1、化工公司信息资源管理业务内部控制流程制度编 制： 审 核： 批 准： 版 本 号: ESZAQDGF001 编 制： 审 核： 批 准： 版 本 号: 11.1信息系统管理业务流程一、 业务目标1经营目标1.1 满足生产经营管理业务需求，提高管理水平、技术水平和市场应变能力，提高核心竞争力。1.2 达到系统建设预期目标，系统运行安全、稳定，出现系统故障时能够及时恢复，系统具有扩展性、集成性。2合规目标2.1 遵守保护知识产权的有关法律法规，使用合法软件。2.2 信息技术控制符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求。二、 业务风险1 经营风险1.1 信息化管理体系不完2、善，信息管理部门职责不落实，导致信息化工作受损。1.2 信息系统建设项目不符合股份公司经营战略目标，导致盲目建设、投资低效。本流程适用于列入股份公司固定资产投资和科技开发项目计划的信息系统建设、运行和维护，有关科技开发项目的立项和经费管理按3.3科技开发费管理业务流程控制。 信息系统业务,根据其特点执行11.1信息系统管理业务流程,但应参见6.1资本支出业务流程。1.3 信息安全规划不当，风险评估缺失，信息安全教育不足，员工安全意识薄弱，导致信息系统风险。1.4 技术方案不合理，业务流程不规范，系统功能不健全，导致系统不能满足业务需求。1.5 基础数据不完整、不准确、不真实，导致系统无法正常投3、运或计算出错。1.6 项目监管不力，系统建设延误，导致系统不能按期投用或资金流失。1.7 系统运行不稳定，数据失真、丢失，导致日常业务工作无法正常进行。1.8 系统存在网络故障、病毒侵袭等安全问题，导致非法入侵及泄密等，或系统灾难无法及时恢复。1.9 系统运维不落实，功能陈旧，导致不能满足业务需求。1.10 未经审核，变更信息技术合同标准文本中涉及的权利、义务等条款，造成损失。2 财务风险2.1 交易不真实，未按约定付款，影响财务报告。 3 合规风险3.1 侵犯知识产权，导致诉讼及股份公司声誉受到损害。3.2 信息技术控制不符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求,4、造成损失。3.3 违反国家和企业会计制度，造成项目资金损失。三、 业务流程步骤与控制点1 IT整体层面管理1.1 股份公司建立完善的信息化管理体系，设立ERP指导委员会, 设立信息系统管理部负责股份公司信息化归口管理工作;各分（子）公司设立信息化领导小组或ERP指导委员会，定期召开会议，听取、总结和指导本单位信息化工作，设立信息管理部门负责本单位信息化管理工作，对信息系统和信息资源行使管理职责。1.2 根据股份公司发展战略目标和核心业务，结合信息技术发展和股份公司实际，信息系统管理部负责组织编制股份公司信息化建设中长期规划，在充分征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据5、专家意见负责组织修改，经信息系统管理部主任审核，按规定权限审批后，纳入股份公司中长期发展规划。1.3 教育和培训 各级信息管理部门负责编制年度信息化培训计划，经部门负责人审批后，纳入人事部门年度培训计划,并组织落实。 各级信息管理部门配合人事部门开展全员信息安全教育和培训，并在信息门户或内部网站发布安全教育培训材料。1.4 风险评估 根据化工股份有限公司信息系统风险评估管理办法，信息系统管理部负责每年对信息系统进行年度综合风险评估，形成风险评估报告，并组织专家组对风险评估报告进行评审，专家组对风险评估报告提出评审意见并签字；分（子）公司信息管理部门会同相关业务部门，通过多种形式，组织本单位信息6、系统的风险评估，包括企业信息系统整体风险、重点系统风险、主要基础设施风险等，形成相关风险评估报告，并将风险评估报告经信息管理部门负责人审核签字后报信息系统管理部备案。1.5 信息安全管理 信息系统管理部负责编制信息安全规划，在征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修改，经信息系统管理部主任审核后，正式发布。各分（子）公司信息管理部门根据股份公司信息安全规划，结合自身生产经营管理的需要，并针对风险评估报告中提出的问题，负责制订本企业的信息安全方案，经分管经理审批后报信息系统管理部备案。 依照化工股份有限公司信息系统安全管理办法规定，各级信息管理部门负责提7、出本单位的“信息系统关键岗位名录”，其中涉及信息系统安全的关键岗位由信息管理部门确定，涉及业务信息安全的关键岗位由主管业务部门商本单位保密委员会确定。“信息系统关键岗位名录”上的关键岗位人员要与所在单位签署“信息系统关键岗位安全责任书”，并在人事部门备案。 各级信息管理部门根据化工股份有限公司信息系统安全管理办法中的有关要求，按照不相容岗位分离的原则，设立安全管理员。安全管理员必须具有相应资质，并经部门负责人审批授权。2 编制年度项目建议计划2.1 信息系统管理部根据股份公司信息化建设中长期规划和职能部门、事业部、分（子）公司申报的项目建议计划，结合年度实际，编制年度信息化项目建议计划，由信息8、系统管理部主任审核，按规定权限审批后，分别纳入股份公司年度投资计划、科技开发项目计划管理。各分（子）公司信息管理部门负责编制年度信息化项目建议计划预案，按规定权限审批后，分别纳入本单位年度投资建议计划、科技开发项目建议计划，上报信息系统管理部和总部相关部门审核。3 项目可行性研究和评审3.1 信息管理部门会同项目责任部门(单位)委托有资格的单位承担项目可行性研究，并组织专家组对项目可行性研究报告进行评审，专家组对项目需求、目标、技术路线、风险分析、投资与效益、进度、组织落实等提出可行性研究评审意见并签字。4 项目立项审批4.1 通过可研评审的固定资产投资限额（200万元）及以上的信息技术项目，9、由信息系统管理部报发展计划部立项，批准立项的项目，由发展计划部列入年度投资计划；申请总部立项的固定资产投资限额（200万元）以下的信息技术项目，由信息系统管理部负责审批，报发展计划部备案；由各事业部审批的投资限额以下的信息技术项目投资计划，须经信息系统管理部和发展计划部会签。 各分（子）公司一般措施及零星购置的信息技术项目在总部每年核定的限额以内，由各分（子）公司根据当期生产经营管理的需要，按规定权限审批后报各主管事业部、信息系统管理部和发展计划部审核备案，并纳入股份公司年度投资计划管理。 通过可研评审的科技开发项目，由信息系统管理部报科技开发部立项，批准立项的项目，由科技开发部列入年度项目计10、划。4.2 对批准立项的、投资在500万元及以上的项目，信息系统管理部委托有资格的单位按要求对项目进行总体（基础）设计，其中投资在2000万元及以上的项目需组织专家组对项目总体（基础）设计进行评审，专家组对项目需求分析、目标、功能设计、投资概算等提出评审意见并签字，由信息系统管理部负责审批总体（基础）设计，报发展计划部备案。5 合同签订51 信息管理部门负责组织项目责任部门(单位)审查集成商、咨询商、开发商及供应商的资质，开展询比价、商务谈判等工作；涉及有关计算机服务器、PC机、打印机采购事宜，由物资采购部门归口管理、信息管理部门配合开展采购工作。依照规定权限并按经法律事务部审定的标准合同文本11、签订合同；项目责任部门(单位)负责完成合同技术附件，并由负责人签字确认。6 项目实施6.1 项目实施单位根据合同技术附件或总体设计进行详细设计，详细设计的形式可根据项目类别的不同（自主开发项目、引进试点项目、推广完善项目、基础设施项目）采取与项目类别相适应的形式，投资在500万元及以上的项目需由信息管理部门组织人员对项目详细设计进行审查，项目实施单位根据审查意见进一步修改完善深化详细设计。 6.2 项目责任部门(单位)负责项目实施，业务部门组织数据的收集、整理、录入、审核，并进行审查和确认，保证数据的真实、完整和准确。6.3 信息管理部门负责对项目实施单位承担的软硬件系统安装调试、用户培训进行12、检查，审核和确认测试报告，并检查相应软件的合法性，提供经双方签字的检查记录。6.4 信息管理部门负责组织对项目建设的阶段验收，进行项目建设质量、进度、标准执行和成本控制等检查，提出阶段验收报告；项目实施单位根据阶段验收报告对系统进行修改完善。500万元以下的一般信息技术项目可根据项目具体实施情况，只进行竣工验收。6.5 项目责任部门(单位)负责至少每季度向信息管理部门提交项目实施报告，内容包括项目进度、质量、经费使用、存在问题和整改措施等；根据合同约定填写付款申请，按规定权限审批后办理付款。6.6 信息管理部门组织对系统进行集成测试，形成集成测试评价意见；并根据集成测试评价意见责成项目实施单位13、进行修改完善。6.7 项目责任部门(单位)责成项目实施单位负责知识转移，并提交项目相关的技术文档（包括用户使用手册、系统维护手册、系统安全和使用授权管理办法、应急处理办法及用户培训教材等资料）。7 项目竣工验收7.1 项目完成全部的规定目标任务后，投资2000万元及以上的项目单轨连续稳定运行6个月以上，其它项目单轨连续稳定运行3个月以上，由项目责任部门(单位)以正式行文方式提交项目竣工验收申请，同时提交项目验收相关材料一并审核。总部批复的项目向信息系统管理部提交验收申请，由信息系统管理部负责组织项目验收工作。分(子)公司自行批复的项目向企业信息管理部门提交验收申请，由分(子)公司信息管理部门负14、责组织项目验收工作。专家组形成验收意见并签字。7.2 信息管理部门会同财务部门按规定进行项目竣工结算。财务部门按竣工验收决算报告或审计报告办理项目转资手续，按股份公司内部会计制度及有关规定，经财务部门负责人审核后，进行账务处理。相关会计凭证须经不相容岗位人员稽核。在信息技术项目达到预定的可使用状态时，财务部门应依据有关部门提供的手续，按照股份公司内部会计制度，经部门负责人审核后，暂估入账。相关会计凭证须经不相容岗位人员稽核。 7.3 对固定资产投资2000万元及以上的试点项目，通过验收后，信息管理部门组织专家组对项目进行后评价，专家组提出后评价报告并签字。8 系统应用和维护8.1 需委托维护的15、信息系统，信息管理部门负责审查系统服务商资质，并签订系统维护服务合同以及安全保密协议；由信息管理部门自行维护的，则指定专人负责维护，制定岗位职责。8.2 项目责任部门(单位)负责业务流程、业务工作标准、数据维护、用户管理、数据使用安全、知识产权合法性使用及相关制度的制定和落实等工作。 信息管理部门负责组织日常软硬件系统维护、合法软件使用情况检查和关键用户与一般用户的培训、考核等工作。9 系统升级9.1 项目责任部门(单位)负责对业务流程与系统模型进行适时评价，并根据评价和修正意见，提出应用软件的升级申请，责任部门(单位)负责人须签字确认。升级申请纳入计划后组织实施。9.2 信息管理部门负责组织16、对系统软、硬件进行适时评价，并根据评价意见提出系统软、硬件升级申请，信息管理部门负责人须签字确认。升级申请纳入计划后组织实施。11.2信息资源管理业务内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性1234561.各部门梳理信息和需求1.1经营风险：信息梳理不恰当，信息目录不明晰，导致信息管理有误，效率低下。1.1股份公司各职能部门、事业部、分（子）公司各部门（以下统称各部门）首先梳理本部门管理的内部信息，即本部门形成的和直接管理的内部信息，制定部门17、内部信息目录，并由部门负责人签字确认。总部各部门分（子）公司8部门内部信息目录1.1经营风险：信息需求不明确，需求目录不明晰，导致信息提供有误，效率低下。1.2各部门依据业务职责梳理各种外部信息需求，包括需要其他部门提供的信息和需外购的信息，形成相应的部门信息需求目录，并明确信息内容、信息提供频率和信息提供方式等。部门信息需求目录由部门负责人签字确认。总部各部门分（子）公司7部门信息需求目录2.