煉自己的開發(fā)隊伍，便于后期的運行和維護。其缺點是開發(fā)周期較長、技術水平和規(guī)范程度較難保證，成功率相對較低。因此，自行開發(fā)方式的適用條件通常是企業(yè)自身技術力量雄厚，而且市場上沒有能夠滿足企業(yè)需求的成熟的商品化軟件和解決方案。比如百度的搜索引擎系統(tǒng)就偏重于自行開發(fā)。

　　2．外購調試

　　外購調式的基本做法是企業(yè)購買成熟的商品化軟件，通過參數配置和二次開發(fā)滿足企業(yè)需求。其優(yōu)點是開發(fā)建設周期短；成功率較高；成熟的商品化軟件質量穩(wěn)定，可靠性高；專業(yè)的軟件提供商實施經驗豐富。其缺點是難以滿足企業(yè)的特殊需求；系統(tǒng)的后期升級進度受制于商品化軟件供應商產品更新?lián)Q代的速度，企業(yè)自主權不強，較為被動。外購調試方式的適用條件通常是企業(yè)的特殊需求較少，市場上已有成熟的商品化軟件和系統(tǒng)實施方案。比如大部分企業(yè)的財務管理系統(tǒng)、ERP系統(tǒng)、人力資源管理系統(tǒng)等多采用外購調試方式。

　　3．業(yè)務外包

　　信息系統(tǒng)的業(yè)務外包是指委托其他單位開發(fā)信息系統(tǒng)，基本做法是企業(yè)將信息系統(tǒng)開發(fā)項目外包出去，由專業(yè)公司或科研機構負責開發(fā)、安裝實施，由企業(yè)直接使用。其優(yōu)點是企業(yè)可以充分利用專業(yè)公司的專業(yè)優(yōu)勢，量體裁衣，構建全面、高效滿足企業(yè)需求的個性化系統(tǒng)；企業(yè)不必培養(yǎng)、維持龐大的開發(fā)隊伍，相應節(jié)約了人力資源成本。其缺點是溝通成本高，系統(tǒng)開發(fā)方難以深刻理解企業(yè)需求，可能導致開發(fā)出的信息系統(tǒng)與企業(yè)的期望產生較大偏差；同時，由于外包信息系統(tǒng)與系統(tǒng)開發(fā)方的專業(yè)技能、職業(yè)道德和敬業(yè)精神存在密切關系，也要求企業(yè)必須加大對外包項目的監(jiān)督力度。業(yè)務外包方式的適用條件通常是市場上沒有能夠滿足企業(yè)需求的成熟的商品化軟件和解決方案，企業(yè)自身技術力量薄弱或出于成本效益原則考慮不愿意維持龐大的開發(fā)隊伍。

　?。ㄈ┳孕虚_發(fā)方式的關鍵控制點和主要控制措施

　　雖然信息系統(tǒng)的開發(fā)方式有自行開發(fā)、外購調試、業(yè)務外包等多種方式，但基本流程大體相似，通常包含項目計劃、需求分析、系統(tǒng)設計、編程和測試、上線等環(huán)節(jié)。

　　1．項目計劃環(huán)節(jié)

　　戰(zhàn)略規(guī)劃通常將完整的信息系統(tǒng)分成若干子系統(tǒng)，并分階段建設不同的子系統(tǒng)。比如，制造企業(yè)可以將信息系統(tǒng)劃分為財務管理系統(tǒng)、人力資源管理系統(tǒng)、MRP系統(tǒng)（銷售、采購、庫存、生產）、計算機輔助設計和制造系統(tǒng)、客戶關系系統(tǒng)、電子商務系統(tǒng)等若干子系統(tǒng)。項目就是指本階段需要建設的相對獨立的一個或多個子系統(tǒng)。

　　項目計劃通常包括項目范圍說明、項目進度計劃、項目質量計劃、項目資源計劃、項目溝通計劃、風險對策計劃、項目采購計劃、需求變更控制、配置管理計劃等內容。項目計劃不是完全靜止、一成不變的，在項目啟動階段，可以先制定一個較為原則的項目計劃，確定項目主要內容和重大事項，然后根據項目的大小和性質以及項目進展情況進行調整、充實和完善。項目計劃環(huán)節(jié)的主要風險是：信息系統(tǒng)建設缺乏項目計劃或者計劃不當，導致項目進度滯后、費用超支、質量低下。

