內(nèi)部控制信息系統(tǒng)更新改造升級方案

5內(nèi)部掌握-信息系統(tǒng)更/改造/升級方案第一節(jié)總則第一條為標準軟件變更與維護治理，提高軟件治理水平，優(yōu)化軟件變更與維護治理流程，特制定本制度。其次條本制度適用于應(yīng)用系統(tǒng)已開發(fā)或選購完畢并正式上線、且由軟件開發(fā)組織移交給應(yīng)用治理組織之后，所發(fā)生的生產(chǎn)應(yīng)用系統(tǒng)〔以下簡稱應(yīng)用系統(tǒng)〕運行支持及系統(tǒng)變更工作。其次節(jié)變更流程第三條 系統(tǒng)變更工作可分為下面三類類型：功能完善維護、系統(tǒng)缺陷修改、統(tǒng)計報表生成。功能完善維護指依據(jù)業(yè)務(wù)部門的需求，對系統(tǒng)進展的功能完善性或適應(yīng)性維護；系統(tǒng)缺陷修改指對一些系統(tǒng)功能或使用上的問題所進展的修復，這些問題是由于系統(tǒng)設(shè)計和實現(xiàn)上的缺陷而引發(fā)的；統(tǒng)計報表生成指為了滿足業(yè)務(wù)部門統(tǒng)計報表數(shù)據(jù)生成的需要，而進展的不包含在應(yīng)用系統(tǒng)功能之內(nèi)的數(shù)據(jù)處理工作。第四條系統(tǒng)變更工作以任務(wù)形式由需求方〔一般為業(yè)務(wù)部門〕和維護方〔一般為信息部門的應(yīng)用維護組織和軟件開發(fā)組織，還包括合作廠商〕協(xié)作完成。系統(tǒng)變更過程類似軟件開發(fā)，大致可分為四個階段：任務(wù)提交和承受、任務(wù)實現(xiàn)、任務(wù)驗收和程序下發(fā)上線。第五條第六條

因問題處理引發(fā)的系統(tǒng)變更處理，具體流程參見《問題處理治理制度〔附件一由部門負責人審批后提交給系統(tǒng)治理員。第七條 系統(tǒng)治理員負責承受需求并上報給IT主管。IT主管分析需求，并提出系統(tǒng)變更建議。IT經(jīng)理依據(jù)變更建議審批《系統(tǒng)變更申請表。第八條 系統(tǒng)治理員依據(jù)自行開發(fā)、合作開發(fā)和外包開發(fā)的不同要求組織實現(xiàn)系統(tǒng)變更需求，將需求提交至內(nèi)部開發(fā)人員、合作開發(fā)商或外包開發(fā)商，產(chǎn)生供公布的程序。第九條第十條第十一條第十二條第十三條第十五條第十六條第十七條

實現(xiàn)過程應(yīng)依據(jù)軟件開發(fā)過程規(guī)定進展。系統(tǒng)變更過程應(yīng)遵循軟件開發(fā)過程一樣的正式、統(tǒng)一的編碼標準，并經(jīng)過測試和正式驗收才能下發(fā)和上線。系統(tǒng)治理員組織業(yè)務(wù)部門的系統(tǒng)最終用戶對系統(tǒng)程序變更進展測試，并撰寫《用戶〔附件二，提交業(yè)務(wù)部門負責人和IT主管領(lǐng)導簽字確認通過。在系統(tǒng)變更完成后，系統(tǒng)治理員和業(yè)務(wù)部門的最終用戶共同撰寫《程序變更驗收報〔附件三，經(jīng)業(yè)務(wù)部門負責人簽字驗收后，報送IT經(jīng)理審批。培訓治理員負責對系統(tǒng)變更過程的文檔進展歸檔治理，變更過程中涉及的全部文檔應(yīng)至少保存兩年。第三節(jié)緊急變更流程對于緊急變更，需求部門可以通過電子郵件或等書面形式提出申請。信息技術(shù)部依據(jù)重要性和緊迫性做推斷，確定其優(yōu)先級和影響程度，并進展相應(yīng)處理。緊急變更過程中應(yīng)使用專設(shè)的系統(tǒng)用戶賬號，由專責部門或人員啟動緊急修轉(zhuǎn)變更程序。信息技術(shù)部應(yīng)對緊急變更的處理進展標準的文檔記錄。在緊急大事處理完成后，必需在一周內(nèi)補辦正式、完整的文檔，其中包括問題覺察人填寫的緊急變更申請、問題覺察人所在部門負責人對該申請的審批、需求部門/信息技術(shù)部測試記錄〔包括簽字確認測試結(jié)果。第四節(jié)系統(tǒng)變更的權(quán)責分別系統(tǒng)變更過程中，應(yīng)實行各種措施保證維護環(huán)境程序代碼訪問權(quán)限受到良好掌握。這些措施包括：1、通過系統(tǒng)用戶的授權(quán)治理，確保只有特定人員能進展系統(tǒng)維護工作；2、假設(shè)使用專用程序開發(fā)工具，只有授權(quán)人員才能使用程序開發(fā)工具〔通過只有特定開發(fā)人員擁有程序開發(fā)工具；3、通過對源代碼的訪問掌握，限制只有授權(quán)人員才能獲得源代碼以進展系統(tǒng)維護；4、在進展自有系統(tǒng)的程序變更時，應(yīng)建立版本掌握制度確保每次在最的代碼根底上進展更改，當多名程序員同時進展更改工作時，能夠進展適當協(xié)調(diào)；5、通過對系統(tǒng)日志的批閱，監(jiān)視系統(tǒng)維護人員在系統(tǒng)中的操作，確認維護工作的授權(quán)；6、在進展自有系統(tǒng)的程序變更時，應(yīng)防止源代碼在完成測試到正式上線之間的非授權(quán)修改。第十八條第十九條

