Аудит информационных систем и бизнес процессов

Компания «TMU Consulting»

Для чего необходим аудит ИС

На сегодняшний день одним из наиболее важных показателей успешного ведения бизнеса является использование современных информационных технологий (ИТ). Их применение дает новые возможности для развития и оптимизации бизнес-процессов, способствует расширению рынков сбыта, сокращению затрат, повышению производительности труда, эффективному использованию ресурсов, повышению качества управления бизнесом и предоставления услуг. Таким образом, ИТ следует рассматривать, как вариант решения бизнес-задач и средство достижения бизнес-целей.

К сожалению, часто возникает ситуация, когда, внедряя на предприятии информационную систему, руководители не задумываются о том, что очень важную роль при построении ИС играет оптимальное построение и грамотная поддержка ее функционирования. А неправильная организация ИС приводит к очень серьезным отрицательным воздействиям на бизнес-процессы всего предприятия. Примерами могут служить такие моменты, как увеличение расхода денежных средств на поддержание ИС, снижение производительности труда и эффективности ведения бизнеса, ухудшение общей работы предприятия и т.п. Поэтому всегда важно иметь четкую картину состояния ИС, что также может быть полезным для принятия решений о ее переустройстве.

Всестороннюю объективную оценку инфраструктуры предприятия позволяет получить аудит информационных систем.

Аудит — это процесс проверки информационной системы на соответствие определенным критериям по разработанным методикам. В результате аудит позволяет оценить реальное состояние информационной системы предприятия. Следует отметить, что аудит не направлен на предложение конкретного решения, он дает возможность взглянуть на ИС комплексно, выявить проблемные места, сформировать обоснованные рекомендации для принятия решения по устранению недостатков. Проведение аудита следует доверять независимым высококвалифицированным экспертам, что позволит получить объективную оценку.

Аудит ИС с точки зрения компании «TMU Consulting»

Аудит ИС является одним из основных направлений деятельности компании «TMU Consulting». Компания предоставляет широкий спектр услуг в данном направлении, ориентированный на обеспечение надежного, безопасного и эффективного функционирования ИС, учитывая при этом специфику ведения бизнеса предприятия.

Компания «TMU Consulting» проводит аудит по нескольким направлениям, представленным на рис. 1.

Аудит технического состояния ИС

Данный вид аудита направлен на снижение потерь компаний, вызванных системными сбоями. Сбои ИС могут стать причиной ощутимых потерь компаний. Учитывая, что в информационных системах, в которых не налажены надлежащие процессы контроля и предупреждения возможных причин сбоев — а таково положение у большинства современных компаний — сбои возникают в наиболее ответственные, а значит и наиболее напряженные моменты. Потери могут выливаться в огромные суммы. Сокращения таких потерь можно достичь путем комплексного исследования технического состояния всех компонентов ИС.

Аудит технического состояния ИС прежде всего предназначен для компаний, которым требуется оценить текущее состояние ИС с целью реконструкции и модернизации или подготовиться к расширению ИС и внедрению новых технологий.

Проведение аудита технического состояния позволяет:

• устранить системные сбои в ИС;
• повысить эффективности работы предприятия;
• получить перечень «узких мест» в работе ИС;
• произвести модернизацию и реконструкцию ИС на основании полученных рекомендаций;
• организовать и наладить поддержку ИС;
• разработать корпоративные стандарты поддержки ИС.

Аудит технического состояния затрагивает проведение таких мероприятий, как учет существующих на предприятии аппаратных средств, программного обеспечения, периферийных устройств и анализ построения структурированной кабельной системы (СКС), сетей передачи данных, функционирования ИТ-службы предприятия, технических параметров эффективности работы ИС, надежности ИС, безопасности ИС.

По результатам аудита клиенту предоставляется отчетность по следующим направлениям:

• состояние кабельной системы;
• реализация резервного копирования;
• наличие избыточного трафика в сети, наличие ошибок в трафике,
• список пользователей, с целью предоставления рекомендаций по внедрению политики безопасности;
• наличие незащищенных дисковых ресурсов;
• безопасность информационной системы для выявления существования потенциальных угроз несанкционированного доступа к ИС;
• инвентаризация программных и аппаратных средств;
• загруженность каналов связи для определения и локализации критических участков инфраструктуры сети;
• перечень запущенных служб.

