(整理)中石化全套内部控制系统制度信息管理系统文件.73.pptx

精品文档,11.1,信息系统管理业务内部控制矩阵,会计报表认定,1,存在和发生,/,真实性；,2,完整,性；,3,权利与义务；,4,估价或分,会计报表项目,摊；,5,表达和披露；,6,准确性,不相容,控制点,岗位,分值,控制点,相关资料,相关制度,索引,业务目标,业务风险,控制点,适用单位,1,2,3,4,5,6,1.IT,整体层面管理,1.1,经营风险：信息化管理体系不完善，信,1.1,股份公司建立完善的信息化管理体系，设立,ERP,指导委员会，设立信,总部,息化领导小组或,ERP,指导委员会设置不,息系统管理部负责股份公司信息化归口管理工作；各分（子）公司设立信,分（子）公司,健全，信息管理部门职责不落实，导致,息化领导小组或,ERP,指导委员会，定期召开会议，听取、总结和指导本单,6,ERP,指导委员会,1.10.5,或信息化领导,小组成立文,信息化工作受损。,位信息化工作，设立信息管理部门负责本单位信息化管理工作，对信息系,统和信息资源行使管理职责。,件；,会议纪要,信息管理部门职,责文件,1.1,2.2,经营风险：信息化建设中长期规划不符,1.2,根据股份公司发展战略目标和核心业务，结合信息技术发展和股份公,信息系统管理部,合股份公司经营战略目标，导致盲目建,司实际，信息系统管理部负责组织编制股份公司信息化建设中长期规划，,5,股份公司信息化,1.10.5,建设中长期规划,设、投资低效。,在充分征求职能部门、事业部和分（子）公司意见后，组织专家组评审，,并根据专家意见负责组织修改，经信息系统管理部主任审核，按规定权限,审批后，纳入股份公司中长期发展规划。,1.3,教育和培训,经营风险：信息化培训缺乏，导致信息,1.3.1,各级信息管理部门负责编制年度信息化培训计划，经部门负责人审,信息系统管理部,1.1,1.1,2,2,年度培训计划,1.10.5,系统效能低下、信息化管理水平不高、,批后，纳入人事部门年度培训计划,并组织落实。,信息化技能缺失。,分（子）公司,经营风险：信息安全教育不足，导致员,1.3.2,各级信息管理部门配合人事部门开展全员信息安全教育和培训，并,信息系统管理部,分（子）公司,安全教育培训,1.10.5,材料,工信息安全意识薄弱。,在信息门户或内部网站发布安全教育培训材料。,1.4,风险评估,经营风险：信息系统风险评估缺失，导,1.4.1,根据中国石油化工股份有限公司信息系统风险评估管理办法，信,信息系统管理部,1.1,2.2,4,风险评估报告,2.10.3,致信息系统风险。,息系统管理部负责每年对信息系统进行年度综合风险评估，形成风险评估,分（子）公司,报告，并组织专家组对风险评估报告进行评审，专家组对风险评估报告提,出评审意见并签字；分（子）公司信息管理部门会同相关业务部门，通过,多种形式，组织本单位信息系统的风险评估，包括企业信息系统整体风,险、重点系统风险、主要基础设施风险等，形成相关风险评估报告，并将,风险评估报告经信息管理部门负责人审核签字后报信息系统管理部备案。,1.5,信息安全管理,1.1,2.2,经营风险：信息安全规划不当，信息安,1.5.1,信息系统管理部负责编制信息安全规划，在征求职能部门、事业部,信息系统管理部,全方案缺失，导致信息系统风险。,分（子）公司,4,3,3,信息安全规划,2.10.2,信息安全方案,和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修,改，经信息系统管理部主任审核后，正式发布。,各分（子）公司信息管理部门根据股份公司信息安全规划，结合自身生产,经营管理的需要，并针对风险评估报告中提出的问题，负责制订本企业的,信息安全方案，经分管经理审批后报信息系统管理部备案。,1.1,2.2,经营风险：系统未确定关键岗位，关键,1.5.2,依照中国石油化工股份有限公司信息系统安全管理办法规定，,总部各部门,信息系统关键,2.10.2,岗位名录,信息系统关键,岗位安全责任,书,岗位缺乏监管，导致系统存在安全隐,患。,各级信息管理部门负责提出本单位的“信息系统关键岗位名录”，其中涉,分（子）公司,及信息系统安全的关键岗位由信息管理部门确定，涉及业务信息安全的关,键岗位由主管业务部门商本单位保密委员会确定。“信息系统关键岗位名,录”上的关键岗位人员要与所在单位签署“信息系统关键岗位安全责任,书”，并在人事部门备案。