IT Audit Process22 out of 27 rated

IT Audit Process

22 out of 27 rated this helpful - Rate this topic
Published: June 14, 2006

By Bill Canning
Program Manager, Microsoft Corporation
See other Security Tip of the Month columns
Audits are a critical component of the regulatory compliance process. In general, it is the auditors who will determine whether your organization is in compliance with the regulations and standards that it must address. For example, in regard to Sarbanes-Oxley (SOX), external auditors will often determine the adequacy of the internal controls in your organization as part of the audit in relation to annual financial reporting. Understanding how the audit process works and how auditors operate is important because it informs IT managers how to establish an environment that is compliant and easy to audit. This topic focuses on how auditors conduct the IT audit process.
It is important to understand what auditors look for during a compliance audit. During the audit, the auditors look for evidence that indicates:
The organization has designed effective controls to address their compliance requirements and that there are no design deficiencies.
The organization consistently applies the controls they have designed and that there are no operational deficiencies.
If the auditors do not find evidence of an effective control program, or they find that the organization is not adhering to the control program, they note these deficiencies in their final audit report. This audit report is generally provided to the organization’s audit committee so that identified issues get the appropriate level of management exposure. Obviously, it is preferable that there be no deficiencies noted in this report.
The following process describes the general activities that auditors conduct during an audit. Your auditor might conduct the audit using a slightly different approach:
Step 1: Plan the audit (auditor)
Step 2: Hold audit kickoff meeting (auditor/organization)
Step 3: Gather data and test IT controls (auditor/organization)
Step 4: Remediate identified deficiencies (organization)
Step 5: Test remediated controls (auditor/organization)
Step 6: Analyze and report findings (auditor)
Step 7: Respond to findings (organization)
Step 8: Issue final report (auditor)
Understanding the steps in the IT audit process positions IT managers to know what to expect from the audit. In this way, you can better achieve your organization's regulatory compliance objectives, and optimize the audit process to complete it more efficiently.
How to Optimize the Audit Process
There are many ways to make the audit process more efficient and less difficult. These include:
Work with the auditor early in the process to understand the key areas on which they plan to focus during the audit. In some cases, you can reprioritize projects to ensure that you address what the auditors see as key risks in the environment, thus avoiding deficiencies in the audit.
Implement automated IT controls whenever possible. These controls are superior to manual ones because auditors can more easily test and validate them. The best way to optimize the efficiency and lower the cost of the IT audit process for your organization is to:
Maintain clean and concise documentation of IT controls and keep it updated.
Organize your IT controls to work with the framework that your auditors use. This will help ensure that you and your auditors communicate clearly about the regulatory objectives.
Take advantage of an IT controls framework. This will help you to more effectively address a variety of regulations with a single set of controls.
Further guidance on control frameworks and planning options to realize IT control efficiencies for your organization can be found in the Regulatory Compliance Planning Guide.

ผลลัพธ์ (ไทย) 1:

