Cyfrowa ewolucja środowiska rachunkowości
Cyfryzacja rachunkowości, powszechne wdrażanie niezwykle złożonych systemów klasy ERP (Enterprise Resource Planning) oraz szybki rozwój systemów AI sprawiają, że audyt środowiska informatycznego nie jest już jedynie technicznym wsparciem dla głównego zespołu badającego, ale staje się integralnym i absolutnie kluczowym elementem całej procedury rewizyjnej. Biegły rewident stoi dziś przed koniecznością nie tylko formalnej oceny poprawności agregowanych danych liczbowych, ale przede wszystkim musi głęboko zrozumieć i przetestować mechanizmy systemowe, które te dane generują, na bieżąco przetwarzają, a ostatecznie raportują w księgach głównych i zestawieniach finansowych. Złożoność tych środowisk wymaga interdyscyplinarnego podejścia i włączenia do zespołów ekspertów posiadających specjalistyczną wiedzę.
KSB 315 (Zmieniony) jako odpowiedź na cyfrowe zmiany
Znaczenie audytu IT zostało mocno usankcjonowane poprzez zmieniony Krajowy Standard Badania 315. Standard ten, szeroko analizowany i promowany przez Polską Izbę Biegłych Rewidentów, wprowadził istotne zmiany w procedurach badania. Zgodnie z jego rygorystycznymi wytycznymi, na zespole badającym spoczywa obowiązek wnikliwej identyfikacji wszelkich aplikacji informatycznych, baz danych oraz powiązanej z nimi infrastruktury sprzętowej i sieciowej, które mają bezpośrednie lub pośrednie znaczenie dla szeroko pojętej sprawozdawczości finansowej podmiotu. Proces ten wymaga precyzyjnego mapowania kluczowych procesów biznesowych i identyfikacji tzw. ryzyk IT, czyli zagrożeń wynikających z samego faktu wykorzystywania zaawansowanych technologii. Błędne rozpoznanie tych ryzyk na wczesnym etapie planowania badania rodzi ryzyko błędnego oszacowania ogólnego ryzyka audytu. W praktyce oznacza to, że audytorzy muszą uzyskać przekonanie co do tego, czy środowisko IT klienta jest na tyle stabilne, bezpieczne i przewidywalne, aby można było bez obaw polegać na generowanych przez nie raportach, logach systemowych oraz wbudowanych automatycznych mechanizmach kontrolnych.
Procedury badania środowiska IT
W metodyce audytu IT jako część procesu badania sprawozdań finansowych, rozróżniamy dwa główne obszary: ogólnych kontroli IT oraz kontroli aplikacyjnych. Ogólne kontrole IT to zbiór polityk, procedur i praktyk zarządczych, które mają zastosowanie do całego przekroju infrastruktury informatycznej organizacji. Obejmują one obszar zarządzania dostępami, gdzie audytorzy weryfikują architekturę uprawnień w systemach stosowanych przez badaną jednostkę, upewniając się, że nie dochodzi do konfliktu w przydzielonych uprawnieniach, a dostęp posiadają wyłącznie osoby do tego upoważnione. Drugim istotnym elementem jest zarządzanie zmianą, aby upewnić, że ryzyko wprowadzania nieautoryzowanych korekt jest zmniejszone do akceptowalnego poziomu. Istotne jest także zarządzanie operacjami IT, w tym polityki tworzenia kopii zapasowych i gwarantowania ciągłości działania. Skuteczność ogólnych kontroli IT jest warunkiem wstępnym, pozwalającym audytorowi na oparcie się na kontrolach aplikacyjnych. Te z kolei są zautomatyzowanymi algorytmami wbudowanymi w same systemy biznesowe, które autonomicznie weryfikują poprawność danych, na przykład wymuszając odpowiedni format wprowadzanych kwot czy dokonując wielostronnych uzgodnień dokumentów kosztowych bez ingerencji człowieka.
Wewnętrzne standardy jakości i wytyczne nadzorcze
Niezawodność procesu audytu informatycznego jest ściśle uzależniona od wewnętrznych regulacji obowiązujących w samych firmach audytorskich w postaci systemu zarządzania jakością. Taki system kompleksowo reguluje wykorzystanie zasobów technologicznych własnych firmy audytorskiej. Narzędzia informatyczne służące do przeprowadzania procedur analitycznych, takie jak zaawansowane oprogramowanie do ekstrakcji i analizy dużych zbiorów danych (Big Data Analytics), muszą podlegać ciągłej walidacji. Metodologie przeprowadzania badań zgodnie z obowiązującymi standardami powinny być adekwatne do złożoności systemów informatycznych badanych jednostek. Często skutkuje to zaangażowaniem certyfikowanych audytorów IT w celu minimalizacji ryzyka niewykrycia istotnych błędów ukrytych głęboko w systemach informatycznych.
Biegły rewident jako niezależny administrator danych osobowych
W dobie rygorystycznych przepisów o ochronie prywatności, przetwarzanie ogromnych wolumenów wrażliwych informacji z systemów IT klienta stanowi istotny obszar, w którym procesy badania powinny być odpowiednio dostosowane. Rola jaką spełnia biegły rewident nie pozwalała do końca określić jego statusu w świetle ustawy o ochronie danych osobowych. Zgodnie z interpretacją Urzędu Ochrony Danych Osobowych w odpowiedzi na intensywne starania Polskiej Izby Biegłych Rewidentów, biegli rewidenci oraz firmy audytorskie działają jako samodzielni administratorzy danych. Decyzja ta opierała się na niezależności biegłych rewidentów w stosunku do podmiotów badanych, braku związania poleceniami klienta w zakresie doboru metod badania oraz na ciążącym na nich obowiązku zachowania bezterminowej tajemnicy zawodowej i realizowania ustawowych obowiązków, w tym tych związanych z prawem do oceny celów i sposobów przetwarzania informacji.
Wyzwania w zakresie zabezpieczeń technicznych i organizacyjnych
Biegły rewident ponosi pełną odpowiedzialność za odpowiednie zarządzanie i chronienie dokumentacji pozyskiwanej w toku weryfikacji systemów finansowych. Stosowane są adekwatne zabezpieczeń chroniące przed nadużyciami. Bezpieczeństwo IT powinno obejmować obszary t.j. dopuszczanie do systemów wyłącznie uprawnionych osób, zapewnianie bezpiecznej komunikacji w sieciach teleinformatycznych, obronę przed nieuprawnionym dostępem do systemów informatycznych oraz integralność tychże systemów i zapisanych w nich danych. Nakreślone ścisłe ramy prawne dają mocne podstawy do zachowania bezpieczeństwa danych co stanowi wyzwanie dla firm audytorskich, aby ujednolicić stosowane systemy i wprowadzić jasne wytyczne dla zespołów badających sprawozdania finansowe. Z tego powodu niezbędne jest współpraca ze specjalistami IT nie tylko pod kątem spełnienia wymogów określonych w standardach badania, lecz także w zakresie pozyskania przetwarzania i zabezpieczania danych dla celów wewnętrznych. W szczególności wynika to także z przepisów dotyczących tajemnicy zawodowej, która nakazuje biegłym rewidentom oraz firmom audytorskim zachowanie bezwzględnej i bezterminowej poufności w stosunki do wszelkich informacji zdobytych podczas realizacji usług.