信息安全需讲求收支平衡收支平衡

1软件开发企业如果是增值税一般纳税人，税负超3%的部分享受即征即退。双软企业所得税免二减三，属高新企业所得税税率按15%计征。纳税人受托开发软件产品，著作权属于受托方的征收增值税，著作权属于委托方或属于双方共同拥有的不征收增值税（即征营业税）。

2软件企业认定标准：自行开发，从事软件开发的人员占企业员工的总数必须在50%以上，开发经费占年软件收入8%以上，年软件销售收入占总收入的35%以上，其中自产软件收入占软件收入的50%以上，达不到标准不能认定为软件企业。

3高新技术企业认定标准：具有大专以上学历的科技人员占企业职工总数的30%以上，其中从事高新技术产品研究开发的科技人员应占企业职工总数的10%以上。从事高新技术产品生产或服务为主的劳动密集型高新技术企业，具有大专以上学历的科技人员应占企业职工总数的20%以上。研究开发的经费应占本企业当年总销售额的5%以上。高新企业技术性收入与高新技术产品销售收入的总和应占本企业当年总收入的60%以上4办理即征即退，相关资料要齐全，数据要准确，这里不再赘述。

账务处理：

1缴纳上月流转税借:应交税金-未交增值税-应交城建税-其他应交款——应交教育费附加贷：银行存款

2收到退还的增值税

借：银行存款贷：补贴收入结转：借：补贴收入贷：本年利润

3销售软件借：银行存款贷：产品销售收入——软件产品应交税金——应交增值税(销项税额)

4软件培训收入借：现金/银行存款贷：主营业务收入-培训收入

5外购原材料借：原材料——

应交税金——应交增值税(进项税额）贷：银行存款

6发生费用借：管理费用销售费用经营费用贷：现金/银行存款

7发放工资借：应付职工薪酬贷：银行存款7月末借：应交税金——应交增值税(转出未交增值税)贷：应交税金——未交增值税借：产品销售税金及附加贷：应交税金——应交城建税其他应交款——应交教育费附加借：其他业务支出贷：应交税金——应交营业税

——应交城建税

其他应交款——应交教育费附加

：

IT行业会计如何做账？

2引进配置和能力管理流程如果没有配置和能力管理流程的正常运作，你可能会随意决定IT预算。配置管理主要针对IT领域的几个组成部分（如应用、网络、服务器等）及其怎样相互作用方面。能力管理则是规划IT容量。来自这两个流程的报告，对于评价企业目前的状况（现有IT资产）及将来的发展方向（投资和预算）是至关重要的。

3从服务而不是功能角度来考虑应该根据正在提供的IT服务（如电子邮件，人力资源系统，远程获取服务），来确定企业的预算要求和核算体系。以往，预算常常根据功能部分（如DBAS，Unix系统，维护框架）的需求来设置。对IT服务预算和成本的理解越深刻，企业就越容易判断这些服务需求的类别及紧迫性。当评估外包模式时，这种方法也有助于合理地进行对比。

4关注一些方法和广泛搜集基准信息针对IT部门提供的各种复杂的季度数据报告或每月数据报告，只有技术专家才能明白这些晦涩难懂的报告的深刻含义。企业应设法掌握这些报告，并从商业管理的角度分析它们。企业向IT部门提交需求报告时，主要关注那些相对于已经制订的目标（如项目投资的预期回报）来说，具有明确定义和可以获得进展的需求。

查阅有关行业分析报告或内部资源状况，以提供一些关于行业、周期或能评估企业财务管理流程的辅助机构等基准信息。要找出外包服务价格。通过比较外包服务价格和自身成本预算，这对管理IT部门也具有很大的帮助。这种方法可以识别出IT支出的真实驱动因素，发现节约成本的机会，使预算变化易于理解和控制，有助于实现服务计费。ABM的实施，使得企业对IT服务在公司利润影响的理解更加深刻。从某种程度上说，它的另一个好处就是能很好地切合了平衡记分卡或类似的方法。6使IT部门掌握一些财务知识培训员工是提高IT部门的财务管理知识的一个方法。另一个方法就是把会计人员合理地转移到IT部门。让双方相互交往，彼此学习和欣赏，并从中受益。