汇总各部门需部门外提供的信息需求1.1经营风险：共享信息需求目录和外购信息需求目录未经各部门核对确认，未经相关领导审核批准，导致信息共享落空。2.1信息管理部门组织汇总各部门需要其他部门提供的信息和需外18、购的信息，编制部门间共享信息需求目录和外购信息需求目录，分别反馈各部门核对确认。总部部门间共享信息需求目录由股份公司副总裁审核批准；分（子）公司部门间共享信息需求目录由分（子）公司分管副经理审核批准。信息系统管理部分（子）公司5部门间共享信息需求目录外购信息需求目录3.落实部门间共享信息源和外购信息源1.11.2经营风险：部门间共享信息源不落实，导致信息提供落空。3.1信息管理部门协助信息需求部门落实部门间共享信息源，信息提供部门负责按审核后的部门间共享信息需求目录提供共享信息。信息系统管理部分（子）公司71.11.2经营风险：外购信息源不落实，导致信息提供落空。未经审核，变更信息购入、转让合19、同示范文本中有关权利、义务的条款，导致损失。3.2外购信息的订购、采集由信息管理部门统一归口管理。外购信息源由信息管理部门和相关部门综合考虑信息的权威性、时效性和提供方式，按外购信息需求目录逐一确定。总部各部门分（子）公司84.信息分级1.22.1经营风险：信息分级不当，导致信息送达不当，贻误工作。违反股份公司保密等规定，导致商业秘密信息流失。合规风险：信息的收集、提供、使用、转让违反国家法律法规及导致处罚；违反股份公司内部规章制度等，导致商业秘密流失。4.1各部门依据中国石化信息分级及信息门户授权规则及其它相关保密规定，对本部门管理的内部信息实施分级，确定一般信息、商业秘密信息等，形成本部门20、信息密级目录列表，由部门负责人签字确认。信息管理部门汇总各部门信息密级目录列表，作为信息资源管理和信息访问控制的基础。总部各部门分（子）公司12部门信息密级目录列表5.信息集中和信息整合1.11.21.3经营风险：信息平台功能欠缺，信息集成度不够，信息处理不当，导致信息质量下降。5.1信息管理部门负责建立内部公共信息平台，实施信息集中和信息整合，采用统一标准接入、存储、处理和发布各类信息。信息系统管理部分（子）公司106.信息授权1.11.2经营风险：部门信息授权不当，导致信息泄密或贻误工作。6.1信息管理部门依据股份公司有关信息资源管理的规定，按照各部门管理职责及部门间共享信息需求目录，通过21、信息平台对各部门实施信息授权。信息系统管理部分（子）公司信息管理部门相关部门51.11.22.1经营风险：员工信息授权不当，导致信息泄密或贻误工作。违反股份公司保密等规定，导致商业秘密信息流失。合规风险：信息的收集、提供、使用、转让违反国家法律法规及导致处罚；违反股份公司内部规章制度等，导致商业秘密流失。6.2各部门依据中国石化信息分级及信息门户授权规则，结合本部门信息密级目录列表，按照员工的工作职责，形成本部门员工信息授权列表，并由部门负责人审查签字，通过信息平台对员工分别进行信息授权，保证信息准确送达。员工工作岗位发生变动，应及时变更信息授权列表，通过信息平台及时变更信息授权。总部各部门分22、（子）公司信息管理部门相关部门10部门员工信息授权列表7.信息使用和共享1.11.3经营风险：内部信息更新不及时，信息传输延误，影响决策和管理。7.1信息提供部门负责源信息的维护，保证信息的时效性，按日、按周、按月等适时更新。总部各部门分（子）公司61.11.3经营风险：外部信息更新不及时，信息传输延误，影响决策和管理。7.2信息管理部门及有关部门做好外购信息的及时采集和处理，保证信息的时效性，按日、按周、按月等适时更新。总部各部门分（子）公司51.3经营风险：信息平台维护不够，导致信息处理、信息使用质量下降。7.3信息管理部门加强公共信息平台的维护，保证信息处理可靠及时，信息使用灵活方便，并23、提交季度信息平台使用和运维报告。信息系统管理部分（子）公司6信息平台使用和运维季度报告8.信息质量反馈1.11.3经营风险：信息使用问题未及时反馈提交，导致信息共享信息质量欠佳。8.1信息使用部门针对信息的准确性、时效性、完整性和一致性提出意见，由信息管理部门及时汇总后分别送达相关信息提供部门，协助和督促信息提供部门不断提高共享信息的质量。总部各部门分（子）公司6信息质量反馈意见表1.11.21.3经营风险：信息平台未及时提升，导致性能、功能、服务不能满足工作需求。8.2信息管理部门随时收集各部门有关公共信息平台性能、功能、服务等方面的意见，制定提升方案，落实提升措施，跟踪提升效果，并提交年度24、信息平台提升报告。信息系统管理部分（子）公司5信息平台提升年度报告11.2信息资源管理业务流程一、业务目标1经营目标1.1 提供真实、准确、完整的信息。1.2 提供信息给恰当的使用者。1.3 提供信息及时，使用方便。2 合规目标2.1 信息的收集、提供、使用和转让符合国家安全、知识产权保护、合同法等法律、法规及股份公司内部规章制度的要求。二、 业务风险1经营风险1.1 信息需求不明确，信息分类不当，导致信息提供有误，效率低下。1.2 信息源不落实，导致信息提供落空。1.3 信息分级不当，导致信息送达不当，贻误工作。1.4 信息授权不当，导致信息泄密或贻误工作。1.5 信息集成度不够，信息处理不25、当，导致信息质量下降。本流程适用于股份公司内部生产经营管理类电子信息。1.6 信息更新不及时，信息传输延误，影响决策和管理。1.7 违反股份公司保密等规定，导致商业秘密信息流失。1.8 未经审核，变更信息购入、转让合同示范文本中有关权利、义务的条款，导致损失。2合规风险2.1 信息的收集、提供、使用、转让违反国家法律法规及导致处罚；违反股份公司内部规章制度等，导致商业秘密流失。三、 业务流程步骤与控制点1 各部门梳理信息和需求1.1 股份公司各职能部门、事业部、分（子）公司各部门（以下统称各部门）首先梳理本部门管理的内部信息，即本部门形成的和直接管理的内部信息，制定部门内部信息目录，并由部门负26、责人签字确认。1.2 各部门依据业务职责梳理各种外部信息需求，包括需要其他部门提供的信息和需外购的信息，形成相应的部门信息需求目录，并明确信息内容、信息提供频率和信息提供方式等。部门信息需求目录由部门负责人签字确认。2 汇总各部门需部门外提供的信息需求2.1 信息管理部门组织汇总各部门需要其他部门提供的信息和需外购的信息，编制部门间共享信息需求目录和外购信息需求目录，分别反馈各部门核对确认。总部部门间共享信息需求目录由股份公司副总裁审核批准；分（子）公司部门间共享信息需求目录由分（子）公司分管副经理审核批准。3 落实部门间共享信息源和外购信息源3.1 信息管理部门协助信息需求部门落实部门间共享27、信息源，信息提供部门负责按审核后的部门间共享信息需求目录提供共享信息。3.2 外购信息的订购、采集由信息管理部门统一归口管理。外购信息源由信息管理部门和相关部门综合考虑信息的权威性、时效性和提供方式，按外购信息需求目录逐一确定。4信息分级4.1 各部门依据中国石化信息分级及信息门户授权规则及其它相关保密规定，对本部门管理的内部信息实施分级，确定一般信息、商业秘密信息等，形成本部门信息密级目录列表，由部门负责人签字确认。信息管理部门汇总各部门信息密级目录列表，作为信息资源管理和信息访问控制的基础。5 信息集中和信息整合5.1 信息管理部门负责建立内部公共信息平台，实施信息集中和信息整合，采用统一28、标准接入、存储、处理和发布各类信息。6 信息授权6.1 信息管理部门依据股份公司有关信息资源管理的规定，按照各部门管理职责及部门间共享信息需求目录，通过信息平台对各部门实施信息授权。6.2 各部门依据中国石化信息分级及信息门户授权规则，结合本部门信息密级目录列表，按照员工的工作职责，形成本部门员工信息授权列表，并由部门负责人审查签字，通过信息平台对每个员工分别进行信息授权，保证信息准确送达。员工工作岗位发生变动，应及时变更信息授权列表，通过信息平台及时变更信息授权。7 信息使用和共享7.1 信息提供部门负责源信息的维护，保证信息的时效性，按日、按周、按月等适时更新。7.2 信息管理部门及有关部29、门做好外购信息的及时采集和处理，保证信息的时效性，按日、按周、按月等适时更新。7.3 信息管理部门加强公共信息平台的维护，保证信息处理可靠及时，信息使用灵活方便，并提交季度信息平台使用和运维报告。8 信息质量反馈8.1 信息使用部门针对信息的准确性、时效性、完整性和一致性提出意见，由信息管理部门及时汇总后分别送达相关信息提供部门，协助和督促信息提供部门不断提高共享信息的质量。8.2 信息管理部门随时收集各部门有关公共信息平台性能、功能、服务等方面的意见，制定提升方案，落实提升措施，跟踪提升效果，并提交年度信息平台提升报告。四、 相关制度目录（制度后标号为内部控制手册配套规章制度汇编目录索引号）30、 1 化工股份有限公司信息资源管理办法（试行）（石化股份信 2003 374号） -2 中国石化信息分级及信息门户授权规则（试行）（石化股份信 2006 332号） -11.3 ERP系统IT一般性控制内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性;2完整性;3权利与义务;4估价或分摊;5表达和披露;6准确性1234561.程序和数据访问1.11.22.32.4经营风险：规章制度不健全，导致对系统管理的失控。1.1总部各部门、分（子）公司依据化工股份有限公司管理信息系统应用管理办法（试行）（以下简称信息系统应31、用管理办法）等，制定程序和数据访问管理制度,主要包括用户权限管理、用户帐号管理、用户登录管理、超级用户管理及第三方人员管理等内容。总部各部门分（子）公司2程序和数据访问管理制度或规定1.2用户权限管理1.11.22.32.4经营风险：权限设置不当，导致对系统的非法或非授权访问。建立/变更用户帐号和角色，由申请人填写ERP系统用户权限申请表，经相关部门负责人审批后，由应用管理员在系统中建立/维护权限，相关人员进行权限测试并确认，关键用户对角色矩阵实时维护并进行版本管理。总部各部门分（子）公司2用户变更申请表用户角色矩阵1.11.22.32.4经营风险：未及时锁定或删除岗位变动、离职人员帐号，导致32、系统存在安全隐患。操作人员由于岗位变动或离开单位，人事部门必须及时通知ERP支持中心，ERP支持中心应用管理员在系统中将该用户进行锁定或删除。总部各部门分（子）公司1用户变更申请表人员变动清单1.3用户帐号管理1.11.22.32.4经营风险：未及时审核清理帐户，导致系统存在安全隐患。应用管理员每季度在线检查用户权限使用情况，每半年将系统用户清单，提交相关部门，由关键用户和部门负责人进行审核确认，应用管理员根据审核结果在系统中进行相应的处理。总部各部门分（子）公司2用户审核签字1.11.22.32.4经营风险：账户共享，导致责任不清，导致系统存在安全隐患。应用管理员在系统中为每个操作人员设置独33、立的用户帐号，不能设置共享用户帐号（查询用户帐号除外）。总部各部门分（子）公司11.11.22.32.4经营风险：用户创建随意，影响系统安全稳定或生产经营。对于数据库层面用户（如系统接口访问用户等），相关部门填写用户申请，由部门负责人签字确认，经信息管理部门审批后，由数据库管理员创建该类用户。总部各部门分（子）公司1用户申请表1.1经营风险：密码规则不当，强度不够，更新不及时，导致对系统的非法或非授权访问。1.4对于系统登录访问，要设置合理的密码规则，密码长度6位以上，采用数字和字符组合方式，不能使用弱密码；用户密码3个月内必须更新一次；帐号密码重复输入5次错误则暂停登录或系统锁定；系统自动退34、出帐号登录的最大空闲时间不能超过50分钟。总部各部门分（子）公司21.5相关管理员的管理1.1经营风险：系统相关管理员岗位设置不合理，导致对系统的非法或非授权访问。