Jak przygotować organizację do audytu ITGC – podejście praktyczne

Audyt ITGC (Information Technology General Controls) odgrywa coraz większą rolę w organizacjach wykorzystujących systemy informatyczne do realizacji kluczowych procesów biznesowych oraz raportowania finansowego. Oznacza to, że aktualnie odpowiednio zaprojektowane i funkcjonujące kontrole IT zarówno wspierają bezpieczeństwo danych oraz ograniczają ryzyko operacyjne, jak i zwiększają wiarygodność informacji wykorzystywanych przez kierownictwo i interesariuszy. To jednak nie wszystko. W przypadku organizacji podlegających badaniu sprawozdań finansowych audyt ITGC może również stanowić istotny element oceny środowiska kontroli wewnętrznej i wpływać na zakres oraz przebieg prac audytowych. Właściwe przygotowanie do audytu pozwala zatem nie tylko ograniczyć ryzyko nieoczekiwanych ustaleń, ale również lepiej zrozumieć mocne i słabe strony środowiska kontroli wewnętrznej funkcjonującego w organizacji.

Czym jest audyt ITGC i dlaczego jest tak istotny?

Audyt IT General Controls (ITGC) koncentruje się na ocenie mechanizmów kontrolnych funkcjonujących w środowisku informatycznym organizacji. Jego celem jest potwierdzenie, że systemy wspierające działalność przedsiębiorstwa funkcjonują w sposób bezpieczny, przewidywalny oraz zapewniają odpowiednią ochronę danych i procesów biznesowych.

Znaczenie audytu ITGC jest szczególnie widoczne w organizacjach wykorzystujących systemy informatyczne do przetwarzania danych finansowych oraz realizacji kluczowych procesów operacyjnych. W takich przypadkach skuteczność kontroli IT ma bezpośredni wpływ na wiarygodność informacji wykorzystywanych do sporządzania sprawozdań finansowych, podejmowania decyzji biznesowych oraz zarządzania ryzykiem.

Warto jednak pamiętać, że audyt ITGC nie musi być realizowany wyłącznie na potrzeby badania sprawozdania finansowego. Coraz więcej organizacji traktuje go jako samodzielne narzędzie i wykorzystuje go między innymi do: 

• oceny dojrzałości procesów IT, 
• identyfikacji obszarów podwyższonego ryzyka, 
• weryfikacji skuteczności funkcjonujących procedur kontroli wewnętrznej.

Od których systemów warto rozpocząć przygotowania do kontroli środowiska IT?

Jednym z najczęściej popełnianych błędów podczas przygotowań organizacji do przeprowadzanego przez biegłych rewidentów audytu ITGC jest próba objęcia analizą całego środowiska IT organizacji.

Tak naprawdę pierwszym krokiem powinna być identyfikacja systemów, które wspierają kluczowe procesy biznesowe oraz mają bezpośredni lub pośredni wpływ na sprawozdawczość finansową. To właśnie one najczęściej znajdują się w zakresie audytu i podlegają szczegółowej analizie ze strony audytorów.

W zależności od specyfiki działalności jednostki najważniejsze obszary, które warto zbadać w ramach audytu ITGC mogą obejmować między innymi:

• systemy ERP,
• systemy finansowo-księgowe,
• systemy zakupowe i sprzedażowe,
• systemy odpowiedzialne za produkcję,
• systemy zarządzania tożsamością i dostępami użytkowników.

Odpowiednie określenie zakresu audytu wewnętrznego stanowi jeden z najważniejszych kroków całego procesu. Dlatego już na etapie przygotowań warto przeanalizować zależności pomiędzy aplikacjami oraz określić, które z nich wspierają kluczowe procesy biznesowe i raportowanie finansowe.

O czym warto pamiętać przed rozpoczęciem audytu ITGC?

Organizacje planujące kontrolę środowiska IT muszą pamiętać, że skuteczne przygotowanie podmiotu do przynoszącego konkretne korzyści audytu ITGC nie rozpoczyna się od zgromadzenia dokumentacji na kilka dni przed rozpoczęciem prac audytowych. W praktyce jest to proces wymagający zaangażowania zarówno zespołów IT, jak i właścicieli procesów biznesowych odpowiedzialnych za funkcjonowanie kluczowych systemów.

Jednym z najważniejszych elementów przygotowań jest określenie ról i odpowiedzialności poszczególnych osób uczestniczących w audycie. Audytorzy do odpowiedniego wykonania swojej pracy często potrzebują nie tylko dostępu do dokumentacji, ale również przeprowadzenia rozmów z osobami odpowiedzialnymi za zarządzanie systemami, bezpieczeństwo informacji czy realizację wybranych procesów biznesowych. Dobrą praktyką jest więc wcześniejsze wskazanie właścicieli poszczególnych procesów oraz potwierdzenie, że są oni przygotowani do przedstawienia sposobu funkcjonowania kontroli i związanej z nimi dokumentacji.

