סיכוני ביקורת של רואה החשבון במערכות מידע ממוחשבות

סיכוני ביקורת:

הגדרה= סיכון של הצגת הדוכ"ס שגויים באופן מהותי. סיכון הביקורת מורכב מ- סיכון הבקרה*סיכון שבמהות*סיכון אי הגילוי.בעת תכנון הביקורת ובמהלכה על המבקר להעריך את סיכון שבמהות וסיכון הבקרה על מנת לקבוע את אופי,עיתוי והיקף הבדיקות המבססות שיבוצעו על רואה חשבון כך שסיכון הביקורת יהיה בסופו של דבר נמוך.

4 שלבים בביקורת מ"מ של רואי חשבון:

1.       הכרת הגוף המבוקר

2.       סקר הערכת סיכונים

3.       בדיקות מבססות

4.       בדיקות ציות

5.       חוות דעת.

הסיכונים העיקריים במ"מ:

1.       סכנות מאנשים

2.       סיכוני טבע

3.       סיכונים תפעוליים

תקן 93:

תקן זה דן בסיכונים הקיימים במ"מ ומנחה אותנו כיצד להעריך את הסיכונים בצורה כמותית ואיכותית. אומנם הערכה הינה סובייקטיבית,אך בהתאם לה נטפל בסיכון. יש לזכור כי בהערכת סיכונים יש להתחשב בהסתברות שתהיה התרחשות וכן בעוצמת הפגיעה במידה ותהיה. 3 טקטיקות לטיפול בסיכונים:

1.       אימוץ הסיכון

2.       הקטנת הסיכון באמצעות בקרות.

3.       העברת הסיכון לצד מבטח.

תכנון הביקורת:

בעת תכנון הביקורת ע"י רואה חשבון יש לאסוף מידע על המבוקר על מנת שלמבקר יהיה מושג והערכה לגבי הסביבה הטכנולוגית שלו. בין הדברים שאוספים:

א.      מבנה ארגוני בסביבת ממממ

ב.       חומרה ותוכנה-מיפוי נכסי מידע

ג.        נהלי פיתוח תחזוקה והפעלה

ד.       מערכת יישום ושיטת עיבוד

ה.      זרימת הנתונים וממשקים

ו.        שיטות ותקופות לשמירת נתונים.(גיבויים)

ז.        תכנון יישומים חדשים או שינוי קיימים.

ח.      בקרות כלליות נוספות כגון:אבטחת מידע.
רואה חשבון בחולון

אבטחת מידע במערכות מידע ממוחשבות

אבטחת מידע:

בקרת גישה למערכות:

ניהול הרשאות היא בקרה מרכזית בבקרה הפנימית של הארגון. במבחינת הארגון, עדיף לנהל את ההרשאות לפי קבוצות המותאמות לתפקידים לעומת ניהול הרשאות באופן פרטני. הסיבה לכך נובעת שניהול בקבוצות מאפשר תחזוקה וניהול בצורה טובה יותר.

ארכיטקטורה מאובטחת:

יש לבחון באחריות רואה חשבון כי מבנה הארכיטקטורה נוח ומגן על המערכת. ע"מ לבחון זאת,לאחר קבלת מיפוי של נכסי המידע, יש לראות כי העולם הפנימי מופרד מהעולם החיצוני(אינטרנט) באמצעות חומות הגנה כמו:חומת אש.

אבטחה פיזית:

דלתות נעולות,סורגים,אזעקה,שמירה בכניסה,בקרת כניסה,מניעת ניידות של מחשוב.

הצפנה:

תפקיד ההצפנה הינו לערבל נתונים כדי להבטיח סודיות. ניתן לעשות זאת ב-2 שיטות:

א.      מפתח יחיד- ההצפנה והפענוח נעשה בידי אותו המפתח.

ב.       מפתח רבים- יש מפתח להצפנה ומפתח אחר לפענוח. לכל אחד מהמשתמשים יש את 2 המפתחות.

חתימה דיגיטלית- תפקידה להבטיח שמי שעומד שמאחורי המסר, זוהה באופן חד חד ערכי והוא לא יוכל להתכחש למסר שהעביר.

