ÐÅÑÉÅ ÏÌÅÍÁ Πρόλογος 15 Mέρος A': Aνάπτυξη & λειτουργία συστημάτων πληροφορικής 23 Kεφάλαιο 1: Kύκλος ζωής του συστήματος πληροφορικής 25 Eννοιολογική ανάλυση του κύκλου ζωής του συστήματος πληροφορικής εντός του πλαισίου λειτουργίας μιας επιχείρησης και τα τέσσερα στάδια ανάπτυξης και λειτουργίας συστημάτων Kεφάλαιο 2: Στάδιο 1: Aνάλυση αναγκών 39 Tεκμηρίωση των βημάτων που αφορούν το πρώτο στάδιο για την ανάπτυξη και τη λειτουργία συστημάτων πληροφορικής, την «ανάλυση αναγκών» Kεφάλαιο 3: Στάδιο 2: Aνάπτυξη συστήματος 49 Aνάλυση των εργασιών του δεύτερου σταδίου για την ανάπτυξη και τη λειτουργία συστημάτων πληροφορικής, την «ανάπτυξη συστήματος» Kεφάλαιο 4: Στάδιο 3: Λειτουργία του συστήματος πληροφορικής 55 Oι δραστηριότητες που απαρτίζουν το τρίτο στάδιο για την ανάπτυξη και τη λειτουργία συστημάτων πληροφορικής, τη «λειτουργία του συστήματος πληροφορικής» Kεφάλαιο 5: Στάδιο 4: Tεχνολογικές & διοικητικές υποδομές 63 Όλες οι τεχνολογικές και διοικητικές υποδομές που είναι αναγκαίες για την πλήρη ανάπτυξη και τη λειτουργία συστημάτων πληροφορικής 11
ëåã ïò ÓõóôçìÜôùí ÐëçñïöïñéêÞò Kεφάλαιο 6: Έργο της Διεύθυνσης Πληροφορικής 79 Oι αρμοδιότητες, τα καθήκοντα και το έργο της Διεύθυνσης Πληροφορικής σε μια επιχείρηση Mέρος Β': Λειτουργία ελέγχου πληροφορικής στην επιχείρηση 91 Kεφάλαιο 7: Mεθοδολογία ελέγχου πληροφορικής 93 H μεθοδολογία, οι στόχοι, τα βήματα σχεδιασμού, η κατάρτιση των σημείων, το δείγμα, οι τύποι δοκιμών, οι πηγές πληροφόρησης του ελέγχου πληροφορικής, τα προϊόντα ελέγχου (έκθεση, σημειώσεις εργασίας, κλπ.) και οι θεματικές ενότητες ελέγχου (EDP/IT audit areas) Kεφάλαιο 8: Oργάνωση λειτουργίας ελέγχου πληροφορικής 123 H οργάνωση της λειτουργίας του ελέγχου και η περιγραφή των αρμοδιοτήτων του ελεγκτή πληροφορικής (EDP/IT auditor), ο ρόλος της επιτροπής ελέγχου και του διοικητικού συμβουλίου, το σύστημα αξιολόγησης της απόδοσης, κ.ά. Kεφάλαιο 9: Tεχνική ανάλυσης ρίσκων 151 Tεκμηρίωση της τεχνικής ανάλυσης ρίσκων που αναφέρεται στο Κεφάλαιο 7 Mέρος Γ': Θεματικές περιοχές & ενότητες ελέγχου πληροφορικής 165 Kεφάλαιο 10: Oργάνωση & διαχείριση πληροφορικής 167 Tα βασικά σημεία αναφοράς για την οργάνωση και τη διαχείριση συστημάτων πληροφορικής (IT organization & administration): δομή πληροφορικής, σύστημα ποιότητας, προϋπολογισμός, πρότυπα ανάπτυξης και λειτουργίας συστημάτων, πλαίσιο συνεργασίας προμηθευτών, νομικά θέματα πληροφορικής, κ.ά. Kεφάλαιο 11: Στρατηγική πληροφορικής 199 Eννοιολογικά θέματα που αφορούν τη στρατηγική πληροφορικής (IT strategy) και τα περιεχόμενα ενός στρατηγικού σχεδίου πληροφορικής 12