กระบวนการตรวจสอบนั้นนี้เป็นประโยชน์ที่ 22 จาก 27 คะแนน - คะแนนหัวข้อนี้เผยแพร่: 14 มิถุนายน 2006โดยตั๋วแคนนิ่ง โปรแกรมจัดการ กีรติดูอื่น ๆ แนะนำความปลอดภัยของคอลัมน์เดือนส่วนประกอบสำคัญของกระบวนการกฎระเบียบตรวจสอบได้ ทั่วไป เป็นผู้ตรวจสอบซึ่งจะตรวจสอบว่า องค์กรปฏิบัติตามกฎระเบียบและมาตรฐานที่ต้องการที่อยู่ ตัวอย่าง เรื่อง Sarbanes-อ็อกซ์เลย์ (ท่าน), ผู้ตรวจสอบภายนอกจะมักกำหนดความเพียงพอของการควบคุมภายในในองค์กรเป็นส่วนหนึ่งของการตรวจสอบเกี่ยวกับรายงานการเงินประจำปี ทำความเข้าใจวิธีการทำงานของกระบวนการตรวจสอบและวิธีการทำงานของผู้สอบบัญชีมีความสำคัญเนื่องจากมันจะแจ้งให้ผู้จัดการวิธีการสร้างสภาพแวดล้อมที่สอดคล้อง และง่ายต่อการตรวจสอบ หัวข้อนี้เน้นการสอบดำเนินการตรวจสอบกระบวนการจึงควรทำความเข้าใจอะไรสอบหาในระหว่างการตรวจสอบการปฏิบัติตามกฎระเบียบ ในระหว่างการตรวจสอบ สอบหาหลักฐานที่ระบุว่า:องค์กรที่ได้ออกแบบตัวควบคุมที่มีประสิทธิภาพที่อยู่ของพวกเขาต้องปฏิบัติตามกฎระเบียบ และมีการออกแบบยังไม่องค์กรที่ใช้ตัวควบคุมที่มีการออกแบบและมียังไม่ปฏิบัติอย่างสม่ำเสมอถ้าสอบไม่พบหลักฐานของโปรแกรมควบคุมที่มีประสิทธิภาพ หรือพวกเขาพบว่า องค์กรที่ไม่ได้ยึดมั่นไปยังโปรแกรมควบคุม ผู้สังเกตทรงเหล่านี้ในรายงานการตรวจสอบขั้นสุดท้าย รายงานการตรวจสอบนี้โดยทั่วไปให้คณะกรรมการตรวจสอบขององค์กรเพื่อให้ระบุปัญหาได้ระดับที่เหมาะสมของการจัดการความเสี่ยง อย่างชัดเจน ได้กว่า ที่มียังไม่ระบุไว้ในรายงานนี้การอธิบายกิจกรรมทั่วไปที่ทำการสอบในระหว่างการตรวจสอบ ผู้สอบบัญชีของคุณอาจทำการตรวจสอบโดยใช้วิธีการแตกต่างกันเล็กน้อย:ขั้นตอนที่ 1: วางแผนการตรวจสอบ (สอบ)ขั้นตอนที่ 2: จัดสอบแจ้งกำหนดการประชุม (องค์กรผู้ตรวจสอบ)ขั้นตอนที่ 3: รวบรวมข้อมูล และทดสอบการควบคุม (องค์กรผู้ตรวจสอบ)ขั้นตอนที่ 4: สำรองระบุทรง (องค์กร)ขั้นตอนที่ 5: ทดสอบตัวควบคุม remediated (องค์กรผู้ตรวจสอบ)ขั้นตอนที่ 6: วิเคราะห์ และรายงานผลการวิจัย (สอบ)ขั้นที่ 7: ตอบการค้นพบ (องค์กร)ขั้นตอนที่ 8: รายงานขั้นสุดท้ายออก (นิมนต์)เข้าใจขั้นตอนในการตรวจสอบกระบวนการตำแหน่งผู้จัดการรู้ว่าจะคาดหวังจากการตรวจสอบ ด้วยวิธีนี้ คุณสามารถดีให้บรรลุวัตถุประสงค์ขององค์กรกฎระเบียบ และเพิ่มประสิทธิภาพการตรวจสอบให้เสร็จสมบูรณ์ได้อย่างมีประสิทธิภาพวิธีการเพิ่มประสิทธิภาพการตรวจสอบมีหลายวิธีที่จะทำให้กระบวนการตรวจสอบ และมีประสิทธิภาพมากน้อยยาก เหล่านี้รวมถึง:ทำงานกับผู้สอบบัญชีในช่วงกระบวนการเข้าใจพื้นที่สำคัญที่พวกเขาวางแผนให้ความสำคัญในระหว่างการตรวจสอบ ในบางกรณี คุณสามารถ reprioritize โครงการเพื่อให้แน่ใจว่า คุณอยู่ที่สอบดูเป็นความเสี่ยงสำคัญในสภาพแวดล้อม จึง หลีกเลี่ยงการข้ามการตรวจสอบใช้แบบอัตโนมัติควบคุมเมื่อใดก็ ตามที่เป็นไปได้ ตัวควบคุมเหล่านี้จะเหนือกว่าคนด้วยตนเองเนื่องจากผู้สอบบัญชีได้ง่ายขึ้นสามารถทดสอบ และตรวจสอบได้ เพื่อเพิ่มประสิทธิภาพ และลดต้นทุนของการตรวจสอบเป็นกระบวนการสำหรับองค์กรของคุณจะ:รักษาเอกสารดี และกระชับควบคุมมัน และให้มันปรับปรุงจัดระเบียบควบคุมของคุณมันทำงานกับกรอบที่ใช้ผู้สอบบัญชีของคุณ นี้จะช่วยให้แน่ใจว่า คุณและผู้สอบบัญชีของคุณสื่อสารอย่างชัดเจนเกี่ยวกับวัตถุประสงค์ข้อบังคับใช้ประโยชน์จากกรอบการควบคุมมัน วิธีนี้จะช่วยคุณได้อย่างมีประสิทธิภาพอยู่หลากหลายข้อบังคับชุดเดียวของตัวควบคุมคำแนะนำเพิ่มเติมกรอบควบคุมและตัวเลือกวางแผนตระหนักมันควบคุมประสิทธิภาพสำหรับองค์กรของคุณสามารถพบได้ในคู่มือการวางแผนปฏิบัติตามกฎระเบียบข้อบังคับ

