INTERNATIONAL CONTROLS SPECIFIC TO CÁC KIỂM SOÁT QUỐC TẾ CỤ THỂ ĐỐI VỚI CÔNG
INFORMATION TECHNOLOGY
Technology can strengthen a company’s system
of internal control but can also provide
challenges. To address risks associated with
reliance on technology, organizations often
implement specific IT controls. Auditing
standards describe two categories of controls for
IT systems: General controls and application
controls.
General controls apply to all aspects of the IT
function, including IT administration; separation
of IT duties; systems development; physical and
online security over access to hardware,
software, and related data; backup and
contingency planning in the event of unexpected
emergencies; and hardware controls. Because
general controls often apply on an entity-wide
basis and affect many different software
applications, auditors evaluate general controls
for the company as a whole.
Application controls typically operate at the
business process level and apply to processing
transactions, such as controls over the processing
of sales or cash receipts.
Auditors must evaluate application controls for
every class of transactions or account in which
the auditor plans to reduce assessed control risk,
because IT controls will be different across
classes of transactions and accounts. Application
controls are likely to be effective only when
general controls are effective.
-- Similar to the effect that the control
environment has on other components of
internal control, the six categories of general
controls have an entity-wide effect on all IT
functions. Auditors typically evaluate general
controls early in the audit because of their impact
on application controls.
+ Administration of the IT Function The board of
directors’ and senior management’s attitude
about IT affect the perceived importance of IT
within an organization. Their oversight, resource
allocation, and involvement in key IT decisions
NGHỆ THÔNG TIN
Công nghệ có thể củng cố hệ thống kiểm soát nội
bộ của công ty nhưng cũng có thể
cung cấp những thách thức. Để giải quyết những
rủi ro liên quan đến việc phụ thuộc vào công
nghệ,các tổ chức thường triển khai các biện pháp
kiểm soát CNTT cụ thể. Chuẩn mực kiểm toán mô
tả hai các hạng mục kiểm soát cho hệ thống
CNTT: kiểm soát chung và kiểm soát ứng dụng.
Các biện pháp kiểm soát chung áp dụng cho tất
cả các khía cạnh của chức năng CNTT, bao gồm cả
quản trị CNTT; tách biệt các nhiệm vụ CNTT; phát
triển hệ thống; bảo mật vật lý và trực tuyến qua
quyền truy cập vào phần cứng, phần mềm và dữ
liệu liên quan; dự phòng và lập kế hoạch dự
phòng trong tình huống khẩn cấp đột xuất; và
điều khiển phần cứng. Do các kiểm soát chung
thường áp dụng trên toàn đơn vị và ảnh hưởng
đến nhiều ứng dụng phần mềm khác nhau, nên
kiểm toán viên đánh giá các kiểm soát chung đối
với toàn công ty.
Kiểm soát ứng dụng thường hoạt động ở cấp quy
trình nghiệp vụ và áp dụng cho
xử lý các giao dịch, chẳng hạn như kiểm soát việc
xử lý doanh số bán hàng hoặc thu tiền mặt.
Kiểm toán viên phải đánh giá các biện pháp
kiểm soát ứng dụng cho mọi loại giao dịch hoặc
tài khoản trong đó kiểm toán viên có kế hoạch
giảm rủi ro kiểm soát đã đánh giá, vì các kiểm
soát CNTT sẽ khác nhau giữa các loại giao dịch và
tài khoản. Kiểm soát ứng dụng có khả năng
chỉ có hiệu quả khi các biện pháp kiểm soát chung
có hiệu quả.
-- Tương tự như ảnh hưởng của môi trường kiểm
soát đối với các thành phần khác của
kiểm soát nội bộ, sáu loại kiểm soát chung có
ảnh hưởng trên toàn đơn vị đối với tất cả
Nó có chức năng. Kiểm toán viên thường đánh
giá các kiểm soát chung sớm trong cuộc đánh giá
vì tác động của chúng đối với các điều khiển ứng
dụng.
+ Quản lý chức năng IT Thái độ của ban giám đốc
và quản lý cấp cao về CNTT ảnh hưởng đến tầm
quan trọng được nhận thức của CNTT trong một
tổ chức. Giám sát, phân bổ nguồn lực và sự tham
gia của họ vào các quyết định CNTT quan trọng
báo hiệu tầm quan trọng của CNTT đối với tổ
each signal the importance of IT to the
organization. In complex environments,
management may establish IT steering
committees to help monitor the organization’s
technology needs. In less complex organizations,
the board may rely on regular reporting by a chief
information officer (CIO) or other senior IT
manager to keep management informed. In
contrast, when management assigns technology
issues exclusively to lower-level employees or
outside consultants, an implied message is sent
that IT is not a high priority. The result is often an
understaffed, underfunded, and poorly
controlled IT function.