,1.1,2.2,经营风险：系统安全岗位设置缺失，导,1.5.3,各级信息管理部门根据中国石油化工股份有限公司信息系统安全,信息系统管理部,致系统存在安全隐患。,分（子）公司,安全管理员授,2.10.2,权书,安全管理员资,质证书,管理办法中的有关要求，按照不相容岗位分离的原则，设立安全管理,员。安全管理员必须具有相应资质，并经部门负责人审批授权。,精品文档,精品文档,会计报表认定,1,存在和发生,/,真实性；,2,完整,性；,3,权利与义务；,4,估价或分,会计报表项目,摊；,5,表达和披露；,6,准确性,不相容,控制点,岗位,分值,控制点,相关资料,相关制度,索引,业务目标,业务风险,控制点,适用单位,1,2,3,4,5,6,2.,编制年度项目建议计划,经营风险：年度信息化项目建议计划不,2.1,信息系统管理部根据股份公司信息化建设中长期规划和职能部门、事,信息系统管理部,符合股份公司经营战略目标，导致盲目,业部、分（子）公司申报的项目建议计划，结合年度实际，编制年度信息,分（子）公司,1.1,2.2,5,信息化建设年,1.10.5,度计划,建设、投资低效。,化项目建议计划，由信息系统管理部主任审核，按规定权限审批后，分别,纳入股份公司年度投资计划、科技开发项目计划管理。各分（子）公司信,息管理部门负责编制年度信息化项目建议计划预案，按规定权限审批后，,分别纳入本单位年度投资建议计划、科技开发项目建议计划，上报信息系,统管理部和总部相关部门审核。,3.,项目可行性研究和评审,1.1,1.2,经营风险：项目可行性研究报告提出的,3.1,信息管理部门会同项目责任部门,(,单位,),委托有资格的单位承担项目可,信息系统管理部,技术方案不合理，业务流程不规范，系,行性研究，并组织专家组对项目可行性研究报告进行评审，专家组对项目,分（子）公司,统功能不健全，可研评审不到位，导致,需求、目标、技术路线、风险分析、投资与效益、进度、组织落实等提出,5,5,可行性研究报,1.10.2,告,系统建设不能满足业务需求。,可行性研究评审意见并签字。,4.,项目立项审批,经营风险：信息化项目缺乏统一归口管,4.1,通过可研评审的固定资产投资限额（,200,万元）及以上的信息技术项,信息系统管理部,理，审批过程不规范，导致重复建设，,目，由信息系统管理部报发展计划部立项，批准立项的项目，由发展计划,发展计划部,1.1,1.2,立项批文,1.10.2,低效投资。,部列入年度投资计划；申请总部立项的固定资产投资限额（,200,万元）以,科技开发部,下的信息技术项目，由信息系统管理部负责审批，报发展计划部备案；由,事业部,各事业部审批的投资限额以下的信息技术项目投资计划，须经信息系统管,分（子）公司,理部和发展计划部会签。,各分（子公司一般措施及零星购置的信息技术项目在总部每年核定的限,额以内，由各分（子）公司根据当期生产经营管理的需要，按规定权限审,批后报各主管事业部、信息系统管理部和发展计划部审核备案，并纳入股,份公司年度投资计划管理。,通过可研评审的科技开发项目，由信息系统管理部报科技开发部立项，批,准立项的项目，由科技开发部列入年度项目计划。,1.1,1.2,经营风险：总体（基础）设计技术方案,4.2,对批准立项的、投资在,500,万元及以上的项目，信息系统管理部委托,信息系统管理部,不合理，业务流程不规范，系统功能不,有资格的单位按要求对项目进行总体（基础）设计，其中投资在,2000,万,健全，专家组评审不到位，导致系统建,元及以上的项目需组织专家组对项目总体（基础）设计进行评审，专家组,3,4,总体（基础）,1.10.2,设计评审材料,设不能满足业务需求。,对项目需求分析、目标、功能设计、投资概算等提出评审意见并签字，由,信息系统管理部负责审批总体（基础）设计，报发展计划部备案。,5.,合同签订,1.1,1.2,经营风险：承建单位资质及经验欠缺，,5.1,信息管理部门负责组织项目责任部门,(,单位,),审查集成商、咨询商、开,信息系统管理部,导致项目建设受损。未经审核，变更信,发商及供应商的资质，开展询比价、商务谈判等工作；涉及有关计算机服,物资装备部,息技术合同标准文本中涉及的权利、义,务器、PC,机、打印机采购事宜，由物资采购部门归口管理、信息管理部门,分（子）公司,合同,技术附件,1.10.2,固定资产,无形资产,务等条款，导致财务风险。,财务风险：,告。,配合开展采购工作。