应用管理员（BASIS管理员和权限管理员）、系统管理员（操作系统管理员、数据库管理员）、安全管理员必须授权管理，遵循不相容岗位分离原则，不能具有业务操作权限及开发权限；信息管理部门负责人应至少每半年对上述管理员的在职情况进行审查。总部各部门分（子）公司应用管理员系统管理员安全管理员2管理员授权文件管理员任职资格半年审核记录1.11.3经营风险：系统运行状态监控不到位，不能及时发现系统潜在故障或问题，影响系统正常运行。应用管理员负责监35、控应用系统运行情况、备份情况和日志，并完成监控记录；系统管理员负责监控操作系统、数据库及备份设备运行情况和日志，并完成监控记录；安全管理员每季度对相关管理员的操作日志至少检查一次并记录检查情况。总部各部门分（子）公司应用管理员系统管理员安全管理员2监控记录安全员检查记录1.1经营风险：生产系统存在开发帐户、关键用户，影响系统安全稳定或生产经营。1.6生产系统上线投入运行后，锁定生产系统中的开发人员、关键用户的帐号；如果开发人员或关键用户必须在生产系统中诊断问题，需填写ERP系统用户权限申请表（提出申请帐号目的和期限），由相关部门负责人签字确认后由应用管理员进行维护，完成问题诊断任务后锁定该帐号36、。总部各部门分（子）公司开发人员或关键用户应用管理员2开发人员及关键用户清单1.7预置帐号的管理1.1经营风险：服务器根帐号的密码管理不善，导致对系统的非法或非授权访问。系统管理员在操作系统安装完成后对服务器根帐号（root）密码进行修改，并至少三个月更换一次密码，密码以安全方式妥善保存。总部各部门分（子）公司1ROOT帐号密码修改记录1.1经营风险：数据库预置帐号的密码管理不善，导致对系统的非法或非授权访问。系统管理员在数据库和SAP软件安装好后，需用sapdba的工具修改SAP系统预置帐号（SAPR3，SYS，SYSTEM）的缺省密码，并至少三个月更换一次密码，密码以安全方式妥善保存。总部37、各部门分（子）公司1SAPR3、SYS、SYSTEM帐号密码修改记录1.1经营风险：SAP系统预置帐号的密码管理不善，导致对系统的非法或非授权访问。应用管理员在SAP软件安装好每次创建Client后，须修改SAP系统预置帐号（SAP*/DDIC）缺省密码，密码以安全方式妥善保存。总部各部门分（子）公司1SAP*、DDIC帐号密码修改记录1.1经营风险：业务支持人员的权限分配不当，影响系统安全稳定或生产经营。1.8业务支持人员支持权限的新建、变更、删除、锁定需经ERP支持中心负责人审核签字后由应用管理员在系统中进行分配，业务支持人员在生产系统中只有相应模块的显示、跟踪权限，不能分配业务操作权限、38、后台配置权限。总部各部门分（子）公司业务支持人员应用管理员3业务支持人员名单1.1经营风险：超级用户权限管理不当，影响系统安全稳定或生产经营。1.9超级用户权限必须严格控制，申请时必须阐明使用原因，并经ERP支持中心负责人审核签字后，应用管理员才能在系统中进行分配，使用后要及时将权限回收。总部各部门分（子）公司2超级用户申请表1.10第三方人员管理1.12.2经营风险：与第三方合作单位未签订安全保密协议，造成系统泄密或受到非法访问。针对第三方合作单位需要签订安全保密协议。总部各部门分（子）公司1保密协议（合同）1.12.2经营风险：对第三方合作单位人员管理不到位，影响系统安全稳定或生产经营。第39、三方人员访问系统，需填写第三方人员帐号申请表（需注明使用期限和权限），经需求部门负责人、信息管理部门（责任处（科）室）负责人审批通过后，由应用管理员根据申请表在系统中建立其帐号。第三方人员撤离后，其帐号需在系统中进行删除或锁定，如确需访问系统诊断问题，需按照用户权限维护程序经审批后方可解锁/创建;维护完毕后应及时锁定或删除。总部各部门分（子）公司2第三方人员清单用户变更申请表2.程序变更1.11.21.32.12.32.4经营风险：规章制度不健全，导致对系统管理的失控。2.1总部各部门、分（子）公司依据信息系统应用管理办法，制定程序变更管理制度,主要包括客户化开发变更管理、系统配置变更管理、软40、件版本变更管理等内容。总部各部门分（子）公司2程序变更管理制度2.2客户化开发变更管理1.11.32.4经营风险：客户化开发的需求不合理，导致系统故障，不能满足业务需求。合规风险：重要业务报表的编制不符合规定，导致股份公司声誉受到损害及受相关机构处罚。对于功能增强/表单/报表/系统接口等客户化开发的新需求或者对已有客户化开发的变更，由需求变更部门填写系统开发变更申请表（简要描述功能需求和功能说明），经提报单位的需求变更部门、信息管理部门/ERP支持中心负责人审核后报信息系统管理部审批。总部各部门分（子）公司2客户化开发变更申请表1.11.32.4经营风险：变更管理不规范，客户化开发、测试和传输41、管理不完善，导致系统故障或不能满足业务需求。信息系统管理部组织人员根据审批后的客户化开发变更需求在开发环境中进行开发，完成开发后由提报单位的业务人员在测试环境中进行测试，针对变更部分编制测试文档（包括测试场景和测试结果），经业务人员及部门负责人签字确认后，由提报单位的应用管理员按照传输管理要求传入生产系统。总部各部门分（子）公司开发人员业务人员4开发变更测试文档1.11.32.4经营风险：客户化开发变更记录不完整，导致维护困难。提报单位ERP支持中心组织需求变更部门对客户化开发变更内容进行记录，包括更新客户化功能说明文档、技术说明文档、测试文档、用户手册、管理制度、版本号管理等，由ERP支持中42、心归档。总部各部门分（子）公司2相关开发文档2.3系统配置变更管理1.11.21.32.4经营风险：系统配置变更管理不完善，导致系统故障或不能满足业务需求。现有系统配置需进行调整，应由需求部门填写“系统配置变更申请表”，经部门负责人签字确认后提交信息管理部门审核。与ERP推广模板有差异的或者组织架构、业务流程发生变化的变更，以及新增功能模块，需信息系统管理部门负责人审批并组织实施；其他系统配置变更,由信息管理部门授权支持人员或第三方人员根据审批后的变更需求进行业务流程设计，经相关业务部门负责人签字确认后在开发环境进行配置修改，由被授权人员填写系统配置变更记录，并将变更记录报总部ERP支持中心备43、案。总部各部门分（子）公司4配置变更申请表业务流程图与流程描述1.11.21.32.4经营风险：系统配置变更的测试、传输不完善，导致系统故障或不能满足业务需求。凡涉及业务流程、数据库变动的配置变更，由提报单位的业务人员在测试环境中进行测试，针对变更部分编制测试文档（包括测试场景和测试结果），经业务部门负责人签字确认后，由提报单位的应用管理员按照传输管理要求传入生产系统。总部各部门分（子）公司业务人员应用管理员4配置变更测试文档1.12.1经营风险：培训工作不到位，导致用户操作不熟练，无法保证业务处理的正确性。系统配置变更后由ERP支持中心组织相关人员及时修改配置文档，并根据需要进行业务人员培训44、。总部各部门分（子）公司2配置文档用户手册培训记录2.4软件补丁和版本变更管理1.12.1经营风险：随意升级软件补丁或版本，影响系统安全稳定或生产经营。合规风险：侵犯知识产权，导致诉讼及股份公司声誉受到损害。针对软件补丁/版本升级，信息管理部门提出申请，由信息系统管理部负责人审批后统一组织实施。总部各部门分（子）公司1软件版本升级申请表1.11.21.32.4经营风险：补丁/版本升级未经测试，导致系统故障或不能满足业务需求。由信息管理部门/ERP支持中心根据审批后的软件变更，组织支持人员、相关部门关键用户提出测试流程清单，在测试环境进行系统功能的全面测试，测试人员需在测试流程清单上签字确认，并45、填写测试记录。总部各部门分（子）公司3流程测试清单1.11.21.3经营风险：测试内容不全面，导致补丁/版本升级后系统故障或不能满足业务需求ERP支持中心负责人检查测试流程清单是否完整，并签字确认，由应用管理员根据补丁/版本升级方案在生产系统完成补丁安装或者版本升级工作，并进行“软件补丁/版本升级”记录。总部各部门分（子）公司23.程序开发1.21.32.12.22.32.4经营风险：规章制度不健全，导致对系统管理的失控。3.1总部各部门、分（子）公司依据信息系统应用管理办法，制定程序开发管理制度,主要包括业务流程设计管理、客户化开发和系统配置管理等内容。总部各部门分（子）公司2程序开发管理制46、度或规定1.32.12.2经营风险：业务流程不规范、设计不合理，导致系统不能满足业务需求。3.2信息管理部门负责组建项目组，包括承担系统实施的人员（以下简称咨询顾问）和关键用户。项目组根据ERP项目可行性研究报告和批复进行业务流程设计，并经关键用户、业务部门负责人签字确认。总部各部门分（子）公司4业务流程图与流程描述1.11.21.32.4经营风险：客户化开发的需求不合理，导致系统故障或不能满足业务需求。3.3对于功能增强/表单/报表/系统接口等客户化开发，由业务部门提出需求，并编制开发需求功能说明书，其中需描述访问权限要求。项目组根据功能说明书编制客户化开发清单，提交相关部门负责人签字确认。47、总部各部门分（子）公司2客户化开发清单；开发需求功能说明书1.11.21.32.4经营风险：程序开发不规范，导致系统故障或不能满足业务需求。3.4开发人员根据开发需求功能说明书在开发环境中完成开发工作，将开发结果提交业务人员进行测试，并经业务人员及部门负责人签字确认。总部各部门分（子）公司3开发测试记录单1.11.21.32.4经营风险：系统配置不规范，导致系统故障或不能满足业务需求。3.5咨询顾问依据签字确认的业务流程设计进行系统配置，并编写配置文档；关键用户对配置文档进行审核并签字确认。总部各部门分（子）公司3配置文档3.6系统配置测试管理1.11.21.32.4经营风险：集成测试不充分，48、导致系统故障或不能满足业务需求。系统配置完成后，由咨询顾问和关键用户在测试系统进行集成测试，记录测试过程，并对集成测试记录签字确认。总部各部门分（子）公司2集成测试文档1.11.21.32.4经营风险：用户测试不充分，导致系统故障或不能满足业务需求。集成测试完成后，由最终用户在测试系统进行用户接受测试，记录测试过程；并对接受测试记录签字确认。总部各部门分（子）公司2用户接受测试文档3.7开发测试环境和传输管理1.11.21.32.4经营风险：开发技术架构不合理或传输缺乏控制，影响系统安全稳定或生产经营。客户化开发、系统配置、系统变更工作遵循“开发系统至测试系统、测试系统至生产系统”的技术架构完49、成，并按照传输管理规范进行传输。总部各部门分（子）公司1传输请求申请表1.1经营风险：传输管理不完善，导致系统故障或不能满足业务需求。测试系统和生产系统上生成的传输请求需经信息系统管理部相关处室负责人审批，并报总部ERP支持中心备案。总部各部门分（子）公司2传输请求申请表3.8用户操作手册编制和培训1.11.21.3经营风险：用户手册更新不及时，导致培训不到位，影响生产经营。咨询顾问及关键用户按照流程设计和系统配置编写并及时更新用户操作手册。总部各部门分（子）公司1用户操作手册1.11.21.3经营风险：培训工作不到位，导致用户操作不熟练，无法保证业务处理的正确性。信息管理部门组织培训及考核，50、业务人员经考核合格后方可上岗。总部各部门分（子）公司2培训及考核记录3.9数据转换管理1.22.32.4经营风险：数据收集和整理不严谨，导致系统存在大量垃圾数据和系统数据失真。合规风险：系统数据的收集、提供、使用、转让违反国家法律法规及股份公司内部规章制度等，导致系统无法正常运行。业务部门组织人员按照数据收集模板收集和整理相关业务数据，并进行盘点；相关部门负责人须审核收集的数据，并在“数据签字清单”上签字确认。总部各部门分（子）公司收集人员审核人员1数据签字清单1.22.32.4经营风险：未对进入系统数据核对，导致系统存在大量垃圾数据和系统数据失真。合规风险：系统数据的收集、提供、使用、转让违51、反国家法律法规及股份公司内部规章制度等，导致系统无法正常运行。业务人员对导入/补录入系统的数据进行核对，核对结果需经部门负责人签字确认。