Контроль информационных технологий - Information technology controls

В бизнес и бухгалтерский учет, контроль информационных технологий (или же ИТ-контроль) - это особые действия, выполняемые людьми или системами, предназначенные для обеспечения достижения бизнес-целей. Они являются частью корпоративной внутренний контроль. Цели ИТ-контроля касаются конфиденциальности, целостности и доступности данных, а также общего управления ИТ-функцией бизнес-предприятия. ИТ-средства управления часто описываются в двух категориях: общие средства ИТ-контроля (ITGC ) и средства управления ИТ-приложениями. ITGC включает контроль над Информационные технологии (ИТ) среда, компьютерные операции, доступ к программам и данным, разработка программ и изменения программ. Элементы управления ИТ-приложениями относятся к элементам управления обработкой транзакций, иногда называемым элементами управления «ввод-обработка-вывод». Контроль за информационными технологиями получил повышенное внимание в корпорациях, перечисленных в Соединенные Штаты посредством Закон Сарбейнса-Оксли. В COBIT Структура (цели контроля для информационных технологий) - это широко используемая структура, разработанная Институтом управления ИТ, которая определяет различные цели ITGC и контроля приложений и рекомендуемые подходы к оценке. ИТ-отделы в организациях часто возглавляют Руководитель информационной службы (CIO), который отвечает за обеспечение эффективного контроля информационных технологий.

Общий контроль ИТ (ITGC)

ITGC представляет собой основу структуры управления ИТ. Они помогают обеспечить надежность данных, генерируемых ИТ-системами, и подтверждают утверждение, что системы работают должным образом и что выходные данные являются надежными. ITGC обычно включает следующие типы контроля:

Контрольная среда или средства контроля, разработанные для формирования корпоративной культуры или "тон наверху."
Управление изменениями процедуры - средства управления, предназначенные для обеспечения того, чтобы изменения соответствовали бизнес-требованиям и были утверждены.
Исходный код /документ управление версиями процедуры - средства управления, предназначенные для защиты целостности программного кода
Жизненный цикл разработки программного обеспечения стандарты - средства контроля, обеспечивающие эффективное управление ИТ-проектами.
Логический доступ политики, стандарты и процессы - средства управления, предназначенные для управления доступом в зависимости от потребностей бизнеса.
Управление происшествиями политики и процедуры - средства контроля, предназначенные для устранения ошибок оперативной обработки.
Управление проблемами политики и процедуры - средства управления, предназначенные для выявления и устранения основной причины инцидентов.
Техническая поддержка политики и процедуры - политики, помогающие пользователям работать более эффективно и сообщать о проблемах.
Аппаратное обеспечение /программного обеспечения настройка, установка, тестирование, стандарты управления, политики и процедуры.
Аварийное восстановление /резервное копирование и восстановление процедуры, позволяющие продолжить обработку, несмотря на неблагоприятные условия.
Физическая охрана - средства контроля для обеспечения физической защиты информационных технологий от людей и от экологических рисков.

Управление ИТ-приложениями

Управление ИТ-приложениями или программами полностью автоматизировано (т. Е. Выполняется автоматически системами) и предназначено для обеспечения полной и точной обработки данных от ввода до вывода. Эти элементы управления различаются в зависимости от бизнес-цели конкретного приложения. Эти элементы управления также могут помочь обеспечить конфиденциальность и безопасность данных, передаваемых между приложениями. Категории средств управления ИТ-приложениями могут включать:

Проверки полноты - средства контроля, обеспечивающие обработку всех записей от начала до завершения.
Проверки действительности - средства контроля, обеспечивающие ввод или обработку только достоверных данных.
Идентификация - средства контроля, обеспечивающие однозначную и неопровержимую идентификацию всех пользователей.
Аутентификация - элементы управления, обеспечивающие механизм аутентификации в системе приложения.
Авторизация - элементы управления, обеспечивающие доступ к системе приложения только утвержденным бизнес-пользователям.
Элементы управления вводом - элементы управления, обеспечивающие целостность данных, передаваемых из вышестоящих источников в систему приложения.
Криминалистический контроль - контроль, обеспечивающий правильность данных с научной и математической точек зрения на основе входных и выходных данных.

