Информационный технологический аудит

Аудит информационных технологий или аудит информационных систем — это проверка средств управления в информационных технологий (ИТ) инфраструктуре и бизнес-приложениях. Оценка полученных доказательств определяет, защищают ли информационные системы активы, поддерживают целостность данных и работают эффективно для достижения целей и задач организации. Эти проверки могут проводиться в сочетании с аудитом финансовой отчетности , внутренним аудитом или другой формой аттестационного задания.

ИТ-аудит также известен как аудит автоматизированной обработки данных ( ADP-аудит ) и компьютерный аудит .

Раньше их называли аудитами электронной обработки данных ( аудитами EDP ).

Цель

ИТ-аудит отличается от аудита финансовой отчетности . Хотя цель финансового аудита состоит в том, чтобы оценить, достоверно ли финансовая отчетность отражает во всех существенных отношениях финансовое положение организации, результаты операций и денежных потоков в соответствии со стандартной практикой бухгалтерского учета , целью ИТ-аудита является оценка конструкции и эффективности системы внутреннего контроля. Сюда входят, помимо прочего, протоколы эффективности и безопасности, процессы разработки, а также управление или контроль ИТ. Установка средств контроля необходима, но недостаточна для обеспечения адекватной безопасности. Лица, ответственные за безопасность, должны учитывать, установлены ли средства контроля так, как предполагалось, эффективны ли они, произошло ли какое-либо нарушение безопасности, и если да, то какие действия можно предпринять для предотвращения будущих нарушений. На эти запросы должны ответить независимые и беспристрастные наблюдатели. Эти наблюдатели выполняют задачу аудита информационных систем. В среде информационных систем (ИС) аудит — это проверка информационных систем, их входов, выходов и обработки.

Поскольку технологии продолжают развиваться и становятся все более распространенными в нашей жизни и в бизнесе, растет число ИТ-угроз и сбоев. Они влияют на каждую отрасль и проявляются в разных формах, таких как утечки данных, внешние угрозы и операционные проблемы. Эти риски и потребность в высоком уровне гарантий увеличивают потребность в ИТ-аудитах для проверки производительности ИТ-систем предприятия и снижения вероятности и воздействия технологических угроз и сбоев.

Основные функции ИТ-аудита заключаются в оценке существующих систем для защиты информации организации. В частности, аудит информационных технологий используется для оценки способности организации защищать свои информационные активы и правильно предоставлять информацию уполномоченным сторонам. Целью ИТ-аудита является оценка следующего:

Будут ли компьютерные системы организации доступны для бизнеса в любое время, когда это необходимо? (известный как доступность) Будет ли информация в системах раскрываться только авторизованным пользователям? (известный как безопасность и конфиденциальность) Будет ли информация, предоставляемая системой, всегда точной, достоверной и своевременной? (измеряет целостность) Таким образом, аудит надеется оценить риск для ценного актива компании (ее информации) и установить методы минимизации этих рисков.

Более конкретно, организациям следует учитывать три основных требования: конфиденциальность, целостность и доступность, чтобы обозначить свои потребности в безопасности и доверии к своим ИТ-системам.

• Конфиденциальность: Цель состоит в том, чтобы защитить личную информацию от неавторизованных пользователей.
• Целостность: Цель состоит в том, чтобы гарантировать, что информация будет изменена разрешенным способом.
• Доступность: Цель состоит в том, чтобы гарантировать, что только авторизованные пользователи имеют доступ к определенной информации.

Этим трем требованиям следует уделять особое внимание в каждой отрасли и каждой организации с ИТ-средой, но требования и средства контроля для их поддержки будут различаться.