Istotne znaczenie ma również weryfikacja, czy funkcjonujące w organizacji procedury odpowiadają rzeczywistym procesom. W wielu przypadkach audytorzy identyfikują rozbieżności pomiędzy zapisami dokumentacji a praktyką stosowaną przez organizację. Nawet dobrze zaprojektowane mechanizmy kontrolne mogą okazać się niewystarczające, jeżeli nie są konsekwentnie realizowane lub nie można wykazać ich faktycznego działania.

Zarządzanie dostępami – obszar najczęściej weryfikowany przez audytorów

Jednym z kluczowych elementów niemal każdego audytu ITGC jest ocena procesu zarządzania dostępami użytkowników do systemów i danych. Aby to ustalić przeprowadzający kontrolę audytorzy koncentrują się przede wszystkim na tym, czy: 

• organizacja posiada mechanizmy pozwalające na właściwe nadawanie, modyfikowanie i odbieranie uprawnień, 
• dostęp użytkowników jest odpowiednio zatwierdzany, 
• proces zarządzania dostępem jest właściwie udokumentowany. 

Istotnym elementem wydawanej przez zespół audytorski oceny są również okresowe przeglądy uprawnień pozwalające potwierdzić, że użytkownicy nadal posiadają wyłącznie dostęp niezbędny do realizacji powierzonych im obowiązków.

Szczególne znaczenie ma uzyskanie zapewnienia, że użytkownicy posiadają wyłącznie dostęp niezbędny do wykonywania powierzonych im obowiązków. Nadmierne uprawnienia zwiększają ryzyko nieautoryzowanego dostępu do danych, błędów operacyjnych oraz nadużyć, zwłaszcza w systemach wspierających procesy finansowe i raportowanie zarządcze.

Audytorzy zwracają także szczególną uwagę na dostęp uprzywilejowany. Konta administratorów, konta techniczne oraz konta serwisowe posiadają zwykle szerokie uprawnienia, dlatego powinny podlegać dodatkowym mechanizmom nadzoru oraz regularnej weryfikacji. Istotne jest również jednoznaczne określenie właścicieli takich kont oraz potwierdzenie ich biznesowej lub technicznej zasadności.

Kopie zapasowe i ciągłość działania

Kopie zapasowe oraz procesy związane z zapewnieniem ciągłości działania mają na celu ograniczenie ryzyka utraty danych oraz zapewnienie możliwości przywrócenia kluczowych systemów i procesów biznesowych po awarii lub incydencie, stanowią więc jeden z podstawowych obszarów ocenianych podczas audytu ITGC.

Z perspektywy kontrolującego organizację audytora istotne jest nie tylko potwierdzenie, że kopie zapasowe są wykonywane, ale również zweryfikowanie tego, czy organizacja posiada odpowiednie procedury regulujące ten proces oraz mechanizmy monitorowania jego skuteczności. Ważnym zagadnieniem jest także sposób przechowywania kopii zapasowych. Dobrą praktyką jest wykorzystywanie w tym celu odrębnych lokalizacji, co ogranicza ryzyko utraty danych.

Co istotne, aby upewnić się, że jednostka nie naraża się na tym polu na żadne ryzyko, podczas audytu ITGC analizowane są również testy odtworzeniowe, które pozwalają potwierdzić możliwość odzyskania danych i przywrócenia działania systemów. Testy takie powinny być odpowiednio udokumentowane, a sporządzony raport powinien wskazywać między innymi:

• zakres przeprowadzonych prac, 
• osoby odpowiedzialne za wykonanie prac, 
• datę realizacji prac, 
• informację czy proces zakończył się powodzeniem.

Jakiej dokumentacji oczekują audytorzy badający systemy IT?

Aby eksperci mogli odpowiednio zweryfikować procesy, decydująca się na kontrolę organizacja powinna przede wszystkim posiadać formalnie wdrożone: 

• polityki, 
• procedury, 
• standardy regulujące funkcjonowanie kluczowych procesów IT. 

To właśnie od ich analizy audytorzy najczęściej rozpoczynają prace, ponieważ tego typu dokumentacja pozwala najszybciej zrozumieć sposób działania organizacji oraz oczekiwany model kontroli.

