Számítógép az ellenőrzésben
A számítógépes ellenőrzés az általános ellenőrzési munkát segíti elő és egészíti ki. Az adott rendszerek ellenőrzésének szerves részeként a pénzügyi rendszerek áttekintésével és tesztelésével, illetve a pénzügyi rendszerekben található adatokkal foglalkozik annak megállapítása céljából, hogy azok megfelelően működnek e. Ezen kívül a számítógépes rendszereken belül található adatok átfogóbb célokra való hasznosításával is foglalkozik.
A számítógépes ellenőrzés hatóköre és célkitűzései:
A számítógépes ellenőrzést az EU-ban az átfogó ellenőrzés részhalmazának és kiegészítőjének kell tekinteni.
Az éves beszámolók ellenőrzése. A számítógépes ellenőrzés feladata az, hogy hozzájáruljon az ellenőrzött szervezet éves beszámolóiról kialakított képhez, azaz annak megállapításához, hogy azok pontos információkat közölnek-e. Kevés olyan szervezet van, ahol a beszámolók elkészítésénél ne használnának számítógépet, ezért a megfelelő pénzügyi számítógépes rendszerek ellenőrzése csaknem mindig követelményt jelent.
Átfogóbb ellenőrzési feladat. Az ellenőrzésnek az állami szektor tulajdonosai, adófizetői, illetve a magánszektor részvényesei, tagjai számára azt is garantálnia kell, hogy az ellenőrzött szervezet irányítása és szervezettsége megfelelő, és az erőforrásait is megfelelő módon használja fel. Az ellenőrzésnek ezen kívül beszámolási kötelezettsége van arra vonatkozóan, hogy a szervezet mennyire felel meg a vonatkozó jogszabályoknak.
Vezetői információs rendszerek. Ahol a számítógépes alkalmazásokból származó információkat a vezetés jelentős pénzügyi kihatással rendelkező, fontos döntések alapjául használja, a rendszer pontossága életbevágóan fontos. Az ellenőrnek vizsgálnia kell, hogy azok a valóságot közlik e. Minthogy a felhasználó szervezet kényelme szempontjából a számítógépes rendszerek nagyon fontos szerepet töltenek be, a könyvvizsgáló biztosítékokat keres arra, hogy azok kifejlesztésének, beszerzésének, illetve üzembe állításának módja biztosítja az eredeti szándékoknak megfelelő, hibátlan működést. Ennek érdekében az ellenőrök kiértékelik a rendszerek beszerzése, kifejlesztése és üzembe állítása során alkalmazott eljárásokat.
Általános ellenőrzési megoldások
A számítógépes ellenőrök (könyvvizsgálók) munkájának jelentős része a következő informatikai ellenőrzésekre összpontosít: ellenőrzési megoldások értékelése, ellenőrzési funkciók tesztelése, javaslat ellenőrzési megoldások alkalmazására.
Az általános ellenőrzési megoldások definíciói eltérőek, de az európai gyakorlat szerint rendszerint a következő gondolat menetén épülnek fel: „Az alkalmazási rendszerbe épített ellenőrzésektől eltérő ellenőrzések, amelyek ahhoz a környezethez kapcsolódnak, amelyben a számítógép alapú rendszerek kifejlesztésére, fenntartására és üzemeltetésére kerülnek, és amelyek ily módon minden alkalmazáshoz kapcsolódnak. Az általános ellenőrzési megoldások célja az, hogy az alkalmazások megfelelő kifejlesztését és végrehajtását, illetve a programok, az adatállományok és a számítógépes műveletek integritását biztos1tsák.” Lényegében ez azt jelenti, hogy az általános ellenőrzési megoldások képezik az informatikai ellenőrzés elsődleges alapszintjét.
Az általános ellenőrzési megoldások ellenőrzési célú megközelítése. Első lépést az ellenőrzési hatókör tervének elkészítése jelenti, amelynek az alábbiakat kell magában foglalnia: a számítógépes szolgáltatások megjelölését, a kockázatok felmérését és az ellenőrzési megoldások felmérését.