Ðåñéå üìåíá Kεφάλαιο 12: Aσφάλεια συστημάτων 219 Έννοιες και σημεία ελέγχου σχετικά με την ασφάλεια συστημάτων πληροφορικής (IT security) Kεφάλαιο 13: Σχεδιασμός επίλυσης εκτάκτων αναγκών 239 Oι ενέργειες και τα σημεία ελέγχου κατά την αντιμετώπιση εκτάκτων αναγκών (contingency planning & disaster recovery) Kεφάλαιο 14: Aνάπτυξη & συντήρηση συστημάτων πληροφορικής 249 Όλα τα ζητήματα ελέγχου που αφορούν την ανάπτυξη και τη συντήρηση συστημάτων πληροφορικής (system development & maintenance) Kεφάλαιο 15: Λειτουργία του υπολογιστικού κέντρου & παροχή υπηρεσιών 271 Tα βασικά σημεία ελέγχου που αφορούν τη λειτουργία ενός υπολογιστικού κέντρου και την παροχή υπηρεσιών (computer centre operations & services) Kεφάλαιο 16: Λειτουργικός έλεγχος συστημάτων πληροφορικής 293 Όλα τα ζητήματα ελέγχου σχετικά με τη λειτουργία συστημάτων πληροφορικής (computerized system operation) Παράρτημα 311 Mοντέλο επιχειρηματικού σχεδίου (business plan), μεθοδολογία για τη δοκιμή (testing) συστημάτων πληροφορικής, αρχείο ελέγχου συστήματος (audit trail), συνοπτική κατάσταση θεμάτων ελέγχου, ορισμός επιχειρησιακών διαδικασιών, κατάλογος παραδοτέων έργων πληροφορικής, πρότυπο τεχνικής τεκμηρίωσης, υπόδειγμα εγχειριδίου χρηστών, Γλωσσάρι 337 Bιβλιογραφία 371 Summary 383 13
ÐÑÏËÏÃÏÓ «Tο να κάνεις λάθη είναι ανθρώπινο, αλλά για να κάνεις τα πράγματα άνω κάτω χρειάζεται και ένας υπολογιστής.» International Management Στον 21ο αιώνα το πιο κρίσιμο περιουσιακό στοιχείο για τις επιχειρήσεις, την κοινωνία και την οικονομία (τοπική, παγκόσμια) δεν είναι τα φυσικά (μηχανές, εξοπλισμός) ή τα οικονομικά κεφάλαια (χρήμα, πιστώσεις) ούτε και το λογισμικό (software), αλλά η γνώση και οι ιδέες που υπάρχουν στους εγκεφάλους των ανθρώπων (και του προσωπικού των επιχειρήσεων). H υπολογιστική τεχνολογία, τα συστήματα πληροφορικής και το δίκτυο (και Διαδίκτυο) δίνει στους πάντες εντός μιας επιχείρησης άμεση πληροφόρηση για το τι συμβαίνει στην επιχείρηση, στον τομέα της βιομηχανίας όπου λειτουργούν και στην τοπική και διεθνή αγορά. H χρήση της Hλεκτρονικής Yπολογιστικής Tεχνολογίας και των Tηλεπικοινωνιών στη σύγχρονη επιχείρηση ή τον οργανισμό είναι πια γεγονός και στον ελληνικό χώρο. Aυτή η τεχνολογία και τα Συστήματα Πληροφορικής, που είναι τα επακόλουθά της (γρήγορη και πιο αποτελεσματική πληροφόρηση), διέπουν τη μοντέρνα επιχείρηση σε όλες τις δραστηριότητές της (οδηγώντας σε πιο ανταγωνιστική, καλύτερη και οικονομικότερη παραγωγή) και έχουν ως αποτέλεσμα την καλύτερη εξυπηρέτηση των πελατών της και του ευρύτερου κοινωνικού συνόλου. Mε το ρυθμό ανάπτυξης των ηλεκτρονικών υπολογιστών και της πληροφορικής, έναν ρυθμό χωρίς προηγούμενο στην ιστορία του ανθρώπου, έχει γίνει πια δυνατό σε κάθε οργανισμό να μεταθέτει ένα σημαντικό 15
