电力行业内部控制(8)

8.确保信息系统能够抵抗病毒等恶意软件的感染和破坏，加强服务器等关键信息设备的管理，通过数据定期备份机制确保系统数据可用性。 二、 主要风险

1.缺乏信息系统的专业管理部门和人员，未制订信息技术长期规划或规划不合理，导致企业信息化工作滞后于业务发展。

2.实施的系统开发项目没有经过充分论证，信息系统开发方式选择不当，导致形成信息孤岛或系统重复建设，信息系统对业务支持不足和投资浪费。 3.信息系统建设缺乏项目计划或者计划不当，信息系统需求分析不符合业务处理和控制的需要，需求表达不明确，有关需求未经评审，设计变更频繁，导致项目进度滞后、费用超支。

4.缺乏完整可行的上线计划，信息系统配置不符合设计方案，数据迁移不完整、不准确，导致信息系统无法正常稳定运行。

5.未对信息系统开发全过程进行跟踪管理，导致系统开发偏离业务需求。

6.信息系统验收不全面，上线未经有效测试，导致系统功能异常无法满足开发需求。 7.未制订日常运维管理规范或规范不健全，未定期对系统运维状况加以检查，未定期妥善备份数据，信息系统运行维护措施不到位，导致信息泄漏或损坏，系统运转异常或损坏后无法恢复，造成重大损失。

8.未建立信息系统变更管理制度，未规定合理的变更审批流程，导致变更管理混乱，系统变更影响系统正常业务和控制功能，影响系统数据的完整性、准确性和安全性。

9.企业员工信息安全意识薄弱，企业对系统和信息安全缺乏有效的监管手段，未确立信息安全管理制度，未明确组织及相关人员的安全职责，信息系统权限和工作职责不符，人员职责及系统权限不符合不相容职责分离的原则，需报废的计算机存储设备及其中所存储的数据处理不当，导致敏感信息和数据得不到有效保护，信息系统管理人员和操作人员非法利用其持有的不适当系统权限从事舞弊活动。

10.信息系统存在程序漏洞或网络防护不当，防病毒软件未及时更新，导致系统受到病毒等恶意软件的感染和破坏，黑客入侵或被不法人员利用盗取信息。 三、关键节点及控制方法 1.信息系统规划

（1）企业应设置信息系统管理部门，制定信息系统相关的管理制度，负责信息系统开发、运维、变更和安全管理等工作。

（2）信息系统管理部门应制定与企业整体战略目标一致的信息系统战略规划，并履行相关审批程序。信息系统管理部门结合企业实际情况、信息化发展需求及公司信息化总体方案等，制定年度信息化建设的重点工作安排。 2.信息系统开发上线 （1）企业应指派信息系统管理部门或委托有资质的机构对信息化项目进行可行性研究，编制项目可行性研究报告并组织相关部门进行论证，对需向国家申报的项目应履行相关审批程序。在项目可研阶段，信息系统管理部门应重点识别项目开发过程中的风险，并制定相应的控制措施。

（2）信息系统管理部门应进行软件选型，确定自行研发或外购。对于外购的项目，需对服务商进行严格筛选，原则上应采用公开招标的形式选择服务商，招标应由相关部门共同参与，应有完整的招标文件并签订合同。

（3）对于自行研发的信息系统，信息系统管理部门应成立专门项目组，编制系统开发总体方案，明确系统需求、功能模块、系统架构、人员配备、职责分工、项目整体计划等相关内容，按照规定程序审批后实施。对于外购的信息系统，信息系统管理部门、相关业务部

门与系统服务提供商应组建项目组，编制项目实施总体方案，明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定程序审批后实施。

（4）项目负责人应负责根据项目的具体情况组织编写项目实施计划，与项目实施人员共同讨论项目计划的可行性，项目实施计划应由项目组和企业内部相关部门共同确认才可实施。项目组应在项目实施计划中明确新旧系统切换时的方法及应急预案，保证新系统失效时能够顺利切换回旧系统。项目实施计划中还需明确项目各阶段的目标、人员、分工和进度安排等内容，并由项目负责人按照计划对项目进度进行跟踪管理，以保证过程可控，目标可实现。

