内部控制手册内控矩阵C——111信息系统管理业务内部控制矩阵.doc

11.1信息系统管理业务内部控制矩阵
业务目标
业务风险
控制点
适用单位
不相容
岗位
控制点分值
控制点
相关资料
相关制度索引
会计报表认定
会计报表项目
1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性
1
2
3
4
5
6

1. IT整体层面管理

1.1

经营风险：信息化管理体系不完善，信息化领导小组或ERP指导委员会设置不健全，信息管理部门职责不落实，导致信息化工作受损。

1.1股份公司建立完善的信息化管理体系，设立ERP指导委员会，设立信息系统管理部负责股份公司信息化归口管理工作；各分（子）公司设立信息化领导小组或ERP指导委员会，定期召开会议，听取、总结和指导本单位信息化工作，设立信息管理部门负责本单位信息化管理工作，对信息系统和信息资源行使管理职责。
总部
分（子）公司

6
ERP指导委员会或信息化领导小组成立文件；
会议纪要
信息管理部门职责文件
1.10.5

1.1
2.2
经营风险：信息化建设中长期规划不符合股份公司经营战略目标，导致盲目建设、投资低效。
1.2根据股份公司发展战略目标和核心业务，结合信息技术发展和股份公司实际，信息系统管理部负责组织编制股份公司信息化建设中长期规划，在充分征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修改，经信息系统管理部主任审核，按规定权限审批后，纳入股份公司中长期发展规划。
信息系统管理部

5
股份公司信息化建设中长期规划

1.10.5

1.3教育和培训

1.1
经营风险：信息化培训缺乏，导致信息系统效能低下、信息化管理水平不高、信息化技能缺失。
1.3.1各级信息管理部门负责编制年度信息化培训计划，经部门负责人审批后，纳入人事部门年度培训计划,并组织落实。
信息系统管理部
分（子）公司

2
年度培训计划
1.10.5

1.1
经营风险：信息安全教育不足，导致员工信息安全意识薄弱。
1.3.2各级信息管理部门配合人事部门开展全员信息安全教育和培训，并在信息门户或内部网站发布安全教育培训材料。
信息系统管理部
分（子）公司

2
安全教育培训材料
1.10.5

1.4风险评估

1.1
2.2
经营风险：信息系统风险评估缺失，导致信息系统风险。
1.4.1根据《中国石油化工股份有限公司信息系统风险评估管理办法》，信息系统管理部负责每年对信息系统进行年度综合风险评估，形成风险评估报告，并组织专家组对风险评估报告进行评审，专家组对风险评估报告提出评审意见并签字；分（子）公司信息管理部门会同相关业务部门，通过多种形式，组织本单位信息系统的风险评估，包括企业信息系统整体风险、重点系统风险、主要基础设施风险等，形成相关风险评估报告，并将风险评估报告经信息管理部门负责人审核签字后报信息系统管理部备案。
信息系统管理部
分（子）公司

4
风险评估报告
2.10.3

1.5信息安全管理

1.1
2.2
经营风险：信息安全规划不当，信息安全方案缺失，导致信息系统风险。
1.5.1信息系统管理部负责编制信息安全规划，在征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修改，经信息系统管理部主任审核后，正式发布。
各分（子）公司信息管理部门根据股份公司信息安全规划，结合自身生产经营管理的需要，并针对风险评估报告中提出的问题，负责制订本企业的信息安全方案，经分管经理审批后报信息系统管理部备案。
信息系统管理部
分（子）公司

4
信息安全规划
信息安全方案
2.10.2

1.1
2.2
经营风险：系统未确定关键岗位，关键岗位缺乏监管，导致系统存在安全隐患。
1.5.2依照《中国石油化工股份有限公司信息系统安全管理办法》规定，各级信息管理部门负责提出本单位的“信息系统关键岗位名录”，其中涉及信息系统安全的关键岗位由信息管理部门确定，涉及业务信息安全的关键岗位由主管业务部门商本单位保密委员会确定。“信息系统关键岗位名录”上的关键岗位人员要与所在单位签署“信息系统关键岗位安全责任书”，并在人事部门备案。
总部各部门
分（子）公司

