Das Audit (in englischer Sprache Information Technology Audit oder IT Audit ) dient der Identifizierung und Bewertung von Risiken (betriebliche, finanzielle, Reputationsaspekte) im Zusammenhang mit dem IT-Betrieb eines Unternehmens oder einer Verwaltung. Zu diesem Zweck stützt sich die Prüfung auf den rechtlichen Rahmen des Tätigkeitsbereichs des betreffenden Landes (z. B. CRBF 97-02 für eine französische Bank), auf die vorhandenen Best Practices für bewährte Verfahren (z. B. das CobiT- Repository ) verfügbare Benchmarks und die Berufserfahrung der beteiligten Wirtschaftsprüfer.
Es gibt zwei Hauptkategorien von Audits. Die erste umfasst globale Unternehmensprüfungen, bei denen alle Aktivitäten im Zusammenhang mit Informationssystemen bewertet werden. Die zweite Kategorie entspricht thematischen Audits, deren Ziel es ist, ein IT-Thema innerhalb einer Entität zu überprüfen (z. B. Projektmanagement, logische Sicherheit).
Die Prüfung sollte nicht mit der Beratungstätigkeit verwechselt werden, die im Allgemeinen darauf abzielt, die Funktionsweise und Leistung einer Organisation zu verbessern, wobei möglicherweise eine Beteiligung an der Umsetzung dieser Verbesserung besteht. Diese beiden Aktivitäten, Prüfung und Beratung, können nicht für ein bestimmtes Unternehmen von denselben Akteuren durchgeführt werden, um keine für Interessenkonflikte günstige Situation zu schaffen.
Das Konzept der Kontrolle steht im Mittelpunkt des IT-Audit-Prozesses. Ziel ist es, wirksame und effiziente Kontrollsysteme einzurichten, die eine wirksame Kontrolle der IT-Aktivitäten ermöglichen. Die interne Kontrolle ist ein Prozess, der auf Initiative der Manager des Unternehmens durchgeführt wird und eine angemessene Sicherheit für die Erreichung der folgenden drei Ziele bieten soll:
Es ist offensichtlich, dass das IT-Audit hauptsächlich am dritten Ziel interessiert ist.
Der IT-Prüfungsprozess wird auf der Grundlage der Bedenken des Prüfungsanforderers definiert, der der General Manager, der IT-Direktor, der Finanzdirektor usw. sein kann. Er wird den Prüfer daher beauftragen, eine Liste spezifischer Fragen zu beantworten, auf die weiter verwiesen wird oder weniger implizit auf den Stand der bekannten bewährten Praktiken auf diesem Gebiet. Daraus ergibt sich ein wichtiges Dokument: das Auftragsschreiben, in dem das auszuführende Mandat festgelegt ist und das dem Abschlussprüfer die erforderlichen Befugnisse verleiht.
Letzterer wird sich dann auf die Identifizierung der Fakten konzentrieren und dann Interviews mit den interessierten Parteien führen. Er wird sich dann bemühen, seine Beobachtungen anhand allgemein anerkannter Benchmarks zu bewerten. Auf dieser Grundlage wird er Empfehlungen vorschlagen.
Der IT-Prüfer verwendet IT-Prüfungsrepositorys, um den Status der Best Practices in diesem Bereich zu ermitteln. Das grundlegende Repository ist CobiT : Kontrollziele für Informationen und verwandte Technologien. Es werden jedoch auch andere Standards wie CobiT , ISO 27002 , CMMi , ITIL , Val IT , Risiko-IT usw. verwendet.
Der IT-Prüfungsansatz ist allgemein und gilt für verschiedene Bereiche wie IT-Funktion, IT-Studien, IT-Projekte, Betrieb, IT-Planung, Netzwerke und Telekommunikation, IT-Sicherheit, IT-Einkäufe, lokale IT oder dezentrale IT, Servicequalität, Outsourcing, Flotte Management, betriebliche Anwendungen usw. Nachfolgend finden Sie eine kurze Darstellung der häufigsten IT-Audits.
Der Zweck der Prüfung der IT-Funktion besteht darin, auf die Bedenken des General Managements oder der IT-Abteilung hinsichtlich der Organisation der IT-Funktion, ihres Managements, ihrer Positionierung in der Struktur, ihrer Beziehungen zu den Benutzern und ihrer Arbeitsweise einzugehen. ..
