Krytyczne składniki zaangażowane w planowanie audytu IT to docenienie środowiska IT, zrozumienie zagrożeń IT i wskazanie zasobów wymaganych do wykonania pracy. Omówimy je po kolei.
Nie można tego wystarczająco podkreślić. Bez tego podstawowego zrozumienia prawdopodobne jest, że prace kontrolne zostaną źle ukierunkowane, co zwiększy ryzyko wyciągnięcia niewłaściwych lub błędnych wniosków. Ta wstępna praca badawcza powinna obejmować wysoki poziom przeglądu procedur IT i środowiska kontroli w miejscu, koncentrując się na podstawowych zasadach bezpieczeństwa IT, którymi są poufność, integralność i dostępność. Jako minimum, obszary objęte na tym etapie to:
Zarządzanie zmianą, tj. kontrola zmian wokół aktualizacji oprogramowania i sprzętu w krytycznych systemach;
Bezpieczeństwo dostępu, tj. kontrole dostępu wymuszane w celu wejścia do systemów zarówno wewnętrznie, jak i zewnętrznie, oraz;
Ciągłość działania i odzyskiwanie po awarii, czyli zdolność przedsiębiorstwa do ochrony zasobów informacyjnych przed nieprzewidzianymi zagrożeniami lub katastrofami oraz jak szybko je odzyskać.
Ryzyka IT
Podobnie jak w przypadku innych rodzajów profesjonalnej pracy audytowej, obecnie większość audytorów IT stosuje podejście oparte na ryzyku do planowania i wykonywania swojej pracy. Wiąże się to z identyfikacją najważniejszych ryzyk, powiązaniem ich z celami kontroli oraz identyfikacją określonych kontroli w celu ich ograniczenia. W związku z tym audytor IT może wykorzystać standardy/wytyczne audytu informatycznego w celu zidentyfikowania lub doradzenia w zakresie kontroli, które ograniczą zidentyfikowane ryzyka do akceptowalnego poziomu.
Wymagane zasoby
Ostatnim ważnym elementem układanki planowania audytu jest ocena ilości wymaganej pracy, w tym zapotrzebowania na specjalistyczną wiedzę. Ponieważ czas i dostępność odpowiednich zasobów ludzkich do audytu IT są zwykle wyzwaniem, wykonanie tego kroku we właściwy sposób powinno skutkować wyższą jakością i niższymi kosztami prac audytowych.
Po zdefiniowaniu kontroli, które mają być stosowane, audytor IT zgromadzi dowody w celu ustalenia, czy określone kontrole są zaprojektowane i działają skutecznie. Może to wymagać subiektywnego osądu ze strony biegłego rewidenta, a doświadczenie biegłego rewidenta IT może wnieść rzeczywistą wartość do ćwiczenia.