ผลลัพธ์ (ไทย) 2:

IT Audit กระบวนการ22 จาก 27 จัดอันดับนี้เป็นประโยชน์ - อัตราหัวข้อนี้เผยแพร่: 14 มิถุนายน 2006 โดยบิล Canning ผู้จัดการโครงการ Microsoft Corporation ดูเคล็ดลับการรักษาความปลอดภัยอื่น ๆ ของคอลัมน์เดือนการตรวจสอบเป็นองค์ประกอบที่สำคัญของกระบวนการปฏิบัติตามกฎระเบียบ โดยทั่วไปจะเป็นผู้ตรวจสอบผู้ที่จะตรวจสอบว่าองค์กรของคุณเป็นไปตามกฎระเบียบและมาตรฐานที่จะต้องอยู่ ยกตัวอย่างเช่นในเรื่องที่เกี่ยวกับกฎหมาย Sarbanes-Oxley (SOX) ผู้สอบบัญชีภายนอกมักจะเป็นตัวกำหนดความเพียงพอของระบบการควบคุมภายในในองค์กรของคุณเป็นส่วนหนึ่งของการตรวจสอบเกี่ยวกับการรายงานทางการเงินประจำปี ทำความเข้าใจวิธีการกระบวนการตรวจสอบการทำงานและวิธีการดำเนินงานสอบบัญชีเป็นสิ่งสำคัญเพราะมันแจ้งให้ผู้จัดการฝ่ายไอทีวิธีการสร้างสภาพแวดล้อมที่สอดคล้องและง่ายต่อการตรวจสอบ หัวข้อนี้จะมุ่งเน้นไปที่วิธีการที่ผู้ตรวจสอบดำเนินการกระบวนการตรวจสอบไอที. มันเป็นสิ่งสำคัญที่จะเข้าใจในสิ่งที่ผู้สอบบัญชีมองหาระหว่างการตรวจสอบการปฏิบัติตาม ระหว่างการตรวจสอบผู้สอบบัญชีมองหาหลักฐานที่บ่งชี้ว่า:. องค์กรที่ได้รับการออกแบบการควบคุมที่มีประสิทธิภาพเพื่อรับมือกับการปฏิบัติตามข้อกำหนดของพวกเขาและว่ามีข้อบกพร่องการออกแบบที่ไม่มีองค์กรอย่างต่อเนื่องใช้การควบคุมที่พวกเขาได้รับการออกแบบและว่าไม่มีข้อบกพร่องในการดำเนินงาน. ถ้า ผู้สอบบัญชีไม่พบหลักฐานของโปรแกรมควบคุมที่มีประสิทธิภาพหรือพวกเขาพบว่าองค์กรที่ไม่ได้ยึดมั่นในโปรแกรมควบคุมที่พวกเขาทราบข้อบกพร่องเหล่านี้ในรายงานการตรวจสอบสุดท้ายของพวกเขา รายงานการตรวจสอบนี้จะให้โดยทั่วไปคณะกรรมการตรวจสอบขององค์กรเพื่อให้ปัญหาที่ระบุได้รับในระดับที่เหมาะสมของการเปิดรับการจัดการ เห็นได้ชัดว่ามันจะดีกว่าที่จะมีข้อบกพร่องที่ไม่ได้ระบุไว้ในรายงานนี้. ขั้นตอนต่อไปนี้อธิบายกิจกรรมทั่วไปที่ผู้สอบบัญชีในระหว่างดำเนินการตรวจสอบ ผู้สอบบัญชีของคุณอาจดำเนินการตรวจสอบโดยใช้วิธีการที่แตกต่างกันเล็กน้อย: ขั้นตอนที่ 1: การวางแผนการตรวจสอบ (ผู้สอบบัญชี) ขั้นตอนที่ 2: กดตรวจสอบการประชุมเขี่ย (ผู้สอบบัญชี / องค์กร) ขั้นตอนที่ 3: รวบรวมข้อมูลและการทดสอบการควบคุมด้านไอที (ผู้สอบบัญชี / องค์กร) ขั้นตอนที่ 4: remediate ข้อบกพร่องที่ระบุ (องค์กร) ขั้นตอนที่ 5: การทดสอบ remediated ควบคุม (ผู้สอบบัญชี / องค์กร) ขั้นตอนที่ 6: การวิเคราะห์และรายงานผลการวิจัย (ผู้สอบบัญชี) ขั้นตอนที่ 7: การตอบสนองต่อการค้นพบ (องค์กร) ขั้นตอนที่ 8: ออกรายงานขั้นสุดท้าย (ผู้สอบบัญชี) ทำความเข้าใจเกี่ยวกับขั้นตอนในส่วน กระบวนการตรวจสอบไอทีตำแหน่งผู้จัดการฝ่ายไอทีจะรู้ว่าสิ่งที่คาดหวังจากการตรวจสอบ ด้วยวิธีนี้คุณจะสามารถประสบความสำเร็จขององค์กรของคุณวัตถุประสงค์ปฏิบัติตามกฎระเบียบและเพิ่มประสิทธิภาพของกระบวนการตรวจสอบจะเสร็จสมบูรณ์ได้อย่างมีประสิทธิภาพ. วิธีการเพิ่มประสิทธิภาพกระบวนการตรวจสอบมีหลายวิธีที่จะทำให้กระบวนการตรวจสอบที่มีประสิทธิภาพมากขึ้นและยากน้อย เหล่านี้รวมถึง: การทำงานกับผู้สอบบัญชีในตอนต้นกระบวนการที่จะเข้าใจประเด็นสำคัญที่พวกเขาวางแผนที่จะให้ความสำคัญระหว่างการตรวจสอบ ในบางกรณีคุณสามารถ reprioritize โครงการที่จะให้แน่ใจว่าคุณอยู่ในสิ่งที่ผู้สอบบัญชีเห็นความเสี่ยงที่สำคัญในขณะที่สภาพแวดล้อมจึงหลีกเลี่ยงข้อบกพร่องในการตรวจสอบ. ดำเนินการโดยอัตโนมัติมันจะควบคุมได้ทุกเมื่อ ควบคุมเหล่านี้จะดีกว่าเพราะคนที่คู่มือผู้สอบบัญชีได้ง่ายขึ้นสามารถทดสอบและตรวจสอบพวกเขา วิธีที่ดีที่สุดเพื่อเพิ่มประสิทธิภาพและลดค่าใช้จ่ายของกระบวนการตรวจสอบไอทีสำหรับองค์กรของคุณคือ:. รักษาเอกสารที่สะอาดและรัดกุมของไอทีและควบคุมให้มันปรับปรุงจัดระเบียบควบคุมไอทีของคุณจะทำงานกับกรอบที่ผู้สอบบัญชีของคุณใช้ นี้จะช่วยให้แน่ใจว่าคุณและผู้สอบบัญชีของคุณสื่อสารได้อย่างชัดเจนเกี่ยวกับวัตถุประสงค์ของการกำกับดูแล. ใช้ประโยชน์จากกรอบการควบคุมไอที นี้จะช่วยให้คุณมีประสิทธิภาพมากขึ้นอยู่ที่ความหลากหลายของกฎระเบียบที่มีชุดเดียวของการควบคุม. คำแนะนำเพิ่มเติมเกี่ยวกับกรอบการควบคุมและตัวเลือกการวางแผนที่จะตระหนักถึงการควบคุมด้านไอทีที่มีประสิทธิภาพสำหรับองค์กรของคุณสามารถพบได้ในการปฏิบัติตามกฎระเบียบคู่มือการวางแผน