　　主要控制措施：第一，企業(yè)應當根據信息系統(tǒng)建設整體規(guī)劃提出分階段項目的建設方案，明確建設目標、人員配備、職責分工、經費保障和進度安排等相關內容，按照規(guī)定的權限和程序審批后實施。第二，企業(yè)可以采用標準的項目管理軟件（比如Office Project）制定項目計劃，并加以跟蹤。在關鍵環(huán)節(jié)進行階段性評審，以保證過程可控。第三，項目關鍵環(huán)節(jié)編制的文檔應參照《GB8567－88計算機軟件產品開發(fā)文件編制指南》等相關國家標準和行業(yè)標準進行，以提高項目計劃編制水平。

　　2．需求分析環(huán)節(jié)

　　需求分析的目的是明確信息系統(tǒng)需要實現哪些功能。該項工作是系統(tǒng)分析人員和用戶單位的管理人員、業(yè)務人員在深入調查的基礎上，詳細描述業(yè)務活動涉及的各項工作以及用戶的各種需求，從而建立未來目標系統(tǒng)的邏輯模型。這一環(huán)節(jié)的主要風險是：第一，需求本身不合理，對信息系統(tǒng)提出的功能、性能、安全性等方面的要求不符合業(yè)務處理和控制的需要。第二，技術上不可行、經濟上成本效益倒掛，或與國家有關法規(guī)制度存在沖突。第三，需求文檔表述不準確、不完整，未能真實全面地表達企業(yè)需求，存在表述缺失、表述不一致甚至表述錯誤等問題。

　　主要控制措施：第一，信息系統(tǒng)歸口管理部門應當組織企業(yè)內部各有關部門提出開發(fā)需求，加強系統(tǒng)分析人員和有關部門的管理人員、業(yè)務人員的交流，經綜合分析提煉后形成合理的需求。第二，編制表述清晰、表達準確的需求文檔。需求文檔是業(yè)務人員和技術人員共同理解信息系統(tǒng)的橋梁，必須準確表述系統(tǒng)建設的目標、功能和要求。企業(yè)應當采用標準建模語言(例如UML)，綜合運用多種建模工具和表現手段，參照《GB8567－88計算機軟件產品開發(fā)文件編制指南》等相關標準，提高系統(tǒng)需求說明書的編寫質量。第三，企業(yè)應當建立健全需求評審和需求變更控制流程。依據需求文檔進行設計（含需求變更設計）前，應當評審其可行性，由需求提出人和編制人簽字確認，并經業(yè)務部門與信息系統(tǒng)歸口管理部門負責人審批。

　　3．系統(tǒng)設計環(huán)節(jié)

　　系統(tǒng)設計是根據系統(tǒng)需求分析階段所確定的目標系統(tǒng)邏輯模型，設計出一個能在企業(yè)特定的計算機和網絡環(huán)境中實現的方案，即建立信息系統(tǒng)的物理模型。系統(tǒng)設計包括總體設計和詳細設計。總體設計的主要任務是：第一，設計系統(tǒng)的模塊結構，合理劃分子系統(tǒng)邊界和接口。第二，選擇系統(tǒng)實現的技術路線，確定系統(tǒng)的技術架構，明確系統(tǒng)重要組件的內容和行為特征，以及組件之間、組件與環(huán)境之間的接口關系。第三，數據庫設計，包括主要的數據庫表結構設計、存儲設計、數據權限和加密設計等。第四，設計系統(tǒng)的網絡拓撲結構、系統(tǒng)部署方式等。詳細設計的主要任務包括：程序說明書編制、數據編碼規(guī)范設計、輸入輸出界面設計等內容。系統(tǒng)設計環(huán)節(jié)的主要風險是：第一，設計方案不能完全滿足用戶需求，不能實現需求文檔規(guī)定的目標。第二，設計方案未能有效控制建設開發(fā)成本，不能保證建設質量和進度。第三，設計方案不全面，導致后續(xù)變更頻繁。第四，設計方案沒有考慮信息系統(tǒng)建成后對企業(yè)內部控制的影響，導致系統(tǒng)運行后衍生新的風險。

