Revisjon. IT-revisjon GJØR REDE FOR HVILKE FORHOLD VED MODERNE IT-REGNSKAPSSYSTEMER SOM STILLER SPESIELLE KRAV TIL DEN INTERNE KONTROLL

Transkript

1 Revisjon IT-revisjon GJØR REDE FOR HVILKE FORHOLD VED MODERNE IT-REGNSKAPSSYSTEMER SOM STILLER SPESIELLE KRAV TIL DEN INTERNE KONTROLL 1

2 IT-revisjon 1. ELEMENTER I IT-SYSTEMET Mennesker Maskiner Programvare IT-avdeling, brukere Sentralenhet, lagringsenheter, terminaler, nettverk. Applikasjoner, hjelpesystemer, systemsoftware 2. ELEMENTER I IT-REVISJON Intern kontroll vurdering Test av kontroller Substanskontroller IT - kontroller Applikasjonskontroller Teknikker Verktøy/Revisjonssoftware Revisjonssoftware/tradisjonelle kontroller 3. REVISJON AV IT-BASERTE SYSTEMER ISA 315 krever at revisor skal opparbeide seg en forståelse for hvordan enheten har håndtert risiko som følge av bruk av IT (punkt 21). Se vedlegg 1 når det gjelder hvilke krav ISA 315 stiller vedrørende enhetens bruk av IT. Basert på sin forståelse av ovennevnte nå revisor ta stilling til om han vil revidere Rundt IT-systemet eller Gjennom IT-systemet - Egne data med kjent utfall gjennom foretakets system - Foretakets data gjennom eget utprøvd system Se BPG side GENERELLE IT-KONTROLLER Ordlisten i RH definerer Generelle IT-kontroller som: Policier og rutiner som relaterer seg til mange applikasjoner og støtter effektiv funksjon av applikasjonskontroller ved å bidra til å sikre kontinuerlig hensiktsmessig drift av informasjonssystemer. Generelle IT-kontroller omfatter vanligvis kontroller over datasentre og nettverksoperasjoner, anskaffelse, endring og vedlikehold av systemer, tilgangssikkerhet og anskaffelse, utvikling og vedlikehold av applikasjonssystemer En enklere definisjon er: De kontroller og sikringstiltak som er etablert for å sikre at virksomhetens IT-systemer fungerer korrekt og at programmer og data er beskyttet mot uautoriserte endringer. 2

3 Oppsummert kan vi si at generelle kontroller omfatter kontroller i miljø og omgivelser og deles inn i (Moen/Havstein: Regnskapsorganisasjon): 1. Kontroll med operativsystem 2. Kontroll med dataressursene 3. Arbeidsdeling og tilgangskontroller 4. Systemutvikling, anskaffelse og vedlikehold av programmene 5. Katastrofeplan og fysisk sikring av utstyr 6. Kontroller i pc-miljø Tilgangskontroller betyr i denne sammenheng at det i IT-systemet defineres hvem som har tilgang til hva og hvilke operasjoner den enkelte kan gjennomføre. F eks at lønningssjefen kun har tilgang til lønnsmodulen. Det kan f eks skilles mellom rett til å lese, rett til å legge inn data og rett til å endre eller slette data. Følgende elementer inngår i de generelle kontrollene: 1. Organisering av EDB-funksjonen 2. Igangsetting av nye systemer 3. Vedlikehold av eksisterende systemer 4. Kontroll over driften 5. Program sikkerhet 6. Data sikkerhet 7. System software kontroller 8. Filkonverteringskontroller Ad 2: Målsetning: EDB-systemene skal fungere korrekt og hensiktsmessig når de settes i drift. Rutiner/kontroller ved standardpakker: Vurdering av kravspesifikasjon, vurdering av leverandør, godkjennelse av endringer, testing, involvering av brukere, utarbeidelse av dokumentasjon. Rutiner/kontroller ved internt utviklede systemer/pakker: Er planlegging og styring av prosjektet tilfredsstillende? Er hensiktsmessige personer med i prosjektets ulike faser? Godkjennelse av kravspesifikasjon og prototype. Følges design og utviklingsstandard? Utarbeides tilfredsstillende dokumentasjon? Er det godkjennelse og kontroll før overføring til produksjon? Ad 3: Målsetting: Endringer i programmer må være underlagt kontroll for å sikre at: a) Endringene er korrekte og hensiktsmessige b) Det ikke oppstår feil som følge av endringene Rutiner/kontroller: Skriftlige endringsanmodninger, Godkjennelsesrutiner, Back-up før endringer påbegynnes, Testing, Overføring til produksjon, Dokumentasjon av endringer Ad 4: Målsetting: Kun godkjente programmer skal benyttes. Korrekte registre skal benyttes. Rekonstruksjon av data og omkjøring etter feilkjøringer/- sammenbrudd blir korrekt. Rutiner/kontroller: Kjøreplan, korrekt og godkjent jobboppsett. Bruk av korrekte registre, Operatørinstrukser ved normaldrift og driftsavvik, Kontroll av logg, Back-up og rekonstruksjonsrutiner. 3