ИТ-контроль и ИТ-директор / директор по информационной безопасности

Организация Руководитель информационной службы (ИТ-директор) или Директор по информационной безопасности (CISO) обычно отвечает за безопасность, точность и надежность систем, которые управляют и сообщают данные компании, включая финансовые данные. Финансовый учет и Планирование ресурсов предприятия системы интегрированы в инициирование, авторизацию, обработку и отчетность финансовых данных и могут участвовать в соблюдении законов Сарбейнса-Оксли в той степени, в которой они снижают конкретные финансовые риски.

Системы внутреннего контроля

COBIT (Контрольные цели для информационных технологий)

COBIT - это широко используемая структура, содержащая передовой опыт руководства и управления информацией и технологиями, нацеленная на все предприятие. Он состоит из доменов и процессов. Базовая структура показывает, что ИТ-процессы удовлетворяют бизнес-требованиям, что обеспечивается конкретными ИТ-операциями. COBIT определяет факторы проектирования, которые следует учитывать предприятию для создания наиболее подходящей системы управления. COBIT решает проблемы управления, группируя соответствующие компоненты управления по целям управления и управления, которыми можно управлять до требуемых уровней возможностей.^[1]

COSO

В Комитет организаций-спонсоров Комиссии Тредуэя (COSO) выделяет пять компонентов внутреннего контроля: контрольная среда, оценка рисков, контрольные мероприятия, информация и коммуникация и мониторинг, которые необходимы для достижения финансовая отчетность и цели раскрытия информации; COBIT предоставить аналогичное подробное руководство для ИТ, в то время как взаимосвязанные Вал IT концентрируется на управлении ИТ на более высоком уровне и вопросах соотношения цены и качества. Пять компонентов COSO можно визуализировать как горизонтальные слои трехмерного куба с COBIT предметные домены - применительно к каждому индивидуально и в совокупности. Четверка COBIT основные области: планирование и организация, приобретение и внедрение, доставка и поддержка, мониторинг и оценка.

Контроль ИТ и Закон Сарбейнса-Оксли (SOX)

SOX (часть Федеральный закон США ) требует от генерального директора и главных финансовых директоров публичных компаний подтверждать точность финансовой отчетности (Раздел 302) и требует от публичных компаний установления надлежащего внутреннего контроля над финансовой отчетностью (Раздел 404). Принятие SOX привело к усилению внимания к средствам контроля ИТ, поскольку они поддерживают финансовую обработку и, следовательно, входят в сферу оценки внутреннего контроля руководством в соответствии с разделом 404 SOX.

Структура COBIT может использоваться для обеспечения соответствия SOX, хотя COBIT значительно шире по своему охвату. Руководство по SOX 2007 года от PCAOB^[2] и SEC^[3] заявляют, что средства контроля ИТ должны быть частью оценки SOX 404 только в той степени, в которой учитываются конкретные финансовые риски, что значительно сокращает объем средств контроля ИТ, требуемых при оценке. Это решение об определении объема работ является частью Оценка рисков SOX 404 сверху вниз. Кроме того, Заявление о стандартах аудита № 109 (SAS109)^[4] обсуждает ИТ-риски и цели контроля, относящиеся к финансовому аудиту, и упоминается в руководстве SOX.

ИТ-средства управления, которые обычно входят в сферу оценки SOX 404, могут включать:

Специальные процедуры контроля приложений (обработки транзакций), которые напрямую снижают выявленные риски финансовой отчетности. Обычно в основных приложениях каждого финансового процесса имеется несколько таких элементов управления, таких как кредиторская задолженность, начисление заработной платы, главная бухгалтерская книга и т. Д. Основное внимание уделяется «ключевым» элементам управления (те, которые конкретно направлены на риски), а не всему приложению.
Общие средства управления ИТ, которые подтверждают утверждения о том, что программы функционируют должным образом и что ключевые финансовые отчеты надежны, в первую очередь средства контроля изменений и безопасности;
Средства контроля ИТ-операций, обеспечивающие выявление и исправление проблем с обработкой.

