ИТ-аудит - это систематическая оценка информационных технологий компании по согласованным критериям. В зависимости от задачи исследуют инфраструктуру, приложения, процессы управления, расходы и связанные с ними риски. Проще говоря, IT-аудит помогает понять, что есть у компании, как это работает, где возникают проблемы и что нужно изменить.
Типичная ситуация. Компания растет, сотрудники жалуются, что учетная система в конце месяца работает все медленнее, а расходы на ИТ за год заметно выросли. Руководство не понимает, что делать - покупать новое оборудование, менять программу или пересматривать договор с подрядчиком. Каждый вариант стоит денег, и выбрать его наугад рискованно. Эта история будет проходить через всю статью, чтобы показать, как ИТ-аудит помогает принять решение на основе данных.
Зачем нужен ИТ-аудит
ИТ-аудит нужен, чтобы ответить на вопросы бизнеса об информационных технологиях фактами. Почему системы работают медленно, за что компания платит, выдержит ли ИТ рост и от кого зависит работа.
Понять причины сбоев и медленной работы
Учетная система тормозит, связь между офисами пропадает, одни и те же ошибки повторяются. Причина может находиться в оборудовании, в приложении, в интеграции между системами или в организации работы. В нашем примере ИТ-служба просит купить новый сервер. Аудит сначала изучает нагрузку и выясняет, где именно возникают задержки. Иногда причина в неоптимальных запросах к базе данных или в ночном обмене, который не успевает завершиться к утру, и тогда новый сервер проблему не решит.
Оценить расходы на ИТ
Лицензии, подписки, облачные ресурсы, оборудование, обслуживание, работа сотрудников и подрядчиков. Задача аудита - сопоставить затраты с тем уровнем сервиса, который нужен бизнесу. Сокращение расходов само по себе не считается улучшением. Если компания отказалась от поддержки критичной системы и сэкономила, а потом неделю простаивала из-за сбоя, экономия обошлась дороже.
Подготовить ИТ к развитию бизнеса
Рост числа пользователей, открытие филиалов, запуск новых сервисов, увеличение объема операций. Система, которая справляется сегодня, может ограничить развитие завтра, например если лицензия рассчитана на фиксированное число пользователей или база данных уже работает на пределе. Аудит показывает, где находятся такие ограничения и когда они начнут мешать.
Сделать работу ИТ понятной для руководства
Какие системы критичны, кто за них отвечает, сколько стоит их поддержка, от каких сотрудников и поставщиков зависит работа. Руководителю не нужно разбираться в технических деталях, но нужно понимать риски и цену решений.
| Вопрос руководителя | Что исследуют | Какое решение помогает принять аудит |
|---|---|---|
| Почему система работает медленно? | Нагрузку, настройки, интеграции, организацию работы | Покупать оборудование, дорабатывать систему или менять процесс |
| За что мы платим в ИТ? | Лицензии, подписки, договоры, фактическое использование | От чего отказаться, что пересогласовать |
| Выдержит ли ИТ рост компании? | Запас ресурсов, ограничения систем и лицензий | Когда и во что инвестировать |
| Что будет, если система остановится? | Точки отказа, резервирование, восстановление | Нужно ли резервирование и какое |
| От кого зависит работа ИТ? | Ответственных, подрядчиков, документацию | Как снизить зависимость от одного человека или поставщика |
Чем ИТ-аудит отличается от аудита ИБ и технического обслуживания
ИТ-аудит оценивает выбранную область информационных технологий и формирует обоснованные выводы. Аудит информационной безопасности, инвентаризация, диагностика и обслуживание решают другие задачи, хотя и пересекаются с ним.
ИТ-аудит и аудит информационной безопасности
ИТ-аудит может охватывать эффективность, надежность, управление ИТ и то, насколько технологии соответствуют потребностям бизнеса. Аудит ИБ сосредоточен на защите информации и применимых требованиях. Общие области у них есть, например управление доступом, изменениями и резервное копирование. Конкретный состав обоих проектов определяется их целями. Подробнее о защите информации - в статье «Что такое аудит информационной безопасности».
ИТ-аудит и инвентаризация
Инвентаризация отвечает на вопрос, какие активы существуют. Аудит использует эти сведения, чтобы оценить состояние, управление и соответствие установленным критериям. Список серверов не объясняет, выдержит ли учетная система отказ одного из них. На этот вопрос отвечает анализ зависимостей и резервирования.
ИТ-аудит, диагностика и обслуживание
Диагностика ищет причину конкретной неисправности, обслуживание поддерживает работу систем. Аудит оценивает выбранную область целиком и формирует выводы, на которых можно строить планы. Исправления и модернизация в аудит автоматически не входят. Их можно поручить исполнителю аудита, внутренней команде или другому подрядчику, но это отдельная договоренность.
| Задача | Что делает | Результат |
|---|---|---|
| ИТ-аудит | Оценивает выбранную область ИТ по критериям | Выводы, реестр проблем, рекомендации |
| Аудит ИБ | Оценивает защиту информации по требованиям | Замечания по защите и рекомендации |
| Инвентаризация | Составляет перечень активов | Реестр оборудования, ПО, лицензий |
| Диагностика | Ищет причину конкретного сбоя | Причина неисправности |
| Обслуживание | Поддерживает работу систем | Работающие системы |
Какие бывают виды ИТ-аудита
Виды ИТ-аудита описывают разные признаки одного проекта - кто проводит, какой охват, насколько глубоко и что оценивают. Один проект может быть одновременно внешним, целевым, углубленным и техническим.