对于一个大型的IT软件项目，由于项目的复杂性及IT项目的独特性，开发成本的估算不是一件容易的事情，它需要进行一系列的估算处理，因此，主要依靠分析和类比推理的手段进行，最基本的估算方法有以下几种：

● 成本建模技术

根据项目特征，用数学模型来预测项目的成本。一般采用历史成本信息(这些信息与项目成本的一些软件度量标准相关)来建立估算模型，并通过这个模型预测工作量和成本。

● 专家判定技术

也称为Delphi法，聘请一个或多个领域专家和软件开发技术人员，由他们分别对项目成本进行估计，并最后达成一致而获得最终的成本。

● 类比评估技术

根据以前类似项目的实际成本作为当前项目的估算依据。

● Parkson法则

Parkson法则表示工作能够由需要的时间来反映。在软件成本估计中，这意味着成本是由可获得的资源而不是由目标评价决定的。如果一个软件需要在12个月内由5个人来完成，那么工作量就是12 X 5 = 60个人月(PM)。

● 自上向下估算法

成本的估算，主要依据工作分解结构、产品的功能以及实现该功能的子功能组成形式逐层分配成本。

● 自下而上估算法

首先估计每个组成单元的成本，然后根据工作分解结构，通过累加方式得到最终的成本估计。

● 赢利定价法

软件的成本通过估计用户愿意在该项目上的投资来计算，成本的预算依靠客户的预算而不是软件的功能。

上面这些估算法都有它们的优势和不足，不能简单评价某种方法和好坏。在一个大型的IT项目中，通常要同时采用几种估算方法并且比较它们估算的结果，如果采用不同方法估算的结果大相径庭，就说明没有收集到足够的成本信息，应该继续设法获取更多的成本信息，重新进行成本估算，直到几种方法估算的结果基本一致为止。

成本预算是在确定总体成本后的分解过程。分解主要是作两个方面的工作：一是按工作分解结构和工作任务(工作包)分摊成本，这样可以对照检查每项工作的成本，出现偏差时可以确定是哪项工作出了问题；二是按工期时段分摊成本，将预算成本分摊到项目工期的各个时段，这样，可以确定在未来某个时段累计应该花费的成本，并检查偏差，评价成本绩效。

目前最常用且最好用的度量方法主要用3种：面向规模(LOC)、面向功能点(FP)及COCOMO模型的度量方法。

技术的发展和变革在给商业带来活力的同时，也使得企业面临的业务风险越来越大。商业环境变幻莫测，企业进行信息风险管理的方式能否跟得上业务变化的速度？随着科技不断创新，企业如何有效保护信息安全？就这些热点问题，近日，本报总编辑孙定与EMC公司执行副总裁、EMC信息安全事业部RSA全球总裁亚瑟•科维洛（Arthur W Coviello）进行了深入探讨。

信息安全支出

不能亡羊补牢

高昂的信息安全支出总是亡羊补牢，因为他们不是整体地看待风险。安全支出越来越多，但安全性也越来越差，企业需要把握安全支出增长和有效安全的平衡。

孙定: 随着信息技术和互联网技术的发展，企业面临的安全威胁也越来越多。在这样的背景下，企业的信息保护是不是一种“道高一尺，魔高一丈”的现状？

亚瑟•科维洛: 确实，信息威胁是无处不在的。当前，IT环境越来越开放、互联性越来越强、基于服务的架构层出不穷，正是由于开放性和互联性的越来越强，企业的灵活性和生产率得到了极大的提高。

而且就整体而言，企业对信息安全的支出是不断增加的。IDC数据表明，2001年的企业整体IT支出中，安全方面的支出占15%，达到了150亿美元; 2006年这一数字变成了3%，为350亿美元; 2009年预计将达到5%，为550亿美元。

