Внутренний документ описывает правило, а система его исполняет. Совпадение между ними предполагается, но подтверждается редко: организация полагается на то, что настройка была выполнена верно при вводе системы в эксплуатацию и с тех пор не изменялась.
Между тем настройки меняются постоянно — при обновлениях, при подключении новых продуктов и каналов, при смене администраторов, при исправлении ошибок. Правило, зафиксированное во внутреннем документе, при этом остаётся прежним. Расхождение накапливается незаметно и обнаруживается, как правило, по внешнему поводу: претензии клиента, замечания проверяющих, отклонения в отчётности, убытка.
Настоящее направление отвечает на вопрос, поставленный узко: исполняет ли конкретная система конкретное правило, что происходит с операцией после срабатывания правила и подтверждается ли это документированными свидетельствами. Полный аудит организации при этом не проводится, что делает работу существенно короче и дешевле комплексной проверки.
Для получения предварительного расчёта объёма работ, сроков и стоимости предлагаем заполнить анкету. Ответ направляется в течение нескольких рабочих дней.
С чем обращаются
|
Возникло обоснованное сомнение
|
Сменился владелец или руководитель
|
Предстоит внешняя проверка
|
|
Показатели расходятся с ожидаемыми, поступают однотипные обращения клиентов, обнаружены операции, которые не должны были пройти. Требуется установить, в правиле дело или в его исполнении системой. |
Новый собственник, совет директоров или руководитель подразделения принимает систему, о фактическом состоянии которой судит по объяснениям тех, кто её вёл. Требуется независимое подтверждение. |
Организация готовится к проверке, сделке или получению финансирования и предпочитает выявить расхождения заблаговременно, располагая временем на их устранение. |
Что устанавливается по итогам
- соответствуют ли фактические настройки системы правилам, установленным внутренними документами организации, договорами и требованиями, применимыми к её деятельности
- полностью ли правило охватывает предмет: все ли операции, каналы, продукты и категории контрагентов попадают под его действие
- что происходит с операцией после срабатывания правила — кем и в какие сроки она рассматривается, чем завершается рассмотрение и фиксируется ли результат
- кто и в каком порядке вправе изменять настройки, сохраняются ли следы изменений и возможно ли установить, кем и когда изменение внесено
- какие расхождения между документом и настройкой существуют фактически, каковы их возможные последствия и в какой очерёдности их целесообразно устранять
Объекты проверки
Перечень отражает предметы, по которым обращения поступают регулярно. Он не является исчерпывающим: программа работ по новому предмету формируется из методической базы практики в течение нескольких дней.
Автоматизированная банковская система
Вопрос
Соответствуют ли фактические параметры продуктов и учётных правил условиям, утверждённым уполномоченным органом организации.
Что проверяется
Параметризация продуктов, порядок начисления процентов, комиссий и штрафов, правила формирования проводок, порядок совершения и согласования исправительных операций, разграничение полномочий операционных сотрудников, разделение промышленной и тестовой сред, полнота журналирования действий пользователей.
Результат
Перечень расхождений между утверждёнными условиями и фактической настройкой, со свидетельствами и оценкой возможных последствий.
Противодействие мошенничеству и мониторинг операций
Вопрос
Срабатывают ли правила так, как описано во внутреннем положении, и что происходит с операцией после срабатывания.
Что проверяется
Соответствие настроенных правил утверждённым, полнота охвата каналов и типов операций, пороговые значения и основания их установления, порядок и сроки разбора сработок, доля закрытых без рассмотрения, порядок изменения правил и наличие следов изменений, взаимодействие с подразделением безопасности.
Результат
Заключение о фактической работоспособности системы правил с указанием необработанных категорий операций и рекомендациями по настройке процесса разбора.
Финансовый мониторинг: правила и сценарии
Вопрос
Реализованы ли в системе сценарии выявления, предусмотренные внутренними правилами и применимыми требованиями, и обеспечивается ли своевременность последующих действий.
Что проверяется
Состав и настройка сценариев выявления, полнота охвата клиентской базы и типов операций, актуальность и порядок обновления используемых перечней, ведение и обновление сведений о клиентах, сроки формирования и направления сообщений, порядок хранения материалов и обеспечение их доступности.
Результат
Перечень расхождений между установленными правилами и их реализацией в системе, с оценкой рисков несвоевременного выявления.