3
信息系统关键岗位名录
信息系统关键岗位安全责任书
2.10.2

1.1
2.2
经营风险：系统安全岗位设置缺失，导致系统存在安全隐患。
1.5.3各级信息管理部门根据《中国石油化工股份有限公司信息系统安全管理办法》中的有关要求，按照不相容岗位分离的原则，设立安全管理员。安全管理员必须具有相应资质，并经部门负责人审批授权。
信息系统管理部
分（子）公司

3
安全管理员授权书
安全管理员资质证书
2.10.2

2. 编制年度项目建议计划

1.1
2.2
经营风险：年度信息化项目建议计划不符合股份公司经营战略目标，导致盲目建设、投资低效。

2.1信息系统管理部根据股份公司信息化建设中长期规划和职能部门、事业部、分（子）公司申报的项目建议计划，结合年度实际，编制年度信息化项目建议计划，由信息系统管理部主任审核，按规定权限审批后，分别纳入股份公司年度投资计划、科技开发项目计划管理。各分（子）公司信息管理部门负责编制年度信息化项目建议计划预案，按规定权限审批后，分别纳入本单位年度投资建议计划、科技开发项目建议计划，上报信息系统管理部和总部相关部门审核。
信息系统管理部
分（子）公司

5
信息化建设年度计划
1.10.5

3. 项目可行性研究和评审

1.1
1.2
经营风险：项目可行性研究报告提出的技术方案不合理，业务流程不规范，系统功能不健全，可研评审不到位，导致系统建设不能满足业务需求。

3.1信息管理部门会同项目责任部门(单位)委托有资格的单位承担项目可行性研究，并组织专家组对项目可行性研究报告进行评审，专家组对项目需求、目标、技术路线、风险分析、投资与效益、进度、组织落实等提出可行性研究评审意见并签字。
信息系统管理部
分（子）公司

5
可行性研究报告
1.10.2

4.项目立项审批

1.1
1.2
经营风险：信息化项目缺乏统一归口管理，审批过程不规范，导致重复建设，低效投资。
4.1通过可研评审的固定资产投资限额（200万元）及以上的信息技术项目，由信息系统管理部报发展计划部立项，批准立项的项目，由发展计划部列入年度投资计划；申请总部立项的固定资产投资限额（200万元）以下的信息技术项目，由信息系统管理部负责审批，报发展计划部备案；由各事业部审批的投资限额以下的信息技术项目投资计划，须经信息系统管理部和发展计划部会签。
各分（子）公司一般措施及零星购置的信息技术项目在总部每年核定的限额以内，由各分（子）公司根据当期生产经营管理的需要，按规定权限审批后报各主管事业部、信息系统管理部和发展计划部审核备案，并纳入股份公司年度投资计划管理。
通过可研评审的科技开发项目，由信息系统管理部报科技开发部立项，批准立项的项目，由科技开发部列入年度项目计划。
信息系统管理部
发展计划部
科技开发部
事业部
分（子）公司

5
立项批文
1.10.2

1.1
1.2
经营风险：总体（基础）设计技术方案不合理，业务流程不规范，系统功能不健全，专家组评审不到位，导致系统建设不能满足业务需求。

4.2对批准立项的、投资在500万元及以上的项目，信息系统管理部委托有资格的单位按要求对项目进行总体（基础）设计，其中投资在2000万元及以上的项目需组织专家组对项目总体（基础）设计进行评审，专家组对项目需求分析、目标、功能设计、投资概算等提出评审意见并签字，由信息系统管理部负责审批总体（基础）设计，报发展计划部备案。
信息系统管理部

