基本規(guī)范要求企業(yè)應(yīng)當(dāng)利用信息技術(shù)促進信息的集成與共享，充分發(fā)揮信息技術(shù)在信息與溝通中的作用。企業(yè)應(yīng)當(dāng)加強對信息系統(tǒng)開發(fā)與維護、訪問與變更、數(shù)據(jù)輸入與輸出、文件儲存與保管、網(wǎng)絡(luò)安全等方面的控制，保證信息系統(tǒng)安全穩(wěn)定運行。
我們理解信息需要借助信息系統(tǒng)加以識別、獲取、分析、處理及報告，信息系統(tǒng)就是為企業(yè)管理人員提供必要信息的系統(tǒng),是指利用計算機技術(shù)對業(yè)務(wù)和信息進行集成處理的程序、數(shù)據(jù)和文檔等的總稱。信息系統(tǒng)對于滿足企業(yè)經(jīng)營、報告和合規(guī)性方面的作用越來越重要，因此加強對信息系統(tǒng)的控制成為管理層關(guān)注的焦點?？傮w來說，信息系統(tǒng)的控制可分為一般控制及應(yīng)用控制。
信息系統(tǒng)一般控制是指與多個應(yīng)用系統(tǒng)有關(guān)的政策和程序，有助于保證信息系統(tǒng)持續(xù)恰當(dāng)?shù)剡\行(包括信息的完整性和數(shù)據(jù)的安全性)，支持應(yīng)用控制作用的有效發(fā)揮，通常包括數(shù)據(jù)中心和網(wǎng)絡(luò)運行控制，系統(tǒng)軟件的購置、修改及維護控制，接觸或訪問權(quán)限控制，應(yīng)用系統(tǒng)的購置、開發(fā)及維護控制。
信息系統(tǒng)應(yīng)用控制是指主要在業(yè)務(wù)流程層次運行的人工或自動化程序，與用于生成、記錄、處理、報告交易或其他財務(wù)數(shù)據(jù)的程序相關(guān)，通常包括檢查數(shù)據(jù)計算準確性，審核賬戶和試算平衡表，設(shè)置對輸入數(shù)據(jù)和數(shù)字序號的自動檢查，以及對例外報告進行人工干預(yù)。
就信息系統(tǒng)一般控制而言，在實際工作中，企業(yè)至少應(yīng)當(dāng)關(guān)注涉及信息系統(tǒng)一般控制的信息系統(tǒng)開發(fā)與使用違反國家法律法規(guī)，可能遭受外部處罰、經(jīng)濟損失和信譽損失；信息系統(tǒng)開發(fā)與使用未經(jīng)適當(dāng)審核或超越授權(quán)審批，可能因重大差錯、舞弊、欺詐而導(dǎo)致?lián)p失；信息系統(tǒng)設(shè)計功能不科學(xué)、維護與變更程序不規(guī)范，可能導(dǎo)致企業(yè)經(jīng)營效率與效果低下；信息系統(tǒng)外包服務(wù)未恰當(dāng)履行或監(jiān)控不當(dāng)，可能導(dǎo)致企業(yè)權(quán)益受損或違約損失；信息系統(tǒng)訪問安全措施不當(dāng)，可能導(dǎo)致商業(yè)秘密泄露；信息系統(tǒng)硬件管理不當(dāng)，可能導(dǎo)致企業(yè)資產(chǎn)或股東權(quán)益受損等方面的風(fēng)險。
針對信息系統(tǒng)一般控制中容易出現(xiàn)的風(fēng)險問題，企業(yè)在建立與實施信息系統(tǒng)內(nèi)部控制中，至少應(yīng)當(dāng)強化對下列關(guān)鍵方面或者關(guān)鍵環(huán)節(jié)的控制：
一是職責(zé)分工、權(quán)限范圍和審批程序應(yīng)當(dāng)明確規(guī)范，機構(gòu)設(shè)置和人員配備應(yīng)當(dāng)科學(xué)合理，重大信息系統(tǒng)開發(fā)與使用事項應(yīng)履行審批程序。