Általános ellenőrzési megoldások áttekintése
Szervezeti ellenőrzési funkciók
A szervezeti szintű ellenőrzési funkciók áttekintésének célja annak biztosítása, hogy a számítógépes létesítményben dolgozó munkatársak:
- megszervezése és irányítása megfelelő és hatékony módon történjen
- világosan definiált kötelezettségekkel rendelkezzenek
- a funkciók megosztásának alapelve alá essenek
- kellően képzettek és támogatottak legyenek
- megfelelő jelentéskészítési rendszerekkel rendelkezzenek.
Az ellenőrzést a vezetés és a munkatársak meghallgatása, megfigyelés és az olyan dokumentációk, mint a munkaköri leírások, a szervezeti ábra, a személyi állományra vonatkozó szabványok és az eljárások kézikönyve áttekintése útján végzik el.
Üzemeltetés-ellenőrzési funkciók
Áttekintésének célja annak biztosítása, hogy a feldolgozás minden esetben teljes, pontos, időszerű és jogosult legyen, valamint hogy a szolgáltatások nyújtása megbízhatóan és folyamatosan történjen.
File-ellenőrzési funkciók
Áttekintésének célja, hogy a számítógép által olvasható adathordozón található információk a jogosulatlan felhasználással, a módosítással, a megrongálással és az adatelvesztéssel szemben védve legyenek. A főbb ellenőrzési területek a következők: a file-ok fizikai biztonsága, a jogosulatlan hozzáférés kihatásai és a file biztonsági mentés (back up) biztosítása.
- fizikai biztonság: az ellenőröknek meg kell győződniük arról, hogy a file-okat
- szabályszerűen tárolják-e, így azok azonnal és pontosan beazonosíthatók és behívhatók-e
- illetve lopással, vírussal való megfertőzésétől, tűztől, beázástól, idő előtti letörléstől stb. védve tárolják-e.
- jogosulatlan hozzáférés: az ellenőröknek meg kell győződniük arról, hogy a file-okat csak enge-délyezett tevékenység útján lehet feldolgozni vagy megváltoztatni, ami konkrétan azt jelenti, hogy
- az adatállományok csak az engedélyezett alkalmazási programok útján kerülnek feldolgozásra,
- az említett programokat csak jóváhagyott célokra és csak az arra jogosult személyek működtetik.
- file biztonsági mentés (back up): az ellenőrök megkívánhatják, hogy minden fontos file-ról legalább egy jó másolat mindig rendelkezésre álljon arra az esetre, ha az eredeti file elveszne, megsérülne vagy megrongálódna. A hatékonyság érdekében a biztonsági mentés legyen szisztematikus, legyen rendszeresen tesztelve, minden részletre kiterjedően dokumentálva, illetve lopástól, az adat elvesztésétől, fizikai sérüléstől, mágneses behatástól, tűztől, folyékony anyagoktól stb. védve.
Visszaélés a számítógépes rutin alkalmazásokkal
A számítógépes csalások első kategóriája, a számítógépes rutin alkalmazások illetéktelen használata az alkalmazási rendszerbe épített szigorú ellenőrzések útján nagymértékben megelőzhető.
Az ezzel kapcsolatos ellenőrzések például a következőkre terjedhetnek ki:
- ki tud hozzáférni a rendszerhez és milyen célból
- az adatbevitel teljessége (a csalások a bemeneti adatok, pl. az adósok nyomon követése eltitkolásával is elkövethetők)
- az adatbevitel pontossága (a jogosulatlan kiegészítések az output fázisban felderíthetővé váljon)
- az adatbevitel engedélyezése (dokumentumok ellenőrzése és a tranzakcióknak az azokat bevivő emberhez való naplózása útján)
Az általános ellenőrzési megoldások ugyancsak fontos szerepet játszanak a csalások megakadályozásában:
- a funkciók szétválasztása (pl. az adatbevitelért felelős személy ne legyen képes az output eltitkolására)
- a rendszerfelügyeletet (beleértve a személyi állomány moráljának, motivációjának figyelemmel követését, ill. a gyakran csaláshoz vezető esetleges személyes problémák észlelését).