Оприлюднено інформаційне повідомлення щодо використання суб’єктами аудиторської діяльності (САД) програмного забезпечення, розробленого на платформах 1С та BAS, під час надання аудиторських послуг.
Документ підготовлено у зв’язку з рішеннями уповноважених органів державної влади щодо обмеження використання окремих програмних продуктів через потенційні безпекові ризики.
Чому питання використання 1С та BAS є актуальним для аудиторів
У зв’язку з оприлюдненням Державною службою спеціального зв’язку та захисту інформації України переліку програмного забезпечення, забороненого до використання в органах державної влади, органах місцевого самоврядування, на державних підприємствах та у операторів критичної інфраструктури, особливу увагу приділено продуктам, розробленим на платформах 1С та BAS.
Деякі суб’єкти аудиторської діяльності (САД) використовують відповідне програмне забезпечення для:
- планування та виконання аудиторських процедур;
- формування і зберігання аудиторської документації;
- обробки обліково-аналітичної інформації клієнтів;
- збереження копій первинних документів, договорів, регістрів бухгалтерського обліку.
Така інформація може містити конфіденційні дані або інформацію з обмеженим доступом, що підвищує вимоги до безпеки технологічних ресурсів аудиторської фірми.
Вимоги МСУЯ 1 до технологічних ресурсів аудиторської фірми
Технологічні ресурси як елемент системи управління якістю
Відповідно до МСУЯ 1, програмне забезпечення, яке використовується аудиторською фірмою, є частиною її технологічних ресурсів та має відповідати встановленим цілям якості.
Зокрема:
- параграф 32(f) МСУЯ 1 – технологічні ресурси повинні отримуватися, впроваджуватися, підтримуватися та використовуватися таким чином, щоб забезпечити функціонування системи управління якістю та належне виконання завдань;
- параграф 32(h) МСУЯ 1 – ресурси постачальників мають бути придатними для використання в системі управління якістю з урахуванням встановлених цілей якості;
- параграф 25 МСУЯ 1 – САД зобов’язаний ідентифікувати та оцінювати ризики якості та формувати відповідні дії у відповідь.
Основні ризики при використанні 1С та BAS в аудиторській діяльності
Серед ключових викликів, які мають бути враховані в системі управління якістю:
- можливий несанкціонований доступ до даних;
- контроль оновлень програмного забезпечення;
- залежність від постачальників;
- загрози конфіденційності та цілісності інформації;
- потенційні репутаційні небезпеки аудиторської фірми.
З урахуванням рішень уповноважених органів щодо обмеження використання 1С та BAS через безпекові ризики, такі обставини мають бути належним чином оцінені САД.
Рекомендовані дії для суб’єктів аудиторської діяльності
У контексті вимог МСУЯ 1 доцільно:
1) Провести повторну оцінку ризиків якості
- переглянути ризики, пов’язані із забезпеченням конфіденційності та безпеки інформації;
- за потреби посилити заходи реагування;
- актуалізувати політики інформаційної безпеки.
2) Обмежити використання 1С та BAS у чутливих сегментах
Доцільно утриматися від використання програмного забезпечення, створеного на базі 1С або BAS, для обробки та зберігання інформації клієнтів, які належать до органів державної влади, органів місцевого самоврядування, державних підприємств, операторів критичної інфраструктури, суб’єктів оборонно-промислового комплексу.
Вплив на систему управління якістю та професійну етику
Дотримання вимог МСУЯ 1, законодавства у сфері захисту інформації та принципів професійної етики є ключовим фактором забезпечення якості аудиторських послуг.
Використання технологічних ресурсів із підвищеними безпековими ризиками без належної оцінки може:
- створювати критичні фактори невідповідності системи управління якістю;
- підвищувати регуляторні загрози;
- негативно впливати на репутацію аудиторської фірми.
Поширені запитання
Чи заборонено аудиторам використовувати 1С або BAS?
Інформаційне повідомлення не встановлює прямої загальної заборони для всіх САД, але наголошує на необхідності належної оцінки ризиків якості та безпеки.
Чи потрібно переглядати систему управління якістю?
Так. Якщо програмне забезпечення на базі 1С або BAS використовується у процесі аудиту, доцільно провести повторну оцінку ризиків відповідно до МСУЯ 1.
Які клієнти є найбільш ризиковими у цьому контексті?
Органи державної влади, державні підприємства, оператори критичної інфраструктури та суб’єкти оборонно-промислового комплексу.
