信息系统内部控制存在的风险有哪些应如何控制

信息系统,是指企业利用计算机和通信技术,对内部控制进行集成、转化和提升,形成由人员、硬件、软件、信息、运行规程等组成的管理平台。

(1)企业利用信息系统实施内部控制,至少应当关注下列风险:

①缺乏信息系统建设整体规划或规划不当,可能导致重复建设,形成信息孤岛,影响企业发展目标的实现。

②开发不合理或不符合内部控制要求,可能导致无法利用信息系统实施有效控制。

③授权管理不当,可能导致非法操作和舞弊。

④安全维护措施不当,可能导致信息泄漏或毁损,系统无法正常运行。

企业应当重视信息系统在内部控制中的作用,根据内部控制要求,结合组织架构、业务范围、地域分布、技术能力等因素,制定信息系统建设整体规划,加大投入力度,有序组织信息系统开发、运行与维护,优化管理流程,防范经营风险,全面提升企业现代化管理水平。

(2)企业在建立与实施信息系统内部控制中,至少应当强化对下列关键方面或者关键环节的控制:

①根据信息系统建设整体规划提出项目建设方案,明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容,按照规定的权限和程序审批后实施。

②企业开发信息系统,应当将生产经营管理业务流程、关键控制点和处理规则嵌入系统程序,实现手工环境下难以实现的控制功能。企业在系统开发过程中,应当按照不同业务的控制要求,通过信息系统中的权限管理功能控制用户的操作权限,避免将不相容职责的处理权限授予同一用户。

③企业信息系统归口管理部门应当加强信息系统开发全过程的跟踪管理,组织开发单位与内部各单位的日常沟通和协调,督促开发单位按照建设方案、计划进度和质量要求完成编程工作,对配备的硬件设备和系统软件进行检查验收,组织系统上线运行。

④组织独立于开发单位的专业机构对开发完成的信息系统进行验收测试,确保在功能、性能、控制要求和安全性等方面符合开发需求。

⑤加强信息系统运行与维护的管理,制定信息系统工作程序、信息管理制度以及各模块子系统的具体操作规范,及时跟踪、发现和解决系统运行中存在的问题,确保信息系统按照规定的程序、制度和操作规范持续稳定运行。

⑥根据业务性质、重要性程度、涉密情况等确定信息系统的安全等级,建立不同等级信息的授权使用制度,采用相应技术手段保证信息系统运行安全有序。