Finansinių ataskaitų auditoriai vis dažniau klausia ne tik apie skaičius, bet ir apie sistemas, kuriose tie skaičiai gimsta. Jei ERP, apskaitos ar bankinės sistemos valdomos netvarkingai, auditorius negali pasikliauti jų duomenimis. Čia į pagalbą ateina IT auditas – tiksliau, bendrųjų IT kontrolių (angl. IT General Controls, ITGC) auditas.
Kas yra ITGC?
ITGC – tai pagrindinės kontrolės, užtikrinančios, kad finansiniams duomenims svarbios sistemos veiktų patikimai, o duomenys būtų išsamūs, tikslūs ir apsaugoti nuo neautorizuotų pakeitimų. Jos taikomos visoms svarbioms sistemoms, nepriklausomai nuo to, ar jos veikia jūsų serveriuose, ar debesyje.
Keturios sritys, kurias tikrina auditorius
- Prieigų valdymas – kas suteikia teises, ar jos patvirtintos, ar laiku panaikinamos išėjusiems darbuotojams, kaip valdomos administratorių paskyros, ar periodiškai peržiūrimos teisės.
- Pakeitimų valdymas – ar sistemų pakeitimai užregistruojami, testuojami ir patvirtinami prieš diegiant, ar atskirtos kūrimo ir gamybinė aplinkos.
- IT operacijos – atsarginės kopijos ir jų atkūrimo testai, suplanuotų užduočių stebėsena, incidentų registravimas.
- Sistemų kūrimas ir įsigijimas – kaip parenkamos, diegiamos ir priimamos naujos sistemos, ar duomenų migracija patikrinta.
IT auditas, IT sistemų auditas ir ITGC: kuo skiriasi?
„IT auditas“ – platus terminas: jis gali apimti IT valdymą, kibernetinę saugą, atitiktį NIS2 ar DORA reikalavimams. IT sistemų auditas paprastai vertina, ar konkreti sistema (ERP, apskaita, CRM) veikia patikimai ir saugiai. ITGC auditas yra jų dalis, orientuota į finansinei atskaitomybei svarbias kontroles. Praktikoje jie dažnai atliekami kartu, o vidaus IT auditas padeda iš anksto pasiruošti išorės auditoriui. Jei labiau rūpi saugumo spragos, verta atlikti kibernetinio saugumo auditą.
Dažniausios pastabos
- Bendros (dalijamos) administratorių paskyros.
- Išėjusių darbuotojų aktyvios paskyros.
- Nėra įrodymų, kad prieigos teisės buvo peržiūrėtos.
- Pakeitimai diegiami be patvirtinimo ar testavimo.
- Atsarginės kopijos daromos, bet atkūrimas niekada netestuotas.
- Tiekėjų (outsourcing) kontrolės nepatikrintos – nėra SOC ataskaitų ar sutartinių reikalavimų.
Kaip pasiruošti?
Svarbiausia taisyklė: kontrolė, kurios negalima įrodyti, auditoriui neegzistuoja. Todėl:
- Sudarykite svarbių sistemų sąrašą ir nurodykite jų savininkus.
- Įdiekite paprastą prieigų suteikimo ir peržiūros procesą (pvz., kas ketvirtį).
- Registruokite pakeitimus ir jų patvirtinimus vienoje vietoje.
- Bent kartą per metus išbandykite duomenų atkūrimą ir užfiksuokite rezultatą.
- Prieš išorinį auditą atlikite vidinę patikrą.
Finansų sektoriuje ITGC glaudžiai susijusios su DORA reikalavimais, todėl gerai sutvarkytos kontrolės padeda iš karto dviem frontais. AuraGroup atlieka nepriklausomus ITGC ir vidaus IT auditus. Daugiau apie IT auditą ir DORA arba susisiekite.
LT 
EN