ИТ-среда и общие ИТ-контроли в аудите: что проверяют в учётной системе

Что аудитор считает ИТ-средой

МСА 315 определяет ИТ-среду как ИТ-приложения и вспомогательную ИТ-инфраструктуру, а также ИТ-процессы и сотрудников, участвующих в этих процессах, которые организация использует для поддержки хозяйственных операций и реализации бизнес-стратегии. Это шире, чем «программа 1С или её аналог»: в стандарте уточняется, что ИТ-приложения включают хранилища данных и генераторы отчётов, а инфраструктура — сеть, операционные системы, базы данных и соответствующее аппаратное и программное обеспечение.

К ИТ-процессам стандарт относит управление доступом к ИТ-среде, внесение изменений в программы или в ИТ-среду и контроль за функционированием информационных технологий. Именно эти три блока — доступы, изменения и эксплуатация — аудитор проверяет на практике.

Зачем это нужно для аудита отчётности

Стандарт вводит понятие общих средств ИТ-контроля: это средства контроля за ИТ-процессами организации, которые поддерживают непрерывное надлежащее функционирование ИТ-среды. Если они слабые, автоматические проверки и расчёты в учётной системе нельзя считать надёжными: например, пользователь с лишними правами может изменить проводку или настройки расчёта, и ошибка не будет видна в самой отчётности.

Важный нюанс: по тексту стандарта, одного только общего средства ИТ-контроля, как правило, недостаточно для управления риском существенного искажения на уровне предпосылок. Поэтому проверка ИТ — это не отдельный «ИТ-аудит ради ИТ», а часть оценки того, можно ли опираться на контроли компании и насколько расширять проверку остатков и оборотов по существу.

Три группы проверок: доступы, изменения, эксплуатация

В приложении к МСА 315 примеры общих ИТ-контролей сгруппированы по процессам. Для небольшой компании с коробочной учётной программой набор значительно короче, чем для крупной системы управления предприятием, и стандарт это прямо учитывает.

• Управление доступом. Руководство утверждает характер и объём пользовательских прав доступа для нового и изменённого доступа пользователей; доступ уволенных или переведённых сотрудников своевременно удаляется или изменяется; пользовательский доступ периодически проверяется; привилегированные права (администраторы конфигурации, данных и безопасности) авторизованы и надлежащим образом ограничены.
• Управление изменениями. Изменения в приложениях тестируются и утверждаются до переноса в производственную среду; доступ для внедрения изменений ограничен и отделён от среды разработки; при переходе со старой системы на новую руководство утверждает результаты преобразования данных, включая сведение баланса и сверку.
• ИТ-операции. Резервное копирование финансовых данных выполняется на регулярной основе по установленному графику; осуществляется мониторинг важнейших систем, программ или заданий, а ошибки обработки исправляются.

Как это выглядит на примере учётной системы

Условный пример (не реальный клиент). В компании одна учётная программа, бухгалтеров трое. Аудитор запрашивает список пользователей с ролями и сопоставляет его со штатным расписанием. Находит, что учётная запись уволенного кладовщика активна, а у главного бухгалтера и системного администратора — одинаковые полные права, включая настройки закрытия периода. Для аудитора это сигнал: контроль «своевременное удаление доступа» не работает, а разделение обязанностей не обеспечено.

Следствие — не штраф, а изменение подхода: аудитор меньше опирается на встроенные контроли программы и увеличивает долю проверок по существу, то есть вручную тестирует больше проводок и остатков. Для компании это означает больше запросов документов и больше времени на проверку.

Как подготовиться заранее

Достаточно привести в порядок базовые вещи и иметь под рукой подтверждения. Аудитор не ограничивается опросом: стандарт требует определить, внедрено ли средство контроля, выполнением процедур в дополнение к направлению запросов сотрудникам организации, поэтому нужны не слова, а следы в системе.

• список пользователей и ролей с актуальной датой, заявки или приказы на выдачу и отзыв прав;
• перечень администраторов и лиц с правом изменять настройки и закрывать периоды;
• журнал обновлений и настроек учётной программы, описание порядка тестирования перед внедрением;
• график и подтверждения резервного копирования, сведения о проверке восстановления из копии;
• договоры и описание услуг внешних поставщиков, если учётная система размещена у третьей стороны;
• документы по миграции данных, если в периоде меняли программу: акты сверки остатков до и после.

Типичные ошибки

Общий пароль на нескольких бухгалтеров, из-за чего невозможно понять, кто провёл операцию. Права «на всякий случай» у всех сотрудников. Резервные копии, которые делаются, но ни разу не восстанавливались. Переход на новую программу посреди года без сверки остатков.

Отдельно стоит учесть аутсорсинг: стандарт прямо допускает, что организация привлекает внешних или внутренних поставщиков услуг для поддержки определённых аспектов своей ИТ-среды. Передав хостинг или обслуживание подрядчику, компания не снимает с себя вопрос о контролях, и аудитору понадобятся сведения о том, как эти контроли устроены. При более сложной ИТ-среде к работе, как отмечает стандарт, скорее всего потребуется участие членов аудиторской группы со специальными навыками.