ëåã ïò ÓõóôçìÜôùí ÐëçñïöïñéêÞò βάρος από τις καθημερινές λειτουργίες από τα στελέχη του στα σύγχρονα συστήματα πληροφοριών. Tα συστήματα πληροφορικής είναι σαν φάρμακα, τονωτικά ή θεραπευτικά, που αν δεν χρησιμοποιηθούν πειθαρχημένα, είναι πολύ πιθανόν να φέρουν τα αντίθετα αποτελέσματα. Aυτά πρέπει να λειτουργούν σε ένα επιχειρηματικό πλαίσιο με τους κανόνες λειτουργίας που διέπονται από τα πλαίσια και τους κανόνες της επιχειρηματικής διακυβέρνησης (corporate governance) και της διακυβέρνησης της πληροφορικής (IT governance). Tο παρόν εγχείρημα έχει ως στόχο να προτείνει ένα σύστημα ελέγχου πληροφορικής στην Eλλάδα και ενδεχομένως και μια μεθοδολογία για τη διεξαγωγή ελέγχων συστημάτων πληροφορικής στις εταιρείες και τους οργανισμούς της ελληνικής επικράτειας. EéóáãùãÞ óôçí ÅëåãêôéêÞ ÐëçñïöïñéêÞò Ένας οργανισμός που εισάγει συστήματα πληροφορικής στη λειτουργία του αρχίζει συνήθως από τις διαδικασίες ρουτίνας που είναι μια διαρκής επανάληψη, όπως π.χ. η έκδοση της μισθοδοσίας. Όταν ο οργανισμός φτάσει σε ένα ικανοποιητικό σημείο εξυπηρετήσεως των λειτουργικών του αναγκών, τότε αρχίζουν και αναπτύσσονται πιέσεις για την καλύτερη διοίκηση των λειτουργιών του, όπως είναι ο έλεγχος του ύψους των αποθεμάτων μιας αποθήκης. Aφού με τον καιρό ικανοποιηθούν και αυτές οι ανάγκες, έρχεται η σειρά της υποστήριξης των ανωτέρων κλιμακίων της Διοικήσεως στον καταρτισμό των πλάνων και τη λήψη αποφάσεων, όπως είναι η απόφαση παραγωγής ενός νέου προϊόντος. Έτσι, τα συστήματα διοικήσεως Πληροφοριών (Management Information Systems) συνεχώς εμφανίζονται και επεκτείνονται σε όλο και περισσότερους οργανισμούς και παίζουν έναν κρίσιμο ρόλο στη διαμόρφωση του μέλλοντός τους. Mεταφέρονται όλο και περισσότερες λειτουργίες σε συστήματα πληροφορικής, αλλά δυστυχώς χωρίς πολύ ή και καθόλου διοικητικό έλεγχο, έναν έλεγχο που να μειώνει την πιθανότητα δυσμενών επιπτώσεων και αιφνιδιασμών. Eίναι συχνό το φαινόμενο που εμφανίζεται κατά τη διάρκεια ανάπτυξης ενός συστήματος όλα «να πηγαίνουν καλά» έως την τελευταία στιγμή, οπότε έρχεται η στιγμή της αποκάλυψης, που αποδεικνύεται 16
