信息系统内部控制

例：默认周工作时间为40小时。
处理控制
主要方法：
批余额：将实际处理的项目、文档与一个预设 控制总额进行比较。
例：比较出纳的批结余存根与现金汇款的控制总额。
处理控制
主要方法：
运行到运行的总计：利用输入控制总额减去后续 处理得到输出控制总额。
例：应付账款的期初余额减去支付加上净购买应等于
应付账款的期末余额。
输入控制
预见检查：某两项之 例：收款凭证借方 间的关系 必有现金或银行存
款中的一项。
主 要 方 法
预先格式化屏幕
例：采用选项方式输入。
输入控制
• 字符检查：对输入字 符的要求；
主 要 方 法
交互编辑 校验数位
• 完整性检查； • 上下限、范围或合理
性检查
例：所有数字求和，和数的
个位数作为校验位。
取和良好运行。
• 应用控制(application controls)：与具体应用系
统有关，确保数据处理完整正确。
信息系统控制
控 制 框 架 普 遍 目 标
• 内部控制专门研究委员会COSO • 信息系统和技术控制目标COBIT • 信息技术控制指导ITCG • 系统可靠性认证SysTrust
• 网誉认证 WebTrust
信息系统风险
信息系统风险的来源——内部 交易处理职 。 员或信息系 统职员 计算机程序编写、 操作、维护和管理 人员，数据控制员
职能部门经 理和会计人 。 员
已离职员 工
信息系统风险
信息系统风险的来源——外部
1 客户与 供应商
2
3
市场竞 争者
外部入 侵者
4 自然 灾害
信息系统控制
• 定义： • 信息系统内部控制是为了保证信息系统的有效性、
企业持续计划
灾难恢复政策与程序
应界定灾难恢复小 应确定备用计算机处理 流程的备份站点；
• 热站：双重系统
组中所有成员的作
用
• 暖站：现成软硬件设
施，随时启动 • 冷站：临时安装设备
和配备人员
会计控制
目的：确认或质疑所记录数据的可靠性的控制。
控制手段：
• 批次总数：以批量形式报告总量；
例：销售的合同总额；
输出控制
与确认处理结果相关的控制：
对主文件的所有变化 提供详细信息，多用 于交易量少的公司 多用于交易量多的大
主 要 方 法
活动报告
例外报告
型公司
输出控制
与输出结果的分发和处理相关的控制
材料如何分发、
。
由谁分发、储 存和处理材料
储存和处理
电子分发的访问 控制和分发名单
处理控制
目的：确保处理过程根据预定的规范进行， 而且没有将交易遗漏或错误地输入； 主要方法：
机器处理：机械或电子处理以保证一致性。
如：现金存款用点钞机汇总清点。
处理控制
主要方法：
标准化：为所有处理制定统一的、结构化的和 一致的程序。
例：会计科目表记录正常借、贷方。
处理控制
主要方法：
设定一些默认选项。
信息系统控制
IT服务管理ITIL
控制框架—— 特殊目标
ISO17799 美国项目管理协会PMI
ISO9000-3
信息系统控制环境
1 正直和职 业道德 2 管理哲学和 经营风格 3 董事会及审 计委员会
• 建立优秀的行 为道德准则 • 建立良好的公 司文化 • 以职业道德作 为雇佣技术人 员的第一标准
输入控制
输入前检查数据。
主 要 方 法
双重观测 监督程序
例：在文档递交前 目测检查； 输入前确定所收集 数据的准确性。
输入控制
主 要 方 法
设计完善的源文件 内嵌编辑校验程序
例：输入表格的
数据组织方式；
例：借贷必相等；
输入控制
主 要 方 法
冗余数据检查 有效性测试
例：同时输入产品 的编号和名称； 数据输入时，不在 主文件中的交易都 将被拒绝。
例：总间接成本可以用间接成本率乘以直接总劳
动成本来重新计算。
处理控制
主要方法：
尾部标记：提供控制总量的记录，用于与累计 数额或处理过的记录比较。 例：某存货文档的最后一笔记录包含一个表示文档中
记录数的信息。
输出控制
主要 类型
目的
输出控制
检验输入和处理
的结果是有效的， 且输出也被正确 的分类。
与确认处理结果相关的控制 与输出结果的分发和处理相 关的控制
• 信息系统应遵从所 有的法律法规 • 贯彻一个良好的内 部措施来预防盗版、 非法拷贝和散发受 版权保护的软件资 料
