IT audit

IT-audit on protsess, mille käigus kogutakse ja hinnatakse tõendusmaterjali organisatsiooni informatsioonisüsteemi, praktikate ja operatsioonide kohta. Selle tulemusel määratakse, kas infosüsteemid kaitsevad varasid, andmete terviklikkust ning kas nad toimivad efektiivselt ja tõhusalt, saavutamaks organisatsiooni eesmärke. Efektiivne infosüsteem tagab, et ettevõte saavutab oma eesmärgid ning tõhus infosüsteem kasutab minimaalselt ressursse nende eesmärkide saavutamiseks. IT-audit keskendub riskide tuvastamisele ja kontrollide hindamisele, mis neid riske maandaks. Kontrollide kohaldamisel on võimalik riske vähendada, kuid mitte täielikult maandada. 

IT-süsteemid integreeruvad järjest rohkem äriprotsessidega ja seega ka finantsinformatsiooniga seotud kontrollidega. See sunnib ettevõtteid suurendama oma fookust IT-kontrollide suunas, et tagada äriprotsesside usaldusväärsus. 

Infotehnoloogia laialdane rakendamine ettevõtete ja asutuste informatsiooni töötlemisel on märkimisväärselt muutnud auditi sooritamisele esitatavaid nõudmisi. Kuigi üldpõhimõtted ei ole muutunud, tuleb lisaks traditsioonilise audiitorkontrolli läbiviimisele anda hinnang ka kasutatava infosüsteemi usaldusväärsuse ja turvalisuse kohta, kaasa arvatud selle seostele automatiseerimata protsessidega ja organisatsioonilise struktuuriga. Selliseks tööks on tarvis laialdasi infotehnoloogia alaseid teadmisi ja kogemusi, kuid samas ka arusaamist üldistest auditi sooritamise põhimõtetest. Auditiplaan ei tohiks olla jäik ja muutumatu. Olude muutudes või ootamatute tulemuste ilmnedes auditi läbiviimisel tuleb esialgset plaani korrigeerida.

IT-kontrolli tüübid 
IT-kontrollid võib jagada kahte suurde rühma:

Üldised kontrollid. IT-keskkonda läbivad, kuid ei ole seotud konkreetselt ühegi äriprotsessiga. Näiteks võrgutoimingute, tarkvara ja rakendussüsteemide ostmise, muutmise ja hooldamisega, kasutajaõiguste haldusega jms seotud kontrollid. 

Rakendustega seotud kontrollid. Rakendused on seotud konkreetsete protsessidega, näiteks müük, ost, tööjõukulud. Aitavad tagada tehingute protsessimise käigus andmete täpsuse ja täielikkuse, autoriseerimise ja valideerimise. Näiteks võimaldab raamatupidamisprogramm sisestada sama numbriga ostuarve vaid üks kord.

IT-auditi tüübid 
IT-auditeid võib jaotada järgmiselt :

Süsteemid ja rakendused. Auditi eesmärgiks on välja selgitada, kas süsteemid ja rakendused on sobivad, efektiivsed ning kas on võimalik kontrollida sisendite tõesust, usaldatavust, ajakohasust ja turvalisust, töötlemist ja väljundeid kõigilt tasemetelt.

Informatsiooni töötlemise vahendid. Auditi eesmärgiks on kinnitada, et rakendused töötaksid normaalolukorras ning ka võimaliku segamise puhul vastavalt ajale, sobivusele ja efektiivsusele.

Süsteemide arendamine. Auditeeritakse, kinnitamaks, et arendamises olevad süsteemid vastavad ettevõtte eesmärkidele ning et süsteeme arendatakse vastavalt üldiselt tunnustatud standarditele.

IT haldamine ja ettevõtte arhitektuur. Auditi eesmärgiks on kinnitada, et IT haldamine on arendanud organisatsiooni struktuuri ja protseduure nii, et need toetaksid kontrollitud ja efektiivset informatsiooni töötlemise keskkonda.

