Järjestelmäauditointi

Järjestelmäauditointi on itsenäinen ja systemaattinen arviointi, jonka tarkoituksena on todentaa organisaation hallintajärjestelmien, prosessien sekä teknisten ja organisatoristen kontrollien tehokkuus, tarkoituksenmukaisuus ja säädösten noudattaminen. Auditointi kattaa usein johtamis-, riskienhallinta-, tietoturva-, sääntöjenmukaisuus- sekä operatiiviset alueet.

Auditoinnin kohteet voivat olla koko organisaatio tai rajoittua tiettyyn järjestelmään, prosessiin tai hallintorakenteeseen. Tyypillisiä auditointikohteita ovat tietojärjestelmien turvallisuus ja hallinta, liiketoimintaprosessien tehokkuus, tietojen saatavuus ja laatu sekä lainsäädännön ja sisäisten ohjeiden noudattaminen. Auditointi voi olla sisäistä tai ulkopuolista; sisäinen auditointi tähtää organisaation kehittämiseen, ulkopuolinen puolestaan säädösten noudattamisen ja ulkoisten vaatimusten osoittamiseen.

Menetelmät ja vaiheistus noudattavat usein riskiperusteista lähestymistapaa. Tyypillinen prosessi sisältää suunnittelun, todisteiden kokoamisen, testauksen ja dokumenttien tarkastelun, haastattelut sekä näytteenoton. Tulokset tiivistetään auditointiraporttiin, jossa esitetään löydökset, riskin tason arvio sekä kehitysehdotukset ja mahdollinen johtajan vastine sekä toimintasuunnitelma. Seurantakierrokset varmistavat, että määrätyt korjaavat toimenpiteet toteutetaan.

Vakiintuneita normeja ja viitekehyksiä ovat ISO 19011 ohjaamassa auditointia, sekä tietojärjestelmien hallintaan liittyvät standardit kuten ISO/IEC 27001 ja hallintorahoituksen sekä IT:n johtamisen viitekehykset (esim. COBIT). Järjestelmäauditointi pyrkii objektiivisuuteen ja riippumattomuuteen, mutta sen vaikutus on rajoitettu riippuvuuteen auditoinnin laajuudesta ja organisaation vastauksista.