总部各部门分（子）公司操作人员审核人员1数据导入清单3.10系统切换和月结差异分析1.1经营风险：系统切换方案未经确认，违背系统规范管理。咨询顾问制定系统切换方案，需经项目组负责人签字确认。总部各部门分（子）公司1切换方案1.1经营风险：系统上线手续不全，违背系统规范管理。项目组根据“ERP系统上线申请标准”编制上线申请报告，并提交总部ERP项目管理组审核。总部各部门分（子）公司1ERP系统上线申请报告1.21.32.4经营风险：差异分析报告不准确，导致系统数52、据错误无法纠正，影响系统正确性。相关部门对系统并行期间月结差异进行分析，编制差异分析报告，并提交总部ERP项目管理组审核批复。总部各部门分（子）公司2月结差异报告4.系统运行1.11.3经营风险：规章制度不健全，导致对系统管理的失控。4.1总部各部门、分（子）公司依据信息系统应用管理办法，制定系统运行管理制度,主要包括系统监控机制、数据导入管理、后台作业管理、数据备份与灾难恢复策略、支持体系、应急预案等内容。总部各部门分（子）公司2系统运行管理制度或规定4.2批导入数据管理1.11.32.3经营风险：导入数据未经检查审核，导致系统数据失真。合规风险：系统数据的收集、提供、使用、转让违反国家法律53、法规及股份公司内部规章制度等，导致系统无法正常运行。外部数据导入前，业务部门负责人需对外部数据审核签字，业务人员对数据格式进行检查；保留导入的外部数据以备复查（财务数据至少保留至年结后，业务数据至少保留至月结后）。总部各部门分（子）公司1数据导入申请表1.11.32.3经营风险：导入数据模板未经检查审核，导致系统数据紊乱。合规风险：系统数据的收集、提供、使用、转让违反国家法律法规及股份公司内部规章制度等，导致系统无法正常运行。对周期性导入的外部数据的数据模板，需经相关部门负责人审核签字，业务人员在数据导入系统前需对数据的格式进行检查。总部各部门分（子）公司1数据模版审批签字4.3后台作业管理154、.11.32.3经营风险：后台作业批处理计划不合理，影响系统正常运行。信息管理部门会同相关部门制定后台作业批处理计划，相关责任人签字确认，由应用管理员执行后台作业批处理。总部各部门分（子）公司1后台作业申请表1.1经营风险：系统运行状态监控不到位，系统潜在故障处理不及时，支持体系不健全，影响系统正常运行。应用管理员每天监控后台作业的运行情况，批处理运行结束后应检查运行日志，对出现的问题及时处理并记录备案。总部各部门分（子）公司1批处理运行日志4.4数据备份管理1.11.3经营风险：备份硬件故障，导致数据丢失或数据、系统无法恢复。系统管理员详细记录备份硬件的配置参数，每天监控备份硬件的运行情况并55、进行日志记录。总部各部门分（子）公司1备份日志记录1.11.3经营风险：数据未及时或正确备份，导致数据丢失或数据、系统无法恢复。应用管理员每日检查系统数据备份日志，确认每日数据备份是否成功，并记录备份异常情况；应用管理员至少每季度进行一次数据全备份。总部各部门分（子）公司2数据全备份记录备份巡检记录1.11.3经营风险：未及时发现备份介质存在故障，导致数据、系统无法恢复。系统管理员对数据备份介质每季度进行一次可读性测试并记录，每年至少进行一次恢复性测试并记录。总部各部门分（子）公司 2可读性测试记录恢复性测试记录1.11.3经营风险：备份介质出现故障，导致数据、系统无法备份。系统管理员对备份设56、备中的备份介质至少每四年更换一次，并记录备份介质更换情况。总部各部门分（子）公司2备份介质更换记录1.11.3经营风险：异常情况及问题未及时解决，影响系统正常运行。4.5 ERP支持中心对监控中发现的警告和异常情况以及业务人员申报的问题，要按照问题处理流程进行受理、解决、跟踪，并对问题处理过程进行记录。总部各部门分（子）公司2问题处理记录1.11.3经营风险：没有建立完善的应急预案或培训未到位，员工不能及时正确处理突发事件或故障，影响生产经营。4.6信息管理部门会同相关部门至少每年对关键用户、业务人员、系统管理员（操作系统管理员、数据库管理员）、应用管理员进行系统应急预案的培训工作，并对培训进57、行记录。总部各部门分（子）公司1系统应急预案培训记录11.3 ERP系统IT一般性控制流程一、 业务目标1经营目标1.1 保证系统长期稳定、安全、高效运行。1.2保证系统数据的准确性、实时性和完整性。1.3保证业务流程的通流效率，为企业的经营和发展提供技术支撑。2合规目标2.1 遵守保护知识产权的有关法律法规，使用合法软件。2.2 信息技术合同符合合同法等股份公司制度、国家法律和法规。2.3 系统数据的收集、提供、使用和转让符合股份公司有关制度以及国家安全、保护知识产权、合同法等法律、法规的要求。2.4 业务系统的生成报表、合并报表编制过程的真实性、完整性、可靠性符合国家规定及上市地监管机构要58、求。二、 业务风险1 经营风险本流程适用于股份公司ERP单轨运行企业ERP系统IT一般性控制。1.1 规章制度不健全，导致系统管理失控。1.2 技术方案不合理，业务流程不规范，系统功能存在问题，导致系统不能满足业务需求。1.3系统登录访问机制不健全、用户权限管理不规范等，导致对系统的非法或非授权访问。1.4 数据收集、转换和清理的管理不完善，导致系统存在大量垃圾数据和系统数据失真。1.5变更管理不规范，客户化开发、测试和传输管理不完善，导致系统故障、影响系统正常运作或系统功能不能满足业务需求。1.6 系统运行状态监控不到位，系统潜在故障处理不及时，支持体系不健全，影响系统正常运行。1.7 上线59、方案不合理，导致系统上线失败。1.8 上线月结差异分析报告不准确，导致系统数据错误无法纠正，影响系统正确性。1.9备份策略和备份方案不完善，导致数据丢失或数据、系统无法恢复。1.10培训工作不到位，导致用户操作不熟练，无法保证业务处理的正确性。1.11 没有建立完善的应急预案，影响到业务处理。2合规风险2.1 侵犯知识产权，导致诉讼及股份公司声誉受到损害。2.2 系统数据的收集、提供、使用、转让违反国家法律法规及股份公司内部规章制度等，导致系统无法正常运行。2.3重要业务报表的编制不符合规定，导致股份公司声誉受到损害及受相关机构处罚。三、 业务流程步骤与控制点1程序和数据访问1.1总部各部门、60、分（子）公司依据化工股份有限公司管理信息系统应用管理办法（试行）（以下简称信息系统应用管理办法）等，制定程序和数据访问管理制度,主要包括用户权限管理、用户帐号管理、用户登录管理、超级用户管理及第三方人员管理等内容。1.2用户权限管理建立/变更用户帐号和角色，由申请人填写ERP系统用户权限申请表，经相关部门负责人审批后，由应用管理员在系统中建立/维护权限，相关人员进行权限测试并确认，关键用户对角色矩阵实时维护并进行版本管理。操作人员由于岗位变动或离开单位，人事部门必须及时通知ERP支持中心，ERP支持中心应用管理员在系统中将该用户进行锁定或删除。1.3用户帐号管理应用管理员每季度在线检查用户权限61、使用情况，至少每半年将系统用户清单提交相关部门，由关键用户和部门负责人审核确认，应用管理员根据审核结果在系统中进行相应处理。应用管理员在系统中为每个操作人员设置独立的用户帐号，不能设置共享用户帐号（查询用户帐号除外）。对于数据库层面用户（如系统接口访问用户等），相关部门填写用户申请，由部门负责人签字确认，经信息管理部门审批后，由数据库管理员创建该类用户。1.4对于系统登录访问，要设置合理的密码规则，密码长度6位以上，采用数字和字符组合方式，不能使用弱密码；用户密码3个月内必须更新一次；帐号密码重复输入5次错误则暂停登录或系统锁定；系统自动退出帐号登录的最大空闲时间不能超过50分钟。1.5相关管62、理员的管理应用管理员（BASIS管理员和权限管理员）、系统管理员（操作系统管理员、数据库管理员）、安全管理员必须授权管理，遵循不相容岗位分离原则，并且不能具有业务操作权限及开发权限；信息管理部门负责人应至少每半年对上述管理员的在职情况进行审查。应用管理员负责监控应用系统运行情况、备份情况和日志，并完成监控记录；系统管理员负责监控操作系统、数据库及备份设备运行情况和日志，并完成监控记录；安全管理员每季度对相关管理员的操作日志至少检查一次并记录检查情况。1.6生产系统上线投入运行后，锁定生产系统中的开发人员、关键用户的帐号；如果开发人员或关键用户必须在生产系统中诊断问题，需填写ERP系统用户权限申63、请表（提出申请帐号目的和期限），由相关部门负责人签字确认后由应用管理员进行维护，完成问题诊断任务后锁定该帐号。1.7预置帐号的管理系统管理员在操作系统安装完成后对服务器根帐号（root）密码进行修改，并至少三个月更换一次密码，密码以安全方式妥善保存。系统管理员在数据库和SAP软件安装好后，需用sapdba的工具修改SAP系统预置帐号（SAPR3，SYS，SYSTEM）的缺省密码，并至少三个月更换一次密码，密码以安全方式妥善保存。 应用管理员在SAP软件安装好每次创建Client后，须修改SAP系统预置帐号（SAP*/DDIC）缺省密码，密码以安全方式妥善保存。1.8业务支持人员支持权限的新建、64、变更、删除、锁定需经ERP支持中心负责人审核签字后由应用管理员在系统中进行分配，业务支持人员在生产系统中只有相应模块的显示、跟踪权限，不能分配业务操作权限、后台配置权限。1.9 超级用户权限必须严格控制，申请时必须阐明使用原因，并经ERP支持中心负责人审核签字后，应用管理员才能在系统中进行分配，使用后要及时将权限回收。1.10第三方人员管理针对第三方合作单位需要签订安全保密协议。第三方人员访问系统，需填写第三方人员帐号申请表（需注明使用期限和权限），经需求部门负责人、信息管理部门（责任处（科）室）负责人审批通过后，由应用管理员根据申请表在系统中建立其帐号。第三方人员撤离后，其帐号需在系统中进行65、删除或锁定，如确需访问系统诊断问题，需按照用户权限维护程序经审批后方可解锁/创建;维护完毕后应及时锁定或删除。2.程序变更2.1总部各部门、分（子）公司依据信息系统应用管理办法，制定程序变更管理制度,主要包括客户化开发变更管理、系统配置变更管理、软件版本变更管理等内容。2.2客户化开发变更管理。 对于功能增强/表单/报表/系统接口等客户化开发的新需求或者对已有客户化开发的变更，由需求变更部门填写系统开发变更申请表（简要描述功能需求和功能说明），经提报单位的需求变更部门、信息管理部门/ERP支持中心负责人审核后报信息系统管理部审批。 信息系统管理部组织人员根据审批后的客户化开发变更需求在开发环境66、中进行开发，完成开发后由提报单位的业务人员在测试环境中进行测试，针对变更部分编制测试文档（包括测试场景和测试结果），经业务人员及部门负责人签字确认后，由提报单位的应用管理员按照传输管理要求传入生产系统。 提报单位ERP支持中心组织需求变更部门对客户化开发变更内容进行记录，包括更新客户化功能说明文档、技术说明文档、测试文档等，由ERP支持中心归档。2.3系统配置变更管理 现有系统配置需进行调整，应由需求部门填写“系统配置变更申请表”，经部门负责人签字确认后提交信息管理部门审核。与ERP推广模板有差异的或者组织架构、业务流程发生变化的变更，以及新增功能模块，需信息系统管理部负责人审批并组织实施；其67、他系统配置变更，由信息管理部门授权支持人员或第三方人员根据审批后的变更需求进行业务流程设计，经相关部门负责人签字确认后在开发环境进行配置修改，由被授权人员填写系统配置变更记录，并将变更记录报总部ERP支持中心备案。凡涉及业务流程、数据库变动的配置变更，由提报单位的业务人员在测试环境中进行测试，针对变更部分编制测试文档（包括测试场景和测试结果），经业务部门负责人签字确认后，应用管理员按照传输管理要求传入生产系统。系统配置变更后由ERP支持中心组织相关人员及时修改配置文档，并根据需要编写用户手册，进行业务人员培训。