依照规定权限并按经法律事务部审定的标准合同文本,交易不真实，影响财务报,签订合同；项目责任部门,(,单位,),负责完成合同技术附件，并由负责人签字,确认。,6.,项目实施,1.1,1.2,经营风险：详细设计技术方案不合理，,6.1,项目实施单位根据合同技术附件或总体设计进行详细设计，详细设计,信息系统管理部,业务流程不规范，系统功能不健全，审,的形式可根据项目类别的不同（自主开发项目、引进试点项目、推广完善,分（子）公司,查不到位，导致系统建设不能满足业务,项目、基础设施项目）采取与项目类别相适应的形式，投资在,500,万元及,4,3,项目详细设计,1.10.2,需求。,以上的项目需由信息管理部门组织人员对项目详细设计进行审查，项目实,施单位根据审查意见进一步修改完善深化详细设计。,1.1,1.2,经营风险：基础数据不完整、不准确、,6.2,项目责任部门,(,单位,),负责项目实施，业务部门组织数据的收集、整,不真实，导致系统无法正常投运或计算,理、录入、审核，并进行审查和确认，保证数据的真实、完整和准确。,出错。,信息系统管理部,分（子）公司,1.10.2,精品文档,精品文档,会计报表认定,1,存在和发生,/,真实性；,2,完整,性；,3,权利与义务；,4,估价或分,会计报表项目,摊；,5,表达和披露；,6,准确性,不相容,控制点,岗位,分值,控制点,相关资料,相关制度,索引,业务目标,业务风险,控制点,适用单位,1,2,3,4,5,6,1.1,1.2,2.1,经营风险：系统安装调试不当，用户培,6.3,信息管理部门负责对项目实施单位承担的软硬件系统安装调试、用户,信息系统管理部,训缺失，导致系统运行受损。,培训进行检查，审核和确认测试报告，并检查相应软件的合法性，提供经,分（子）公司,合规风险：安装的软件侵犯知识产权，,双方签字的检查记录。,导致诉讼及股份公司声誉受到损害。,3系统安装调试,1.10.2,和用户培训报,告,软件验收报告,1.1,1.2,经营风险：项目监管不力，系统建设延,6.4,信息管理部门负责组织对项目建设的阶段验收，进行项目建设质量、,信息系统管理部,进度、标准执行和成本控制等检查，提出阶段验收报告；项目实施单位根,分（子）公司,据阶段验收报告对系统进行修改完善。,500,万元以下的一般信息技术项目可根据项目具体实施情况，只进行竣工,验收。,经营风险：项目监管不力，系统建设延,6.5,项目责任部门,(,单位,),负责至少每季度向信息管理部门提交项目实施报,信息系统管理部,经办,3,3,阶段验收报告,1.10.2,误，导致系统不能按期投用。,1.1,1.2,项目实施报告,1.10.2,付款申请,在建工程,货币资金,应付账款,误，导致系统不能按期投用或资金流,失。,告，内容包括项目进度、质量、经费使用、存在问题和整改措施等；根据,分（子）公司,合同约定填写付款申请，按规定权限审批后办理付款。,审批,财务风险：未按约定付款，影响财务报,告。,1.1,1.2,经营风险：集成测试不完整，造成系统,6.6,信息管理部门组织对系统进行集成测试，形成集成测试评价意见；并,信息系统管理部,评估不准确。,根据集成测试评价意见责成项目实施单位进行修改完善。,分（子）公司,3,5,集成测试评价,1.10.2,意见,1.1,1.2,经营风险：技术文档不完整、造成系统,6.7,项目责任部门,(,单位,),责成项目实施单位负责知识转移，并提交项目相,信息系统管理部,关的技术文档（包括用户使用手册、系统维护手册、系统安全和使用授权,分（子）公司,管理办法、应急处理办法及用户培训教材等资料）。,项目技术文档,1.10.2,应用维护困难,7.,项目竣工验收,经营风险：单轨运行时间过短，无法完,7.1,项目完成全部的规定目标任务后，投资,2000,万元及以上的项目单轨连,信息系统管理部,1.1,1.2,4,3,项目验收意见,1.10.2,成对系统的准确评价,续稳定运行,6,个月以上，其它项目单轨连续稳定运行,3,个月以上，由项目,分（子）公司,责任部门,(,单位,),以正式行文方式提交项目竣工验收申请，同时提交项目验,收相关材料一并审核。总部批复的项目向信息系统管理部提交验收申请，,由信息系统管理部负责组织项目验收工作。分,(,子,),公司自行批复的项目向,企业信息管理部门提交验收申请，由分,(,子,),公司信息管理部门负责组织项,目验收工作。专家组形成验收意见并签字。,1.1,1.2,经营风险：竣工验收决算报告或审计报,7.2,信息管理部门会同财务部门按规定进行项目竣工结算。