Sunt adoptate urmatoarele abordari:
- orientate catre date;
- orientate catre sistem.
Misiunea de audit impune, chiar daca predominant sunt desfasurate proceduri orientate catre date, si studierea sistemului informatic in ansamblul sau.
Abordarea orientata catre date:
- pune accent pe testele datelor de iesire;
- daca acuratetea iesirilor, dovedita in urma testelor desfasurate de auditor, este satisfacatoare atunci exista si increderea asupra inregistrarilor si procesarilor din cadrul sistemului;
- este recomandata in cazul sistemelor informatice avand o arie restransa si o complexitate redusa.
Abordarea orientata catre sistem presupune ca:
- auditorul isi focalizeaza atentia asupra sistemului informatic in ansamblul sau;
testele asupra controalelor preventive si corective precum si asupra prelucrarilor si securitatii sistemului pot constitui probe pentru auditor ca rezultatele generate de sistem sunt corecte.
Controalele
Auditorul, in urma documentarii desfasurate trebuie sa cunoasca si sa poata evalua controalele manuale si automate existente in sistem, precum si consistenta, acuratetea si continuitatea controalelor din sistem ofera auditorului certitudinea asupra acuratetei si completitudinii datelor, calitatii prelucrarilor ceea ce-l va ajuta la determinarea naturii, intinderii si complexitatii testelor pe care urmeaza sa le desfasoare.
Complexitatea sistemelor informatice impune necesitatea abordarii lor pe subsisteme. Pentru fiecare subsistem in parte, auditorul realizeaza diagrame ale fluxurilor de date pentru evidentierea:
- intrarilor;
- fisierelor utilizate;
- procesarilor;
- iesirilor;
- controalele manuale si automate implementate evaluand masura in care sunt suficiente si acoperitoare.
Auditorul va trebui sa raspunda la urmatoarele intrebari:
- Care sunt controalele de baza?
- Se suprapun, in unele cazuri, controalele manuale peste cele automate?
(verificarea procedurilor prin care sunt corectate erorile: auditorul trebuie sa aiba certitudinea ca aceste proceduri exista si functioneaza corect).
Tipuri de erori:
- erori de calcul;
- erori de inregistrare;
- erori de contare etc.
Determinarea gradului de incredere al controalelor automate se realizeaza in urma desfasurarii:
- unor teste independente;
- testarea controalelor existente in sistem.
Strategii ale auditului sistemelor informatice
Testele desfasurate ajuta sa formulam o opinie privitoare la acuratetea prelucrarilor din cadrul sistemului.
Strategiile de auditare pot fi clasificate astfel:
- Auditare cu ajutorul calculatorului;
- Auditare in afara calculatorului;
- Auditare prin calculator.
- Auditarea cu ajutorul calculatorului
Include testarea calculelor executate in timpul procesarii tranzactiilor, compararea datelor din fisiere diferite atunci cand datele respective ar trebui sa prezinte valori identice etc.
Programul auditorului selecteaza esantionul de test pe baza unor variabile precizate de auditor, datele esantionului generand un fisier de lucru asupra caruia se aplica prelucrarile continute in programul auditorului, auditorului generandu-i-se un raport.
Un esantion de test reprezinta un set de tranzactii selectate aleator, concluziile desprinse din analiza acestora putand fi generalizate la nivelul tuturor tranzactiilor din sistem.
- Auditarea in afara calculatorului
Se pleaca de la tranzactiile de intrare ale perioadei auditate, prelucrarea acestora realizandu-se manual. Daca rezultatele obtinute sunt aceleasi cu cele generate de aplicatia auditata inseamna ca logica interna a aplicatiei produce rezultate corecte, acceptate de auditor.
Avantaje:
- este usor de realizat;
- nu impune costuri mari;
- nu necesita cunostinte privind prelucrarea automata a datelor.
Dezavantaje:
- calitatea opiniei formulate de auditor depinde de esantionul pe care s-a facut testul (rationamentul auditorului care a condus spre respectivul esantion). Esantionul poate sa nu cuprinda tranzactii capabile sa evidentieze erori de procesare si lipsa unor controale;
- priveste mai mult procesarile finalizate decat prevenirea problemelor legate de prelucrarea in viitor a datelor. Doar daca se identifica o eroare logica conduce la efecte pozitive privind procesarea datelor in viitor;
- se desfasoara manual si consuma mai mult timp.
- Auditarea prin calculator
Pleaca de la presupunerea ca anumite date, prelucrate printr-o anumita aplicatie, produc anumite iesiri. Foloseste teste care sa arate cum sunt prelucrate datele.
Auditorul stabileste datele de test (deci nu se lucreaza cu date reale), simuland tranzactii care prin cazuistica lor pot evidentia eventualele carente ale controalelor si prelucrarilor urmarind sa verifice daca datele de test declanseaza controalele corespunzatoare. Auditorul compara rezultatele prelucrarii datelor de test prin sistemul auditat cu iesirile anticipate de el. Se pleaca de la ideea ca cea mai buna testare este cea realizata in conditii reale de exploatare.
Testele auditorului trebuie sa se efectueze fara a fi anuntate. Se evita astfel posibilitatea ca persoanele implicate in fraudare sa stearga urmele interventiei lor refacand fisierele si aducand aplicatia la versiunea corecta.
Testul lungimii aplicatiei ( testul byte-count)
Testul este elocvent pentru ca este imposibil sa realizezi modificari intr-un program fara ca lungimea acestuia sa nu se modifice. Eventualele diferente intre lungimile celor doua aplicatii determina identificarea cauzelor.
Testul logicii programului
- se executa atunci cand auditorul are convingerea ca in program s-au facut modificari neautorizate;
- copia de siguranta a aplicatiei se considera autentica si va constitui proba martor.