　　主要控制措施：第一，系統(tǒng)設計負責部門應當就總體設計方案與業(yè)務部門進行溝通和討論，說明方案對用戶需求的覆蓋情況；存在備選方案的，應當詳細說明各方案在成本、建設時間和用戶需求響應上的差異；信息系統(tǒng)歸口管理部門和業(yè)務部門應當對選定的設計方案予以書面確認。第二，企業(yè)應參照《GB8567－88計算機軟件產品開發(fā)文件編制指南》等相關國家標準和行業(yè)標準，提高系統(tǒng)設計說明書的編寫質量。第三，企業(yè)應建立設計評審制度和設計變更控制流程。第四，在系統(tǒng)設計時應當充分考慮信息系統(tǒng)建成后的控制環(huán)境，將生產經營管理業(yè)務流程、關鍵控制點和處理規(guī)程嵌入系統(tǒng)程序，實現手工環(huán)境下難以實現的控制功能，例如：對于某一財務軟件，當輸入支出憑證時，可以讓計算機自動檢查銀行存款余額，防止透支。第五，應充分考慮信息系統(tǒng)環(huán)境下的新的控制風險，比如，要通過信息系統(tǒng)中的權限管理功能控制用戶的操作權限，避免將不相容職務的處理權限授予同一用戶。第六，應當針對不同的數據輸入方式，強化對進入系統(tǒng)數據的檢查和校驗功能。比如，憑證的自動平衡校對。第七，系統(tǒng)設計時應當考慮在信息系統(tǒng)中設置操作日志功能，確保操作的可審計性。對異常的或者違背內部控制要求的交易和數據，應當設計由系統(tǒng)自動報告并設置跟蹤處理機制。第八，預留必要的后臺操作通道，對于必需的后臺操作，應當加強管理，建立規(guī)范的操作流程，確保足夠的日志記錄，保證對后臺操作的可監(jiān)控性。

　　4．編程和測試環(huán)節(jié)

　　編程階段是將詳細設計方案轉換成某種計算機編程語言的過程。編程階段完成之后，要進行測試，測試主要有以下目的：一是發(fā)現軟件開發(fā)過程中的錯誤，分析錯誤的性質，確定錯誤的位置并予以糾正。二是通過某些系統(tǒng)測試，了解系統(tǒng)的響應時間、事務處理吞吐量、載荷能力、失效恢復能力以及系統(tǒng)實用性等指標，以便對整個系統(tǒng)做出綜合評價。測試環(huán)節(jié)在系統(tǒng)開發(fā)中具有舉足輕重的地位。

　　這一環(huán)節(jié)的主要風險是：第一，編程結果與設計不符。第二，各程序員編程風格差異大，程序可讀性差，導致后期維護困難，維護成本高。第三，缺乏有效的程序版本控制，導致重復修改或修改不一致等問題。第四，測試不充分。單個模塊正常運行但多個模塊集成運行時出錯，開發(fā)環(huán)境下測試正常而生產環(huán)境下運行出錯，開發(fā)人員自測正常而業(yè)務部門用戶使用時出錯，導致系統(tǒng)上線后可能出現嚴重問題。

　　主要控制措施：第一，項目組應建立并執(zhí)行嚴格的代碼復查評審制度。第二，項目組應建立并執(zhí)行統(tǒng)一的編程規(guī)范，在標識符命名、程序注釋等方面統(tǒng)一風格。第三，應使用版本控制軟件系統(tǒng)（例如CVS），保證所有開發(fā)人員基于相同的組件環(huán)境開展項目工作，協(xié)調開發(fā)人員對程序的修改。第四，應區(qū)分單元測試、組裝測試（集成測試）、系統(tǒng)測試、驗收測試等不同測試類型，建立嚴格的測試工作流程，提高最終用戶在測試工作中的參與程度，改進測試用例的編寫質量，加強測試分析，盡量采用自動測試工具提高測試工作的質量和效率。具備條件的企業(yè)，應當組織獨立于開發(fā)建設項目組的專業(yè)機構對開發(fā)完成的信息系統(tǒng)進行驗收測試，確保在功能、性能、控制要求和安全性等方面符合開發(fā)需求。

　　5．上線環(huán)節(jié)

　　系統(tǒng)上線是將開發(fā)出的系統(tǒng)（可執(zhí)行的程序和關聯(lián)的數據）部署到實際運行的計算機環(huán)境中，使信息系統(tǒng)按照既定的用戶需求來運轉，切實發(fā)揮信息系統(tǒng)的作用。這一環(huán)節(jié)的主要風險是：第一，缺乏完整可行的上線計劃，導致系統(tǒng)上線混亂無序。第二，人員培訓不足，不能正確使用系統(tǒng)，導致業(yè)務處理錯誤，或者未能充分利用系統(tǒng)功能，導致開發(fā)成本浪費。第三，初始數據準備設置不合格，導致新舊系統(tǒng)數據不一致、業(yè)務處理錯誤。