+ Separation of IT Duties To respond to the risk
of combining traditional custody, authorization,
and record-keeping responsibilities by having the
computer perform those tasks, well-controlled
organizations separate key duties within IT. For
example, there should be separation of IT duties
to prevent IT personnel from authorizing and
recording transactions to cover the theft of
assets.
+ Systems Development Systems development
includes: Purchasing software or developing in-
house software that meets the organization’s
needs. Testing all software to ensure that the
new software is compatible with existing
hardware and software and determining whether
the hardware and software can handle the
needed volume of transactions.
1.Pilot testing: A new system is implemented
in one part of the organization while other
locations continue to rely on the old system.
2.Parallel testing: The old and new systems
operate simultaneously in all locations.
+ Physical and Online Security Physical controls
over computers and restrictions to online
software and related data files decrease the risk
of unauthorized changes to programs and
improper use of programs and data files. The
information technology and internal control
processes an organization has in place to protect
computers, networks, programs, and data from
chức. Trong các môi trường phức tạp, ban lãnh
đạo có thể thành lập các ban chỉ đạo CNTT để
giúp giám sát nhu cầu công nghệ của tổ chức.
Trong các tổ chức ít phức tạp hơn, hội đồng quản
trị có thể dựa vào báo cáo thường xuyên
bởi một giám đốc thông tin (CIO) hoặc giám đốc
CNTT cấp cao khác để giữ quyền quản lý
nắm được tin tức. Ngược lại, khi ban quản lý chỉ
định các vấn đề công nghệ dành riêng cho
nhân viên cấp thấp hơn hoặc các nhà tư vấn bên
ngoài, một thông điệp ngụ ý được gửi rằng CNTT
là không phải là một ưu tiên cao. Kết quả thường
là một chức năng CNTT thiếu nhân lực, thiếu tài
chính và được kiểm soát kém.
+Tách biệt các nhiệm vụ IT Để đối phó với rủi ro
khi kết hợp quyền giám sát truyền thống,
ủy quyền và trách nhiệm lưu trữ hồ sơ bằng cách
để máy tính thực hiện
các nhiệm vụ đó, các tổ chức được kiểm soát tốt
tách biệt các nhiệm vụ chính trong CNTT. Ví dụ,
cần có sự tách biệt giữa các nhiệm vụ CNTT để
ngăn nhân viên CNTT ủy quyền và
ghi lại các giao dịch để che đậy việc trộm cắp tài
sản
+Phát triển hệ thống việc phát triển hệ thống
bao gồm: Mua phần mềm hoặc phát triển phần
mềm nội bộ đáp ứng nhu cầu của tổ chức. Kiểm
tra tất cả phần mềm để đảm bảo rằng phần mềm
mới tương thích với phần mềm hiện có phần
cứng và phần mềm và xác định xem phần cứng và
phần mềmcó thể xử lý khối lượng giao dịch cần
thiết.
1. Thử nghiệm thí điểm: Một hệ thống mới
được triển khai trong một bộ phận của tổ chức
trong khi các địa điểm khác tiếp tục dựa vào hệ
thống cũ.
2.Thử nghiệm song song: Hệ thống cũ và mới
hoạt động đồng thời ở tất cả các địa điểm.
+ Bảo mật vật lý và trực tuyến Kiểm soát vật lý
đối với máy tính và các hạn chế đối với
phần mềm trực tuyến và các tệp dữ liệu liên quan
làm giảm nguy cơ thay đổi trái phép đối với
chương trình và việc sử dụng chương trình và tệp
dữ liệu không đúng cách. Công nghệ thông tin
và các quy trình kiểm soát nội bộ mà một tổ chức
áp dụng để bảo vệ máy tính, mạng, chương trình
và dữ liệu khỏi bị truy cập trái phép thường được
gọi là an ninh mạng. Các kế hoạch an ninh phải
unauthorized access is often referred to as
cybersecurity. Security plans should be in writing
and monitored. Security controls include both
physical controls and online access controls.
