Pagal 5100-ąsias GUID informacinių technologijų auditas[1] gali būti apibrėžiamas kaip kontrolės priemonių, susijusių su IT grindžiamomis informacinėmis sistemomis, tikrinimas siekiant nustatyti nukrypimų nuo kriterijų atvejus – kriterijai, savo ruožtu, nustatyti atsižvelgiant į atliekamo audito tipą, t. y. finansinį, atitikties arba veiklos. IT auditas gali būti atliekamas kaip atskiras auditas, kurio metu vertinamos IT kontrolės priemonės atitikties ir (ar) 3E aspektais arba gali būti atliekamas kaip finansinio, veiklos ar atitikties audito dalis, t. y. jungtinis auditas. Išsamiau Jungtinių auditų skiltyje.
INTOSAI IT audito darbo grupės (WGITA) ir INTOSAI vystymo iniciatyvos (IDI) parengtame IT audito vadove[2] IT auditas apibrėžiamas kaip patikinimo dėl to, ar IT sistemų kūrimas, diegimas ir priežiūra atitinka verslo tikslus, apsaugo informacijos turtą ir išlaiko duomenų vientisumą, procesas. Kitaip tariant, IT auditas yra IT sistemų ir IT kontrolės priemonių, skirtų užtikrinti, kad sistemos atitiktų organizacijos poreikius, nepakenkiant saugumui, privatumui, sąnaudoms ir kitiems svarbiems verslo elementams, nagrinėjimas.
Dar kituose šaltiniuose[3] pateikiama IT audito sąvoka, pagal kurią tai procesas, kurio metu renkami ir įvertinami įrodymai, siekiant nustatyti, ar kompiuterinė sistema saugo turtą, palaiko duomenų vientisumą, leidžia efektyviai pasiekti organizacijos tikslus ir efektyviai naudoja išteklius. Harvardo universitetas pateikia tokį IT audito apibrėžimą: „Informacinių technologijų auditas – tai organizacijos informacinių technologijų infrastruktūros, taikomųjų programų, duomenų naudojimo ir valdymo, politikos, procedūrų ir veiklos procesų patikrinimas ir įvertinimas pagal pripažintus standartus arba nustatytą politiką. Audito metu įvertinama, ar informacinių technologijų turto apsaugos kontrolės priemonės užtikrina vientisumą ir yra suderintos su organizacijos tikslais ir uždaviniais“.
Nepaisant gausybės įvairių IT audito sąvokų ir bruožų, bendras šių auditų aspektas yra pateikti išvadą apie tai, kiek IT kontrolės priemonės yra pakankamos[4] ir patikimos[5], kad užtikrintų audituojamojo subjekto veiklos tikslų pasiekimą.
Taigi IT auditas yra plati sąvoka, be to, atsižvelgiant į audito tikslą jis gali pasižymėti atitikties auditų (IT kontrolės priemonių atitikties teisės aktų ir (ar) kitiems reikalavimams vertinimas) ir (ar) veiklos auditų (IT kontrolės priemonių ekonomiškumo, efektyvumo, rezultatyvumo vertinimas) bruožais:
Gali būti atvejų, kai IT auditai skirti tik tam tikroms IT sritims įvertinti.
[1] 5100 GUID vartojama sąvoka „IS auditas“, šioje svetainėje vartojama sąvoka „IT auditas“, kuri IT sąvokos kontekste turi platesnę reikšmę. Išsamiau informacinės sistemos ir informacinių technologijų sąvokų paaiškinimai pateikti Santrumpų ir savokų skiltyje.
[2] WGITA – IDI IT audito vadovas (angl. WGITA – IDI Handbook in IT audit for Supreme Audit Institution), 2022 m. leidimas.
[3] Indijos AAI Informacinių technologijų audito vadovas.
[4] IT kontrolės priemonės pakankamos, kai jos sukurtos tokia apimtimi kurių pakanka, kad būtų sudarytos tinkamos sąlygos organizacijai, atsižvelgiant į jos veiklos specifiką ir mastą, siekti savo nustatytų tikslų.
[5] IT kontrolės priemonės patikimos, kai jos tinkamai sukurtos ir įgyvendinamos taip, kaip numatyta organizacijos politikoje, standarte, tvarkoje, teisės akte, techninėje specifikacijoje ar kitose dokumentuose.
Paprastai atliekant IT auditus auditorius turi suprasti galimą veiklos ir IT riziką, su kuria gali susidurti audituojamas subjektas, ir savo ruožtu ištestuoti ir įvertinti, ar subjekto įdiegtos IT kontrolės priemonės yra pakankamos ir patikimos siekiant įgyvendinti organizacijos tikslus.
Vidaus kontrolės sistema – tai politikos, procedūrų ir metodų, užtikrinančių organizacijos turto apsaugą, finansų apskaitos tikslumą ir patikimumą bei valdymo standartų laikymąsi, derinys. IT srityje kontrolės priemonės, kurios yra organizacijos vidaus kontrolės sistemos dalis, skirstomos į dvi kategorijas: IT bendrosios kontrolės ir taikomųjų programų kontrolės.