классификация ИТ-аудитов

Различные органы создали разные таксономии , чтобы различать различные типы ИТ-аудита. Goodman & Lawless заявляют, что существует три конкретных систематических подхода к проведению ИТ-аудита:

• Аудит технологического инновационного процесса . В ходе этого аудита создается профиль рисков для существующих и новых проектов. В ходе аудита будет оценена длина и глубина опыта компании в выбранных ею технологиях, а также ее присутствие на соответствующих рынках, организация каждого проекта и структура той части отрасли, которая занимается этим проектом или продуктом, организация. и структура отрасли.
• Инновационный сравнительный аудит . Этот аудит представляет собой анализ инновационных способностей проверяемой компании по сравнению с ее конкурентами. Это требует изучения научно-исследовательских центров компании, а также ее опыта в производстве новых продуктов.
• Аудит технологического положения : в ходе этого аудита проверяются технологии, которые есть у бизнеса в настоящее время и которые необходимо добавить. Технологии характеризуются как «базовые», «ключевые», «перспективные» или «новые».

Другие описывают спектр ИТ-аудитов пятью категориями аудитов:

• Системы и приложения : аудит для проверки того, что системы и приложения являются подходящими, эффективными и адекватно контролируются для обеспечения достоверных, надежных, своевременных и безопасных входных данных, обработки и вывода на всех уровнях деятельности системы. Аудит систем и процессов представляет собой подтип, ориентированный на бизнес-ИТ-системы, ориентированные на бизнес-процессы. Целью таких аудитов является оказание помощи финансовым аудиторам.

• Средства обработки информации : аудит для проверки того, что средства обработки контролируются для обеспечения своевременной, точной и эффективной обработки приложений в нормальных и потенциально разрушительных условиях.
• Разработка систем : аудит для проверки того, что разрабатываемые системы соответствуют целям организации, а также для обеспечения того, что системы разрабатываются в соответствии с общепринятыми стандартами разработки систем .
• Управление ИТ и архитектурой предприятия : Аудит для проверки того, что руководство ИТ разработало организационную структуру и процедуры, обеспечивающие контролируемую и эффективную среду для обработки информации .
• Клиент/Сервер, телекоммуникации, интрасети и экстрасети : аудит для проверки наличия средств контроля телекоммуникаций на клиенте (компьютерные услуги приема), сервере и в сети, соединяющей клиентов и серверов.

Некоторые относят все ИТ-аудиты к одному из двух типов: аудит « общего контроля » или аудит « анализа контроля приложений ».

Число специалистов по ИТ-аудиту из области обеспечения информации считают, что существует три основных типа контроля независимо от типа аудита, который необходимо выполнить, особенно в сфере ИТ. Многие структуры и стандарты пытаются разбить средства управления на различные дисциплины или области, называя их «контроль безопасности», «управление доступом», «управление IA», пытаясь определить типы задействованных средств контроля. На более фундаментальном уровне можно показать, что эти меры контроля состоят из трех типов фундаментальных мер контроля: защитного/превентивного контроля, детективного контроля и реактивного/корректирующего контроля.

В ИС существует два типа аудиторов и проверок: внутренние и внешние. Аудит ИБ обычно является частью внутреннего аудита бухгалтерского учета и часто выполняется внутренними аудиторами корпорации. Внешний аудитор проверяет результаты внутреннего аудита, а также входные данные, обработку и выходные данные информационных систем. Внешний аудит информационных систем в основном проводится сертифицированными аудиторами информационных систем, такими как CISA, сертифицированный ISACA, Ассоциация аудита и контроля информационных систем, США, Аудитор информационных систем (ISA), сертифицированный ICAI (Институт дипломированных бухгалтеров Индии), и другие сертифицированные авторитетной организацией для аудита ИБ. Удалить --> ( часто часть общего внешнего аудита, проводимого фирмой сертифицированного бухгалтера (CPA). ) Аудит ИБ учитывает все потенциальные опасности и средства контроля в информационных системах. Основное внимание уделяется таким вопросам, как операции, данные, целостность, программные приложения, безопасность, конфиденциальность, бюджеты и расходы, контроль затрат и производительность. Для помощи аудиторам в их работе доступны руководства, например, Руководства Ассоциации аудита и контроля информационных систем.

