आईटी ऑडिट

शुभ दोपहर

मैं कंपनी के बाहरी वित्तीय लेखा परीक्षा के भाग के रूप में आईटी विभाग प्रबंधन की आवश्यकताओं के अनुपालन के मुद्दे पर प्रकाश डालना चाहूंगा। लेख का उद्देश्य संबंधित कानूनों का वर्णन करना नहीं है, लेकिन आईटी विभाग के प्रबंधन पर उनका विशिष्ट प्रभाव है।

संभवतः, आप में से बहुत से लोग कैलेंडर वर्ष के अंत में (या तो दूसरी ओर अधिक होते हैं) या तो रोजमर्रा की दिनचर्या या अफवाहों के रूप में इन आवश्यकताओं का सामना कर चुके हैं, लेकिन मैं व्यक्तिगत रूप से SOX, HIPAA, SAS 70 (SSAE 16 द्वारा प्रतिस्थापित) जैसी अवधारणाओं को छोड़कर। ) और ITGC, इस मुद्दे के किसी भी व्यापक विवरण में नहीं आए हैं।



बहुत पहले नहीं, अपने काम के हिस्से के रूप में, मैंने नए कर्मचारियों के लिए एक प्रस्तुति तैयार की, जो हमारी कंपनी की इस प्रकार की गतिविधि का एक न्यूनतम विचार देता है। दरअसल, प्रस्तुति ने ही मुझे इस लेख को लिखने के लिए प्रोत्साहित किया। यहां मैं यह नोट करना चाहता हूं कि सीआईएस देशों में मेरा अनुभव बहुत सीमित है - मैं अंतरराष्ट्रीय कंपनियों के साथ अधिक काम करता हूं।

यदि आप इस प्रश्न में रुचि रखते हैं, तो आपका स्वागत है।

प्रविष्टि

मैं इन आवश्यकताओं के इतिहास में एक संक्षिप्त भ्रमण दूंगा: 2000 के दशक की शुरुआत में कई बड़ी कंपनियों में वित्तीय धोखाधड़ी के परिणामस्वरूप, अमेरिकी राष्ट्रपति ने वित्तीय विवरणों की विश्वसनीयता के लिए वरिष्ठ प्रबंधकों की प्रत्यक्ष जिम्मेदारी के बारे में SOX कानून को मंजूरी दी। चूंकि हमारे समय में वित्तीय रिपोर्टिंग खलिहान की पुस्तकों में नहीं, बल्कि विशेष सूचना प्रणालियों में आयोजित की जाती है, इसलिए यह सुनिश्चित करना आवश्यक हो गया कि इन प्रणालियों में संग्रहीत वित्तीय डेटा पर भरोसा किया जा सके।

आप में से प्रत्येक के पास एक सवाल हो सकता है कि यह उस कंपनी से कैसे संबंधित है जहां आप काम करते हैं? यदि कंपनी अमेरिकी शेयर बाजार में सूचीबद्ध है या इनमें से किसी एक कंपनी की सहायक कंपनी है, तो आईटी विभाग के काम की निगरानी के लिए एक आंतरिक तंत्र बनाना आवश्यक है। बेशक, अन्य विभागों में एक समान तंत्र बनाना आवश्यक है, लेकिन यहां मैं दोहराता हूं कि इस लेख का उद्देश्य आईटी विभाग है।

तो, इस तरह का एक नियंत्रण तंत्र कैसे बनाया जाता है? एक नियम के रूप में, एक कंपनी एक परामर्श फर्म में बदल जाती है, जो एक ऑडिट फर्म के साथ बातचीत में इस कंपनी के प्रतिनिधि के रूप में कार्य करती है, और एक अन्य ऑडिट फर्म भी सलाहकार के रूप में कार्य कर सकती है। एक परामर्श कंपनी अपनी उपलब्धियों का उपयोग करती है, उन्हें प्रत्येक विशिष्ट कंपनी के लिए एक डिग्री या किसी अन्य के लिए उपयुक्त करती है।

