#1 2021.02.02 08:21:11
0
«International Professional Practices Framework (IPPF) for Internal Auditing Standards»
Международный стандарт проведения внутреннего аудита от Института Внутренних Аудиторов (IIA). Действующая редакция выпущена в 2013 году. Целевая аудитория стандарта – сотрудники внутреннего аудита.
Целью стандарта является определение:
• базовых принципов проведения внутреннего аудита;
• стандартного набора практик проведения внутреннего аудита;
• базовых показателей оценки эффективности процедур внутреннего аудита.
Несмотря на то, что стандарт не разрабатывался как стандарт ИТ-аудита, он определяет универсальные принципы и подходы, которые могут быть использованы, как при проведении внутреннего финансового и операционного аудита, так и при проведении внутреннего аудита информационных технологий.
Для методологической поддержки стандарта в части проведения ИТ-аудита, ассоциацией IIA были разработаны детальные руководства по оценке ИТ-рисков (Guide to the Assessment of IT Risk) и аудиту информационных технологий (Global Technology Audit Guide).
Руководство «Guide to the Assessment of IT Risk» (GAIT) описывает взаимосвязь между бизнес-рисками, ключевыми контролями, встроенными в бизнес-процессы, автоматизированными контролями, критичными ИТ-функциями и Общими ИТ-контролями (IT General Controls)2.
Руководство GAIT включает следующие публикации:
1) Методология GAIT (The GAIT Methodology) – описывает риск-ориентированный подход к определению и оценке Общих ИТ-контролей в рамках оценки управления системой внутреннего контроля необходимой для соответствия Статье 404 закона Сарбейнза-Оксли.
2) GAIT для оценки недостатков Общих ИТ-контролей (GAIT for IT General Control Deficiency Assessment) – описывает подход к определению критичности и материальности недостатков Общих ИТ-контролей, выявленных в рамках оценки соответствия Статье 404 закона Сарбейнза-Оксли.
3) GAIT для оценки бизнес и ИТ-рисков (GAIT for Business and IT Risk) — описывает шаги по определению ключевых ИТ-контролей, которые критичны для достижения бизнес целей и задач организации.
Руководство по аудиту информационных технологий «Global Technology Audit Guide» (GATG) состоит из 15 публикаций, описывающих процессы, процедуры и техники, используемые при проведении проверок информационных систем:
1. ИТ риски и контроли (Information Technology Risk and Controls)
2. Контроли в процессах внесения изменений и обновлений ИТ-систем (Change and Patch Management Controls)
3. Процесс непрерывного аудита (Continuous Auditing)
4. Управление процессами ИТ-аудита (Management of IT Auditing)
5. ИТ-аутсорсинг (Information Technology Outsourcing)
6. Аудит автоматизированных контролей (Auditing Application Controls)
7. Управление доступом (Identity and Access Management)
8. Управление непрерывностью бизнеса (Business Continuity Management)
9. Разработка плана аудиторской проверки ИТ (Developing the IT Audit Plan)
10. Аудит ИТ-проектов (Auditing IT Projects)
11. Обнаружение и предотвращение мошенничества, связанного с использованием ИТ-технологий (Fraud Prevention and Detection in an Automated World)
12. Аудит приложений, разработанных пользователями (Auditing User-developed Applications)
13. Управлние информационной безопасностью (Information Security Governance)
14. Технологии анализа информации (Data Analysis Technologies)
15. Аудит управления ИТ-функцией (Auditing IT Governance)
Детальность и бизнес-ориентированность данных стандартов, являются его сильными сторонами. Тем не менее, так как стандарт и поддерживающие руководства разрабатывались для использования специалистами не имеющими глубокого ИТ-бэкграунда, используемая терминология не всегда точно описывает технические аспекты проведения ИТ-аудита. Также некоторые руководства не обновлялись несколько лет.
Международный стандарт проведения внутреннего аудита от Института Внутренних Аудиторов (IIA). Действующая редакция выпущена в 2013 году. Целевая аудитория стандарта – сотрудники внутреннего аудита.
Целью стандарта является определение:
• базовых принципов проведения внутреннего аудита;
• стандартного набора практик проведения внутреннего аудита;
• базовых показателей оценки эффективности процедур внутреннего аудита.
Несмотря на то, что стандарт не разрабатывался как стандарт ИТ-аудита, он определяет универсальные принципы и подходы, которые могут быть использованы, как при проведении внутреннего финансового и операционного аудита, так и при проведении внутреннего аудита информационных технологий.
Для методологической поддержки стандарта в части проведения ИТ-аудита, ассоциацией IIA были разработаны детальные руководства по оценке ИТ-рисков (Guide to the Assessment of IT Risk) и аудиту информационных технологий (Global Technology Audit Guide).
Руководство «Guide to the Assessment of IT Risk» (GAIT) описывает взаимосвязь между бизнес-рисками, ключевыми контролями, встроенными в бизнес-процессы, автоматизированными контролями, критичными ИТ-функциями и Общими ИТ-контролями (IT General Controls)2.
Руководство GAIT включает следующие публикации:
1) Методология GAIT (The GAIT Methodology) – описывает риск-ориентированный подход к определению и оценке Общих ИТ-контролей в рамках оценки управления системой внутреннего контроля необходимой для соответствия Статье 404 закона Сарбейнза-Оксли.
2) GAIT для оценки недостатков Общих ИТ-контролей (GAIT for IT General Control Deficiency Assessment) – описывает подход к определению критичности и материальности недостатков Общих ИТ-контролей, выявленных в рамках оценки соответствия Статье 404 закона Сарбейнза-Оксли.
3) GAIT для оценки бизнес и ИТ-рисков (GAIT for Business and IT Risk) — описывает шаги по определению ключевых ИТ-контролей, которые критичны для достижения бизнес целей и задач организации.
Руководство по аудиту информационных технологий «Global Technology Audit Guide» (GATG) состоит из 15 публикаций, описывающих процессы, процедуры и техники, используемые при проведении проверок информационных систем:
1. ИТ риски и контроли (Information Technology Risk and Controls)
2. Контроли в процессах внесения изменений и обновлений ИТ-систем (Change and Patch Management Controls)
3. Процесс непрерывного аудита (Continuous Auditing)
4. Управление процессами ИТ-аудита (Management of IT Auditing)
5. ИТ-аутсорсинг (Information Technology Outsourcing)
6. Аудит автоматизированных контролей (Auditing Application Controls)
7. Управление доступом (Identity and Access Management)
8. Управление непрерывностью бизнеса (Business Continuity Management)
9. Разработка плана аудиторской проверки ИТ (Developing the IT Audit Plan)
10. Аудит ИТ-проектов (Auditing IT Projects)
11. Обнаружение и предотвращение мошенничества, связанного с использованием ИТ-технологий (Fraud Prevention and Detection in an Automated World)
12. Аудит приложений, разработанных пользователями (Auditing User-developed Applications)
13. Управлние информационной безопасностью (Information Security Governance)
14. Технологии анализа информации (Data Analysis Technologies)
15. Аудит управления ИТ-функцией (Auditing IT Governance)
Детальность и бизнес-ориентированность данных стандартов, являются его сильными сторонами. Тем не менее, так как стандарт и поддерживающие руководства разрабатывались для использования специалистами не имеющими глубокого ИТ-бэкграунда, используемая терминология не всегда точно описывает технические аспекты проведения ИТ-аудита. Также некоторые руководства не обновлялись несколько лет.