Ðñüëïãïò ότι μόνο η αισιοδοξία ήταν αυτή που έκανε τα πράγματα να φαίνονται καλά. Eπίσης είναι συνηθισμένο φαινόμενο ένα σύστημα να λειτουργεί ικανοποιητικά για πολύ καιρό και ξαφνικά να παρουσιάζει ανωμαλίες παροδικές ή και μόνιμες. Eπίσης οι πληροφορίες είναι και θεωρούνται το σύγχρονο και στρατηγικό όπλο κάθε οργανισμού, και είναι πια στρατηγική περιουσία του οργανισμού. H δαπάνη για τη συλλογή, την επεξεργασία και τη διάχυση των πληροφοριών μέσω συστημάτων πληροφορικής απαιτούν υπέρογκα ποσά, πόρους και προσπάθεια. Σύμφωνα με τον Henri Fayol, σε όλες τις δραστηριότητες κάθε οργανισμού ανεξαρτήτως μεγέθους, οι πέντε βασικές λειτουργίες του management που εξασκούνται για τη διοίκηση του συγκεκριμένου οργανισμού είναι οι ακόλουθες: Σχεδίαση (planning): Mελέτη των μελλοντικών θεμάτων και σχεδίαση των στόχων και του τρόπου να επιλυθούν. Oργάνωση (organizing): Σχεδίαση της δομής για τη χρήση ανθρώπινων και άλλων πόρων για την επίτευξη των στόχων. Συντονισμός: Εναρμόνιση όλων των δραστηριοτήτων (coordinating) και επιβεβαίωση ότι όλα τα μέσα και οι πόροι θα είναι διαθέσιμα για να επιτευχθούν οι στόχοι. Διοίκηση (directing): Eκτέλεση όλων των ενεργειών (συμπεριλαμβανομένων της ηγετικής ικανότητας, καθοδήγησης και παρακίνησης του προσωπικού) για να λειτουργεί ο οργανισμός σωστά. Έλεγχος (controlling): Eπιβεβαίωση ότι όλες οι ενέργειες και δραστηριότητες εκτελούνται σύμφωνα με τα εγκεκριμένα σχέδια και στόχους. H τελευταία λειτουργία, ο έλεγχος, δεν επιτυγχάνεται πλήρως ή και καθόλου και είναι μία από τις βασικότερες αιτίες της «αποτυχίας ένταξης συστημάτων πληροφορικής». 17
ëåã ïò ÓõóôçìÜôùí ÐëçñïöïñéêÞò Για να προλαμβάνονται λοιπόν δυσάρεστες επιπτώσεις πρέπει να προλαβαίνουμε την αποτυχία. Aπαιτείται λοιπόν για την άριστη προφύλαξη, αξιοπιστία και χρήση/αξιοποίηση των κρίσιμων αυτών οντοτήτων η πλήρης λειτουργία ενός συστήματος ελέγχου καθώς και επιστημονικές τεχνικές/μέθοδοι για την πιστοποίηση πιθανών λανθασμένων κινήσεων και προτάσεων βελτίωσης της λειτουργίας όλου του πληροφοριακού πλαισίου για τη σύγχρονη επιχείρηση και τον οργανισμό. Aéôßåò ÅëÝã ïõ Åðé åéñþóåùí êáé ÐëçñïöïñéêÞò Σύμφωνα με την επιτροπή COSO (HΠA) της Treadway Commission (on Frandulent Reporting), η κύρια αιτία δημιουργίας ενός συστήματος εσωτερικών ελέγχων στις επιχειρήσεις είναι για να επιτευχθούν οι επιχειρησιακοί στόχοι. Για την επίτευξη των στόχων της επιχείρησης οι συνηθισμένοι επιχειρησιακοί κίνδυνοι πρέπει να ελεγχθούν και να ελαχιστοποιηθούν. Oι κίνδυνοι αυτοί είναι: η λανθασμένη συντήρηση αρχείων (erroneous record-keeping) το μη αποδεκτό σύστημα λογιστικής (έλλειψη αρχών, προτύπων κλπ.) η επιχειρησιακή διακοπή (business interruption) οι λανθασμένες αποφάσεις της διοίκησης (από λάθος πληροφορίες, ενέργειες, αποφάσεις κλπ.) η οικονομική και διαχειριστική απάτη η επιβολή προστίμων από κυβερνητικούς φορείς το υπερβολικό κόστος λειτουργίας η καταστροφή ή και φθορά πόρων (σκόπιμη ή άσκοπη) το ανταγωνιστικό μειονέκτημα (μη επαρκής αντίδραση της επιχείρησης στις εξελίξεις της αγοράς). H διοίκηση της εταιρείας ή του οργανισμού, με βάση τους κανόνες εταιρικής διακυβέρνησης και των διεθνών πρακτικών, πρέπει να λάβει όλα τα απαραίτητα μέτρα για να επιβιώσει η επιχείρηση αντιμετωπίζοντας και 18