ये घटनाक्रम क्या हैं? वास्तव में, यह एक सामान्य एक्सेल स्प्रेडशीट है जिसमें उन जोखिमों और नियंत्रणों को व्यवस्थित किया गया है, जिनका मैं भविष्य में वर्णन करूंगा। ये जोखिम और नियंत्रण कहाँ से आए? परामर्श फर्मों के कर्मचारियों के समर्पण की डिग्री के आधार पर, विभिन्न मानकों (COBIT, ITIL, COSO) के गहन अध्ययन, उनके बाद के विश्लेषण और जोखिमों और नियंत्रणों के अपने "पुस्तकालय" का निर्माण, और बड़ी कंपनियों के पूर्व कर्मचारियों द्वारा, एक नियम के रूप में, सरल साहित्यिक चोरी के साथ समाप्त होने पर निर्भर करता है। मुफ्त तैराकी के लिए तैयार है।

आईटी विभाग की ऑडिट प्रक्रिया को दो अवधियों में विभाजित किया जा सकता है। पहला, एक नियम के रूप में, देर से वसंत या शुरुआती गर्मियों में होता है, इसमें आईटी प्रक्रियाओं और नियंत्रण (मैट्रीस में भरना) का विवरण शामिल होता है और प्रत्येक कुंजी नियंत्रण के लिए कम से कम एक प्रलेखित उदाहरण की आवश्यकता होती है। अपने स्वयं के अनुभव से मैं यह कह सकता हूं कि यह चरण स्वयं आईटी विभाग के लिए अत्यंत महत्वपूर्ण है - वर्णित आईटी प्रक्रियाओं और नियंत्रणों की गहन जांच के अभाव में, भविष्य में संभावित अशुद्धियां महंगी हो सकती हैं। ऑडिट का दूसरा हिस्सा गिरावट में पड़ता है, और इन नियंत्रणों पर प्रलेखन एकत्र करके सभी प्रमुख नियंत्रणों का परीक्षण करना शामिल है।

यहां, साधारण और कुंजी नियंत्रण के बीच अंतर की एक छोटी व्याख्या की आवश्यकता है: साधारण नियंत्रण को विवरण के रूप में मैट्रिक्स में दर्ज किया जाता है, जबकि कुंजी नियंत्रण, विवरण के अलावा, परीक्षण करने की आवश्यकता होती है। यह कैसे पता लगाएं कि नियंत्रण पर प्रलेखन प्रदान करना आवश्यक है, और जहां आप केवल एक उल्लेख के लिए खुद को सीमित कर सकते हैं? कोई रास्ता नहीं। यह मध्यस्थ और लेखा परीक्षक के बीच बातचीत है, कंपनी के आकार के आधार पर, लेखा परीक्षा के पहले भाग के परिणाम आदि। हालांकि, नीचे दिए गए अधिकांश नियंत्रणों के लिए, प्रलेखन की आवश्यकता होती है।

ऑडिट प्रक्रिया का विवरण शुरू करने से पहले, मैं आदेशों और प्रक्रियाओं के विषय का उल्लेख करना चाहूंगा - आईटी विभाग की सभी प्रमुख कार्य प्रक्रियाओं का दस्तावेजीकरण करना आवश्यक है। इन दस्तावेजों को कंपनी के प्रबंधन द्वारा अनुमोदित किया जाना चाहिए, समय-समय पर प्रक्रियाओं और प्रौद्योगिकियों में महत्वपूर्ण परिवर्तन के मामले में समीक्षा और अद्यतन किया जाना चाहिए।
और एक और ध्यान दें: यदि संभव हो तो, एक्सेल प्रारूप में सूचियां प्रदान करें - इससे ऑडिटर और स्वयं दोनों के लिए जीवन आसान हो जाएगा (एक ही प्रदान करने के लिए अनुरोधों के साथ बार-बार आवश्यकताएं, लेकिन एक अलग रूप में आप घबरा सकते हैं)।

आइए नियंत्रणों के वर्णन पर आगे बढ़ते हैं। जोखिम और नियंत्रण तालिका तीन भागों में विभाजित है:
1. तार्किक और शारीरिक पहुंच
2. सूचना प्रणाली का संचालन
3. सूचना प्रणाली में प्रबंधन बदलें
चौथा भाग, "सूचना प्रणाली का विकास", आमतौर पर परिवर्तन प्रबंधन के हिस्से के रूप में परीक्षण किया जाता है, क्योंकि यह दस्तावेज़ों में बदलाव पर केंद्रित है।

तार्किक और शारीरिक पहुंच

पहला खंड तार्किक और उन सभी सूचना प्रणालियों तक भौतिक पहुंच है, जो ऑडिट पर केंद्रित है।