Аудит эффективности ИС

Руководство часто сталкивается с задачей определения стоимости информационной системы компании. Происходит это при расчете эффективности капиталовложений, оценке затрат на переоборудование ИС или стоимости компании при подготовке ее для продажи. Аудит эффективности дает возможность предприятию оценить совокупную стоимость владения ИС и сравнить показатели исследуемой системы с лидером в данной области. А также оценить сроки возврата инвестиций при вложении средств в ИС, разработать оптимальную схему вложений в ИС, осуществить эффективное расходование средств на обслуживание и поддержку ИС, снизить производственные затраты на ИС.

Рис. 1. Направления аудита ИС

Область действия данного вида аудита включает в себя такие части ИС предприятия как аппаратные средства, программное обеспечение, периферийные устройства, ИТ-персонал компании, а также документы, бизнес-процессы, информационные потоки, пользователи ИС. А к методам проведения аудита можно отнести такие этапы, как:

• комплексное исследование бизнес-процессов;
• оценка стоимости оборудования;
• оценка качества существующей кабельной системы;
• оценка стоимости внедренных технологий;
• оценка затрат на содержание ИС;
• оценка качества технической поддержки пользователей;
• оценка стоимости налаженных процессов управления;
• оценка совокупной стоимости владения ИС.

В результате проведения аудита компании предоставляется перечень отчетности, включающий в себя суммирующий отчет с рекомендациями по оптимизации ИС и отчет по результатам расчета совокупной стоимости владения ИС.

Аудит информационной безопасности

Обеспечение информационной безопасности является ключевым моментом деятельности любой компании. Результаты аудита информационной безопасности позволяют построить оптимальную по эффективности и затратам корпоративную систему защиты информации, адекватную задачам и целям бизнеса компании. Аудит информационной безопасности не ограничивается проверкой только физической безопасности ИС, существующие методики позволяют проанализировать бизнес-процессы компании и определить основные информационные потоки компании, которые должны быть защищены.

Таким образом, данный вид аудита предназначен, прежде всего, для компаний, желающих оценить соответствие существующих требований к системе информационной безопасности, сформированных на этапе проектирования ИС, а также для тех, кто стремится периодически проверять текущее состояние информационной безопасности ИС.

При проведении аудита информационной безопасности выявляется текущее состояние системы безопасности и определяются наиболее критичные участки системы, проверяется соответствие существующей в компании системы защиты информации предъявляемым к ней требованиям информационной безопасности, оценивается эффективность вложений в корпоративную систему защиты информации. Аудит осуществляется на нормативно-методологическом, организационном, технологическом, техническом уровнях и включает в себя такие этапы, как:

• комплексная проверка уровней обеспечения информационной безопасности компании;
• анализ информационных рисков;
• анализ системы защиты по внешним сетям;
• анализ системы контроля информации, передаваемой по телефонным соединениям и электронной почте;
• определение возможных каналов утечки конфиденциальной информации.

В перечень предоставляемых по результатам аудита материалов входят отчет о текущем состоянии системы информационной безопасности и эффективности вложений в систему информационной безопасности, а также рекомендации по политике безопасности и плану информационной защиты.

Аудит проектов внедрения и реинжиниринга

В настоящее время применение информационных технологий в сфере управления бизнесом имеет огромное значение. Многие компании предлагают услуги по созданию и внедрению решений, направленных на автоматизацию бизнес-задач. Подобными решениями могут быть и индивидуальные разработки, и готовые решения, предлагаемые системными интеграторами. Аудит проектов внедрения и реинжиниринга позволит Вам эффективно инвестировать средства в информационную инфраструктуру предприятия за счет лучшего понимания Ваших потребностей и контроля решений и работ, предлагаемых исполнителями.

Таким образом, если компания собирается начинать крупные проекты модернизации ИС предприятия, использует услуги системных интеграторов с целью определения реальных сроков и стоимости проектов перед началом работ или ставит перед собой цели контроля проектов внедрения в своих филиалах и дочерних компаниях, то данный вид аудита для нее просто незаменим. Он позволяет четко оценить риски внедрения и реинжиниринга ИС, сроки и планируемые ресурсы на разработку и внедрение решений, правильность выбора методов и технологий, а также заблаговременно выявить возможные ошибки и получить рекомендации, направленные на повышение эффективности проекта.

В проведение аудита проектов внедрения и реинжиниринга входит проверка проекта и составленного технического задания (ТЗ) на соответствие реальным требованиям предприятия и стандартам, проверка выполненных работ на соответствие техническому заданию, а также осуществляется оценка эффективности выполненных работ.

После окончания проведения аудита клиенту предоставляется полный отчет о соответствии ТЗ требованиям бизнеса и предлагаемого решения ТЗ, о выполнении этапов работ, результаты сертификационных изменений, сводный отчет о проекте.

