proceduri pentru testarea conformitatii

8/3/2019 Proceduri Pentru Testarea Conformitatii

1/5

Girdeanu Ana-MariaScoalaEconomica Postuniversiatara ElitecSpecializarea Contabilitatea si Audit, Zi

I. Care din urmatoarele teste sunt de conformitate si care sunt testeindependente:

1. Observarea angajatilor din cadrul compartimentului IT pentru a verificasepararea reala a sarcinilor de serviciu. Test de conformitate2. Verificarea semnaturilor pe facturile emise cu ajutorul calculatorului. Test deconformitate3. Confirmarea inventarului faptic cu cel scriptic realizat cu ajutorul calculatorului.- Test independent4. Copierea datelor unui client ntr-un program de calcul tabelar (Excel) sirecrearea totalurilor. Test independent

II. Proceduri pentru Testarea Conformitatii

Autorizarea

Autorizarea presupune implementarea unor mecanisme adecvate de identificare,autentificare si acces, prin crearea unei legaturi intre utilizatori si resurse, bazata pedrepturi de acces, care sa verifice autenticitatea tranzactiilor precum si identitateautilizatorului care initiaza tranzactiile, in scopul de a reduce riscul erorilor, fraudei sitranzactiilor ilegale. Pentru a se testa conformitatea autorizarii se poate verificamodul de formare al numelui fiecarui utilizator astfel incat acesta sa fie unic, modulde compunere al parolelor, lungimea minima a parolelor, schimbarea periodica aparolelor, istoricul parolelor, sigurana parolelor, atribuirea iniiala, criptarea, blocareacontului, parolele implicite, procedurile utilizator, drepturile si privilegiile acestora,legitimatiile de acces etc.

Printre procedurile aplicabile in vederea testarii eficacitatii controlului pot fimentionate:

- verificarea listelor cu persoanele autorizate pentru accesul in zonelerestrictionate (de exemplu la camera server-ului);- incercarea de a accesa o zona restrictionata fara escorat sau legitimatie;- efectuarea de incercari repetate pentru a ghici o parola;- verificarea listelor utilizatorilor si parolele acestora;- incercari repetate de accesare a resurselor;- incercarea de accesare simultana la mai multe resure de catre acelasi uilizator.

Controlul securitatii datelor de intrare

Este folosit pentru a asigura ca toate tranzactiile sunt introduse corect, sunt completesi valide, sunt autorizate, sunt aferente perioadei de gestiune curente si suntinregistrate corect. Securitatea datelor de intrare poate fi realizata prin controale degenul:

- stabilirea informatiilor necesare pentru fiecare profil de utilizator;- elaborarea procedurile de logon;

1


2/5

- jurnalizarea operatiilor de log in/log out si a evenimentelor importante(esecuri in accesarea sistemului, folosirea anumitor aplicatii);- controlul cheilor de criptare;- protejarea resurselor;- validarea intrarilor;- gestionarea incidentelor, raportarea si masurile ulterioare;- metode de monitorizare a respectarii procedurilor IT, teste de intruziune sirapotari.

Eficacitatea controlului securitatii datelor de intrare poate fi testate prin:- incercarea de a accesa resurse sau date importante (cod sursa, biblioteci,fisiere ale sistemului de operare etc) atat din prisma unui utilizator intern, cat sidin cea a unui utilizator extern;- verificarea jurnalelor (log files);- rularea mai multor sesiuni concurente;- incercari de adaugare neautorizata a datelor;- verificarea formatului datelor de intrare (natura datelor, lungime datelor,numarul de zecimale admis, acceptarea valorilor negative sau doar a celorpozitive, formatul datei calendaristice, aplicarea semnului monetar etc.)

- verificarea domeniului de definitie al atributelor (incadrarea intr-o multime sauinterval de valori prestabilit, testarea dependentelor logice, verificarearezonabilitatii datelor in raport cu un standard sau date introduse anterior- verificarea acuratetei aritemetice;- verificarea existentei datelor;

Controlul prelucrarilor pe loturi

Sistemele de procesare pe loturi se caracterizeaza prin faptul ca datele de intraresunt adunate i procesate periodic, n grupuri individuale. Controlul asupraprelucrarilor trebuie conceput astfel incat sa asigure ca:

- toate datele sunt corect prelucrate de catre calculator;

- datele nu sunt pierdute, adaugate sau modificate necorespunzator n timpulprelucrarilor;- erorile de prelucrare sunt identificate i corectate la timp

Prelucrarea pe loturi implica culegerea datelor despre fiecare tranzacie n parte pebaza documentelor sursa. Ulterior se procedeaza la prelucrarea si procesarea datelorcolectate, validarea acestor, i apoi, daca este necesar, se face transcrierea lor pe unsuport de memorare accesibil prin intermediul calculatorului. Pentru a testaeficacitatea acestui control se poate recurge la:

- verificarea conformitatii datelor tranzactionate pe baza documentelorsursa;- verificarea tranzactiilor generate automat de sistem;

- verificarea acuratetei procesarilor;- verificarea datelor prelucrate (rapoartele)

Controlul editarilor

Eficacitatea controlului editarilor/modificarilor trebuie determinata din prismariscurilor asociate acestora, riscuri ce constau in modificari si utilizari neautorizate,probleme la implementare, raportari gresite, nemultumiri ale utilizatorilor, problemein cazul modificarilor urgente. In acest sens trebuie verificate, prin sondaj sau prin

2


3/5

esantionare, procedurile aplicate pentru efectuarea controlului editarilor. Mai concreteficacitatea controlului presupune verificarea cererilor de editare/modificare, ajurnalizarii modificarilor, a editarilor neautorizate, precum si verificarea modificarilorrealizate in situatii de urgenta.

