Continuiamo a commentare le guide GTAG dell’Institute of Internal Audit; dopo le guida dedicate al "Vulnerability Management" ed alla "Privacy" analizziamo il documento relativo agli aspetti di “Continuous Auditing”.

Le aziende (e le organizzazioni in generale) sono continuamente esposte ad errori, frodi ed inefficienze che possono tramutarsi in perdite economiche ed in maggiori rischi. Fattori come l’aumento delle norme e dei regolamenti, la globalizzazione, la maggiore concorrenza spingono verso l’adozione di sistemi di controllo ed assurance più efficaci e capaci di gestire in maniera coerente i rischi aziendali.
Il "continuous auditing” è una metodologia utilizzata che permette di valutare i controlli ed effettuare il risk assessment in modo formalizzato e continuo nel tempo utilizzando in modo opportuno le tecnologie. Il continuous auditing modifica il "paradigma" dell’audit: non si tratta più di fare una periodica review delle transazioni per campione ma di arrivare alla verifica del 100% delle transazioni.
Questa guida, "Continuous Auditing: Implications for Assurance, Monitoring, and Risk Assessment" (pdf, 956 K) è rivolta ai CIE - Chief Audit Executive - e permette di comprendere quali tecnologie devono essere utilizzate per il continuous auditing in relazione alle aree che richiedono maggiore attenzione.

Gli autori

• Author: 
• David Coderre, Royal Canadian Mounted Police (RCMP)
• Subject Matter Experts:
• John G. Verver, ACL Services Ltd.
• J. Donald Warren Jr., Center for Continuous Auditing, Rutgers University

Ulteriore materiale

Breve guida commentata, in inglese(ppt, 288 K)

Indice del documento

1. Summary for Chief Audit Executive
• Continuous Auditing
• The Need for a Continuous Auditing/Continuous Monitoring: An Integrated Approach
• The Roles of Internal Audit Activity and Management
• The Power of Continuous Auditing
• Implementation Issues
2. Introduction
• Continuous Auditing: A Brief History
• Today’s Audit Environment
• COSO Enterprise Risk Management (ERM) Framework
• The Roles of the Internal Audit Activity and Management
• Benefits of Continuous Auditing and Monitoring
3. Key Concepts and Terms: The Need for Clarity
• Continuum of Continuous Auditing
4. Relationship of Continuous Auditing to Continuous Assurance and Continuous Monitoring
• Continuous Assurance
• Continuous Monitoring
• Continuous Auditing
5. Areas for the Application of Continuous Auditing
• Applications for Continuous Control Assessment
• Applications for Continuous Risk Assessment
• Development of Audit Plan
• Support to Individual Auditing
• Follow-up on Audit Recommendations
• Conclusion
6. Implementing Continuous Auditing
• Continuous Auditing Objectives
• Continuous Control and Risk Assessment – Relationship
• Manage and Report Results
• Challenges and Other Considerations
7. Conclusion
8. Appendix A – Example of Continuous Auditing Applied to Accounts Payable
9. Appendix B – Related Standards
10. Appendix C – Continuous Auditing Self Assessment
11. About the Author
12. References

IsacaRoma Newsletter link

• IIA: guida GTAG – I rischi della Privacy
• IIA – sesta guida GTAG: "Managing and Auditing IT Vulnerabilities"
• Interview with Lily Bi on GTAG project
• Intervista a Lily Bi sul progetto GTAG
• IIA: Global Technology Audit Guide

Chi è Agatino Grillo?

Agatino Grillo, CISA, CISM, CISSP, fa parte del comitato direttivo di IsacaRoma. Precedentemente è stato nel comitato direttivo di AIEA.
Altri articoli pubblicati per IsacaRoma Newsletter

• Intervista Alberto Revelli Technical Director di OWASP Italy ed autore di sqlninja
• Codice sicuro: intervista a Paolo Perego, thesp0nge, ideatore di OWASP Orizon
• Wikipedia: la voce "IT governance"
• Application security: intervista ad Antonio Parata di OWASP
• Wikipedia: la voce "IS auditing"
• IIA – sesta guida GTAG: "Managing and Auditing IT Vulnerabilities"
• ISACA: Standard, direttive e procedure – l’analisi dei rischi (24-09-2006)
• ISACA: Standard, direttive e procedure – prima parte (23-09-2006)
• Intervista a Ross Anderson (02-11-2005)
• Lezioni di IS Auditing  (03-01-2006)
• Conversazione con Simon Singh (28-10-2005)
• COSO Enterprise Risk Management Framework (12-09-2006)
• Bruce Schneier: domande e risposte (01-11-2005)