+ Backup and Contingency planning Power
failures, fire, excessive heat or humidity, water
damage, or even sabotage can have serious
consequences to businesses using IT. To prevent
data loss during power outages, many companies
rely on battery backups or on-site generators. For
more serious disasters, organizations need
detailed backup and contingency plans such as
off-site storage of critical software and data files
or outsourcing to firms that specialize in secure
data storage.
+ Hardware Controls Hardware controls are built
into computer equipment by manufacturers to
detect and report equipment failures. Auditors
are more concerned with how the client handles
errors identified by the hardware controls than
with their adequacy. Regardless of the quality of
hardware controls, output will be corrected only
if the client has provided for handling machine
errors.
+ Input Controls Input controls are designed to
ensure that the information entered into the
computer is authorized, accurate, and complete.
They are critical because a large portion of errors
in IT systems result from data entry errors and, of
course, regardless of the quality of information
processing, input errors result in output errors.
Typical controls developed for manual systems
are still important in IT systems
+Processing Controls Processing controls prevent
and detect errors while transaction data are
processed. General controls, especially controls
related to systems development and security,
provide essential control for minimizing
processing errors. Specific application processing
controls are often programmed into software to
prevent, detect, and correct processing errors.
+Output Controls Output controls focus on
detecting errors after processing is completed,
rather than on preventing errors. The most
được lập thành văn bản và được giám sát. Kiểm
soát an ninh bao gồm
cả kiểm soát vật lý và kiểm soát truy cập trực
tuyến.
+ Lập kế hoạch dự phòng và dự phòng Sự cố mất
điện, hỏa hoạn, nhiệt độ quá cao hoặc độ ẩm, hư
hỏng do nước, hoặc thậm chí phá hoại có thể gây
ra những hậu quả nghiêm trọng cho các doanh
nghiệp sử dụng CNTT. Để tránh mất dữ liệu khi
cúp điện, nhiều công ty dựa vào dự phòng pin
hoặc máy phát điện tại chỗ. Đối với những thảm
họa nghiêm trọng hơn, các tổ chức cần có kế
hoạch sao lưu và dự phòng chi tiết như lưu trữ tại
chỗ các tệp dữ liệu và phần mềm quan trọng
hoặc thuê ngoài cho các công ty chuyên lưu trữ
dữ liệu an toàn.
+Điều khiển phần cứng Điều khiển phần cứng
được tích hợp vào thiết bị máy tính bằng cách
nhà sản xuất để phát hiện và báo cáo các hư hỏng
của thiết bị. Kiểm toán viên quan tâm hơn
với cách khách hàng xử lý các lỗi được xác định
bởi các điều khiển phần cứng hơn là với
sự đầy đủ. Bất kể chất lượng của các điều khiển
phần cứng, đầu ra sẽ được sửa chỉ khi khách
hàng đã cung cấp để xử lý lỗi máy.
+Kiểm soát đầu vào Điều khiển đầu vào được
thiết kế để đảm bảo rằng thông tin được nhập
vào máy tính được ủy quyền, chính xác và đầy
đủ. Họ rất quan trọng vì Phần lớn các lỗi trong hệ
thống CNTT là do lỗi nhập dữ liệu và tất nhiên,
bất kể chất lượng xử lý thông tin, lỗi đầu vào dẫn
đến lỗi đầu ra. Điển hình các điều khiển được
phát triển cho các hệ thống thủ công vẫn quan
trọng trong các hệ thống CNTT.
+Xử lý Kiểm soát xử lý kiểm soát ngăn ngừa và
phát hiện lỗi trong khi giao dịch dữ liệu được xử
lý. Kiểm soát chung, đặc biệt là kiểm soát liên
quan đến phát triển hệ thống và bảo mật, cung
cấp khả năng kiểm soát cần thiết để giảm thiểu
các lỗi xử lý. Các điều khiển xử lý ứng dụng cụ thể
thường được lập trình thành phần mềm để ngăn
chặn, phát hiện và sửa lỗi xử lý.
+Kiểm soát đầu ra Kiểm soát đầu ra tập trung vào
việc phát hiện lỗi sau khi xử lý làhoàn thành, thay
vì ngăn ngừa lỗi. Kiểm soát đầu ra quan trọng
nhất là xem xét dữ liệu về tính hợp lý bởi một
người hiểu biết về đầu ra.Người dùng thường có
important output control is review of the data for thể xác định lỗi vì họ biết số tiền chính xác gần
reasonableness by someone knowledgeable đúng.
about the output. Users can often identify errors
because they know the approximate correct
amounts.