1、 ERP系統IT一般性控制流程一、 業務目標1經營目標 保證系統長期穩定、安全、高效運行。保證系統數據的準確性、實時性和完整性。保證業務流程的通流效率，為企業的經營和發展提供技術支撐。2合規目標 遵守保護知識產權的有關法律法規，使用合法軟件。 信息技術合同符合合同法等股份公司制度、國家法律和法規。 系統數據的收集、提供、使用和轉讓符合股份公司有關制度以及國家安全、保護知識產權、合同法等法律、法規的要求。 業務系統的生成報表、合并報表編制過程的真實性、完整性、可靠性符合國家規定及上市地監管機構要求。二、 業務風險1 經營風險本流程適用于股份公司ERP單軌運行企業ERP系統IT一般性控制。 規章制

2、度不健全，導致系統管理失控。 技術方案不合理，業務流程不規范，系統功能存在問題，導致系統不能滿足業務需求。系統登錄訪問機制不健全、用戶權限管理不規范等，導致對系統的非法或非授權訪問。 數據收集、轉換和清理的管理不完善，導致系統存在大量垃圾數據和系統數據失真。變更管理不規范，客戶化開發、測試和傳輸管理不完善，導致系統故障、影響系統正常運作或系統功能不能滿足業務需求。 系統運行狀態監控不到位，系統潛在故障處理不及時，支持體系不健全，影響系統正常運行。 上線方案不合理，導致系統上線失敗。 上線月結差異分析報告不準確，導致系統數據錯誤無法糾正，影響系統正確性。備份策略和備份方案不完善，導致數據丟失或數

3、據、系統無法恢復。培訓工作不到位，導致用戶操作不熟練，無法保證業務處理的正確性。 沒有建立完善的應急預案，影響到業務處理。2合規風險 侵犯知識產權，導致訴訟及股份公司聲譽受到損害。 系統數據的收集、提供、使用、轉讓違反國家法律法規及股份公司內部規章制度等，導致系統無法正常運行。重要業務報表的編制不符合規定，導致股份公司聲譽受到損害及受相關機構處罰。三、 業務流程步驟與控制點1程序和數據訪問總部各部門、分（子）公司依據中國石油化工股份有限公司管理信息系統應用管理辦法（試行）（以下簡稱信息系統應用管理辦法）等，制定程序和數據訪問管理制度,主要包括用戶權限管理、用戶帳號管理、用戶登錄管理、超級用戶管

4、理及第三方人員管理等內容。用戶權限管理建立/變更用戶帳號和角色，由申請人填寫ERP系統用戶權限申請表，經相關部門負責人審批后，由應用管理員在系統中建立/維護權限，相關人員進行權限測試并確認，關鍵用戶對角色矩陣實時維護并進行版本管理。操作人員由于崗位變動或離開單位，人事部門必須及時通知ERP支持中心，ERP支持中心應用管理員在系統中將該用戶進行鎖定或刪除。用戶帳號管理應用管理員每季度在線檢查用戶權限使用情況，至少每半年將系統用戶清單提交相關部門，由關鍵用戶和部門負責人審核確認，應用管理員根據審核結果在系統中進行相應處理。應用管理員在系統中為每個操作人員設置獨立的用戶帳號，不能設置共享用戶帳號（查

5、詢用戶帳號除外）。對于數據庫層面用戶（如系統接口訪問用戶等），相關部門填寫用戶申請，由部門負責人簽字確認，經信息管理部門審批后，由數據庫管理員創建該類用戶。對于系統登錄訪問，要設置合理的密碼規則，密碼長度6位以上，采用數字和字符組合方式，不能使用弱密碼；用戶密碼3個月內必須更新一次；帳號密碼重復輸入5次錯誤則暫停登錄或系統鎖定；系統自動退出帳號登錄的最大空閑時間不能超過50分鐘。相關管理員的管理應用管理員（BASIS管理員和權限管理員）、系統管理員（操作系統管理員、數據庫管理員）、安全管理員必須授權管理，遵循不相容崗位分離原則，并且不能具有業務操作權限及開發權限；信息管理部門負責人應至少每半年