但是技术所带来的开放性在给我们带来方便的同时，也为犯罪分子带来了可乘之机，企业所受到的安全威胁也越来越大。2001年，安全投入只占IT投入15%的时候，当时还没有什么网上欺诈手段; 2003年和2004年，网上欺诈和钓鱼事件越来越多; 2005年～2007年，还出现了很多恶意软件。现在，每一天都有极其复杂的木马病毒被研发出来，犯罪的技巧越来越复杂，而且是以技术和欺诈手段相结合的形式。我认为2009年，木马病毒可能会更复杂，并以组合形式进行网上欺诈。

所以，有多少商界的***认为跟2001年相比，信息是更安全了？答案是零。高昂的信息安全支出总是亡羊补牢，因为他们不是整体地看待风险。安全支出越来越大，但是安全性也越来越差，我们需要把握支出增长和有效安全的平衡。

孙定: 问题确实很复杂。现在中国用户普遍存在一个情况，IT投资越来越大，但是IT投资的成效并不能以提高多少生产率、减少多少人工成本计算，项目很难获得投资回报比的数据。由于安全投资效益不是很明显，因此不容易获得CEO的重视。RSA有没有这样的案例，比如增加安全方面的投资以后，平均能减少百分之多少的损失？投资安全效果怎么评估？

亚瑟•科维洛: 我从两个方面回答您这个问题。第一，RSA有一个专门的防网络欺诈服务; 第二，在网络银行方面，RSA有身份认证套件产品。比如说现在网络银行出现了这么高的欺诈率，但通过部署我们的反钓鱼软件和反木马技术（包括身份认证技术、交易监控产品等）以后，用户就能知道欺诈率下降了多少。

至于防数据丢失这一块，可能计算投资回报或者精确的回报率稍微困难一点。不过我举一个例子稍微说明一下，假设你是一个房地产开发商，建一个特别大的宾馆，你建的宾馆肯定不能没有空调或者通风系统吧？而且你不会计算空调等系统的投资回报，因为像这样的投资虽然不能直接算出来投资回报，却没法抛弃，它是一个支撑系统。

孙定: 既然如此，企业在构筑自己的安全体系的时候，必须遵循哪些原则来进行？如何才能确保自己的安全措施切实有用？

亚瑟•科维洛: 我觉得对企业来说，第一步要找到最有价值的信息，然后再来研究更好地保护这些信息。

我很重视平衡。现在，一方面安全支出越来越多，另一方面企业受到的安全威胁和损失却越来越大。必须在这两者之间取得一个平衡。为什么支出这么多却没有达到满意的效果呢？一个是攻击越来越复杂，第二是钱没有花在关键的风险上，也就是没有花到最关键的需要保护的这些信息上。

因此，IT安全支出一定要紧紧围绕着最核心的风险，要先定义清楚业务风险在哪里，再进行IT安全支出。只有通过这个方式，才能真正全方位地提供安全解决方案，而且才能真正有效地防止损失。

金融危机源于风险管理缺失

金融风暴之所以会发生，关键在于企业对金融创新没有施加适度的风险管理。如果我们有一个适当的业务风险管理方案，再加上自动化的IT管理策略，两者相结合，就有可能给企业提出预警，帮助企业控制风险。

孙定: 中国目前有等级保护的政府政策，也试图帮助用户识别出关键风险，按照关键数据重要性的不同给予不同的保护措施，但是这很难 *** 作，什么样的数据算重要？数据丢失了会有什么风险？ RSA是不是有专业的咨询服务来帮助用户评估风险，确定什么样的数据资产是核心资产？

亚瑟•科维洛: 在美国也有类似的法规，比如说美国有非常严格的萨班斯方案，它规定财务信息是必须严格保护的重要信息。RSA提供的产品，就能自动化地帮助企业进行分析，告诉企业决策者什么是经营类财务信息，如何去满足政府信息保护政策中对关键信息的定义。中国政府制订的等级保护的政策，和美国的情况非常类似，我们的产品也能满足中国企业用户的需要。

孙定: 现在全球都陷入了金融危机的泥淖之中，在这个大环境下，许多企业都削减了自己的IT预算，甚至部分企业不得不停止了创新的步伐。在信息风险管理领域，企业安全投入会不会也出现相应削减？

