Revizija informacionih sistema je u vrlo kratkom razdoblju prošla dinamičan razvojni put. Osim svoje izvorne uloge kao nezaobilazne podrške reviziji finansijskih izvještaja, revizija informacionih sistema danas sve češće predstavlja nezaobilaznu 'analitičku' kariku procesa korporativnog upravljanja informatikom i 'most' između menadžmenta I informatike.
Ona se, naime, odnosi na sistemski postupak kojim se ocjenjuje djeluje li informatika u skladu s poslovnim ciljevima, u kojoj mjeri djelotvorno i učinkovito podupire ciljeve poslovanja i kakva je praksa (zrelost) upravljanja i kontrole informacionih sistema na raznim hijerarhijskim razinama.
Konačan rezultat tih postupaka jest izvještaj revizora informacionog sistema koji se, prema područjima analize (temeljene na CobiT ili ITIL okviru ili ISO 27001 normi), sastoji od sljedećih koraka:
- analiza stanja (zrelosti) primjene informacionih sistema u poslovanju prema promatranim područjima
- procjena poslovnih rizika koji proizlaze iz zatečenog stanja i
- preporuke menadžmentu za poboljšanjem toga stanja.
U današnje vrijeme revizija informacionih sistema predstavlja važnu komponentu koncepta korporativnog upravljanja informatikom. Korporativno upravljanje informatikom (engl. IT Governance) se odnosi na okvir kojim korporativna razina upravljanja (uprava, nadzorni odbor) 'ovladava' primjenom informatike u poslovanju, odlukama o ulaganjima u informatiku, performansama i rizicima korištenja, ali i preuzima odgovornost za kontrolu provedbe informatičkih procesa i svih aktivnosti.
Time se sintagma informatike kao 'tehničke' struke nepovratno gubi, a moderne metode i okviri revizije informacionih sistema (CobiT, ITIL, ISO norme, i drugi) menadžerima pružaju nužan 'aparat' za upravljanje informatikom kao bilo kojom drugom poslovnom funkcijom. To se osobito odnosi na CobiT, krovni okvir provedbe revizije informacionih sistema, ali i korporativnog upravljanja informatikom koji svojim metrikama I upravljačkim alatima (procesni pristup, modeli zrelosti, ključni pokazatelji performansi, ključni pokazatelji ostvarenja ciljeva, RACI matrice obveza i odgovornosti, kontrolni ciljevi itd.) upućenim menadžerima nudi cjelovitu metodu korporativnog upravljanja informatikom.
U BH kompanijama revizija informacionih sistema je veoma slabo razvijena i mahom se koristi radi regulatornih obveza, a u rijetkim primjerima radi se o aktivnostima usmjerenima ostvarenju poslovnih ciljeva. Osim toga, iako pojedini ključni dokumenti nužni za učinkovito upravljanje informacionim rizicima postoje (pravilnik o sigurnosti informacionih sistema), njihova provedba ipak i dalje nije zadovoljavajuća. Međutim, ohrabrujuće je da kod menadžera sve više raste svijest o potrebi učinkovitog upravljanja informacionim rizicima, što reviziju informacionih sistema čini posebno zanimljivom i traženom samostalnom uslugom.
Belma Ohranović
IT auditor