Процессинг и платёжные сервисы
Вопрос
Соответствуют ли фактические правила обработки платежей условиям договоров, тарифам и требованиям платёжных систем.
Что проверяется
Маршрутизация операций, установленные лимиты и основания их изменения, порядок и полнота сверки с платёжными системами и банками-партнёрами, порядок рассмотрения спорных операций и соблюдение сроков, обращение с реквизитами и ключевой информацией, разграничение доступа к средствам управления, меры обеспечения непрерывности.
Результат
Оценка соответствия фактической обработки установленным условиям с перечнем расхождений и рекомендациями.
Тарификация и биллинг
Вопрос
Начисляется ли клиентам ровно то, что предусмотрено утверждёнными тарифами и заключёнными договорами.
Что проверяется
Соответствие тарифных планов в системе утверждённым, порядок применения скидок и индивидуальных условий, полнота тарификации оказанных услуг, случаи повторного начисления и пропуска начисления, порядок совершения корректировок и круг лиц, имеющих на них право, сохранение следов изменения тарифов.
Результат
Перечень выявленных отклонений с оценкой их влияния на выручку и на обязательства перед клиентами.
Складской и товарный учёт
Вопрос
Отражает ли учётная система фактическое движение товара и ограничен ли круг лиц, способных это отражение изменить.
Что проверяется
Порядок оприходования, перемещения и списания, основания для списания и круг лиц, наделённых соответствующими правами, порядок проведения инвентаризации и оформления её результатов, обработка пересортицы, полнота и достоверность обмена данными с кассовым и бухгалтерским контурами, сохранение следов корректировок задним числом.
Результат
Оценка достоверности учётных данных и перечень зон, в которых возможно бесследное изменение учётных записей.
Кадровый и расчётный учёт
Вопрос
Производятся ли начисления в соответствии с утверждёнными правилами и ограничен ли доступ к сведениям о работниках.
Что проверяется
Соответствие настроенных правил расчёта утверждённым положениям об оплате труда и премировании, порядок внесения ручных корректировок и их обоснование, разграничение доступа к персональным данным и сведениям о выплатах, своевременность прекращения доступа при увольнении, полнота журналирования обращений к сведениям о работниках.
Результат
Перечень расхождений в правилах расчёта и в разграничении доступа с оценкой сопутствующих рисков.
Электронный документооборот
Вопрос
Обладают ли документы, обращающиеся в системе, свойствами, необходимыми для их использования в качестве подтверждения совершённых действий.
Что проверяется
Порядок подписания и проверки подписи, соответствие маршрутов согласования утверждённым, возможность изменения документа после его согласования и наличие следов такого изменения, полнота регистрации, соблюдение установленных сроков хранения, порядок предоставления доступа к документам ограниченного распространения.
Результат
Оценка доказательной пригодности документов системы и перечень расхождений с установленным порядком.
Государственные информационные системы
Вопрос
Соответствует ли введённая в эксплуатацию система проектной документации и техническому заданию, и обеспечена ли защита обрабатываемых сведений.
Что проверяется
Полнота реализации функциональных требований, состав и порядок межведомственного взаимодействия, разграничение доступа и порядок его предоставления, журналирование обращений к сведениям о гражданах, соответствие фактической архитектуры проектным решениям, порядок сопровождения и внесения изменений.
Результат
Заключение о соответствии системы установленным требованиям с перечнем отклонений и оценкой их существенности.
Видеонаблюдение и контроль доступа
Вопрос
Пригодны ли записи и журналы систем для целей, ради которых эти системы установлены.
Что проверяется
Соответствие фактических зон наблюдения и качества записи заявленным задачам, фактическая глубина хранения и её соответствие установленной, целостность записей и порядок их выгрузки, разграничение доступа к архиву и журналирование обращений к нему, синхронизация времени, соблюдение требований к обработке персональных данных и порядок информирования лиц.
Результат
Оценка пригодности записей для использования при разборе происшествий и перечень выявленных ограничений.
Интеграции и обмен данными
Вопрос
Передаются ли данные между системами полностью и без искажений, и обнаруживаются ли сбои передачи.
Что проверяется
Состав и назначение действующих интеграций, полнота и целостность передаваемых данных, обработка ошибок и порядок повторной отправки, возможность возникновения дублирующих операций, наличие и регулярность сверок, хранение и защита учётных данных интеграционных подключений, порядок изменения форматов обмена.