亚瑟•科维洛: 其实，金融风暴之所以会发生，关键在于企业对金融创新没有施加适度的风险管理。这个风险指的是整个业务的风险。由于金融衍生产品的创新过于复杂，从而偏离了传统产品的商业价值。如果我们有一个适当的业务风险管理方案，再加上自动化的IT管理策略，两者相结合，就有可能给企业提出预警，帮助企业控制风险。在过去10年里我们所取得的生产力上的提高，正是由业务的创新和承担适当的风险所实现的。我所担心的是，这场金融危机可能会引发企业对业务创新采取消极的态度，使得企业越来越不愿意创新，这就会使我们面临的经济问题雪上加霜。

孙定: 那么，目前的金融危机对RSA 2009年的业务会不会造成影响。RSA是否下调了2009年的业务预期？

亚瑟•科维洛: EMC是我们的母公司，目前RSA和EMC并没有对2009年的预期做出什么改变。当然，现在有许多的数据表明，2009年的IT支出会整体下降，安全方面的支出当然也会有所下降。但是由于安全支出在IT支出中占着非常重要的位置，所以我觉得我们受的影响比较小。我们所赢得的业务主要是创新型的服务，比如我们能够帮助各大银行提升网银业务安全性、降低交易成本，从而帮助银行增强应对金融危机的信心。

此外，RSA有25%～30%的业务来自于金融行业公司客户。我相信这些金融公司经过这场危机后，会更加重视安全的投入，而不再像过去那样，把大量资金投入到构建内部的架构和流程上。

布局中国市场

监管机构应该更多地关注实现的目标和成果，而不是提出一个非常详细的、像处方似的监管方式，从而使得工作流程更复杂。

孙定: 在你看来，中国在这场金融危机中受到的冲击有多大？RSA在中国的业务是否也因金融危机有所调整？

亚瑟•科维洛: 我首先要祝贺中国的监管机构采取了很好的监管措施。不过在我看来，监管机构应该更多地关注实现的目标和成果，而不是提出一个非常详细的、像处方似的监管方式，使得工作流程更复杂。无论是中国还是其他国家，业务管理都应该与合理的政府监管相结合，在金融创新过程中受益。我们必须把金融创新和它所实现的价值联系在一起，而不能过度偏离。

现在，RSA在中国业务发展得非常快，我们目前要做的主要是维持现在的发展速度。我此次来中国，就是想了解更多的客户需求，从而为他们提供更好的解决方案。其实，整个亚洲经济发展得很迅猛，我们未来会增加在亚洲地区的投入。

孙定: 2008年对中国是很不平凡的一年。中国在经历了四川地震和北京奥运会之后，提出了社会服务型的信息化建设目标。那么，RSA的信息安全技术将如何应用于中国社会新形势下的信息建设之中？

亚瑟•科维洛: 在美国和欧洲几个国家，RSA技术被用来服务于大众，也就是保护消费者的信息。我们的产品也帮助这些国家促进大众与政府之间的网上互动，让大众更多地使用网上政务所提供的各种各样的服务。这些经验能给中国一些借鉴。只要我们有一个合适的验证体系和一系列的信息安全技术，我们就能帮助中国―无论是当地政府还是中央政府―在提供政务服务时都会有一个很强的信息管理系统，我们的数字保护技术也可以帮助政府监控信息的流动。

孙定: 电信行业是信息风险管理技术服务的一个重要市场。2008年，中国启动了电信重组，三大运营商形成了全业务竞争的格局。RSA的产品对运营商之间的差异化竞争能提供什么样的帮助？

亚瑟•科维洛: 电信行业是一个特殊的行业。一方面，RSA能够帮助电信行业构建内部的信息安全架构，比如提供我们的身份认证产品、数据存储的全线管理等。电信行业公司业务交易量非常大，我们的信息安全管理器能够自动帮助他们分析登录的信息，这对电信公司是非常有价值的。此外，电信行业业务也在不断创新，除了提供数据、话费的业务，也能帮助用户通过电信的渠道购买机票，或者进行娱乐活动的订票等。这些都牵扯到xyk交易，甚至会引发网上欺诈和盗窃，这就要求电信公司的内部信息基础架构能够满足这些新型业务的要求，RSA的产品就能在身份认证、数据丢失保护方面提供很好的管理。

