Uniwersytet Medyczny im. Karola Marcinkowskiego w ... - UMP

Planowanie i przygotowanie zadania zapewniającego wymaga kontaktów z kierownictwem
jednostki audytowanej. Tam, gdzie audytowany system obejmuje różne jednostki
organizacyjne, konieczny jest kontakt ze wszystkimi kierownikami zespołów tak, aby
zidentyfikować wszelkie możliwe obszary badania audytowego. Po zakończeniu etapu
planowania zadania zapewniającego a przed rozpoczęciem czynności audytorskich audytor
wewnętrzny przeprowadza naradę otwierającą.
1.1. Zazwyczaj celem wstępnego kontaktu z kierownictwem jednostki audytowanej
jest identyfikacja lub potwierdzenie:
a) terminów i czasu trwania poszczególnych prac audytowych oraz wszelkich kwestii
mających wpływ na terminy,
b) wyznaczenia granic badanego systemu oraz jego współzależności z innymi systemami,
c) wymaganych przez Kierownictwo Uczelni oraz jednostki audytowane kontroli
zapewniających, że audytowany system pracuje prawidłowo,
d) proponowanych celów zadania zapewniającego (w świetle uzyskanych informacji
o systemie może okazać się wskazane rozważenie zmiany pierwotnych celów)
i poinformowanie o obiektach audytu,
e) zakresu zadania zapewniającego wraz z okresem, który ma objąć,
f) metodyki przeprowadzania zadania zapewniającego,
g) składu zespołu prowadzącego audyt,
h) miejsca, w które zostaną wizytowane,
i) dostępu do pracowników jednostki audytowanej, dostępu do dokumentów oraz do
danych zawartych w systemie informatycznym.
Dostęp audytora wewnętrznego do wymienionych powyżej zasobów jest zapisany
w rozdziale VI od pkt. 9 do pkt. 15 regulaminu audytu a także zapewniony w drodze
ustawy o finansach publicznych.
Problemem, który wymaga odrębnego uregulowania jest dostęp do baz danych. Należy
zgłosić administratorowi bezpieczeństwa gdzie, kiedy i do jakich zasobów chcemy
uzyskać dostęp oraz jakie narzędzia informatyczne i techniki testów zastosujemy.
Administrator bezpieczeństwa, może zażądać informacji, które umożliwią mu ocenę, czy
w wyniku działań audytu wewnętrznego nie zostanie naruszona integralność danych.
Administrator nie może odmówić audytorowi dostępu do danych.
KSIĘGA PROCEDUR I ZASAD AUDYTU WEWNĘTRZNEGO
49