VŠE o... auditu informačního systému

V posledních měsících se zdá, že výraz audit nabývá na významu. Z médií se dozvídáme, jak ministerstva prochází auditem, a dokonce samotní ministři provádí audity svých příjmů. Výsledky jsou pak různě komentovány i napadány. Jak to tedy s audity a zvlášť s auditem informačních systémů (IS) skutečně je?

V Česku sahá historie auditu do počátku 90. let, kdy se v době transformace ekonomiky a vzniku soukromého vlastnictví objevily potřeby nezávislých ověření. Primární pozornost se věnovala a věnuje auditům finančním. Současně si ale uvědomujeme, že IT a s nimi spojená rizika pronikají do všech sfér nejen činností organizací, ale i soukromého života. Pokud budeme charakterizovat vývoj společnosti podle aktiv, která mají pro ni největší význam, potom po agrární a industriální společnosti hovoříme o společnosti informační. Navzdory tomu je auditu IS věnována jen malá pozornost.

Pro to, aby audit IS splňoval čtyři základní vlastnosti na něj kladené − komplexnost, objektivitu, nezávislost a formalizovanost−, existuje řada metodik, standardů, návodů i softwarových nástrojů. Zpracovávají je mezinárodně uznávané organizace jako ISACA či IIA, mající své pobočky i v Česku. Přes snahu těchto profesních organizací se audity v praxi potýkají s řadou problémů, jež nelze vyřešit žádnou metodikou.

Jedním z nich je skutečnost, že audity IS se mají chápat jako preventivní nástroj. Z ekonomického hlediska to znamená, že audity představují pro organizace výdaje, jež ale nejsou vyváženy bezprostředními přínosy. Proto se řada manažerů mylně domnívá, že hlavním přínosem auditu je to, že z nich snímá odpovědnost za správné nastavení kontrolního prostředí v organizacích.

Dalším problémem je, že audit je často vnímán jako nástroj manažerů pro kontrolu podřízených. Sami auditoři svým málo otevřeným přístupem tuto mylnou představu podporují. Hlavním cílem auditu by nemělo být nalezení chyb a nedostatků, ale obecně řečeno nalézání komplexních řešení v rámci dialogu mezi auditorem a auditovanou organizací, která přispějí k tomu, že strategické cíle organizace nebudou ohroženy významnými riziky ze strany informačních technologií.

Navzdory problémům lze očekávat, že důležitost auditu IS poroste. Přispívají k tomu nové technologie a s nimi související regulace, jež se zaměřují na lepší ochranu osobních údajů či zvyšování kybernetické bezpečnosti. Tím roste poptávka po profesionálech v oboru. Jako reakci na tuto skutečnost Vysoká škola ekonomická zařadila do učebních programů kurz Audit IS. Při výuce spolupracuje s odborníky jak z oblasti finančního dohledu ČNB, tak s auditory IS z velké čtyřky auditorských firem. Doufá, že se tak vyvaruje platnosti výroku "Kdo to umí, ten to dělá, a kdo to neumí, ten to učí".