Аудит информационных технологий или аудит информационных систем — это проверка управленческого контроля в инфраструктуре информационных технологий (ИТ) и бизнес-приложениях. Оценка полученных доказательств определяет, защищают ли информационные системы активы, поддерживают ли целостность данных и работают ли они эффективно для достижения целей или задач организации. Эти проверки могут проводиться совместно с аудитом финансовой отчетности , внутренним аудитом или другой формой аттестационного задания.
IT-аудиты также известны как аудиты автоматизированной обработки данных ( ADP-аудиты ) и компьютерные аудиты . Раньше они назывались аудитами электронной обработки данных ( EDP-аудиты ).
Аудит ИТ отличается от аудита финансовой отчетности . В то время как целью финансового аудита является оценка того, представляют ли финансовые отчеты справедливо, во всех существенных отношениях, финансовое положение организации, результаты операций и денежные потоки в соответствии со стандартными методами бухгалтерского учета , целью аудита ИТ является оценка дизайна и эффективности внутреннего контроля системы. Это включает, помимо прочего, протоколы эффективности и безопасности, процессы разработки и управление или надзор ИТ. Установка элементов управления необходима, но не достаточна для обеспечения адекватной безопасности. Лица, ответственные за безопасность, должны учитывать, установлены ли элементы управления так, как предполагалось, эффективны ли они или произошло ли какое-либо нарушение безопасности, и если да, то какие действия можно предпринять для предотвращения будущих нарушений. На эти запросы должны отвечать независимые и беспристрастные наблюдатели. Эти наблюдатели выполняют задачу аудита информационных систем. В среде информационных систем (ИС) аудит представляет собой проверку информационных систем, их входов, выходов и обработки. [1]
По мере того, как технологии продолжают развиваться и становятся все более распространенными в нашей жизни и в бизнесе, растет число ИТ-угроз и сбоев. Они влияют на каждую отрасль и проявляются в разных формах, таких как утечки данных, внешние угрозы и эксплуатационные проблемы. Эти риски и потребность в высоком уровне гарантий увеличивают потребность в ИТ-аудитах для проверки производительности ИТ-систем предприятий и снижения вероятности и воздействия технологических угроз и сбоев. [2]
Основные функции ИТ-аудита — оценка систем, которые используются для защиты информации организации. В частности, аудит информационных технологий используется для оценки способности организации защищать свои информационные активы и надлежащим образом предоставлять информацию уполномоченным сторонам. [3] ИТ-аудит направлен на оценку следующего:
Будут ли компьютерные системы организации доступны для бизнеса в любое время, когда это необходимо? (известно как доступность) Будет ли информация в системах раскрываться только авторизованным пользователям? (известно как безопасность и конфиденциальность) Будет ли информация, предоставляемая системой, всегда точной, надежной и своевременной? (измеряет целостность) Таким образом, аудит надеется оценить риск для ценного актива компании (ее информации) и установить методы минимизации этих рисков.
В частности, организациям следует рассмотреть три основных требования: конфиденциальность, целостность и доступность, чтобы обозначить свои потребности в безопасности и доверии к своим ИТ-системам.
Эти три требования следует подчеркнуть в каждой отрасли и каждой организации с ИТ-средой, но требования и средства контроля для их поддержки будут различаться. [4]
Различные органы власти создали различные таксономии для различения различных типов ИТ-аудита. Goodman & Lawless утверждают, что существует три конкретных систематических подхода к проведению ИТ-аудита: [5]
Другие описывают спектр ИТ-аудитов пятью категориями аудита:
А некоторые объединяют все ИТ-аудиты в один из двух типов: аудиты « общего контроля » и аудиты « контроля приложений ».
Ряд [ кто? ] профессионалов в области ИТ-аудита из сферы обеспечения информации считают, что существуют три основных типа контроля независимо от типа проводимого аудита, особенно в сфере ИТ. Многие структуры и стандарты пытаются разбить контроль на различные дисциплины или области, называя их «Контроль безопасности», «Контроль доступа», «Контроль IA» в попытке определить типы задействованных элементов контроля. На более фундаментальном уровне можно показать, что эти элементы контроля состоят из трех типов основных элементов контроля: Защитный/превентивный контроль, Детективный контроль и Реактивный/корректирующий контроль.
