Стандарт CobiT.
Управление и аудит информационных технологий.
Особенности проведения внешнего аудита ИТ.
Сергей Гузик (руководитель рабочей группы ISACA.ru)
В условиях стремительно возрастающей роли ИТ-составляющей профессиональный подход к управлению и систематическое обследование информационных технологий (ИТ) по международным стандартам позволяют компенсировать на первый взгляд невидимые, но существенные недостатки в организации производственных процессов. Построение грамотной структуры управления, создание эффективной вертикали принятия решения и системы контроля напрямую зависят от состояния информационных технологий, от их эффективности, производительности, безопасности, надежности и других не менее важных показателей.
Эффективная система управления и контроля над ИТ решает не только внутренние проблемы, но и позволяет повысить инвестиционную привлекательность организации, позиционируя ее для инвестора как "открытую" финансовую систему. С другой стороны достаточно трудно подобрать комплексное решение для таких задач. Одно из решений — внедрение стандарта CobiT, который формализует не только конкретные проекты в сфере ИТ, но и создает то ядро управления и контроля ИТ, вокруг которого выстраиваются производственные процессы организации с максимально возможным уровнем эффективности.
Управление и аудит ИТ — это нечто большее, чем традиционный термин — управление и аудит информационной безопасности, в том числе на соответствие требованиям ФАПСИ, BS7799 (ISO 17799) или другим разработанным критериям.
В той или иной форме вопросы, связанные с внутренним контролем бизнес-процессов организации, ее финансово-хозяйственной деятельности и информационными технологиями возникают постоянно. В поиске ответов на эти вопросы руководители организаций создают собственные службы внутреннего аудита, приглашаются аудиторские компании, обращаются к консультантам.
Для решения задачи, связанной с созданием собственной службы внутреннего аудита, организация на определенном этапе оценивает экономическую эффективность подобной службы, которая призвана стать дополнительным источником информации для руководителя, принимающего решения. Если служба внутреннего аудита признается экономически эффективной для организации, то она создается, если не эффективной — то приглашаются внешние консультанты или аудиторы для проведения работ.
Независимо от результатов выбора из перечисленных выше возможностей перед руководителем неоспоримо возникает еще одна проблема: необходимость выбора методологического средства, на основе которого будет построена система управления и контроля и которое будет рабочим инструментом службы внутреннего ИТ-аудита. На сегодняшний день ощутимого недостатка в стандартах нет. Такие стандарты, как ISO, ITIL и другие, уже применяются и в российской практике, более того, интерес к ним неизменно растет. Все они практически в равной степени наделены определенными преимуществами и недостатками, прежде всего из-за функциональной направленности и специфической области применения. Любому же пользователю интересен, прежде всего, комплексный подход к решению, тем более в таком объемном и многогранном вопросе, как управление и контроль ИТ. Рассмотрим более подробно одно из существующих решений — стандарт CobiT.
Вначале, несколько слов об ассоциации ISACA, которая развивает и продвигает этот стандарт.