具體來說，企業(yè)應(yīng)當(dāng)建立計算機信息系統(tǒng)崗位責(zé)任制，計算機信息系統(tǒng)崗位一般包括：系統(tǒng)分析：分析用戶的信息需求，并據(jù)此制定設(shè)計或修改程序的方案。編程：編寫計算機程序來執(zhí)行系統(tǒng)分析崗位的設(shè)計或修改方案。測試：設(shè)計測試方案，對計算機程序是否滿足設(shè)計或修改方案進行測試，并通過反饋給編程崗位以修改程序并最終滿足方案。程序管理：負責(zé)保障并監(jiān)控應(yīng)用程序正常運行。數(shù)據(jù)庫管理：對信息系統(tǒng)中的數(shù)據(jù)進行存儲、處理、管理，維護組織數(shù)據(jù)資源。數(shù)據(jù)控制：負責(zé)維護計算機路徑代碼的注冊，確保原始數(shù)據(jù)經(jīng)過正確授權(quán)，監(jiān)控信息系統(tǒng)工作流程，協(xié)調(diào)輸入和輸出，將輸入的錯誤數(shù)據(jù)反饋到輸入部門并跟蹤監(jiān)控其糾正過程，將輸出信息分發(fā)給經(jīng)過授權(quán)的用戶。終端操作：終端用戶負責(zé)記錄交易內(nèi)容，授權(quán)處理數(shù)據(jù)，并利用系統(tǒng)輸出的結(jié)果。
系統(tǒng)開發(fā)和變更過程中不相容崗位（或職責(zé)）一般應(yīng)包括：開發(fā)（或變更）立項、審批、編程、測試。系統(tǒng)訪問過程中不相容崗位（或職責(zé)）一般應(yīng)包括：申請、審批、操作、監(jiān)控。
企業(yè)計算機信息系統(tǒng)戰(zhàn)略規(guī)劃、重要信息系統(tǒng)政策等重大事項應(yīng)當(dāng)經(jīng)由董事會（或者由企業(yè)章程規(guī)定的經(jīng)理、廠長辦公會等類似的決策、治理機構(gòu)）審批通過后，方可實施。信息系統(tǒng)戰(zhàn)略規(guī)劃應(yīng)當(dāng)與企業(yè)業(yè)務(wù)目標保持一致。信息系統(tǒng)使用部門應(yīng)該參與信息系統(tǒng)戰(zhàn)略規(guī)劃、重要信息系統(tǒng)政策等的制定。
企業(yè)可以指定專門部門（或崗位，下稱歸口管理部門）對計算機信息系統(tǒng)實施歸口管理，負責(zé)信息系統(tǒng)開發(fā)、變更、運行、維護等工作。
財會部門負責(zé)信息系統(tǒng)中各項業(yè)務(wù)賬務(wù)處理的準確性和及時性；會計電算化制度的制定；財務(wù)系統(tǒng)操作規(guī)定等。
生產(chǎn)、銷售、倉儲及其他部門（下稱用戶部門）應(yīng)當(dāng)根據(jù)本部門在信息系統(tǒng)中的職能定位，參與信息系統(tǒng)建設(shè)，按照歸口管理部門制定的管理標準、規(guī)范、規(guī)章來操作和運用信息系統(tǒng)。
企業(yè)管理層應(yīng)該明確定義系統(tǒng)歸口管理部門和用戶部門（含財會部門）在保證系統(tǒng)正常安全運行過程中各自承擔(dān)的職責(zé)，制定部門之間的職責(zé)分工表。
二是信息系統(tǒng)開發(fā)、變更和維護流程應(yīng)當(dāng)清晰合理。具體控制政策和措施包括：
計算機信息系統(tǒng)開發(fā)包括自行設(shè)計、外購調(diào)試和外包合作開發(fā)。企業(yè)在開發(fā)信息系統(tǒng)時，應(yīng)當(dāng)充分考慮業(yè)務(wù)和信息的集成性，優(yōu)化流程，并將相應(yīng)的處理規(guī)則（交易權(quán)限）嵌入到系統(tǒng)程序中，以預(yù)防、檢查、糾正錯誤和舞弊行為，確保企業(yè)業(yè)務(wù)活動的真實性、合法性和效益性。
企業(yè)計算機信息系統(tǒng)開發(fā)應(yīng)當(dāng)遵循以下原則：
因地制宜原則：企業(yè)應(yīng)當(dāng)根據(jù)行業(yè)特點、企業(yè)規(guī)模、管理理念、組織結(jié)構(gòu)、核算方法等因素設(shè)計適合本單位的計算機信息系統(tǒng)。
成本效益原則：計算機信息系統(tǒng)的建設(shè)應(yīng)當(dāng)能起到降低成本、糾正偏差的作用，根據(jù)成本效益原則，企業(yè)可以選擇對重要領(lǐng)域中關(guān)鍵因素進行信息系統(tǒng)改造。
