Аудит информационных систем

Внутренний документ описывает правило, а система его исполняет. Совпадение между ними предполагается, но подтверждается редко: организация полагается на то, что настройка была выполнена верно при вводе системы в эксплуатацию и с тех пор не изменялась.

Между тем настройки меняются постоянно — при обновлениях, при подключении новых продуктов и каналов, при смене администраторов, при исправлении ошибок. Правило, зафиксированное во внутреннем документе, при этом остаётся прежним. Расхождение накапливается незаметно и обнаруживается, как правило, по внешнему поводу: претензии клиента, замечания проверяющих, отклонения в отчётности, убытка.

Настоящее направление отвечает на вопрос, поставленный узко: исполняет ли конкретная система конкретное правило, что происходит с операцией после срабатывания правила и подтверждается ли это документированными свидетельствами. Полный аудит организации при этом не проводится, что делает работу существенно короче и дешевле комплексной проверки.

Для получения предварительного расчёта объёма работ, сроков и стоимости предлагаем заполнить анкету. Ответ направляется в течение нескольких рабочих дней.

Скачать анкету

С чем обращаются

Возникло обоснованное сомнение
Сменился владелец или руководитель
Предстоит внешняя проверка

Показатели расходятся с ожидаемыми, поступают однотипные обращения клиентов, обнаружены операции, которые не должны были пройти. Требуется установить, в правиле дело или в его исполнении системой.

Новый собственник, совет директоров или руководитель подразделения принимает систему, о фактическом состоянии которой судит по объяснениям тех, кто её вёл. Требуется независимое подтверждение.

Организация готовится к проверке, сделке или получению финансирования и предпочитает выявить расхождения заблаговременно, располагая временем на их устранение.

     

Что устанавливается по итогам

  • соответствуют ли фактические настройки системы правилам, установленным внутренними документами организации, договорами и требованиями, применимыми к её деятельности
  • полностью ли правило охватывает предмет: все ли операции, каналы, продукты и категории контрагентов попадают под его действие
  • что происходит с операцией после срабатывания правила — кем и в какие сроки она рассматривается, чем завершается рассмотрение и фиксируется ли результат
  • кто и в каком порядке вправе изменять настройки, сохраняются ли следы изменений и возможно ли установить, кем и когда изменение внесено
  • какие расхождения между документом и настройкой существуют фактически, каковы их возможные последствия и в какой очерёдности их целесообразно устранять

Объекты проверки

Перечень отражает предметы, по которым обращения поступают регулярно. Он не является исчерпывающим: программа работ по новому предмету формируется из методической базы практики в течение нескольких дней.

Автоматизированная банковская система

Вопрос

Соответствуют ли фактические параметры продуктов и учётных правил условиям, утверждённым уполномоченным органом организации.

Что проверяется

Параметризация продуктов, порядок начисления процентов, комиссий и штрафов, правила формирования проводок, порядок совершения и согласования исправительных операций, разграничение полномочий операционных сотрудников, разделение промышленной и тестовой сред, полнота журналирования действий пользователей.

Результат

Перечень расхождений между утверждёнными условиями и фактической настройкой, со свидетельствами и оценкой возможных последствий.

Противодействие мошенничеству и мониторинг операций

Вопрос

Срабатывают ли правила так, как описано во внутреннем положении, и что происходит с операцией после срабатывания.

Что проверяется

Соответствие настроенных правил утверждённым, полнота охвата каналов и типов операций, пороговые значения и основания их установления, порядок и сроки разбора сработок, доля закрытых без рассмотрения, порядок изменения правил и наличие следов изменений, взаимодействие с подразделением безопасности.

Результат

Заключение о фактической работоспособности системы правил с указанием необработанных категорий операций и рекомендациями по настройке процесса разбора.

Финансовый мониторинг: правила и сценарии

Вопрос

Реализованы ли в системе сценарии выявления, предусмотренные внутренними правилами и применимыми требованиями, и обеспечивается ли своевременность последующих действий.

Что проверяется

Состав и настройка сценариев выявления, полнота охвата клиентской базы и типов операций, актуальность и порядок обновления используемых перечней, ведение и обновление сведений о клиентах, сроки формирования и направления сообщений, порядок хранения материалов и обеспечение их доступности.

Результат

Перечень расхождений между установленными правилами и их реализацией в системе, с оценкой рисков несвоевременного выявления.

