信息系统内部控制.ppt

《信息系统内部控制.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、授课教师：张玉琳信息系统内部控制概述北京国家会计学院管理会计系列远程课程之第一章第二章第三章信息系统控制目录控制流程图信息系统风险疏忽差错输入操作错误处理操作错误输出操作错误垃圾处理不当故意性差错程序炸弹文档篡改数据窃取恶意破坏非法操作浪费差错灾难丢失信息系统风险与信息系统有关的风险非故意资产损毁资产的失窃防护程序失控丢失非法挪用和窃取计算机资源软件和Internet盗版截尾术等操作系统破坏程序拒绝服务病毒Email炸弹口令攻击特洛伊木马电子欺骗攻击程序安全漏洞——黑客扫描攻击和嗅探器钓鱼软件信息系统风险计算机程序编写、操作、维护和管理人员，数据控制员已离职

2、员工。职能部门经理和会计人员。交易处理职员或信息系统职员信息系统风险信息系统风险的来源——内部客户与供应商市场竞争者外部入侵者1324自然灾害信息系统风险信息系统风险的来源——外部信息系统控制定义：信息系统内部控制是为了保证信息系统的有效性、可靠性和安全性，提高信息系统运营效率，确保信息准确、完整、可靠，有效保护信息资产，利用各种手段和技术，对信息系统实施的管理和控制过程。信息系统控制的对象是计算机信息系统，由计算机硬件和软件资源、应用系统、数据和相关人员等要素构成。信息系统控制分类：一般控制(generalcontrols)：有时也称作普遍控制(perva

3、sivecontrols)，是与计算机技术或信息技术职能相关的控制，目的是确保系统恰当获取和良好运行。应用控制(applicationcontrols)：与具体应用系统有关，确保数据处理完整正确。内部控制专门研究委员会COSO信息系统和技术控制目标COBIT信息技术控制指导ITCG系统可靠性认证SysTrust网誉认证WebTrust控制框架普遍目标信息系统控制控制框架——特殊目标IT服务管理ITILISO17799美国项目管理协会PMIISO9000-3信息系统控制正直和职业道德管理哲学和经营风格董事会及审计委员会132信息系统控制环境建立优秀的行为道德准

4、则建立良好的公司文化以职业道德作为雇佣技术人员的第一标准管理层树立重视控制的态度所有雇员应接受有关安全知识教育安全防卫规则应得到监控建立良好文化氛围建立良好沟通环境董事会任命一个审计委员会审计委员会任命一个信息系统内部审计师内部审计师负责定期向审计委员会汇报计算机安全管理控制活动内部审计职能外部影响等465信息系统控制环境建立对所有计算机系统资源的使用和责任划分的控制建立对所有信息资源使用和责任划分的控制建立对所有信息系统资源的预算控制经常性定期审核计算机安全体系严格贯彻既定安全方针测试安全方针和程序的一致性和有效性保持审计轨迹借用批控制总量等办法进行系统漏

5、洞探察信息系统应遵从所有的法律法规贯彻一个良好的内部措施来预防盗版、非法拷贝和散发受版权保护的软件资料信息系统控制应用框架系统控制组织控制、人事控制和营运控制一般控制应用控制系统开发控制网络控制、硬件控制和设施控制备份控制和灾难恢复控制会计控制输出控制处理控制输入控制IT与其他职能的分离；IT职能内系统开发、IT操作、技术支持分离；交易的授权与IT职能分离，信息所有权归用户；主文件和交易文件的更改需合适会计人员授权；版本管理和访问控制；信息处理部门职责分离；职责分离休假规定计算机访问控制组织控制和人事政策信息处理部门职责分离系统设计、开发及维护人员不参与日常

6、交易处理数据录入人员不能访问程序文件或源代码数据库由数据管理员专人负责网络管理员负责通信软硬件及应用安全管理员负责用户访问权限控制强制休假可以防止内部欺诈者经常性地采取行动来篡改账目职责分离休假规定计算机访问控制组织控制和人事政策采取分层进入的控制策略只有得到相应层级授权的用户才能访问系统管理员可以控制单个用户访问权限及对系统信息的访问访问日志的重要性职责分离休假规定计算机访问控制组织控制和人事政策分析阶段控制设计阶段控制实施阶段控制1324维护阶段控制开发控制组建小组负责监督新系统的开发过程监督小组应由IT部门及其他部门人员构成，应包括新系统的管理人员和最

7、终用户新系统开发过程的审计人员不能参与对会计系统及相关职能领域的审计系统分析阶段系统开发前，应确立系统规格并详细记录设计小组应详细研究当前系统及新系统的需求小组应包含公司不同领域人员借助原型设计来规避设计阶段出现重大缺陷系统编程开发中应确保无任何程序员或系统分析师能全盘负责系统设计或开发系统设计阶段系统设计阶段系统实施和维护任何程序开发阶段都应进行大量测试；必须保证新系统与现有系统和硬件兼容；必须使用可靠数据进行彻底测试；系统整体测试前要充分进行单元测试；先导测试(即β测试)由最终用户单独进行测试；平行测试是将新系统和旧系统平行运行；成功测试后，应使用正式文

8、件记录；系统实施和维护系统维护和升级应避开高峰时段系