6、對上述管理員的在職情況進行審查。應用管理員負責監控應用系統運行情況、備份情況和日志，并完成監控記錄；系統管理員負責監控操作系統、數據庫及備份設備運行情況和日志，并完成監控記錄；安全管理員每季度對相關管理員的操作日志至少檢查一次并記錄檢查情況。生產系統上線投入運行后，鎖定生產系統中的開發人員、關鍵用戶的帳號；如果開發人員或關鍵用戶必須在生產系統中診斷問題，需填寫ERP系統用戶權限申請表（提出申請帳號目的和期限），由相關部門負責人簽字確認后由應用管理員進行維護，完成問題診斷任務后鎖定該帳號。預置帳號的管理系統管理員在操作系統安裝完成后對服務器根帳號（root）密碼進行修改，并至少三個月更換一次密碼

7、，密碼以安全方式妥善保存。系統管理員在數據庫和SAP軟件安裝好后，需用sapdba的工具修改SAP系統預置帳號（SAPR3，SYS，SYSTEM）的缺省密碼，并至少三個月更換一次密碼，密碼以安全方式妥善保存。 應用管理員在SAP軟件安裝好每次創建Client后，須修改SAP系統預置帳號（SAP*/DDIC）缺省密碼，密碼以安全方式妥善保存。業務支持人員支持權限的新建、變更、刪除、鎖定需經ERP支持中心負責人審核簽字后由應用管理員在系統中進行分配，業務支持人員在生產系統中只有相應模塊的顯示、跟蹤權限，不能分配業務操作權限、后臺配置權限。 超級用戶權限必須嚴格控制，申請時必須闡明使用原因，并經ER

8、P支持中心負責人審核簽字后，應用管理員才能在系統中進行分配，使用后要及時將權限回收。第三方人員管理針對第三方合作單位需要簽訂安全保密協議。第三方人員訪問系統，需填寫第三方人員帳號申請表（需注明使用期限和權限），經需求部門負責人、信息管理部門（責任處（科）室）負責人審批通過后，由應用管理員根據申請表在系統中建立其帳號。第三方人員撤離后，其帳號需在系統中進行刪除或鎖定，如確需訪問系統診斷問題，需按照用戶權限維護程序經審批后方可解鎖/創建;維護完畢后應及時鎖定或刪除。2.程序變更總部各部門、分（子）公司依據信息系統應用管理辦法，制定程序變更管理制度,主要包括客戶化開發變更管理、系統配置變更管理、軟件

9、版本變更管理等內容。客戶化開發變更管理。 對于功能增強/表單/報表/系統接口等客戶化開發的新需求或者對已有客戶化開發的變更，由需求變更部門填寫系統開發變更申請表（簡要描述功能需求和功能說明），經提報單位的需求變更部門、信息管理部門/ERP支持中心負責人審核后報信息系統管理部審批。 信息系統管理部組織人員根據審批后的客戶化開發變更需求在開發環境中進行開發，完成開發后由提報單位的業務人員在測試環境中進行測試，針對變更部分編制測試文檔（包括測試場景和測試結果），經業務人員及部門負責人簽字確認后，由提報單位的應用管理員按照傳輸管理要求傳入生產系統。 提報單位ERP支持中心組織需求變更部門對客戶化開發變

10、更內容進行記錄，包括更新客戶化功能說明文檔、技術說明文檔、測試文檔等，由ERP支持中心歸檔。系統配置變更管理 現有系統配置需進行調整，應由需求部門填寫“系統配置變更申請表”，經部門負責人簽字確認后提交信息管理部門審核。與ERP推廣模板有差異的或者組織架構、業務流程發生變化的變更，以及新增功能模塊，需信息系統管理部負責人審批并組織實施；其他系統配置變更，由信息管理部門授權支持人員或第三方人員根據審批后的變更需求進行業務流程設計，經相關部門負責人簽字確認后在開發環境進行配置修改，由被授權人員填寫系統配置變更記錄，并將變更記錄報總部ERP支持中心備案。凡涉及業務流程、數據庫變動的配置變更，由提報單位

11、的業務人員在測試環境中進行測試，針對變更部分編制測試文檔（包括測試場景和測試結果），經業務部門負責人簽字確認后，應用管理員按照傳輸管理要求傳入生產系統。系統配置變更后由ERP支持中心組織相關人員及時修改配置文檔，并根據需要編寫用戶手冊，進行業務人員培訓。軟件補丁和版本變更管理針對軟件補丁/版本升級，信息管理部門提出申請，由信息系統管理部負責人審批后統一組織實施。由信息管理部門/ERP支持中心根據審批后的軟件變更，組織支持人員、相關部門關鍵用戶提出測試流程清單，在測試環境進行系統功能的全面測試，測試人員需在測試流程清單上簽字確認，并填寫測試記錄。ERP支持中心負責人檢查測試流程清單是否完整，并在

