11.4應(yīng)用系統(tǒng)IT一般性控制流程

11.4應(yīng)用系統(tǒng)IT一般性控制流程一、 業(yè)務(wù)目標(biāo)1 經(jīng)營(yíng)目標(biāo)1.1保證應(yīng)用系統(tǒng)長(zhǎng)期穩(wěn)定、安全、高效運(yùn)行。1.2 為生產(chǎn)經(jīng)營(yíng)管理提供業(yè)務(wù)支撐和及時(shí)、準(zhǔn)確、完整的數(shù)據(jù)。2合規(guī)目標(biāo)2.1遵守保護(hù)知識(shí)產(chǎn)權(quán)的有關(guān)法律法規(guī)，使用合法軟件。2.2信息技術(shù)合同符合合同法等股份公司制度、國(guó)家法律和法規(guī)。2.3 應(yīng)用系統(tǒng)數(shù)據(jù)的收集、提供、使用和轉(zhuǎn)讓符合國(guó)家安全、知識(shí)產(chǎn)權(quán)保護(hù)、合同法等法律、法規(guī)及股份公司內(nèi)部規(guī)章制度的要求。2.4 保證重要業(yè)務(wù)系統(tǒng)的生成報(bào)表、合并報(bào)表編制過(guò)程的真實(shí)性、完整性、可靠性符合國(guó)家規(guī)定及上市地監(jiān)管機(jī)構(gòu)要求。二、業(yè)務(wù)風(fēng)險(xiǎn)1 經(jīng)營(yíng)風(fēng)險(xiǎn)本流程適用于除ERP系統(tǒng)外的其它應(yīng)用系統(tǒng)，包括財(cái)務(wù)管理信息系統(tǒng)、財(cái)務(wù)報(bào)表系統(tǒng)、加油卡系統(tǒng)及MES系統(tǒng)等。1.1技術(shù)方案不合理，系統(tǒng)功能存在問(wèn)題，導(dǎo)致應(yīng)用系統(tǒng)不能滿足生產(chǎn)經(jīng)營(yíng)管理業(yè)務(wù)需求。1.2系統(tǒng)登錄訪問(wèn)機(jī)制不健全、用戶權(quán)限管理不規(guī)范等，導(dǎo)致對(duì)系統(tǒng)的非法或非授權(quán)訪問(wèn)。1.3 密碼設(shè)置強(qiáng)度不夠或更改不及時(shí)，造成系統(tǒng)泄密或受到非法訪問(wèn)。1.4系統(tǒng)變更管理不規(guī)范，未經(jīng)審批、測(cè)試，導(dǎo)致應(yīng)用系統(tǒng)運(yùn)行和維護(hù)的無(wú)法正常進(jìn)行。1.5 系統(tǒng)運(yùn)行缺乏有效監(jiān)控及維護(hù)管理，影響系統(tǒng)安全穩(wěn)定運(yùn)行。1.6 系統(tǒng)問(wèn)題處理不及時(shí)、不規(guī)范，不能保證系統(tǒng)問(wèn)題得到及時(shí)有效解決。1.7 備份策略和備份方案不完善，導(dǎo)致系統(tǒng)數(shù)據(jù)丟失，系統(tǒng)無(wú)法恢復(fù)。1.8制度不健全，導(dǎo)致信息系統(tǒng)應(yīng)用管理不規(guī)范、運(yùn)維不及時(shí)。2 合規(guī)風(fēng)險(xiǎn)2.1侵犯知識(shí)產(chǎn)權(quán)，導(dǎo)致訴訟及股份公司聲譽(yù)受到損害。2.2應(yīng)用系統(tǒng)數(shù)據(jù)的收集、提供、使用、轉(zhuǎn)讓違反國(guó)家法律法規(guī)及股份公司內(nèi)部規(guī)章制度等，導(dǎo)致系統(tǒng)無(wú)法正常運(yùn)行。2.3 重要業(yè)務(wù)報(bào)表的編制不符合規(guī)定，導(dǎo)致股份公司聲譽(yù)受到損害及受相關(guān)機(jī)構(gòu)處罰。