סוג מפתח	מפתח של	פעולה
ציבורי	מקבל	משלוח מסר מוצפן
פרטי	שולח	משלוח מסר חתום
פרטי	מקבל	פענוח מסר מוצפן
ציבורי	שולח	פענוח חתימה

ביקורת רואה חשבון על טכנולוגיית מערכות מידע

המטרה העיקרית של הביקורת היא מתן חוו"ד של רואה חשבון על הדוכ"ס כאשר באמצעות מ"מ אנו מייעלים את עבודת הביקורת של רואי חשבון. המ"מ מאפשרת לאסוף ראיות ביקורת ולכן עלינו גם לאמוד את תקינותה בגוף המבוקר.

Coso  - מסגרת לבקרה פנימית בארגונים. זהו מודל שמנחה ארגונים כיצד לקיים בקרה פנימית במכלול הפעילות שלהם.

בקרות- מנגנונים ששלובים בפעילות הארגון שאותו אנו מבקרים שמטרתם היא למנוע או לאתר פעילות לא רצויה.

ביקורת-נהלי הביקרות שאנו נוקטים בהם כמבקרים על מנת לבדוק שהדוכ"ס משקפים באופן נאות את הפעילות העסקית.

IT GOVERNANCE- מדובר בגןף מחקר השייך ל-ISACA (האיגוד הבינלאומי לביקורת ואבטחת מידע) שעיסוקו ניהול של טכנולוגיות מידע באחריות ההנהלה הבכירה,המורכב מתהליכים שמטרתם להבטיח שה-IT תואם ותומך באסטרטגיה העסקית תוך שילוב של בקרה ולמידה. החידוש כאן מתבטא ב-3 היבטים:

1.       ישנה הלימה בין האסטרטגיה העסקית לבין יעדי ה-IT.

2.       ה-IT GOVERNANCE הכניס את הנושא של הבקרה כחלק אינגרלי מניהול ה- IT  בארגונים כלומר יש הבאת ערך מוסף.

3.       בהיבט המדידה, יש על הרואה חשבון לדעת למדוד  לאורך זמן עמ' לראות שיפור ניכר בתהליך העשייה.

ה- COBIT- מסגרת עבודה הקשורה לניהול בקרה וביקורת של מערכות מידע בארגונים תוך עמידה ב:

א.      דרישות איכות מידע בהיבט של איכות,עלות,שלמות ומהירות בהספקת שירות.

ב.       דרישות שמבוססות על COSO- יעילות ותועלת תהליכים ופעילויות,אמינות והלימות לחוקים ותקנות.

ג.        דרישות אבטחה- בהיבט של סודיות, שלמות וזמינות הנתונים. רואה חשבון בחולון

 מודל זה חילק את עולם ה-IT  ל-4 שלבים:

1.       תכנון וארגון

2.       רכש ויישום

3.       תפעול ותחזוקה

4.       ניטור 

שלבים אלו מביאים ל-34 תהליכים שקיימים בארגון כאשר הוא מנחה אותנו כיצד ליישם את ההלימה בין היעדים העסקיים לבין ה-IT בהתאם לסביבת הארגון הספציפי.  ארגון המשתמש במסגרת זו, יגיע למטרותיו העסקיות ביתר קלות .ה- COBIT מספק כלים להערכה עצמית ובכך הנהלת הארגון מוצאת יתרון בשימוש במסגרת עבודה זו. לכל תהליך, יש לבצע את 3 הדברים הבאים:

5.       הגדרת פעילויות למימוש אותם תהליכים וכן הגדרת אחראי לכל פעילות ואת סוג אחריותו.

6.       שימוש במדדי ביצוע על מנת למדוד שיפור בארגון לאורך זמן.

7.       שימוש בבקרה ובביקורת- מתוך ה-34 נגזרו 210 יעדי בקרה שמהם נגזרו אלפי פעיליות על מנת לממשם.

למעשה, במידה והארגון משקף בפעילותו את מסגרת עבודה זו, הרו"ח יכול לסמוך על הבקרות ועל הנתונים במערכת המידע כך שהוא רשאי לבצע פחות בדיקות מבססות.

ה-COBIT מיועד:

*לשכבת ההנהלה- נותנת תמונת מצב של הסיכונים והבקרות בארגון ומסייע להחליט היכן להשקיע על מנת למזער את הסיכונים.

*לשכבת המשתמשים- מסייע לוודא כי רמת השירות הניתנת ע"י מ"מ הן מתוך הארגון והן ע"י גורם חיצוני, מספקת בהיבט של אבטחה ובקרה.

*לשכבת המבקרים- האמורים לתת חוו"ד ולייעץ להנהלה לגבי הבקרות הפנימיות במ"מ בארגון.