2.4软件补丁和版本变更管理针对软件补丁/版本升级，信息管理部门提出申请，由信息系统68、管理部负责人审批后统一组织实施。由信息管理部门/ERP支持中心根据审批后的软件变更，组织支持人员、相关部门关键用户提出测试流程清单，在测试环境进行系统功能的全面测试，测试人员需在测试流程清单上签字确认，并填写测试记录。ERP支持中心负责人检查测试流程清单是否完整，并在签字确认后，由应用管理员根据补丁/版本升级方案在生产系统完成补丁安装或者版本升级工作，并进行软件补丁/版本升级记录。3.程序开发3.1总部各部门、分（子）公司依据信息系统应用管理办法，制定程序开发管理制度,主要包括业务流程设计管理、客户化开发和系统配置管理等内容。3.2信息管理部门负责组建项目组，包括承担系统实施的人员（以下简称咨69、询顾问）和关键用户。项目组根据ERP项目可行性研究报告和批复进行业务流程设计，并经关键用户、业务部门负责人签字确认。3.3对于功能增强/表单/报表/系统接口等客户化开发，由业务部门提出需求，并编制开发需求功能说明书，其中需描述访问权限要求。项目组根据功能说明书编制客户化开发清单，提交相关部门负责人签字确认。3.4开发人员根据开发需求功能说明书在开发环境中完成开发工作，将开发结果提交业务人员进行测试，并经业务人员及部门负责人签字确认。3.5咨询顾问依据签字确认的业务流程设计进行系统配置，并编写配置文档；关键用户对配置文档进行审核并签字确认。3.6系统配置测试管理系统配置完成后，由咨询顾问和关键用70、户在测试系统进行集成测试，记录测试过程，并对集成测试记录签字确认。集成测试完成后，由最终用户在测试系统进行用户接受测试，记录测试过程，并对接受测试记录签字确认。3.7开发测试环境和传输管理客户化开发、系统配置、系统变更工作遵循“开发系统至测试系统、测试系统至生产系统”的技术架构完成，并按照传输管理规范进行传输。测试系统和生产系统上生成的传输请求需经信息系统管理部相关处室负责人审批，并报总部ERP支持中心备案。3.8用户操作手册编制和培训咨询顾问及关键用户按照流程设计和系统配置编写并及时更新用户操作手册。信息管理部门组织培训及考核，业务人员经考核合格后方可上岗。3.9数据转换管理业务部门组织人员71、按照数据收集模板收集和整理相关业务数据，并进行盘点；相关部门负责人须审核收集的数据，并在“数据签字清单”上签字确认。业务人员对导入/补录入系统的数据进行核对，核对结果需经部门负责人签字确认。3.10系统切换和月结差异分析咨询顾问制定系统切换方案，需经项目组负责人签字确认。项目组根据“ERP系统上线申请标准”编制上线申请报告，并提交总部ERP项目管理组审核。相关部门对系统并行期间月结差异进行分析，编制差异分析报告，并提交总部ERP项目管理组审核批复。4.系统运行4.1总部各部门、分（子）公司依据信息系统应用管理办法，制定系统运行管理制度,主要包括系统监控机制、数据导入管理、后台作业管理、数据备份72、与灾难恢复策略、支持体系、应急预案等内容。4.2批导入数据管理外部数据导入前，业务部门负责人需对外部数据审核签字，业务人员对数据格式进行检查；保留导入的外部数据以备复查（财务数据保留至年结后，业务数据保留至月结后）。对周期性导入的外部数据的数据模板，需经相关部门负责人审核签字，业务人员在数据导入系统前需对数据的格式进行检查。4.3后台作业管理信息管理部门会同相关部门制定后台作业批处理计划，相关责任人签字确认，由应用管理员执行后台作业批处理。应用管理员每天监控后台作业的运行情况，批处理运行结束后应检查运行日志，对出现的问题及时处理并记录备案。4.4数据备份管理系统管理员详细记录备份硬件的配置参数73、，每天监控备份硬件的运行情况并进行日志记录。应用管理员每日检查系统数据备份日志，确认每日数据备份是否成功，并记录备份异常情况；至少每季度进行一次数据全备份。 系统管理员对数据备份介质每季度进行一次可读性测试并记录，每年至少进行一次恢复性测试并记录。 系统管理员对备份设备中的备份介质至少每四年更换一次，并记录备份介质更换情况。4.5ERP支持中心对监控中发现的警告和异常情况以及业务人员申报的问题，要按照问题处理流程进行受理、解决、跟踪，并对问题处理过程进行记录。4.6信息管理部门会同相关部门至少每年对关键用户、业务人员、系统管理员（操作系统管理员、数据库管理员）、应用管理员进行系统应急预案的培训74、工作，并对培训进行记录。四、 相关制度目录（制度后标号为内部控制手册配套规章制度汇编目录索引号）1 化工股份有限公司管理信息系统应用管理办法（试行）（石化股份信2006330号）-2 化工股份有限公司ERP项目管理办法（试行）(石化股份信项200720号) -11.4应用系统IT一般性控制内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性1234561.程序和数据访问1.12.32.4经营风险：程序和数据访问制度不健全，导致信息系统应用管理不规范、运维75、不及时。1.1总部各部门、分（子）公司依据化工股份有限公司管理信息系统应用管理办法（试行）（以下简称信息系统应用管理办法），及相关应用系统管理办法实施程序和数据访问管理，包括用户权限管理、用户帐号及访问管理、密码管理、系统管理员、应用管理员、安全管理员（主要职责是承担对系统管理员、应用管理员的监管，负责审查系统管理员、应用管理员在系统中的操作）管理、第三方人员管理等。总部各部门分(子)公司5程序和数据访问管理制度1.2 用户权限管理1.11.2经营风险：用户权限管理不规范，导致对系统的非法或非授权访问。1.21新进员工及岗位变动人员按照用户权限相关管理办法填写用户权限审批表，经相关部门负责人审76、批后，由应用管理员在系统中新增、变更或锁定用户权限。总部各部门分(子)公司3用户权限审批表1.11.2经营风险：数据库用户权限管理不规范，导致对系统的非法或非授权访问。对于数据库用户权限，相关人员填写用户权限审批表，经相关部门负责人审批后，由系统管理员在数据库中新增、变更或锁定用户权限。总部各部门分(子)公司3用户权限审批表1.3用户帐号及访问管理1.12.1经营风险：系统登录控制功能不健全，导致对系统的非法或非授权访问。操作人员访问应用系统时，必须输入用户帐号和密码。总部各部门分(子)公司2用户登录截屏1.11.2经营风险：账户共享，导致责任不清；系统账户审核清理不及时，导致对系统的非法或非77、授权访问。应用管理员在系统中为每个操作人员设置独立的用户帐号，不能设置共享用户帐号（查询用户帐号除外）。应用管理员至少每半年打印一次用户帐号权限清单，并由相关部门负责人审核。总部各部门分(子)公司3用户帐号清单1.4密码管理1.1经营风险：密码设置强度不够或更改不及时，造成系统泄密或受到非法访问操作人员应按照密码管理相关规定，遵循系统密码的长度至少为6位，复杂度为数字与字符的组合，三个月更改一次密码等密码规则设置密码，不得使用最近使用过的密码。应用管理员对操作人员密码定期更换记录进行检查。总部各部门分(子)公司3密码更换检查记录1.1经营风险：系统、应用管理员密码设置强度不够或更改不及时，造成78、系统泄密或受到非法访问系统管理员、应用管理员应在系统投用前修改操作系统、数据库、应用系统的超级用户初始密码。上述密码至少三个月更换一次，安全管理员对定期更换记录进行检查。总部各部门分(子)公司系统管理员应用管理员安全管理员3管理员更换密码记录1.5系统管理员、应用管理员、安全管理员管理1.11.2经营风险：系统、应用管理员岗位设置不合理、授权不规范，导致对系统的非法或非授权访问。系统需配备专职或兼职系统管理员、应用管理员和安全管理员。安全管理员、系统管理员、应用管理员必须经相关部门负责人授权并遵循不相容岗位分离原则，且不得拥有应用系统的业务操作权限。相关部门负责人至少每半年对上述管理员在职情况79、进行审查。总部各部门分(子)公司系统管理员应用管理员安全管理员4信息系统岗位授权文档；在职情况审查记录1.11.2经营风险：安全管理员监督不到位，系统安全收到威胁。安全管理员至少每季度对系统管理员、应用管理员的操作日志或记录进行检查，提出审核意见，并报相关部门负责人。总部各部门分(子)公司系统管理员应用管理员安全管理员3操作日志或记录审核记录1.6第三方人员管理1.11.22.12.2经营风险：第三方合作单位管理不到位，造成系统泄密或受到非法访问。总部各部门、分（子）公司与第三方合作单位就相关应用系统签订安全保密协议。总部各部门分(子)公司3安全保密协议1.11.22.12.2经营风险：对第三80、方人员用户权限管理不规范，导致对系统的非法或非授权访问。第三方人员需访问系统时，由申请人/经办人按照相关管理办法填写用户权限审批表(需注明使用期限和权限)，经需求部门负责人审核后提交信息管理部门（责任处（科）室）负责人审批，由应用管理员在系统中新增或变更其帐号及权限。到期后必须及时删除或锁定第三方人员的帐号。总部各部门分(子)公司3用户权限审批表2.程序变更1.11.2经营风险：程序变更制度不健全，导致信息系统应用管理不规范、运维不及时。2.1总部各部门、分（子）公司依据信息系统应用管理办法及相关应用系统管理办法实施系统变更管理，包括变更申请审批、变更测试和变更版本管理等。总部各部门分（子）公81、司4程序变更管理制度1.11.2经营风险：系统变更管理不规范，导致应用系统运行和维护的无法正常进行。2.2总部统一建设的应用系统，系统变更必须填写系统变更审批表上报信息系统管理部和总部相关部门，由总部统一组织升级、测试和变更，各分（子）公司不得自行变更。各分（子）公司自建系统或客户化开发的变更，必须经过分（子）公司信息管理部门和相关部门负责人审批。总部各部门分（子）公司3系统变更申请表1.11.2经营风险：系统变更管理不规范，未经审批、测试，导致应用系统运行和维护的无法正常进行。2.3变更的应用程序移植到生产系统前，相关部门必须组织人员进行系统测试和最终用户测试，测试不能在生产环境中进行。总部82、各部门分（子）公司3测试记录1.11.2经营风险：系统变更版本管理、文档管理不规范导致应用系统运行和维护的无法正常进行。2.4信息管理部门必须对操作系统、数据库、应用系统版本变更进行管理，记录每次变更的版本号，存档变更文档和变更升级程序。总部各部门分（子）公司3变更记录3.程序开发1.12.12.2经营风险：技术方案不合理，系统功能存在问题，导致应用系统不能满足生产经营管理业务需求。3.1新建应用系统的项目计划、可研评审、立项审批、项目实施、竣工验收等开发步骤按照11.1信息系统管理业务流程执行。 总部各部门分（子）公司1.1经营风险：系统上线前未经严格测试，系统功能存在问题，导致应用系统不能83、正常运行。3.2应用系统上线前,必须由信息管理部门组织测试系统功能，形成测试报告，并经最终用户部门负责人签字确认。总部各部门分（子）公司3系统功能测试报告3.3系统初始化管理1.22.32.4合规风险：应用系统数据的收集、整理不规范，未经审核确认，导致系统存在大量垃圾数据或数据失真。相关部门按照数据收集模板组织人员收集、整理业务数据，并由相关部门责任人审核确认。总部各部门分（子）公司3数据收集确认单1.22.32.4合规风险：导入系统的数据未经审核确认，导致系统存在大量垃圾数据或数据失真。相关部门组织人员对导入和补录系统的数据进行核对，并由相关部门责任人签字确认。总部各部门分（子）公司5数据导84、入确认单4.系统运行1.1经营风险：系统运行制度不健全，导致信息系统应用管理不规范、运维不及时。4.1总部各部门、分（子）公司依据信息系统应用管理办法及相关应用系统管理办法实施系统运行管理，包括系统备份及恢复、系统监控、维护及故障处理等。总部各部门分(子)公司5系统运行管理制度4.2数据备份及恢复1.11.22.3经营风险：备份策略和备份方案不完善，数据备份不及时、不成功，导致系统数据丢失，系统无法恢复。应用管理员（系统管理员）至少每月做一次数据全备份，并检查数据备份日志，确认备份是否成功。