Proceedings of the conference of ISACA Kyiv&Privatbank on May 24, 2021

1. Формуємо майбутнє
внутрішнього аудиту з ІТ
Матеріали конференції 24 травня 2021 року
Травень 2021

2. Інструменти віддаленої роботи
•Інструменти для інтерв’ю (як Teams, Skype, Zoom,…)
•Механізми віддаленого доступу до систем банку
(відлагоджуються ітеративно)
•Інструменти спільної роботи над документами (як
О365, Gsuite)
•Електронний документообіг для офіційного
спілкування
Про управління людьми віддалено:
•Освоєння інструментів – потрібен час, щоб звикнути
•Зрілість окремих членів і команди в цілому
•Потрібно розуміння мети і цілей аудиту на етапі
планування
•Синхронізація під час періодичних (раз на 3 місяці)
особистих зустрічей
Про роботу з інформацією
•Вміти гуглити (мова, історія пошуку та формулювання
мають значення)
•Google Dorks – здобуваємо дані з пошукових роботів
•Google Trends – дані, якими словами шукати
•Не посилай в Гугл, бо невідоме отримаєш: мати на
увазі, що різні люди за одним пошуком мають різні
результати
Етика віддаленого доступу
•Переконатися в технології комунікації до
комунікації
•Відеодзвінки - навантаження, зустрічі без відео
бувають продуктивніші
•Віддалене спостереження більш дискомфортне, мати
на увазі, оцінюючи результати спостреження
Про аспекти віддаленої роботи:
Використовуємо кризу як можливість збільшити свою гнучкість і стати
більш стійкими у майбутньому
Спілкувалися аудит ІТ ПриватБанк та ІСАКА Київ

3. 1. People (IT being difficult
partners, programmers vs
business, audit as
analytics),
2. Technological
development (speed of
change, training need)
3. Regulations (too slow to
catch up with change, too
rigid in frequency and
scopes of audit)
4. Processes (process vs
procedure and audit role –
select ).
Challenges of IT audit:
competence and trust matter
Conversation between
Maciej Piołunowicz, Head of Internal Audit at Bank Gospodarstwa Krajowego, IIA Poland and
Anastasiia Konoplova, ISACA Kyiv
1. Added value from IT audit: help
to find common language between
business and IT to ensure
adequacy of software
2. To talk with IT, learn with IT or
broader, to be able to consult
3. Balance compliance and
shareholders needs with help of
risk management
4. Happy IT auditor=professional
growth+behaviour
motivation+right for mistakes+IA
reputation
Challenges
Insights

4. IT audit advisory vs code of ethics
(more about to know, what risk we
take, than solutions)
• https://www.isaca.org/bookstore/bookstore-wht_papers-digital/whpitafaas
How to mix determined approach
with agile approach considering
criticality, scoring model to support
processes/practices updates
• https://www.agilealliance.org/wp-content/uploads/2017/09/AgilePracticeGuide.pdf
Support of risk assessment
enforcement in regulations: added
inability to adapt into risk definition
EBA Guidelines on ICT and security
risk management
• https://eba.europa.eu/sites/default/documents/files/documents/10180/2522896/32a28233-12f5-49c8-
9bb5-
f8744ccb4e92/Final%20Guidelines%20on%20ICT%20and%20security%20risk%20management.pdf
Three levels of assurance for
products and services: can add
agility to audits planning (within
IPPF)
• Cybersecurity act
Interesting example how to explain
technology to Board (WEF tool on
AI platform)
• https://spark.adobe.com/page/RsXNkZANwMLEf/
Perspective 2030 for EU
cyberenvironment
• https://digital-strategy.ec.europa.eu/en/library/eus-cybersecurity-strategy-digital-decade
Cybermaturity in details for military
systems, criteria, horizon 2025 (US
Department of Defense
procurement)
• CMMC https://www.acq.osd.mil/cmmc/draft.html

5. Навчити зі студентської лави
• Практика після бакалаврату, спеціалізація на рівні
магістра
• 2,5 роки до здатності самостійно виконувати реальні
завдання
Увійти з іншого напрямку:
• Підтягнути, де не вистачає, базові знання з ІТ,
аудиторської етики, корпоративного управління
• Англійська
• 6 місяців практики для професіонала в суміжному
напрямку, 1,5-2 роки для цілеспрямованих
початківців
Добиватися розуміння при навчанні
• Розбирати причинно-наслідкові зв’язки в
технологіях: шукати відповіді на питання, чому з
факту А виходить висновок Б
Про те, звідки беруться ІТ-аудитори:
Особиста зрілість, розуміння, практика
Спілкувалися Олексій Барановський, CISM trainer, Анастасія Конопльова,CISA trainer з ISACA Kyiv

6. Питання круглого столу
1. Роль аудиту в безпеці критичної інфраструктури України: на що мають звертати увагу аудитори. Відповідальність аудитора.
2. Правомочність аудиторських доказів, які існують виключно в цифровому вигляді. Дії, про які варто подбати аудитору при ризику шахрайства в
системах. Аспекти дистанційних перевірок.
https://bank.gov.ua/ua/legislation/Resolution_11092020_134,
рішення ФГВФО 465 від 11.05.2021 https://www.fg.gov.ua/articles/48965-rishennya-vikonavcho-direkci-za-2021-rik.html
3. Доля КСЗІ та перспективи впровадження обов'язкового аудиту технологій
(https://cip.gov.ua/ua/news/proyekt-postanovi-kabinetu-ministriv-ukrayini-deyaki-pitannya-provedennya-nezalezhnogo-auditu-informaciinoyi-bezpeki-na-ob-
yektakh-kritichnoyi-infrastrukturi).
4. Про Проект постанови Кабінету Міністрів України «Про запровадження сертифікації працівників підрозділів внутрішнього аудиту та внесення змін до
постанови Кабінету Міністрів України від 28 вересня 2011 р. № 1001» та питання щодо технологій в аудиті
https://mof.gov.ua/storage/files/%D0%94%D0%BE%D0%B4%D0%B0%D1%82%D0%BE%D0%BA_%20%D0%97%D0%BC%D1%96%D0%BD%D0%B8(4).doc
https://mof.gov.ua/storage/files/%D0%94%D0%BE%D0%B4%D0%B0%D1%82%D0%BE%D0%BA_%20%D0%9F%D0%BE%D1%80%D1%96%D0%B2%D0%B
D%D1%8F%D0%BB%D1%8C%D0%BD%D0%B0%20%D1%82%D0%B0%D0%B1%D0%BB%D0%B8%D1%86%D1%8F(3).docx
Учасники конференції обговорили наступні питання, для висновків не вистачило інформації.
Продовжуємо готуватися до перерахованих змін та здобувати компетенції.

7. Приєднуйтесь!
За знаннями та кращими практиками:
https://www.facebook.com/Kyiv.ISACA/
Більше інформації:
https://isaca.org/
7