Auditda IT-muhit va umumiy IT-nazorat: hisob tizimida nimalar tekshiriladi

Auditor IT-muhit deb nimani hisoblaydi

XAS 315 IT-muhitni tashkilot xoʻjalik operatsiyalarini qoʻllab-quvvatlash va biznes-strategiyani amalga oshirish uchun foydalanadigan IT-ilovalar va yordamchi IT-infratuzilma, shuningdek, shu jarayonlarda ishtirok etuvchi IT-jarayonlar va xodimlar sifatida belgilaydi. Bu «1C yoki uning analogi» dan kengroq: standartda IT-ilovalarga maʼlumotlar omborlari va hisobot generatorlari kiritilgani, infratuzilmaga esa tarmoq, operatsion tizimlar, maʼlumotlar bazalari hamda tegishli apparat va dasturiy taʼminot kirishi aniqlashtirilgan.

IT-jarayonlarga standart IT-muhitga kirish huquqlarini boshqarish, dasturlarga yoki IT-muhitga oʻzgartirishlar kiritish va axborot texnologiyalari faoliyatini nazorat qilishni kiritadi. Amalda auditor aynan shu uch blokni — ruxsatlar, oʻzgarishlar va ekspluatatsiyani tekshiradi.

Hisobotni auditlash uchun bu nima uchun kerak

Standart umumiy IT-nazorat vositalari tushunchasini kiritadi: bu tashkilotning IT-jarayonlari ustidan nazorat boʻlib, IT-muhitning uzluksiz toʻgʻri ishlashini qoʻllab-quvvatlaydi. Agar ular zaif boʻlsa, hisob tizimidagi avtomatik tekshiruvlar va hisob-kitoblarga tayanib boʻlmaydi: masalan, ortiqcha huquqli foydalanuvchi provodkani yoki hisob-kitob sozlamalarini oʻzgartirishi mumkin, xato esa hisobotning oʻzida koʻrinmaydi.

Muhim nuqta: standart matniga koʻra, bitta umumiy IT-nazorat vositasining oʻzi, odatda, tasdiqlar darajasida jiddiy buzib koʻrsatish xavfini boshqarish uchun yetarli emas. Shuning uchun IT tekshiruvi «IT uchun alohida audit» emas, balki kompaniya nazoratlariga tayanish mumkinligini va qoldiqlar hamda aylanmalar boʻyicha mohiyatan tekshiruvni qanchalik kengaytirish zarurligini baholashning bir qismidir.

Uch guruh tekshiruv: ruxsatlar, oʻzgarishlar, ekspluatatsiya

XAS 315 ilovasida umumiy IT-nazorat misollari jarayonlar boʻyicha guruhlangan. Tayyor hisob dasturidan foydalanadigan kichik kompaniya uchun toʻplam yirik korxona boshqaruv tizimiga qaraganda ancha qisqa va standart buni toʻgʻridan-toʻgʻri hisobga oladi.

• Kirish huquqlarini boshqarish. Rahbariyat yangi va oʻzgargan foydalanuvchi ruxsatlarining mazmuni va hajmini tasdiqlaydi; ishdan boʻshatilgan yoki boshqa lavozimga oʻtkazilgan xodimlarning ruxsati oʻz vaqtida oʻchiriladi yoki oʻzgartiriladi; foydalanuvchi ruxsatlari davriy tekshiriladi; imtiyozli huquqlar (konfiguratsiya, maʼlumotlar va xavfsizlik administratorlari) vakolatlangan va tegishli tarzda cheklangan.
• Oʻzgarishlarni boshqarish. Ilovalardagi oʻzgarishlar ishlab chiqarish muhitiga oʻtkazilishidan oldin sinovdan oʻtkaziladi va tasdiqlanadi; oʻzgarish kiritish huquqi cheklangan va ishlab chiqish muhitidan ajratilgan; eski tizimdan yangisiga oʻtishda rahbariyat maʼlumotlarni oʻzgartirish natijalarini, jumladan balansni solishtirish va tenglashtirishni tasdiqlaydi.
• IT-operatsiyalar. Moliyaviy maʼlumotlarning zaxira nusxasi belgilangan jadval boʻyicha muntazam olinadi; muhim tizimlar, dasturlar yoki topshiriqlar monitoringi olib boriladi, ishlov berishdagi xatolar tuzatiladi.