三、業(yè)務(wù)流程步驟與控制點(diǎn)1 程序和數(shù)據(jù)訪問(wèn)1.1 總部各部門、分（子）公司依據(jù)《中國(guó)石油化工股份有限公司管理信息系統(tǒng)應(yīng)用管理辦法（試行）》（以下簡(jiǎn)稱《信息系統(tǒng)應(yīng)用管理辦法》）及相關(guān)應(yīng)用系統(tǒng)管理辦法實(shí)施程序和數(shù)據(jù)訪問(wèn)管理，包括用戶權(quán)限管理、用戶帳號(hào)及訪問(wèn)管理、密碼管理和系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、應(yīng)用管理員、安全管理員（主要職責(zé)是承擔(dān)對(duì)系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、應(yīng)用管理員的監(jiān)管，負(fù)責(zé)審查系統(tǒng)管理員、應(yīng)用管理員在系統(tǒng)中的操作）管理、第三方人員管理等。1.1.1東北油氣分公司依據(jù)《中國(guó)石油化工股份有限公司管理信息系統(tǒng)應(yīng)用管理辦法（試行）》（以下簡(jiǎn)稱《信息系統(tǒng)應(yīng)用管理辦法》）及相關(guān)應(yīng)用系統(tǒng)管理辦法實(shí)施程序和數(shù)據(jù)訪問(wèn)管理，包括用戶權(quán)限管理、用戶帳號(hào)及訪問(wèn)管理、密碼管理和系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、應(yīng)用管理員、安全管理員（主要職責(zé)是承擔(dān)對(duì)系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、應(yīng)用管理員的監(jiān)管，負(fù)責(zé)審查系統(tǒng)管理員、應(yīng)用管理員在系統(tǒng)中的操作）管理、第三方人員管理等。1.2 用戶權(quán)限管理1.2.1新進(jìn)員工或崗位變動(dòng)人員按照用戶權(quán)限相關(guān)管理辦法填寫用戶權(quán)限審批表，經(jīng)相關(guān)部門負(fù)責(zé)人審批后，由應(yīng)用管理員在系統(tǒng)中新增、變更或鎖定用戶權(quán)限。1.2.1.1新進(jìn)員工或崗位變動(dòng)人員按照用戶權(quán)限相關(guān)管理辦法填寫用戶權(quán)限審批表，經(jīng)相關(guān)部門負(fù)責(zé)人審批后，由應(yīng)用管理員在系統(tǒng)中新增、變更或鎖定用戶權(quán)限。1.2.2對(duì)于數(shù)據(jù)庫(kù)用戶權(quán)限，相關(guān)人員填寫用戶權(quán)限審批表，經(jīng)相關(guān)部門負(fù)責(zé)人審批后，由數(shù)據(jù)庫(kù)管理員在數(shù)據(jù)庫(kù)中新增、變更或鎖定用戶權(quán)限。1.2.2.1對(duì)于數(shù)據(jù)庫(kù)用戶權(quán)限，相關(guān)人員填寫用戶權(quán)限審批表，經(jīng)相關(guān)部門負(fù)責(zé)人審批后，由數(shù)據(jù)庫(kù)管理員在數(shù)據(jù)庫(kù)中新增、變更或鎖定用戶權(quán)限。1.3 用戶帳號(hào)及訪問(wèn)管理1.3.1 1.3.1.1操作人員訪問(wèn)應(yīng)用系統(tǒng)時(shí)，必須輸入用戶帳號(hào)和密碼。1.3.2 1.3.2.1應(yīng)用管理員在系統(tǒng)中為每個(gè)操作人員設(shè)置獨(dú)立的用戶帳號(hào)，不能設(shè)置共享用戶帳號(hào)（查詢用戶帳號(hào)除外）。應(yīng)用管理員至少每半年打印一次用戶帳號(hào)權(quán)限清單，并由相關(guān)部門負(fù)責(zé)人審核。1.4 密碼管理1.4.1 操作人員應(yīng)按照密碼管理相關(guān)規(guī)定，遵循系統(tǒng)密碼的長(zhǎng)度至少為6位，復(fù)雜度為數(shù)字與字符的組合，三個(gè)月更改一次密碼等密碼規(guī)則設(shè)置密碼，不得使用最近使用過(guò)的密碼1.4.1.1操作人員應(yīng)按照密碼管理相關(guān)規(guī)定，遵循系統(tǒng)密碼的長(zhǎng)度至少為6位，復(fù)雜度為數(shù)字與字符的組合，三個(gè)月更改一次密碼等密碼規(guī)則設(shè)置密碼，不得使用最近使用過(guò)的密碼。應(yīng)用管理員對(duì)操作人員密碼定期更換記錄進(jìn)行檢查。