Конкретные действия, которые могут потребоваться для поддержки оценки вышеперечисленных ключевых средств контроля, включают:

Понимание организации внутренний контроль программа и ее финансовая отчетность процессы.
Выявление ИТ-систем, участвующих в инициировании, авторизации, обработке, обобщении и отчетности финансовых данных;
Определение ключевых средств контроля, направленных на устранение конкретных финансовых рисков;
Разработка и внедрение средств контроля, предназначенных для снижения выявленных рисков, и их мониторинг для обеспечения постоянной эффективности;
Документирование и тестирование средств контроля ИТ;
Обеспечение обновления и изменения средств управления ИТ по мере необходимости в соответствии с изменениями в процессах внутреннего контроля или финансовой отчетности; и
Мониторинг ИТ-средств контроля для обеспечения эффективной работы с течением времени.

Чтобы соответствовать требованиям закона Сарбейнса-Оксли, организации должны понимать, как работает процесс финансовой отчетности, и уметь определять области, в которых технологии играют решающую роль. При рассмотрении того, какие средства контроля включить в программу, организации должны понимать, что средства контроля ИТ могут иметь прямое или косвенное влияние на процесс финансовой отчетности. Например, средства управления ИТ-приложениями, обеспечивающие полноту транзакций, могут быть напрямую связаны с финансовыми утверждениями. С другой стороны, средства контроля доступа существуют в этих приложениях или в их поддерживающих системах, таких как базы данных, сети и операционные системы, одинаково важны, но не напрямую связаны с финансовым утверждением. Элементы управления приложениями обычно согласованы с бизнес-процесс что приводит к финансовым отчетам. Несмотря на то, что в организации работает множество ИТ-систем, соблюдение закона Сарбейнса-Оксли сосредоточено только на тех, которые связаны со значительным счетом или связанным бизнес-процессом и снижают конкретные материальные финансовые риски. Такое внимание к рискам позволяет руководству значительно сократить объем общего контрольного тестирования ИТ в 2007 году по сравнению с предыдущими годами.

Раздел	Заголовок	Описание
302	Корпоративная ответственность за финансовые отчеты	Подтверждает, что точность финансовой отчетности и операционная деятельность были задокументированы и предоставлены генеральному директору и финансовому директору для сертификации.
404	Управленческая оценка внутреннего контроля	Операционные процессы документируются и практикуются, демонстрируя происхождение данных в балансе. Раздел 404 SOX (Раздел 404 Закона Сарбейнса-Оксли) предписывает всем публично торгуемым компаниям установить внутренний контроль и процедуры финансовой отчетности, а также документировать, тестировать и поддерживать эти средства контроля и процедуры для обеспечения их эффективности.
409	Раскрытие информации об эмитенте в режиме реального времени	Публичные компании должны сообщать об изменениях в своем финансовом состоянии или деятельности в режиме реального времени, чтобы защитить инвесторов от несвоевременного сообщения о существенных событиях.
802	Уголовные наказания за подделку документов	Требует, чтобы публичные компании и их публичные бухгалтерские фирмы хранили записи, включая электронные записи, которые влияют на активы или результаты деятельности компании. Штрафы и тюремное заключение для тех, кто сознательно и умышленно нарушает этот раздел в отношении (1) уничтожения, изменения или фальсификации записей в федеральных расследованиях и банкротстве и (2) уничтожения записей корпоративного аудита.

Раскрытие информации в реальном времени

Раздел 409 требует, чтобы публичные компании раскрывали информацию о существенных изменениях в их финансовом состоянии или деятельности в оперативном порядке. Компаниям необходимо определить, способны ли их существующие финансовые системы, такие как приложения для управления ресурсами предприятия, предоставлять данные в реальном времени, или же организации потребуется добавить такие возможности или использовать специальное программное обеспечение для доступа к данным. Компании также должны учитывать изменения, происходящие извне, например, изменения со стороны клиентов или деловых партнеров, которые могут существенно повлиять на их собственное финансовое положение (например, банкротство и дефолт ключевого клиента / поставщика).

Чтобы соответствовать Разделу 409, организации должны оценивать свои технологические возможности по следующим категориям:

Наличие внутренних и внешних порталов - Порталы помогают направлять и определять проблемы и требования отчетности для инвесторов и других заинтересованных сторон. Эти возможности удовлетворяют потребность в быстром раскрытии информации.