История ИТ-аудита

Основная статья: История аудита информационных технологий

Понятие ИТ-аудита сформировалось в середине 1960-х годов. С тех пор ИТ-аудит претерпел множество изменений, во многом благодаря развитию технологий и внедрению технологий в бизнес.

В настоящее время существует множество ИТ-зависимых компаний, которые полагаются на информационные технологии для ведения своего бизнеса, например, телекоммуникационные или банковские компании. Для других видов бизнеса ИТ играют большую роль в компании, включая применение рабочего процесса вместо использования бумажной формы запроса, использование управления приложениями вместо ручного управления, которое более надежно, или внедрение приложения ERP для облегчения организации с помощью всего 1 заявка. Согласно им, важность ИТ-аудита постоянно возрастает. Одной из наиболее важных ролей ИТ-аудита является проверка критической системы с целью поддержки финансового аудита или поддержки конкретных объявленных правил, например, SOX.

Принципы ИТ-аудита

Должны найти отражение следующие принципы аудита:

• Своевременность: Только когда процессы и программы постоянно проверяются на предмет их потенциальной подверженности ошибкам и недостаткам, а также в отношении продолжения анализа обнаруженных сильных сторон или путем сравнительного функционального анализа с аналогичными приложениями, обновленная структура может быть обновлена. быть продолжено.
• Открытость исходного кода: при аудите зашифрованных программ требуется явная ссылка на то, как следует понимать обращение с открытым исходным кодом. Например, программы, предлагающие приложения с открытым исходным кодом, но не рассматривающие сервер обмена мгновенными сообщениями как открытый исходный код, должны рассматриваться как критически важные. Аудитор должен занять собственную позицию в отношении необходимости открытого исходного кода в криптологических приложениях.
• Продуманность: процессы аудита должны быть ориентированы на определенный минимальный стандарт. Недавние процессы аудита программного обеспечения для шифрования часто сильно различаются по качеству, объему и эффективности, а также по опыту восприятия в средствах массовой информации, часто различающееся восприятие. Из-за необходимости специальных знаний, с одной стороны, и умения читать программный код, а с другой стороны, знания процедур шифрования, многие пользователи доверяют даже самым коротким заявлениям формального подтверждения. Таким образом, индивидуальные обязательства аудитора, например, в отношении качества, масштаба и эффективности, должны оцениваться рефлексивно для вас самих и документироваться в ходе аудита.
• Финансовый контекст: необходима дополнительная прозрачность, чтобы уточнить, было ли программное обеспечение разработано на коммерческой основе и финансировался ли аудит из коммерческих источников (платный аудит). Имеет значение, является ли это частным хобби/общественным проектом или за ним стоит коммерческая компания.
• Научная ссылка на перспективы обучения: Каждый аудит должен подробно описывать результаты в контексте, а также конструктивно освещать прогресс и потребности в развитии. Одитор не является родителем программы, но, по крайней мере, он или она выполняет роль наставника, если аудитор рассматривается как часть учебного кружка PDCA ( PDCA = Планируй-Делай-Проверяй-Действуй). Рядом с описанием обнаруженных уязвимостей должно быть также описание инновационных возможностей и развития потенциала.
• Включение литературы: читатель не должен полагаться исключительно на результаты одного обзора, но также должен судить в соответствии с циклом системы управления (например, PDCA, см. выше), чтобы гарантировать, что команда разработчиков или рецензент были и подготовлены. для проведения дальнейшего анализа, а также в процессе разработки и обзора открыт для извлечения уроков и рассмотрения заметок других. Список литературы должен сопровождаться в каждом случае аудита.
• Включение руководств пользователя и документации: Далее следует проверить, имеются ли руководства и техническая документация и расширяются ли они.
• Определите ссылки на инновации: Приложения, которые позволяют обмениваться сообщениями как с оффлайн, так и с онлайн-контактами, поэтому рассмотрение чата и электронной почты в одном приложении - как и в случае с GoldBug - должно быть протестировано с высоким приоритетом (критерий присутствия чатов дополнительно к функции электронной почты). Аудитор должен также выделить ссылки на инновации и обосновать потребности в дальнейших исследованиях и разработках.