Результат
Перечень зон возможной потери или искажения данных с оценкой последствий для учёта и отчётности.
Стимулирующие лотереи и розыгрыши
Вопрос
Может ли результат розыгрыша быть воспроизведён и подтверждён независимым лицом.
Что проверяется
Порядок формирования и целостность реестра участников, применяемый механизм случайного выбора и возможность воспроизведения его результата, соблюдение объявленных условий, полнота и корректность оформления протокола, соблюдение требований законодательства о рекламе и об обработке персональных данных участников, порядок хранения материалов розыгрыша.
Результат
Заключение о соответствии проведённого розыгрыша объявленным условиям и применимым требованиям.
Отличие от проверки силами поставщика решения
Организация нередко располагает возможностью получить подтверждение работоспособности от разработчика или поставщика системы. Такая проверка отвечает на вопрос, работает ли система в соответствии с её собственной документацией. Поставленный здесь вопрос иной: соответствует ли поведение системы правилам, установленным самой организацией, — а эти правила поставщику неизвестны и в его документации не отражены.
Кроме того, подтверждение, выданное лицом, поставившим или сопровождающим решение, не обладает признаком независимости, что ограничивает его доказательное значение при обращении к регулятору, акционерам, страховщику или суду.
Как проводится проверка
Порядок соответствует общему порядку работы практики: определение периметра, согласование критериев, запрос материалов, полевые работы, оценка расхождений, обсуждение предварительных результатов, отчёт. Отличие состоит в узости периметра, что позволяет сократить сроки.
Проверка отдельной системы обычно занимает от двух до четырёх недель полевых работ. К этому добавляется горизонт планирования до выхода на объект.
Свидетельства собираются посредством анализа фактических конфигураций, выгрузок и журналов, интервью с сотрудниками, наблюдения за выполнением операций, повторного выполнения контрольных процедур и выборочного тестирования за отчётный период. Тестирование выполняется на данных организации; действия, способные повлиять на работоспособность систем, согласовываются отдельно.
Форма результата
Передаётся отчёт, содержащий описание объёма и применённых процедур, перечень выявленных расхождений с указанием критерия, которому они противоречат, и со свидетельствами, позволяющими воспроизвести наблюдение, оценку рисков по каждому расхождению и реестр рекомендаций с указанием приоритетности.
Отчёт пригоден для представления органам управления организации, а при необходимости — регулятору, контрагенту или иному лицу, в интересах которого проводилась проверка. Рекомендации формулируются в терминах требований и мер контроля; выбор конкретных решений и поставщиков остаётся за организацией.
Границы
Проверке подлежат прикладные системы и процессы управления. Промышленная автоматика и встроенное программное обеспечение оборудования в предмет не входят. Внедрение проверяемых решений и участие в устранении выявленных расхождений в качестве исполнителя не принимаются.
Практика не занимается реализацией программного обеспечения и оборудования, не выступает партнёром поставщиков и не получает от них вознаграждения. Результаты проверки не связаны с последующими закупками организации.
Типовые вопросы
Чем это отличается от комплексного ИТ-аудита
Периметром и формой результата. Комплексный аудит охватывает процессы управления информационными технологиями организации в целом и завершается отчётом с независимым аудиторским заключением. Настоящая проверка ограничена одной системой или одним правилом и отвечает на конкретный поставленный вопрос, что существенно сокращает сроки и объём.
Требуется ли предоставлять доступ в систему
В большинстве случаев достаточно выгрузок настроек, прав доступа и журналов, подготовленных сотрудниками организации, а также демонстрации операций в присутствии специалиста. При необходимости прямого доступа он предоставляется в режиме чтения и в согласованном объёме.
Что происходит, если внутренние документы отсутствуют или устарели
Отсутствие или неактуальность документов фиксируется как расхождение. В таком случае критерии проверки согласовываются на основании иных источников: договоров, применимых требований, объявленных клиентам условий, решений органов управления.
Возможно ли провести проверку без уведомления сотрудников подразделения
Работы проводятся открыто и предполагают взаимодействие с сотрудниками. Вопросы, требующие иного порядка, относятся к направлению расследования обстоятельств и рассматриваются отдельно.
Может ли проверка завершиться выводом об отсутствии расхождений
Да. Подтверждение соответствия является таким же результатом, как и выявление расхождений, и оформляется в том же порядке.