Udformning af ISAE3402 i praksis i samarbejde mellem intern og ekstern revision

Transkript

1 Udformning af ISAE3402 i praksis i samarbejde mellem intern og ekstern revision

2 Indhold 2 1. Kort præsentation af BEC 2. Præsentation af EY 3. De regulatoriske krav til systemrevisionen 4. Erklæringsprocessen 5. De centrale punkter i samarbejdet 6. Hvad har vi lært?

3 BEC - Lidt fakta 3 Dansk full service it)hus Siden 1965 Marked: finansielle virksomheder i Danmark 650 medarbejdere i Roskilde, Herning og København omsætning koncern: mio. kr. Datterselskab: Schantz BEC Roskilde BEC Herning Schantz København

4 Lidt tal og mængder 4 Datamængder: 2,5 mio. kunder 4,8 mio. konti depoter Kundeuddata: 12,8 mio. fysiske kundebreve 16,9 mio. breve via e)boks Selvbetjening: bankkunder med Mobilbank bankkunder med Netbank bankkunder med e)boks Antal 3402)erklæring: 66 kundeindividuelle erklæringer

5 Forskellige kunder, forskellige krav 5 Servicekunder Medlemskunder

6 Ansatte ansatte i koncernen Gennemsnitlig anciennitet: 11 år Medarbejdere med it)viden og indsigt i den finansielle sektor 83 % arbejder med udviklingsopgaver 66 % har en uddannelse inden for it, bank eller pension 19 % er akademisk uddannede

7 BEC s 3402 inkluderer 7 Indgår I ISAE 3402

8 Processen for udarbejdelse af erklæringen 8 Arbejdet før erklæringsperioden: Gennemgang af risikovurdering og sikkerhedsgrundlag Identifikation af kontroller, der understøtter sikkerheden i it)driften Hvilke områder skal revideres sammenhæng mellem generelle it) kontroller og it)baserede brugersystemer Gennemgang af aftalegrundlaget mellem BEC og kunderne Udarbejdelse og godkendelse af revisionsplanen Udarbejdelse af instruks til JN Datas og øvrige underleverandørers revisorer

9 Processen for udarbejdelse af erklæringen 9 Arbejdet i erklæringsperioden Rapportering: Rapportering fra underleverandører modtages Konsolidering af revisionsresultaterne Er de planlagte kontroller revideret Vurdering af svagheder Gennemgang af aftalegrundlaget mellem BEC og kunderne Udarbejdelse af erklæringen Vurdering af ledelsens beskrivelse Præsentation af eventuelle svagheder Udarbejdelse af kundeindividuelle lister over it)baserede brugersystemer

10 Gennemgang af risikovurdering og sikkerhedsgrundlag Årlig gennemgang af risikovurdering og sikkerhedspolitik. EY udarbejder særskilt protokollat.

11 Identifikation af kontroller 11 Gennemgang af BEC s sikkerhedsgrundlag for identifikation af kontroller, der understøtter it)driften Drøftelse med BEC s ledelse

12 Sammenhæng mellem generelle it-kontroller og itbaserede brugersystemer 12 For at sikre, at revisionen i øvrigt kan basere sig på applikationskontroller, skal sammenhængen mellem it)baserede brugersystemer og generelle it)kontroller kortlægges.

13 Sammenhæng mellem generelle it-kontroller og itbaserede brugersystemer 13 Udgangspunktet er BEC s servicekatalog: Samlet overblik over hvilke service der leveres, på hvilke vilkår og til hvem En service leveres på aftalte servicemål og vilkår (SLA) Denne sammenhæng skal sikre at vi får revideret den nødvendige teknik. Samt at evt. svagheder kan isoleres til et eller flere it)baserede brugersystemer.

14 Sammenhæng mellem generelle it-kontroller og itbaserede brugersystemer 14 Alle systemer er tilknyttet en driftsmodel:

15 Sammenhæng mellem generelle it-kontroller og itbaserede brugersystemer 15 Sammenhæng mellem driftsmodel og underliggende infrastruktur

16 Aftalegrundlaget mellem BEC og kunderne (Kundekrav) 3 typer af aftaler: BEC s medlemsaftale BEC Standard IT aftale Kunder med særlige krav (tilvalg/fravalg) i forhold til Sikkerhedspolitik Danmarks Nationalbank M.fl. Vi gennemgår nye og ændrede aftaler, for at sikre om evt. specielle krav er indarbejdet i BEC s sikkerhedsgrundlag. Gennemføres ultimo året. Input både til revisionsplanen det kommende år og input til erklæringen for indeværende år. 16

17 Godkendelse af revisionsplanen 17 Revisionsplanen udarbejdes i tæt samarbejde med ekstern revision. Planen indeholder revisionsområder samt oversigt over hvilke kontroller, der skal testes:

18 Afdækning af revision af outsourcede ydelser 18 Afdækning af revisionen hos JN Data og andre driftsleverandører planlægges og afrapporteres efter ISRS 4400 aftalte arbejdshandlinger.

19 Rapportering 19 Opsamling af rapportering: Rapportering af opgaver vi selv har udført Rapportering fra JN Data Rapportering fra øvrige underleverandører Step 1: Er de planlagte kontroller revideret:

20 Rapportering 20 Vurdering af svagheder: Vurdering i intern revision dialog med sikkerhedsfunktionen, driften og serviceleverandørs revisor. Oplæg drøftes med ekstern revision Konklusionen forelægges for ledelsen

21 Rapportering 21 Sammenhæng mellem udført arbejde og erklæringen: Anvender metodeapparat fra ekstern revision sikrer god struktur og sammenhæng mellem udført revision og erklæringens afsnit 4 omkring kontroller, test og svagheder.

22 Og hvad har vi så lært? 22 Det er svært at bibeholde en detaljeret indsigt i den outsourcede ydelse. Dette giver på sigt udfordringer med instruktion på teknik niveau. Tæt og løbende dialog mellem intern og ekstern revision. Anvendelse af aftalte metodeapparat. Præsentation af evt. svagheder i erklæringen. Involver ledelsen tidligt og brug den fornødne tid til at drøfte eventuelle svagheder. Helhedsmetoden giver udfordringer.

23 Spørgsmål og mere information 23 Spørgsmål? Tlf