Риск принятия ответственности за выполнение функций руководства аудируемого лица при оказании услуг, связанных с информационными системами

12.68.Т. Согласно пункту 1.14.Т Правил аудиторская организация, другая организация в сети не должны принимать на себя ответственность за выполнение функций руководства аудируемого лица. При оказании услуг, связанных с информационными системами, аудируемому лицу аудиторская организация, другая организация в сети должны обеспечить выполнение всех следующих условий:

а) аудируемое лицо признает ответственность за внедрение и мониторинг средств контроля;

б) аудируемое лицо через назначенное(ых) лицо(лиц), обладающего(их) соответствующими навыками, знаниями и опытом (предпочтительно из состава руководства), само принимает все решения, входящие в зону ответственности руководства, в отношении проектирования, разработки, внедрения, эксплуатации, сопровождения, мониторинга, обновления, модернизации информационной системы;

в) аудируемое лицо оценивает качество и результаты проектирования, разработки, внедрения, эксплуатации, сопровождения, мониторинга, обновления, модернизации информационной системы;

г) аудируемое лицо несет ответственность за эксплуатацию информационной системы и за данные, которые эта система генерирует и использует.

12.68.П1. Примерами услуг, связанных с информационными системами, которые приводят к принятию ответственности за выполнение функций руководства аудируемого лица, являются случаи, когда аудиторская организация, другая организация в сети:

а) хранят, управляют (прямо или косвенно) размещением данных от имени аудируемого лица, в частности:

- выступая в качестве единственного источника доступа к финансовым или нефинансовым информационным системам аудируемого лица;

- осуществляя хранение данных, записей аудируемого лица в таком объеме, что (без учета таких хранимых данных, записей) данные, записи аудируемого лица были бы неполными;

- оказывая услуги по обеспечению информационной безопасности, резервного копирования данных, записей аудируемого лица такие, как выполнение соответствующих функций в рамках управления непрерывностью деятельности организации или аварийного восстановления;

б) осуществляют эксплуатацию, сопровождение, мониторинг информационных систем, сетей, сайта в информационно-телекоммуникационной сети "Интернет" аудируемого лица.

12.68.П2. Сбор, получение, хранение, передача данных, предоставленных аудируемым лицом для целей проведения аудита или оказания данному аудируемому лицу услуги, не являющейся запрещенной согласно Правилам, не приводят к принятию ответственности за выполнение функций руководства аудируемого лица.