理念與技術(shù)并重原則：計算機信息系統(tǒng)建設(shè)應(yīng)當(dāng)將信息系統(tǒng)技術(shù)與信息系統(tǒng)管理理念整合，企業(yè)應(yīng)當(dāng)倡導(dǎo)全體員工積極參與信息系統(tǒng)建設(shè)，正確理解和使用信息系統(tǒng)，提高信息系統(tǒng)運作效率。
信息系統(tǒng)開發(fā)必須經(jīng)過正式授權(quán)。具體程序包括:用戶部門提出需求；歸口管理部門審核；企業(yè)負責(zé)人授權(quán)批準；系統(tǒng)分析人員設(shè)計方案；程序員編寫代碼；測試員進行測試；系統(tǒng)最終上線；系統(tǒng)維護等。
企業(yè)應(yīng)當(dāng)成立項目管理小組，負責(zé)信息系統(tǒng)的開發(fā)，對項目整個過程實施監(jiān)控。對于外包合作開發(fā)的項目，企業(yè)應(yīng)當(dāng)加強對外包第三方的監(jiān)控。外購調(diào)試或外包合作開發(fā)等需要進行招投標的信息系統(tǒng)開發(fā)項目，企業(yè)應(yīng)當(dāng)保證招投標過程公平、公正、公開。
企業(yè)應(yīng)當(dāng)制定詳細的信息系統(tǒng)上線計劃。對涉及新舊系統(tǒng)切換的情形，企業(yè)應(yīng)當(dāng)在上線計劃中明確應(yīng)急預(yù)案，保證新系統(tǒng)一旦失效，能夠順利切換回舊的系統(tǒng)狀態(tài)。新舊系統(tǒng)切換時，如涉及數(shù)據(jù)遷移，企業(yè)應(yīng)當(dāng)制定詳細的數(shù)據(jù)遷移計劃。用戶部門應(yīng)當(dāng)積極參與數(shù)據(jù)遷移過程，對數(shù)據(jù)遷移結(jié)果進行測試，并在測試報告上確認。信息系統(tǒng)在投入使用前應(yīng)當(dāng)至少完成整體測試和用戶驗收測試，以確保系統(tǒng)的正常運轉(zhuǎn)。信息系統(tǒng)原設(shè)計功能未能正常實現(xiàn)時，企業(yè)應(yīng)當(dāng)指定相關(guān)人員負責(zé)詳細記錄，并及時報告歸口管理部門。歸口管理部門負責(zé)系統(tǒng)程序修正和軟件參數(shù)調(diào)整，以實現(xiàn)設(shè)計功能。信息系統(tǒng)上線后，發(fā)生的功能變更，應(yīng)當(dāng)參照上款有關(guān)系統(tǒng)開發(fā)的審批和上線程序執(zhí)行。企業(yè)應(yīng)當(dāng)積極倡導(dǎo)采用預(yù)防性措施，確保計算機信息系統(tǒng)的持續(xù)運行。常見預(yù)防性措施包括但不限于日常檢測、設(shè)立容錯冗余、編制應(yīng)急預(yù)案等。
三是應(yīng)當(dāng)建立訪問安全制度，操作權(quán)限、信息使用、信息管理應(yīng)當(dāng)有明確規(guī)定。具體控制政策和措施：企業(yè)應(yīng)當(dāng)制定信息系統(tǒng)工作程序、信息管理制度以及各模塊子系統(tǒng)的具體操作規(guī)范。計算機信息系統(tǒng)操作人員不得擅自進行系統(tǒng)軟件的刪除、修改等操作，不得擅自升級、改變系統(tǒng)軟件版本，不得擅自改變軟件系統(tǒng)環(huán)境配置。企業(yè)應(yīng)當(dāng)對信息系統(tǒng)操作人員的賬號、密碼和使用權(quán)限進行嚴格規(guī)范，建立相應(yīng)的操作管理制度。未經(jīng)操作培訓(xùn)的人員不得作為操作人員。
企業(yè)應(yīng)當(dāng)建立賬號審批制度，加強對重要業(yè)務(wù)系統(tǒng)的訪問權(quán)限管理。對于發(fā)生崗位變化或離崗的用戶，企業(yè)應(yīng)當(dāng)及時調(diào)整其在系統(tǒng)中的訪問權(quán)限。企業(yè)應(yīng)當(dāng)定期對系統(tǒng)中的賬號進行審閱，避免有授權(quán)不當(dāng)或非授權(quán)賬號存在。對于超級用戶等特權(quán)用戶，企業(yè)應(yīng)該嚴格限制其使用，并對其在系統(tǒng)中的操作全程進行監(jiān)控。使用完畢后，應(yīng)當(dāng)由不相容崗位對其操作日志進行審閱。