3
总体（基础）设计评审材料
1.10.2

5.合同签订

1.1
1.2
经营风险：承建单位资质及经验欠缺，导致项目建设受损。未经审核，变更信息技术合同标准文本中涉及的权利、义务等条款，导致财务风险。
财务风险： 交易不真实，影响财务报告。
5.1信息管理部门负责组织项目责任部门(单位)审查集成商、咨询商、开发商及供应商的资质，开展询比价、商务谈判等工作；涉及有关计算机服务器、PC机、打印机采购事宜，由物资采购部门归口管理、信息管理部门配合开展采购工作。依照规定权限并按经法律事务部审定的标准合同文本签订合同；项目责任部门(单位)负责完成合同技术附件，并由负责人签字确认。
信息系统管理部
物资装备部
分（子）公司

4
合同
技术附件
1.10.2
√

固定资产
无形资产

6.项目实施

1.1
1.2
经营风险：详细设计技术方案不合理，业务流程不规范，系统功能不健全，审查不到位，导致系统建设不能满足业务需求。
6.1项目实施单位根据合同技术附件或总体设计进行详细设计，详细设计的形式可根据项目类别的不同（自主开发项目、引进试点项目、推广完善项目、基础设施项目）采取与项目类别相适应的形式，投资在500万元及以上的项目需由信息管理部门组织人员对项目详细设计进行审查，项目实施单位根据审查意见进一步修改完善深化详细设计。
信息系统管理部
分（子）公司

4
项目详细设计
1.10.2

1.1
1.2
经营风险：基础数据不完整、不准确、不真实，导致系统无法正常投运或计算出错。
6.2项目责任部门(单位)负责项目实施，业务部门组织数据的收集、整理、录入、审核，并进行审查和确认，保证数据的真实、完整和准确。
信息系统管理部
分（子）公司

3

1.10.2

1.1
1.2
2.1
经营风险：系统安装调试不当，用户培训缺失，导致系统运行受损。
合规风险：安装的软件侵犯知识产权，导致诉讼及股份公司声誉受到损害。
6.3信息管理部门负责对项目实施单位承担的软硬件系统安装调试、用户培训进行检查，审核和确认测试报告，并检查相应软件的合法性，提供经双方签字的检查记录。
信息系统管理部
分（子）公司

3
系统安装调试和用户培训报告
软件验收报告
1.10.2

1.1
1.2
经营风险：项目监管不力，系统建设延误，导致系统不能按期投用。
6.4信息管理部门负责组织对项目建设的阶段验收，进行项目建设质量、进度、标准执行和成本控制等检查，提出阶段验收报告；项目实施单位根据阶段验收报告对系统进行修改完善。
500万元以下的一般信息技术项目可根据项目具体实施情况，只进行竣工验收。
信息系统管理部
分（子）公司

3
阶段验收报告
1.10.2

1.1
1.2
经营风险：项目监管不力，系统建设延误，导致系统不能按期投用或资金流失。
财务风险：未按约定付款，影响财务报告。
6.5项目责任部门(单位)负责至少每季度向信息管理部门提交项目实施报告，内容包括项目进度、质量、经费使用、存在问题和整改措施等；根据合同约定填写付款申请，按规定权限审批后办理付款。
信息系统管理部
分（子）公司
经办
审批
3
项目实施报告
付款申请
1.10.2
√

在建工程
货币资金
应付账款
1.1
1.2
经营风险：集成测试不完整，造成系统评估不准确。
6.6信息管理部门组织对系统进行集成测试，形成集成测试评价意见；并根据集成测试评价意见责成项目实施单位进行修改完善。
信息系统管理部
分（子）公司

3
集成测试评价意见
1.10.2

1.1
1.2
经营风险：技术文档不完整、造成系统应用维护困难
6.7项目责任部门(单位)责成项目实施单位负责知识转移，并提交项目相关的技术文档（包括用户使用手册、系统维护手册、系统安全和使用授权管理办法、应急处理办法及用户培训教材等资料）。
信息系统管理部
分（子）公司