W pierwszej kolejności audytorzy oceniają, czy przyjęte procedury są kompletne, racjonalne oraz adekwatne do skali działalności przedsiębiorstwa. Analizie podlega nie tylko sama treść dokumentów, ale również przypisane im zakresy odpowiedzialności, częstotliwość wykonywania kontroli procedur oraz sposób postępowania w sytuacjach wyjątkowych.

Do najczęściej analizowanych w ramach audytu ITCG dokumentów należą między innymi:

• polityka bezpieczeństwa informacji,
• procedury zarządzania dostępami użytkowników,
• procedury zarządzania zmianami,
• procedury wykonywania kopii zapasowych,
• plany ciągłości działania i odtwarzania po awarii,
• regulaminy oraz standardy bezpieczeństwa IT.

Warto pamiętać, że z perspektywy audytu środowiska informatycznego dokumentacja jest równie ważna co jej praktyczne stosowanie. Nawet najlepiej opracowana procedura nie będzie miała większej wartości, jeżeli organizacja nie jest w stanie wykazać, że funkcjonuje ona w codziennej działalności. Audytorzy zwracają więc uwagę nie tylko na brak odpowiedniej dokumentacji potwierdzającej realizację kontroli, ale również na przypadki, w których rzeczywisty sposób działania organizacji odbiega od zasad określonych w obowiązujących politykach i procedurach.

Takie rozbieżności mogą świadczyć o nieskutecznym funkcjonowaniu środowiska kontroli, nawet jeśli sama procedura została opracowana poprawnie.

Audytorzy zazwyczaj analizują proces w trzech krokach, sprawdzając:

1. Czy istnieje formalna polityka lub procedura regulująca dany obszar?
2. Czy przyjęte zasady są racjonalne oraz pozwalają ograniczyć istotne ryzyka?
3. Czy rzeczywiste funkcjonowanie procesu jest zgodne z zapisami polityki lub procedury?

Najczęstsze błędy obserwowane podczas audytów ITGC

Niestety, mimo rosnącej dojrzałości organizacji, które coraz sprawniej zarządzają środowiskiem IT, podczas audytów ITGC wciąż regularnie identyfikowane są stałe nieprawidłowości. Najczęściej dotyczą one:

• braku formalnych polityk i procedur regulujących kluczowe procesy IT,
• rozbieżności pomiędzy zapisami dokumentacji a faktycznym przebiegiem procesów,
• nadmiernych uprawnień użytkowników oraz niewystarczającego nadzoru nad dostępami uprzywilejowanymi,
• braku regularnych przeglądów dostępów użytkowników,
• niewystarczającego testowania procesu odtwarzania danych z kopii zapasowych,
• braku dowodów potwierdzających realizację kontroli opisanych w procedurach.

W praktyce wiele ustaleń audytowych nie wynika z całkowitego braku mechanizmów kontrolnych. Znacznie częściej identyfikacja dotyczy niespójnego stosowania lub braku zgodności pomiędzy przyjętymi procedurami a sposobem funkcjonowania organizacji. Z tego względu warto regularnie weryfikować nie tylko samą dokumentację, ale również skuteczność wdrożonych kontroli wewnętrznych oraz ich zgodność z rzeczywistymi procesami biznesowymi.

Audyt ITGC stanowi istotne narzędzie doskonalenia kontroli wewnętrznej

Choć audyt ITGC często kojarzony jest z oceną funkcjonujących kontroli, to jego wartość wykracza daleko poza samą identyfikację nieprawidłowości.

Dobrze przeprowadzony audyt pozwala organizacji uzyskać niezależną ocenę środowiska kontrolnego oraz spojrzeć na własne procesy przez pryzmat doświadczeń zebranych w innych organizacjach i branżach.

W praktyce audyt może stanowić źródło cennych rekomendacji dotyczących usprawnienia procesów, zwiększenia efektywności kontroli oraz ograniczenia ryzyk związanych z funkcjonowaniem środowiska IT. Szczególną wartość mają w tym zakresie obserwacje oparte na dobrych praktykach rynkowych oraz doświadczeniach zdobytych podczas realizacji projektów w organizacjach o podobnej skali lub profilu działalności.

Dzięki temu audyt ITGC staje się nie tylko narzędziem oceny zgodności, ale również wsparciem w budowaniu bardziej dojrzałego i efektywnego środowiska kontroli wewnętrznej, które lepiej odpowiada na potrzeby biznesu oraz rosnące wymagania w zakresie zarządzania ryzykiem. W przypadku chęci dowiedzenia się więcej na ten temat – oraz sprawdzenia, jak zespół RSM Poland może pomóc w tym zakresie – zachęcamy do kontaktu. Nasi eksperci z chęcią odpowiedzą na wszelkie pytania i zaproponują dostosowane do indywidualnych potrzeb rozwiązania.