1. सिस्टम एडमिनिस्ट्रेटर - यहां कंपनी के नेटवर्क (एडमिनिस्ट्रेटर, डोमेन, एंटरप्राइज और स्कीम एडमिन) और डेटाबेस सहित प्रत्येक सिस्टम में एडमिनिस्ट्रेटर की एक सूची प्रदान करना आवश्यक है। सूची को या तो सिस्टम से निर्यात किया जाना चाहिए या स्क्रीनशॉट के रूप में प्रदान किया जाना चाहिए, जो पहले से बेहतर हो।
सिस्टम प्रशासक अधिकारों के साथ प्रत्येक कर्मचारी के लिए एक अनुमोदन आदेश मौजूद होना चाहिए। आपको प्रत्येक सेवा खाते को समान अधिकारों के साथ जानना होगा।



2. कर्मचारी पहुंच अधिकार - कई उप-मदों का परीक्षण किया जाता है:
एक। जिन कर्मचारियों ने परीक्षण वर्ष में काम शुरू किया था - उन्हें ऐसे कर्मचारियों की एक सूची प्रदान करने की आवश्यकता होती है, जो कि बस लेखांकन कार्यक्रम (इस तथ्य के आधार पर कि कोई कर्मचारी नहीं है जो वेतन प्राप्त नहीं करता है)।
ख। कर्मचारी जिन्होंने परीक्षण किए गए वर्ष में काम पूरा किया है - इसी तरह, ऐसे कर्मचारियों की एक सूची।
सी। जिन कर्मचारियों ने अपनी स्थिति बदल दी है - कर्मचारियों की एक सूची।
घ। इसके अतिरिक्त, कंपनी नेटवर्क और डेटाबेस सहित सभी प्रणालियों में पूर्ण उपयोगकर्ता सूची प्रदान की जानी चाहिए
लेखा परीक्षकों (पूरी सूची या चयन) के अनुरोध पर, कर्मचारियों को काम पर रखने और खारिज करने के भरे और प्रमाणित रूप प्रदान किए जाने चाहिए।
डेटा का क्रॉस-चेक किया जाएगा: क्या ऐसे कर्मचारी हैं, जिन्होंने उचित अनुमति के बिना किसी भी सिस्टम तक पहुंच अधिकार प्राप्त किए हैं, क्या वहां खुले उपयोग के अधिकार वाले कर्मचारियों को निकाल दिया गया है / छोड़ दिया गया है, क्या अप्रयुक्त खुले खाते हैं (90-180 से अधिक दिनों में लॉगिंग) ।
यह उपयोगकर्ता अधिकारों की वार्षिक ऑडिट प्रक्रिया के कार्यान्वयन की भी जांच करता है - आपको प्रत्येक सिस्टम में उपयोगकर्ताओं और उनके अधिकारों की प्रमाणित सूची प्रदान करनी होगी। वैसे, इस चेक की मदद से आप बर्खास्त / इस्तीफा देने वाले कर्मचारियों के खाते पा सकते हैं जो समय पर बंद नहीं हुए हैं।

3. रिमोट एक्सेस अधिकार - आपको उन सभी कर्मचारियों की सूची प्रदान करनी चाहिए जिन्हें रिमोट एक्सेस का अधिकार है। कर्मचारियों की सूची के लिए ऑडिट प्रक्रिया को उपयोगकर्ता अधिकारों के वार्षिक ऑडिट के भाग के रूप में भी सत्यापित किया जा सकता है। यदि AD में इन अधिकारों के साथ एक अलग समूह है - अतिरिक्त क्रॉस-सत्यापन के लिए तैयार हो जाओ।

4. कार्यक्रमों की स्थानीय स्थापना के अधिकार - यह वांछनीय है कि कोई भी कर्मचारी अपने कंप्यूटर पर स्थानीय व्यवस्थापक नहीं है।

5. बाहरी कनेक्शन - सीडी-रोम, यूएसबी पोर्ट, लैन सॉकेट और वाई-फाई पॉइंट को ब्लॉक करना उचित है। प्लस कनेक्शन के लिए ट्रैकिंग और अधिसूचना प्रणाली का उपयोग करें।