В ИС существует два типа аудиторов и аудитов: внутренние и внешние. Аудит ИС обычно является частью внутреннего аудита бухгалтерского учета и часто выполняется внутренними аудиторами корпораций. Внешний аудитор проверяет результаты внутреннего аудита, а также входы, обработку и выходы информационных систем. Внешний аудит информационных систем в основном проводится сертифицированными аудиторами информационных систем, такими как CISA, сертифицированный ISACA, Ассоциация аудита и контроля информационных систем, США, Аудитор информационных систем (ISA), сертифицированный ICAI (Институт дипломированных бухгалтеров Индии), и другими сертифицированными известными организациями для аудита ИС. Удалить --> ( часто является частью общего внешнего аудита, выполняемого фирмой сертифицированного бухгалтера (CPA). [1] ) Аудит ИС рассматривает все потенциальные опасности и средства контроля в информационных системах. Он фокусируется на таких вопросах, как операции, данные, целостность, программные приложения, безопасность, конфиденциальность, бюджеты и расходы, контроль затрат и производительность. Существуют руководства, которые могут помочь аудиторам в их работе, например, от Ассоциации аудита и контроля информационных систем. [1]
Концепция ИТ-аудита была сформирована в середине 1960-х годов. С тех пор ИТ-аудит претерпел многочисленные изменения, во многом обусловленные достижениями в области технологий и внедрением технологий в бизнес.
В настоящее время существует множество компаний, зависящих от ИТ, которые полагаются на информационные технологии для ведения своего бизнеса, например, телекоммуникационные или банковские компании. Для других видов бизнеса ИТ играет большую роль в компании, включая применение рабочего процесса вместо использования бумажной формы запроса, использование контроля приложений вместо ручного управления, что более надежно, или внедрение приложения ERP для упрощения организации с использованием только одного приложения. В соответствии с этим важность аудита ИТ постоянно возрастает. Одной из важнейших ролей аудита ИТ является аудит критически важной системы для поддержки финансового аудита или поддержки определенных объявленных правил, например, SOX.
Должны найти отражение следующие принципы аудита: [7]
В этом списке принципов аудита криптографических приложений описываются — помимо методов технического анализа — в частности основные ценности, которые следует учитывать.
Существуют также новые аудиты, налагаемые различными стандартными советами, которые должны проводиться в зависимости от проверяемой организации, что повлияет на ИТ и обеспечит, что ИТ-отделы выполняют определенные функции и элементы управления надлежащим образом, чтобы считаться соответствующими. Примерами таких аудитов являются SSAE 16 , ISAE 3402 и ISO27001:2013 .
Расширение корпоративного ИТ-присутствия за пределы корпоративного брандмауэра (например, принятие социальных сетей предприятием вместе с распространением облачных инструментов, таких как системы управления социальными сетями ) повысило важность включения аудитов веб-присутствия в аудит ИТ/ИС. Цели этих аудитов включают обеспечение того, чтобы компания предпринимала необходимые шаги для:
Использование инструментов, разработанных отделами или пользователями, было спорной темой в прошлом. Однако с широкой доступностью инструментов анализа данных, панелей мониторинга и статистических пакетов пользователям больше не нужно стоять в очереди, ожидая, пока ИТ-ресурсы выполнят, казалось бы, бесконечные запросы на отчеты. Задача ИТ-отдела — работать с бизнес-группами, чтобы сделать авторизованный доступ и отчетность максимально простыми. Если использовать простой пример, пользователям не нужно выполнять собственное сопоставление данных, чтобы чисто реляционные таблицы были связаны осмысленным образом. ИТ-отделу необходимо сделать ненормализованные файлы типа хранилища данных доступными для пользователей, чтобы упростить их аналитическую работу. Например, некоторые организации будут периодически обновлять хранилище и создавать простые в использовании «плоские» таблицы, которые можно легко загрузить с помощью такого пакета, как Tableau, и использовать для создания панелей мониторинга.
Рост сетей VOIP и таких проблем, как BYOD, а также растущие возможности современных корпоративных телефонных систем приводят к повышению риска неправильной настройки критической инфраструктуры телефонии, что делает предприятие уязвимым для мошенничества в сфере коммуникаций или снижения стабильности системы. Банки, финансовые учреждения и контактные центры обычно устанавливают политики, которые должны применяться в их системах коммуникаций. Задача аудита соответствия систем коммуникаций политике ложится на специализированных аудиторов в области телекоммуникаций. Эти аудиты гарантируют, что системы коммуникаций компании:
Корпоративные аудиты коммуникаций также называются голосовыми аудитами [12], но этот термин все больше устаревает, поскольку инфраструктура коммуникаций все больше становится ориентированной на данные и зависящей от них. Термин «аудит телефонии» [13] также устарел, поскольку современная инфраструктура коммуникаций, особенно при работе с клиентами, является многоканальной, где взаимодействие происходит по нескольким каналам, а не только по телефону. [14] Одной из ключевых проблем, которая мешает корпоративным аудитам коммуникаций, является отсутствие определенных в отрасли или одобренных правительством стандартов. ИТ-аудиты строятся на основе соблюдения стандартов и политик, опубликованных такими организациями, как NIST и PCI , но отсутствие таких стандартов для корпоративных аудитов коммуникаций означает, что эти аудиты должны основываться на внутренних стандартах и политиках организации, а не на отраслевых стандартах. В результате корпоративные аудиты коммуникаций по-прежнему проводятся вручную с выборочными проверками. Инструменты автоматизации аудита политик для корпоративных коммуникаций стали доступны лишь недавно.