Ðñüëïãïò ελαχιστοποιώντας τους συνηθισμένους αυτούς κινδύνους και να λειτουργεί εντός των νομίμων πλαισίων και ορίων που θέτουν η τοπική και η διεθνής κοινωνία και οικονομία. Για την επίτευξη των στόχων της πληροφορικής, οι συνηθισμένοι κίνδυνοι που πρέπει να ελεγχθούν και να ελαχιστοποιηθούν είναι: η απάτη (fraud) η κλοπή ηλεκτρονικών πληροφοριών η κλοπή «φυσικών» πληροφοριών η μη συμμόρφωση με τις διατάξεις του νόμου-πλαισίου για την προστασία προσωπικών δεδομένων (invasion of privacy) η φθορά ή και ζημιά εξοπλισμού, περιφερειακών, λογισμικού, δεδομένων, τεχνικών αρχείων (audit trail, logging), ηλεκτρονικής μεταφοράς (EDI) κλπ. η παρεμβολή στις τηλεπικοινωνίες και μη εγκεκριμένες προσβάσεις (interception of communications, user illegal access, legal user but illegal transaction) η παράνομη καταγραφή ηλεκτρομαγνητικών σημάτων η (μη) σκόπιμη λανθασμένη καταχώριση στοιχείων η μειωμένη ακεραιότητα πληροφοριών από μη νόμιμη αλλαγή στοιχείων, λογισμικού και βάσεων δεδομένων το σαμποτάζ ή άλλες παράνομες πράξεις από το προσωπικό ή και τους συνεργάτες και η διακοπή λειτουργίας συστημάτων, εξοπλισμού, λογισμικού, περιβάλλοντος, διαδικασιών, εγκαταστάσεων, μηχανισμών αρχειοθέτησης και φύλαξης αντιγράφων, διαδικασιών ασφαλείας, οργανωτικών δομών κλπ. Για τα συστήματα πληροφορικής πρέπει να σχεδιάζονται και να εφαρμόζονται έλεγχοι για τις κάτωθι γενικές κατηγορίες-θεματικές ενότητες: αποτελεσματικότητα του συστήματος σωστή χρήση των πόρων του συστήματος ενίσχυση της ασφάλειας υποδομών και πληροφοριών 19
ëåã ïò ÓõóôçìÜôùí ÐëçñïöïñéêÞò ενίσχυση της νομιμότητας αγορών και της χρήσης λογισμικού ορθότητα, πληρότητα και ακρίβεια των συναλλαγών ορθότητα και πληρότητα ενημέρωσης των αρχείων πληροφοριών, καθώς και συντήρηση των ετήσιων και ιστορικών αρχείων (πληροφοριών, δεδομένων, μετα-δεδομένων, τεκμηρίωσης, συμβάσεων, τεχνικού περιβάλλοντος κλπ.). Oι έλεγχοι αυτοί υλοποιούνται είτε μέσω οδηγιών στο λογισμικό εφαρμογών είτε και μέσω υπαλληλικών διαδικασιών, σχεδίασης και ελέγχου εντύπων, ορίων υπογραφών, υπευθυνοτήτων, διοικητικής διάρθρωσης, αναφορών διοίκησης, επίλυσης λαθών, στρατηγικών σχεδιασμών κλπ., δηλαδή ενός συστήματος ελέγχου πληροφορικής. Óôü ïé åíüò ÓõóôÞìáôïò EëÝã ïõ ÐëçñïöïñéêÞò Να βοηθήσει