IT kontrolės priemonės
IT bendroji kontrolė yra IT kontrolės sistemos pagrindas. Ji susijusi su bendra aplinka, kurioje IT sistemos yra kuriamos, eksploatuojamos ir prižiūrimos. IT bendrosios kontrolės priemonės nustato bendrą IT veiklos kontrolės sistemą ir užtikrina, kad bendri kontrolės tikslai būtų pasiekti. Šios kontrolės priemonės įgyvendinamos naudojant įvairias priemones, pvz.: politiką, gaires ir procedūras, įdiegiant tinkamą valdymo struktūrą, įskaitant organizacijos IT sistemų valdymo struktūrą. IT bendrosios kontrolės pavyzdžiai yra IT strategijos ir IT saugumo politikos rengimas ir įgyvendinimas, IT valdymo komiteto įsteigimas, IT darbuotojų organizavimas siekiant atskirti prieštaringas pareigas ir nelaimių prevencijos ir atkūrimo planavimas.
Taikomosios programos kontrolės priemonės – tai specifinės kontrolės priemonės, būdingos kiekvienai taikomajai programai. Jos taikomos programos segmentams (posistemiams) ir yra susijusios su tokiomis transakcijomis kaip duomenų įvedimas, apdorojimas ir išvestis:
Visos minėtos kontrolės priemonės paprastai susijusios su organizacijos veiklos procesų logika. Išsamiau Taikomųjų programų kontrolės priemonių vertinimas.
IT bendrosios kontrolės priemonės, kitaip nei taikomųjų programų kontrolės priemonės, nėra būdingos tik konkrečioms taikomosioms programoms. IT bendrosios kontrolės tikslas – užtikrinti tinkamą ir saugų organizacijos visos informacinės sistemos ir joje esančių taikomųjų programų kūrimą, veikimą, priežiūrą ir vystymą.
IT bendrųjų kontrolės priemonių rengimas ir įgyvendinimas gali turėti didelį poveikį taikomųjų programų kontrolės veiksmingumui. IT bendrosios kontrolės priemonės suteikia programoms reikalingus išteklius (pvz., žmogiškuosius, procesinius, finansinius) ir bazines kontrolės priemones. Jei IT bendrosios kontrolės priemonės yra silpnos, jos labai sumažina kontrolės priemonių, susijusių su IT taikomosiomis programomis, patikimumą, t. y. IT bendrųjų kontrolės priemonių struktūra ir veikimo veiksmingumas labai priklauso nuo to, kokiu mastu vadovybė gali pasikliauti taikomųjų programų kontrole, siekiant valdyti riziką. Todėl atliekant taikomosios programos kontrolės priemonių vertinimą svarbu įvertinti ir IT bendrosios kontrolės priemonių veikimą.
IT bendrosios kontrolės priemonės, kurios labiausiai daro poveikį taikomosios programos kontrolės priemonėms, yra šios[1]:
[1] INTOSAI IT audito darbo grupė (WGITA) ir INTOSAI vystymo iniciatyva (IDI) parengtas IT audito vadovas, 5 psl.
Kiekviena organizacija sukuria savo veiklai užtikrinti reikiamą vidaus kontrolės priemonių sistemą, kuri užkerta kelią įvairiems incidentams įvykti, leidžia apsaugoti turtą nuo neteisėtų veiksmų, mažina sukčiavimo rizikas, padeda nustatyti galimai atliktus neteisėtus veiksmus ir pan. IT kontrolės priemonės yra organizacijos vidaus kontrolės dalis, kaip ir vidaus kontrolės priemonės, jos skirstomos į 3 tipus:
Auditorius, atlikdamas IT auditą, turi suprasti kokio tipo IT kontrolės priemonės naudojamos audituojamame subjekte, siekiant sumažinti organizacijos rizikas.
Kiekvienas auditas apima tris tarpusavyje susijusias audito šalis:
Sprendimui, kas yra svarbios atsakingosios šalys ir numatomi naudotojai, turi įtakos audito objektas, tikslas, klausimai, pasirinkti audito kriterijai ir kt. Audito metu svarbu įvertinti numatomų naudotojų ir atsakingųjų šalių poreikius ir interesus. Taip auditorius gali užtikrinti, kad šiems subjektams audito ataskaita bus naudinga ir suprantama, bet tai jokiu būdu neturėtų neigiamai paveikti auditoriaus nepriklausomumo ir objektyvaus požiūrio.
Kaip ir bet kokio kito audito atveju, IT audito ataskaitų naudotojai nori būti tikri, kad informacija, kurios pagrindu jie priima sprendimus, yra patikima. Todėl auditoriai turi atlikti atitinkamas procedūras, skirtas sumažinti riziką, kad bus pateiktos netinkamos išvados ir ataskaitoje pateikti informaciją, pagrįstą pakankamais ir tinkamais įrodymais.
Numatomiems naudotojams turi būti suteiktas pakankamo lygio užtikrinimas (tai aukšto lygio, tačiau neabsoliutus užtikrinimas, nes dėl auditui būdingų apribojimų auditas negali suteikti absoliutaus užtikrinimo). Kad to pasiektų, auditorius audito ataskaitoje turi aiškiai pateikti audito tikslą, klausimus, kriterijus, apimtį ir visus svarbius apribojimus, metodus, surinktus įrodymus, pastebėjimus ir išvadas. Svarbu, kad numatomiems naudotojams būtų aiškūs ryšiai tarp šių elementų, kad naudotojai suprastų, jog audito kriterijai, audito pastebėjimai ir išvados yra nešališki ir pagrįsti ir kodėl, atsižvelgiant į audito kriterijus ir pastebėjimus, buvo pateiktos tam tikros išvados ir rekomendacijos. Jeigu tai atliekama tinkamai, numatomi naudotojai gali pasitikėti išvadų pagrįstumu. Tokiu atveju laikoma, kad auditorius suteikė užtikrinimą.
IT audito procesą sudaro šie pagrindiniai etapai:
IT audito proceso etapai