Процессинг и платёжные сервисы

Вопрос

Соответствуют ли фактические правила обработки платежей условиям договоров, тарифам и требованиям платёжных систем.

Что проверяется

Маршрутизация операций, установленные лимиты и основания их изменения, порядок и полнота сверки с платёжными системами и банками-партнёрами, порядок рассмотрения спорных операций и соблюдение сроков, обращение с реквизитами и ключевой информацией, разграничение доступа к средствам управления, меры обеспечения непрерывности.

Результат

Оценка соответствия фактической обработки установленным условиям с перечнем расхождений и рекомендациями.

Тарификация и биллинг

Вопрос

Начисляется ли клиентам ровно то, что предусмотрено утверждёнными тарифами и заключёнными договорами.

Что проверяется

Соответствие тарифных планов в системе утверждённым, порядок применения скидок и индивидуальных условий, полнота тарификации оказанных услуг, случаи повторного начисления и пропуска начисления, порядок совершения корректировок и круг лиц, имеющих на них право, сохранение следов изменения тарифов.

Результат

Перечень выявленных отклонений с оценкой их влияния на выручку и на обязательства перед клиентами.

Складской и товарный учёт

Вопрос

Отражает ли учётная система фактическое движение товара и ограничен ли круг лиц, способных это отражение изменить.

Что проверяется

Порядок оприходования, перемещения и списания, основания для списания и круг лиц, наделённых соответствующими правами, порядок проведения инвентаризации и оформления её результатов, обработка пересортицы, полнота и достоверность обмена данными с кассовым и бухгалтерским контурами, сохранение следов корректировок задним числом.

Результат

Оценка достоверности учётных данных и перечень зон, в которых возможно бесследное изменение учётных записей.

Кадровый и расчётный учёт

Вопрос

Производятся ли начисления в соответствии с утверждёнными правилами и ограничен ли доступ к сведениям о работниках.

Что проверяется

Соответствие настроенных правил расчёта утверждённым положениям об оплате труда и премировании, порядок внесения ручных корректировок и их обоснование, разграничение доступа к персональным данным и сведениям о выплатах, своевременность прекращения доступа при увольнении, полнота журналирования обращений к сведениям о работниках.

Результат

Перечень расхождений в правилах расчёта и в разграничении доступа с оценкой сопутствующих рисков.

Электронный документооборот

Вопрос

Обладают ли документы, обращающиеся в системе, свойствами, необходимыми для их использования в качестве подтверждения совершённых действий.

Что проверяется

Порядок подписания и проверки подписи, соответствие маршрутов согласования утверждённым, возможность изменения документа после его согласования и наличие следов такого изменения, полнота регистрации, соблюдение установленных сроков хранения, порядок предоставления доступа к документам ограниченного распространения.

Результат

Оценка доказательной пригодности документов системы и перечень расхождений с установленным порядком.

Государственные информационные системы

Вопрос

Соответствует ли введённая в эксплуатацию система проектной документации и техническому заданию, и обеспечена ли защита обрабатываемых сведений.

Что проверяется

Полнота реализации функциональных требований, состав и порядок межведомственного взаимодействия, разграничение доступа и порядок его предоставления, журналирование обращений к сведениям о гражданах, соответствие фактической архитектуры проектным решениям, порядок сопровождения и внесения изменений.

Результат

Заключение о соответствии системы установленным требованиям с перечнем отклонений и оценкой их существенности.

Видеонаблюдение и контроль доступа

Вопрос

Пригодны ли записи и журналы систем для целей, ради которых эти системы установлены.

Что проверяется

Соответствие фактических зон наблюдения и качества записи заявленным задачам, фактическая глубина хранения и её соответствие установленной, целостность записей и порядок их выгрузки, разграничение доступа к архиву и журналирование обращений к нему, синхронизация времени, соблюдение требований к обработке персональных данных и порядок информирования лиц.

Результат

Оценка пригодности записей для использования при разборе происшествий и перечень выявленных ограничений.

Интеграции и обмен данными

Вопрос

Передаются ли данные между системами полностью и без искажений, и обнаруживаются ли сбои передачи.

Что проверяется

Состав и назначение действующих интеграций, полнота и целостность передаваемых данных, обработка ошибок и порядок повторной отправки, возможность возникновения дублирующих операций, наличие и регулярность сверок, хранение и защита учётных данных интеграционных подключений, порядок изменения форматов обмена.