另一方面，电信公司也能成为RSA的合作伙伴。因为现在电话不再是简单的沟通工具了，而更多地会发展成为一个掌上电脑，我们也能帮助电话成为身份验证的工具。我们可以借助电信的基础架构，通过电信的渠道对网银交易进行身份认证，从而能够帮助我们实施信息安全管理。

采访手记

学者型CEO

仅仅在2008年，亚瑟•科维洛就来了两次中国。第一次是在年初、春节之前，他来到紫禁城。那时候，他说: 紫禁城作为中国古代皇宫，是安全的象征。高高的宫墙是皇帝和宫廷财产安全的保障，正像信息安全界曾经的“边界安全”; 第二次是在年底，他登上了长城。这一次，他说，长城在中国的古代曾经是防御的象征，也是“边界安全”的真实写照，传统的边界安全已经无法实现对流动信息的全方位的、有效的信息防护。

在我看来，这位CEO的思维缜密、高瞻远瞩。他是少有的在接受采访中，很少谈及自己公司业务的总裁之一; 他喜欢用大量的比喻和数据，让你心悦诚服地接受他的观点; 如果你不知道他的身份，只是听过他的演讲，你可能更会把他当成一个任职高校的学者。

不过现实上，亚瑟•科维洛却又是一个出色的管理者。从1995年加入RSA信息安全公司之后，他将RSA公司的收入从1995年的2500万美元提升到2007年的5亿美元。RSA的优秀，使得在2006年，EMC以21亿美元的价格将它收入囊中。对RSA公司的收购价格，远远超过了以往EMC购买的任何一家安全公司。而他，也成为EMC的执行副总裁。

现在，两家公司的整合已经完成，不过在亚瑟•科维洛的眼里，安全的形势却越来越严峻了。他现在考虑的，是如何使得企业的安全体系更好地为业务创新服务，如何掌握风险和管理之间的平衡。（文/黄智军）

总裁 寄语

创新是摆脱金融危机的惟一出路

无论是大规模的行业，还是其他各行各业，都必须学会掌握风险与管理之间的平衡关系，否则就不得不面临两个严重的后果:

第一个严重的后果就是不能良好地管理风险，从而给企业的收入和经营结果带来影响。过去几个月的金融风暴中，我们已经显而易见地看到了这一点; 第二个严重后果是，企业将会越来越不愿意进行业务创新和拓展业务发展，这主要是害怕遭遇失败、或者是过于严厉的监管环境所致。其实，摆脱现有的金融危机的惟一出路就是创新，各国经济学家都认为，新的产品、服务和开展业务的新方式是我们能够恢复经济繁荣的最佳渠道。而如果创新是未来开展业务的最佳渠道，我们就必须要改变对待风险的理念。

具体到如何构建安全体系，我认为，安全问题应该从整体架构角度考虑，要从整体IT投入的回报来计算它的回报。举一个例子: 假设你是一个汽车制造厂商，你会不会在汽车还没有装载刹车系统时让它出厂呢？会让客户到处撞车再去装刹车吗？你当然不会这么做。刹车的目的是什么，是让车速变慢，甚至让车停下来，但正是因为有了刹车，你才有信心把车开得很快。这就好比企业业务创新，必须要有良好的IT架构，才能更好地创新。正是有了安全方面的投资，企业才能有更多的信心去承担一些风险。

如何编制合理的IT预算:公司编制IT预算时应注意以下几点:

● 总费用负责人要辨别IT费用关系，正确决定哪些支出要准确计入IT预算中，哪些要计入业务部门的业务预算。

● 所有支出的活动和任务必须由执行者对费用负全责，执行权有时分给CIO和业务部门，也可以由第三方负责执行，无论哪种情况执行者都必须对费用支出负全责。

● IT预算编制不是走走形式而已。如果IT预算是自上而下编制的，公司必须判断以目前服务标准保持目前IT项目是否可行，以及减少项目或降低服务标准维持平衡是否可行;如果预算是自下而上编制的，应征求各部门意见，考虑采取措施提高服务标准或维持目前服务标准。。