5
项目技术文档
1.10.2

7.项目竣工验收

1.1
1.2
经营风险：单轨运行时间过短，无法完成对系统的准确评价
7.1项目完成全部的规定目标任务后，投资2000万元及以上的项目单轨连续稳定运行6个月以上，其它项目单轨连续稳定运行3个月以上，由项目责任部门(单位)以正式行文方式提交项目竣工验收申请，同时提交项目验收相关材料一并审核。总部批复的项目向信息系统管理部提交验收申请，由信息系统管理部负责组织项目验收工作。分(子)公司自行批复的项目向企业信息管理部门提交验收申请，由分(子)公司信息管理部门负责组织项目验收工作。专家组形成验收意见并签字。
信息系统管理部
分（子）公司

4
项目验收意见
1.10.2

1.1
1.2
经营风险：竣工验收决算报告或审计报告不严格，导致资金外流
财务风险：未按约定付款，影响财务报告。
合规风险：违反国家和企业会计制度，造成项目资金损失。
7.2信息管理部门会同财务部门按规定进行项目竣工结算。财务部门按竣工验收决算报告或审计报告办理项目转资手续，按股份公司内部会计制度及有关规定，经财务部门负责人审核后，进行账务处理。相关会计凭证须经不相容岗位人员稽核。
在信息技术项目达到预定的可使用状态时，财务部门应依据有关部门提供的手续，按照股份公司内部会计制度，经部门负责人审核后，暂估入账。相关会计凭证须经不相容岗位人员稽核。
财务部
信息系统管理部
分（子）公司
信息部门
财务部门
3
竣工验收决算报告

1.10.2
√

√
√
√
在建工程
固定资产
1.1
1.2
经营风险：后评价报告缺失，无法定性和定量评估项目的经济效益和社会效益。
7.3对固定资产投资2000万元及以上的试点项目，通过验收后，信息管理部门组织专家组对项目进行后评价，专家组提出后评价报告并签字。
信息系统管理部
分（子）公司

2
后评价报告
1.10.2

8.系统应用和维护

1.1
1.2
经营风险：由于第三方资质问题或信息管理部门缺乏专人维护，系统维护质量受损。
8.1需委托维护的信息系统，信息管理部门负责审查系统服务商资质，并签订系统维护服务合同以及安全保密协议；由信息管理部门自行维护的，则指定专人负责维护，制定岗位职责。
信息系统管理部
分（子）公司

4
系统维护服务合同及安全保密协议
系统维护相关岗位职责说明
1.10.5

1.1
1.2
2.1
经营风险：数据维护、用户管理等制度缺失，系统日常维护、用户培训等欠缺，造成工作受损。
合规风险：软件使用侵犯知识产权，导致诉讼及股份公司声誉受到损害。
8.2项目责任部门(单位)负责业务流程、业务工作标准、数据维护、用户管理、数据使用安全、知识产权合法性使用及相关制度的制定和落实等工作。
信息管理部门负责组织日常软硬件系统维护、合法软件使用情况检查和关键用户与一般用户的培训、考核等工作。
信息系统管理部
分（子）公司

6
相关系统运维制度或规定
用户培训记录
1.10.5

9.系统升级

1.1
1.2
经营风险：系统功能陈旧，导致不能满足业务需求。
9.1项目责任部门(单位)负责对业务流程与系统模型进行适时评价，并根据评价和修正意见，提出应用软件的升级申请，责任部门(单位)负责人须签字确认。升级申请纳入计划后组织实施。
信息系统管理部
分（子）公司

3
应用软件升级申请

1.1
1.2
经营风险：系统升级不当，造成系统工作不正常。
9.2信息管理部门负责组织对系统软、硬件进行适时评价，并根据评价意见提出系统软、硬件升级申请，信息管理部门负责人须签字确认。升级申请纳入计划后组织实施。
信息系统管理部
分（子）公司

3
系统软、硬件升级申请