Результат

Перечень зон возможной потери или искажения данных с оценкой последствий для учёта и отчётности.

Стимулирующие лотереи и розыгрыши

Вопрос

Может ли результат розыгрыша быть воспроизведён и подтверждён независимым лицом.

Что проверяется

Порядок формирования и целостность реестра участников, применяемый механизм случайного выбора и возможность воспроизведения его результата, соблюдение объявленных условий, полнота и корректность оформления протокола, соблюдение требований законодательства о рекламе и об обработке персональных данных участников, порядок хранения материалов розыгрыша.

Результат

Заключение о соответствии проведённого розыгрыша объявленным условиям и применимым требованиям.

Отличие от проверки силами поставщика решения

Организация нередко располагает возможностью получить подтверждение работоспособности от разработчика или поставщика системы. Такая проверка отвечает на вопрос, работает ли система в соответствии с её собственной документацией. Поставленный здесь вопрос иной: соответствует ли поведение системы правилам, установленным самой организацией, — а эти правила поставщику неизвестны и в его документации не отражены.

Кроме того, подтверждение, выданное лицом, поставившим или сопровождающим решение, не обладает признаком независимости, что ограничивает его доказательное значение при обращении к регулятору, акционерам, страховщику или суду.

Как проводится проверка

Порядок соответствует общему порядку работы практики: определение периметра, согласование критериев, запрос материалов, полевые работы, оценка расхождений, обсуждение предварительных результатов, отчёт. Отличие состоит в узости периметра, что позволяет сократить сроки.

Проверка отдельной системы обычно занимает от двух до четырёх недель полевых работ. К этому добавляется горизонт планирования до выхода на объект.

Свидетельства собираются посредством анализа фактических конфигураций, выгрузок и журналов, интервью с сотрудниками, наблюдения за выполнением операций, повторного выполнения контрольных процедур и выборочного тестирования за отчётный период. Тестирование выполняется на данных организации; действия, способные повлиять на работоспособность систем, согласовываются отдельно.

Подробный порядок работы →

Форма результата

Передаётся отчёт, содержащий описание объёма и применённых процедур, перечень выявленных расхождений с указанием критерия, которому они противоречат, и со свидетельствами, позволяющими воспроизвести наблюдение, оценку рисков по каждому расхождению и реестр рекомендаций с указанием приоритетности.

Отчёт пригоден для представления органам управления организации, а при необходимости — регулятору, контрагенту или иному лицу, в интересах которого проводилась проверка. Рекомендации формулируются в терминах требований и мер контроля; выбор конкретных решений и поставщиков остаётся за организацией.

Границы

Проверке подлежат прикладные системы и процессы управления. Промышленная автоматика и встроенное программное обеспечение оборудования в предмет не входят. Внедрение проверяемых решений и участие в устранении выявленных расхождений в качестве исполнителя не принимаются.

Практика не занимается реализацией программного обеспечения и оборудования, не выступает партнёром поставщиков и не получает от них вознаграждения. Результаты проверки не связаны с последующими закупками организации.

Типовые вопросы

Чем это отличается от комплексного ИТ-аудита

Периметром и формой результата. Комплексный аудит охватывает процессы управления информационными технологиями организации в целом и завершается отчётом с независимым аудиторским заключением. Настоящая проверка ограничена одной системой или одним правилом и отвечает на конкретный поставленный вопрос, что существенно сокращает сроки и объём.

Требуется ли предоставлять доступ в систему

В большинстве случаев достаточно выгрузок настроек, прав доступа и журналов, подготовленных сотрудниками организации, а также демонстрации операций в присутствии специалиста. При необходимости прямого доступа он предоставляется в режиме чтения и в согласованном объёме.

Что происходит, если внутренние документы отсутствуют или устарели

Отсутствие или неактуальность документов фиксируется как расхождение. В таком случае критерии проверки согласовываются на основании иных источников: договоров, применимых требований, объявленных клиентам условий, решений органов управления.

Возможно ли провести проверку без уведомления сотрудников подразделения

Работы проводятся открыто и предполагают взаимодействие с сотрудниками. Вопросы, требующие иного порядка, относятся к направлению расследования обстоятельств и рассматриваются отдельно.

Может ли проверка завершиться выводом об отсутствии расхождений

Да. Подтверждение соответствия является таким же результатом, как и выявление расхождений, и оформляется в том же порядке.