4 Back-up rutiner og rekonstruksjonsrutiner: programmer og data. Hyppighet. Generasjoner. Oppbevaring. Testing. Avbruddsforsikring. Katastrofe-plan. Ad 5: Målsetting: Sikre programmer og data mot uautoriserte endringer samt mot ødeleggelse. Rutiner/kontroller: Software som kontrollerer tilgang. Administrasjon av sikkerhetsstillelse. Passordrutiner. Fysiske adgangskontroller. Passordsikkerhet: Tildeling eller valg av passord. Antall karakterer, hvilke karakterer. Veiledning ved valg av passord. Felles brukeridentitet og passord. Endring av passord. Lagring av passord (Kryptering) Rutiner/kontroller: Organisering og oppbevaring av data offline. Kontroll med bruk av hjelpeprogrammer. Kontroll med nødrutiner/åpninger. Arbeidsdeling (Drift/utvikling). Kildekode standardsystemer. Ad 6: Målsetting: Skal sikre at passende systemsoftware blir implementert og beskyttet mot uautoriserte endringer. Rutiner/kontroller: Ansettelsesrutiner systemprogrammerere. Anskaffelsesrutiner (godkjennelse). Sikring av software-biblioteker. Kontroll med endringer i operativsystem (betydning for applikasjoner etc). Kontroll over databasesystemer (DBMS). Kontroll over telekommunikasjonssoftware og nettverk. Identifiser ansvar. Kontroll over og administrasjon av sikkerhetssoftware. Ad 7: Målsetting: Skal sikre at data som konverteres fra gammelt til nyt system blir overført fullstendig og nøyaktig. Rutiner/kontroller: Faste data. Transaksjoner. Innleggelse av nye data. Endelig godkjennelse. 5. APPLIKASJONSKONTROLLER Ordlisten i RH definerer applikasjonskontroller som: Manuelle eller automatiserte rutiner som vanligvis settes inn på et forretningsprosessnivå. Applikasjonskontroller kan være av forebyggende eller avdekkende art og er utformet for å sikre integritet i regnskapsregistrene. Følgelig er applikasjonskontroller forbundet med rutiner som anvendes for å initiere, registrere, behandle og rapportere transaksjoner eller andre økonomiske data. En enklere definisjon er: Kontroller som sikrer nøyaktigheten og integriteten av data ved å forhindre, oppdage og korrigere feil i inndata-, bearbeidings- og rapporteringsprosessen. 4

5 Manuelle og automatiserte rutiner/kontroller Som det framgår av definisjonen omfatter applikasjonskontroller både manuelle og automatiserte rutiner/kontroller. Manuelle og automatiserte rutiner/kontroller er nærmere omhandlet i ISA 315 punkt A54. Oppsummert kan man si at automatiserte kontroller har den fordelen at de sikrer ensartethet (alle transaksjoner behandles likt) og ulempen at en feil vil forplante seg ved at alle transaksjoner vil behandles feil, mens manuelle kontroller har den ulempen at de innebærer risiko for tilfeldige feil. Ovenfor framgår at applikasjonskontroller omfatter inndatakontroller - kontroll av behandling og lagring - utdatakontroller Inndatakontroller Omfatter kontroller som sikrer korrekt registrering av data: Buntsummer og kontrolltotaler Summen av f eks 50 inngående fakturaer (fakturabeløpene) som skal bokføres i en bunt (batch) kontrollsummeres og legges inn i regnskapsprogrammet samtidig med bokføringen. Programmet sammenligner så den summen programmet har kommet fram til med det du har summert og lagt inn, og bekrefter om beløpene stemmer eller om det er avvik mellom de to. Avvik må følges opp: Du kan ha summert feil, eller du kan ha tastet feil ved bokføringen. Rekkefølgekontroll Systemet sier fra dersom brudd i nummerrekkefølgen eller når samme nummer blir registrert to ganger. Kontrollsiffer Det10 første sifrene i det 11 sifrede bankkontonummeret i Norge består av selve kontonummeret, men det ellevte er et kontrollsiffer. Kontrollregistrering To operatører bokføres det samme, f eks samme bunt, for så å sammenligne. Ekkokontroll Ved inntasting av bankkontonummer får den som registrerer navnet på kontoeieren opp på skjermen. Ved inntasting av kundenummer får den som registrerer navnet på kunden opp på skjermen. Ved inntasting av leverandørnummer får den som registrerer navnet på leverandøren opp på skjermen osv. Validering Kontroll av gyldige koder, verdier, grenser og lignende, f eks: Koder: Verdier/Grenser: Omfatter i tillegg også: Godtar kun gyldige kontonummer, bankkontonummer, kundenr, MVA-kode mv Aldri mer en 24 t i et døgn. Antall arbeidstimer i ei uke/en måned er begrenet. Bruttolønn pr måned kan ikke være over xx xxx kr. En kundeordre kan ikke være over xx xxx kr. 5