信息系统控制应用框架
系统控制 组织控制、人事控制和营运控制
系统开发控制
一般控制 网络控制、硬件控制和设施控制 备份控制和灾难恢复控制 会计控制 输入控制 应用控制 处理控制 输出控制
安全管理员负责用 户访问权限控制
数据库由数据管 理员专人负责
网络管理员负责通 信软硬件及应用
组织控制和人事政策
职责分离
• 强制休假可以防止内部欺
休假规定
诈者经常性地采取行动来
篡改账目
计算机访问控制
组织控制和人事政策
职责分离
• 采取分层进入的控制策略
休假规定
• 只有得到相应层级授权的
用户才能访问系统 • 管理员可以控制单个用户 访问权限及对系统信息的 访问 • 访问日志的重要性
• 控制账户：帐户的访问必须经过授权； 例：只有记时员才能递交工作时间数据；
会计控制
• 核销或取消：交易完成后的处理 例：支票标上“付讫”，以防重复支付； • 反馈控制：提供系统或模型是否如期履行其功能的信息；
例：程序错误日志；
• 前馈和预防性控制：对未来事件的先期防范。 例：备选的系统运行场所；
公司识别组织面临的内外部风险并且将重要资源
和资产组合起来以保护资源，同时确保持续经营
和有效恢复的一种战略。
企业持续计划
企 业 持 续 计 划
数据备份政 策与程序
灾难恢复政 策与程序
企业持续计划
数据备份政策与程序
电子链接 异地备份
GFS(祖父-父 亲-儿子)方法
系统配置 的备份
检查点程序
计算机访问控制
开发控制
1 分析阶 段控制
2 设计阶 段控制
3
实施阶 段控制
4 维护阶 段控制
系统分析阶段
• 组建小组负
• 监督小组应由IT
部门及其他部门 人员构成，应包
• 新系统开发过程 的审计人员不能
责监督新系
统的开发过 程
参与对会计系统
及相关职能领域 的审计
括新系统的管理
人员和最终用户
系统设计阶段
必须保证新系统与现有系统和硬件兼容； 必须使用可靠数据进行彻底测试；
• 系统整体测试前要充分进行单元测试；
• 先导测试(即β 测试)由最终用户单独进行测试；
• 平行测试是将新系统和旧系统平行运行；
• 成功测试后，应使用正式文件记录；
系统实施和维护
• 系统测试后，编程人员应向系统管理 员移交系统文件和程序说明书等
未经许可，不得安装任何程序。
借助防火墙阻止来自互联网的非授权访问。 网络控制日志为审计提供线索
网络控制
3、入侵检测系统
入侵检测系统分析网络活动以发现反常行为 或未经授权的行为。 入侵检测系统保持有安全事件日志，用于提 醒管理员攻击警告和内部滥用网络的现象。
企业持续计划
企业持续计划(business continuity planning, BCP) 是公司在面临重大不利事件，甚至是灾难事件时，
网络控制
只有经过授权的员工 可以通过网络访问和 使用公司数据和程序
最初级的网络控制手 段：设置密码
一
二
三
互联网威胁中，危害较 大的是非授权访问，如 黑客攻击、病毒威胁等
网络控制
数据加密 数据加密与传输 网络控制 路由验证
病毒防护与防火墙
入侵检测系统
信息确认
网络控制
2、病毒防护与防火墙
安装反病毒软件。
信息系统控制应用框架
系统控制 组织控制、人事控制和营运控制
系统开发控制
一般控制 网络控制、硬件控制和设施控制 备份控制和灾难恢复控制 会计控制 输入控制 应用控制 处理控制 输出控制
应用控制
• 对象：会计系统交易处理过程； • 目的：是提供合理的保证，以确保所有处理均得 到授权，均处理完毕，以及均得到及时处理。
例：预付工资账户在所有薪水都被支付后应归零。
处理控制
主要方法：
备忘录：用于处理或跟踪按时间排序的项目 组成的控制文档。
百度文库
例：以到期时间排序归档的发票。
处理控制
主要方法：
冗余处理：重复处理并比较单个结果是否相等。
例：由两人计算工资总额和净额，并加以比较。
处理控制
主要方法：
概括处理：用一个概括账户进行重复处理，以 比较控制总额与细节项目是否相等。
• 系统开发前，应确立系统规格并详细记录
系 统 设 计 阶 段
• 设计小组应详细研究当前系统及新系统的需求
• 小组应包含公司不同领域人员