1.4.2 系統(tǒng)管理員、數(shù)據(jù)管理員、1.4.2.1系統(tǒng)管理員、數(shù)據(jù)管理員、應(yīng)用管理員應(yīng)在系統(tǒng)投用前修改操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)的超級(jí)用戶初始密碼。上述密碼至少三個(gè)月更換一次，安全管理員對(duì)定期更換記錄進(jìn)行檢查。1.5 系統(tǒng)管理員、數(shù)據(jù)管理員、應(yīng)用管理員、安全管理員管理1.5.1 系統(tǒng)需配備專職或兼職系統(tǒng)管理員、數(shù)據(jù)管理員、應(yīng)用管理員和安全管理員。安全管理員、系統(tǒng)管理員、數(shù)據(jù)管理員、1.5.1.1系統(tǒng)需配備專職或兼職系統(tǒng)管理員、數(shù)據(jù)管理員、應(yīng)用管理員和安全管理員。安全管理員、系統(tǒng)管理員、數(shù)據(jù)管理員、應(yīng)用管理員必須經(jīng)相關(guān)部門負(fù)責(zé)人授權(quán)并遵循不相容崗位分離原則，且不得擁有應(yīng)用系統(tǒng)的業(yè)務(wù)操作權(quán)限。相關(guān)部門負(fù)責(zé)人至少每半年對(duì)上述管理員在職情況進(jìn)行審查。1.5.2 安全管理員至少每季度對(duì)系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、1.5.2.1安全管理員至少每季度對(duì)系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、應(yīng)用管理員的操作日志或記錄進(jìn)行檢查，提出審核意見，并報(bào)相關(guān)部門負(fù)責(zé)人。1.6 第三方人員管理1.6.1 1.6.1.1東北油氣分公司與第三方合作單位就相關(guān)應(yīng)用系統(tǒng)簽訂安全保密協(xié)議。1.6.2 第三方人員需訪問(wèn)系統(tǒng)時(shí)，由申請(qǐng)人/經(jīng)辦人按照相關(guān)管理辦法填寫用戶權(quán)限審批表（需注明使用期限和權(quán)限，使用期限不超過(guò)三個(gè)月），經(jīng)需求部門負(fù)責(zé)人審核后提交信息管理1.6.2.1第三方人員需訪問(wèn)系統(tǒng)時(shí)，由申請(qǐng)人/經(jīng)辦人按照相關(guān)管理辦法填寫用戶權(quán)限審批表（需注明使用期限和權(quán)限，使用期限不超過(guò)三個(gè)月），經(jīng)需求部門負(fù)責(zé)人審核后提交信息中心負(fù)責(zé)人審批，由應(yīng)用管理員在系統(tǒng)中新增或變更其帳號(hào)及權(quán)限。到期后必須及時(shí)刪除或鎖定第三方人員的帳號(hào)。1.6.3總部各部門、分（子）公司與運(yùn)維外包單位就相關(guān)應(yīng)用系統(tǒng)簽訂運(yùn)維外包協(xié)議，協(xié)議內(nèi)容應(yīng)包括運(yùn)維組織結(jié)構(gòu)、相應(yīng)職責(zé)、運(yùn)維流程、考核辦法及運(yùn)維文檔等內(nèi)容。1.6.3.1東北油氣分公司與運(yùn)維外包單位就相關(guān)應(yīng)用系統(tǒng)簽訂運(yùn)維外包協(xié)議，協(xié)議內(nèi)容應(yīng)包括運(yùn)維組織結(jié)構(gòu)、相應(yīng)職責(zé)、運(yùn)維流程、考核辦法及運(yùn)維文檔等內(nèi)容。2 程序變更2.1 總部各部門、分（子）公司依據(jù)《信息系統(tǒng)應(yīng)用管理辦法》及相關(guān)應(yīng)用系統(tǒng)管理辦法實(shí)施系統(tǒng)變更管理，包括變更申請(qǐng)審批、變更測(cè)試和變更版本管理等。2.1.1東北油氣分公司依據(jù)《信息系統(tǒng)應(yīng)用管理辦法》及相關(guān)應(yīng)用系統(tǒng)管理辦法實(shí)施系統(tǒng)變更管理，包括變更申請(qǐng)審批、變更測(cè)試和變更版本管理等。