企業(yè)應(yīng)當(dāng)充分利用操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)自身提供的安全性能，在系統(tǒng)中設(shè)置安全參數(shù)，以加強系統(tǒng)訪問安全。禁止未經(jīng)授權(quán)人員擅自調(diào)整、刪除或修改系統(tǒng)中設(shè)置的各項參數(shù)。涉及上網(wǎng)操作的，企業(yè)應(yīng)當(dāng)加強防火墻、路由器等網(wǎng)絡(luò)安全方面的管理。
企業(yè)可以結(jié)合實際情況，本著審慎、穩(wěn)健的原則，將信息系統(tǒng)訪問安全事項交由第三方管理。在此情形下，企業(yè)應(yīng)當(dāng)加強對第三方的監(jiān)控。
企業(yè)應(yīng)當(dāng)定期檢測信息系統(tǒng)運行情況，及時進行計算機病毒的預(yù)防、檢查工作，禁止用戶安裝非法防病毒軟件和私自卸載企業(yè)要求安裝的防病毒軟件。
信息系統(tǒng)操作人員應(yīng)當(dāng)在權(quán)限范圍內(nèi)進行操作，不得利用他人的口令和密碼進入軟件系統(tǒng)。更換操作人員或密碼泄露后，必須及時更改密碼。操作人員如果離開工作現(xiàn)場，必須在離開前鎖定或退出已經(jīng)運行的程序，防止其他人員利用自身賬號操作。
企業(yè)應(yīng)當(dāng)利用計算機信息系統(tǒng)建立信息化平臺，規(guī)范信息的使用和傳遞，促進業(yè)務(wù)流程與信息流程的統(tǒng)一，提高經(jīng)營管理的效率和效果。
企業(yè)應(yīng)當(dāng)對所有的重要信息進行密級劃分，包括書面形式和電子媒介形式保存的信息。企業(yè)可以根據(jù)信息的重要性程度和泄密風(fēng)險損失等劃分標準，將信息分為絕密類、機密類、秘密類和重要類等，并建立不同類別信息的授權(quán)使用制度。
企業(yè)計算機信息系統(tǒng)應(yīng)當(dāng)劃分為生產(chǎn)、銷售、存儲等子系統(tǒng)，及時反映和記錄交易。交易責(zé)任部門在其授權(quán)范圍內(nèi)對子系統(tǒng)錄入信息的真實性、完整性、準確性和及時性負責(zé)，并定期檢查、核對所錄信息。
企業(yè)財會部門應(yīng)當(dāng)認真審核采購、生產(chǎn)、銷售、倉庫等部門與財務(wù)相關(guān)的關(guān)鍵業(yè)務(wù)數(shù)據(jù)，保證會計信息與業(yè)務(wù)流程在時間、數(shù)量和價值上的統(tǒng)一。
企業(yè)應(yīng)當(dāng)建立信息數(shù)據(jù)變更處理（包括數(shù)據(jù)導(dǎo)入、數(shù)據(jù)提取、數(shù)據(jù)修改等）規(guī)范。一經(jīng)發(fā)現(xiàn)已輸入數(shù)據(jù)信息有誤，必須按照信息系統(tǒng)操作規(guī)定加以修正。
企業(yè)應(yīng)當(dāng)建立數(shù)據(jù)信息定期備份制度和數(shù)據(jù)批處理或?qū)崟r處理的處理前自動備份制度。并在備份完畢后，將備份介質(zhì)異地保存。企業(yè)應(yīng)當(dāng)編制完整、具體的災(zāi)難恢復(fù)計劃。同時應(yīng)當(dāng)定期檢測、及時修正該計劃。
