内部控制手册第18号指引信息系统-信息系统开发、信息系统维护.doc

PAGE\*MERGEFORMAT2
的20.1信息系统开发

概述
规定了XX股份有限公司集团总部及其下属公司（下属公司是指XX股份有限公司投资（参股或控股）或托管或由上海XX有限公司托管的公司）有关信息系统开发的相关工作，涉及以下:
公司信息系统开发的立项、可行性研究、决策的流程
已有信息系统基础上的变更和二次开发需求申请、开发及验收交付流程
报表开发的申请、开发及验收交付流程
适用范围
适用于XX股份有限公司集团总部及其下属公司。
相关制度
IT资源管理程序。
职责分工
信息中心：负责对信息系统开发项目立项申请，对信息系统的开发进行需求分析和可行性分析，在项目申请通过后负责选择系统开发商，负责在系统上线运行后建立相应的跟踪评价机制。
项目组：负责编制信息系统设计/开发说明书，负责开发项目的管控，组织系统验收和上线测试，制定上线计划和方案，提出上线申请；负责系统测试、变更、评价。

流程图
PAGE\*MERGEFORMAT3
控制目标
序号《内控手册》唯一具体控制目标编号控制目标目标类别120.1-CT1确保建立科学合理的信息系统开发管理体系经营效率目标220.1-CT2确保信息系统开发符合公司需求经营效率目标320.1-CT3确保信息系统开发计划切实可行经营效率目标420.1-CT4确保信息系统开发效果效率达到预期水平经营效率目标520.1-CT5确保信息系统开发项目按时完成经营效率目标620.1-CT6确保系统运行安全有效经营效率目标PAGE\*MERGEFORMAT30
控制矩阵
风险编号风险描述对应控制目标编号关键控制措施编号关键控制措施不相容职务控制活动类型对应制度控制痕迹会计报表认定会计报表项目1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露1234520.1-R1公司未针对信息系统的开发项目设定申请审批流程，没有明确的开发文件和项目计划，导致管理混乱，影响信息系统开发项目的顺利实施20.1-CT120.1-CA11）公司信息化建设的对口部门是信息中心，负责公司及所属各单位的信息化方案（包括：计算机和网络设备的采购，网络建设、软件选型及二次开发等过程）的审核及审批；2）公司及所属各单位的计算机和网络设备的采购以及信息化项目建设严格按照先申请上报公司审批，经审批后进入商务洽谈等流程经办/
审批预防型IT资源管理程序IT开发需求申请20.1-CT120.1-CA2信息中心负责将审批确定后的项目开发文件及项目计划进行归档备案，并设立台账监督项目的实施推进，考核项目计划的履行情况、进行跟踪确认并协调计划修改等事宜，全面把握项目的施行进程，保证项目按时完成。发现型IT资源管理程序项目进度跟踪表20.1-R2信息中心未进行项目的开发管理,包括已完成的内容、当前进度与项目实施计划的比较、存在的有可能影响进度的问题、人员、资金的使用情况等，导致项目进度控制不力，影响项目如期完成。20.1-CT120.1-CA2信息中心负责将审批确定后的项目开发文件及项目计划进行归档备案，并设立台账监督项目的实施推进，考核项目计划的履行情况、进行跟踪确认并协调计划修改等事宜，全面把握项目的施行进程，保证项目按时完成。预防型IT资源管理程序项目开发文件、项目计划书、项目推进情况台账20.1-R3公司的信息系统开发计划与公司战略和业务目标不相吻合，导致系统不能满足公司未来发展需要，影响公司发展经营目标的实现20.1-CT220.1-CA11）公司信息化建设的对口部门是信息中心，负责公司及所属各单位的信息化方案（包括：计算机和网络设备的采购，网络建设、软件选型及二次开发等过程）的审核及审批；2）公司及所属各单位的计算机和网络设备的采购以及信息化项目建设严格按照先申请上报公司审批，经审批后进入商务洽谈等流程经办/
审批预防型IT资源管理程序项目调研分析资料20.1-R4公司未召集相关业务部门就信息系统的开发需求进行讨论和验证，导致需求不明确，开发成果与业务部门实际需要不符，影响信息系统开发结果的有效性，造成公司人力及资金的浪费。20.1-CT220.1-CA3系统建设单位根据系统需求规格说明书编制系统设计说明书，项目负责人组织相关技术人员和系统用户部门进行审核确认，确保系统建设单位提供的系统设计说明书中涵盖实际业务需求，同时形成会议纪要编制/
审核预防型IT资源管理程序IT开发需求申请20.1-R5未对信息系统方案进行可行性研究，导致系统开发失败风险20.1-CT320.1-CA4信息系统立项需先进行可行性研究，并按建设项目立项要求进行立项、审批编制审批预防型IT资源管理程序项目调研可行性分析资料20.1-CT320.1-CA5信息系统申报部门进行项目可行性分析，形成可行性分析报告，内容从以下方面进行分析