2.2 總部統(tǒng)一建設(shè)的應(yīng)用系統(tǒng)，系統(tǒng)變更必須填寫系統(tǒng)變更審批表上報(bào)信息系統(tǒng)管理部和總部相關(guān)部門，由總部統(tǒng)一組織升級(jí)、測(cè)試和變更，各分（子）公司不得自行變更。各分（子）公司自建系統(tǒng)或客戶化開發(fā)的變更，必須經(jīng)過(guò)分（子）公司信息管理部門和相關(guān)部門負(fù)責(zé)人審批。2.2.1東北油氣分公司自建系統(tǒng)或客戶化開發(fā)的變更，必須經(jīng)過(guò)分公司信息中心和相關(guān)部門負(fù)責(zé)人審批。2.3 變更的應(yīng)用程序移植到生產(chǎn)系統(tǒng)前，相關(guān)部門必須組織人員進(jìn)行系統(tǒng)測(cè)試和最終用戶測(cè)試，測(cè)試不能在生產(chǎn)環(huán)境中進(jìn)行。2.3.1變更的應(yīng)用程序移植到生產(chǎn)系統(tǒng)前，相關(guān)部門必須組織人員進(jìn)行系統(tǒng)測(cè)試和最終用戶測(cè)試，測(cè)試不能在生產(chǎn)環(huán)境中進(jìn)行。2.4 信息管理部門必須對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)版本變更進(jìn)行管理，記錄每次變更的版本號(hào)，存檔變更文檔和變更升級(jí)程序。2.4.1信息中心必須對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)版本變更進(jìn)行管理，記錄每次變更的版本號(hào)，存檔變更文檔和變更升級(jí)程序。3 程序開發(fā)3.1 新建應(yīng)用系統(tǒng)的項(xiàng)目計(jì)劃、可研評(píng)審、立項(xiàng)審批、項(xiàng)目實(shí)施、竣工驗(yàn)收等開發(fā)步驟按照《11.1信息系統(tǒng)管理業(yè)務(wù)流程》執(zhí)行。3.1.1新建應(yīng)用系統(tǒng)的項(xiàng)目計(jì)劃、可研評(píng)審、立項(xiàng)審批、項(xiàng)目實(shí)施、竣工驗(yàn)收等開發(fā)步驟按照《11.1信息系統(tǒng)管理業(yè)務(wù)流程》執(zhí)行。3.2 應(yīng)用系統(tǒng)上線前,必須由信息管理部門組織測(cè)試系統(tǒng)功能，形成測(cè)試報(bào)告，并經(jīng)最終用戶部門負(fù)責(zé)人簽字確認(rèn)。3.2.1應(yīng)用系統(tǒng)上線前,必須由信息中心組織測(cè)試系統(tǒng)功能，形成測(cè)試報(bào)告，并經(jīng)最終用戶部門負(fù)責(zé)人簽字確認(rèn)。3.3 系統(tǒng)初始化管理3.3.1 3.3.1.1相關(guān)部門按照數(shù)據(jù)收集模板組織人員收集、整理業(yè)務(wù)數(shù)據(jù)，并由相關(guān)部門責(zé)任人審核確認(rèn)。3.3.2 3.3.2.1相關(guān)部門組織人員對(duì)導(dǎo)入和補(bǔ)錄系統(tǒng)的數(shù)據(jù)進(jìn)行核對(duì)，并由相關(guān)部門責(zé)任人簽字確認(rèn)。4 系統(tǒng)運(yùn)行4.1 總部各部門、分（子）公司依據(jù)《信息系統(tǒng)應(yīng)用管理辦法》及相關(guān)應(yīng)用系統(tǒng)管理辦法實(shí)施系統(tǒng)運(yùn)行管理，包括系統(tǒng)備份及恢復(fù)、系統(tǒng)監(jiān)控、維護(hù)及故障處理等。4.1.1東北油氣分公司依據(jù)《信息系統(tǒng)應(yīng)用管理辦法》及相關(guān)應(yīng)用系統(tǒng)管理辦法實(shí)施系統(tǒng)運(yùn)行管理，包括系統(tǒng)備份及恢復(fù)、系統(tǒng)監(jiān)控、維護(hù)及故障處理等。4.2 數(shù)據(jù)備份及恢復(fù)4.2.1 數(shù)據(jù)庫(kù)4.2.1.1數(shù)據(jù)庫(kù)管理員至少每月做一次數(shù)據(jù)全備份，并檢查數(shù)據(jù)備份日志，確認(rèn)備份是否成功。