041_強(qiáng)化政府內(nèi)部控制實(shí)作篇ppt

1、強(qiáng)化政府內(nèi)部控制實(shí)作篇,行政院內(nèi)部控制推動(dòng)及督導(dǎo)小組幕僚單位,更新日期： 100.8.31,教材範(fàn)例,1,1,報(bào)告大綱,前言內(nèi)部控制制度設(shè)計(jì)範(fàn)例簡(jiǎn)介結(jié)語,1,2,2,前 言,2,緣起,健全內(nèi)部控制實(shí)施方案(100年2月1日)研訂內(nèi)部控制制度共通性作業(yè)範(fàn)例之權(quán)責(zé)機(jī)關(guān)內(nèi)部控制制度共通性作業(yè)範(fàn)例製作原則(100年4月19日)內(nèi)部控制制度自行檢查表格式內(nèi)部控制制度設(shè)計(jì)原則(100年7月4日)主要內(nèi)容及設(shè)計(jì)步驟附件-政

2、府內(nèi)部控制觀念架構(gòu)內(nèi)部控制制度設(shè)計(jì)範(fàn)例(100年7月4日)「XX機(jī)關(guān)內(nèi)部控制制度範(fàn)例」,3,3,,設(shè)計(jì)步驟,4,範(fàn)例設(shè)計(jì)步驟說明,內(nèi)部控制制度設(shè)計(jì)範(fàn)例內(nèi)容,,,5,6,6,內(nèi)部控制制度設(shè)計(jì)範(fàn)例,6,內(nèi)部控制制度設(shè)計(jì)範(fàn)例,依據(jù)內(nèi)部控制制度設(shè)計(jì)原則「四、設(shè)計(jì)步驟」，以XX機(jī)關(guān)為例，說明設(shè)計(jì)內(nèi)部控制制度之步驟,7,XX機(jī)關(guān)內(nèi)部控制制度中華民國(guó)XXX年XX月XX日核定(核定日期)中華民國(guó)XXX年XX月XX日修訂(最新修訂

3、日期),目 次壹、整體層級(jí)目標(biāo)及機(jī)關(guān)組織職掌貳、作業(yè)層級(jí)目標(biāo)及機(jī)關(guān)組織圖參、機(jī)關(guān)分層負(fù)責(zé)明細(xì)表肆、風(fēng)險(xiǎn)評(píng)估一、風(fēng)險(xiǎn)辨識(shí)二、風(fēng)險(xiǎn)分析三、風(fēng)險(xiǎn)評(píng)量伍、控制作業(yè)陸、監(jiān)督柒、自行檢查之表件格式附件,設(shè)計(jì)步驟,8,目標(biāo),9,年度計(jì)畫與目標(biāo),http://www.rdec.gov.tw/sp.asp?xdurl=plan40.htm&ctNode=12992&mp=100,10,確認(rèn)目標(biāo)-整體層級(jí)目標(biāo),11,

4、確認(rèn)目標(biāo)-機(jī)關(guān)組織職掌,12,組織法、組織條例、組織通則、組織規(guī)程…,確認(rèn)目標(biāo)-作業(yè)層級(jí)目標(biāo),遵循機(jī)關(guān)整體層級(jí)目標(biāo)，並參考業(yè)務(wù)職掌，據(jù)以辨識(shí)相連結(jié)之作業(yè)層級(jí)目標(biāo)本機(jī)關(guān)各業(yè)務(wù)項(xiàng)目之作業(yè)層級(jí)目標(biāo)完成政府機(jī)關(guān)電腦效率查核促進(jìn)政府共通性軟體之發(fā)展落實(shí)公務(wù)人員資訊訓(xùn)練計(jì)畫強(qiáng)化資訊安全管理防護(hù)能量(業(yè)務(wù)組D) (…餘略),13,確認(rèn)目標(biāo)-機(jī)關(guān)組織圖,,14,,確認(rèn)目標(biāo)-機(jī)關(guān)分層負(fù)責(zé)明細(xì)表,註:得以註明出處或建立來源連結(jié)之方式辦理,15,