Klient/server, sisevõrk (ingl. k. Intranet), välisvõrk (ingl. k. Extranet). Auditeeritakse kinnitamaks, et andmete liiklemine võrgus on turvaline ja kontrollitav.

IT-auditi protseduur 
Et IT-audit võimalikult hästi läbi viia, on vaja läbida kolm sammu :

 Saavutada arusaamine ettevõttest ja tema keskkonnast. See võimaldab määrata, millised riskid ohustavad ettevõtte IT-keskkonda.

 Riskide identifitseerimine. Riskid muutuvad ajas paljude faktorite mõjul, nt. uued töötajad, muudatused info- süsteemides, muudatused ettevõtte struktuuris, uued seadused, ettevõtte kiire kasv jne.
 Hinnang sellele, kuidas ettevõte maandab neid riske. Kui ettevõtte sisekontrollid on nõrgad ja ei maanda riske, peab audiitor tegema sellevõrra rohkem protseduure.  

Kõige rohkem kasutust leidvad kontrolli kontseptsioonid, mis on relevantsed ka IT-auditite puhul :

Ennetav või tuvastav. Ennetav kontroll takistab mingi sündmuse toimumist. Näiteks kinnitused, kohustuste lahusus ja salasõnad. Tuvastav kontroll avastab sündmuse toimumise tagantjärgi. Näiteks igasugused võrdlused ja veaaruanded. Ennetav kontroll on üldiselt parem.

Suunav. Põhjustab soovitud sündmuse toimumist. Näiteks juhendid, koolitusprogrammid.

Kompenseeriv. Kui esmalt toimiv kontroll siiski ei toimi või ei ole selle kasutamine kuluefektiivne, siis võiks paigas olla ka kompenseeriv kontroll. Näiteks kui tiim on liiga väike, et kohustuste lahusust saaks rakendada, võib hea järelevalve aidata seda kompenseerida.

Manuaalne või automatiseeritud. Manuaalne kontroll eeldab inimese osalust ja seal on alati vea tekkimise risk, kas tahtlik või tahtmatu. Automaatsed kontrollid on ehitatud infosüsteemi sisse ning on seega usaldusväärsemad. Näiteks on automaatne võrdlus efektiivsem kui käsitsi tehtav.

Ettevõtte, tegevuse või tehingu tasand. Ettevõtte tasandi kontrollid toimivad kogu ettevõtte tasandil. Näiteks HR juhendid, aga ka juhtkonna üldised põhimõtted ettevõtte juhtimisel, mis mõjutavad ka sisekontrollikeskkonda. Tegevuspõhised kontrollid toimivad kogu tegevuse ulatuses (nt. valdkond, protsess, programm), mis on auditi subjektiks. Tehingutasandi kontrollid toimivad tehingu protsessimise protsessis, nt. kinnitamised, kohustuste lahusus ja erandite raportid. 

Lisaks infotehnoloogilistele teadmistele peab IT-audiitor omama ka tugevaid “pehmeid” oskusi, mis laias laastus tähendab oskust tõlkida n-ö nohikute keelt ümber ärikeelde. IT-audiitor peab suutma anda IT-teemade sisu edasi mittetehnika inimestele nii, et nad saavad situatsiooni olulisusest ning sellega seoses tehtud ettepanekutest aru. Samal ajal peab IT-audiitor aga suutma rääkida ka väga tehnilistel teemadel kui ta intervjueerib süsteemiadministraatoreid, süsteemiarhitekte ja muud IT-personali.

IT-auditite metoodikad 
Üldkasutatavaid ja üldiselt tunnustatud IT-auditite läbiviimise metoodikaid on vähe. Kindlasti on selles vallas vaieldamatuks liidriks ISACA7 poolt koostatud CobIT-i metoodika, millele ka enamus teisi meetodeid kas otseselt või kaudselt viitavad. Kuna tegemist on niivõrd tunnustatud standardiga, ei ole teised organisatsioonid hakanud ratast uuesti leiutama ning tavaliselt viidatakse, et selle või teise punkti puhul soovitatakse tutvuda CobiT-ga. CobIT saavutab üha laiemat tuntust IT-kontrolleesmärkide ja IT-auditi vallas ning seda metoodikat leiab üha sagedamini erinevate ettevõtete auditi juhendites. 