對(duì)備份異常情況進(jìn)行記錄，同時(shí)檢查備份數(shù)據(jù)的可讀性。4.2.2 4.2.2.1系統(tǒng)管理員適時(shí)對(duì)系統(tǒng)進(jìn)行備份，同時(shí)檢查備份系統(tǒng)的可讀性，確認(rèn)備份是否成功。4.2.3系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員至少每月對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)的日志進(jìn)行備份。4.2.3.1系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員至少每月對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)的日志進(jìn)行備份。4.2.4 介質(zhì)管理人員（4.2.4.1系統(tǒng)管理員將月備份介質(zhì)與生產(chǎn)服務(wù)器異地存放，并由專人管理。備份介質(zhì)存放要有記錄，介質(zhì)訪問(wèn)人員須經(jīng)相關(guān)部門負(fù)責(zé)人授權(quán)并填寫訪問(wèn)記錄。4.2.5 系統(tǒng)管理員至少每月4.2.5.1系統(tǒng)管理員至少每月對(duì)備份數(shù)據(jù)進(jìn)行一次可讀性測(cè)試。4.2.64.2.6.1系統(tǒng)管理員至少每年對(duì)備份數(shù)據(jù)進(jìn)行一次恢復(fù)性測(cè)試。4.3 系統(tǒng)監(jiān)控、維護(hù)及故障處理4.34.3.1.1系統(tǒng)管理員對(duì)應(yīng)用系統(tǒng)、后臺(tái)作業(yè)、操作系統(tǒng)、數(shù)據(jù)庫(kù)、服務(wù)器等運(yùn)行狀況進(jìn)行監(jiān)控,并填報(bào)系統(tǒng)運(yùn)行監(jiān)控報(bào)告。4.3.2應(yīng)用管理員對(duì)應(yīng)用系統(tǒng)操作日志或記錄、安全管理員對(duì)直接訪問(wèn)數(shù)據(jù)庫(kù)的操作日志至少每月進(jìn)行一次審核，發(fā)現(xiàn)異常情況，及時(shí)上報(bào)信息管理部門/相關(guān)部門負(fù)責(zé)人，同時(shí)查明原因，提出處理意見，記錄處理情況。4.3.2.1應(yīng)用管理員對(duì)應(yīng)用系統(tǒng)操作日志或記錄、安全管理員對(duì)直接訪問(wèn)數(shù)據(jù)庫(kù)的操作日志至少每月進(jìn)行一次審核，發(fā)現(xiàn)異常情況，及時(shí)上報(bào)信息中心/相關(guān)部門負(fù)責(zé)人，同時(shí)查明原因，提出處理意見，記錄處理情況。4.3.34.3.3.1對(duì)系統(tǒng)運(yùn)行出現(xiàn)的故障，相關(guān)人員需填報(bào)問(wèn)題處理記錄單，詳細(xì)記錄問(wèn)題處理情況，其中包括故障發(fā)生時(shí)間、故障情況、解決辦法、處理結(jié)果及問(wèn)題跟蹤記錄等，并審核確認(rèn)。4.34.3.4.1系統(tǒng)應(yīng)用部門會(huì)同信息管理部門制訂系統(tǒng)應(yīng)急預(yù)案，并至少每年對(duì)業(yè)務(wù)人員、系統(tǒng)管理員、應(yīng)用管理員進(jìn)行一次系統(tǒng)應(yīng)急預(yù)案的培訓(xùn)。4.4煉化企業(yè)使用MES系統(tǒng)進(jìn)行主物料的日、旬、月平衡，公用工程進(jìn)行旬、月平衡，實(shí)現(xiàn)生產(chǎn)監(jiān)控管理，滿足生產(chǎn)調(diào)度的要求，為ERP和生產(chǎn)營(yíng)運(yùn)指揮等系統(tǒng)提供數(shù)據(jù)支持。4.4.1不適用與油田企業(yè)，適用于煉化企業(yè)。四、 相關(guān)制度目錄（制度后標(biāo)號(hào)為《內(nèi)控手冊(cè)相關(guān)規(guī)章制度匯編》目錄索引號(hào)）1 中國(guó)石油化工股份有限公司管理信息系統(tǒng)應(yīng)用管理