IT-risikoer og kontroller Prosessen risikostyring av IT IT-risikoer ...
IT-risikoer og kontroller Prosessen risikostyring av IT IT-risikoer ...
IT-risikoer og kontroller Prosessen risikostyring av IT IT-risikoer ...
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
Enkelte andre momenter ved SU• Manglende rutineendring ved endret datasystem(BusinessProcess Reengineering)• Skille mellom utvikling, test <strong>og</strong> drift (tilgangskontroll)– pr<strong>og</strong>rambibliotek <strong>og</strong> databaser• Innebygge sikkerhet i alle systemkomponenter• Konverteringstilpasning– Gamle dataformater overføres– Manglende dat<strong>av</strong>erdier(egenskaper) når objekt overføres• Testing før implementering– enhetstest, modultest, test <strong>av</strong> hele systemet,belastningstest31• Opplæring <strong>og</strong> dokumentasjonEndring <strong>av</strong> applikasjoner• Endring vs nyutvikling– Spm om definisjon <strong>av</strong> ”ny”– Vedlikehold / feilretting vs prosjekter / nyutvikling• Styrte t endringer– Behov, beslutning, utvikling, test, implementering– Versjonsstyring• Planlegging <strong>av</strong> implementering– Dataformat-konvertering– Kontrollspor32ISACAs revisjonssyklus <strong>og</strong> ISAE3000standarder for attestasjonsoppdrag som ikke er revisjon eller begrenset revisorkontrollUtførelse <strong>av</strong> <strong>IT</strong>-revisjonenJH kap 9• Planlegging• Risikovurdering• Utarbeide revisjonspr<strong>og</strong>ram• Bevisinnsamling• Konkludere• Avgi revisjonsberetning• Oppfølgning• Effektiv utførelse <strong>av</strong> oppdraget– (jf. ISA300.4 ”Måleffektiv”, jf COSO”Effectiveness”, ”Efficiency”)• Vurdere vesentlighet <strong>og</strong> redusere risiko tilakseptabelt nivå• Tilstrekkelige <strong>og</strong> hensiktsmessige bevis•• Attestasjonsuttalelse• ISAE3000.3: Praktiserende •finansielle revisorer måinnordne sin bruk <strong>av</strong>ISACA std etter ISAE30003334Planlegning• Revisjonens omfang (Scope)– Hva som skal gjøres er <strong>av</strong>hengig <strong>av</strong> oppdraget• F. eks. applikasjonsgjennomgang, gjennomføre (Cobit-)<strong>kontroller</strong>, vurdere generelle <strong>kontroller</strong>, osv.• Vesentlighet– Finansielle transaksjoner– Ikke-finansielle transaksjoner• Systemkostnad, kritikalitet, omstillingsevne, . . . ?• Tredjepartsdrift– Uttalelser fra serviceorg revisor (ISA402)Risikovurdering• <strong>IT</strong>-<strong>risikoer</strong> ved drift• Vesentlighet <strong>og</strong> kritikalitet• Selvvurdering <strong>av</strong> internkontrollen35366
Change language