（5）信息系统管理部门应组织企业内部相关部门提出系统需求，系统需求应经需求方负责人确认。项目组会同相关业务人员对系统需求进行分析和提炼，形成项目需求和设计方案，确保满足业务流程需求、业务规则要求和风险控制要求。项目组应与企业内部相关部门沟通讨论，说明设计方案对用户需求的覆盖情况。

（6）项目组应在项目实施过程中组织开展单元测试和系统测试工作，制定测试文档，以确保项目实施结果符合功能设计要求，并在测试基础上对设计方案提出改进建议。

（7）系统上线时，项目组应制定信息系统上线计划，在制定计划时考虑可能发生的风险并在计划中进行风险规避。对于涉及系统上线数据迁移的，项目组需制定详细的数据迁移计划，并对迁移结果进行测试。

（8）项目完成后，信息系统管理部门、相关业务部门应对项目进行验收，并在验收报告上签字确认。

3.信息系统日常运维

（1）信息系统管理部门应制定信息系统巡检制度，通过定期巡视机房，检查系统运行报告或日志监测服务器、数据库及网络设备的运行情况，并填写巡检日志，对发现的问题及时解决或报告。

（2）信息系统管理部门应根据业务频率和数据重要性明确数据备份策略，包括备份范围、频率、方法、责任人、存放地点、有效性检查等内容。进行数据备份时，应合理采用磁盘、磁带、光盘等备份存储介质。数据正本与备份应分别存放在不同地方，防止因火灾、水灾、地震等事故导致备份数据无法恢复。另外，应进行数据恢复性测试，以确保备份数据文件的可用性。恢复性测试应至少每年一次。当系统软硬件环境发生重大变化时，也应当进行恢复性测试工作。

（3）信息系统管理部门应制定信息系统相关的应急预案，定期组织相关部门和人员开展应急演练，并对演练中出现的问题进行总结，编制应急演练报告，不断改进应急预案。系统发生重大故障时，根据故障严重程度启动相关应急预案，故障处理完毕后，信息系统管理部门应在规定时间内编写专项报告并在企业内部汇报。

（4）信息系统管理部门应采取统一安装杀毒软件等措施，防范信息系统受到病毒等恶意软件的感染和破坏。对于接入企业内部网络的计算机，应统一安装规定的杀毒软件，并启用杀毒软件自动更新功能。应限制智能手机、平板电脑、PDA等个人设备接入企业内部网络。

4.信息系统变更

（1）信息系统管理部门应建立系统变更申请、审批、执行、测试流程。在对实施系统变更时，由需求方提交变更申请，按照程序经过适当审批后才可实施变更，需求方应对变更后的系统功能进行测试。 （2）对于需要进行程序开发的系统变更，信息系统管理部门应建立单独的系统开发（变更）环境、系统测试环境和系统生产环境。不得在生产环境中进行系统程序的开发、变更和测试工作。做好各环境的权限控制，严格限制可将变更程序从开发、测试环境中迁移至生产

环境中的权限，严格限制可对生产环境程序和系统重要配置参数进行变更的权限。 5.信息系统安全

（1）信息系统管理部门应根据业务性质、重要程度、涉密情况等确定信息系统的安全等级，采用相应技术手段保证信息系统运行安全有序。

（2）信息系统管理部门应加强对重要业务系统的访问权限管理。制定不相容职责分离要求，避免将不相容职责授予同一用户。应用系统管理员不应同时兼任系统数据库管理员和服务器操作系统管理员。

（3）需要增加、删除或修改系统账号或权限前，应由系统使用部门人员提交系统用户权限变更申请，按照既定程序由相关管理人员审批后，系统管理员才可在系统中修改用户账号或权限。对于超级用户，严格规定其使用条件和操作程序，并开启系统审计日志功能以记录其在系统中的操作，超级用户权限使用完毕后需及时收回。信息系统管理部门应定期对系统账号和权限进行审查，避免存在授权不当或非授权账号。