6. पासवर्ड नीति - आपको सभी प्रणालियों के लिए पासवर्ड सेटिंग्स स्क्रीन का स्क्रीनशॉट प्रदान करना होगा, साथ ही विज्ञापन भी। न्यूनतम पासवर्ड आवश्यकताएँ:
एक। न्यूनतम 8 वर्ण लंबे
ख। विभिन्न पात्रों का उपयोग
सी। अधिकतम 90 दिनों के बाद पासवर्ड बदल जाता है, एक दिन का न्यूनतम
घ। कम से कम 5 पीढ़ियों, या एक वर्ष के लिए पासवर्ड का इतिहास रखना
ई। पासवर्ड पुनर्प्राप्त करने की क्षमता की कमी
च। अधिकतम 5 गलत प्रयासों के बाद खाता लॉकआउट
जी। नेटवर्क व्यवस्थापक खाता अनलॉक करता है (यह स्वचालित रीसेट लॉक का उपयोग न करने की सलाह दी जाती है)
यह सभी खातों के लिए AD में अंतिम पासवर्ड परिवर्तन की तारीख की भी जाँच करेगा।



7. फ़ायरवॉल - एफडब्ल्यू संस्करण का स्क्रीनशॉट, एफडब्ल्यू प्रशासकों की सूची, अलर्ट मेलिंग सूची। उन्हें एफडब्ल्यू में नियमों की प्रमाणित आवधिक समीक्षा की भी आवश्यकता हो सकती है। गंभीर मामलों में, वे लॉग को देखेंगे या एक दस्तावेज प्रमाणित करने की आवश्यकता होगी (!) कि इस तरह की जाँच की जाती है।



8. एंटी-वायरस - एवी संस्करण का एक स्क्रीनशॉट, चेतावनी मेलिंग सूची, एवी सर्वर और क्लाइंट को अपडेट करने के लिए सेटिंग्स स्क्रीन।



9. लैपटॉप सुरक्षा - काफी कम (अभी तक) उन्हें लैपटॉप वाले कर्मचारियों की सूची की आवश्यकता होती है। हार्ड ड्राइव एन्क्रिप्टेड हैं, यदि हां, तो कैसे।

10. आपातकालीन प्रबंधन - प्रत्येक कंपनी को ऐसी घटनाओं (नेटवर्क हैकिंग प्रयासों, आदि) की एक सूची को बनाए रखना चाहिए। वरिष्ठ प्रबंधन को त्रैमासिक रिपोर्ट प्रेषित करना उचित है।

सूचना प्रणाली का संचालन

खैर, सूचना प्रणाली की सुरक्षा को सुलझा लिया। हम सीधे उनके संचालन के लिए आगे बढ़ते हैं।

1. डेटा का बैकअप लेना इस सेक्शन की मुख्य जाँचों में से एक है।
आपको बैकअप प्रोग्राम संस्करण का स्क्रीनशॉट, कार्यों की स्थिति की मेलिंग सूची, साथ ही बैकअप सेटिंग्स स्क्रीन प्रदान करनी चाहिए। चूंकि, एक नियम के रूप में, प्रत्येक वित्तीय प्रणाली अपने स्वयं के वर्चुअल सर्वर पर स्थापित होती है, और बैकअप के लिए आवश्यकताएं अलग-अलग हो सकती हैं (पूर्ण, अंतर, वृद्धिशील), उपयुक्त स्क्रीनशॉट की आवश्यकता होगी। लॉग्स को देखकर बैकअप प्रक्रिया की निरंतरता की जांच की जाती है, इसलिए आपको पिछले तीन महीनों के लिए बैकअप लॉग रखने की आवश्यकता है, और इससे भी बेहतर - पूरे परीक्षण वर्ष के लिए। यहां 2-3 दिनों से अधिक समय तक बैकअप सिस्टम के साथ समस्याओं की तलाश की जाती है। ऐसे मामलों में, रिपोर्ट को वरिष्ठ प्रबंधन द्वारा बनाए रखा जाना चाहिए, कम से कम ई-मेल संदेशों के रूप में।



2. डेटा रिकवरी का सत्यापन - आपको टेप से डेटा रिकवरी के लिए लॉग प्रदान करना होगा। एक अनुभवी ऑडिटर एक फ़ाइल सर्वर से कई दस्तावेजों तक सीमित नहीं है, इसलिए डेटाबेस और वित्तीय प्रणाली की वसूली करना उचित है।