12、簽字確認后，由應用管理員根據補丁/版本升級方案在生產系統完成補丁安裝或者版本升級工作，并進行軟件補丁/版本升級記錄。3.程序開發總部各部門、分（子）公司依據信息系統應用管理辦法，制定程序開發管理制度,主要包括業務流程設計管理、客戶化開發和系統配置管理等內容。信息管理部門負責組建項目組，包括承擔系統實施的人員（以下簡稱咨詢顧問）和關鍵用戶。項目組根據ERP項目可行性研究報告和批復進行業務流程設計，并經關鍵用戶、業務部門負責人簽字確認。對于功能增強/表單/報表/系統接口等客戶化開發，由業務部門提出需求，并編制開發需求功能說明書，其中需描述訪問權限要求。項目組根據功能說明書編制客戶化開發清單，提交相

13、關部門負責人簽字確認。開發人員根據開發需求功能說明書在開發環境中完成開發工作，將開發結果提交業務人員進行測試，并經業務人員及部門負責人簽字確認。咨詢顧問依據簽字確認的業務流程設計進行系統配置，并編寫配置文檔；關鍵用戶對配置文檔進行審核并簽字確認。系統配置測試管理系統配置完成后，由咨詢顧問和關鍵用戶在測試系統進行集成測試，記錄測試過程，并對集成測試記錄簽字確認。集成測試完成后，由最終用戶在測試系統進行用戶接受測試，記錄測試過程，并對接受測試記錄簽字確認。開發測試環境和傳輸管理客戶化開發、系統配置、系統變更工作遵循“開發系統至測試系統、測試系統至生產系統”的技術架構完成，并按照傳輸管理規范進行傳輸

14、。測試系統和生產系統上生成的傳輸請求需經信息系統管理部相關處室負責人審批，并報總部ERP支持中心備案。用戶操作手冊編制和培訓咨詢顧問及關鍵用戶按照流程設計和系統配置編寫并及時更新用戶操作手冊。信息管理部門組織培訓及考核，業務人員經考核合格后方可上崗。數據轉換管理業務部門組織人員按照數據收集模板收集和整理相關業務數據，并進行盤點；相關部門負責人須審核收集的數據，并在“數據簽字清單”上簽字確認。業務人員對導入/補錄入系統的數據進行核對，核對結果需經部門負責人簽字確認。系統切換和月結差異分析咨詢顧問制定系統切換方案，需經項目組負責人簽字確認。項目組根據“ERP系統上線申請標準”編制上線申請報告，并提

15、交總部ERP項目管理組審核。相關部門對系統并行期間月結差異進行分析，編制差異分析報告，并提交總部ERP項目管理組審核批復。4.系統運行總部各部門、分（子）公司依據信息系統應用管理辦法，制定系統運行管理制度,主要包括系統監控機制、數據導入管理、后臺作業管理、數據備份與災難恢復策略、支持體系、應急預案等內容。批導入數據管理外部數據導入前，業務部門負責人需對外部數據審核簽字，業務人員對數據格式進行檢查；保留導入的外部數據以備復查（財務數據保留至年結后，業務數據保留至月結后）。對周期性導入的外部數據的數據模板，需經相關部門負責人審核簽字，業務人員在數據導入系統前需對數據的格式進行檢查。后臺作業管理信息管理部門會同相關部門制定后臺作業批處理計劃，相關責任人簽字確認，由應用管理員執行后臺作業批處理。應用管理員每天監控后臺作業的運行情況，批處理運行結束后應檢查運行日志，對出現的問題及時處理并記錄備案。數據備份管理系統管理員詳細記錄備份硬件的配置參數，每天監控備份硬件的運行情況并進行日志記錄。應用管理員每日檢查系統數據備份日志，確認每日數據備份是否成功，并記錄備份異常情況；至少每季度進行一次數據全備份。 系統管理員對數據備份介質每季度進行一次可讀性測試并記錄，每年至少進行一次恢復性測試并記錄。 系統管理員對備份設備中的備份介質至少每四年更換一次，并記錄備份介質更換情況。ERP支持中心