3. Модели регулирования и саморегулирования аудиторов и аудиторских организаций

3.1. Свобода доступа на рынок

Оптимальным способом регулирования в любом сегменте экономической деятельности является свободная рыночная конкуренция. Сектор информационного аудита не является исключением. Свободный выбор заказчиком аудита из числа конкурирующих предложений гарантирует заказчику приемлемое для него соотношение цены и качества предлагаемых услуг. На свободном рынке компетентность потенциальных исполнителей может быть подтверждена независимой сертификацией, в том числе международных профессиональных сообществ или саморегулируемых организаций, а также деловой репутацией и историей компании.

Оказание услуг информационного аудита государственных ИКТ-систем не связано с угрозами для жизни или здоровья людей, и несёт ограниченную опасность для имущества граждан и организаций (в основном в части нарушения режимов распространения информации с ограниченным кругом доступа, содержащихся в этих системах). Наличие конкуренции, возможность профессиональной сертификации услуг аудиторов, возможность страхования ответственности позволяют отказаться от такой жёсткой модели регулирования информационного аудита, как лицензирование.

Следует отметить, что информационный аудит ИКТ-систем частных компаний не является предметом настоящей Концепции, в настоящее время такой аудит не является обязательным, и предлагаемая модель регулирования к такому аудиту отношения не имеет.

Предлагается разрешить осуществление информационного аудита государственных ИКТ-систем как специализированным организациям, для которых данная деятельность является основной, так и организациям, совмещающей деятельность по информационному аудиту с услугами в сфере финансового аудита, финансового и управленческого консалтинга, разработки и интеграции компьютерных систем и приложений, а также в иных сферах деятельности. Налагать ограничения на совмещение информационного аудита с иными видами деятельности нецелесообразно.

К информационному аудиту могут быть также допущены и аудиторы - частные лица, осуществляющие свою профессиональную деятельность как предприниматели без образования юридического лица. Такой вид частной профессиональной деятельности нуждается в законодательном закреплении, поэтому расширение круга информационных аудиторов за счёт включения в него частных лиц, работающих как предприниматели, целесообразно осуществлять на более поздних этапах внедрения института информационного аудита.

На первом этапе для аудиторских организаций предлагается устанавливать ограничения на допуск к осуществлению аудита ИКТ-систем, используемых в процессах государственного управления, исключительно в связи с требованиями охраны информации, отнесённой к одному из видов информации с ограниченным кругом доступа.

3.2. Регулирование допуска к информации с ограниченным кругом доступа

Основной риск, нуждающийся в регулировании со стороны государства, состоит в допуске информационного аудитора к государственным ИКТ-системам, содержащим информацию информации с ограниченным кругом доступа. Круг доступа к определённым видам информации (государственной тайне, коммерческой тайне, персональной информации и т.п.) может быть ограничен законодательно, при этом государство имеет обязанности по охране такой информации, если она находится в государственных ИКТ-системах. В связи с наличием этой обязанности, государство вправе устанавливать дополнительные требования к организациям, осуществляющим информационный аудит таких систем. Такие требования должны быть предусмотрены законодательством, устанавливающим информационные режимы для информации с ограниченным кругом доступа.

Требования к аудиторам в связи с допуском к информации с ограниченным кругом доступа должны быть публичными, не носить запретительного характера, их выполнение должно быть проверяемо. Организациям, желающим принимать участие в конкурсах, или иным способом оказывать услуги информационного аудитора государственных ИКТ-систем, должна быть предоставлена возможность получения допуска для своих сотрудников к выполнению для заказчиков аудита работ по аудиту систем, содержащих информацию с ограниченным кругом доступа.

Если при конкурсном отборе аудиторов для проведения аудита ИКТ-систем не получено предложений от аудиторских организаций, имеющих право доступа к информации аудируемой ИКТ-системой, должна быть рассмотрена возможность проведения информационного аудита в части, не предполагающей доступ к ограниченной информации.

При невозможности назначения аудитора для проведения обязательного аудита информации с ограниченным кругом доступа предлагается возложить обязанность проведения аудита в части, связанной с получением такой информации на аудиторов Счётной палаты (внешний контроль).

Требование наличия допуска не должно применяться в случае заказа гражданином за свой счёт аудита исключительно информации о себе (персональных данных) в любой государственной ИКТ-системе, и аудита действий, предпринятых в отношении этой информации. При заказе такого аудита гражданин самостоятельно определяет, доверяет ли он аудиторской организации свою персональную информацию.