3. बैकअप के लिए कैसेट - साइकलिंग और रिसेटिंग कैसेट्स की नीति निम्नलिखित नियमों को पूरा करती है:
एक। दैनिक कैसेट्स को कम से कम दो सप्ताह तक संग्रहीत किया जाना चाहिए
ख। साप्ताहिक कैसेट - कम से कम एक महीने
सी। मासिक कैसेट - कम से कम एक वर्ष
घ। एक साल के कारतूस - कम से कम सात साल
कैसेट्स को एक दुर्दम्य तिजोरी में संग्रहीत किया जाना चाहिए, कम से कम सर्वर रूम में नहीं, बल्कि किसी अन्य इमारत में। तदनुसार, आपके पास सुरक्षित तक पहुंच वाले सभी कर्मचारियों की एक सूची होनी चाहिए।

4. सर्वर रूम तक पहुंच - सर्वर रूम तक पहुंच वाले कर्मचारियों की प्रमाणित सूची प्रदान की जानी चाहिए। एक विशेष प्रवेश नियंत्रण प्रणाली स्थापित करके एक यात्रा लॉग रखना आवश्यक है, और ऐसा करने के लिए। मेरी राय में, व्यक्तिगत पहचान (आईडी टैग) के लिए सामान्य पहुंच प्रणाली पर्याप्त है। मैं आपको समय-समय पर यात्रा लॉग को देखने की सलाह दूंगा - कुछ मामलों में, एक दिलचस्प तस्वीर आपको दिखाई दे सकती है।

5. सर्वर रूम में पर्यावरण नियंत्रण - धुएं, आग, बाढ़ सेंसर, एक स्वतंत्र एयर कंडीशनिंग सिस्टम (पास के परिसर से), यूपीएस और जनरेटर की उपस्थिति, आपातकाल की स्थिति में सूचना प्राप्त करने वाले कर्मचारियों की एक सूची।

6. बैक-अप डीसी - मुख्य कार्यालय से दूरी, डेटा हस्तांतरण की विधि, बीसीएम / डीआरपी योजना की उपलब्धता (आईटी विभाग को योजना के दूसरे भाग पर ध्यान देना चाहिए), योजना के अनुसार वार्षिक (कम से कम) अभ्यासों के कार्यान्वयन।

7. बैच डेटा प्रोसेसिंग - इसका मतलब है स्वचालित डेटा प्रसंस्करण (आमतौर पर रात में किया जाता है), जिसे ऑपरेटर के हस्तक्षेप की आवश्यकता नहीं होती है। आपको सेटिंग्स बदलने के लिए अधिकारों के साथ सभी कर्मचारियों की एक सूची चाहिए, प्रसंस्करण डेटा की स्थिति की एक मेलिंग सूची। उन्हें लॉग प्रदान करने और त्रुटियों के लिए जांच करने की भी आवश्यकता हो सकती है, जैसा कि बैकअप के साथ होता है।

8. इंटरफेस - सिद्धांत में, पिछले पैराग्राफ के साथ जुड़ा हुआ है, लेकिन मैं अभी भी इस नियंत्रण का उल्लेख करता हूं। सभी वित्तीय प्रणालियों का इंटरफ़ेस आरेख होना आवश्यक है (न केवल उनके बीच, बल्कि उनसे और उनसे)।

9. बुनियादी ढांचे की समस्याओं का समाधान - इसका मतलब है कि पंजीकरण के लिए एक आंतरिक कॉल सेंटर और कंपनी में उत्पन्न होने वाली सभी समस्याओं के बाद के समाधान के लिए, एक डिग्री या दूसरे में, सूचना प्रणाली और बुनियादी ढांचे से संबंधित (सर्वर क्रैश हो गया, बिजली बंद हो गई, माउस काम नहीं करता है, दो बटन शुरू करें) आदि)। पिछले खंड से आपातकालीन प्रबंधन को इस नियंत्रण में किया जा सकता है।

