Kako do več dodane vrednosti IT revizije

V času vse večje digitalizacije poslovanja podjetij so vse pogostejša in povečana tveganja s področja informacijske varnosti in dostopnosti do informacijskih sistemov, ki jih želijo družbe primerno obvladovati z vzpostavljenimi notranjimi kontrolami. Zato je pomembno preverjanje ali so te kontrole primerno vzpostavljene ter ali tudi primerno delujejo. Takšne so tudi v zadnjem času vse pogostejše zahteve revizijskih komisij in nadzornih svetov glede nadzora na področju IT varnosti.
So pa takšna povpraševanja za izvedbo IT revizij v praksi precej splošna, zato ne prinašajo ustrezne dodane vrednosti za revidirano družbo kot bi jo bolj natančno opredeljeno povpraševanje, ki upošteva kaj je za posamezno podjetje pomembno. Že samo področje kibernetske (ne)varnosti je zelo široko in zato časovno in stroškovno obsežno pri izvedbi takšne revizije. To lahko vodi do neučinkovitosti takšnih revizij, ki so potem pogosto tudi neuporabne za revidirane družbe. Revizor lahko sicer sugerira področja pregleda, vendar so različna področja pri različnih organizacijah, zelo različno pomembna in tvegana. Z vidika učinkovitosti je zato zelo pomembno, da vemo kaj želimo imeti od pregleda.

Na webinarju smo na kratko predstavili različna področja IT revizij in podane smernice glede smiselnosti različnih vrst pregledov v različnih organizacijah. To je odvisno od vrste dejavnikov:

• kako zrela je organizacija na področju IT varnosti,
• kako visoko je posamezna organizacija avtomatizirana,
• s kakšnimi vrstami podatkov upravlja posamezna organizacija idr.

Udeležencem smo želeli približati razumevanje heterogenosti informacijskih sistemov in predstaviti na kakšen način je smiselno pristopiti k nadzoru nad njimi. Na ta način bodo lažje nadzorovali tveganja na področju zagotavljanja informacijske varnosti, posledično pa tudi podatkov in informacij organizacije.