（4）信息系统管理部门应制定机房管理制度，明确规定机房禁止非工作人员进入，特殊情况需经过相应授权批准，填写访客登记表。机房应安装门禁和监控设备。 四、 监督评价

1.信息系统规划

（1）检查信息系统管理部门的人员配备是否充足，是否制定信息系统相关的制度。 （2）检查是否制定了信息系统战略规划和年度信息化工作计划。 2.信息系统开发上线

（1）检查信息系统开发项目是否存在可行性研究报告，可行性研究报告是否经过相应的审批。

（2）检查外购项目是否采用合理方式（如招标）确定供应商，项目是否签订了有效合同。

（3）检查软件开发总体方案是否明确了系统需求、功能模块、软件架构、工作计划等内容，项目计划是否对于阶段成果目标、人员分工及进度安排进行了规定。

（4）检查需求文档是否涵盖相关业务的各个方面。检查是否存在系统测试计划，单元测试和系统测试文档是否完备，对于测试结果存在问题的环节，是否进行了后续跟进处理。 （5）检查上线计划是否对于上线计划和范围、上线环境准备、基础数据准备及风险防范等进行了说明，上线计划是否经过适当管理人员的审批。

（6）检查是否对项目进行验收，验收报告上是否存在相关部门的签字确认。 3.信息系统日常运维

（1）检查日常巡检报告，对发现的问题是否及时解决或报告。

（2）检查对信息系统数据是否定期备份、异地备份，是否定期进行了数据恢复性测试。 （3）检查信息系统管理部门是否制定了信息系统相关的应急预案，是否定期进行应急演练。

（4）检查企业内网内的计算机是否安装了防病毒软件，杀毒软件版本是否更新。检查员工个人手机和电脑设备是否可以随意接入企业内部网络。4.信息系统变更

（1）检查信息系统管理部门是否建立系统变更申请、审批、执行、测试的流程。 （2）若存在需要进行程序开发的系统变更活动，检查是否建立了单独的系统开发（变更）环境、系统测试环境和系统生产环境。检查各环境中的人员权限是否得到有效控制，尤其关注可以对生产环境程序和系统重要配置参数进行变更的权限是否授予适当的人员。 （3）检查系统变更活动是否存在经过审批的系统变更申请记录。 5.信息系统安全

（1）检查信息系统管理部门是否明确各信息系统的安全等级。

（2）检查信息系统管理部门是否制定了不相容职责分离要求,检查应用系统管理员是否同时兼任系统数据库管理员和服务器操作系统管理员。

（3）检查进入机房是否需要访客登记，机房是否安装了门禁和监控设备。

第六章 内部监督

第一节 内部监督概述

电力企业应当制定内部控制监督制度，明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。 内部监督分为日常监督和专项监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查；专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一个或者某些方面进行有针对性的监督检查。

电力企业应根据企业内部监督的职责分工实施日常监督，督促各级业务部门领导落实企业内部控制整体要求和具体的流程控制。按照不同的监督主体及相应的管理要求，电力企业日常监督可以体现为不同的形式，例如定期的经营分析会、生产例会、总经理办公会等。由内部审计机构（或经授权的其他监督机构）每年开展内部控制自我评价工作，与管理层就内部控制缺陷进行讨论，向董事会或其他专业委员会汇报评价结果，督促管理层及相关业务部门实施整改，也是日常监督的普遍做法。

专项监督的范围和频率应当根据风险评估结果以及日常监督的有效性等予以确定。电力企业可以根据日常监督的结果，识别内控管理的薄弱环节，进行有针对性的风险评估，组织开展必要的专项监督。 例如，某电力公司在日常监督检查时发现，下属某供电局最近一个季度的电费收入出现大幅下降，但同期抄表电量与前期没有明显差异。经过详细用电检查发现辖区内用电单位绕越计量装置窃电。该供电局及时查处了窃电用户并将相关事件上报了上级单位。不久该电力公司即在全公司各个辖区组织了反窃电专项突击检查，成立了反窃电专项行动小组，制定了反窃电专项行动措施。按照分线分台区，与公安机关建立联动协同机制，开展警电联合执法。根据事先制定的详细整治方案，划定城区内窃电、违约用电嫌疑户及配电线路的“高损区”，跟踪线损波动，采取突击检查、夜间巡查和拉网式检查等方式，对公共变台区、高线损台区、电量异常等用户进行重点排查。活动共出动检查人员 200 人次，现场检查用户近2 万户，查处窃电15户，违约用电 8户，并根据有关规定进行了处理，有力震慑了窃电犯罪行为。

