6.2. Оцінка внутрішніми аудиторами інформаційних технологій та комп'ютерного забезпечення банку

Діяльність банку неможливо досліджувати окремо від застосування інформаційних технологій. У су­часних умовах конкурентоспроможність банків та інших фінансових інститутів; якість та обсяги послуг, що надаються; ступінь розвитку людсько­го потенціалу, який використовується визнача-. еться кількістю та терміном систематизації отриманої інформації, а ефективність рішень, що приймаються - її вдалим використанням.

Комп'ютерний аудит грунтується на оцінках ризиків та систем контролю. Служба внутрішнього аудиту перевіряє; ^ відповідність операційних систем внутрішнім положенням, планам розвитку, процедурам, чинному законодавству та нормативним актам України; ,

178

Рис. 3.19. Ризики комп'ютерних систем банку

Ризики захисту і безпеки даних - це ризик випадкового чи невипадкового розкриття або знищення даних в системі.

Ризик конфіденційності інформації - це ризик того, що дані про операції клієнтів чи банку буде передано третім особам.

Ризик достовірності даних - це ризик введення в систему недостовірних даних.

Ризик повноти даних - це ризик введення в систему даних у неповному обсязі.

Ризик низької продуктивності - це ризик того, що система не забезпечує вчасну видачу очікуваних результатів або видає інфор­мацію в незручному для користувача форматі.

Ризик неефективної роботи - це ризик того, що результати роботи комп'ютерної системи не відповідатимуть потребам керівництва.

З метою мінімізації ризиків здійснюють три види контролю: S профілактичний контроль (контроль за використанням користу­вачами інформації індивідуальних паролів, встановленням іден­тифікаційних кодів користувачів, подвійного ключа при вході _в систему);

S контроль за виявленням випадків реалізації ризиків (повідомлення про помилку, контроль загальної суми після введення всіх операцій);

•S контроль на виправлення здійснюється на етапі вводу операції, яка раніше була відхилена системою або операції, яка потребувала виправлення.

Процес обробки операцій в комп'ютерній системі здійснюється в шість етапів, на кожному із яких відбувається відповідний контроль (рис. 3.20).

1. Ініціювання операції

2. Введення операції в систему

3. Передача даних

4. Обробка операцій

5. Збереження та пошук даних

6. Вихід із системи

Рис. 3.20. Види контролю в процесі обробки інформації в комп'ютерній системі

У процесі функціонування комп' ютерної системи можуть виникати такі загрози:

• зникнення інформації через комп'ютерні мережі;

• шахрайство, саботаж персоналу, дії професіональних хакерів, по­милки в діяльності людини;

• збої обладнання системи.

180

Нехтування цими загрозами може призвести до втрати конку-госпроможності банку, клієнтів, прямих фінансових збитків та негативних наслідків для комерційного банку. Важливим аспектом банківської діяльності є захист Інформацій автоматизованих системах. Формування режиму інформаційної Ібезпеки в банківській сфері є комплексною проблемою, заходи щодо

ї можна поділити на чотири рівні: J) законодавчий (закони, нормативні акти, стандарти, нормативи); 2) адміністративний (дії керівництва банку загального характеру); І) процедурний (конкретні заходи безпеки, що стосуються людей); програмно-технічний (конкретні технічні заходи).

Керівництво банку повинно розробити політику забезпечення шеки інформації, яка б:

^грунтувалася на аналізі загроз І виборі адекватних заходів протидії; розкривала способи підбору персоналу та напрямки підвищення ; його кваліфікації;

визначала вимоги до системи захисту приміщень, обладнання та ;ІНШЄ.

Для підтримки режиму інформаційної безпеки особливо важли-)грамно-технічні заходи, адже основна загроза комп'ютерним ;мам пов'язана зі збоями обладнання, помилками програмного шечення, помилками користувачів та адміністраторів,

З проблемою захисту інформації тісно пов'язана інша важлива 5лема - юридична достовірність цієї інформації. При реєстрації >рмації на традиційному паперовому носії, основним способом течения юридичної сили первинного документа є факсимільне їердження. Електронне документування, яке припускає ввод без складання первинних документів на паперовому носії, >чає наявність традиційного підпису осіб, а авторизація інфор-здійснюється шляхом присвоєння паролів особам, відпові­дним за створення документа.

Аудит комп'ютерної системи полягає у зборі документальних їджень, що мають бути введені та виведені з комп'ютера у >вному обсязі і вірно оброблені. Можна скористатися аудиторсь-комп'ютерними програмами для проведення контролю за юм комп'ютерного обладнання та комп'ютерних програм окремих РФункціональних підрозділів. Ця процедура може здійснюватися |ШшІхом повторної обробки даних за допомогою дублюючого набору івських комп'ютерних програм.

Важливим напрямком внутрішнього аудиту є перевірка Документообігу в комп'ютерному середовищі, яка спрямована на

181

визначенні ефективності внутрішньотехнологічного контролю на етапах ініціювання введення операції в систему, передачі, обробки, виходу, збереження та пошуку даних у системі.

При перевірці дієвості контролю на етапі ініціювання операції внутрішній аудитор звертає увагу на:

• наявність та виконання письмових інструкцій для користувачів з експлуатації системи;

• формат введення даних;

• наявність унікальних кодів для ідентифікації;

• посилання на першоджерело інформації;

• наявність подвійної системи захисту інформації, письмових проце­дур дозволу на проведення операцій тощо.

Внутрішній аудит систем контролю на етапі введення операції в комп"ютерну мережу передбачає:

• вивчення існуючого розподілу повноважень між співробітниками банку щодо вводу інформації в систему;

• огляд системи контролю за введеними операціями (наявність по­милок, підтвердження тобто дозвіл на проведення операцій тощо).