5、設(shè)計(jì)步驟,16,17,目標(biāo)與風(fēng)險(xiǎn),風(fēng)險(xiǎn)評(píng)估,風(fēng)險(xiǎn)係指面對(duì)一些事件的發(fā)生，可能會(huì)影響機(jī)關(guān)目標(biāo)的達(dá)成機(jī)關(guān)任何業(yè)務(wù)之推展都可能面臨風(fēng)險(xiǎn)，因此要強(qiáng)化內(nèi)部控制之前提即是要做好風(fēng)險(xiǎn)評(píng)估，以辨識(shí)無法達(dá)成目標(biāo)之內(nèi)、外在風(fēng)險(xiǎn)因素繼而分析風(fēng)險(xiǎn)的影響程度及發(fā)生之可能性，考量風(fēng)險(xiǎn)評(píng)估的結(jié)果及風(fēng)險(xiǎn)容忍度，據(jù)以擇定應(yīng)進(jìn)行風(fēng)險(xiǎn)處理之業(yè)務(wù)項(xiàng)目風(fēng)險(xiǎn)評(píng)估程序得參考「行政院所屬各機(jī)關(guān)風(fēng)險(xiǎn)管理及危機(jī)處理作業(yè)基準(zhǔn)」及「風(fēng)險(xiǎn)管理及危機(jī)處理作業(yè)手冊(cè)」辦理因應(yīng)機(jī)關(guān)特性有適宜之

6、風(fēng)險(xiǎn)評(píng)估方法，亦可逕行採(cǎi)用,18,19,資料來源：風(fēng)險(xiǎn)管理及危機(jī)處理作業(yè)手冊(cè)(98年1月),風(fēng)險(xiǎn)管理架構(gòu),風(fēng)險(xiǎn)辨識(shí),20,風(fēng)險(xiǎn)分析,目的：藉由判定影響、發(fā)生機(jī)率及風(fēng)險(xiǎn)屬性以分析風(fēng)險(xiǎn)參考「風(fēng)險(xiǎn)管理及危機(jī)處理作業(yè)手冊(cè)」附錄二之風(fēng)險(xiǎn)評(píng)估工具考量機(jī)關(guān)業(yè)務(wù)特性，訂定適用於本機(jī)關(guān)用以衡量風(fēng)險(xiǎn)影響程度及發(fā)生機(jī)率之標(biāo)準(zhǔn)風(fēng)險(xiǎn)=影響x機(jī)率,21,註：各機(jī)關(guān)應(yīng)依業(yè)務(wù)特性，自行訂定妥適之影響及機(jī)率等級(jí)評(píng)量標(biāo)準(zhǔn)。,影響及機(jī)率之?dāng)⑹龇诸惐?22,影響之?dāng)⑹龇?/p>

7、類表,機(jī)率之?dāng)⑹龇诸惐?定性,定量,註：各機(jī)關(guān)應(yīng)依業(yè)務(wù)特性，自行擇用妥適的風(fēng)險(xiǎn)評(píng)量標(biāo)準(zhǔn),風(fēng)險(xiǎn)評(píng)量,23,目的：依據(jù)風(fēng)險(xiǎn)分析結(jié)果以判定需優(yōu)先執(zhí)行的風(fēng)險(xiǎn)經(jīng)過風(fēng)險(xiǎn)分析，考量本機(jī)關(guān)人力、資源、組織環(huán)境等因素風(fēng)險(xiǎn)容忍範(fàn)圍：,,影響程度：「輕微(1)」發(fā)生機(jī)率：「幾乎不可能(1)」或「可能(2)」,影響程度：「輕微(1)」或「嚴(yán)重(2)」發(fā)生機(jī)率：「幾乎不可能(1)」,超出此範(fàn)圍之風(fēng)險(xiǎn)項(xiàng)目，皆優(yōu)先納入風(fēng)險(xiǎn)處理註：各機(jī)關(guān)應(yīng)自行評(píng)估風(fēng)險(xiǎn)容忍