对备份异常情况进行记录，同时检查备份数据的可读性。总部各部门分(子)公司3数据备份日志或记录1.11.285、2.3经营风险：备份策略和备份方案不完善，应用系统程序备份不及时，导致系统无法恢复。系统管理员适时对系统进行备份，同时检查备份系统的可读性，确认备份是否成功。总部各部门分(子)公司3系统备份记录1.11.22.3经营风险：数据库、应用系统日志备份不及时，导致系统问题无法追溯或系统无法恢复。系统管理员、应用管理员至少每月对数据库、应用系统的日志进行备份。总部各部门分(子)公司系统管理员应用管理员3日志备份记录1.11.22.3经营风险：备份介质管理不规范，导致备份数据丢失、泄密，系统无法恢复。应用管理员（系统管理员）每月将备份介质与生产服务器异地存放，并由专人管理。备份介质存放要有记录，介质访问86、人员须经相关部门负责人授权并填写访问记录。总部各部门分(子)公司3介质存放及访问记录1.11.22.3经营风险：备份数据可读性测试不及时，导致系统数据丢失，系统无法恢复。系统管理员至少每半年对备份数据进行一次可读性测试。总部各部门分(子)公司3可读性测试记录1.11.22.3经营风险：备份数据恢复性测试不及时，导致系统数据丢失，系统无法恢复。系统管理员至少每年对备份数据进行一次恢复性测试。总部各部门分(子)公司4恢复性测试记录4.3系统监控、维护及故障处理1.1经营风险：系统运行缺乏有效监控，影响系统安全稳定运行。系统管理员对应用系统、后台作业、操作系统、数据库、服务器等运行状况进行监控,并填87、报系统运行监控报告。总部各部门分(子)公司3系统运行监控报告1.11.22.3经营风险：系统日志审核不到位，导致系统问题不能及时处理，影响系统稳定运行。应用管理员对应用系统操作日志或记录、安全管理员对直接访问数据库的操作日志至少每月进行一次审核，发现异常情况，及时上报信息管理部门/相关部门负责人，同时查明原因，提出处理意见，记录处理情况。总部各部门分(子)公司应用管理员安全管理员3日志审核记录1.11.22.3经营风险：系统问题处理、故障记录不规范，影响系统稳定运行。对系统运行出现的故障，相关人员需填报问题处理记录单，详细记录问题处理情况，其中包括故障发生时间、故障情况、解决办法、处理结果及问88、题跟踪记录等，并审核确认。总部各部门分（子）公司3问题处理记录单1.11.22.3经营风险：未制定应急预案或培训不到位，员工不能及时正确处理突发事件或故障，影响系统安全稳定运行。系统应用部门会同信息管理部门制订系统应急预案，并至少每年对业务人员、系统管理员、应用管理员进行一次系统应急预案的培训。总部各部门分(子)公司3应急预案培训记录1.11.22.32.4经营风险：应用系统数据的收集、提供不及时、不准确，导致应用系统不能满足生产经营管理业务需求。4.4. 炼化企业使用MES系统进行主物料的日平衡、旬确认、月结算，公用工程进行旬月平衡，实现生产监控管理，满足生产调度的要求，为ERP和生产营运指89、挥等系统提供数据支持；油品销售企业使用加油卡系统对所属加油站数据上传情况进行跟踪，督促油站及时通讯，确保数据及时上送。总部各部门分(子)公司5平衡报表；加油站通讯情况表11.4应用系统IT一般性控制流程一、业务目标1经营目标1.1 保证应用系统长期稳定、安全、高效运行。1.2为生产经营管理提供业务支撑和及时、准确、完整的数据。2 合规目标2.1 遵守保护知识产权的有关法律法规，使用合法软件。2.2 信息技术合同符合合同法等股份公司制度、国家法律和法规。2.3应用系统数据的收集、提供、使用和转让符合国家安全、知识产权保护、合同法等法律、法规及股份公司内部规章制度的要求。2.4保证重要业务系统的生90、成报表、合并报表编制过程的真实性、完整性、可靠性符合国家规定及上市地监管机构要求。二、 业务风险1经营风险 本流程适用于除ERP系统外的其它应用系统，包括财务管理信息系统、财务报表系统、加油卡系统及MES系统等。1.1 技术方案不合理，系统功能存在问题，导致应用系统不能满足生产经营管理业务需求。1.2 系统登录访问机制不健全、用户权限管理不规范等，导致对系统的非法或非授权访问。1.3密码设置强度不够或更改不及时，造成系统泄密或受到非法访问。1.4 系统变更管理不规范，未经审批、测试，导致应用系统运行和维护的无法正常进行。1.5系统运行缺乏有效监控及维护管理，影响系统安全稳定运行。1.6系统问题91、处理不及时、不规范，不能保证系统问题得到及时有效解决。1.7备份策略和备份方案不完善，导致系统数据丢失，系统无法恢复。1.8 制度不健全，导致信息系统应用管理不规范、运维不及时。2合规风险2.1 侵犯知识产权，导致诉讼及股份公司声誉受到损害。2.2 应用系统数据的收集、提供、使用、转让违反国家法律法规及股份公司内部规章制度等，导致系统无法正常运行。2.3重要业务报表的编制不符合规定，导致股份公司声誉受到损害及受相关机构处罚。三、 业务流程步骤与控制点1程序和数据访问1.1总部各部门、分（子）公司依据化工股份有限公司管理信息系统应用管理办法（试行）（以下简称信息系统应用管理办法）及相关应用系统管92、理办法实施程序和数据访问管理，包括用户权限管理、用户帐号及访问管理、密码管理、系统管理员、应用管理员、安全管理员（主要职责是承担对系统管理员、应用管理员的监管，负责审查系统管理员、应用管理员在系统中的操作）管理、第三方人员管理等。1.2用户权限管理 新进员工或岗位变动人员按照用户权限相关管理办法填写用户权限审批表，经相关部门负责人审批后，由应用管理员在系统中新增、变更或锁定用户权限。 对于数据库用户权限，相关人员填写用户权限审批表，经相关部门负责人审批后，由系统管理员在数据库中新增、变更或锁定用户权限。1.3用户帐号及访问管理操作人员访问应用系统时，必须输入用户帐号和密码。应用管理员在系统中为93、每个操作人员设置独立的用户帐号，不能设置共享用户帐号（查询用户帐号除外）。应用管理员至少每半年打印一次用户帐号权限清单，并由相关部门负责人审核。1.4密码管理操作人员应按照密码管理相关规定，遵循系统密码的长度至少为6位，复杂度为数字与字符的组合，三个月更改一次密码等密码规则设置密码，不得使用最近使用过的密码。应用管理员对操作人员密码定期更换记录进行检查。系统管理员、应用管理员应在系统投用前修改操作系统、数据库、应用系统的超级用户初始密码。上述密码至少三个月更换一次，安全管理员对定期更换记录进行检查。1.5系统管理员、应用管理员、安全管理员管理系统需配备专职或兼职系统管理员、应用管理员和安全管理94、员。安全管理员、系统管理员、应用管理员必须经相关部门负责人授权并遵循不相容岗位分离原则，且不得拥有应用系统的业务操作权限。相关部门负责人至少每半年对上述管理员在职情况进行审查。安全管理员至少每季度对系统管理员、应用管理员的操作日志或记录进行检查，提出审核意见，并报相关部门负责人。1.6第三方人员管理总部各部门、分（子）公司与第三方合作单位就相关应用系统签订安全保密协议。第三方人员需访问系统时，由申请人/经办人按照相关管理办法填写用户权限审批表(需注明使用期限和权限)，经需求部门负责人审核后提交信息管理部门（责任处（科）室）负责人审批，由应用管理员在系统中新增或变更其帐号及权限。到期后必须及时删95、除或锁定第三方人员的帐号。2程序变更2.1总部各部门、分（子）公司依据信息系统应用管理办法及相关应用系统管理办法实施系统变更管理，包括变更申请审批、变更测试和变更版本管理等。2.2总部统一建设的应用系统，系统变更必须填写系统变更审批表上报信息系统管理部和总部相关部门，由总部统一组织升级、测试和变更，各分（子）公司不得自行变更。各分（子）公司自建系统或客户化开发的变更，必须经过分（子）公司信息管理部门和相关部门负责人审批。2.3变更的应用程序移植到生产系统前，相关部门必须组织人员进行系统测试和最终用户测试，测试不能在生产环境中进行。2.4信息管理部门必须对操作系统、数据库、应用系统版本变更进行管96、理，记录每次变更的版本号，存档变更文档和变更升级程序。3程序开发3.1新建应用系统的项目计划、可研评审、立项审批、项目实施、竣工验收等开发步骤按照11.1信息系统管理业务流程执行。 3.2应用系统上线前,必须由信息管理部门组织测试系统功能，形成测试报告，并经最终用户部门负责人签字确认。3.3系统初始化管理相关部门按照数据收集模板组织人员收集、整理业务数据，并由相关部门责任人审核确认。相关部门组织人员对导入和补录系统的数据进行核对，并由相关部门责任人签字确认。4系统运行4.1总部各部门、分（子）公司依据信息系统应用管理办法及相关应用系统管理办法实施系统运行管理，包括系统备份及恢复、系统监控、维护97、及故障处理等。4.2数据备份及恢复4.2.1应用管理员（系统管理员）至少每月做一次数据全备份，并检查数据备份日志，确认备份是否成功。对备份异常情况进行记录，同时检查备份数据的可读性。4.2.2系统管理员适时对系统进行备份，同时检查备份系统的可读性，确认备份是否成功。 系统管理员、应用管理员至少每月对操作系统、数据库、应用系统的日志进行备份。4.2.4应用管理员（系统管理员）每月将备份介质与生产服务器异地存放，并由专人管理。备份介质存放要有记录，介质访问人员须经相关部门负责人授权并填写访问记录。4.2.5系统管理员至少每半年对备份数据进行一次可读性测试。4.2.6系统管理员至少每年对备份数据进行98、一次恢复性测试。4.3系统监控、维护及故障处理4.3.1系统管理员对应用系统、后台作业、操作系统、数据库、服务器等运行状况进行监控,并填报系统运行监控报告。 应用管理员对应用系统操作日志或记录、安全管理员对直接访问数据库的操作日志至少每月进行一次审核，发现异常情况，及时上报信息管理部门/相关部门负责人，同时查明原因，提出处理意见，记录处理情况。4.3.3对系统运行出现的故障，相关人员需填报问题处理记录单，详细记录问题处理情况，其中包括故障发生时间、故障情况、解决办法、处理结果及问题跟踪记录等，并审核确认。4.3.4系统应用部门会同信息管理部门制订系统应急预案，并至少每年对业务人员、系统管理员、99、应用管理员进行一次系统应急预案的培训。4.4 炼化企业使用MES系统进行主物料的日平衡、旬确认、月结算，公用工程进行旬月平衡，实现生产监控管理，满足生产调度的要求，为ERP和生产营运指挥等系统提供数据支持；油品销售企业使用加油卡系统对所属加油站数据上传情况进行跟踪，督促加油站及时通讯，确保数据及时上送。四、 相关制度目录（制度后标号为内部控制手册配套规章制度汇编目录索引号）1 化工股份有限公司管理信息系统应用管理办法（试行）（石化股份信2006330号） -2 化工股份有限公司财务信息管理系统系统管理办法（石化股份财信2003100号） -3 中国石化加油卡系统运行维护管理规定（石化股份销信2100、007444号） -2.14.2011.5基础设施IT一般性控制内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性1234561网络管理1.1网络基础管理1.12.12.2经营风险：网络管理制度不健全，导致网络管理存在漏洞。合规风险：信息基础设施的使用未遵守保护知识产权、合同法等有关国家法律、法规，股份公司声誉受到损害，受到相关部门处罚。 总部和分（子）公司依据化工股份有限公司网络管理办法（以下简称网络管理办法）及相关管理制度和工作流程实施对网络的管理101、，包括网络运行维护管理、网络互联管理、网络设备密码管理、网络管理员管理、远程接入网络管理、病毒防护管理等。信息系统管理部分(子)公司5网络管理办法1.1经营风险：网络相关管理人员配备不到位，导致网络管理存在安全隐患。 各级信息管理部门依据网络管理办法及相应岗位职责，配备网络管理员、安全管理员，由信息管理部门负责人审批。信息系统管理部分(子)公司安全管理员网络管理员3网络管理员、安全管理员授权文档1.1经营风险：未编制网络运行维护技术文档或文档未妥善保管，导致网络运行维护缺乏技术资料等重要依据。 