Informacijska tehnologija
Segment ispituje kako IT okruženje oblikuje rizike i dokaze: opće IT kontrole, aplikacijske kontrole, ERP i reviziju vanjskih pružatelja usluga.
Opće i aplikacijske kontrole
- Opće IT kontrole dijele se na upravljanje pristupom, upravljanje promjenama, IT operacije i razvoj odnosno implementaciju sustava.
- Aplikacijske kontrole uključuju validaciju unosa, kontrolu integriteta, automatizirane obračune, trostruko podudaranje i razdvajanje dužnosti.
- Automatizirane kontrole ovise o općim kontrolama; ako je pristup nekontroliran, ni savršeno konfigurirana aplikacijska kontrola nije pouzdana.
- IT-zavisne ručne kontrole ovise o izvještaju sustava, pa se provjerava potpunost i točnost tog izvještaja.
Vanjski pružatelji i kontinuitet
- Kod cloud rješenja koristi se izvještaj neovisnog revizora (ISAE 3402 ili SOC 1) i procjenjuje dopunske kontrole korisnika.
- Plan kontinuiteta poslovanja, oporavak od katastrofe i sigurnosne kopije provjeravaju se kroz dokumentaciju i testiranje.
- MSR 402 pokriva pružatelje usluga, a MSR 620 korištenje stručnjaka za IT i sigurnost.
Radni primjer
Revizor otkrije da ista osoba u ERP-u kreira dobavljača i odobrava plaćanje. Riječ je o sukobu dužnosti koji omogućuje prijevaru. Postupak: testira se matrica ovlasti, provjerava broj korisnika s kombinacijom uloga i pregledava zapis o izmjenama. Nalaz se priopćava upravi kao nedostatak kontrole.
Zamke
- Testiranje aplikacijske kontrole bez provjere općih kontrola.
- Prihvaćanje SOC izvještaja bez čitanja razdoblja pokrivenosti i dopunskih kontrola korisnika.
- Zanemarivanje privilegiranih korisničkih računa i izravnog pristupa bazi.