6 Tilgangskontroller Begrenser tilgangen til kun å omfatte de som er autorisert ved at brukeren må identifisere seg ved å oppgi bruker-id og passord. Kildedatakontroll Autentitetskontroll (kontroll av hvem sender/mottaker er) ved overføring av data fra ett system til et annet for å sikre gyldigheten av dataene. Kontroll av behandling og lagring Kontrolltotaler Total (sum) fra behandlingsprosessen sammenlignes med total som vi har lagt inn i systemet eller kontrolleres manuelt. Eksempler: avvik mot innlest total skrives ut debet = kredit mellom kjøringer: Sum kontoutdrag leverandører IB + sum inngående fakturaer denne kjøring = Sum kontoutdrag leverandører UB Sum antall leverandører IB + nyinnlagte leverandører denne kjøring = sum antall leverandører UB Programmerte grense- og rimelighetskontroller Samme som under valideringen i selve registreringen ovenfor, men her gjennomføres kontrollen i prosesseringen, og det rapporteres eller prosessering nektes dersom grensen overskrides. Operatørhandlinger Systemet krever handlinger fra operatør, som f eks å legg inn kontrolltotaler nevnt ovenfor eller verdi på parametre (f eks periode) som benyttes Kontrollspor Permanent transaksjonsregister og ikke godkjente transaksjoner plasseres i egen fil/liste for oppfølging og feilretting. Utdatakontroller Avstemming av kontrolltotaler Eksempler * output totaler (sum) fakturabeløp avstemmes mot input totaler * sum utgående faktura denne kjøring og mot endring på konto for kundefordringer og endring i saldoliste kunder avstemmes mot Screening av utskrifter Et raskt gjennomsyn, ja ofte bare et raskt blikk på utskrifter kan avsløre feil, jfr eksemplet Kjemikalieformidling under salgsområdet eller en negativ lagerbeholdning. 6

7 Endring faste data * all endring i opplysninger i faste data må skrives ut på fortløpende nummer lister * alle lister over endrede opplysninger skal signeres av en bemyndiget person Kontroll med utskrifter Kontroll over fysisk plassering av skrivere, distribusjon og makulering av utskrifter Kontroll med etterbehandling Ved overføring til andre systemer, f eks et regneark, må det kontrolleres at det som legges inn i systemet stemmer med data (totaler) i utskriftene og ikke er manipulert. 6. ARBEIDSDELING Fra intern kontroll husker vi at hovedregelen når det gjelder arbeidsdeling er at fysisk kontroll (oppbevaring) skal være adskilt fra kontroll over registrering. (Eksempler?) Overført til et IT-miljø innebærer dette at de tre funksjonene systemering, programmering og bruk bør være adskilt. Men i små IT-miljø er det ikke enkelt å oppfylle dette kravet. 7. BRUK AV REVISJONSSOFTWARE Hva kan revisjonssoftware brukes til? Gjenta en handling. Analysere avvik: rapportere avvik. Velge ut data. Hva slags type software har vi? Generelle rapportgeneratorer. Applikasjonssoftware. Bransjesoftware. IT-kontroll software. Generelle rapportgeneratorer: Revisors egen (Eks.: Auditpak). Klienten egen (innebygd). 3. manns software. Del av operativsystem (DFU) 8. RISIKOVURDERING AV APPLIKASJONER Databehandlingsmetode: Batchvis, on-line, on-line real time Databasebaserte systemer: Egenskaper: Konsentrasjon av data. Kun en registrering av et dokument. Kompleksitet. Sentralisering av dataadministrasjonen. Konsekvenser: Uautorisert tilgang medfører tilgang til flere data. Virkningene av en feilregistrering blir større. Dårligere avstemmingsmuligheter. Vanskeligere å følge revisjonssporet. Krever større teknisk kompetanse. Vanskeliggjør arbeidsdeling. Standard/egenutviklet (Oppgave Delta AS) 7

8 ISA 315 Identifisering og vurdering av risikoen for vesentlig feilinformasjon gjennom forståelse av enheten og dens omgivelser Punkt knyttet til IT 18. Revisor skal opparbeide seg en forståelse av de delene av informasjonssystemet, herunder de tilknyttede forretningsprosessene, som er relevante for finansiell rapportering, herunder følgende områder: (b) De prosedyrer innen både IT-systemer og manuelle systemer som initierer, registrerer, prosesserer og eventuelt korrigerer transaksjonene, og overfører dem til hovedboken og rapporterer dem i regnskapet (f) Kontroller knyttet til posteringer, herunder ikke-standard posteringer som benyttes for å registrere transaksjoner som ikke utføres regelmessig, uvanlige transaksjoner eller justeringer 21. For å forstå enhetens kontrollaktiviteter, skal revisor opparbeide seg en forståelse av hvordan enheten har håndtert risikoer som følge av bruk av IT. 8