Um ein Audit der IT-Funktion durchzuführen, stützen wir uns auf bekannte bewährte Verfahren in Bezug auf die Organisation der IT-Funktion. Sie sind zahlreich und bekannt, darunter können wir zitieren:
Es gibt viele andere Best Practices für die IT-Funktion. Die Prüfung der Funktion basiert auf diesen Praktiken, um eine bestimmte Anzahl von Kontrollzielen zu ermitteln, wie z.
Diese unterschiedlichen Kontrollziele entsprechen dem PO 4-Prozess von CobiT: "Definieren Sie die Prozesse, die Organisation und die Arbeitsbeziehungen".
Die Prüfung von IT-Studien ist eine Teilmenge der Prüfung der IT-Funktion. Mit dieser Prüfung soll sichergestellt werden, dass Organisation und Struktur effizient sind, dass die Verwaltung angemessen ist, dass die verschiedenen Aktivitäten unter Kontrolle sind und dass die Beziehungen zu den Benutzern normal laufen.
Um ein Audit von IT-Studien durchzuführen, stützen wir uns auf das Wissen über die in diesem Bereich identifizierten Best Practices. Sie sind zahlreich und allen Fachleuten bekannt. Unter diesen können wir zitieren:
Es gibt viele andere Best Practices für Computerstudien. Bei der Prüfung werden wir uns auf diese bewährten Verfahren stützen, um eine bestimmte Anzahl von Kontrollzielen zu ermitteln, wie z.
Es gibt viele andere Kontrollziele in Bezug auf IT-Studien, die auf der Grundlage der Bedenken des Prüfungsanforderers ausgewählt werden.
Mit dem Betriebsaudit soll sichergestellt werden, dass die verschiedenen IT-Produktionszentren effizient arbeiten und ordnungsgemäß verwaltet werden. Es ist daher erforderlich, Produktionsüberwachungstools wie Openview von HP, IBMs Tivoli usw. zu implementieren. Es gibt auch ein Open Source-Produktionsmanagementsystem wie Nagios. Dies sind echte Informationssysteme für den Betrieb.
Um ein Betriebsaudit durchzuführen, stützen wir uns auf Kenntnisse über bewährte Verfahren in diesem Bereich, wie z.
Es gibt viele andere Best Practices für den IT-Betrieb. Um diese Prüfung durchzuführen, werden wir uns auf diese bewährten Verfahren stützen, um eine bestimmte Anzahl von Kontrollzielen zu ermitteln, wie z.
Diese unterschiedlichen Steuerungsziele entsprechen dem Prozess DS 1, DS 3, DS 6, DS 12 und DS 13 von CobiT: DS 1 "Service Level definieren und verwalten", DS 3 "Leistung und Kapazität verwalten", DS 6 "Identifizieren und Laden Kosten ", DS 12" Verwalten der physischen Umgebung ", DS 13" Verwalten von Vorgängen ".
Das Audit von IT-Projekten ist ein Audit, dessen Ziel es ist, sicherzustellen, dass es normal abläuft und dass die Abfolge der Vorgänge logisch und effizient erfolgt, sodass gute Chancen bestehen, das Ende der Entwicklungsphase für eine Anwendung zu erreichen das wird effizient und betriebsbereit sein. Wie wir sehen können, ist eine Prüfung eines IT-Projekts nicht mit einer Prüfung von IT-Studien zu verwechseln.
Um ein Audit eines IT-Projekts durchführen zu können, stützen wir uns auf das Wissen über bekannte bewährte Verfahren in diesem Bereich. Sie sind zahlreich und allen Projektmanagern und allgemein allen betroffenen Fachleuten bekannt. Unter diesen können wir zitieren:
Es gibt viele andere bewährte Verfahren für das Projektmanagement. Um ein Audit eines IT-Projekts durchzuführen, stützen wir uns auf eine bestimmte Anzahl von Kontrollzielen wie:
Es gibt viele andere mögliche Kontrollziele in Bezug auf das IT-Projekt-Audit, die basierend auf den Bedenken und Erwartungen des Audit-Antragstellers ausgewählt werden.