8、範(fàn)圍並適時(shí)檢討,,風(fēng)險(xiǎn)分布,24,發(fā)生機(jī)率,,風(fēng)險(xiǎn)評(píng)估結(jié)果,25,經(jīng)風(fēng)險(xiǎn)評(píng)估後，主要風(fēng)險(xiǎn)項(xiàng)目其發(fā)生機(jī)率等級(jí)為1，影響程度等級(jí)為3，屬高度風(fēng)險(xiǎn)(如黃色區(qū)域)，超出可容忍之風(fēng)險(xiǎn)範(fàn)圍，應(yīng)即進(jìn)行風(fēng)險(xiǎn)處理，以降低風(fēng)險(xiǎn),註：各機(jī)關(guān)應(yīng)依業(yè)務(wù)特性，自行擇用妥適的風(fēng)險(xiǎn)評(píng)量標(biāo)準(zhǔn)，並依風(fēng)險(xiǎn)容忍度，選定低度、中度、高度及極度危險(xiǎn)風(fēng)險(xiǎn)之範(fàn)圍，以利各機(jī)關(guān)適性、彈性地決定風(fēng)險(xiǎn)等級(jí)。,設(shè)計(jì)步驟,26,選定業(yè)務(wù)項(xiàng)目,,業(yè)務(wù)項(xiàng)目,作業(yè)類別,作業(yè)項(xiàng)目,依據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，發(fā)現(xiàn)

9、主要風(fēng)險(xiǎn)項(xiàng)目「網(wǎng)頁(yè)檔案遭病毒感染未落實(shí)通報(bào)」，係屬於本機(jī)關(guān)資訊安全管理業(yè)務(wù)之事件管理類別,註：其他業(yè)務(wù)項(xiàng)目視機(jī)關(guān)業(yè)務(wù)職掌，並依重要性、風(fēng)險(xiǎn)性原則選定,27,設(shè)計(jì)步驟,28,設(shè)計(jì)控制作業(yè),29,根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，應(yīng)就超過風(fēng)險(xiǎn)容忍度之主要風(fēng)險(xiǎn)項(xiàng)目，找出對(duì)應(yīng)之相關(guān)業(yè)務(wù)項(xiàng)目，其中有關(guān)共通性業(yè)務(wù)，可參採(cǎi)各權(quán)責(zé)機(jī)關(guān)所定之共通性作業(yè)範(fàn)例。控制作業(yè)，係為確保各項(xiàng)業(yè)務(wù)活動(dòng)皆已有效運(yùn)作，相關(guān)控制重點(diǎn)已併入各項(xiàng)業(yè)務(wù)活動(dòng)之作業(yè)流程中設(shè)計(jì)。各機(jī)關(guān)應(yīng)針對(duì)選定業(yè)

10、務(wù)項(xiàng)目之重要環(huán)節(jié)，設(shè)計(jì)相關(guān)之控制重點(diǎn)，如文件是否經(jīng)適當(dāng)核準(zhǔn)，事件是否經(jīng)妥善記錄，物品是否定期盤點(diǎn)，狀況是否適時(shí)通報(bào)，預(yù)算或績(jī)效是否進(jìn)行分析比較、職能是否明確劃分等。,控制作業(yè)得併入各項(xiàng)作業(yè)流程中設(shè)計(jì)，並納為內(nèi)部控制制度之附件,控制重點(diǎn),30,預(yù)防性控制(前)藉由「事前」的控制，形成一道屏障來防止特別交易的不當(dāng)進(jìn)行或阻止錯(cuò)誤的發(fā)生。例如：承保前之風(fēng)險(xiǎn)評(píng)估、對(duì)銷貨客戶之徵信、使用經(jīng)核準(zhǔn)之供應(yīng)商名單偵查性控制(中)利用某些程序來偵測(cè)已