ผลลัพธ์ (ไทย) 3:

ตรวจสอบกระบวนการ

22 จาก 27 คะแนน คะแนนนี้เป็นประโยชน์ - หัวข้อนี้
เผยแพร่ : 14 มิถุนายน 2549

โดยบิลผู้จัดการโปรแกรมกระป๋อง
, Microsoft Corporation
ดูเคล็ดลับความปลอดภัยอื่น ๆของเดือนคอลัมน์
ตรวจสอบจะเป็นองค์ประกอบที่สำคัญของกระบวนการการปฏิบัติตามกฎระเบียบ โดยทั่วไปเป็นผู้สอบบัญชี ซึ่งจะเป็นตัวกำหนดว่าองค์กรของคุณเป็นในการปฏิบัติตามกฎระเบียบและมาตรฐานมันต้องอยู่ . ตัวอย่างเช่น ในเรื่องของซาร์เบนส์ Oxley ( Sox ) ผู้สอบบัญชีจะมักจะตรวจสอบความเพียงพอของการควบคุมภายในองค์กรของคุณเป็นส่วนหนึ่งของการตรวจสอบเกี่ยวกับการรายงานทางการเงินประจำปีความเข้าใจวิธีการทำงานและวิธีการตรวจสอบ ผู้ตรวจสอบงานเป็นสิ่งสำคัญ เพราะมันจะแจ้งให้ผู้จัดการวิธีการสร้างสภาพแวดล้อมที่สอดคล้องและง่ายต่อการตรวจสอบ หัวข้อนี้เน้นว่าผู้สอบบัญชีทำการตรวจสอบกระบวนการ .
มันเป็นสิ่งสำคัญที่จะเข้าใจสิ่งที่ผู้ค้นหาในระหว่างการปฏิบัติการตรวจสอบ ในระหว่างการตรวจสอบ ผู้ตรวจสอบค้นหาหลักฐานที่บ่งชี้ :
องค์กรที่ได้รับการออกแบบ การควบคุมที่มีประสิทธิภาพเพื่อที่อยู่ความต้องการของการปฏิบัติของพวกเขาและไม่มีข้อบกพร่องการออกแบบ
องค์กรอย่างต่อเนื่องกับการควบคุมที่พวกเขาได้รับการออกแบบ และไม่มีการดำเนินงาน .
ถ้าผู้สอบบัญชีไม่พบหลักฐานของโปรแกรมควบคุมที่มีประสิทธิภาพ หรือ พวกเขาพบว่า องค์กร คือ ไม่ยึดมั่นในโปรแกรมควบคุม ,องค์กรที่ได้รับการออกแบบ การควบคุมที่มีประสิทธิภาพเพื่อที่อยู่ความต้องการของการปฏิบัติของพวกเขาและไม่มีข้อบกพร่องการออกแบบ
องค์กรอย่างต่อเนื่องกับการควบคุมที่พวกเขาได้รับการออกแบบ และไม่มีการดำเนินงาน .
ถ้าผู้สอบบัญชีไม่พบหลักฐานของโปรแกรมควบคุมที่มีประสิทธิภาพ หรือ พวกเขาพบว่า องค์กร คือ ไม่ยึดมั่นในโปรแกรมควบคุม ,พวกเขาทราบข้อบกพร่องเหล่านี้ในรายงานการตรวจสอบขั้นสุดท้ายของพวกเขา รายงานนี้มีให้โดยทั่วไปไปยังคณะกรรมการตรวจสอบขององค์กรเพื่อระบุปัญหาได้ในระดับที่เหมาะสมของการจัดการ เห็นได้ชัดว่ามันเป็นที่พึงประสงค์ที่ไม่มีการระบุไว้ในรายงานฉบับนี้
กระบวนการต่อไปนี้อธิบายถึงกิจกรรมทั่วไปที่ผู้สอบบัญชีดำเนินการในระหว่างการตรวจสอบผู้สอบบัญชีของคุณอาจดำเนินการตรวจสอบการใช้วิธีการที่แตกต่างกันเล็กน้อย :
ขั้นตอนที่ 1 : การวางแผนการตรวจสอบ ( ตรวจสอบ )
ขั้นที่ 2 : จับตรวจสอบห้องประชุม ( องค์กรตรวจสอบสนาม / )
3 ขั้นตอนรวบรวมข้อมูลและทดสอบการควบคุม ( องค์กรผู้ตรวจสอบบัญชี / )
ขั้นตอนที่ 4 : การรักษาระบุข้อบกพร่อง ( องค์กร )
5 ขั้นตอน : ทดสอบ remediated การควบคุม ( องค์กรผู้ตรวจสอบบัญชี / )
6 : วิเคราะห์และรายงานผล ( ผู้ตรวจสอบบัญชี )
7 :ตอบสนองต่อผล ( องค์กร )
ขั้นตอนที่ 8 : ปัญหารายงานฉบับสมบูรณ์ ( ผู้ตรวจสอบบัญชี )
ความเข้าใจขั้นตอนในกระบวนการตรวจสอบตำแหน่งผู้จัดการฝ่ายไอทีที่จะรู้ว่าสิ่งที่คาดหวังจากการตรวจสอบ ในวิธีนี้ , คุณจะสามารถบรรลุเป้าหมายขององค์กรของคุณ ปฏิบัติตามกฎระเบียบ วัตถุประสงค์ และเพิ่มประสิทธิภาพของกระบวนการตรวจสอบเพื่อให้มันมีประสิทธิภาพมากขึ้น วิธีการปรับกระบวนการตรวจสอบ