财务部门按竣,财务部,告不严格，导致资金外流,财务风险：未按约定付款，影响财务报,及有关规定，经财务部门负责人审核后，进行账务处理。相关会计凭证须,分（子）公司,告。,经不相容岗位人员稽核。,合规风险：违反国家和企业会计制度，,在信息技术项目达到预定的可使用状态时，财务部门应依据有关部门提供,信息部门,竣工验收决算,1.10.2,报告,在建工程,固定资产,工验收决算报告或审计报告办理项目转资手续，按股份公司内部会计制度,信息系统管理部,财务部门,造成项目资金损失。,的手续，按照股份公司内部会计制度，经部门负责人审核后，暂估入账。,相关会计凭证须经不相容岗位人员稽核。,经营风险：后评价报告缺失，无法定性,7.3,对固定资产投资,2000,万元及以上的试点项目，通过验收后，信息管理,信息系统管理部,1.1,1.2,2,4,后评价报告,1.10.2,和定量评估项目的经济效益和社会效,益。,部门组织专家组对项目进行后评价，专家组提出后评价报告并签字。,分（子）公司,8.,系统应用和维护,经营风险：由于第三方资质问题或信息,8.1,需委托维护的信息系统，信息管理部门负责审查系统服务商资质，并,信息系统管理部,管理部门缺乏专人维护，系统维护质量,签订系统维护服务合同以及安全保密协议；由信息管理部门自行维护的，,分（子）公司,受损。,则指定专人负责维护，制定岗位职责。,1.1,1.2,系统维护服务,1.10.5,合同及安全保,密协议,系统维护相关,岗位职责说明,精品文档,精品文档,会计报表认定,1,存在和发生,/,真实性；,2,完整,性；,3,权利与义务；,4,估价或分,会计报表项目,摊；,5,表达和披露；,6,准确性,不相容,控制点,岗位,分值,控制点,相关资料,相关制度,索引,业务目标,业务风险,控制点,适用单位,1,2,3,4,5,6,1.1,1.2,2.1,经营风险：数据维护、用户管理等制度,8.2,项目责任部门,(,单位,),负责业务流程、业务工作标准、数据维护、用户,信息系统管理部,6,相关系统运维,1.10.5,制度或规定,用户培训记录,缺失，系统日常维护、用户培训等欠,管理、数据使用安全、知识产权合法性使用及相关制度的制定和落实等工,分（子）公司,缺，造成工作受损。,作。,合规风险：软件使用侵犯知识产权，导,信息管理部门负责组织日常软硬件系统维护、合法软件使用情况检查和关,致诉讼及股份公司声誉受到损害。,键用户与一般用户的培训、考核等工作。,9.,系统升级,1.1,1.2,经营风险：系统功能陈旧，导致不能满,9.1,项目责任部门,(,单位,),负责对业务流程与系统模型进行适时评价，并根,信息系统管理部,足业务需求。,3,3,应用软件升级,申请,据评价和修正意见，提出应用软件的升级申请，责任部门,(,单位,),负责人须,分（子）公司,签字确认。升级申请纳入计划后组织实施。,1.1,1.2,经营风险：系统升级不当，造成系统工,9.2,信息管理部门负责组织对系统软、硬件进行适时评价，并根据评价意,信息系统管理部,见提出系统软、硬件升级申请，信息管理部门负责人须签字确认。升级申,分（子）公司,请纳入计划后组织实施。,系统软、硬件,升级申请,作不正常。,11.1,信息系统管理业务流程,一、,1,业务目标,经营目标,1.1,1.2,2,满足生产经营管理业务需求，提高管理水平、技术水平和市场应变能力，提高核心竞争力。,达到系统建设预期目标，系统运行安全、稳定，出现系统故障时能够及时恢复，系统具有扩展性、集成性。,合规目标,2.1,2.2,遵守保护知识产权的有关法律法规，使用合法软件。,信息技术控制符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求。,二、,1,业务风险,经营风险,1.1,1.2,信息化管理体系不完善，信息管理部门职责不落实，导致信息化工作受损。,信息系统建设项目不符合股份公司经营战略目标，导致盲目建设、投资低效。,精品文档,精品文档,本流程适用于列入股份公司固定资产投资和科技开发项目计划的信息系统建设、运行和维护，有关科技开发项目的立项和经费管理按,3.3,科技开发费管理业务流程控制。,信息系统业务,根据其特点执行,11.1,信息系统管理业务流程,但应参见,6.1,资本支出业务流程。,1.3,1.4,1.5,1.6,1.7,1.8,1.9,1.10,2,信息安全规划不当，风险评估缺失，信息安全教育不足，员工安全意识薄弱，导致信息系统风险。