3.6. Свод мер регулирования

В соответствии с изложенным выше, на период становления института информационного аудита предлагается модель регулирования информационного аудита государственных ИКТ-систем, включающая следующие компоненты и обязательные условия:

• Право граждан самостоятельно определять аудиторскую организацию при заказе информационного аудита за свой счёт.

• Обязанность обеспечения конкуренции аудиторов путём выбора независимого аудитора на открытом конкурсе при закупке услуг информационного аудита органами государственной власти и управления.

• Применение требований к качеству услуг информационных аудиторов, обязательное при закупке услуг информационного аудита органами государственной власти и управления за счёт средств бюджета.

• Обязательное соблюдение правил допуска к аудиту систем, содержащих информацию с ограниченным кругом доступа.

• Поощрение при закупке услуг информационного аудита через конкурсные процедуры независимости аудиторской организации.

• Поощрение при закупке услуг информационного аудита через конкурсные процедуры страхования гражданской ответственности перед заказчиком аудита, аудируемым лицом и третьими лицами, которым может быть причинён ущерб в процессе информационного аудита.

В соответствии с данной моделью:

• Любой аудитор поощряется иметь страховку профессиональной ответственности.

• При заказе претензионного аудита гражданами за свой счёт заказчик самостоятельно определяет требования к аудитору.

• При заказе регулярного или претензионного аудита государственными органами за счёт бюджета применяются требования к качеству услуг информационных аудиторов.

• Полный аудит систем, содержащих информацию с ограниченным кругом доступа, может быть заказан только аудитору, получившему соответствующий допуск.

• К аудиту исключительно персональных данных заказчика аудита и совершаемых с ними действий допускается любая аудиторская организация по выбору заказчика.

• К полному аудиту систем, не содержащих информацию с ограниченным кругом доступа, допускается любой аудитор по выбору заказчика (с учётом иных ограничений, применимых к заказчику, например, к государственному заказчику).

Развитие института аудита потребует со временем внесения изменений в модель регулирования. Развитие модели регулирования должно быть связано с законодательным закреплением обязательности информационного аудита для ИКТ-систем, обеспечивающих процессы государственного управления, как описано в разделе 2 выше.

3.6. Саморегулирование

Описанные механизмы регулирования должны быть дополнены механизмами саморегулирования, передающими профессиональному сообществу право определения лучших деловых практик и правил профессиональной этики в отрасли. Основной опасностью введения саморегулирования в любую отрасль является превращение институтов саморегулирования в аналог средневековых цехов, ограничивающих доступ новых участников на рынок. Для предотвращения такого развития событий участие СРО в регулировании информационного аудита должно удовлетворять ряду требований:

• Добровольность. Членство в СРО не может быть обязательным, государственное регулирование должно предоставлять возможность любой организации выполнить все установленные законодательно требования без членства в СРО.

• Конкурентность. Не может вводиться ограничений на число СРО, объединяющих организации отрасли.

Институты саморегулирования в сфере информационного аудита могут выполнять следующие функции:

• Одной из основных компонент оценки государственным заказчиком конкурсных предложений аудиторских организаций на соответствие требованиям к качеству услуг информационного аудита является наличие внутренних процедур, регламентов и систем, обеспечивающих выполнение требований. СРО компетентны разрабатывать для своих членов такие документы, соответствующие требованиям государства и практике бизнеса.

• Государство может поручить СРО проверку соответствия своих членов требованиям к качеству услуг информационного аудита. Членство в СРО и принятие процедур и требований СРО, обеспечивающих соответствие этим требованиям, снижает издержки аудиторских организаций на самостоятельную разработку внутренних документов и доказательство их соответствия требованиям. Из принципа добровольности членства в СРО следует, разумеется, что процедура подтверждения соответствия требованиям должна быть возможна и для организаций, не вступающих в СРО, что означает обязанность заказчика аудита при проведении торгов самостоятельно оценивать соответствие.

• Членство в СРО может снижать страховую премию (стоимость обязательной страховки) при страховании гражданской ответственности для аудиторских организаций. Страховые компании могут быть заинтересованы в сотрудничестве с СРО, если они сочтут, что требования СРО способны снизить риск наступления страхуемых случаев причинения ущерба аудитором.

• СРО могут также осуществлять иные виды профессиональной деятельности, такие, как организация обучения членов, обмен опытом в виде конференций и семинаров, издание профильной литературы, и многое другое.

Несмотря на то, что на граждан, выступающих заказчиками претензионного аудита за свой счёт, не возлагается никаких обязательств по уровню требований к аудиторским организациям (за исключением страховки и допуска к охраняемым данным, если он требуется), именно для этой категории заказчиков членство в СРО может являться существенным конкурентным преимуществом.

Предложенная модель сочетания регулирования и саморегулирования в отрасли позволяет обеспечить защиту прав и интересов граждан при проведении информационного аудита ИКТ-систем, используемых в государственном управлении.