内部审计（李江涛）信息系统内部控制与审计3.pptVIP

哈药ERP的启示 软件采用 2000年，Oracle成为哈药ERP的软件提供商 利玛成为哈药ERP项目实施服务的提供商 问题出现 利玛在哈药ERP项目的实施团队集体离职 交付和支持域的13大流程 定义和管理服务水平 第三方服务管理 性能管理和容量管理 确保持续服务 确保系统安全 确定并分配成本 教育和培训用户 服务台和事故管理 配置管理 问题管理 数据管理 物理环境的管理 运营管理 IT管理者和业务客户之间关于所需服务的有效沟通是能够通过书面的定义和IT服务及服务水平的协议来实现的，这个流程包括对所达到的服务水平进行监控并及时向股东报告，保证IT业务可以满足相关业务需求。 DS1定义和管理服务水平 为了保证由第三者提供的服务符合业务需求，组织需要建立有效的第三者管理程序。这个程序包括在第三方协议中清楚地定义角色、责任和期望，同时还包括为保证有效性和一致性所做的定期检查和监控。有效的管理第三方服务能使与不履行责任的供应商相关的业务风险降到最低。 DS2第三方服务管理 为了管理IT资源的性能和容量，组织需要建立一个流程，周期性的检查现有的IT资源的性能和容量。这个流程包括基于流量、存储和应急需求对未来需求的预测。这个流程提供了信息资源支持业务需求持续发展的保证。 DS3性能管理与容量管理 12306网站 为了提供IT服务的持续性，组织需要开发、维护和测试IT持续性计划，异地备份存储，定期的持续的培训。一个有效的持续的服务程序能够减少主要IT服务中断的可能性和对关键业务和处理的影响。 DS4确保服务的连续性 为了维护信息的完整性和保护IT资产，组织需要建立一个安全管理程序。这个程序包括建立和维护IT安全的角色、责任、策略、标准和程序。安全管理包括进行安全监控、定期测试、对已明确的安全脆弱性或事故进行纠正。有效的安全管理通过最小化安全脆弱性和安全事件对业务的影响，从而保护所有IT资产。 DS5确保系统安全 为业务部门公平和公正地分配IT费用，需要精确的计算IT成本并与业务使用者在公平的分配上达成一致。这个过程包括给服务的使用者建立和运营一个系统用于捕获、分配和报告IT成本。一个公平的分配系统能够使业务部门对IT服务的使用做出更多信息的决定。 DS6识别并分配费用 IT系统的所有用户的有效教育是指IT系统的内部用户，必须明确各个用户组培训的需求，定义和执行有效的培训战略并检查培训结果。一个有效的培训计划可以提高技术的使用效率，减少用户的错误，增加生产率和关键控制的负荷性。 DS7教育和培训用户 及时有效地响应IT用户的查询和问题需要一个很好的设计和执行服务台和紧急事件管理程序，这个程序包括设定服务台的功能，用来登记、逐步升级事件、分析引起的根本原因和解决问题。企业利益包括通过快速的响应用户的查询提高生产率。 DS8服务台和紧急事件管理 确保硬件和软件配置的完整性需要建立和维护一个准确的和完整的配置库，这个过程包括收集初始的配置信息、建立基线、校验和审计配置信息、需要的时候更新配置库。有效的配置管理促进更高的系统利用率，使使用中的问题减小到最小化并能快速地解决问题。 DS9配置管理 配置项，就一个项目整个的生命周期过程中，所产生的一切文档、程序以及需要进行控制的项目。那么这些配置项所保存、管理的一个地方，就叫配置库。 基线是软件文档或源码(或其它产出物)的一个稳定版本,它是进一步开发的基础.所以,当基线形成后,项目负责SCM的人需要通知相关人员基线已经形成,并且哪儿可以找到这基线了的版本 有效的问题管理需要明确问题、分类问题、分析问题起因、解决问题，还包括识别改善的建议、问题记录的维护、审查纠正行为的状态。一个有效的问题管理程序能够改善服务水平、减少成本、为客户提供便利、提高客户的满意度。 DS10问题管理 软件工程师用木马篡改彩票数据诈骗3305万 有效的数据管理需要识别数据需求，数据管理程序应该包括建立有效的管理程序，管理介质库、数据的备份和恢复、介质的恰当处理等。高效的数据管理可以帮助组织确保业务数据的质量、时间性和有效性。 DS11数据管理 计算机设备和人员的保护需要良好设计和良好管理的物理设施，管理物理环境的程序包括定义物理场所的需求、选择恰当的设施、设计监控环境因素的有效程序和管理物理访问、物理过程的有效管理、计算机设备和人员受到损害引起的业务的中断。 DS12物理环境管理 完整、准确的数据处理需要有效的数据处理管理和硬件维护，这个过程包括定义预处理的有效管理、敏感信息输出的保护、基础设施的监控和预防性的硬件维护等的运营规则和程序。有效的运营管理能够帮助维护数据的完整性，减少业务的延期和IT的运营成本。 DS13运营管理 监控与评价域 应定期评估IT过程的