,技术方案不合理，业务流程不规范，系统功能不健全，导致系统不能满足业务需求。,基础数据不完整、不准确、不真实，导致系统无法正常投运或计算出错。,项目监管不力，系统建设延误，导致系统不能按期投用或资金流失。,系统运行不稳定，数据失真、丢失，导致日常业务工作无法正常进行。,系统存在网络故障、病毒侵袭等安全问题，导致非法入侵及泄密等，或系统灾难无法及时恢复。,系统运维不落实，功能陈旧，导致不能满足业务需求。,未经审核，变更信息技术合同标准文本中涉及的权利、义务等条款，造成损失。,财务风险,2.1,3,交易不真实，未按约定付款，影响财务报告。,合规风险,3.1,3.2,3.3,侵犯知识产权，导致诉讼及股份公司声誉受到损害。,信息技术控制不符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求,造成损失。,违反国家和企业会计制度，造成项目资金损失。,三、,1,业务流程步骤与控制点,IT,整体层面管理,1.1,股份公司建立完善的信息化管理体系，设立,ERP,指导委员会,设立信息系统管理部负责股份公司信息化归口管理工作,;,各分（子）公司设立信,息化领导小组或,ERP,指导委员会，定期召开会议，听取、总结和指导本单位信息化工作，设立信息管理部门负责本单位信息化管理工作，对,信息系统和信息资源行使管理职责。,1.2,根据股份公司发展战略目标和核心业务，结合信息技术发展和股份公司实际，信息系统管理部负责组织编制股份公司信息化建设中长期规,精品文档,精品文档,划，在充分征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修改，经信息系统管理部主任审核，,按规定权限审批后，纳入股份公司中长期发展规划。,教育和培训,1.3,1.3.1,各级信息管理部门负责编制年度信息化培训计划，经部门负责人审批后，纳入人事部门年度培训计划,并组织落实。,1.3.2,各级信息管理部门配合人事部门开展全员信息安全教育和培训，并在信息门户或内部网站发布安全教育培训材料。,1.4,风险评估,1.4.1,根据中国石油化工股份有限公司信息系统风险评估管理办法，信息系统管理部负责每年对信息系统进行年度综合风险评估，形成风险评估报告，并组织专家组对风险评估报告进行评审，专家组对风险评估报告提出评审意见并签字；分（子）公司信息管理部门会同相关业务部,门，通过多种形式，组织本单位信息系统的风险评估，包括企业信息系统整体风险、重点系统风险、主要基础设施风险等，形成相关风险评,估报告，并将风险评估报告经信息管理部门负责人审核签字后报信息系统管理部备案。,1.5,信息安全管理,1.5.1,信息系统管理部负责编制信息安全规划，在征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修,改，经信息系统管理部主任审核后，正式发布。,各分（子）公司信息管理部门根据股份公司信息安全规划，结合自身生产经营管理的需要，并针对风险评估报告中提出的问题，负责制订本,企业的信息安全方案，经分管经理审批后报信息系统管理部备案。,1.5.2,依照中国石油化工股份有限公司信息系统安全管理办法规定，各级信息管理部门负责提出本单位的“信息系统关键岗位名录”，其中涉,及信息系统安全的关键岗位由信息管理部门确定，涉及业务信息安全的关键岗位由主管业务部门商本单位保密委员会确定。“信息系统关键,岗位名录”上的关键岗位人员要与所在单位签署“信息系统关键岗位安全责任书”，并在人事部门备案。,1.5.3,各级信息管理部门根据中国石油化工股份有限公司信息系统安全管理办法中的有关要求，按照不相容岗位分离的原则，设立安全管理,员。安全管理员必须具有相应资质，并经部门负责人审批授权。,2,编制年度项目建议计划,2.1,信息系统管理部根据股份公司信息化建设中长期规划和职能部门、事业部、分（子）公司申报的项目建议计划，结合年度实际，编制年度信,息化项目建议计划，由信息系统管理部主任审核，按规定权限审批后，分别纳入股份公司年度投资计划、科技开发项目计划管理。各分,精品文档,精品文档,（子）公司信息管理部门负责编制年度信息化项目建议计划预案，按规定权限审批后，分别纳入本单位年度投资建议计划、科技开发项目建,议计划，上报信息系统管理部和总部相关部门审核。