• 借助原型设计来规避设计阶段出现重大缺陷 • 系统编程开发中应确保无任何程序员或系统分
析师能全盘负责系统设计或开发
系统实施和维护
• 任何程序开发阶段都应进行大量测试；
输入控制
• 目的：预防和检查输入计算机系统中的时间信息错误
和数据错误； • 批号(batch number) • 记录数目(record count) • 控制总量(control totals) • 数字总和(hash total)等
主 要 方 法
批控制(batch controls) 审批机制
北京国家会计学院管理会计系列远程课程之
信息系统内部控制概述
授课教师：张玉琳
目 录
第一章
信息系统风险
第二章 第三章
信息系统控制 控制流程图
信息系统风险
与信息系统有关的风险
疏忽差错
输入操作错误 处理操作错误 输出操作错误 垃圾处理不当
浪费
差错
故意性差错
程序炸弹 文档篡改 数据窃取 恶意破坏 非法操作
• 系统管理员负责新系统的发布
（主要是数据转换和迁移）
• 系统运行过程中，应及时跟踪程序
的所有变化
• 系统维护和升级应避开高峰时段
网络控制、硬件控制和设施控制
硬设 件施 控控 制制 和
网 络 控 制
设施控制和硬件控制
站点控制：进入信息系统及数 据中心所在大楼应得到许可 数据中心控制： 1)远离公共场所 2)进入必须得到授权 硬件控制： 1)防火防水防潮防断电 2)防蓄意破坏和人为攻击 个人设备控制： 1)使用安全级别较高的密码并经常更换 2)使用者承担保护责任
• 建立对所有计算机 系统资源的使用和 责任划分的控制 • 建立对所有信息资 源使用和责任划分 的控制 • 建立对所有信息系 统资源的预算控制
• 经常性定期审核计算 机安全体系 • 严格贯彻既定安全方 针 • 测试安全方针和程序 的一致性和有效性 • 保持审计轨迹 • 借用批控制总量等办 法进行系统漏洞探察
• 管理层树立重视控制 • 董事会任命一个审计委 的态度 员会 • 所有雇员应接受有关 • 审计委员会任命一个信 安全知识教育 息系统内部审计师 • 安全防卫规则应得到 • 内部审计师负责定期向 监控 审计委员会汇报计算机 • 建立良好文化氛围 安全 • 建立良好沟通环境
信息系统控制环境
4 管理控制 活动 5 内部审计 职能 6 外部影响 等
灾难
丢失
信息系统风险
防护程序 失控
丢失
资产的 失窃
非故意资 产损毁
• 非法挪用和窃 取计算机资源 • 软件和 Internet盗版 • 截尾术等 • • • • • • • • • • 操作系统破坏程序 拒绝服务 病毒 Email炸弹 口令攻击 特洛伊木马 电子欺骗攻击 程序安全漏洞——黑客 扫描攻击和嗅探器 钓鱼软件
可靠性和安全性，提高信息系统运营效率，确保
信息准确、完整、可靠，有效保护信息资产，利 用各种手段和技术，对信息系统实施的管理和控 制过程。信息系统控制的对象是计算机信息系统， 由计算机硬件和软件资源、应用系统、数据和相
关人员等要素构成。
信息系统控制
• 分类： • 一般控制(general controls)：有时也称作普遍控 制(pervasive controls)，是与计算机技术或信 息技术职能相关的控制，目的是确保系统恰当获
组织控制和人事政策
职责分离
• IT与其他职能的分离；
• IT职能内系统开发、IT操
作、技术支持分离； • 交易的授权与IT职能分离，
休假规定
信息所有权归用户；
• 主文件和交易文件的更改 需合适会计人员授权；
计算机访问控制
• 版本管理和访问控制；
• 信息处理部门职责分离；
信息处理部门职责分离
系统设计、开发及维护人 员不参与日常交易处理 数据录入人员不能访 问程序文件或源代码
处理控制
主要方法：
余额控制：测试两个等价的项目或一批项目之和 与一个控制总额是否相等。
例：应收账款明细分类账户的结余应等于总分类账的
结余。
处理控制
主要方法：
配比：将两个具有独立信息源的项目进行配
比，以控制交易的处理。
例：应收账款职员配比供应商发票和订单及收货报告。
处理控制
主要方法：
暂记待结转账户：从处理等价的独立项目中得 到的数值。净控制额应为零。