各级信息管理部门负责编制网络运行维护的相关技术文档，包括网络拓扑图、IP地址分配表以及网络设备配置文102、件等，由专人负责整理和保存。信息系统管理部分（子）公司4IP地址分配表网络拓扑图网络设备配置记录表1.1经营风险：网络设备密码设置强度不够或更改不及时，造成公司内部网络被非授权访问和攻击。1.2 网络设备登录设置合理的密码规则，密码要求长度六位以上，采用数字和字符组合方式，新密码不得与前五次历史密码相同。网络管理员必须每六个月修改网络设备登录密码，填写密码更换记录，经安全管理员确认并在信息管理部门备案。信息系统管理部分（子）公司安全管理员网络管理员5密码变更记录1.3网络互联安全管理1.1经营风险：网络互联接口处未部署安全设备，导致内部网络被非授权访问和攻击。 总部和分（子）公司依据网络管理办103、法相关要求，在关键网络互联接口处部署安全设备，信息管理部门授权专人负责安全设备的管理，并备有安全设备配置文档。分（子）公司与外部网互联情况上报信息系统管理部备案。信息系统管理部分（子）公司4安全设备配置文档与外部网互联备案记录表1.1经营风险：安全管理员未及时发现安全设备规则存在的漏洞，导致内部网络被非授权访问和攻击。 安全管理员每季度对安全设备的规则进行复核、确认、检查，填写安全设备配置检查记录表。信息系统管理部分（子）公司4安全设备配置检查记录表1.1经营风险：安全管理员未及时对相关日志审计分析，导致内部网络被非授权访问和攻击。安全管理员每周对网络设备登录日志、防火墙日志、入侵检测日志等进104、行分析审计。信息系统管理部分（子）公司4网络设备登陆日志审阅表防火墙日志审阅表入侵检测日志审阅表1.4 终端用户接入管理1.1经营风险：用户未经授权即可接入网络，导致内部网络被非授权访问和攻击。1.4.1 用户终端接入网络需填写申请表，由申请人所在部门确认，信息管理部门（责任处(科）室)负责人批准并备案。申请表内容应包含终端接入安全责任条款。信息系统管理部分（子）公司3终端用户接入申请表1.1经营风险：未对用户登录网络进行管理，导致内部网络被非授权访问和攻击。建立用户登录网络认证机制，避免对中国石化内部网络未经授权的访问。信息系统管理部分（子）公司31.1经营风险：人事部门未及时提供人员离职交105、接表，或信息管理部门未及时将离职人员网络接入服务注销，导致内部网络被非授权访问和攻击。根据人事部门提供的人员离职交接表，信息管理部门应及时注销该用户的网络接入服务。人事部信息系统管理部分（子）公司3离职人员交接表1.1经营风险：未经相关领导授权开通远程接入网络服务，导致内部网络被非授权访问和攻击。1.5 远程接入网络申请人依据网络管理办法相关要求，填写远程接入服务申请表和远程用户接入服务安全承诺书，由所在部门负责人确认，信息管理部门（责任处(科）室)负责人审批并备案。信息系统管理部分（子）公司申请部门 信息管理部门3远程用户接入服务申请表远程用户接入服务安全承诺书1.1经营风险：未在内部网络部106、署防病毒系统或未及时升级，导致内部网络被病毒侵害。1.6 依据网络管理办法相关要求，网络管理员负责部署防病毒系统并及时进行版本和病毒特征库升级；安全管理员每周对防病毒系统日志等进行分析审计。信息系统管理部分（子）公司网络管理员安全管理员3防病毒系统日志审阅记录表2.服务器管理1.1经营风险：服务器相关管理人员配备不到位，导致系统运行管理存在隐患。2.1 各级信息管理部门配备系统管理员，由信息管理部门（责任处(科）室)负责人审批。信息系统管理部分（子）公司3系统管理员任命材料1.1经营风险：未建立服务器档案，导致服务器运行维护缺乏配置参数等重要依据。2.2 系统管理员须建立服务器档案，内容包括设107、备的详细硬件配置、设备唯一性标记和设备用途等信息。信息系统管理部分（子）公司4服务器档案2.3服务器操作系统管理1.1经营风险：随意创建操作系统用户，导致系统管理混乱，影响系统运行，存在安全隐患。 操作系统用户须填写操作系统用户申请表，经信息管理部门（责任处(科）室)负责人审批后，由系统管理员创建。信息系统管理部分（子）公司3操作系统用户申请表1.1经营风险：操作系统用户授权超期未锁定或删除，导致信息泄密或系统安全存在隐患。 系统管理员每半年检查操作系统用户授权情况并记录，对超期使用帐号的用户进行锁定或删除。信息系统管理部分（子）公司3操作系统用户授权记录1.1经营风险：操作系统用户密码设置强108、度不够或更改不及时，造成系统非授权访问。 操作系统用户密码要求长度八位以上，采用数字和字符组合方式，新密码不得与前五次历史密码相同。系统管理员至少每季度修改操作系统用户密码，填写密码更换记录、经安全管理员确认并在信息管理部门备案。信息系统管理部分（子）公司5密码更换记录1.1经营风险：系统管理员对操作系统运行监控不到位，未能及时发现隐患，安全管理员未履行检查职责，影响系统稳定运行。 系统管理员监控操作系统运行情况，每日巡检操作系统日志，并将巡检情况记录存档。安全管理员每月对系统巡检记录进行检查，对存在问题提出整改意见，上报信息管理部门（责任处（科）室）负责人审批后实施。信息系统管理部分（子）公109、司3操作系统每日巡检记录（应包含安全管理员检查记录，以及存在问题改进情况）3.机房管理1.12.2经营风险：机房管理制度不健全，导致机房管理存在漏洞。3.1 各级信息管理部门依据相关制度和规范，制定计算机机房管理办法，实施对机房的管理。管理办法主要内容包括人员出入管理、设备出入管理、机房工况管理和备份介质管理等。信息系统管理部分（子）公司4机房管理办法1.1经营风险：机房出入人员管理不严，导致资源受损或系统瘫痪。3.2 机房应设门禁系统，或由专人负责机房出入管理并填写人员出入登记表。信息系统管理部分（子）公司3机房人员出入登记表门卡发放记录钥匙领用记录1.1经营风险：设备随意进出机房，导致信息110、泄密或设备丢失。3.3设备出入机房，携带设备人员填写设备出入登记表，由信息管理部门（责任处(科）室)负责人审批并备案。信息系统管理部分（子）公司3机房设备出入登记表1.1经营风险：机房环境参数异常，导致设备发生故障，影响系统稳定运行。3.4 机房管理人员每日对机房UPS、空调、温湿度和电源系统巡检，并填写巡检记录。信息系统管理部分（子）公司3机房巡检记录4备份介质管理1.1经营风险：备份介质标记不规范，导致备份数据查找困难、数据恢复困难。4.1 系统管理员要对备份介质进行标记。标记内容有：备份介质编号、应用名称、IP地址、备份日期、备份内容和备份人。信息系统管理部分（子）公司31.1经营风险：111、备份介质管理不规范，导致备份介质损坏或系统及数据恢复困难。4.2 重要信息系统的备份介质必须异地存放并分类存档。系统管理员按照厂商提供的使用年限按期更换备份介质。备份介质存放环境和备份介质存储内容的销除满足备份管理办法的相关要求。信息系统管理部分（子）公司31.1经营风险：备份介质出入库管理不规范，导致备份介质损坏或系统及数据恢复困难。4.3 备份介质有出入库记录。借出备份介质时，借用人须填写申请表，经相关部门负责人审核，信息管理部门（责任处(科）室)负责人审批后，办理介质出库手续。信息系统管理部分（子）公司3介质入库记录介质借用申请表5故障处理1.1经营风险：信息基础设施故障处理流程和应急预112、案不健全，导致信息基础设施正常运行存在隐患。5.1 信息管理部门负责制订本单位信息基础设施故障处理流程及应急预案。信息系统管理部分(子)公司4故障处理流程信息基础设施应急预案1.1经营风险：网络、服务器故障处理不及时，记录不完整，导致信息系统不能正常运行。5.2网络、服务器发生故障时，运维人员应及时处理故障，并填写工作记录。信息系统管理部分(子)公司3工作记录（应记录故障发生时间、处理人、原因、处理结果等内容）1.1经营风险：终端用户计算机设备故障处理不及时，工作单填写不完整，影响用户正常工作。5.3终端用户计算机设备发生故障时，运维人员应及时处理故障并填写工作单。故障处理完毕后，用户需对处理113、结果加以确认。工作单由信息管理部门负责备案。信息系统管理部分(子)公司3工作单（要点为最终用户确认）1.1经营风险：应急预案未演练，导致突发事件发生时不能及时按照预案流程处理，影响系统运行或恢复。5.4 信息基础设施应急预案须每年安排适当时间进行演练并记录。信息系统管理部分(子)公司3应急预案演练计划应急预案培训记录11.5 基础设施IT一般性控制流程一、 业务目标1经营目标1.1保证信息基础设施长期安全、可靠、稳定运行。2合规目标2.1信息基础设施的使用遵守保护知识产权、合同法等有关国家法律法规。2.2信息基础设施配置和使用符合股份公司信息系统安全管理办法等规定。二、 业务风险1经营风险1.114、1网络控制管理不符合信息安全要求，导致内部网络被非授权访问和攻击。1.2服务器管理不规范，导致系统运行不可靠、不稳定。1.3备份介质管理不规范，导致备份介质损坏或系统及数据恢复困难。1.4机房管理不符合规范和安全要求，导致机房设备及资源存在受损的风险。1.5 信息基础设施故障或信息系统突发事件处理不及本流程适用于包括ERP系统在内的所有应用系统相关的信息基础设施。时，导致信息系统不能正常运行。2合规风险2.1信息基础设施的使用未遵守保护知识产权、合同法等有关国家法律、法规，股份公司声誉受到损害，受到相关部门处罚。2.2 信息基础设施不符合安全规定，导致系统存在被入侵风险。二、 业务流程步骤与控115、制点1网络管理1.1 网络基础管理。1.1.1 总部和分（子）公司依据化工股份有限公司网络管理办法（以下简称网络管理办法）及相关管理制度和工作流程实施对网络的管理，包括网络运行维护管理、网络互联管理、网络设备密码管理、网络管理员管理、远程接入网络管理、病毒防护管理等。 各级信息管理部门依据网络管理办法及相应岗位职责，配备网络管理员、安全管理员，由信息管理部门负责人审批。 各级信息管理部门负责编制网络运行维护的相关技术文档，包括网络拓扑图、IP地址分配表以及网络设备配置文件等，由专人负责整理和保存。1.2 网络设备登录设置合理的密码规则，密码要求长度六位以上，采用数字和字符组合方式，新密码不得与116、前五次历史密码相同。网络管理员必须每六个月修改网络设备登录密码，填写密码更换记录，经安全管理员确认并在信息管理部门备案。1.3 网络互联安全管理。 总部和分（子）公司依据网络管理办法相关要求，在关键网络互联接口处部署安全设备，信息管理部门授权专人负责安全设备的管理，并备有安全设备配置文档。分（子）公司与外部网互联情况上报信息系统管理部备案。1.3.2 安全管理员每季度对安全设备的规则进行复核、确认、检查，填写安全设备配置检查记录表。 安全管理员每周对网络设备登陆日志、防火墙日志、入侵检测日志等进行分析审计。1.4 终端用户接入管理 用户终端接入网络需填写申请表，由申请人所在部门确认，信息管理部117、门（责任处(科）室)负责人批准并备案。申请表内容应包含终端接入安全责任条款。 建立用户登录网络认证机制，避免对中国石化内部网络未经授权的访问。 根据人事部门提供的人员离职交接表，信息管理部门应及时注销该用户的网络接入服务。1.5远程接入网络申请人依据网络管理办法相关要求，填写远程接入服务申请表和远程用户接入服务安全承诺书，由所在部门负责人确认，信息管理部门（责任处(科）室)负责人审批并备案。1.6依据网络管理办法相关要求，网络管理员负责部署防病毒系统并及时进行版本和病毒特征库的升级；安全管理员每周对防病毒系统日志进行分析审计。2服务器管理2.1各级信息管理部门配备系统管理员，由信息管理部门（责118、任处(科）室)负责人审批。2.2 系统管理员须建立服务器档案，内容包括设备的详细硬件配置、设备唯一性标记和设备用途等信息。2.3 服务器操作系统管理。 操作系统用户须填写操作系统用户申请表，经信息管理部门（责任处(科）室)负责人审批后，由系统管理员创建。 