सूचना प्रणाली में प्रबंधन बदलें

दो वर्गों को पीछे छोड़ दिया जाता है, एक रहता है, एक सफल ऑडिट के लिए, एक नियम के रूप में, करीबी ध्यान देने की आवश्यकता होती है, कार्य प्रक्रियाओं में परिवर्तन स्वयं आवश्यक हैं। इसलिए, सूचना प्रणाली में प्रबंधन बदलें।
मैं कुछ टिप्पणियों के साथ शुरुआत करूंगा। सबसे पहले, आपने विकास प्रक्रियाओं को प्रलेखित और अनुमोदित किया होगा। दूसरा, यह एक विशेष विकास प्रबंधन प्रणाली के लिए बहुत ही वांछनीय है, जिसमें प्रत्येक परिवर्तन को प्रलेखित किया जाएगा। तीसरा, आउटसोर्सिंग के विकास के अधीन, या उत्पादों के बॉक्सिंग संस्करणों का उपयोग, ऑडिट थोड़ा अलग होगा।

1. काम करने का माहौल - यह बहुत ही सरल है: प्रत्येक वित्तीय प्रणाली के लिए कम से कम तीन कामकाजी वातावरण के स्क्रीनशॉट प्रदान करने के लिए - विकास, परीक्षण और मुकाबला। उपरोक्त मामलों के लिए, अंतिम दो स्क्रीनशॉट पर्याप्त हैं (हां, यहां तक ​​कि बॉक्सिंग संस्करण के लिए एक परीक्षण वातावरण होना चाहिए)।



2. कामकाजी वातावरण तक पहुंच - प्रत्येक पर्यावरण के लिए खातों की सूची, डेवलपर्स और परीक्षकों के नामों की सूची। एक क्रॉस-चेक जो पहले से ही हमारे लिए जाना जाता है, का उपयोग किया जा रहा है, जिसका अर्थ इस प्रकार है: डेवलपर्स और परीक्षकों को लड़ाकू वातावरण तक पहुंच की अनुमति नहीं है, आम उपयोगकर्ताओं को मुकाबला पर्यावरण को छोड़कर सभी चीजों तक पहुंच से वंचित किया जाता है। यदि बॉक्सिंग संस्करण है, तो परीक्षण और लड़ाकू वातावरण के लिए पर्याप्त सूचियां हैं। यह छोटी और मध्यम आकार की कंपनियों में करना बहुत मुश्किल है, इसलिए ऑडिटर कुछ समझौता करते हैं।

3. परिवर्तनों को स्थानांतरित करने की प्रक्रिया - आदर्श रूप से, परीक्षण के वातावरण से युद्ध के मैदान में परिवर्तन करने के लिए जिम्मेदार व्यक्ति का विकास या व्यावसायिक प्रक्रियाओं से कोई लेना-देना नहीं है। फिर, इस मामले में, लेखा परीक्षक भी समझौता कर सकते हैं।

4. परिवर्तन - परीक्षण वर्ष में शुरू की गई वित्तीय प्रणालियों में सभी परिवर्तनों की एक सूची प्रदान करना आवश्यक है। कोई नहीं थे? इसका अर्थ है स्थापित सिस्टम के साथ फ़ोल्डर का एक स्क्रीनशॉट, संशोधित तारीख द्वारा छांटी गई फ़ाइलों के साथ। ठीक है, अगर वहाँ थे, तो निम्नलिखित प्रलेखन प्रदान करने के अनुरोध के साथ आपके लिए एक नमूना होगा:
एक। उपयोगकर्ता से परिवर्तन के लिए अनुरोध - विशेष रूप, या एक ई-मेल।
ख। परिवर्तन के लिए संदर्भ की शर्तें - परिवर्तन के प्रकार पर निर्भर करता है (फार्म में एक फ़ील्ड जोड़ें या खरोंच से एक मॉड्यूल विकसित करें), प्रलेखन की आवश्यकता होगी - एक पूर्ण पत्र बहु-पृष्ठ दस्तावेज़ में परिवर्तन का वर्णन करने वाले एक नियमित पत्र से, विभिन्न मालिकों और प्रबंधकों के हस्ताक्षर द्वारा प्रमाणित।
सी। परिवर्तन परीक्षण - चेकलिस्ट और उपयोगकर्ता की अनुमति के साथ परीक्षण मामलों कि यह परिवर्तन उनके अनुरोध को संतुष्ट करता है।
घ। इस दिशा में विकास के लिए जिम्मेदार प्रमुख द्वारा युद्ध के वातावरण में परिवर्तन करने की अनुमति पर हस्ताक्षर किए गए हैं।