Diese unterschiedlichen Steuerungsziele entsprechen den Prozessen PO 10, AI 1 und AI 2 von CobiT: PO 10 "Projekt verwalten", aber auch AI 1 "IT-Lösungen finden" und AI 2 "Anwendungen erfassen und deren Wartung sicherstellen".
Bei den vorherigen Audits handelt es sich um IT-Audits, während das Audit betrieblicher Anwendungen einen größeren Bereich abdeckt und sich mit dem Informationssystem des Unternehmens befasst. Dies sind Audits des Informationssystems. Dies kann die Prüfung des Buchhaltungsantrags, die Gehaltsabrechnung, die Rechnungsstellung usw. sein. Aber immer öfter interessieren wir uns für die Prüfung eines globalen Prozesses des Unternehmens wie Verkauf, Produktion, Einkauf, Logistik, ...
Es ist ratsam, eine Verwaltungsanwendung alle zwei oder drei Jahre zu prüfen, um sicherzustellen, dass sie ordnungsgemäß funktioniert, und um gegebenenfalls die gewünschten Verbesserungen an dieser Anwendung oder an diesem Prozess vornehmen zu können. Insbesondere wird der Abschlussprüfer sicherstellen, dass die internen Kontrollregeln eingehalten und angewendet werden. Insbesondere wird überprüft, ob:
Der Zweck der Prüfung eines betrieblichen Antrags besteht darin, dem Management eine angemessene Sicherheit für seinen Betrieb zu geben. Diese Kontrollen werden beispielsweise vom Abschlussprüfer im Rahmen seiner rechtlichen Aufgabe zur Beurteilung der Rechnungslegung eines Unternehmens durchgeführt: Ist die verwendete Software sicher, effizient und angemessen?
Um die Prüfung einer betrieblichen Anwendung durchzuführen, verwenden wir die gängigsten Kontrollziele:
Sehr oft wird der Prüfer gebeten, die Regelmäßigkeit, Konformität, Produktivität und Nachhaltigkeit der betrieblichen Anwendung zu bewerten. Dies sind heikle Fragen, die das Management dem Abschlussprüfer stellt.
Ziel des IT-Sicherheitsaudits ist es, dem Management eine angemessene Sicherheit für das mit IT-Sicherheitslücken verbundene Risiko des Unternehmens zu geben. Beobachtungen zeigen in der Tat, dass die IT häufig ein hohes Risiko für das Unternehmen darstellt. Wir sehen derzeit einen Anstieg dieser Risiken im Zusammenhang mit der Entwicklung des Internets. Sie sind mit der Verbindung von vier Grundbegriffen verbunden:
Um ein IT-Sicherheitsaudit durchzuführen, müssen einige Kontrollziele zugrunde gelegt werden. Die häufigsten sind:
Es gibt viele andere Kontrollziele in Bezug auf die Prüfung der IT-Sicherheit, die auf der Grundlage der Bedenken und Erwartungen des Prüfanforderers ausgewählt werden.
Diese unterschiedlichen Kontrollziele entsprechen den CobiT DS 5- Prozessen : „Gewährleistung der Sicherheit von Systemen“ und PO 9 „Bewertung und Management von Risiken“. Es gibt einen spezifischen Verweis auf die IT-Sicherheit: ISO 27002 . Es handelt sich um einen Best-Practice-Kodex für die Verwaltung der Sicherheit von Informationssystemen. Es wird durch die Norm ISO 27001 zur Implementierung eines Informationssicherheits-Managementsystems ergänzt .
Siehe Sicherheitsüberprüfung
Eine IT-Audit-Mission wird vorbereitet. Ein Untersuchungsgebiet sollte festgelegt werden, um das Untersuchungsgebiet abzugrenzen. In diesem Sinne ist es ratsam, eine Vordiagnose durchzuführen, um die Fragen zu spezifizieren, mit denen sich das Audit befassen wird. Dies führt zur Erstellung eines Auftragsschreibens, in dem die wichtigsten zu prüfenden Punkte aufgeführt sind.
Zur Durchführung des IT-Audits wird empfohlen, die folgenden sechs Schritte auszuführen:
Es kann vorkommen, dass der Prüfer nach dem Prüfungsauftrag aufgefordert wird, den Aktionsplan aufzustellen und möglicherweise eine Weiterverfolgung der Empfehlungen durchzuführen.
