Agenda. IT i Oslo kommune. IT-revisjon i regnskapsrevisjonen. IT-revisjon i forvaltningsrevisjonen. Oslo kommune Kommunerevisjonen

Transkript

1 IT-revisjon som integrert del av finansiell revisjon og forvaltningsrevisjon Erfaringer fra i Oslo Gardermoen 26. Oktober 2010 Jan G Thoresen CISA CIA Seniorrådgiver Oslo Kommunerevisjon

2 Agenda IT i Oslo kommune IT-revisjon i regnskapsrevisjonen IT-revisjon i forvaltningsrevisjonen 2

3 Oslo Kommune 3

4 Arkitekturelementer i e-osloe Systemstøtte på konsernnivå Datavarehus Regnskap Lønn og personal Betalingsformidling Systemstøtte på sektornivå Fagsystemer som støtter tjenesteproduksjonen innenfor en sektor Systemstøtte på virksomhetsnivå Fagsystemer rettet mot virksomhetens myndighets-/fagområde Virksomhets- systemer Verdiøkende nettverkstjenester ( mail,, web, etc.) Felles systemer Sektor- systemer Sikkerhetstjenester / Katalogtjenester Teknologisk infrastruktur 4

5 Agenda IT i Oslo kommune IT-revisjon i regnskapsrevisjonen IT-revisjon i forvaltningsrevisjonen 5

6 Avdeling for regnskapsrevisjon 23 personer Matriseorganisert Team og faggrupper - Bydeler - Anskaffelser - Foretak - Mva og bokføringsregler - Etater - Lønn - IT-støtte - GKRS - IT-revisjon Rammeavtale om kjøp av IT-revisjon SQL*Plus Elektronisk arbeidsbok Sikrer at ISA ene blir fulgt Dokumentasjon av Planlegging Gjennomføring Vurderinger Rapportering Regnskapssystemet Anerkjente IT-standarder ISO

7 Overordnet planlegging: Størrelser og vesentlighet 7

8 Overordnet planlegging Overvåking Vedlikehold av porteføljebasen Systematisk overvåking Innspill fra regnskapsrevisor Planlegging Prioritere prosjekter Overordnet strategi regnskapsrevisjon Risikovurderinger Innspill fra forvaltningsrevisjonen Innspill fra: KU/ledelsen/revisor Felles applikasjoner Sektors- applikasjoner Virksomhets- applikasjoner REVISJONS- PLAN IT 8

9 Gjennomføring Tilnærmingsformer Integritetstesting i fellessystemene Ordinære IT-revisjoner Faggruppe IT-revisjon utfører Avrop på rammeavtale Deltakende IT-revisjoner IT-revisjonsgruppa utarbeider revisjonsprogram Regnskapsrevisorene utfører hele/deler Faggruppe analyserer og rapporterer Samkjørte IT-revisjoner Koble IT-revisjoner med andre IK-undersøkelser 9

10 Gjennomføring Innhold i integritetstesting Bekrefte integriteten i: Sentrale rapporter i regnskaps- og lønnssystemene Rapportgrunnlaget i regnskapssystemet Rapporteringsverktøyene i regnskaps- og lønnssystemene Automatposteringer og triggere i regnskapssystemet Arbeidsdelingen i fakturaflyt og bestilling Bokført lønn SQL*Plus 10

11 Gjennomføring Innhold IT-revisjoner Manuelle Konfigurerbare Hardkodede Kartlegging av flyt og nøkkelkontroller Evaluering og testing av applikasjonskontrollene Applikasjonskontroller Applikasjonsdrift Applikasjonsforvaltning IT-styring og intern kontroll Generelle IT-kontroller 11

12 Rapportering i IT-format Prosessnavn Hovedstruktur Hovedbudskap/konklusjon Sammendrag Detaljer Boksformat Innledning Høringskap. Peker 12

13 Overlevering og bruk Resultater fra IT-revisjon dokumenteres i arbeidsboken Arbeidsboken speiler konsernmodellen Bykassa Revisjonen er rettet mot etatene Arbeidsbok Virksomhetssystemer: Klient 1 Klientansvarlig kopierer relevante deler Klient 2 Fellessystemer og sektorsystemer: Klient n Resultater kopiert til fellesklient Fellesklient 13