系統(tǒng)變更過程中，實行各種措施保證生產(chǎn)系統(tǒng)應(yīng)用程序訪問權(quán)限受到良好掌握。這些措施包括：1、通過生產(chǎn)環(huán)境的訪問掌握，限制對生產(chǎn)環(huán)境的訪問；2、通過物理隔離的手段，限制對生產(chǎn)環(huán)境的訪問；3、通過規(guī)律隔離的手段，限制對生產(chǎn)環(huán)境的訪問；4、對授權(quán)訪問生產(chǎn)環(huán)境的人員進展具體記錄，使用該記錄對生產(chǎn)環(huán)境訪問權(quán)限的檢查，確保只有經(jīng)授權(quán)人員才能訪問生產(chǎn)環(huán)境；5、一般用戶只能通過前臺登錄系統(tǒng)，不能通過后臺〔如使用生產(chǎn)環(huán)境操作系統(tǒng)的命令行〕進展操作；6、信息技術(shù)人員不應(yīng)當擁有前臺應(yīng)用程序的業(yè)務(wù)操作訪問權(quán)限，更不應(yīng)當在前臺應(yīng)用程序中擔當實際的業(yè)務(wù)操作任務(wù)；7、從技術(shù)角度限制開發(fā)人員對生產(chǎn)環(huán)境中應(yīng)用程序文件夾的訪問權(quán)限，只有經(jīng)過授權(quán)的人員對程序擁有讀、寫和執(zhí)行的權(quán)限；8、制止信息技術(shù)人員共享操作系統(tǒng)級別的賬號。第五節(jié)附則本制度由公司總部信息技術(shù)部負責解釋和修訂。其次十條 本制度自公布之日起開頭執(zhí)行。附件一系統(tǒng)變更申請表系統(tǒng)變更申請表變更懇求類型□用戶方變更變更懇求類型□用戶方變更□開發(fā)方變更□需求增加□需求修改□需求縮減□其它：請說明：變更申請人申請日期實施人員驗證人原需求內(nèi)容描述變更內(nèi)容描述變更的影響業(yè)務(wù)部門負責人意見：簽字：IT意見：簽字：備注：附件二用戶測試報告根本信息測試依據(jù)測試依據(jù)例如：參照標準、客戶需求、需求規(guī)格說明書、測試用例等測試范圍測試驗收標準測試環(huán)境描述測試驅(qū)動程序描述提示：可以把測試驅(qū)動程序當作附件測試人員測試時間須注明每次回歸測試的時間測試工具實況記錄模塊模塊測試用例編號期望結(jié)果測試結(jié)果缺陷密度是否執(zhí)行了回歸測試測試總評價依據(jù)對測試結(jié)果提出一個關(guān)于軟件力量的全面分析，需標明遺留的主要缺陷、局限性和軟件的約束限制等，并提出軟件測試過程中程序中的缺乏。依據(jù)測試標準及測試結(jié)果，綜合評價軟件的開發(fā)是否已到達預定目標。缺陷修改記錄缺陷名稱缺陷類型缺陷名稱缺陷類型嚴峻程度模塊緣由駐留時間解決方案……需求部門驗收報告書需求部門驗收報告書系統(tǒng)名稱系統(tǒng)名稱英文縮寫系統(tǒng)版本任務(wù)完成情況欄*由信息技術(shù)部依據(jù)任務(wù)完成實際狀況填寫任務(wù)名稱實際開頭時間實際完成時間實際工作量人天，合人月本次任務(wù)實際稅*注明小寫金額和大寫金*前開發(fā)費用〔含￥〔大寫〕酬勞〕*由信息技術(shù)部簡要概述任務(wù)完成狀況**由信息技術(shù)部提交相關(guān)文檔清*

測試人員簽字/日期：業(yè)務(wù)部門承受人簽字： 信息技術(shù)部提交人簽字：日期： 日期：驗收過程信息欄*由信息技術(shù)部依據(jù)驗收過程填*驗收開頭時間驗收地點

驗收完成時間需求部門

角色/職責

信息部門

角色/職責驗收人員 幫助人員810任務(wù)驗收情況欄*由業(yè)務(wù)部門依據(jù)驗收狀況出**見業(yè)務(wù)部門工程負責人簽字： 日期：任務(wù)治理處室工程負責人簽字： 日期：任務(wù)治理處室負