内部控制手册第3部分-内控矩阵(C)——11,1信息系统管理业务内部控制矩 .pdfVIP

11.1信息系统管理业务内部控制矩阵

业务目标业务风险控制点

1.IT整体层面管理

1.1经营风险：信息化管理体系不完善，信息1.1股份公司建立完善的信息化管理体系，设立ERP

化领导小组或ERP指导委员会设置不健

全，信息管理部门职责不落实，导致信息息化领导小组或ERP

化工作受损。

统和信息资源行使管理职责。

1.1经营风险：信息化建设中长期规划不符合1.2根据股份公司发展战略目标和核心业务，

2.2股份公司经营战略目标，导致盲目建设、

投资低效。

批后，纳入股份公司中长期发展规划。

1.3教育和培训

1.1经营风险：信息化培训缺乏，导致信息系1.3.1各级信息管理部门负责编制年度信息化培训计

统效能低下、信息化管理水平不高、信息后，纳入人事部门年度培训计划,并组织落实。

化技能缺失。

1.1经营风险：信息安全教育不足，导致员工1.3.2各级信息管理部门配合人事部门开展全员信息安全教育和

信息安全意识薄弱。信息门户或内部网站发布安全教育培训材料。

1.4风险评估

1.1经营风险：信息系统风险评估缺失，导致1.4.1根据《中国石油化工股份有限公司信息系统风险评估

2.2信息系统风险。息系统管理部负责每年对信息系统进行年度综合风险评估，

报告，并组织专家组对风险评估报告进行评审，专家组对风险

出评审意见并签字；分（子）公司信息管理部门会同相关

多种形式，组织本单位信息系统的风险评估，包括企

重点系统风险、主要基础设施风险等，形成相关风险评估报告

评估报告经信息管理部门负责人审核签字后报信息系统管理部

1.5信息安全管理

1.1经营风险：信息安全规划不当，信息安全1.5.1信息系统管理部负责编制信息安全规划，在

2.2方案缺失，导致信息系统风险。分（子）公司意见后，组织专家组评审，并

经信息系统管理部主任审核后，正式发布。

各分（子）公司信息管理部门根据股份公司信息安

经营管理的需要，并针对风险评估报告中提出的问题，负责制

信息安全方案，经分管经理审批后报信息系统管理部备案。

1.1经营风险：系统未确定关键岗位，关键岗1.5.2依照《中国石油化工股份有限公司信息系统安全管理

2.2位缺乏监管，导致系统存在安全隐患。级信息管理部门负责提出本单位的“信息系统关键岗位名录”，其

系统安全的关键岗位由信息管理部门确定，涉及业务信息安

由主管业务部门商本单位必威体育官网网址委员会确定。“信息系统关键岗

键岗位人员要与所在单位签署“信息系统关键岗位安全责任，

门备案。

1.1经营风险：系统安全岗位