מבנה מערכות מידע:

יש 4 יחידות עיקריות:

1.       יחידת היישומים- זוהי יחידה שאחראית לאפליקציות בארגון.היא מקבלת את דרישות המשתמשים,מנתחת ומאפיינת אותם,רוכשת יישומים,אחראית על התוכן אותו אנו רוכשים,אחראית להקמה של יישום.

2.       יחידת התשתיות- מנהל המערכת אחראי לטיפול בתשתיות.

3.       יחידת תפעול שוטף- יחידה שאחריותה היא בתפעול שוטף. החידה דואגת לריצות עיבודים בשעות של חוסר פעילות, ביצוע גיבויים באופן מסודר,עזרה למשתמשים תוך שת"פ עם שאר היחידות.

4.       יחידות המטה- מטפלות באופן רוחבי בכל הארגון ובכל היחידות

5.       צוות איכות- תפקידו לדאוג לאיכות של כל המערכת. בודק תהליכי פיתוח,מטודולוגיה מסודרת, קיומם של נהלים ,בדיקות וכו' 

רואה חשבון ברמת גן

בסיסי נתונים

מערכת ארגונית המכילה ומנהלת את הנתונים של הארגון. היתרון הגדול, שנתונים נשמרים רק פעם אחת במערכת ונשלפים מהמערכת באופן שיטתי באופן שנמנעת כפילות.בנוסף, יש אינטרגציה בין המודולים השונים במערכת מה שמאפשר הפקת דוחות ושאילתות בלי בעיה. לעומת זאת, יש תלות במאגר נתונים אחד שאם הוא נפגע יש נזק עצום לארגון, יש בעיית אבטחה-יש יותר נגישות לכל מיני משתמשים בלי גבול.

מדובר למעשה בנכס מידע עצמאי שלא תלוי בנתונים ואנו יכולים להתאימו לסביבה הארגונית הספציפית באופן ידידותי למשתמש.

מחסן הנתונים:

על מנת לא להעמיס על בסיס הנתונים לצורך הפקת שאילתות וניתוחי מידע, אנו משתמשים במחסן הנתונים. היתרון בשימוש במחסן הוא בעיקר כאשר הארגון משתמש במספר בסיסי נתונים תפעוליים ואז המחסן מבצע אינטרגרציה בין כל הנתונים. מחסן הנתונים כאמור מסודר עפי אמות מידה הרלוונטיות לצורך הפקת מידע העשוי להיות יעיל בקבלת החלטות. יש לציין כי הנתונים במחסן מועברים אחת לתקופה כך שבהוצאת דוחות יש חשש מאי רלוונטיות. בשל כך, יש לשים לב לאילו מערכות עובדות עם המחסן וטיב הממשקים בינהם.

ארכיטקטורה של מ"מ:

זה מצביע על סוג נכסי המידע הקיימים בארגון,היכן הם ממקומים ברשת ואילו קשרים יש בינהם.לאופן סידור המערכות בארגון יש משמעות רבה.אנו כמבקרים,נדרוש את מפת אריטקטורת המידע ועפ"י התרשים נשליך על הסיכונים הקיימים במבוקר עוד לפני ביצוע הביקורת עצמה.

ביזור- בעולם ארכיטקטורת המידע ישנו ציר ממבוזר למרוכז. כאשר ביזור הכוונה לפיזור עם כוונה ובקרה. הארגון צריך להיות תמיד עם יד על הדופק כיצד לסדר את נכסי המידע שברשותו,עד כמה לרכז אותם ועד כמה לבזר.היתרון במרכוז הוא:סטנדרט אחיד,מרכז התמחות לארגון,חסכון בעלויות,שיפור רמת האבטחה. החיסרון: פוגם בצמאות יחידות הקצה,כובלים אותו להחלטות מסויימות וכן מעמיסים על המחשב המרכזי.

מחזור החיים של מערכות המידע: 

הגדרה-זהו השלב בו מגדירים ומאפיינים את המערכת. שילוב רו"ח הינו חשוב בשלב זה והוא מאפשר לו לשלב במע' ,בטרם הקמתה שיגרות ביקורת מובנות ודרישות נוספות למידע הדרוש לו לצרכי ניהול הכספים או הבקורת.שילוב מרכיבים אלה בשלבים מאוחרים יותר במחזור החיים קשה יותר לביצוע ואי שילובם עלול לגרום להגביל את המבקר בביקורת.      דוג':

·         הגדרת דוחות כספיים שיהיו בהתאם לכללי הדיווח וכן, הסעיפים שיובילו בסופו של דבר להרכב הדוחות הכספיים יהיו בממשקים נוחים עם בקרות.