Corectarea erorilor

Corectarea erorilor, fie ele erori de calcul, de inregistrare sau de contare, trebuie sase bazeze pe proceduri clare si bine puse la punct. In cazul tranzactiilor, corectarea

erorilor presupune reprocesarea acestora din momentul in care au fost initiate. Inpractica insa, s-a observat ca aceste corectari se efectueaza n punctul n care aufost constatate, ceea ce nu duce neaparat la rezolvarea erorilor. Asadar eficacitateacontrolului erorilor tine de verificarea momentului in carea au loc corectarile de erori,verificarea atributiilor persoanelor ce efectueaza corectarile precum si verificareacorectarilor efectuate. Aceste informatii trebuie pastrate cu ajutorul fisierelor dejurnalizare.

Planificarea procesarilor

Planificarea procesarilor trebuie sa urmareasca colectarea eficienta a datelor deintrare, clasificarea, gruparea, verificarea si sortarea lor. Eficacitatea planificarii

erorilor implica reducerea sau eliminarea datelor incorecte pe principiul principiulGIGO (Garbage In-Grabage Out). Asadar trebuie verificate modalitatile de colectare,clasificarea, verficare si sortare a datelor, fluxul prelucrarilor (ce prelucrari urmeazasa se declanseze in anumite circumstante), integrarea prelucrarilor.

Auditul intern

Auditul intern are drept scop:- verificarea activitatii organizatiei si a conformitatii acesteia cu politicile siprogramele existente;- evaluarea controalele financiare si nefinanciare dispuse de conducerea entitatiieconomice;

- evaluarea informatiilor financiare si nefinanciare furnizate conducerii;- protejarea elementele patrimoniale bilantiere si extrabilantiere ale organizatieisi identificarea metodelor de prevenire a fraudelor si a pierderilor de orice fel.

Porind de la scopul auditului intern, conformitatea acestuia presupune verificareadocumentelor de audit intern existente, de genul: ordinul de serviciu, declaratia deidependenta, chestionare si liste de verificare (chestionar de luare la cunostinta,chestionar de control intern, chestionar-lista de verificare), tablou de prezentare acircuitului documentelor auditului (pista de audit), formulare ale constatarilor de auditintern (formular de identificare si analiza a problemei, formular de constatare siraportare a iregularitatilor), nota centralizatoare a documentelor de lucru, planul deactiune, calendarul de imlementare a recomandarilor, raportul de audit.

Proceduri de refaceri in caz de dezastru

Eficacitatea procedurilor de refaceri in caz de dezastre presupune verificareaexistentei si implementarii de:

- proceduri privind functionarea sistemului in cazul caderii alimentarii cuenergie electrica sau a cailor de comunicatii.

3


4/5

- planuri bine testate si documentate, actualizate periodic prin care sa seasigure operationalitatea sistemului informatic in conditiile producerii unorevenimente neprevazute.- proceduri privind realizarea copiilor de siguranta si refacerea stariisistemului in cazul caderii acestuia ca urmare a unor cauze hard sau soft.- existenta unui contract de asigurare a organizatiei pentru evenimenteneprevazute.- instruirea personalului cu privire la procedurile aplicabile in cazul realizarii

periodice a copiilor de siguranta sau executarii procedurilor de criza in cazulproducerii dezastrelor.- plan de actiune care cuprinde proceduri si persoanele responsabile cupunerea in practica a actiunilor de limitare a distrugerilor si refacerea sistemului

Proceduri privind dezvoltarea aplicatiilor

Stabilirea cotroalelor pentru dezvoltarea aplicatiilor asigura faptul ca modificarileaduse programelor sunt autorizate, testate si aprobate. Lipsa acestor controale poatedetermina omiterea sau excluderea intentionata din aplicatii a elementelor desecuritate. In acest sens, conformitatea procedurilor privind dezvoltarea aplicatiilorimplica:

- verificarea existentei si implementarii unei metodologii privinddezvoltarea aplicatiilor;- instruirea personalului in concordanta cu metodologia de dezvoltareaaplicata;- inregistrarea cererilor de modificare a aplicatiilor si verificarea aprobariilor;- implementarea de politici privind folosirea aplicatiilor in interes personal;- folosirea de software antivirus;- testarea si aprobarea aplicatiilor modificate;- revizuirea documentatiilor in concordanta cu modificarile aduseaplicatiilor;

- mentinerea copiilor de siguranta ale aplicatiilor modificate;- acces restrictionat la bibliotecile de date si la codul sursa al aplicatiilor;

0. Proceduri privind modificarea sistemului

Controlul asupra modificarilor sistemului este esentiala pentru acurateteainformatiilor si reducerea riscului de frauda si eroare. Procedurile cu privire lacontrolul modificarilor din sistem trebuie sa includa:

- proceduri privind restrictionarea accesului la diferitele componente alesistemului;

- identificarea tuturor cailor de acces la resursele sistemului si limitareaaccesului la acestea;

- revizuirea periodica a procedurilor de acces la resursele sistemului;

- proceduri privind integritatea sistemului (monitorizarea tranzactiilor on-line,monitorizarea accesului la bazele de date si la mediile de stocare);

- controlul accesului la resursele externe (retele, Internet, periferice);

- implementarea programelor de tip firewall si antivirus;

- testarea, aprobarea si autorizarea instalarii noilor versiuni de sistem;

4


5/5

- modificarea documentatiei sistemului in concordanta cu modificarileaduse acestuia;

5

proceduri pentru testarea conformitatii

Documents