Внутрішній аудитор перевіряє ефективність контролю на етапі

передачі даних у такій послідовності:

S наявність переліку адрес всіх уповноважених на використання системи терміналів мережі;

S наявність переліку видів операцій, які дозволені із кожного терміналу;

•S використання різних способів перевірки для виявлення і повідом­лення про наявність помилки при передачі даних;

S застосування способів кодування та шифрування для секретної інформації;

•S реєстрація всіх вхідних та вихідних повідомлень тощо.

Внутрішній аудитор при перевірці обробки даних у комп'ю­терній системі повинен визначити чи:

^ здійснює комп'ютерна система контроль щодо достовірності математичних розрахунків; завершений процес обробки операції;

^ забезпечує система звірку сум, які отримані під час обробки операцій;

^ надає система звіти про виявлені помилки з безпосереднім визна­ченням поля та типу помилки та інші питання.

Завдання внутрішнього аудитора при оцінці контролю за

збереженням та пошуком даних у системі полягають у з'ясуванні чи:

S існує бібліотека реєстрації всіх плівок, дисків та документів;

182

/ всі файли комп"ютерних програм класифіковані за ступенем дос­тупу уповноважених осіб;

•S всі файли мають помітку початку та кінця файлу;

S зберігаються резервні копії основних файлів у спеціальному приміщенні;

V здійснюється обов'язкове резервне копіювання всіх файлів;

/ існують процедури з аварійного відновлення втрачених файлів та інші питання.

Аудит контролю за даними при виході з компьютерно! системи

може проводитися за наступною схемою:

• перевірка сум проведених операцій на виході інформації та їх звірка з сумами на вході;

• перевірка звітів шляхом підрахунку загальних сум вручну та їх порівняння з автоматичним підрахунком;

• перевірка наявності контролю за виправленням помилок.

Застосування аудиторських програм.

Існує три підходи до комп'ютерного тестування, яким можуть скористатися аудитори:

1) відбір певних операцій за допомогою комп'ютера для їх наступної перевірки вручну;

2) перевірка системи автоматичного контролю за допомогою імітаційних моделей;

3) перевірка системи автоматичного контролю за допомогою реальних даних, оброблених аудиторськими програмними засобами.

Основними причинами, які обумовлюють використання ауди­торських комп'ютерних засобів є:

• недостатній рівень надійності внутрішнього контролю в ком­п'ютерному середовищі;

• відсутність впевненості в надійності бухгалтерських програм та систем захисту інформації впродовж періоду, за який проводилась аудиторська перевірка;

• можливість підвищення ефективності роботи завдяки використан­ню аудиторських комп'ютерних засобів.

Аудиторські комп'ютерні засоби (АКЗ) - це спеціальне тех­нічне, математичне, програмне та інформаційне забезпечення, призна­чене для здійснення процедур контролю в комп'ютерному сере­довищі. АКЗ є універсальним інструментарієм аудитора, який користується ним залежно від стану і характеристики конкретних об'єктів аудиту.

До складу програмного забезпечення як основного і найбільш важливого елемента АКЗ, можуть входити:

183

^пакети прикладних програм (ППП) загального призначення, які використовуються для обробки даних, зчитування та вибірки інформації з файлів, розрахунків фінансово-економічних показників, формування і друку звітів;

^спеціальні (цільові програми), які складаються для вирішен-ня конкретних аудиторських задач, їх може підготувати аудитор банку чи експерт-програміст, залучений до перевірки. У деяких ви­падках програми, які містять засоби контролю, можуть використову­ватися аудитором у стандартному або модифікованому вигляді, оскільки цей спосіб може бути більш ефективним і дешевим, ніж створення спеціальних незалежних програм;

•S облікові та інші програми, які не містять спеціальних засобів зовнішнього контролю, проте можуть використовуватися аудитором для вирішення інформаційно-аналітичних завдань (рис. 3.21).

Складові програмного забезпечення,

яке використовується в процесі

аудиту

Системне програмне забезпечення

Опера­ційна система

Обслу­говуючі програми

Прикладне програмне забезпечення

ППП (па­кет прик­ладних программа гального призначен­ня (тексто­ві редакто­ри, елект­ронні таб­лиці і т.д.)

ППП (пакет прикладних прог­рам) загального призначення

Аудитор­ські програми

Облі­кові про­грами

Інші

програми (програми економіч­ного аналі­зу і т.д.)

Рис. 3.21. Склад програмного забезпечення, яке може використовуватися внутрішнім аудитором банку

184

Внутрішній аудитор повинен звертати увагу на те, що в усіх обліково-управлінських ППЗ робота бухгалтера складається з вводу-виводу результатів. У той же час автоматизована обробка даних у ряді випадків потребує вводу допоміжної (довідкової) інформації, прий­няття рішень про режим обробки, а також проведення комплексу

додаткових заходів.

Необхідно відмітити, що існують певні аудиторські прийоми щодо виявлення і усунення збоїв у роботі ППЗ, а також профілактики і усунення помилок, а саме: збереження інформації, архівація даних,

застосування паролів.

Реалізація комп'ютерних комунікаційних каналів внутрішнього аудиту дозволяє отримати повну інформацію для підтримки ефек­тивних управлінських рішень. Це передбачає наявність уніфікованих форм подачі результатів внутрішньої аудиторської перевірки з широкими можливостями їх використання менеджерами всіх рівнів управління банком.

Контрольні запитання

1. Які ризики притаманні комп'ютерним системам?

2. У чому полягає сутність ризиків, що виникають у комп 'ютерних

системах ?

3. З яких етапів складається процес обробки банківської операції в

комп'ютерній системі ?

4. Що таке аудиторські комп 'ютерні засоби ?

5. Пакети яких прикладних програм може використовувати внут­рішній аудитор?