Широта и адекватность финансовых триггеров и предупреждений - Организация устанавливает путевые тросы, которые приведут к раскрытию информации по Разделу 409.

Адекватность репозиториев документов - Репозитории играют решающую роль в мониторинге событий для оценки потребностей в раскрытии информации и обеспечивают механизм аудита адекватности раскрытия информации.

Способность быть одним из первых Расширяемый язык бизнес-отчетности (XBRL) - XBRL станет ключевым инструментом для интеграции и взаимодействия транзакционных систем, инструментов отчетности и анализа, порталов и репозиториев.

Раздел 802 и хранение записей

Раздел 802 Закона Сарбейнса-Оксли требует, чтобы публичные компании и их бухгалтерские фирмы вели все рабочие документы аудита или проверки в течение пяти лет с конца финансового периода, в котором аудит или обзор был завершен. Сюда входят электронные записи, которые создаются, отправляются или получаются в связи с аудитом или проверкой. В качестве внешние аудиторы в определенной степени полагаться на работу внутреннего аудита, это будет означать, что записи внутреннего аудита также должны соответствовать Разделу 802.

В связи с хранением документов другой проблемой является безопасность носителей информации и степень защиты электронных документов как для текущего, так и для будущего использования. Требование пятилетнего хранения записей означает, что современные технологии должны поддерживать то, что хранилось пять лет назад. Из-за быстрых изменений в технологиях некоторые из современных средств массовой информации могут устареть в ближайшие три-пять лет. Сохраненные сегодня данные аудита невозможно восстановить не из-за ухудшения качества данных, а из-за устаревшего оборудования и носителей.

Раздел 802 требует, чтобы организации ответили на вопросы по управлению содержанием SOX. Вопросы, связанные с ИТ, включают политику и стандарты по хранению, защите и уничтожению записей, онлайн-хранилищу, контрольным журналам, интеграции с корпоративным репозиторием, рыночным технологиям, программному обеспечению SOX и многому другому. Кроме того, организации должны быть готовы защищать качество своих ведение документации программа (РМ); полнота RM (т.е. бумажная, электронная, транзакционная связь, которая включает электронные письма, мгновенные сообщения, и электронные таблицы которые используются для анализа финансовых результатов), адекватность жизненного цикла удержания, неизменность практик RM, контрольные журналы а также доступность и контроль содержания RM.

Приложение для конечного пользователя / элементы управления электронной таблицей

Электронные таблицы или базы данных на базе ПК часто используются для предоставления важных данных или расчетов, относящихся к областям финансового риска в рамках оценки SOX 404. Финансовые электронные таблицы часто относят к инструментам вычислений конечного пользователя (EUC), в которых исторически отсутствовали традиционные средства управления ИТ. Они могут поддерживать сложные вычисления и обеспечивать значительную гибкость. Однако гибкость и мощность сопряжены с риском ошибок, повышенным потенциалом мошенничества и неправильного использования критически важных электронных таблиц, не соответствующих жизненному циклу разработки программного обеспечения (например, проектирование, разработка, тестирование, проверка, развертывание). Чтобы исправить и контролировать электронные таблицы, общественные организации могут применять такие меры контроля, как:

Таблицы инвентаризации и ранжирования рисков, относящиеся к критическим финансовым рискам, которые определены как подпадающие под оценку SOX 404. Как правило, они связаны с ключевыми оценками и суждениями предприятия, где используются сложные расчеты и допущения. Таблицы, используемые только для загрузки и выгрузки, не вызывают беспокойства.
Выполните анализ рисков, чтобы выявить логические ошибки электронной таблицы. Для этого существуют автоматизированные инструменты.
Убедитесь, что расчеты в электронной таблице работают должным образом (т. Е. Их "базовый уровень").
Убедитесь, что изменения в основных расчетах утверждены должным образом.

Ответственность за контроль над электронными таблицами является совместной обязанностью бизнес-пользователей и ИТ. ИТ-организация обычно заботится о предоставлении безопасного общего диска для хранения электронных таблиц и резервного копирования данных. За остальное отвечает деловой персонал.