4.8 Стандарты аудита эффективности ис. Корпоративные стандарты.

Аудит информационных систем и технологий – системный процесс получения и оценки объективных данных о текущем состоянии информационных систем и технологий, действиях и событиях происходящих в них, устанавливающий уровень их соответствия определенному критерию и предоставляющий результаты заказчику.

Ключевыми этапами проведения аудита ИС могут стать следующие шаги:

- Определение границ проведения аудита

- Сбор информации

- Анализ информации

- Выработка рекомендаций

- Составление аудиторского отчета и заключения

- Контроль выполнения ключевых рекомендаций

- Рассмотрим эти этапы поподробнее.

На этапе подготовки и подписания исходно-разрешительной документации определяются границы проведения аудита:

Границы аудита определяются критическими точками ИС (элементами ИС), в которых наиболее часто возникают проблемные ситуации.

На основании результатов предварительного аудита всей ИС (в первом приближении), проводится углубленный аудит выявленных проблем. В это же время создается команда проведения аудита, определяются ответственные лица со стороны Заказчика. Создается и согласовывается необходимая документация.

Далее проводится сбор информации о текущем состоянии ИС с применением стандарта CoBiT (Аббревиатура CobiT расшифровывается как Контрольные ОБъекты для Информационных и смежных Технологий. За этой аббревиатурой скрывается набор документов, в которых изложены принципы управления и аудита информационных технологий. CobiT), объекты контроля которого получают информацию обо всех нюансах функционирования ИС как в двоичной форме (Да/Нет), так и форме развернутых отчетов. Детальность информации определяется на этапе разработки исходно-разрешительной документации. Существует определенный оптимум между затратами (временными, стоимостными и т.д.) на получение информации и ее важностью, актуальностью.

Проведение анализа – наиболее ответственная часть проведения аудита ИС. Использование при анализе недостоверных, устаревших данных недопустимо, поэтому возможно уточнение данных, углубленный сбор информации. Требования к проведению анализа определяются на этапе сбора информации. Методики анализа информации существуют в стандарте CoBiT, но если их не хватает, не возбраняется использовать разрешенные ISACA разработки других компаний.

В состав стандарта CoBiT входят шесть книг, ориентированных на разные аудитории:

Резюме для руководителя. Описание стандарта CobiT, ориентированное на топ-менеджеров организации для принятия ими решения о применимости стандарта в конкретной организации.

Описание структуры. Книга содержит развернутое описание структуры стандарта, высокоуровневых целей контроля и пояснения к ним, необходимые для эффективной навигации и результативной работы со стандартом.

Объекты контроля. В книгу включены детальные описания объектов контроля, содержащие расшифровку каждого из объектов.

Принципы управления. Книга отвечает на вопросы как управлять ИТ, как правильно поставить достижимую цель, как ее достичь и как проконтролировать полноту ее достижения. Предназначена для руководителей ИТ-служб.

Принципы аудита. Правила проведения ИТ-аудита. Описание того, у кого можно получить необходимую информацию, как ее проверить, какие вопросы задавать. Книга предназначена для внутренних и внешних аудиторов ИТ, а также консультантов в сфере ИТ.

Набор инструментов внедрения стандарта — практические советы по ежедневному использованию стандарта в управлении и аудите ИТ. Книга предназначена для внутренних и внешних аудиторов ИТ, консультантов в сфере ИТ.

Рисунок 4.3 Состав книг CobiT

CobiT — это сохранение единого подхода к сбору, анализу информации, подготовке выводов и заключений на всех этапах управления, контроля и аудита ИТ, возможность сравнения существующих ИТ-процессов с "лучшими" практиками, в том числе отраслевыми.

Результаты проведенного анализа являются базой для выработки рекомендаций, которые после предварительного согласования с Заказчиком должны быть проверены на выполнимость, актуальность с учётом рисков внедрения. Контроль выполнения рекомендаций – немаловажный этап, требующий непрерывного отслеживания хода выполнения рекомендаций. На этапе разработки дополнительной документации проводится работа, направленная на создание документов, отсутствие или недочеты в которых могут вызвать сбои в работе ИС. Например, отдельное углубленное рассмотрение вопросов обеспечения безопасности ИС. Постоянное проведение аудита гарантирует стабильность функционирования ИС, поэтому создание план-графика проведения последующих проверок является одним из результатов профессионального аудита.

Корпоративные стандарты — это модель поведения компании. С помощью перечня правил организация достигает эффективного и слаженного взаимодействиями между своими служащими. От этого же зависит ее имидж — какой компания предстанет перед клиентом. Какие аспекты включают в себя корпоративные стандарты? Как происходит их внедрение?

Ни для никого не секрет, что абсолютно любой бизнес, независимо от сферы деятельности, ведется по определенным правилам и канонам, которые каждая компания разрабатывает «под себя». Единые корпоративные стандарты позволяют компании работать четко и структурировано.

Корпоративные стандарты обязан выполнять каждый сотрудник фирмы с целью:

- исключения типовых, воспроизводящихся ошибок;

- увеличения надежности и КПД бизнесс-процессов;

- превращение удачных ситуаций в тиражируемую технологию.

- Детальная разработка корпоративных стандартов возможна лишь под конкретный заказ, но перечислим ниже несколько типовых элементов:

- Миссия фирмы (философия, дух, культура)

- Бренд и фирменный стиль (логотип, визитки, бланки, сайт и т.п.)

- Запрет на употребление сотрудниками продукции конкурента

- Запрет на подписание сотрудниками каких-либо договоров без визы юриста

- Картотека рекламаций и возражений клиентов

- Контракт с сотрудником с чётким указанием прав/обязанностей

- Know-how

- Порядок действий сотрудников (заранее отрепетированный) в случае «аварийных режимов»

- Речевые модули

- Система корпоративного обучения

- Товарные знаки и т.д.