Этот список принципов аудита криптографических приложений описывает, помимо методов технического анализа, в частности, основные ценности, которые следует принимать во внимание.

Возникающие проблемы

Существуют также новые проверки, налагаемые различными стандартными советами, которые необходимо проводить в зависимости от проверяемой организации, что повлияет на ИТ и обеспечит, чтобы ИТ-отделы выполняли определенные функции и средства контроля надлежащим образом, чтобы считаться соответствующими требованиям. Примерами таких аудитов являются SSAE 16 , ISAE 3402 и ISO27001:2013 .

Аудит присутствия в Интернете

Расширение корпоративного ИТ-присутствия за пределы корпоративного межсетевого экрана (например, внедрение социальных сетей на предприятии наряду с распространением облачных инструментов, таких как системы управления социальными сетями ) повысило важность включения аудита веб-присутствия в ИТ/ИС. аудит. Целью этих проверок является обеспечение того, чтобы компания предпринимала необходимые шаги для:

• ограничить использование неавторизованных инструментов (например, «теневых ИТ»)
• минимизировать ущерб репутации
• поддерживать соответствие нормативным требованиям
• предотвратить утечку информации
• снизить риск третьих сторон
• минимизировать управленческий риск

Использование инструментов, разработанных ведомствами или пользователями, в прошлом было спорной темой. Однако благодаря широкой доступности инструментов анализа данных, информационных панелей и статистических пакетов пользователям больше не нужно стоять в очереди, ожидая, пока ИТ-ресурсы выполнят, казалось бы, бесконечные запросы на отчеты. Задача ИТ-отдела — работать с бизнес-группами, чтобы сделать санкционированный доступ и отчетность максимально простыми. Если использовать простой пример, пользователям не нужно выполнять собственное сопоставление данных, чтобы чисто реляционные таблицы были связаны осмысленным образом. ИТ-отделу необходимо сделать ненормализованные файлы типа хранилища данных доступными для пользователей, чтобы упростить их работу по анализу. Например, некоторые организации периодически обновляют склад и создают простые в использовании «плоские» таблицы, которые можно легко загрузить с помощью такого пакета, как Tableau, и использовать для создания информационных панелей.

Аудит коммуникаций предприятия

Рост сетей VOIP и таких проблем, как BYOD, а также растущие возможности современных корпоративных систем телефонии приводят к увеличению риска неправильной настройки критической телефонной инфраструктуры, что делает предприятие открытым для возможности мошенничества при связи или снижения стабильности системы. Банки, финансовые учреждения и контакт-центры обычно устанавливают политики, которые будут применяться во всех их коммуникационных системах. Задача проверки соответствия систем связи политике ложится на специализированных телекоммуникационных аудиторов. Эти проверки гарантируют, что системы связи компании:

• придерживаться заявленной политики
• следовать политикам, призванным минимизировать риск взлома или мошенничества
• поддерживать соответствие нормативным требованиям
• предотвратить или свести к минимуму мошенничество с междугородной связью
• снизить риск третьих сторон
• минимизировать управленческий риск

Аудит коммуникаций предприятия также называют голосовым аудитом. но этот термин все больше устаревает, поскольку коммуникационная инфраструктура все больше становится ориентированной на данные и зависимой от них. Термин «аудит телефонии» также не рекомендуется, поскольку современная инфраструктура связи, особенно при работе с клиентами, является многоканальной, где взаимодействие происходит по нескольким каналам, а не только по телефону. Одной из ключевых проблем, с которыми сталкивается аудит корпоративных коммуникаций, является отсутствие отраслевых или одобренных государством стандартов. ИТ-аудит строится на основе соблюдения стандартов и политик, опубликованных такими организациями, как NIST и PCI , но отсутствие таких стандартов для аудита корпоративных коммуникаций означает, что эти аудиты должны основываться на внутренних стандартах и ​​политиках организации, а не на отраслевых стандартах. стандарты. В результате аудиты корпоративных коммуникаций по-прежнему проводятся вручную с использованием выборочных проверок. Инструменты автоматизации аудита политики для корпоративных коммуникаций стали доступны лишь недавно.

