технические стандарты;

кодексы;

критерии ИС и описание процессов;

профессиональные стандарты;

требования и рекомендации;

требования к банковским услугам, систем электронной торговли и производства.

Основные функции аудита ИС:

анализ бизнес-процессов, технологий и структуры ИС, присущей им рисков;

соответствие политики управления рисками учреждения имеющимся рискам;

действенность системы мониторинга рисков и системы контроля рисков;

независимое оценивание рисков, объективная, беспристрастная проверка результатов самооценки рисков, осуществленных бизнес-подразделами;

идентификация потенциальных проблем и рисков;

объективный аудит проблемных ситуаций и полноты мероприятий их решения;

анализ отчетов мониторинга и контроля с намерением улучшения существующей работы/практики управления рисками;

анализ и предоставление руководству организации полного профиля рисков, выводов относительно стратегии управления рисками, процедур и методов.

Аудит, основанный на рисках, учитывает имеющиеся и потенциальные риски. Одна из групп наиболее существенных рисков группируется под термином "операционный риск", что определяется как: "риск потерь/убытков, что являются результатом неадекватных или неудачных внутренних процессов, роботы/действий людей и систем, или результатом внешних событий". К рискам, которые рассматриваются аудитом, в частности относятся:

Операционный риск (риски безопасности; риски проектирования, реализации и обслуживание систем; риски конечного пользователя и тому подобное);

Законодательный риск (сомнительное или неоднозначное применение законов и правил; предоставление клиенту неадекватной информации; ошибки/отказы в защите конфиденциальности клиента; подчиненность иностранной юрисдикции);

Риск репутации (существенные дефекты системы; существенные нарушения безопасности; проблемы с неправильным использованием такой же или подобной системы или продуктов другими);

Стратегический риск;

Системный риск

Другие.

независимая оценка рисков аудиторами должна охватывать:

Оценку практики организации относительно идентификации и оценку рисков; ответственности за риск, согласно с его профилем;

Эффективность всего процесса управления рисками, а также элементов управления риском;

Системы мониторинга, отчетность, включая данные об операционных расходах и других индикаторах потенциального операционного риска;

Процесс контроля, обзор и проверку безопасности, что гарантируют целостность процесса управления риском и отчетность контроля;

Эффективность усилий относительно минимизации последствий в случаях наступления событий рисков, выявления причин неэффективности.

Деятельность аудиторов, членов ISACA, регламентируется также Кодексом Профессиональной Этики ISACA.

Дополнительно аудит ИС позволяет решить такие вопросы:

Установление процедуры принятия решения о необходимости организации в ИС (наличие стратегического плана развития организации, место и роль ИС в этом плане, прогнозирование проблемных ситуаций);

Отвечает ли ИС целям и задачам бизнеса? Как оптимизировать инвестиции в ИС?

Что происходит внутри этого "черного ящика" - ИС организации?

Сбои в роботе ИС, как выявить и локализовать проблемы, уменьшить убытки?

Как развязываются вопросы информационной безопасности? Достаточные мероприятия ли безопасности?

Как оценить работу подрядочных организаций в отрасли ИС? Есть ли недостатки?

Необходимо ли провести модернизацию оборудования и программного обеспечения?

Почему все время осуществляется закупка дополнительного оборудования и/или программного обеспечения?

Сотрудники информационных технологий постоянно чему-нибудь учатся, есть ли в этом необходимость, на что именно следует обратить внимание?

Что делать в случае возникновения внештатной ситуации? Какие возможны убытки?

Какие возникают риски относительно конфиденциальной информации в ИС организации? Как их минимизировать?

Как оптимально использовать ИС для развития бизнеса?

Отмеченные вопросы должны рассматриваться во взаимосвязи с рисками.

На текущий момент группа компаний имеет в своем штате 8 членов ISACA, из которых 4 сотрудника имеют более чем 10-летний стаж работы в отрасли информационной безопасности банковских систем. Мы сотрудничаем в профессиональной аудиторской деятельности с членами ISACA с других организаций Украины. Гуппа компаний предлагает свои услуги всем организациям, заинтересованным в квалифицированном проведении аудита их информационных систем и/или подготовке (повышению квалификации) их собственных специалистов из внутреннего аудита.