Оценочный аудит ИС

Государственные органы, а также зарубежные партнеры компании могут потребовать наличие сертификата ИС предприятия с целью соответствия услуг необходимому уровню качества. В рамках оценочного аудита ИС, как правило, выявляются отклонения от существующих стандартов и формируются рекомендации, позволяющие устранить обнаруженные несоответствия.

Оценочный аудит ИС предназначен для тех компаний, которые:

• планируют создание ИС на основе существующих стандартов;
• планируют проведение сертификации предприятия;
• хотят удостовериться в том, что процесс создания ИС соответствует существующим стандартам (ГОСТы, ISO, IEEE, ANSI и пр.);
• желают проверить ИС дочерних компаний или филиалов на соответствие существующим корпоративным стандартам холдинговых компаний.

Для получения готового решения при проведении оценочного аудита ИС необходимо определить существующие стандарты в данной предметной области, выявить основные отклонения от стандартов, зафиксировать результаты и выдать рекомендации по устранению несоответствий.

Оценочный аудит программного обеспечения

Программное обеспечение (ПО) занимает важное место в информационной системе любого предприятия. Оценочный аудит ПО позволяет определить экономическую эффективность от внедрения и эксплуатации как определенного вида ПО, так и комплекса программных продуктов.

Главным образом, оценочный аудит предназначен для компаний, планирующих провести легализацию ПО, осуществить переход к новым версиям программных продуктов, провести модернизацию бизнес-процессов путем внедрения новых программных средств, а также оценить текущее состояние программного комплекса.

Результаты, полученные после его проведения, помогут повысить экономическую эффективность использования ПО, определить функциональность использования ПО и оптимальную схему внедрения ПО, осуществить выбор наиболее дешевого варианта перехода к лицензионному ПО, получить рекомендации по оптимизации программной инфраструктуры.

При проведении оценочного аудита рассматривается программная инфраструктура предприятия:

• анализ соответствия ПО решаемым задачам;
• инвентаризация установленных программных средств, анализ программной инфраструктуры;
• определение функциональности ПО;
• определение целей и рациональности использования установленного ПО;
• проверка актуальности установленных версий ПО;
• проверка корректности настроек ПО;
• анализ совместимости ПО с платформами;
• анализ сетевой совместимости ПО;
• определение требуемых программными продуктами системных ресурсов.

В перечень предоставляемой отчетности входит описание результатов анализа программной инфраструктуры, рекомендации по совместимости и корректности настроек ПО и по повышению эффективности и функциональности использования ПО.

Веб-аудит

Веб-аудит занимает особое место среди услуг по внутреннему аудиту ИС. В рамках веб-аудита производится комплексная оценка веб-представительства предприятия по таким основным критериям, как: структура, удобство использования, дизайн, маркетинг, электронная коммерция, безопасность и т.д. Следует отметить, что оцениваться могут не только уже функционирующие веб-представительства, но и находящиеся в процессе разработки, что позволяет уменьшить риск совершения ошибок, а также внести необходимые исправления перед публикацией веб-представительства в сети.

Данный вид аудита предназначен для компаний, которые планируют более активно использовать возможности Интернета в бизнесе, проводить маркетинговые интернет-кампании, создавать или реконструировать свой веб-ресурс.

Таким образом, проведение веб-аудита позволяет достичь следующих целей:

• оценить инвестиционную привлекательность веб-ресурса;
• повысить эффективность использования веб-ресурса для продвижения товаров и услуг;
• оценить эффективность проводимых рекламных и маркетинговых кампаний;
• определить необходимые условия и направления развития веб-ресурса;
• улучшить качественные показатели веб-ресурса;
• повысить эффективность представления информации на веб-ресурсе.

Для достижения результатов при проведении веб-аудита необходимо провести анализ статистики посещаемости веб-ресурса (анализ трафика), проставление балловых оценок веб-ресурса по основным оценочным критериям, сравнительный анализ исследуемого веб-ресурса с лидером в исследуемом сегменте рынка, анализ «узких мест» в организации и работе веб-ресурса. Как правило, после проведения веб-аудита, предоставляется материал в виде отчетов по анализу трафика, по сравнительному анализу, и выдаются рекомендации направленные на модернизацию веб-ресурса.

Предоставляя услуги по проведению всех выше перечисленных видов аудита, компания «TMU Consulting» учитывает специфику деятельности и организации ИС клиентов, предоставляя комплексные решения, помогающие выявить проблемы ИС клиента. Такой подход позволяет выдать рекомендации, которые помогают клиенту оптимальным образом сконфигурировать ИС своей компании, увеличить тем самым прибыль от ее использования и наладить эффективный бизнес-процесс.