,3,项目可行性研究和评审,3.1,信息管理部门会同项目责任部门,(,单位,),委托有资格的单位承担项目可行性研究，并组织专家组对项目可行性研究报告进行评审，专家组对项,目需求、目标、技术路线、风险分析、投资与效益、进度、组织落实等提出可行性研究评审意见并签字。,项目立项审批,4,4.1,通过可研评审的固定资产投资限额（,200,万元）及以上的信息技术项目，由信息系统管理部报发展计划部立项，批准立项的项目，由发展计,划部列入年度投资计划；申请总部立项的固定资产投资限额（,200,万元）以下的信息技术项目，由信息系统管理部负责审批，报发展计划部,备案；由各事业部审批的投资限额以下的信息技术项目投资计划，须经信息系统管理部和发展计划部会签。,各分（子）公司一般措施及零星购置的信息技术项目在总部每年核定的限额以内，由各分（子）公司根据当期生产经营管理的需要，按规定,权限审批后报各主管事业部、信息系统管理部和发展计划部审核备案，并纳入股份公司年度投资计划管理。,通过可研评审的科技开发项目，由信息系统管理部报科技开发部立项，批准立项的项目，由科技开发部列入年度项目计划。,对批准立项的、投资在,500,万元及以上的项目，信息系统管理部委托有资格的单位按要求对项目进行总体（基础）设计，其中投资在,2000,万,元及以上的项目需组织专家组对项目总体（基础）设计进行评审，专家组对项目需求分析、目标、功能设计、投资概算等提出评审意见并签,字，由信息系统管理部负责审批总体（基础）设计报发展计划部备案。,4.2,5,合同签订,5,1,信息管理部门负责组织项目责任部门,(,单位,),审查集成商、咨询商、开发商及供应商的资质，开展询比价、商务谈判等工作；涉及有关计算机,服务器、,PC,机、打印机采购事宜，由物资采购部门归口管理、信息管理部门配合开展采购工作。依照规定权限并按经法律事务部审定的标准,合同文本签订合同；项目责任部门,(,单位,),负责完成合同技术附件，并由负责人签字确认。,6,项目实施,6.1,项目实施单位根据合同技术附件或总体设计进行详细设计，详细设计的形式可根据项目类别的不同（自主开发项目、引进试点项目、推广完,善项目、基础设施项目）采取与项目类别相适应的形式投资在,500,万元及以上的项目需由信息管理部门组织人员对项目详细设计进行审,精品文档,精品文档,查，项目实施单位根据审查意见进一步修改完善深化详细设计。,6.2,6.3,项目责任部门,(,单位,),负责项目实施，业务部门组织数据的收集、整理、录入、审核，并进行审查和确认，保证数据的真实、完整和准确。,信息管理部门负责对项目实施单位承担的软硬件系统安装调试、用户培训进行检查，审核和确认测试报告，并检查相应软件的合法性，提供,经双方签字的检查记录。,6.4,6.5,信息管理部门负责组织对项目建设的阶段验收，进行项目建设质量、进度、标准执行和成本控制等检查，提出阶段验收报告；项目实施单位,根据阶段验收报告对系统进行修改完善。,500,万元以下的一般信息技术项目可根据项目具体实施情况，只进行竣工验收。,项目责任部门,(,单位,),负责至少每季度向信息管理部门提交项目实施报告，内容包括项目进度、质量、经费使用、存在问题和整改措施等；根,据合同约定填写付款申请，按规定权限审批后办理付款。,6.6,6.7,信息管理部门组织对系统进行集成测试，形成集成测试评价意见；并根据集成测试评价意见责成项目实施单位进行修改完善。,项目责任部门,(,单位,),责成项目实施单位负责知识转移，并提交项目相关的技术文档（包括用户使用手册、系统维护手册、系统安全和使用授,权管理办法、应急处理办法及用户培训教材等资料7,项目竣工验收,7.1,项目完成全部的规定目标任务后，投资,2000,万元及以上的项目单轨连续稳定运行,6,个月以上，其它项目单轨连续稳定运行,3,个月以上，由项,目责任部门,(,单位,),以正式行文方式提交项目竣工验收申请，同时提交项目验收相关材料一并审核。总部批复的项目向信息系统管理部提交验,收申请，由信息系统管理部负责组织项目验收工作。分,(,子,),公司自行批复的项目向企业信息管理部门提交验收申请，由分,(,子,),公司信息管理,部门负责组织项目验收工作。专家组形成验收意见并签字。,7.2,信息管理部门会同财务部门按规定进行项目竣工结算。财务部门按竣工验收决算报告或审计报告办理项目转资手续，按股份公司内部会计制,度及有关规定，经财务部门负责人审核后，进行账务处理。相关会计凭证须经不相容岗位人员稽核。,在信息技术项目达到预定的可使用状态时，财务部门应依据有关部门提供的手续，按照股份公司内部会计制度，经部门负责人审核后，暂估,入账。