Этические дилеммы в ИТ-аудите

Использование искусственного интеллекта (ИИ) в ИТ-аудите быстро растет: к 2025 году, как сообщает Всемирный экономический форум, 30% всех корпоративных аудитов будут проводиться с использованием ИИ. ИИ в ИТ-аудите поднимает множество этических проблем.

1. Использование искусственного интеллекта приводит к непреднамеренным искажениям результатов.
   Проблема, с которой сталкивается ИИ при проведении ИТ-аудита в корпорациях, заключается в том, что при фильтрации данных ИИ может возникнуть непреднамеренная предвзятость. В ИИ нет человеческого элемента или способности понимать различные ситуации, в которых ожидаются или не ожидаются определенные данные. ИИ понимает только те данные, которые он видел раньше, и поэтому не может развиваться с учетом каждой уникальной ситуации. Это вызывает непреднамеренные искажения и, следовательно, непредвиденные последствия, если системам искусственного интеллекта оказывают слишком большое доверие и они не контролируются тщательно человеческим глазом. В результате возникают этические, юридические и экономические проблемы.
2. Технологии заменяют роль человека
   Фирмы «большой четверки» вложили значительные суммы денег в новые технологии в области ИТ-аудита. В настоящее время ИИ используется в практиках обеспечения качества, выполняющих такие задачи, как «процедуры аудита и бухгалтерского учета, такие как проверка главных бухгалтерских книг, соблюдение налогового законодательства, подготовка рабочих документов, анализ данных, соблюдение требований по расходам, обнаружение мошенничества и принятие решений». Это, по сути, заменяет необходимость в аудиторах и переводит тех, кто работает в сфере обеспечения качества, на роль «надзирателей» за технологией.
   Тем не менее, компаниям по-прежнему нужны аудиторы для анализа результатов ИТ-аудита ИИ. Аудиторы, которые не понимают алгоритмы, используемые при аудите, могут допустить ошибки в этих несовершенных программах. Таким образом, аудиторы с обширным техническим опытом и ученой степенью в области технологий очень востребованы фирмами, использующими ИИ для проведения аудита.

Влияние ИТ-аудита на компании и финансовый аудит

Глобализация в сочетании с развитием систем информационных технологий заставила компании перейти на все более цифровую рабочую среду. Преимущества этих систем включают сокращение рабочего времени, возможность тестирования больших объемов данных, снижение аудиторского риска и предоставление более гибкой и полной аналитической информации. С увеличением времени аудиторы могут проводить дополнительные аудиторские тесты, что приводит к значительному улучшению процесса аудита в целом. Использование компьютерных методов аудита (CAAT) позволило компаниям изучать более крупные выборки данных и проводить более тщательные проверки всех транзакций, что позволяет аудитору тестировать и лучше понимать любые проблемы в данных.

Использование ИТ-систем в аудите изменило способы выполнения аудиторами важных функций аудита, таких как управление базами данных, обеспечение рисков и контроль, а также управление и соблюдение требований. Кроме того, системы ИТ-аудита повышают операционную эффективность и помогают в принятии решений, которые в противном случае пришлось бы выполнять вручную. ИТ-системы помогают исключить человеческие ошибки при аудите, и хотя они не решают проблему полностью, ИТ-системы доказали свою эффективность при аудите, проводимом как «большой четверкой», так и небольшими фирмами. Эти системы значительно снизили вероятность ошибок при аудите и обеспечивают лучшее понимание анализируемых данных.