11、發(fā)生之錯(cuò)誤或不當(dāng)交易。例如：編製銀行調(diào)節(jié)表、存貨盤點(diǎn)、與銷貨客戶之定期對(duì)帳矯正性控制(後)用來矯正偵查性控制所發(fā)現(xiàn)之問題或矯正交易之控制。例如：透過電腦對(duì)採(cǎi)購(gòu)單之檢核可以偵測(cè)到未經(jīng)核準(zhǔn)之供應(yīng)商號(hào)碼，進(jìn)而追蹤其原因及時(shí)修正交易資料或防止向不適當(dāng)供應(yīng)商之採(cǎi)購(gòu)補(bǔ)償性控制用來補(bǔ)償其他控制之不足，使得某些控制弱點(diǎn)不成為問題。例如：未有足夠之人力執(zhí)行職能分工時(shí)，可透過由客戶或管理階層親自監(jiān)督來彌補(bǔ)此一控制弱點(diǎn)。指示性控制由管理階層指示一

12、些行動(dòng)，以便達(dá)成某種結(jié)果，產(chǎn)生正面性之結(jié)果，相對(duì)於預(yù)防性、偵查性及矯正性控制重在防止、偵測(cè)及更正負(fù)面結(jié)果。,控制方式說明,安裝防毒軟體,定期掃毒,隔離或刪病毒,採(cǎi)用線上掃毒(VirusTotal),http://www.virustotal.com,31,設(shè)計(jì)步驟,32,建立檢查機(jī)制,33,目的：評(píng)估內(nèi)部控制制度設(shè)計(jì)及執(zhí)行之有效性,每年至少自行檢查一次，遇有特殊情形，得隨時(shí)辦理作成紀(jì)錄建檔備供主管機(jī)關(guān)訪查及督導(dǎo),建立檢查機(jī)制,本機(jī)關(guān)

13、為強(qiáng)化資訊安全，目前已導(dǎo)入ISO 27001之資訊安全管理制度(ISMS)，建立資訊安全之檢查機(jī)制有：例行監(jiān)督：由內(nèi)部各單位主管例行督導(dǎo)各項(xiàng)資安業(yè)務(wù)。自行檢查：每年由內(nèi)部各單位自行檢查一次內(nèi)部控制制度設(shè)計(jì)及執(zhí)行之有效性?；嗽u(píng)估：由政風(fēng)單位進(jìn)行內(nèi)部資訊安全查核。外部稽核：每年請(qǐng)外部驗(yàn)證機(jī)構(gòu)至本機(jī)關(guān)進(jìn)行資安稽核。,34,整體層級(jí)自行檢查表,如檢查重點(diǎn)有不適用情形者，應(yīng)於此欄位中敘明,35,,,作業(yè)層級(jí)自行檢查表,36,如檢查重點(diǎn)有

14、不適用情形者，應(yīng)於此欄位中敘明,附件 (作業(yè)流程),37,本機(jī)關(guān)之作業(yè)流程包含內(nèi)部各單位之業(yè)務(wù)，所設(shè)計(jì)之控制作業(yè)皆併入作業(yè)流程中設(shè)計(jì)，列舉如下：一、共通性業(yè)務(wù)(一)出納業(yè)務(wù)(二)財(cái)產(chǎn)管理業(yè)務(wù)(三)政風(fēng)業(yè)務(wù)(四)…二、個(gè)別性業(yè)務(wù)(一)資訊安全管理業(yè)務(wù) 1. 資訊安全事故管理作業(yè)類別 (1)資訊安全事件通報(bào)作業(yè)項(xiàng)目(…餘略),XX機(jī)關(guān)資訊安全事件通報(bào)作業(yè)程序說明表,38,第1碼：延續(xù)共通性