相关会计凭证须经不相容岗位人员稽核。,7.3,对固定资产投资,2000,万元及以上的试点项目，通过验收后，信息管理部门组织专家组对项目进行后评价，专家组提出后评价报告并签字。,精品文档,精品文档,8,系统应用和维护,8.1,需委托维护的信息系统，信息管理部门负责审查系统服务商资质，并签订系统维护服务合同以及安全保密协议；由信息管理部门自行维护的，则指定专人负责维护，制定岗位职责。,8.2,项目责任部门,(,单位,),负责业务流程、业务工作标准、数据维护、用户管理、数据使用安全、知识产权合法性使用及相关制度的制定和落实等,工作。,信息管理部门负责组织日常软硬件系统维护、合法软件使用情况检查和关键用户与一般用户的培训、考核等工作。,9,系统升级,9.1,项目责任部门,(,单位,),负责对业务流程与系统模型进行适时评价，并根据评价和修正意见，提出应用软件的升级申请，责任部门,(,单位,),负责人,须签字确认。升级申请纳入计划后组织实施。,9.2,信息管理部门负责组织对系统软、硬件进行适时评价，并根据评价意见提出系统软、硬件升级申请，信息管理部门负责人须签字确认。升级,申请纳入计划后组织实施。,四、,相关制度目录（制度后标号为内控手册配套规章,制度汇编目录索引号）,1,2,3,4,中国石油化工股份公司信息化管理办法（石化股份信,2007389,号）,-1.10.5,中国石油化工股份有限公司信息技术项目管理办法（试行）（石化股份信,2004266,号）,-1.10.2,中国石油化工股份有限公司信息系统风险评估管理办法（石化股份信综,200637,号）,-2.10.3,中国石油化工股份有限公司公司信息系统安全管理办法（石化股份信系,2006,第,35,号,-2.10.2,11.2,信息资源管理业务内部控制矩阵,会计报表认定,1,存在和发生,/,真实性；,2,完整,性；,3,权利与义务；,4,估价或分,会计报表项目,摊；,5,表达和披露；,6,准确性,不相容,岗位,控制点,分值,相关制度,索引,业务目标,业务风险,控制点,适用单位,控制点相关资料,1,2,3,4,5,6,1.,各部门梳理信息和需求,精品文档,精品文档,会计报表认定,1,存在和发生,/,真实性；,2,完整,性；,3,权利与义务；,4,估价或分,会计报表项目,摊；,5,表达和披露；,6,准确性,不相容,岗位,控制点,分值,相关制度,索引,业务目标,业务风险,控制点,适用单位,控制点相关资料,1,2,3,4,5,6,1.1,经营风险：信息梳理不恰当，信息目录不明,1.1,股份公司各职能部门、事业部、分（子）公司各部门（以下统,总部各部门,8,7,部门内部信息目录,1.10.1,部门信息需求目录,1.10.1,晰，导致信息管理有误，效率低下。,称各部门）首先梳理本部门管理的内部信息，即本部门形成的和直,分（子）公司,接管理的内部信息，制定部门内部信息目录，并由部门负责人签字,确认。,1.1,经营风险：信息需求不明确，需求目录不明,1.2,各部门依据业务职责梳理各种外部信息需求，包括需要其他部,总部各部门,晰，导致信息提供有误，效率低下。,门提供的信息和需外购的信息，形成相应的部门信息需求目录，并,分（子）公司,明确信息内容、信息提供频率和信息提供方式等。部门信息需求目,录由部门负责人签字确认。,2.,汇总各部门需部门外提供的信息需求,1.1,经营风险：共享信息需求目录和外购信息需,2.1,信息管理部门组织汇总各部门需要其他部门提供的信息和需外,信息系统管理部,求目录未经各部门核对确认，未经相关领导,购的信息，编制部门间共享信息需求目录和外购信息需求目录，分,分（子）公司,5,部门间共享信息需,1.10.1,求目录,外购信息需求目录,审核批准，导致信息共享落空。,别反馈各部门核对确认。总部部门间共享信息需求目录由股份公司,副总裁审核批准；分（子）公司部门间共享信息需求目录由分,（子）公司分管副经理审核批准。,3.,落实部门间共享信息源和外购信息源,1.1,经营风险：部门间共享信息源不落实，导致,3.1,信息管理部门协助信息需求部门落实部门间共享信息源，信息,信息系统管理部,1.2,信息提供落空。,提供部门负责按审核后的部门间共享信息需求目录提供共享信息。,分（子）公司,1.1,经营风险：外购信息源不落实，导致信息提,3.2,外购信息的订购、采集由信息管理部门统一归口管理。外购信,总部各部门,1.2,供落空。