Wesentliche Aspekte der Berichterstattung von IT-Issues. Reto Bürgi, Leiter IT Audit

Transkript

1 Wesentliche Aspekte der Berichterstattung von IT-Issues Reto Bürgi, Leiter IT Audit

2 Inhalt Nationale Suisse Berichterstattung: IIA vs. ISACA Revisionsbericht Detailbericht Beispiel Benutzerverwaltung Pendenzenverwaltung Interne und externe Revision 2

3 Nationale Suisse Schweizerische National-Versicherungs-Gesellschaft AG Schweizer Versicherer, Hauptsitz in Basel Risiko- und Vorsorgelösungen sowie für massgeschneiderte Nischenprodukte Bruttoprämien 1.7 Milliarden Schweizer Franken Tochtergesellschaften in Deutschland, Belgien, Italien, Spanien und Liechtenstein Ca Mitarbeiter 3

4 Nationale Suisse Corporate Audit VR Präsident Dr René Theler Audit Committee Stephan A. J. Bachmann Administrative reporting Functional reporting Corporate Audit CAE Armin Suter Schweiz 2 Auditors Ausland 3 Auditors IT Audit 1 IT Auditor für ganze Gruppe 4

5 Berichterstattung: IIA vs. ISACA IIA Standard 2400 Communicating Results ohne entsprechende Regelung durch ISACA A A1 Criteria for Communicating Internal auditors are encouraged to acknowledge satisfactory performance in engagement communications. Errors and Omissions If a final communication contains a significant error or omission, the chief audit executive must communicate corrected information to all parties who received the original communication. Disseminating Results The chief audit executive is responsible for communicating the final results to parties who can ensure that the results are given due consideration. Nicht explizit geregelt durch ISACA IS Auditing Standard Reporting Document #S7 IS Auditing Guideline Reporting Document G20 5

6 Revisionsbericht Empfänger des Revisionsberichts Audit Committee Mitglieder AC VR Präsident Dr. R. Theler 1 Externe Revision Mandatsleiter / Revisionsleiter Geschäftsleitung Mitglieder der GL Geschäftsleitungsbereich Zuständiges GL-Mitglied Abteilung Abteilungsleiter Revidierter Bereich Auditee 1 erhält nur Zusammenfassung des Berichts 6

7 Revisionsbericht Inhalt Zusammenfassung Auftrag, Ziel und Umfang Durchführung (Vorgehen und Methodik) Zusammenfassung der wesentlichen Feststellungen Schlussbemerkung Detailbericht Feststellung/Empfehlung 1 Feststellung/Empfehlung 2 Zusätzliche Feststellungen Dossierprüfung 7

8 Detailbericht Inhalt eines Berichtspunktes Feststellung Risiko Empfehlung Priorität 1 hohe Wesentlichkeit (signifikante Kontrollschwäche) 2 mittlere Wesentlichkeit (mässige Kontrollschwäche) 3 tiefe Wesentlichkeit (geringe Kontrollschwäche) Verantwortliche Person Umsetzungstermin 8

9 Beispiel Benutzerverwaltung Feststellung Der Prozess zur Verwaltung von Benutzern funktioniert nicht einwandfrei. Über 10% der aktiven Benutzeraccounts können nicht derzeitigen Mitarbeitern zugeordnet werden. Diese Accounts gehören zu ehemaligen Mitarbeitern sowie aktiven und ehemaligen externen Mitarbeitern. Regelmässige Reviews von Benutzerkonten und Berechtigungen werden nicht durchgeführt. Benutzerkonten für externe Mitarbeiter werden durch den jeweiligen Linienvorgesetzten beantragt. Dieser wäre auch verantwortlich, die Deaktivierung von Accounts zu veranlassen, welche nicht mehr benötigt werden, was offensichtlich nicht zuverlässig funktioniert. Risiko Nicht berechtigte Zugriffe durch Externe Nicht berechtigte Zugriffe durch Mitarbeiter Missbrauch von Benutzerkonten ehemaliger Mitarbeiter Vertraulichkeit, Datenintegrität, etc. Priorität 1 hoch 9

10 Beispiel Benutzerverwaltung Betroffene Bereiche CEO Operations Finanzen Investment Etc. HR Management Corporate Security Officer Group IT IT Betrieb 10

11 Beispiel Benutzerverwaltung Feststellung Der Prozess zur Verwaltung von Benutzern funktioniert nicht einwandfrei. Über 10% der aktiven Benutzeraccounts können nicht derzeitigen Mitarbeitern zugeordnet werden. Diese Accounts gehören zu ehemaligen Mitarbeitern sowie aktiven und ehemaligen externen Mitarbeitern. Regelmässige Reviews von Benutzerkonten und Berechtigungen werden nicht durchgeführt. Benutzerkonten für externe Mitarbeiter werden durch den jeweiligen Linienvorgesetzten beantragt. Dieser wäre auch verantwortlich, die Deaktivierung von Accounts zu veranlassen, welche nicht mehr benötigt werden, was offensichtlich nicht zuverlässig funktioniert. Empfehlung 1 Kurzfristige Massnahme: Nicht mehr benötigte Benutzerkonten sperren Benutzerkonten von externen Mitarbeitern erhalten Ablaufdatum IT-Betrieb 31. Dezember 2008 Empfehlung 2 Prozess zur Verwaltung von Benutzerkonten zentral durch HRM steuern und kontrollieren HRM (führende Rolle) IT-Betrieb 31. März 2009 Empfehlung 3 Benutzerkonten und Berechtigungen müssen regelmässig überprüft werden CISO (Business) 30. Juni

