Informacijska tehnologija (IT) prevzema ključno vlogo v poslovnem in zasebnem življenju. Sodobne organizacije si ne predstavljamo brez zanesljivega, učinkovitega in varnega informacijskega sistema, kar velja tako za velika kot tudi srednja in mala podjetja. Redni notranji in zunanji pregledi širšega okolja IT v podjetju so izjemno pomembni, če ne nujni za zagotavljanje nemotenega poslovanja podjetja pa tudi za dolgoročni obstoj, saj lahko incidenti, povezani z IT, povzročijo veliko neposredno in posredno poslovno škodo. Revizija informacijskega sistema je sistematičen strokoven pregled tehničnega in organizacijskega vidika zagotavljanja informacijske podpore v podjetju, katerega namen je preveriti skladnost delovanja IT s predpisi, standardi in dobrimi praksami. Pregled praviloma temelji na analizi tveganj in pregledu kontrol, na podlagi katerih ugotovimo, ali je delovanje IT v podjetju skladno s poslovnimi cilji in vizijo, učinkovito, varno in zanesljivo ter ali so postopki v primeru incidentov primerni glede na tveganja, povezana z delovanjem in uporabo informacijskih sistemov v podjetju. Z revizijo IT bo podjetje oziroma revidirana enota pridobilo(a) neodvisno mnenje glede skladnosti s predpisi, standardi in dobrimi praksami.

Revizor informacijskih sistemov z veljavno licenco Slovenskega inštituta za revizijo (SIR) je strokovno usposobljen za izvajanje revizijskega pregleda ter izpolnjuje najvišje strokovne in etične standarde. Pri izvajanju revizijskega pregleda informacijskega sistema upošteva veljavno zakonodajo in standarde revidiranja, sledi uveljavljenim mednarodnim postopkom organizacije ISACA, upošteva razširjene in mednarodno sprejete standarde organizacije ISO in dobre prakse ter na podlagi teh poda priporočila za izboljšanje na področjih, za katera je opravil revizijski pregled.

Vrste revizijskih pregledov:

• revizija celotnega okolja IT (letna, zunanja, notranja),
• revizija posameznega področja (npr. varnosti),
• posebna revizija, katere namen je izdaja mnenja glede izpolnjevanja določenih pogojev in/ali ciljev,
• revizija rezultatov projektov IT

Ostala področja delovanja revizorjev informacijskih sistemov:

• nadzor projektov IT,
• sodelovanje pri akreditacijah programske opreme po ZVDAGA,
• pregledi programske opreme,
• pregledi izdelkov in postopkov s področij revidiranja IT,
• pomoč pri vzpostavitvi okolja IT, ki izpolnjuje zastavljene cilje s področij revidiranja (npr. zagotavljanja varnosti, neprekinjenega poslovanja, upravljanja IT),
• pomoč in svetovanje.

V sklopu revizijskega pregleda lahko pregledamo naslednja področja:

• upravljanje IT,
• neprekinjeno poslovanje
• zagotavljanje varnosti.

Kdo najame revizorja informacijskih sistemov in zakaj ga najame:
Finančni revizor – izdaja mnenja o tveganjih, povezanih z delovanjem informacijskih sistemov v podjetju. Lahko tudi kot veščak pri delu notranjerevizijske službe (NRS).
Nadzorni svet – pregled dejanskega stanja in pridobitev neodvisnega mnenja o učinkovitosti informacijskega sistema družbe kot tudi skladnosti delovanja s predpisi, standardi in dobrimi praksami.
Uprava – pridobitev neodvisnega mnenja o izvajanju IT-podpore v podjetju, skladnosti postopkov s predpisi, standardi in dobrimi praksami.
Vodja informatike – pridobitev neodvisnega mnenja o delovanju službe informatike v podjetju, delu podizvajalcev in pogodbenikov ter tveganjih, povezanih z delovanjem IT.
Projektni svet/vodja projekta – pridobitev mnenja o izdelkih projekta, ki so povezani z informacijsko-komunikacijsko tehnologijo.
Javna uprava – za vse organe, ki bi želeli pridobiti mnenje o dejanskem stanju področja IT, kar se navezuje na varnost, neprekinjeno poslovanje in učinkovitost delovanja.

Kako poteka revizijski pregled informacijskega sistema?

1. Revizor informacijskih sistemov pripravi in uskladi listino o revizijskem poslu, ki določa cilje, namen in obseg revizije. Listina o revizijskem poslu je neke vrste pogodba med revizorjem informacijskih sistemov in naročnikom revizije.
2. Revizor opravi informativni sestanek z vodstvom in pregleda osnovno dokumentacijo.
3. Na podlagi pregleda revizor zahteva dodatno dokumentacijo, pripravi in izvede teste, opravi intervjuje z osebjem ter izvede druge postopke skladno s standardi revidiranja.
4. Revizor informacijskih sistemov sestavi poročilo.
5. Poročilo predstavi odgovornim za področje IT, ki lahko podajo pojasnila ugotovitev in komentarje o njih.
6. Glede na podane komentarje se lahko zahtevajo dodatni dokazi ali izvedejo dodatni testi.
7. Sestavi se končna različica poročila, ki se predstavi naročniku. Poročilo praviloma vsebuje tudi priporočila.
8. V primeru, da je bil v listini o revizijskem poslu opredeljen tudi porevizijski pregled, se le-ta izvede in sestavi se poročilo o pregledu.

Katero dokumentacijo potrebujemo za revizijski pregled?
Dokumentacija je odvisna od ciljev, namena, obsega in področja revizije. Za pregled celotnega okolja IT v podjetju boste potrebovali naslednjo dokumentacijo:
 

Splošni dokumenti

• organizacijska shema,
• seznam zaposlenih z delovnim mestom in opisom nalog,
• strategija podjetja.

Področje upravljanja

• potrjena strategija IT za obdobje, v katerem se izvaja revizijski pregled,
• letni načrt za preteklo in prihodnje leto,
• shema IT-infrastrukture,
• seznam programske in strojne opreme,
• ocena tveganj, povezanih z IT,
• seznam zunanjih izvajalcev (pogodbe in dogovori o ravni storitve (ang. Service Level Agreement – SLA),
• poročila o predhodnih pregledih,
• seznam certifikatov (npr. ISO)

Področje varnosti

• skupna varnostna politika in/ali varnostne politike za posamezna področja,
• seznam varnostnih tveganj,
• seznam incidentov,
• poročila o obravnavi incidentov.

Področje neprekinjenega poslovanja

• načrt neprekinjenega poslovanja,
• poročila o izvedenih testih za področje neprekinjenega poslovanja.

Kakšen je strošek revizije

Na podlagi ciljev, namena, obsega in področja revizije se oceni čas za izvedbo revizijskega pregleda, ki praviloma zajema:

• priprave, ki vključujejo uvodni sestanek, pregled dokumentacije in korespondenco z revidirano enoto,
• delo na terenu,
• sestavitev in uskladitev revizijskega poročila,
• predstavitev rezultatov revizije ter
• porevizijski pregled (po dogovoru z revidirano enoto).

Za ceno ure preizkušenega revizorja informacijskih sistemov se uporabljajo smernice za oblikovanje cen revizijskih storitev.