5. महत्वपूर्ण परिवर्तनों का प्रबंधन - बड़े और पिछले पैराग्राफ से अलग नहीं है। अंतर केवल इतना है कि आमतौर पर महत्वपूर्ण बदलाव बिना दस्तावेज के होते हैं, इसलिए महत्वपूर्ण है कि सभी दस्तावेजों को पुनः प्राप्त किया जाए और भविष्य के लिए बचत की जाए।

तो आपने सभी आवश्यक दस्तावेज एकत्र करना समाप्त कर दिया है, आगे क्या करना है? लेखा परीक्षक आपसे एकत्रित दस्तावेजों के लिए पूछेगा और उनका विश्लेषण करेगा। कुछ नियंत्रणों के लिए अतिरिक्त दस्तावेजों का अनुरोध किया जाएगा, क्योंकि ऑडिटर को आंतरिक ऑडिट से स्वतंत्र रहने की आवश्यकता है (अचानक आपके पास नए कर्मचारियों के लिए खाते खोलने के केवल 10 अनुरोध हैं, हालांकि स्वयं 50 से अधिक कर्मचारी हैं, या आपने डोमेन प्रशासकों के समूह के स्क्रीनशॉट से खाता हटा दिया है; महानिदेशक)। और फिर जोखिमों और नियंत्रणों की तालिका को परीक्षण के परिणामों से भरा जाएगा और आईटी विभाग के प्रमुख और कंपनी के वित्तीय निदेशक (जब से वह वित्तीय विवरणों के लिए जिम्मेदार है) पर चर्चा के लिए प्रस्तुत किया जाएगा।

निष्कर्ष

लेखा परीक्षक का कार्य प्रक्रियाओं और नियंत्रणों में दोषों और कमियों की पहचान करना है। यहां तक ​​कि अगर सब कुछ पूरी तरह से काम करता है, तो भी ऑडिटर एक छोटी सी ट्रिफ़ल पर पकड़ सकता है और इसे एक गंभीर खामी से दूर कर सकता है। एक छोटी सी विषयांतरता: कमियों को तीन श्रेणियों में विभाजित किया जाता है - कमी (दोष), गंभीर कमी और महत्वपूर्ण कमी, बाद वाला वार्षिक वित्तीय विवरणों में शामिल किया जाता है और कंपनी के मूल्य को प्रभावित कर सकता है। एक अनुभवी आईटी प्रबंधक विभाग की जरूरतों के लिए अतिरिक्त बजट का अनुरोध करने के लिए इस बारीकियों का उपयोग कर सकता है।तथ्य यह है कि एक दुसरे वर्ष के लिए सर्वर रूम में कोई दुर्दम्य सुरक्षित या अभिगम नियंत्रण प्रणाली नहीं है, जो निदेशक मंडल के सदस्यों से मिलकर एक लेखा परीक्षा समिति के स्तर तक बढ़ जाता है, जो सही दृष्टिकोण के साथ, कमी को खत्म करने के लिए आवश्यक बजट प्राप्त करने की अनुमति देता है।

मेरी राय में, यह विवरण आईटी विभाग के बाहरी ऑडिट की प्रक्रिया का एक पर्याप्त विचार प्रदान करता है, लेकिन मुझे लगता है कि मुख्य प्रश्न यह है: क्या मैं स्वतंत्र रूप से बिचौलियों की मदद के बिना आईटी विभाग के बाहरी ऑडिट के लिए तैयार कर सकता हूं? अपने अनुभव के आधार पर, मैं घोषणा करता हूं कि यह संभव है, हालांकि इसके लिए कुछ प्रयास करने की आवश्यकता है, लेकिन लंबे समय में यह सालाना एक सभ्य राशि बचाएगा। हालाँकि, यदि आप पहली बार ऑडिट की तैयारी कर रहे हैं और अपनी ताकत और ज्ञान पर विश्वास नहीं कर रहे हैं, तो मैं फिर भी एक अच्छी कंसल्टिंग फर्म को हायर करने की सलाह दूंगा। सच है, ऑडिट की तैयारी में सहायता करने के लिए एक कर्मचारी को बाहर करना उचित है, ताकि भविष्य में वह इस जिम्मेदारी को स्वीकार करे।

मुझे उम्मीद है कि प्रस्तुत जानकारी ऑडिट में और व्यापक जनता के लिए सीधे भाग लेने वालों के लिए उपयोगी होगी।
मुझे आपके सभी सवालों के जवाब देने में खुशी होगी।