14 Overlevering og bruk Gjenbruk og bruk av metoder/handlinger/resultater Nøkkelkontroller / revisjonshandlinger Nye metoder Det generelle IT-miljøet Applikasjonskontrollgjennomgangen 14

15 Oppsummering Utfordring å prioritere riktig God overlevering viktig Involvere regnskapsrevisor Konklusjoner Anbefalinger Relevante arbeidspapirer Ensartet bruk av arbeidsboken viktig Kopiere til riktig fase/område Henvisning IT-revisjon effektiviserer regnskapsrevisjonen 15

16 Agenda IT i Oslo kommune IT-revisjon i regnskapsrevisjonen IT-revisjon i forvaltningsrevisjonen 16

17 Avdeling for forvaltningsrevisjon 23 revisorer Team iht byrådsavdelingenes ansvar Omfattende planprosess IT-teamet deltar Spiller inn informasjon om IT-porteføljen Mottar bestillinger RSK001 FORVALTNINGS- Prosjektmodellen GODKJENT PLAN FOR Rammeavtale om kjøp av ITrevisjoner REVISJON 17

18 IT-revisjon i forvaltningsrevisjon Effektkjeden IT Pådrivere for IT-revisjon Effektivisere regnskapsrevisjonen IT representerer store verdier Lovpålagt intern kontroll Teknologien muliggjør og støtter virksomhetsprosesser bidrar til effektivisering og økt kvalitet 18

19 Produktivitet og styringsinformasjon i PP- tjenesten Vesentlighet og risiko Store informasjonsverdier (Journal for hele tjenesten i Oslo) Basis for styringsinformasjon/ledelsesrapportering Sensitive data Integritetsrisiko (Feil i styringsdata) Konfidensialitetsrisko (Personopplysningsloven) Målsetting FV Bidra til å besvare problemstilling i FV om tilfredsstillende skriftlig styringsinfo Bidra med uttrekk til FV for å analysere forhold knyttet til produksjon i PPT Andre målsettinger Oppfølging: Teste styringssystemet for informasjonssikkerhet Organisering Adskilte revisjonsprosjekter på hhv IT og FV 19

20 Produktivitet og styringsinformasjon i PP- tjenesten FV-rapporten IT-rapport som vedlegg Konklusjonene fra IT og FV gjengitt sammen Sammendraget i IT-rapporten eget kapittel Bidrag til forvaltningsrevisjonen Avdekket svakheter i journalsystemet: Muliggjorde feilregistrering og negativ effekt på styringsinformasjonen Vanskeliggjorde statistikkproduksjon grunnet svakheter i grunndata Avdekket inkonsistent registreringspraksis Uttrekk effektiviserte arbeidet og gav økt innsikt Andre bidrag Avdekket svakheter i styringssystemet for informasjonssikkerhet Effektiviserte pågående finansiell IT-revisjon Effekt Meldt forbedringstiltak på journalsystemet og styringssystemet 20

21 Generelle kontroller i og rundt Rusdata Vesentlighet og risiko Klientjournal for rusomsorgen Sensitive data om alle tjenestemottakerne Sterke lovkrav Konfidensialitetsrisiko Målsetting Evaluere IK Vurdere etterlevelse av sentrale lovkrav Organisering IT-revisjonsteam (E&Y) Rapportformat IT-format IT Resultat Dokumentert IK Viktige rutiner og retningslinjer mangler 21

22 Andre revisjoner Systemgjennomgang av byggesaksprosesser: Saksbehandlingssystem Behandling av skjenkebevillinger og kontroll av skjenkesteder: Saksbehandlingssystem Økonomisk styring av investeringsprosjekter: Prosjektstyringssystem Trafikkstyringssystem indre Oslofjord: KKI-system Innføring av sektorsystem i to bydeler: EPJ-system 22

23 Oppsummering Kombinert planlegging og gjennomføring Sammensatte team Økt forståelse Ulike detaljnivå Årsaksforklaring virkningsbeskrivelse Synliggjøre koblingen Flere målsettinger - flere budskap Hvordan rapportere? Kriteriene ligger i IT-standardene Utvelgelse - Ikke utvikling Dekker kravene Forvaltningsrevisjon eller undersøkelse? 23