　　主要控制措施：第一，企業(yè)應當制定信息系統(tǒng)上線計劃，并經歸口管理部門和用戶部門審核批準。上線計劃一般包括人員培訓、數據準備、進度安排、應急預案等內容。第二，系統(tǒng)上線涉及新舊系統(tǒng)切換的，企業(yè)應當在上線計劃中明確應急預案，保證新系統(tǒng)失效時能夠順利切換回舊系統(tǒng)。第三，系統(tǒng)上線涉及數據遷移的，企業(yè)應當制定詳細的數據遷移計劃，并對遷移結果進行測試。用戶部門應當參與數據遷移過程，對遷移前后的數據予以書面確認。

　?。ㄋ模┢渌_發(fā)方式的關鍵控制點和主要控制措施

　　下面介紹其他開發(fā)方式（業(yè)務外包、外購調試）的關鍵控制點和主要控制措施。

　　在業(yè)務外包、外購調試方式下，企業(yè)對系統(tǒng)設計、編程、測試環(huán)節(jié)的參與程度明顯低于自行開發(fā)方式，因此可以適當簡化相應的風險控制措施，但同時也因開發(fā)方式的差異產生一些新的風險，需要采取有針對性的控制措施。

　　1．業(yè)務外包方式的關鍵控制點和主要控制措施

　?。?）選擇外包服務商

　　這一環(huán)節(jié)的主要風險是：由于企業(yè)與外包服務商之間本質上是一種委托—代理關系,合作雙方的信息不對稱容易誘發(fā)道德風險，外包服務商可能會實施損害企業(yè)利益的自利行為,如偷工減料、放松管理、信息泄密等。

　　主要控制措施：第一，企業(yè)在選擇外包服務商時要充分考慮服務商的市場信譽、資質條件、財務狀況、服務能力、對本企業(yè)業(yè)務的熟悉程度、既往承包服務成功案例等因素,對外包服務商進行嚴格篩選。第二，企業(yè)可以借助外包業(yè)界基準來判斷外包服務商的綜合實力。第三，企業(yè)要嚴格外包服務審批及管控流程,對信息系統(tǒng)外包業(yè)務，原則上應采用公開招標等形式選擇外包服務商，并實行集體決策審批。

　?。?）簽訂外包合同

　　這一環(huán)節(jié)的主要風險是：由于合同條款不準確、不完善，可能導致企業(yè)的正當權益無法得到有效保障。

　　主要控制措施：第一，企業(yè)在與外包服務商簽約之前,應針對外包可能出現的各種風險損失,恰當擬定合同條款,對涉及的工作目標、合作范疇、責任劃分、所有權歸屬、付款方式、違約賠償及合約期限等問題做出詳細說明,并由法律部門或法律顧問審查把關。第二，開發(fā)過程中涉及商業(yè)秘密、敏感數據的，企業(yè)應當與外包服務商簽訂詳細的“保密協(xié)定”，以保證數據安全。第三，在合同中約定付款事宜時,應當選擇分期付款方式，尾款應當在系統(tǒng)運行一段時間并經評估驗收后再支付。第四，應在合同條款中明確要求外包服務商保持專業(yè)技術服務團隊的穩(wěn)定性。

　?。?）持續(xù)跟蹤評價外包服務商的服務過程

　　這一環(huán)節(jié)的主要風險是：企業(yè)缺乏外包服務跟蹤評價機制或跟蹤評價不到位，可能導致外包服務質量水平不能滿足企業(yè)信息系統(tǒng)開發(fā)需求。

　　主要控制措施：第一，企業(yè)應當規(guī)范外包服務評價工作流程，明確相關部門的職責權限，建立外包服務質量考核評價指標體系，定期對外包服務商進行考評,并公布服務周期的評估結果,實現外包服務水平的跟蹤評價。第二，必要時，可以引入監(jiān)理機制，降低外包服務風險。

