ITauditoinnissa

IT-auditointi on riippumaton ja objektiivinen varmistus- sekä konsultointitoiminta, jonka tarkoituksena on parantaa organisaation tietohallinnon hallintorakenteita, riskien hallintaa sekä kontrolliprosesseja. Sen tavoitteena on varmistaa järjestelmien luotettavuus, tietojen oikeellisuus ja eheyys, järjestelmien käytettävyys sekä sovellettavien lakien, määräysten ja standardien noudattaminen.

Auditoinnin laajuus kattaa usein IT-hallinnon yleiset kontrollit (IT general controls), sovelluskohtaiset kontrollit, muutoksenhallinnan, käyttöoikeudet, tietojen hallinnan sekä varmuuskopioinnin ja palautumisen. Lisäksi käsitellään tietoturva, tietosuoja sekä järjestelmien kehitys- ja ylläpitoprosessit. Tyypillisesti IT-auditointi kattaa sekä operatiiviset että tekniset osa-alueet sekä organisaation riskien kartoituksen.

Prosessi etenee suunnittelusta kenttätöihin, todennettavien todisteiden keräämiseen, kontrollien suunnittelun ja toimivuuden arviointiin sekä raportointiin. Auditointiraportti sisältää löydökset, riskinarvioinnit, konkreettiset suositukset sekä johdon vastaukset ja aikataulut niiden toteuttamiselle. Jälkiseuranta varmistaa, että parannukset toteutetaan.

Käytetyt viitekehykset ja standardit ovat muun muassa COBIT, ISO/IEC 27001/27002 sekä NIST SP 800-53, ja lisäyksenä yritys- tai toimialakohtaiset vaatimukset kuten PCI DSS. Riippumattomuus ja objektiivisuus ovat keskeisiä arvoja; sisäiset auditointiorganisaatiot voivat toimia yhteistyössä, mutta niiden on säilytettävä riippumattomuutensa.

Tulevaisuudessa korostuvat datanalytiikka, automaatio, jatkuva varmistus sekä hallintakehysten (GRC) työkalujen käyttö. IT-auditointi tukee organisaation kykyä hallita epävarmuutta ja varmistaa hallinnollisten tavoitteiden toteutumisen.