9 ISA 402 Særlige hensyn ved revisjon av enheter som bruker en serviceorganisasjon Definisjoner 9

10 10

11 Bror Petter Gulden: REVISJON - teori og metode 10 Revisjon og IT-baserte styringssystemer 10.1 Innledning 10.2 Iboende risiko og kontrollrisiko i IT-baserte styringssystemer Transaksjonsspor Ensartethet i behandlingen av transaksjoner Sikring av data og programmer a) Intern kontroll med registrering av variable data b) Intern kontroll med behandlingsreglene i applikasjonsprogrammene c) Kontroll med registrering og endring av faste data Arbeidsdeling 10.3 Integreringsgrad mellom delsystemer og kompleksiteten av styringssystemet 10.4 Dokumentasjon av transaksjonene, systemgenererte posteringer 10.5 Revisjon av IT-baserte regnskaper Kartlegging av regnskaps- og intern kontroll systemene og vurdering av iboende risiko og kontrollrisiko Substanskontroll Revisors anvendelse av egne hjelpeprogrammer mot foretakets datafiler (revisjonssoftware) 11

12 Revisjon IT-revisjon IT 1 - ØVINGSOPPGAVE 1 (T: 7 ILA, M: 7 MTI) (Eksamen 2000 oppgave 1 omarbeidet) DELTA AS DELTA AS er en butikkjede med avdelinger flere plasser i Norge. Selskapets økonomisystem ØKONOMI er et standardsystem med moduler for både innkjøp, lager, ordre/faktura, lønn og finansregnskap. Systemet er tilfredsstillende dokumentert både når det gjelder system-, drifts- og brukerdokumentasjon. Selskapet har et egenutviklet system som benyttes ved kontantsalg. Systemet ble utviklet av et lite IT-firma og var godt dokumentert da det var nytt for ca tre år siden, men det er foretatt omfattende endringer siden da, og disse er ikke dokumentert. Oppgave: Hvilken innvirkning har opplysningen om dokumentasjon på risikoanalyse og valg av angrepsvinkel? DELTA AS har endret rutinene for kredittsalg ved registrering av ordre fra kunder som har bestilt via internett og fakturering av disse er satt bort til NETTFAKTURA AS. Oppgave: Hvilke betydning har dette for deg som revisor i DELTA AS? 12

13 Revisjon IT-revisjon IT 2 - ØVINGSOPPGAVE 2 (T: 7 ILA, M: 7 MTI) OMEGA ENTREPRENØR AS De sentrale produksjonsrutinder i steindivisjonen i Omega Entreprenør AS omfatter steinbrudd, knusing og utlevereing. Tidligere registrerte man ikke produksjonen, men innkommende tomme biler lastebiler ble enten veiet eller måtte vise vektsertifikat for bilen. Denne vekt ble så manuelt notert av veiemesteren på en veieseddel. Når samme bil kjørte ut ble den veiet på ny, nettovekt ble beregnet og type last (for eksempel singel eller mineral) ble notert på veieseddelen. Veiesedlene ble oversendt kontoret for fakturering, og bokføring av disse og andre transaksjoner skjedde i et tradisjonelt manuelt regnskapsopplegg. Sommeren 20X7 ble en ny, delvis automatisert prosedyre innført. Heller ikke i det nye systemet registreres produksjonen. Man har ingen fysisk veieseddel, men et skjema tilsvarende den gamle veieseddelen vises på en dataskjerm når en tom lastebil kjører opp på vekten. Vekten av den tomme lastebilen blir så automatisk registrert og bilnummer blir manuelt inntastet. Når samme bil kommer tilbake med last blir den automatisk veiet på ny, nettovekt blir automatisk beregnet og veiemesteren føyer til riktig kode for varens art. Lastebilsjåførene får en skriftlig kvittering skrevet ut av terminalen på veiehuset, men ellers er transaksjonene papirløse. Ved dagens slutt blir alle data fra produksjonen elektronisk overført ved oppringt linje til den sentrale databasen i Omega Entreprenør AS og automatisk overført derfra. Samtidig blir regnskapet og salgsoversikter etc automaisk ajourført i et integrert IT-regnskapssystem. Spørsmål A Drøft sikkerhet og sentrale internkontrolltiltak i forbindelse med det nye IT-systemet. 13

14 Revisjon IT-revisjon IT 3 - ØVINGSOPPGAVE 3(8 TIL) (Eksamen 2009 H) 14

15 15