　　2．外購調試方式的關鍵控制點和主要控制措施

　　在外購調試方式下，一方面，企業(yè)面臨與委托開發(fā)方式類似的問題，企業(yè)要選擇軟件產品的供應商和服務供應商、簽訂合約、跟蹤服務質量，因此，企業(yè)可采用與委托開發(fā)方式類似的控制措施；另一方面，外購調試方式也有其特殊之處，企業(yè)需要有針對性的強化某些控制措施。

　?。?）軟件產品選型和供應商選擇

　　在外購調試方式下，軟件供應商的選擇和軟件產品的選型是密切相關的。這一環(huán)節(jié)的主要風險是：第一，軟件產品選型不當，產品在功能、性能、易用性等方面無法滿足企業(yè)需求。第二，軟件供應商選擇不當，產品的支持服務能力不足，產品的后續(xù)升級缺乏保障。

　　主要控制措施：第一，企業(yè)應明確自身需求，對比分析市場上的成熟軟件產品，合理選擇軟件產品的模塊組合和版本。第二，企業(yè)在軟件產品選型時應廣泛聽取行業(yè)專家的意見。第三，企業(yè)在選擇軟件產品和服務供應商時，不僅要評價其現有產品的功能、性能，還要考察其服務支持能力和后續(xù)產品的升級能力。

　?。?）服務提供商選擇

　　大型企業(yè)管理信息系統(tǒng)（例如ERP系統(tǒng)）的外購實施，不僅需要選擇合適的軟件供應商和軟件產品，也需要選擇合適的咨詢公司等服務提供商，指導企業(yè)將通用軟件產品與本企業(yè)的實際情況有機結合。這一環(huán)節(jié)的主要風險是：服務提供商選擇不當，削弱了外購軟件產品的功能發(fā)揮，導致無法有效滿足用戶需求。

　　主要控制措施：在選擇服務提供商時，不僅要考核其對軟件產品的熟悉、理解程度，也要考核其是否深刻理解企業(yè)所處行業(yè)的特點、是否理解企業(yè)的個性化需求、是否有過相同或相近的成功案例。

　　三、信息系統(tǒng)的運行與維護

　　信息系統(tǒng)的運行與維護主要包含三方面的內容：日常運行維護、系統(tǒng)變更和安全管理。

　　（一）日常運行維護的關鍵控制點和主要控制措施

　　日常運行維護的目標是保證系統(tǒng)正常運轉，主要工作內容包括系統(tǒng)的日常操作、系統(tǒng)的日常巡檢和維修、系統(tǒng)運行狀態(tài)監(jiān)控、異常事件的報告和處理等。這一環(huán)節(jié)的主要風險是：第一，沒有建立規(guī)范的信息系統(tǒng)日常運行管理規(guī)范，計算機軟硬件的內在隱患易于爆發(fā)，可能導致企業(yè)信息系統(tǒng)出錯。第二，沒有執(zhí)行例行檢查，導致一些人為惡意攻擊會長期隱藏在系統(tǒng)中，可能造成嚴重損失。第三，企業(yè)信息系統(tǒng)數據未能定期備份，可能導致?lián)p壞后無法恢復，從而造成重大損失。

　　主要控制措施：第一，企業(yè)應制定信息系統(tǒng)使用操作程序、信息管理制度以及各模塊子系統(tǒng)的具體操作規(guī)范，及時跟蹤、發(fā)現和解決系統(tǒng)運行中存在的問題，確保信息系統(tǒng)按照規(guī)定的程序、制度和操作規(guī)范持續(xù)穩(wěn)定運行。第二，切實做好系統(tǒng)運行記錄，尤其是對于系統(tǒng)運行不正?；驘o法運行的情況，應將異?，F象、發(fā)生時間和可能的原因作出詳細記錄。第三，企業(yè)要重視系統(tǒng)運行的日常維護，在硬件方面，日常維護主要包括各種設備的保養(yǎng)與安全管理、故障的診斷與排除、易耗品的更換與安裝等，這些工作應由專人負責。第四，配備專業(yè)人員負責處理信息系統(tǒng)運行中的突發(fā)事件，必要時應會同系統(tǒng)開發(fā)人員或軟硬件供應商共同解決。

　　（二）系統(tǒng)變更的關鍵控制點和主要控制措施

　　系統(tǒng)變更主要包括硬件的升級擴容、軟件的修改與升級等。系統(tǒng)變更是為了更好地滿足企業(yè)需求，但同時應加強對變更申請、變更成本與進度的控制。這一環(huán)節(jié)的主要風險是：第一，企業(yè)沒有建立嚴格的變更申請、審批、執(zhí)行、測試流程，導致系統(tǒng)隨意變更。第二，系統(tǒng)變更后的效果達不到預期目標。