มีหลายวิธีที่จะทำให้กระบวนการตรวจสอบที่มีประสิทธิภาพมากขึ้นและยุ่งยากน้อยกว่า เหล่านี้รวมถึง :
งานกับผู้สอบบัญชีในช่วงต้นขั้นตอนที่จะเข้าใจพื้นที่สำคัญที่พวกเขาวางแผนที่จะมุ่งเน้นในการตรวจสอบ ในบางกรณี คุณสามารถสืบกันใหม่ โครงการ เพื่อให้แน่ใจว่าคุณที่อยู่ที่ผู้สอบบัญชีเห็นว่าความเสี่ยงที่สำคัญในสิ่งแวดล้อม จึงหลีกเลี่ยงข้อบกพร่องในการตรวจสอบ .
ใช้ควบคุมโดยอัตโนมัติเมื่อใดก็ตามที่เป็นไปได้ การควบคุมเหล่านี้เหนือกว่าคนเอง เพราะผู้ตรวจสอบสามารถทดสอบและตรวจสอบพวกเขา วิธีที่ดีที่สุดเพื่อเพิ่มประสิทธิภาพ และลดต้นทุนของกระบวนการตรวจสอบองค์กรของคุณคือการรักษาความสะอาดและกระชับ :
เอกสารของการควบคุมและให้มันปรับปรุง
จัดระเบียบควบคุมการทำงานด้วยกรอบที่ผู้สอบบัญชีของคุณใช้ นี้จะช่วยให้แน่ใจว่า คุณและบริษัทของคุณสื่อสารชัดเจนเกี่ยวกับวัตถุประสงค์กฎระเบียบ
ใช้ประโยชน์จากมันคุมกรอบ นี้จะช่วยให้คุณได้อย่างมีประสิทธิภาพที่อยู่ความหลากหลายของกฎระเบียบที่มีชุดเดียวของการควบคุม .