УДК 657.4

О.Б. Пугаченко, канд. екон. наук

Кіровоградський національний технічний університет

Особливості аудиту інформаційних систем і технологій

Узагальнено практику проведення аудиту у комп'ютерному середовищі та подано власне бачення аудиту інформаційних систем і технологій. Запропоновано порядок оцінки аудиторами результатів процесу впровадження нової комп'ютерної техніки й програмного забезпечення підприємства-замовника аудиту.

аудит, аудиторські процедури, комп'ютерне середовище, інформаційні системи і технології, програмне забезпечення

Важко переоцінити вплив комп'ютерних систем і технологій на загальну роботу підприємства та її ефективність. Практично вся облікова інформація підприємства концентрується в різноманітних електронних облікових системах. Ризики, пов'язані з комп'ютерно-інформаційними системами, величезні. У першу чергу це питання ефективності використання програмно-апаратних ресурсів і можливості максимальної автоматизації всієї системи обліку. Важливу роль відіграє також підтримка на сучасному рівні інформаційної архітектури (сукупність інформаційних систем і потоків між ними), що забезпечує обробку й зберігання облікової інформації в умовах всі зростаючих вимог до швидкодії й надійності. І, нарешті, необхідно забезпечувати всебічний захист даних від несанкціонованого доступу, що є одним із пріоритетних завдань.

На сьогодні достатня кількість підприємств придбаває і впроваджує комп'ютерну техніку або програмне забезпечення. У числі завдань аудиторських підприємств, в цьому випадку, можуть бути аналіз результатів впровадження, оцінка ефективності різних етапів експлуатації, ступінь відповідності очікуванням керівництва.

МСА 401 «Аудит у середовищі комп'ютерних інформаційних мереж» (Auditing in Computer Information Systems Environment) описує навички й компетентність, якими повинна володіти аудиторська група при проведенні аудита в середовищі комп'ютерних інформаційних систем. Зазначений МСА також надає рекомендації, що стосуються делегування роботи асистентам, що володіють навичками в даній області, і використання роботи інших аудиторів або експертів з подібними навичками. Зокрема, аудиторська група повинна мати достатні знання, щоб планувати, виконувати й використовувати результати обраних аудиторських методів.

Практично кожний підручник з аудиту містить окремий розділ, який присвячений аудиту у комп'ютерному середовищі. Про цікавість до даної проблеми свідчить також і той факт, що значна кількість дисертаційних робіт містить рекомендації щодо удосконалення аудиту в середовищі електронної обробки даних [1- 7]. Питання проведення аудиторських перевірок з використанням комп'ютерної техніки і програмного забезпечення обговорюються на сторінках фахової преси [8, 9, 10]. Проте, незважаючи на постійну увагу до даної проблематики, як з боку науковців так і практиків, все ще залишаються доволі суттєві прогалини, які стосуються, в першу чергу розробок конкретних методик для окремих об'єктів аудиторських перевірок.

Метою даної статті є узагальнення практики проведення аудиту у комп'ютерному середовищі та подання власного бачення аудиту інформаційних систем і технологій. Крім того, ми запропонуємо порядок оцінки аудиторами результатів процесу впровадження нової комп'ютерної техніки й програмного забезпечення підприємства-замовника аудиту.

Використання комп'ютерного середовища в аудиті, окрім МСА 401 передбачено ще такими документами, як:

Положенням про міжнародну аудиторську практику 1001 «Середовище комп'ютерних інформаційних систем - автономні мікрокомп'ютери»;

Положенням про міжнародну аудиторську практику 1002 «Середовище комп'ютерних інформаційних систем - інтерактивні комп'ютерні системи»;

Положенням про міжнародну аудиторську практику 1003 «Середовище комп'ютерних інформаційних систем - системи баз даних»;

Положенням про міжнародну аудиторську практику 1009 «Методи аудиту з використанням комп'ютерів» [11];

прикладна програма може поставити аудитора перед необхідністю використання комп'ютера як засобу контролю. Ці різнобічні варіанти використання комп'ютера відомі як «Методи Аудиту при Сприянні Комп'ютера (MACK)». До них належать:

а) програмне забезпечення;

б) тестові дані.

Необхідність використання MACK виникає за тих обставин, коли відсутні вхідні документи і неможливо простежити повний хід операцій (контрольний слід), а також тоді, коли ефективність аудиту можна значно поліпшити використанням спеціальної комп'ютерної аудиторської програми.

Аудиторське програмне забезпечення складається із комп'ютерних програм, що використовуються аудитором як елемент аудиторських процедур для обробки даних, що мають суттєве значення для аудиту і взяті з облікової системи клієнта. Програмне забезпечення може складатись із: пакета програм;

програм спеціального призначення (використання); програм-утилітів.

Пакет програм - це узагальнені комп'ютерні програми, що призначені для виконання функцій з обробки даних, включаючи зчитування комп'ютерних файлів, відбір інформації, проведення розрахунків, створення файлів з даними і друкування звітів за формою, що визначена аудитором.

Програми спеціального призначення - це програми, розроблені для виконання конкретних аудиторських завдань. Ці програми можуть бути створені як самим аудитором, так і іншим спеціалістом.

Програми-утиліти - програми, що використовуються суб'єктом для виконання загальних функцій обробки даних. Такі програми, як правило, не призначені конкретно для аудиторської практики.

Тестові дані - це дані (як правило, вибіркові дані), що призначені для внесення аудитором в комп'ютерну систему суб'єкта та порівняння отриманих результатів із раніше визначеними результатами [12].

Перш за все, необхідно сказати про компетентність аудиторів, які будуть проводити контрольні процедури перевірки. Компетентність аудитора не може бути рівнозначною сумі знань професійного фахівця з комп'ютерних систем. Рівень необхідних знань залежить від складності й характеру аудиторських процедур і облікової системи підприємства. Аудитору бажано мати належне уявлення про

технічний, програмний, математичний і інший види забезпечення комп'ютерної техніки, а також про системи обробки економічної інформації. У випадку відсутності в аудитора зазначених знань варто використовувати роботу експертів в області інформаційних технологій. Однак у випадку використання роботи експерта варто пам'ятати, що аудитор повинен мати достатнє уявлення про комп'ютерну систему в цілому, для того щоб планувати, регулювати й контролювати роботу експертів.

Аудитору необхідно провести аналіз і скласти висновок по всіх істотних питаннях організації комп'ютерно-інформаційної системи, а саме:

детальний розгляд