　　主要控制措施：第一，企業(yè)應當建立標準流程來實施和記錄系統(tǒng)變更，保證變更過程得到適當的授權與管理層的批準，并對變更進行測試。信息系統(tǒng)變更應當嚴格遵照管理流程進行操作。信息系統(tǒng)操作人員不得擅自進行軟件的刪除、修改等操作；不得擅自升級、改變軟件版本；不得擅自改變軟件系統(tǒng)的環(huán)境配置。第二，系統(tǒng)變更程序(如軟件升級)需要遵循與新系統(tǒng)開發(fā)項目同樣的驗證和測試程序，必要時還應當進行額外測試。第三，企業(yè)應加強緊急變更的控制管理。第四，企業(yè)應加強對將變更移植到生產環(huán)境中的控制管理，包括系統(tǒng)訪問授權控制、數據轉換控制、用戶培訓等。

　　（三）安全管理的關鍵控制點和主要控制措施

　　安全管理的目標是保障信息系統(tǒng)安全，信息系統(tǒng)安全是指信息系統(tǒng)包含的所有硬件、軟件和數據受到保護，不因偶然和惡意的原因而遭到破壞、更改和泄漏，信息系統(tǒng)能夠連續(xù)正常運行。這一環(huán)節(jié)的主要風險是：第一，硬件設備分布物理范圍廣，設備種類繁多，安全管理難度大，可能導致設備生命周期短。第二，業(yè)務部門信息安全意識薄弱，對系統(tǒng)和信息安全缺乏有效的監(jiān)管手段。少數員工可能惡意或非惡意濫用系統(tǒng)資源，造成系統(tǒng)運行效率降低。第三，對系統(tǒng)程序的缺陷或漏洞安全防護不夠，導致遭受黑客攻擊，造成信息泄露。第四，對各種計算機病毒防范清理不力，導致系統(tǒng)運行不穩(wěn)定甚至癱瘓。第五，缺乏對信息系統(tǒng)操作人員的嚴密監(jiān)控，可能導致舞弊和利用計算機犯罪。

　　主要控制措施是：

　　第一，建立信息系統(tǒng)相關資產的管理制度，保證電子設備的安全。硬件和網絡設備不僅是信息系統(tǒng)運行的基礎載體，也是價值昂貴的固定資產。企業(yè)應在健全設備管理制度的基礎上，建立專門的電子設備管控制度，對于關鍵信息設備（例如銀行的核心數據庫服務器），未經授權，不得接觸。

　　第二，企業(yè)應成立專門的信息系統(tǒng)安全管理機構，由企業(yè)主要領導負總責，對企業(yè)的信息安全作出總體規(guī)劃和全方位嚴格管理，具體實施工作可由企業(yè)的信息主管部門負責。企業(yè)應強化全體員工的安全保密意識，特別要對重要崗位員工進行信息系統(tǒng)安全保密培訓，并簽署安全保密協(xié)議。企業(yè)應當建立信息系統(tǒng)安全保密制度和泄密責任追究制度。

　　第三，企業(yè)應當按照國家相關法律法規(guī)以及信息安全技術標準，制定信息系統(tǒng)安全實施細則。根據業(yè)務性質、重要程度、涉密情況等確定信息系統(tǒng)的安全等級，建立不同等級信息的授權使用制度，采用相應技術手段保證信息系統(tǒng)運行安全有序。對于信息系統(tǒng)的使用者和不同安全等級信息之間的授權關系，應在系統(tǒng)開發(fā)建設階段就形成方案并加以設計，在軟件系統(tǒng)中預留這種對應關系的設置功能，以便根據使用者崗位職務的變遷進行調整。

　　第四，企業(yè)應當有效利用IT技術手段，對硬件配置調整、軟件參數修改嚴加控制。例如，企業(yè)可利用操作系統(tǒng)、數據庫系統(tǒng)、應用系統(tǒng)提供的安全機制，設置安全參數，保證系統(tǒng)訪問安全；對于重要的計算機設備，企業(yè)應當利用技術手段防止員工擅自安裝、卸載軟件或者改變軟件系統(tǒng)配置，并定期對上述情況進行檢查。