В результате более широкого использования ИТ-систем при аудите авторитетные органы, такие как Американский институт сертифицированных бухгалтеров (AICPA) и Ассоциация контроля аудита информационных систем (ISACA), разработали руководство о том, как правильно использовать ИТ-системы для проведения аудита. . Аудиторы теперь должны придерживаться установленных правил при использовании ИТ-систем в ходе аудита.

Преимущества использования ИТ-систем при финансовом аудите

Использование ИТ-систем и методов искусственного интеллекта при финансовом аудите начинает приносить огромные преимущества ведущим бухгалтерским фирмам. В исследовании, проведенном одной из аудиторских фирм «Большой четверки», ожидается, что использование ИТ-систем и методов искусственного интеллекта приведет к увеличению доходов на 6,6 триллионов долларов. в результате увеличения производительности. В результате ведущие аудиторские фирмы делают огромные инвестиции с целью повышения производительности и, следовательно, доходов за счет разработки или аутсорсинга ИТ-систем и технологий искусственного интеллекта для оказания помощи в финансовом аудите.

PwC, одна из крупнейших аудиторских компаний в мире, выделила три различных типа ИТ-систем и методов искусственного интеллекта, которые компании могут разрабатывать и внедрять для увеличения доходов и производительности. Первая система создана таким образом, чтобы представлять собой технологические системы, играющие дополнительную роль в принятии решений аудиторами. Это позволяет аудитору сохранять автономию в принятии решений и использовать технологию для поддержки и повышения своей способности выполнять точную работу, что в конечном итоге экономит фирме затраты на производительность. Далее, PwC заявляет, что системы, способные решать проблемы, необходимы для получения наиболее точных результатов. PwC осознает повышенную вероятность ошибки из-за непреднамеренных предубеждений и, следовательно, необходимость создания систем, способных адаптироваться к различным сценариям. Этот тип системы требует, чтобы процесс принятия решений разделялся между человеком-аудитором и ИТ-системой, чтобы обеспечить максимальный результат, позволяя системе взять на себя вычислительную работу, которая не может быть выполнена одним человеком-аудитором. Наконец, PwC признает, что существуют сценарии, в которых технологиям необходимо иметь автономию в принятии решений и действовать независимо. Это позволяет аудиторам сосредоточиться на более важных задачах, в то время как технология берет на себя трудоемкие задачи, не требующие человеческого времени.

Использование ИТ-систем и методов искусственного интеллекта при финансовом аудите выходит за рамки цели достижения максимальной производительности и увеличения доходов. Фирмы, которые используют эти системы для оказания помощи в проведении проверок, могут с большей эффективностью и точностью выявлять фрагменты данных, которые могут представлять собой мошенничество. Например, такие системы, как дроны, были одобрены всеми четырьмя странами «большой четверки». чтобы помочь в получении более точных расчетов запасов, в то время как распознавание голоса и лиц помогает компаниям участвовать в делах о мошенничестве.

См. также

• Электронная обработка данных

Компьютерная криминалистика

• Компьютерная криминалистика
• Анализ данных

Операции

• Аудит службы поддержки и отчетов об инцидентах
• Аудит управления изменениями
• Аудит аварийного восстановления и непрерывности бизнеса
• ИСАЭ 3402

Разнообразный

• XBRL-гарантия

Нарушения и незаконные действия

• Стандарт AICPA: SAS 99 Рассмотрение случаев мошенничества при аудите финансовой отчетности
• Примеры компьютерного мошенничества

Внешние ссылки

• Карьера аудитора информационных систем , Авинаш Кадам (журнал Network)
• Экзаменационный совет федеральных финансовых учреждений (FFIEC)
• Потребность в технологии CAAT
• Открытая архитектура безопасности. Средства управления и шаблоны для защиты ИТ-систем.
• Американский институт сертифицированных бухгалтеров (AICPA)
• Библиотека ИТ-услуг (ITIL)