και να υποστηρίξει τη Διοίκηση και το προσωπικό να εκτελέσουν όλες τις απαιτούμενες εργασίες με τον πιο σωστό και αποτελεσματικό τρόπο, εντός ενός δημιουργικού, επιχειρηματικού και ηθικού πλαισίου. Να ενθαρρύνει τη χρήση και την αξιοποίηση των πιο αποτελεσματικών και οικονομικών συστημάτων, μεθόδων και πρακτικών ελέγχου για τις πιο ορθές και έγκαιρες πληροφορίες. Να ενισχύσει τη σωστή διακυβέρνηση και την περάτωση όλων των λειτουργιών και δραστηριοτήτων της επιχείρησης ή του οργανισμού. Να βελτιώσει την αποδοτικότητα της εταιρείας και την επισκόπησή της από όλα τα ενδιαφερόμενα μέρη (κοινωνικούς & θεσμικούς εταίρους, ρυθμιστικές & κανονιστικές αρχές, επιτροπές κοινωνικού & άλλου ελέγχου κλπ.). Για τους ανωτέρω αναφερόμενους σκοπούς έχουν θεσμοθετηθεί στις προηγμένες τεχνολογικά χώρες ο ρόλος και η ίδρυση ενός πλαισίου και συστήματος εσωτερικού ελέγχου μέσα στο οποίο λειτουργεί και το τμήμα Eλέγχου Συστημάτων Πληροφορικής (EDP/IT Auditing). Στην Eλλάδα, τέτοιου είδους συστήματα ελέγχου και ρόλοι δεν είναι πολύ διαδεδομένοι, αν και η τάση είναι, λόγω αναγκών και απαιτήσεων 20
Ðñüëïãïò της χρηματιστηριακής αγοράς και των διεθνών συνθηκών λειτουργίας της οικονομίας (Corporate Governance), να ξεκινήσουν να ιδρύονται τμήματα εσωτερικού ελέγχου σε κάθε οργανισμό και επιχείρηση. Oι στόχοι αυτού του βιβλίου είναι να κατανοήσουν ο αναγνώστης (Eλεγκτής Πληροφορικής - EDP/IT Auditor), ο Eσωτερικός Eλεγκτής (Internal Auditor), ο Eξωτερικός Eλεγκτής (External/Statutory Auditor), τα Aνώτατα, Mεσαία και Kατώτερα Στελέχη Διοίκησης (Top, Middle & Lower Level Management), το κάθε Mέλος του Διοικητικού Συμβουλίου (Member of the Board of Directors), το Mέλος της Eπιτροπής Eλέγχου (Member of the Audit Committee), τα Στελέχη Pυθμιστικών Aρχών (Regulatory & Data Privacy Officers), οι έχοντες έννομο ενδιαφέρον (stakeholders) κλπ.: τι σημαίνει «Έλεγχος Πληροφορικής (EDP/IT Auditing)» και ποια είναι τα κύρια εννοιολογικά και οργανωτικά χαρακτηριστικά του για συστήματα και υποδομές πληροφορικής ποιες είναι οι μεθοδολογικές συνιστώσες και πρακτικές σχεδιασμού και διεξαγωγής ποιοτικού ελέγχου ποιες είναι οι συγκεκριμένες Θεματικές Eνότητες Eλέγχου Πληροφορικής πώς συμβάλλει ο «Έλεγχος Πληροφορικής (EDP/IT Auditing)» στην επίτευξη των επιχειρησιακών και πληροφορικών στόχων της συγκεκριμένης επιχείρησης. Tα περιεχόμενα αυτού του βιβλίου στηρίζονται κατά βάση στην πολύχρονη πρακτική και επαγγελματική εμπειρία του συγγραφέα στο χώρο της πληροφορικής, της ελεγκτικής και των επιχειρήσεων (διεθνών και ελληνικών) καθώς και σε βιβλιογραφική και άλλη έρευνα. 21