,息源由信息管理部门和相关部门综合考虑信息的权威性、时效性和,分（子）公司,未经审核，变更信息购入、转让合同示范文,提供方式，按外购信息需求目录逐一确定。,本中有关权利、义务的条款，导致损失。,7,8,1.10.1,1.101,4.,信息分级,1.2,经营风险：信息分级不当，导致信息送达不,4.1,各部门依据中国石化信息分级及信息门户授权规则及其它,总部各部门,12,部门信息密级目录,1.10.4,列表,2.1,当，贻误工作。,违反股份公司保密等规定，导致商业秘密信,息、商业秘密信息等，形成本部门信息密级目录列表，由部门负责,息流失。,人签字确认。信息管理部门汇总各部门信息密级目录列表，作为信,相关保密规定，对本部门管理的内部信息实施分级，确定一般信,分（子）公司,合规风险：信息的收集、提供、使用、转让,息资源管理和信息访问控制的基础。,违反国家法律法规及导致处罚；违反股份公,司内部规章制度等，导致商业秘密流失5.,信息集中和信息整合,经营风险：信息平台功能欠缺，信息集成度,5.1,信息管理部门负责建立内部公共信息平台，实施信息集中和信,1.1,不够，信息处理不当，导致信息质量下降。,息整合，采用统一标准接入、存储、处理和发布各类信息。,1.2,1.3,信息系统管理部,分（子）公司,10,1.10.1,6.,信息授权,1.1,经营风险：部门信息授权不当，导致信息泄,6.1,信息管理部门依据股份公司有关信息资源管理的规定，按照各,信息系统管理部,信息管理部,部门管理职责及部门间共享信息需求目录，通过信息平台对各部门,分（子）公司,实施信息授权。,5,1.10.4,1.2,密或贻误工作。,门,相关部门,1.1,经营风险：员工信息授权不当，导致信息泄,6.2,各部门依据中国石化信息分级及信息门户授权规则，结合,总部各部门,1.2,密或贻误工作。,本部门信息密级目录列表，按照员工的工作职责，形成本部门员工,分（子）公司,2.1,违反股份公司保密等规定，导致商业秘密信,信息授权列表，并由部门负责人审查签字，通过信息平台对员工分,息流失。,别进行信息授权，保证信息准确送达。员工工作岗位发生变动，应,信息管理部,门,相关部门,10,部门员工信息授权,1.10.4,列表,合规风险：信息的收集、提供、使用、转让,及时变更信息授权列表，通过信息平台及时变更信息授权。,违反国家法律法规及导致处罚；违反股份公,司内部规章制度等，导致商业秘密流失。,7.,信息使用和共享,精品文档,精品文档,会计报表认定,1,存在和发生,/,真实性；,2,完整,性；,3,权利与义务；,4,估价或分,会计报表项目,摊；,5,表达和披露；,6,准确性,不相容,岗位,控制点,分值,相关制度,索引,业务目标,业务风险,控制点,适用单位,控制点相关资料,1,2,3,4,5,6,1.1,经营风险：内部信息更新不及时，信息传输,7.1,信息提供部门负责源信息的维护，保证信息的时效性，按日、,总部各部门,1.3,延误，影响决策和管理。,按周、按月等适时更新。,分（子）公司,6,5,6,1.10.1,1.10.1,1.1,经营风险：外部信息更新不及时，信息传输,7.2,信息管理部门及有关部门做好外购信息的及时采集和处理，保,总部各部门,1.3,延误，影响决策和管理。,证信息的时效性，按日、按周、按月等适时更新。,分（子）公司,1.3,经营风险：信息平台维护不够，导致信息处,7.3,信息管理部门加强公共信息平台的维护，保证信息处理可靠及,信息系统管理部,分（子）公司,信息平台使用和运,1.10.1,维季度报告,理、信息使用质量下降。,时，信息使用灵活方便，并提交季度信息平台使用和运维报告。,8.,信息质量反馈,1.1,经营风险：信息使用问题未及时反馈提交，,8.1,信息使用部门针对信息的准确性、时效性、完整性和一致性提,总部各部门,出意见，由信息管理部门及时汇总后分别送达相关信息提供部门，,分（子）公司,协助和督促信息提供部门不断提高共享信息的质量。,6,5,1.10.1,信息质量反馈意,见表,1.3,导致信息共享信息质量欠佳。,1.1,经营风险：信息平台未及时提升，导致性,1.2,能、功能、服务不能满足工作需求。,1.3,8.2,信息管理部门随时收集各部门有关公共信息平台性能、功能、,信息系统管理部,分（子）公司,信息平台提升年度,1.10.1,报告,服务等方面的意见，制定提升方案，落实提升措施，跟踪提升效,果，并提交年度信息平台提升报告。,11.2,信息资源管理业务流程,一、,业务目标,1,经营目标,1.1