第二节 内部控制评价 内部控制评价，是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。内部控制评价是内部监督的一项重要制度安排，是内部控制的重要组成部分，对于建立和实施内部控制具有十分重要的作用。

电力企业应当制定内部控制评价办法，明确评价的职责分工、评价内容、工作程序等内容，规范开展内部控制评价工作。 一、 内部控制评价的对象

内部控制评价是对内部控制有效性发表意见。所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制运行的有效性。

1.内部控制设计的有效性，是指为实现控制目标所必需具备的内部控制要素及程序都存在，并且设计恰当，能够为控制目标的实现提供合理保证。

设计有效性的根本判断标准是所设计的内部控制是否能为内部控制目标的实现提供合理保证。对于财务报告目标而言，所设计的相关内部控制是否能够防止或发现并纠正财务报告的重大错报，是判断其设计是否有效的标准；对于合规目标而言，所设计的相关内部控制是否能够合理保证遵循适用的法律法规，是判断其设计是否有效的标准；对于资产安全目标而言，所设计的内部控制是否能够合理保证资产的安全、完整，防止资产

失；对于战略、经营目标而言，由于其实现还受到许多不可控的因素（尤其是外部因素）的影响，因而判定相关内部控制的设计是否有效的标准，是所设计的内部控制是否能够合理保证董事会和经理层及时了解这些目标的合理性和实现程度、从而调整目标和改进措施。 2.内部控制运行的有效性，是指在内部控制设计有效的前提下，内部控制能够按照设计有效实施，从而为实现控制目标提供合理保证。评价内部控制运行的有效性，应当着重考虑以下几个方面：

（1）相关控制在评价期内是如何运行的； （2）相关控制是否得到了持续一致的运行；

（3）实施控制的人员是否具备必要的权限和能力。 需要强调的是，即使同时满足设计有效性和运行有效性标准的内部控制，受内部控制固有局限影响，也只能为内部控制目标的实现提供合理保证，而不能提供绝对保证，不应不切实际地期望内部控制能够绝对保证内部控制目标的实现，也不应以内部控制目标的最终实现情况和程度作为唯一依据直接判断内部控制设计和运行的有效性。 二、 内部控制评价的原则

实施内部控制评价至少应当遵循下列原则：

1.全面性原则。评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。

2.重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。

3.客观性原则。评价工作应当准确揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

三、 内部控制评价的组织形式和职责安排

企业应当结合内部控制设计与运行的实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。

企业内部控制评价办法应当具体明确内部控制评价的组织形式，特别明确各有关方面在内部控制评价中的职责安排，处理好内部控制评价和内部监督的关系，定期由相对独立的人员对内部控制有效性进行科学的评价，界定内部控制缺陷认定标准，保证内部控制评价有序地开展。

1．内部控制评价的组织形式

企业可以授权内部审计机构或专门机构（下称“内部控制评价机构”）负责内部控制评价的具体组织实施工作。内部控制评价机构必须具备一定的设置条件：一是能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；二是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；三是与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约，在效率效果上满足企业对内部控制系统进行监督与评价所提出的有关要求；四是能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工作的顺利开展。

具体来说，企业可根据自身特点，决定是否单独设置专门的内部控制评价机构。对于单独设有专门内部控制机构的企业，也可以由内部控制机构来负责内部控制评价的具体组织实

百度搜索“77cn”或“免费范文网”即可找到本站免费阅读全部范文。收藏本站方便下次阅读，免费范文网，提供经典小说教育文库电力行业内部控制(8)在线全文阅读。