四是硬件管理事項和審批程序應(yīng)當(dāng)科學(xué)合理。具體的控制政策和措施：企業(yè)應(yīng)當(dāng)制定計算機信息系統(tǒng)硬件管理制度，對設(shè)備的新增、報廢、流轉(zhuǎn)等情況建檔登記，統(tǒng)一管理。企業(yè)應(yīng)當(dāng)將計算機硬件設(shè)備放置在合適的物理環(huán)境中，由專人負責(zé)管理和檢查，其他任何人未經(jīng)授權(quán)不得接觸計算機信息系統(tǒng)硬件設(shè)備。對于主要系統(tǒng)服務(wù)器應(yīng)當(dāng)配備不中斷電源供給設(shè)備。硬件設(shè)備的更新、擴充、修復(fù)等工作應(yīng)當(dāng)由相關(guān)人員提出申請，報上級主管負責(zé)人審批。企業(yè)操作人員應(yīng)當(dāng)嚴格遵守用電安全，不得在計算機專用線路上使用其他用電設(shè)備。企業(yè)應(yīng)當(dāng)完善計算機信息系統(tǒng)硬件設(shè)備異常狀況處理制度。一經(jīng)發(fā)生異常狀況（如冒煙、打火、異常聲響等），應(yīng)當(dāng)立即通知有關(guān)部門，并按處理制度進行處理。
五是會計信息系統(tǒng)流程應(yīng)當(dāng)規(guī)范，會計信息系統(tǒng)操作管理、硬件、軟件和數(shù)據(jù)管理、會計信息化檔案管理應(yīng)當(dāng)完善。具體控制政策和措施：企業(yè)應(yīng)當(dāng)加強會計信息化工作，并對其工作流程進行有效控制。企業(yè)應(yīng)當(dāng)建立會計信息化操作管理制度，明確會計信息系統(tǒng)的合法有權(quán)使用人員及其操作權(quán)限和操作程序，形成分工牽制的控制形式。企業(yè)出納人員不得兼任電算化系統(tǒng)管理員，不得兼任記賬憑證的審核工作。
企業(yè)應(yīng)當(dāng)建立會計信息系統(tǒng)硬件、軟件和數(shù)據(jù)管理制度，重點關(guān)注下列風(fēng)險和控制點：對正在使用的會計核算軟件進行修改、對通用會計軟件進行升級和對計算機硬件設(shè)備進行更換時，企業(yè)應(yīng)有規(guī)范的審批流程，并采取替代性措施確保會計數(shù)據(jù)的連續(xù)性。企業(yè)應(yīng)當(dāng)健全計算機硬件和軟件出現(xiàn)故障時進行排除的管理措施，保證會計數(shù)據(jù)的完整性。確保會計數(shù)據(jù)安全保密，防止對數(shù)據(jù)的非法修改和刪除。
企業(yè)應(yīng)當(dāng)建立信息化會計檔案管理制度。企業(yè)應(yīng)當(dāng)指定專人負責(zé)信息化會計檔案的管理，做好防消磁、防火、防潮和防塵等工作；對于存儲介質(zhì)保存的會計檔案，應(yīng)當(dāng)定期檢查，防止由于介質(zhì)損壞而使會計檔案丟失。
在我國企業(yè)的實踐中，信息系統(tǒng)的一般控制包括以下幾方面內(nèi)容：信息系統(tǒng)的控制環(huán)境；系統(tǒng)的購買、開發(fā)和實施；系統(tǒng)的變更及維護；系統(tǒng)的安全管理；系統(tǒng)的操作及運行。
就信息系統(tǒng)的應(yīng)用控制而言，信息系統(tǒng)的應(yīng)用控制主要關(guān)注數(shù)據(jù)的獲取和處理的完整性、準確性、授權(quán)的有效性。為了能夠達到以上目標，企業(yè)應(yīng)采取以下控制政策和措施：
職責(zé)分離。內(nèi)部控制的關(guān)鍵就在于不相容職務(wù)的分離，職責(zé)分離的基本要求就是業(yè)務(wù)活動的批準、記錄、經(jīng)辦盡可能做到相互獨立，在信息系統(tǒng)的管理中，也要這樣做。
人工控制。人工控制最首要的一點就是有效授權(quán)，系統(tǒng)使用人員根據(jù)控制程序、各項規(guī)章制度判斷業(yè)務(wù)活動的合理性、合法性和有效性，保證錄入系統(tǒng)的交易活動或修改數(shù)據(jù)都經(jīng)過授權(quán)；其次是對系統(tǒng)應(yīng)用人員的培訓(xùn)，使他們能夠熟練、準確有效地使用系統(tǒng)。
自動控制。信息系統(tǒng)可以通過對數(shù)據(jù)類型的校驗、重復(fù)輸入校驗、系統(tǒng)匹配等方式對應(yīng)用系統(tǒng)的輸入、處理和輸出進行有效控制。
數(shù)據(jù)保密。在使用信息系統(tǒng)過程中，企業(yè)可根據(jù)員工所承擔(dān)的責(zé)任，分配其可登陸查閱相關(guān)信息的權(quán)限。