Hisob tizimi misolida

Shartli misol (haqiqiy mijoz emas). Kompaniyada bitta hisob dasturi va uchta buxgalter bor. Auditor rollari bilan foydalanuvchilar roʻyxatini soʻraydi va uni shtat jadvali bilan solishtiradi. Ishdan ketgan omborchining hisob yozuvi faol ekani, bosh buxgalter va tizim administratorida esa davrni yopish sozlamalarini ham oʻz ichiga olgan bir xil toʻliq huquqlar borligi aniqlanadi. Auditor uchun bu signal: «ruxsatni oʻz vaqtida oʻchirish» nazorati ishlamayapti, vazifalar taqsimoti esa taʼminlanmagan.

Natija — jarima emas, yondashuvning oʻzgarishi: auditor dasturning ichki nazoratlariga kamroq tayanadi va mohiyatan tekshiruvlar ulushini oshiradi, yaʼni koʻproq provodka va qoldiqlarni qoʻlda sinaydi. Kompaniya uchun bu hujjatlar boʻyicha koʻproq soʻrovlar va koʻproq vaqt degani.

Oldindan qanday tayyorlanish kerak

Asosiy narsalarni tartibga keltirish va ularning tasdigʻini tayyor saqlash kifoya. Auditor faqat soʻrov bilan cheklanmaydi: standart nazorat vositasi joriy etilganini tashkilot xodimlariga soʻrov yuborishga qoʻshimcha ravishda protseduralar bajarib aniqlashni talab qiladi, shuning uchun soʻz emas, tizimdagi izlar kerak.

• rollar bilan foydalanuvchilar roʻyxati (dolzarb sana bilan), ruxsat berish va qaytarib olish boʻyicha arizalar yoki buyruqlar;
• administratorlar hamda sozlamalarni oʻzgartirish va davrlarni yopish huquqi bor shaxslar roʻyxati;
• hisob dasturining yangilanishlari va sozlamalari jurnali, joriy etishdan oldin sinov oʻtkazish tartibining tavsifi;
• zaxira nusxa olish jadvali va tasdiqlari, nusxadan tiklashni tekshirish haqida maʼlumot;
• hisob tizimi uchinchi tomonda joylashgan boʻlsa, tashqi xizmat koʻrsatuvchilar bilan shartnomalar va xizmat tavsifi;
• davr ichida dastur almashtirilgan boʻlsa, maʼlumotlar migratsiyasi hujjatlari: oʻtishdan oldingi va keyingi qoldiqlarni solishtirish dalolatnomalari.

Tipik xatolar

Bir nechta buxgalterga umumiy parol, shu sababli operatsiyani kim oʻtkazgani nomaʼlum. «Har ehtimolga qarshi» barcha xodimlarga berilgan huquqlar. Olinadigan, ammo hech qachon tiklanmagan zaxira nusxalar. Yil oʻrtasida qoldiqlarni solishtirmasdan yangi dasturga oʻtish.

Alohida eʼtibor autsorsingga: standart tashkilot oʻz IT-muhitining ayrim jihatlarini qoʻllab-quvvatlash uchun tashqi yoki ichki xizmat koʻrsatuvchilarni jalb qilishi mumkinligini toʻgʻridan-toʻgʻri tan oladi. Xosting yoki xizmat koʻrsatishni pudratchiga topshirgan kompaniya nazorat masalasidan ozod boʻlmaydi, auditorga esa bu nazoratlar qanday tashkil etilgani haqida maʼlumot kerak boʻladi. Murakkabroq IT-muhitda, standart qayd etganidek, audit guruhining maxsus koʻnikmalarga ega aʼzolari ishtirok etishi ehtimoli yuqori.