12 Pendenzenverwaltung Web-basierende Applikation Benutzer (Verantwortliche) erfassen Status Updates Umsetzung wird durch Interne Revision überwacht Information an Audit Committee 12

13 Pendenzenverwaltung 13

14 Interne und Externe Revision Koordination der Jahresplanung Berichte der internen Revision Externe Revision stützt sich darauf ab Prüft das betroffene Gebiet nicht selber Berichte der externen Revision Gebiet wird durch interne Revision i.d.r. nicht geprüft Wird in Pendenzenverwaltung aufgenommen 14

15 Die wesentlichen Aspekte Standards von IIA und ISACA sind kompatibel ISACA bzgl. Berichterstattung weniger konkret Keine grundsätzlichen Unterschiede in Berichterstattung zwischen Business und IT Issues Selten reine IT Issues, die nur die IT betreffen IT Issues allgemeinverständlich formuliert, technische Details können ausserhalb kommuniziert werden Termineinhaltung bei Umsetzung teilweise schwierig aufgrund verteilter Verantwortung 15

16 Fragen, andere Erfahrungen? 16

17 Links The IIA Performance Standards The ISACA IS Auditing Standard Reporting S7 Standards, Standards for IT Audit and Assurance The ISACA IS Auditing Guideline Reporting G20 Standards, IT Audit and Assurance Guidelines 17

18 Berichterstattung: IIA vs. ISACA IIA Standard ISACA Standard 1 or Guideline Communicating Results Internal auditors must communicate the engagement results. S7 03 The IS auditor should provide a report, in an appropriate form, upon completion of the audit Criteria for Communicating Communications must include the engagement's objectives and scope as well as applicable conclusions, recommendations, and action plans. S7 04 S7 05 The audit report should state the scope, objectives The report should state the findings, conclusions and recommendations 2410.A1 Final communication of engagement results must, where appropriate, contain internal auditors' overall opinion and/or conclusions. G An expression of opinion about whether, in all material respects, the design and operation of control procedures in relation to the area of activity were effective 2410.A2 Internal auditors are encouraged to acknowledge satisfactory performance in engagement communications. No direct counterpart 1 IS Auditing Standard Reporting Document S7 2 IS Auditing Guideline Reporting Document G20 18

19 Berichterstattung: IIA vs. ISACA IIA Standard ISACA Standard or Guideline 2410.A3 When releasing engagement results to parties outside the organization, the communication must include limitations on distribution and use of the results. S7 03 The report should identify the organisation, the intended recipients and any restrictions on circulation Quality of Communication Communications must be accurate, objective, clear, concise, constructive, complete, and timely. G Criteria should be: Objective Free from bias Measurable Provide for consistent measurement Complete Include all relevant factors to reach a conclusion Relevant Relate to the subject matter 2421 Errors and Omissions If a final communication contains a significant error or omission, the chief audit executive must communicate corrected information to all parties who received the original communication. No direct counterpart 19

20 Berichterstattung: IIA vs. ISACA IIA Standard ISACA Standard or Guideline 2430 Use of Conducted in Conformance with the International Standards for the Professional Practice of Internal Auditing G Statement that the audit has been conducted in accordance with ISACA IS Auditing Standards or other applicable professional standards 2431 Engagement Disclosure of Nonconformance When nonconformance with the Definition of Internal Auditing, the Code of Ethics or the Standards impacts a specific engagement, communication of the results must disclose the: S7 05 The report should state [ ] any reservations, qualifications or limitations in scope that the IS auditor has with respect to the audit. Principle or rule of conduct of the Code of Ethics or Standard(s) with which full conformance was not achieved; Reason(s) for nonconformance; and Impact of nonconformance on the engagement and the communicated engagement results. 20

21 Berichterstattung: IIA vs. ISACA IIA Standard ISACA Standard or Guideline 2440 Disseminating Results The chief audit executive must communicate results to the appropriate parties. S7 07 When issued, the IS auditor's report should be signed, dated and distributed according to the terms of the audit charter or engagement letter A1 The chief audit executive is responsible for communicating the final results to parties who can ensure that the results are given due consideration. No direct counterpart 2440.A2 If not otherwise mandated by legal, statutory, or regulatory requirements, prior to releasing results to parties outside the organization the chief audit executive must: Assess the potential risk to the organization; S7 03 The IS auditor should provide a report, in an appropriate form, upon completion of the audit. The report should identify the organisation, the intended recipients and any restrictions on circulation. Consult with senior management and/or legal counsel as appropriate; and Control dissemination by restricting the use of the results. 21

22 Berichterstattung: IIA vs. ISACA ISACA IS Auditing Standard Reporting S7 IIA Standard 03 The IS auditor should provide a report, in an appropriate form, upon completion of the audit. The report should identify the organisation, the intended recipients and any restrictions on circulation A A2 Communicating Results 04 The audit report should state the scope, objectives, period of coverage and the nature, timing and extent of the audit work performed Criteria for Communicating 05 The report should state the findings, conclusions and recommendations and any reservations, qualifications or limitations in scope that the IS auditor has with respect to the audit Criteria for Communicating Engagement Disclosure of Nonconformance 06 The IS auditor should have sufficient and appropriate audit evidence to support the results reported Documenting Information 07 When issued, the IS auditor's report should be signed, dated and distributed according to the terms of the audit charter or engagement letter Disseminating Results 22