在测试项目管理中或编写测试计划时，经常需要对某个测试工作进行工作量的预算，很多时候都是凭个人的工作经验进行估算的，如能结合一些常规的估算方法，有助于估算的精确度。北京IT培训建议是网上找到的一些常规的估算测试工作量的方法：

1、Ad-hoc方法

这种方法下的测试工作量不基于任何确定的期限。工作一直继续直到达到一些由管理或市场人员预先定下的时间表。或者，一直到用完了预算的经费。

这种情况普遍存在于非常不成熟的组织，并且时常有100%的错误差数。

2、开发时间的百分比法Percentageofdevelopmenttime。

这个方法的基本前提是测试工作量依赖于开发时间/开发工作量。首先，开发工作量使用例如LOC或FP方法被估算出来，然后使用一些探索性的方法来限制测试的工作量。这种方法变化比较大而且通常基于以前的经验。

通常预留项目的总花费时间的35%给测试。5-7%给组件和集成测试18-20%给系统测试10%给接收测试(或回归测试等)

3、类比法(经验值法或历史数据法)

根据以前或相似项目(主要在项目性质，领域，规模上有相似)所积累的经验或历史数据来估算工作量。类比法估计结果的精确度取决于历史项目数据的完整性和准确度，因此，用好类比法的前提条件之一是组织建立起较好的项目后评价与分析机制，对历史项目的数据分析是可信赖的。需要收集以下相关的历史数据：在设计和实现阶段花费的时间测试工作的规模，例如用户需求的数量，页面数，功能点数据样式，例如实体，字段的数量屏幕或字段数量测试对象的规模，例如KLOC

4、WBS(workbreakdownstructure)估算法

将项目或产品分解为具体的工作，然后分别对各个工作进行时间估算，最终求和得出项目或产品的测试工作量/时间。

预算是企业的财务管控的抓手，全面预算对推动现代企业管理成熟与发展起到至关重要的作用。作为企业重要组成部分之一，IT部门的预算更是不可轻视，尤其当今社会信息化已经成为企业运作的基础设施建设，IT部门的重要性凸显，预算这一管理机制愈发显示出其必要性。但预算一直是IT部门为之头疼的一项工作，究其原因，主要矛盾出现在IT部门与公司高层的认识方面。普遍而言，公司高层一般会将IT部门列入成本中心，认为它是一个花钱的部门，因而对其预算一审再审，一减再减，要求在不影响正常工作前提下尽量控制成本。但IT部门则认为，信息化建议关系着企业正常良好的运行以及发展，决不能因小失大。需求与计划的不等式IT投资价值往往不能很好的用数字显现出来，这是IT部门在制作预算时得不到高层支持的重要原因之一。IT需要持续投入毋庸置疑，企业无论大小，IT部门的价值体现主要有三点：用户故障的解决、用户需求的处理以及系统后台运营的保障。企业内部业务需求的增加与预算制度没有统一认识，在企业运营时，业务需求不断产生，使信息管理部门应接不暇，预算屡屡超标让IT部门头疼不已。IT，需要持续投入现有企业信息化建设的基本模式是企业购买软件授权和实施服务，并购买相关基础设施，构建企业的运行环境，同时组建系统维护队伍，确保系统对业务需求的响应，这种企业信息化建设模式存在很大的局限性。要突破这种局限性，应当注意以下三点，首先，系统和信息化建设应对变化的业务需求做出快速响应；其次，随着信息化建设逐步深入，系统复杂性以及信息量快速增加，企业需提前预置大量资源，预先做好IT预算；企业IT规模服务能力和专业服务能力有待改进，对重大服务或者危机能够做出有效响应。

以上就是关于软件开发费用的账务处理全部的内容，包括:软件开发费用的账务处理、项目成本估算方法的IT项目开发成本的估算方法、【信息安全需讲求收支平衡】收支平衡等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！