·         הגדרת דוחות בקרה וביקורת כמו:דוח גיול, דוחות חריגים,דוחות שלמות נתונים.

·         בקרות מובנות למניעת טעויות כמו: בקרות תאריך,שדות חובה,ספרור קשיח,בקרות מתקנות,בקרות סכומים

·         שגרות ביקורת מובנית-תיעוד פעולות המערכת במהלך העבודה השוטפת. דוג':מנגנון LOG

·         נתיבי ביקורת- היכולת לעקוב אחר רישום למקורותיו מהסעיף בדוכ"ס ועד למסמך המקור.

·         הוראות ניהול ספרים- שהוראות אלו יכללו במערכת ובדוחות שהיא מפיקה.

·         אבטחת מידע-מערך הרשאת גישה,סיסמאות והצפנה.

שלב הבנייה-המתכנתים יושבים ובונים המערכת בהתאם לדרישות שהציב בפניהם הארגון.

שלב היישום- בשלב הזה, הארגון מתחיל בהליך הטמעת המערכת. על רואה חשבון לוודא כי כל הדרישות שהועלו בשלב ההגדרה אכן מיושמות במערכת וכי היא אפקטיבית.  על הרואה חשבוןלהשתלב בעיקר לפני שהמערכת עולה לאוויר,אז יש לבצע מבחני קבלה ולבחון שאין באגים וכן בדיקת הסבות, כלומר בדיקת העברת הנתונים מהמערכת הישנה לחדשה. ניתן לבצע זאת ע"י השוואת יתרות שנה קודמת, תוכנת מדף לביקורת כמו ACL,IDEA,או תוכנות שירות הפועלות בחברה.

שלב תפעול המערכת- המערכת עובדת ולכן על הרואה חשבון לבצע ביקורת שוטפת לרבות בדיקות תקפות של המערכת.

הסבות:

א.      הסבת מערכות:

תהליך שבו עוברים ממערכת מידע אחת לאחרת.

הסבה מיידית- באותו רגע שמפסיקים לעבוד עם מערכת אחת מתחילים לעבוד עם המערכת החדשה. יש לדאוג מראש לבדיקות למערכת לפני עלייתה לאוויר,בניית תוכנית חירום לצמצום הנזק במקרה של קריסה וכו'.

הסבה במקביל- הליך שבו הארגון עובד עם שני המערכות למשך תקופה מוגדרת מראש. לאחר בדיקה המבססת כי המערכת החדשה תקינה, אז מנתקים את המערכת הישנה. פרקטית,קשה ליישם שיטה זו למרות שמדובר בשיטה טובה. יש לשיטה זו עלויות וצורכת זמן ומשאבים.

הסבה הדרגתית- יישום המערכת החדשה בהדרגה. הדרגתיות יכולה להיות בכך שמחילים את המערכת ביחידה אחר יחידה בארגון ובכך שמחילים את המערכת לפי המודולים הקיימים בה(כמו:קודם מודל מכירות,אח"כ לקוחות..ספקים וכן הלאה)

הסבת חלוץ/פיילוט- זה חלק מהסבה הדרגתית. לוקחים יישות בארגון המשקפת בצורה דיי טובה את הארגון,נטמיע בה את המערכת. לאחר זמן מה,נראה כיצד המערכת עובדת,נפיק לקחים, נשדרג  ורק אז ניישם את המערכת על שאר הארגון. הבעיה העיקרית היא שאם הסבנו רק ביישות אחת, יש חוסר תקשורת בין היחידות.הדבר מצריך ממשקים נוספים על מנת לתקשר בין היחידות השונות.

ב.       הסבת נתונים:

יש לשים לב כשעוברים בין מערכת למערכת למבנה הנתונים של כל מערכת.(לדוג' במערכת הישנה יש שדה של 10 תווים ואילו בחדשה יש שדה של 20 תווים) . כמו כן, כדאי לבצע "טיוב נתונים" ראשית , להיפטר מנתוני הזבל שהצטברו במערכת הישנה ושנית, עמ' לבצע התאמה בין מבנה הנתונים הקיים בישנה לחדשה(

כמו כל תהליך, יש לאפיין ולנהל אותו תוך הבטחת איכות ושלמות הנתונים.

משרד רואה חשבון