Использование искусственного интеллекта (ИИ) в ИТ-аудитах стремительно растёт: по данным Всемирного экономического форума от 2015 года, к 2025 году 30% всех корпоративных аудитов будут проводиться с использованием ИИ. ИИ в ИТ-аудитах поднимает множество этических вопросов. [15]
Глобализация в сочетании с ростом систем информационных технологий заставила компании перейти на все более цифровую рабочую среду. Преимущества, предоставляемые этими системами, включают сокращение рабочего времени, возможность проверки больших объемов данных, снижение аудиторского риска и предоставление более гибкой и полной аналитической информации. С увеличением времени аудиторы могут внедрять дополнительные аудиторские тесты, что приводит к значительному улучшению процесса аудита в целом. Использование методов аудита с помощью компьютера (CAAT) позволило компаниям проверять более крупные выборки данных и более тщательно проверять все транзакции, что позволяет аудитору проверять и лучше понимать любые проблемы в данных. [16]
Использование ИТ-систем в аудитах изменило способ, которым аудиторы выполняют важные аудиторские функции, такие как управление базами данных, обеспечение и контроль рисков, и даже управление и соответствие требованиям. Кроме того, системы ИТ-аудита повышают операционную эффективность и помогают в принятии решений, которые в противном случае были бы оставлены для ручных вычислений. ИТ-системы помогают исключить человеческие ошибки в аудитах, и хотя это не решает проблему полностью, ИТ-системы доказали свою полезность в аудитах, проводимых как Большой четверкой, так и небольшими фирмами. Эти системы значительно сократили погрешность аудитов и обеспечивают лучшее понимание анализируемых данных.
В результате возросшего использования ИТ-систем в аудитах авторитетные органы, такие как Американский институт сертифицированных бухгалтеров (AICPA) и Ассоциация по контролю аудита информационных систем (ISACA), разработали руководство о том, как правильно использовать ИТ-системы для проведения аудита. [17] Теперь аудиторы должны придерживаться установленных руководящих принципов при использовании ИТ-систем в аудите.
Использование ИТ-систем и методов ИИ в финансовых аудитах начинает демонстрировать огромные преимущества для ведущих бухгалтерских фирм. В исследовании, проведенном одной из аудиторских фирм «Большой четверки», ожидается, что использование ИТ-систем и методов ИИ приведет к увеличению выручки на 6,6 триллиона долларов [15] в результате повышения производительности. В результате ведущие аудиторские фирмы вкладывают огромные средства с целью повышения производительности и, следовательно, доходов за счет разработки или аутсорсинга ИТ-систем и методов ИИ для оказания помощи в финансовых аудитах.
PwC, одна из крупнейших аудиторских фирм в мире, сузила круг трех различных типов ИТ-систем и методов искусственного интеллекта, которые фирмы могут разрабатывать и внедрять для повышения доходов и производительности. Первая система создается таким образом, что технологические системы играют вспомогательную роль в принятии решений аудиторами-людьми. Это позволяет аудиторам-людям сохранять автономию в принятии решений и использовать технологии для поддержки и повышения своей способности выполнять точную работу, в конечном итоге экономя затраты фирмы на производительность. Далее PwC заявляет, что системы с возможностями решения проблем необходимы для получения наиболее точных результатов. PwC признает повышенную погрешность из-за непреднамеренных предубеждений и, следовательно, необходимость создания систем, способных адаптироваться к различным сценариям. Этот тип системы требует, чтобы принятие решений было разделено между аудитором-человеком и ИТ-системой для получения максимального результата, позволяя системе брать на себя вычислительную работу, которую не мог бы выполнить аудитор-человек в одиночку. Наконец, PwC признает, что существуют сценарии, в которых технология должна иметь автономию в принятии решений и действовать независимо. Это позволяет аудиторам-людям сосредоточиться на более важных задачах, в то время как технология выполняет трудоемкие задачи, не требующие человеческого времени. [15]
Использование ИТ-систем и методов ИИ в финансовых аудитах выходит за рамки цели достижения максимальной производительности и увеличения доходов. Фирмы, которые используют эти системы для содействия в завершении аудита, способны идентифицировать фрагменты данных, которые могут представлять собой мошенничество, с большей эффективностью и точностью. Например, такие системы, как дроны, были одобрены всеми четырьмя из большой четверки [15] для помощи в получении более точных расчетов инвентаризации, в то время как распознавание голоса и лица добавляет фирмы в делах о мошенничестве. [15]