系统管理员每半年检查操作系统用户授权情况并记录，对超期使用帐号的用户进行锁定或删除。 操作系统用户密码要求长度八位以上，采用数字和字符组合方式，新密码不得与前五次历史密码相同。系统管理员至少每季度修改操作系统用户密码，填写密码更换记录、经安全管理员确认并在信息管理部门备案。 系统管理员监控操作系统运行情况，每日巡检操作系统日志，并将巡检情况记119、录存档。安全管理员每月对系统巡检记录进行检查，对存在问题提出整改意见，上报信息管理部门（责任处(科）室)负责人审批后实施。3 机房管理。3.1 各级信息管理部门依据相关制度和规范，制定计算机机房管理办法，实施对机房的管理。管理办法主要内容包括人员出入管理、设备出入管理、机房工况管理等。3.2 机房应设门禁系统，或由专人负责机房出入管理并填写人员出入登记表。3.3 设备出入机房，携带设备人员填写设备出入登记表，登记表由信息管理部门（责任处(科）室)负责人审批并备案。3.4 机房管理人员每日对机房UPS、空调、温湿度和电源系统巡检，并填写巡检记录。4 备份介质管理。4.1 系统管理员要对备份介质进120、行标记。标记内容有：备份介质编号、应用名称、IP地址、备份日期、备份内容和备份人。4.2 ERP等重要信息系统的备份介质必须异地存放并分类存档。系统管理员按照厂商提供的使用年限按期更换备份介质。备份介质存放环境和备份介质存储内容的销除满足备份管理办法的相关要求。4.3 备份介质有出入库记录。借出备份介质时，借用人须填写申请表，经相关部门负责人审核，信息管理部门（责任处(科）室)负责人审批后，办理介质出库手续。5 故障处理5.1 信息管理部门负责制订本单位信息基础设施故障处理流程及应急预案。5.2 网络、服务器发生故障时，运维人员应及时处理故障，并填写工作记录。5.3 终端用户计算机设备发生故障121、时，运维人员及时处理故障并填写工作单。故障处理完毕后，用户须对处理结果加以确认。工作单由信息管理部门负责备案。5.3 信息基础设施应急预案须每年安排适当时间进行演练并记录。四、 相关制度目录（制度后标号为内部控制手册配套规章制度汇编目录索引号）1 化工股份有限公司网络管理办法(石化股份信系20076号) -2 化工股份有限公司信息系统安全管理办法(试行) （石化股份信系200635号） -3 化工股份有限公司信息基础设施管理办法(试行)(石化股份信系200636号) -4 中国石化总部计算机机房管理办法(石化股份信系20057号) -5 化工股份有限公司信息系统备份管理办法(试行)（石化股份信122、系20078号） -6 化工股份有限公司信息系统应急预案(试行)（石化股份信系20079号） -11.6信息披露业务内部控制矩阵业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性1234561. 定期报告1.1定期报告的草拟1.1经营风险：计划不合理，造成披露延误或遗漏。董事会秘书局会同财务部制订出定期报告编制和披露工作计划。董事会秘书局财务部4定期报告编制和披露计划1.1经营风险：相关职能部门提供资料不及时、不准确。公司相关职能部门按照披露工作计划及相关规定向董123、事会秘书局提供相关资料。董事会秘书局按照相关法律法规和上市地监管机构的规定编制定期报告初稿。相关职能部门董事会秘书局7各部门提交的相关资料定期报告初稿1.2完成报告审定稿3.1合规风险：编制的定期报告不真实、不准确，违反有关监管规定。公司执行董事或董事会秘书对定期报告初稿进行审核，各相关部门按照审核意见补充、更新资料。董事会秘书局修改初稿，并报公司董事长审定后形成定期报告审定稿。董事会秘书局相关职能部门7定期报告审定稿；各部门提交的相关资料9.331.3审批报告3.1合规风险：审计委员会未按规定签署审阅意见。 召开审计委员会，审议定期报告，形成审阅意见。董事会秘书局审计部5审阅意见9.332.124、13.1财务风险：披露不真实，影响财务报告。合规风险：未按规定召开董事会会议。 召开董事会会议，审议定期报告，形成决议文件。董事会秘书局8会议记录决议文件披露事项3.1合规风险：定期报告未经董事、高管的书面确认。 董事及高级管理人员对定期报告签署书面确认意见。董事会秘书局6书面确认意见9.332.13.1财务风险：披露不真实，影响财务报告。合规风险：定期报告未经监事书面审核。监事会对定期报告提出书面审核意见。监事会办公室 8书面审核意见9.33披露事项1.4发布报告并报送监管机构2.13.1财务风险：财务报告未真实、准确、完整的披露，造成负面影响。合规风险：定期报告未按规定报送和公告。董事会秘125、书局根据董事会意见，完成定期报告，于规定时间将报告全文和摘要（报纸稿）、相应决议文件及交易所要求报送和披露的其他文件报送交易所，并于规定时间在指定报纸、网站披露并按规定报送相关证券监管机构备案。董事会秘书局7定期报告9.339.219.22披露事项2. 临时报告2.1重大信息的收集和内部报告1.1经营风险：须予披露的事项未及时上报。分(子)公司按照信息披露制度须予披露的事项，应及时上报总部对应的职能部门，职能部门审核确认后及时报董事会秘书局。相关职能部门分(子)公司5重大事项书面报告9.33 3.1合规风险：须予披露的事项未及时通知。董事、监事、高级管理人员、各职能部门、公司控股股东和实际控制126、人及持股5%以上的股东在知悉重大事项或其他须予披露的事项后应尽早通知董事会秘书局。董事会秘书局相关职能部门3重大事项书面资料9.333.1合规风险：违反监管规则，受到监管机构谴责或投资者的质询。发生按照上市地监管规则或监管机构要求或公司认为需要披露的重大事项时，董事会秘书局应当及时向相关各方了解情况，收集信息，并报告董事会秘书。董事会秘书局 49.332.2临时报告的草拟1.1经营风险：未及时编制临时报告。董事会秘书组织临时报告的披露工作。董事会秘书局根据实际情况组织相关部门草拟临时报告。监事会发布的临时报告由监事会办公室草拟。董事会秘书局监事会办公室6临时报告2.3临时报告的审批2.13.1127、财务风险：披露不真实，影响财务报告。合规风险：未按规定程序审批，临时报告不符合监管要求。对于无须经董事会审批的事项，由董事会秘书审批后披露。监事会发布的临时报告，由监事会审批后披露。对于须经公司董事会、监事会和/或股东大会批准的事项，按照公司章程及议事规则的规定履行相应的审批程序后进行信息披露。董事会秘书局监事会办公室6临时报告披露申请表披露事项2.4发布报告并报送监管机构2.13.1财务风险：未按规定披露，影响财务报告。合规风险：定期报告未按规定报送和公告。董事会秘书局负责将临时报告报送境内外证券交易所，于规定时间在指定报纸、网站发布，并按规定报送相关证券监管机构备案。董事会秘书局6临时报告128、9.339.219.22披露事项3.自愿性信息披露3.1披露内容的编制1.1经营风险：提供的资料不及时、不准确。董事会秘书局会同相关部门编制对外披露的材料，包括但不限于新闻稿，统一对外披露口径。相关部门负责人对提供的资料签字确认。董事会秘书局相关职能部门69.333.2披露内容的审核1.12.1经营风险：披露的信息未经审核，造成损失。财务风险：披露不真实，影响财务报告。董事会秘书、证券事务代表或公司指定的其他人士审核对外披露的信息。董事会秘书局59.33披露事项3.3对外披露2.13.1财务风险：未按规定披露，影响财务报告。合规风险：信息披露口径不统一，造成负面影响。公司发言人或指定人士按照统129、一口径对外披露相关信息，董事会秘书局可根据需要将信息披露文件载于公司网站。董事会秘书局7信息披露资料9.33披露事项11.6信息披露业务流程一、业务目标1经营目标1.1 信息披露真实、准确、完整、及时、公平。2财务目标2.1 财务报告披露真实、准确、完整。3合规目标3.1 满足境内外监管机构的要求，保护股份公司、股东、债权人及其他利益相关人的合法权益，维护股份公司的良好形象。二、业务风险1经营风险1.1 信息披露不真实、不准确、不完整、不及时、不公平,导致股份公司形象受到损害，生产经营受到影响。2财务风险2.1 财务报告披露不真实、不准确、不完整。3合规风险3.1 信息披露未满足境内外有关法律130、法规和上市地证券交易所的信息披露规则，股份公司和董事、监事、高级管理人员及财务负责人受谴责或处罚。股份公司股东、其他利益相关人对股份公司或董事、监事、高级管理人员及财务负责人提起诉讼。三、业务流程步骤与控制点1定期报告定期报告是指股份公司根据上市地监管机构的要求，在指定时间内披露的年度报告(及与之相对应的按美国SEC要求提交的20-F)、中期报告和季度报告。1.1 定期报告的草拟 董事会秘书局会同财务部制订出定期报告编制和披露工作计划。 公司相关职能部门按照披露工作计划及相关规定向董事会秘书局提供相关资料。董事会秘书局按照相关法律法规和上市地监管机构的规定编制定期报告初稿。1.2 完成报告审定131、稿 公司执行董事或董事会秘书对定期报告初稿进行审核，各相关部门按照审核意见补充、更新资料。董事会秘书局修改初稿，并报公司董事长审定后形成定期报告审定稿。1.3审批报告 召开审计委员会，审议定期报告，形成审阅意见。 召开董事会会议，审议定期报告，形成决议文件。 董事及高级管理人员对定期报告签署书面确认意见。 监事会对定期报告提出书面审核意见。1.4发布报告并报送监管机构 董事会秘书局根据董事会意见，完成定期报告，于规定时间将报告全文和摘要（报纸稿）、相应决议文件及交易所要求报送和披露的其他文件报送交易所，并于规定时间在指定报纸、网站披露并按规定报送相关证券监管机构备案。2临时报告流程2.1重大信132、息的收集和内部报告 分(子)公司按照信息披露制度须予披露的事项，应及时上报总部对应的职能部门，职能部门审核确认后及时报董事会秘书局。 董事、监事、高级管理人员、各职能部门、公司控股股东和实际控制人及持股5%以上的股东在知悉重大事项或其他须予披露的事项后应尽早通知董事会秘书局。 发生按照上市地监管规则或监管机构要求或公司认为需要披露的重大事项时，董事会秘书局应当及时向相关各方了解情况，收集信息，并报告董事会秘书。2.2 临时报告的草拟 董事会秘书组织临时报告的披露工作。董事会秘书局根据实际情况组织相关部门草拟临时报告。监事会发布的临时报告由监事会办公室草拟。2.3 临时报告的审批 对于无须经董事133、会审批的事项，由董事会秘书审批后披露。监事会发布的临时报告，由监事会审批后披露。对于须经公司董事会、监事会和/或股东大会批准的事项，按照公司章程及议事规则的规定履行相应的审批程序后进行信息披露。2.4 发布报告并报送监管机构 董事会秘书局负责将临时报告报送境内外证券交易所，于规定时间在指定报纸、网站发布，并按规定报送相关证券监管机构备案。3自愿性信息披露对于不涉及敏感财务信息和商业秘密、但可能对股东和其他利益相关者决策产生较大影响的信息，包括但不限于公司发生的重大活动如新闻发布会、签字仪式、开工庆典等，以及公司发展战略、经营理念、生产经营、工程建设、科技进步、重大合资合作等方面的信息，公司可进134、行自愿性的信息披露，公司实行发言人制度，负责向媒体发布日常信息。3.1披露内容的编制 董事会秘书局会同相关部门编制对外披露的材料，包括但不限于新闻稿，统一对外披露口径。相关部门负责人对提供的资料签字确认。3.2披露内容的审核 董事会秘书、证券事务代表或公司指定的其他人士审核对外披露的信息。3.3对外披露 公司发言人或指定人士按照统一口径对外披露相关信息，董事会秘书局可根据需要将信息披露文件载于公司网站。四、 相关制度目录（制度后标号为内部控制手册配套规章制度汇编目录索引号）1化工股份有限公司章程及附件 -2化工股份有限公司信息披露制度（2007年8月24日，经化工股份有限公司第三届董事会第十四次会议审议通过） - 3香港联合交易所上市规则 -9.224上海证券交易所股票上市规则 -9.215 上市公司信息披露管理办法 -9.33