Die Nichteinhaltung dieses Ansatzes kann zu einer schlechten Implementierung und Implementierung von Tools führen, die nicht den tatsächlichen Anforderungen des Unternehmens entsprechen.
Dieser Prozess ist für den Prüfer von wesentlicher Bedeutung, da er ihm grundlegende Elemente für den Fortschritt seiner Mission liefert, für die Organisation jedoch noch vorteilhafter ist. In der Tat sind die geprüften Akteure nicht passiv. Sie werden ermutigt, über ihre Arbeitsmethoden nachzudenken und sich für die Arbeit anderer Akteure in der Einheit zu interessieren. Dies führt zu Teamzusammenhalt und organisatorischem Lernen . Dies ist ein positiver Faktor, da die Akteure im Falle eines Wandels weniger zurückhaltend sind.
Es gibt verschiedene Repositorys wie:
Die ISACA (Information Systems Audit and Control Association) ist die internationale Vereinigung von IT-Prüfern (einschließlich ihrer Normungs- und Wissenszentrale ), und die FAFIA (Französische Vereinigung für Wirtschaftsprüfung und IT-Beratung), das französische Kapitel der ISACA, bietet zahlreiche Unterstützung .
Wir können aber auch andere Repositorys verwenden, z.
Man könnte sich eine Zertifizierung von IT-Abteilungen oder IT-Anwendungen vorstellen. Es gibt keine solche Sache. Zum anderen gibt es eine Zertifizierung der Qualität von IT-Projekten: CMMI . In Bezug auf die vom Betrieb erbrachte Servicequalität gibt es eine Zertifizierung nach der Norm ISO 20000, die eine Teilmenge von ITIL ist.
Auf der anderen Seite gibt es ein Zertifizierungsverfahren für Outsourcer: SAS 70, Statement on Auditing Standards Nr. 70. Dieser Standard wurde vom American Institute of Certified Public Accountants (AICPA) erstellt, um zu vermeiden, dass diese Organisationen nacheinander mehrere IT-Audits zu verwandten Themen durchführen müssen. Hierbei handelt es sich um Audits, die von Dritten durchgeführt werden und sicherstellen, dass die implementierten Prozesse die erwartete Servicequalität bieten.
SAS 70 wurde inzwischen durch ISAE 3402 (International Standards for Assurance Engagement) ersetzt, das am in Kraft trat15. Juni 2011. Es ist eine Erweiterung von SAS 70, die die Standards definiert, denen ein Prüfer folgen muss, um die vertraglichen internen Kontrollen einer Serviceorganisation zu bewerten.
In Bezug auf IT-Audits sind IT-Auditoren zertifiziert. Die Benchmark-Zertifizierung ist der CISA, Certified Information Systems Auditor. Es ist eine internationale professionelle Zertifizierung. Es wird seit 1978 von ISACA organisiert. Es befindet sich seit 1989 in Frankreich. Bis heute haben weltweit 75.000 Menschen ein KISA, davon mehr als 1.000 in Frankreich. Die Prüfung kann dreimal im Jahr abgelegt werden: im Juni, September und Dezember in 11 verschiedenen Sprachen und in 200 Städten auf der ganzen Welt. 200 Multiple-Choice-Fragen zu Auditing und IT müssen innerhalb von 4 Stunden beantwortet werden. Die Prüfung umfasst 6 Bereiche:
Seit 2003 gibt es auch eine zweite Zertifizierung für Benchmark-IT-Auditoren. Es handelt sich um eine professionelle Zertifizierung für Informationssicherheitsmanager: den CISM (Certified Information Security Manager), der ebenfalls von ISACA ausgestellt wurde .
Das Zertifizierungsprogramm besteht aus 5 Kapiteln zur Informationssicherheit:
Zu diesen von ISACA angebotenen Zertifizierungen können weitere Zertifizierungen hinzugefügt werden, insbesondere das CISSP für IT-Sicherheit, die ISO27001- Zertifizierung für leitende Auditoren , die Zertifizierungen für ITIL, Prince2 , CobIT usw. Wenn Sie das CISA erhalten, können Sie von einem Modul der CIA-Zertifizierung des Instituts für Interne Prüfer (IIA) profitieren , das in Frankreich von der IFACI verwaltet wird .