Revisione contabile e Sistemi Informatici

1. Revisione contabile e Sistemi Informatici UniversitàRomaTre. FacoltàdiEconomia Federico Caffè Prof. Massimo delli Paoli Anno Accademico 11-12

2. Integrazione Sistemi Informatici e Revisione contabile • L’uso dei sistemi di elaborazione elettronica dei dati (EDP – Electroning Data Processing) da parte delle imprese ha un impatto importante sulla Revisione Contabile se la società impiega Sistemi Informatici complessi e significativi per elaborare le transazioni, in particolare per: • Mantenere archivi • Preparare Bilanci di Verifica • Preparare altri rapporti contabili o operativi che influenzano un conto o una serie di conti ritenuti significativi per la revisione • I sistemi informatici sono complessi quando: • La natura delle elaborazioni o il volume dei dati è tale che una verifica indipendente dell’accuratezzae completezza delle informazioni non è facilmente praticabile.

3. Impatti sulla revisione contabile Se i sistemi informatici complessi sono ben progettati e controllati (Efficacia del sistema di Controllo) questo consente al revisore contabile di avere una maggiore assicurazione sull’affidabilità e accuratezza dei dati contabili e operativi. Rely on IT General Controls Nel caso in cui L’ambiente dei sistemi informatici sia adeguatamente progettato e controllato: Perform Alternative Procedures • Si ha maggiore efficacia nello svolgimento della revisione contabile. Riduzione di: • sondaggi di conformità; • procedure di validità • Tempi, attraverso l’utilizzo di supporti informatici per la verifica dei dati • Nel caso in cui L’ambiente dei sistemi informatici non sia adeguatamente progettato e controllato: • Si ha una limitata assicurazione che i dati contabili ed operativi siano privi di errori • non è possibile fare affidamento sui controlli svolti dall’applicativo: è necessario valutare manualmente il processo (esecuzione di test di sostanza - estensione del campione di analisi). • Impossibilità di utilizzare le applicazioni informatiche a causa dei dubbi sull’affidabilità dei sistemi. Don’t Rely on Controls

4. Impatto sui Rischi (1/2) • I Sistemi Informatici complessi e significativi presentano alcune caratteristiche che possono influenzare la determinazione dei rischi: • Scarsitàditracce relative allatransazione. Controllimanuali non sufficienti per scoprireerroriinsitinellalogicadi un programma • Uniformitàdielaborazionedelleoperazioni. Riduzionedell’erroreumano ma possibilierroridiprogrammazione con rischiodielaborazioni non corrette • Scarsaseparazionedifunzioni. Possibiliampidirittidiaccesso a sistema • Errori e irregolaritàpotenziali.Erroreumanomaggiorenellosviluppo, manutenzioneedesecuzione. Rischiodiaccessi non autorizzati a datiriservati • Avvio o esecuzionedelletransazioni. L’autorizzazione a compierequesteoperazioni o procedure può non esseredocumentata come lo sonoquelle in un sistemamanuale • La dipendenzadialtricontrollisull’elaborazioneinformatica. Controlli con unacomponenteautomaticainsiemeallacomponentemanuale (ControlliSemiautomatici) • Potenzialeincrementodellasupervisione per effettodell’aumentodistrumentidicontrolli • Potenzialeutilizzoditecnichedirevisioneassistitedall’elaboratore per analisisugrandiquantitàdidati

5. Rischio Rischio Impatto sui Rischi (2/2) • In una realtà aziendale con Sistemi Informatici complessi la modifica dei processi e le caratteristiche degli stessi sistemi determinano un cambiamento dei rischi associati alla revisione contabile (Rischio Intrinseco, Rischio di Controllo e Rischio di Individuazione) • Alcunecaratteristichetendono a far diminuireirischidirevisione • Uniformitàdielaborazionedelleoperazioni • Potenzialeincrementodellasupervisione • Potenzialeutilizzoditecnichedirevisioneassistitedall’elaboratore (CAAT) • Alcunecaratteristichepossono far aumentareirischidirevisione • Scarsaseparazionedellefunzioni • La dipendenzadialtricontrollisull’elaborazioneinformatica • Glierrori e le irregolaritàpotenziali • L’avvio o l’esecuzionedelletransazioni

6. Procedure di revisione (1/2) • L’impiego dei sistemi informatici non modifica l’impostazione di fondo della revisione che deve essere pianificata in funzione della natura dei rischi e dei controlli.I Sistemi Informatici richiedono tuttavia l’impiego di competenze tecniche specialistiche e la conseguente necessità di ricorrere ad esperti. • Gli esperti sono chiamati a svolgere un ruolo significativo nell’esecuzione dei sondaggi di conformità e delle procedure di validità, questo anche in considerazione dell’impatto significativo sui processi e sui flussi di dati. • Integrazionedellesoluzioni e delle base datidiinformazioni (attraverso un unicopuntodiaccessodeidati – Sistemi ERP o attraversointerfacce – SistemiInformaticitradizionali) • Anagrafichecentralizzate o poste in relazionetramiteinterfaccedisistema. • Transazioni Real Time e/o governatedaprocessi batch. • Maggiorpresenzadicontrolliautomatici • Minor coinvolgimentodellepersone • Riduzionedelleevidenzecartacee

7. Procedure di revisione (2/2) • Gli esperti sono chiamati a svolgere un ruolo importante sia nella comprensione delle caratteristiche dei sistemi informatici sia nella comprensione degli effetti che gli stessi possono produrre sulla valutazione del rischio generale e del rischio a livello di saldi di conti e di classi di operazioni. I rischi tipici associati con i sistemi informatici attengono a: • Rischio di Accesso – L’accesso alle informazioni (dati e programmi) può essere assegnato in modo non appropriato rispetto ai ruoli organizzativi. • Rischio di Integrità – rischio legato sia allo sviluppo e la manutenzione delle applicazioni e delle infrastrutture (gestione della sicurezza, della rete, integrità dei processi relativi alle singole applicazioni informatiche) • Rischio di rilevanza – relativo alla pertinenza delle informazioni • Rischio di disponibilità –non disponibilità dei dati e delle informazioni quando necessarie (interruzione di comunicazioni, perdita di elaborazione, fermo del business)

8. Impatto sui Controlli • Il cambiamento sulla natura dei processi e dei rischi aziendali, determina un framework di controllo integrato • La responsabilitàsulcontrollopuòcambiare • Maggiore attenzioneallaSegregazionedeiruoli. • Valutazione del sistemadicontrollogenerale IT (ITGCs) per dare maggioreassicurazione sull’affidabilità e accuratezza dei dati contabili e operativi. • Maggioricontrolliautomatici e IT Dependent Manual rispettoaitipicicontrollimanuali IT Organization User Organization

9. Impatto sui Controlli - la metodologia Cobit • L’impatto sui rischiaziendalidi un SistemaInformaticobenprogettatodetermina la necessitàdiavere un sistemadiGovernodell’ITben disegnato e monitorato. • La metodologiaCobitconsentedidefinireun modello per la governance dell’IT e per la costruzione di un sistema di controllo interno. • Stabilisce dei collegamenti tra gli obiettivi aziendali e quelli dell’IT • È principalmente focalizzata sugli aspetti di controllo dei processi piuttosto che sugli aspetti operativi. • Fornisce metriche e modelli di maturità per misurarne il raggiungimento. • Identifica le responsabilità associate ai responsabili aziendali e dei processi IT. CobiT 2 CobiT 3 CobiT 4 CobiT 1 2005-2007 1998 2000 1996