　　第五，企業(yè)委托專業(yè)機構進行系統(tǒng)運行與維護管理的，應當嚴格審查其資質條件、市場聲譽和信用狀況等，并與其簽訂正式的服務合同和保密協(xié)議。

　　第六，企業(yè)應當采取安裝安全軟件等措施防范信息系統(tǒng)受到病毒等惡意軟件的感染和破壞。企業(yè)應當特別注重加強對服務器等關鍵部位的防護；對于存在網絡應用的企業(yè)，應當綜合利用防火墻、路由器等網絡設備，采用內容過濾、漏洞掃描、入侵檢測等軟件技術加強網絡安全，嚴密防范來自互聯(lián)網的黑客攻擊和非法侵入。對于通過互聯(lián)網傳輸的涉密或者關鍵業(yè)務數據，企業(yè)應當采取必要的技術手段確保信息傳遞的保密性、準確性、完整性。

　　第七，企業(yè)應當建立系統(tǒng)數據定期備份制度，明確備份范圍、頻度、方法、責任人、存放地點、有效性檢查等內容。系統(tǒng)首次上線運行時應當完全備份，然后根據業(yè)務頻率和數據重要性程度，定期做好增量備份。數據正本與備份應分別存放于不同地點，防止因火災、水災、地震等事故產生不利影響。企業(yè)可綜合采用磁盤、磁帶、光盤等備份存儲介質。

　　第八，企業(yè)應當建立信息系統(tǒng)開發(fā)、運行與維護等環(huán)節(jié)的崗位責任制度和不相容職務分離制度，防范利用計算機舞弊和犯罪。一般而言，信息系統(tǒng)不相容職務涉及的人員可以分為三類：系統(tǒng)開發(fā)建設人員、系統(tǒng)管理和維護人員、系統(tǒng)操作使用人員。開發(fā)人員在運行階段不能操作使用信息系統(tǒng)，否則就可能掌握其中的涉密數據，進行非法利用；系統(tǒng)管理和維護人員擔任密碼保管、授權、系統(tǒng)變更等關鍵任務，如果允許其使用信息系統(tǒng)，就可能較為容易地篡改數據，從而達到侵吞財產或濫用計算機信息的目的。此外，信息系統(tǒng)使用人員也需要區(qū)分不同崗位，包括業(yè)務數據錄入、數據檢查、業(yè)務批準等，在他們之間也應有必要的相互牽制。企業(yè)應建立用戶管理制度，加強對重要業(yè)務系統(tǒng)的訪問權限管理，避免將不相容職責授予同一用戶。企業(yè)應當采用密碼控制等技術手段進行用戶身份識別。對于重要的業(yè)務系統(tǒng)，應當采用數字證書、生物識別等可靠性強的技術手段識別用戶身份。對于發(fā)生崗位變化或離崗的用戶，用戶部門應當及時通知系統(tǒng)管理人員調整其在系統(tǒng)中的訪問權限或者關閉賬號。企業(yè)應當定期對系統(tǒng)中的賬號進行審閱，避免存在授權不當或非授權賬號。對于超級用戶，企業(yè)應當嚴格規(guī)定其使用條件和操作程序，并對其在系統(tǒng)中的操作全程進行監(jiān)控或審計。

　　第九，企業(yè)應積極開展信息系統(tǒng)風險評估工作，定期對信息系統(tǒng)進行安全評估，及時發(fā)現系統(tǒng)安全問題并加以整改。

　　（四）系統(tǒng)終結的關鍵控制點和主要控制措施

　　系統(tǒng)終結是信息系統(tǒng)生命周期的最后一個階段，在該階段信息系統(tǒng)將停止運行。停止運行的原因通常有：企業(yè)破產或被兼并、原有信息系統(tǒng)被新的信息系統(tǒng)代替。這一環(huán)節(jié)的主要風險是，第一，因經營條件發(fā)生劇變，數據可能泄密。第二，信息檔案的保管期限不夠長。

　　主要控制措施：第一，要做好善后工作，不管因何種情況導致系統(tǒng)停止運行，都應將廢棄系統(tǒng)中有價值或者涉密的信息進行銷毀、轉移。第二，嚴格按照國家有關法規(guī)制度和對電子檔案的管理規(guī)定（比如審計準則對審計證據保管年限的要求），妥善保管相關信息檔案。