Tuntud on ka GAIT-i metoodika, kuna see on loodud IIA (Institute of Internal Auditors) poolt ning mõeldud IT-auditites kasutamiseks ning selle loomisel on teadmisi ja kogemusi jaganud paljud suured ja tuntud ettevõtted. 

GAIT-i metoodika on rohkem suunatud sellele, milliseid küsimusi esitada, et riske identifitseerida. CobiT pakub välja sisekontrolle. Seega võiks neid kahte metoodikat koos kasutada. 

Ülejäänud meetodid keskenduvad pigem mingile konkreetsele valdkonnale – rohkem metoodikaid on välja pakutud turvalisusega seotud teemadel.

CISA serfitikaat 
CISA (Certified Information Systems Auditor) sertifikaat on üks tuntumaid ja ihaldatumaid sertifikaate ning tõestab, et selle omanik on omandatud teadmised ja oskused ettevõtte infosüsteemi nõrkuste, infosüsteemi talitluspidevus-plaanide ning IT-juhtimise hindamiseks. 

CISA sertifikaati annab välja ISACA organisatsioon (ISACA – Information Systems Audit and Control Association). Tegemist on globaalse standardiga professionaalidele, kes tegutsevad infosüsteemide valdkonnas, eriti auditeerimise, kontrolli ja turvalisuse alal. 

ISACA (2016) järgi on nõuded sertifikaadi saamiseks viis aastat töökogemust infosüsteemide audiitorina. Kolm aastat infosüsteemide auditeerimise töökogemust saab asendada järgnevalt :

 Bakalaureusekraad ISACA poolt sponsoreeritud õppekavaga võrdub ühe aasta infosüsteemide auditeerimise töökogemusega
 Magistrikraad võrdub ühe aasta infosüsteemide auditeerimise töökogemusega
 Kaks aastat täiskohaga töötades ülikooli õppejõuna seotud valdkonnas võrdub ühe aasta infosüsteemide auditeerimise töökogemusega
 Infosüsteemidega töötamise kogemus või mitte IT-auditeerimise kogemus võrdub maksimaalselt ühe aasta infosüsteemide auditeerimise töökogemusega.

Pärast sertifikaadi saamist tuleb seda ka hoida. See kindlustab, et sertifikaadi saaja ka peale sertifikaadi omandamist hoiab ennast kehtivate teadmistega kursis läbi ISACA poolt kehtestatud CPE (continuing professional education) tundide poliitika.

IT-auditi tulevikutrendid 
Ükskõik, kui palju ettevõtted keskenduvad küberturvalisusele ja oma andmete kaitsmisele, on nad ikkagi ajast maas, võttes arvesse muutuvat keskkonda ja küberkurjategijate teadmiste kasvavat taset. Samuti kasvab pidevalt regulatsioonide hulk (nagu näiteks GDPR) ning pideva digitaliseerimisega kaasaliikumise tõttu võivad tekkida ajutised tõrked infosüsteemide toimimises. Mida rohkem tegelevad ettevõtted uute tehnoloogiatega, nagu RPA, AI ja masinõpe, seda rohkem fokuseeritud on IT-auditi funktsioonid riskidele, mis on seotud andmete kogumise, protsessimise ja raporteerimisega. 

USAs 2019. aastal tehtud uuringu põhjal on kõikides sektorites puudus kvalifitseeritud IT-auditi oskustega töötajatest. Osalenud ettevõtetest müügituluga vahemikus 100 miljonit – 1 miljard USA dollarit, peaaegu kolmandik (32%) vastas, et nad ei ole võimelised täitma kõiki IT-auditi plaani osi oskuste puuduse tõttu. Viis nõutuimat oskust on 
 asjatundlikkus arenenud tehnoloogiate osas (44%)
 kriitiline mõtlemine (32%)
 andmeanalüüs (27%)
 agiilsed meetodid (20%)
 kommunikatsioonioskused (17%)

Viited 

Auditeerimine