Внутренний аудит проводят собственные специалисты или служба внутреннего аудита. Они хорошо знают контекст, но могут оценивать решения, в которых участвовали сами. Внешний аудит проводит сторонняя команда, у которой есть опыт похожих проектов и независимость от оцениваемых подразделений. Ей нужно время, чтобы разобраться в особенностях компании. Выбор зависит от задачи, нужных компетенций и того, насколько важна независимость выводов.
Комплексный аудит оценивает несколько направлений сразу. Целевой сосредоточен на отдельной системе, процессе или вопросе. Это может быть аудит ИТ-инфраструктуры, процессов поддержки, расходов на облако или готовности к миграции. Даже у комплексного проекта есть согласованные границы.
Экспресс-аудит дает быстрый обзор на основе интервью, документов и выборочных проверок. Углубленное обследование использует больше методов и данных, поэтому его выводы доказательнее. Названия форматов у исполнителей различаются, поэтому сравнивать предложения стоит по программе работ и составу результатов.
Технический аудит оценивает состояние систем, управленческий - организацию управления ИТ, то есть роли, процессы, планирование и работу с подрядчиками. Направления дополняют друг друга. Исправное оборудование не гарантирует качественной поддержки, если заявки теряются, а изменения выкатываются без тестирования.
Что проверяют при ИТ-аудите
При ИТ-аудите проверяют те направления, которые нужны для ответа на вопросы заказчика. Для каждого определяют объект оценки, источники сведений и возможные выводы. Не каждый проект включает весь перечень ниже.
Серверы, сети и рабочие места
Состав оборудования, настройки, загрузка, поддержка производителем, сетевые связи и критичные зависимости. Возраст оборудования сам по себе не повод для замены. Учитывают состояние, наличие поддержки и требования к работе. Сервер старше пяти лет может спокойно выдерживать нагрузку, а новый - оказаться узким местом из-за неудачной конфигурации.
Программное обеспечение и информационные системы
Какие задачи решают программы, кто ими пользуется, поддерживаются ли версии, насколько востребованы функции, как организовано лицензирование. Частые находки - две системы для одной задачи в разных отделах и подписки, которые компания оплачивает, но почти не использует.
Интеграции и движение данных
Обмен между сайтом, CRM, учетной системой, складом и отчетностью. Проблемы здесь проявляются как ручной перенос данных, дублирование записей, задержки и ошибки обмена. В нашем примере аудитор прослеживает путь заказа от оформления на сайте до отгрузки. Выясняется, что заказы попадают в учетную систему пакетом раз в час, а обмен со складом запускается вручную. Отсюда и задержки, и нагрузка на систему в пиковые часы.
Облачные сервисы и внешние поставщики
Используемые ресурсы, условия обслуживания, ответственность сторон, возможность забрать данные и зависимость от поставщика. Облако не всегда дешевле или надежнее собственной инфраструктуры. Ответ зависит от нагрузки, условий договора и того, как ресурсами управляют.
Поддержку пользователей и управление изменениями
Регистрация обращений, приоритеты, сроки решения, повторяющиеся сбои, согласование обновлений, тестирование и возможность отката. Быстрое закрытие заявки и устранение причины проблемы - разные результаты. Если одна и та же ошибка возвращается каждую неделю, хорошие сроки решения обращений ничего не говорят о качестве ИТ.
Отказоустойчивость и восстановление
Критичные точки отказа, резервирование, копирование и фактическая готовность к восстановлению. Здесь важны два вопроса. Сколько времени бизнес может работать без системы. Это допустимое время восстановления, в международной практике RTO. Сколько последних данных допустимо потерять, например заказы за последний час или за день. Это допустимая потеря данных, RPO. Аудит сравнивает ответы бизнеса с тем, что ИТ может обеспечить на деле.
ИТ-бюджет и договоры
Структура расходов, использование лицензий и ресурсов, условия поддержки, обязательства подрядчиков. Оценивают полную стоимость решения, включая внедрение, сопровождение, обучение и возможную миграцию. Дешевая лицензия может обернуться дорогим сопровождением.
Доступы и общие ИТ-контроли
Кто получает права, как согласуют изменения, кто контролирует выполнение операций. Эти правила называют общими ИТ-контролями, или ITGC. Их обычно группируют в четыре области - доступ к программам и данным, изменения, разработка и эксплуатация. Отдельная оценка ITGC часто нужна компаниям, чью финансовую отчетность проверяют внешние аудиторы.
| Направление | Объект оценки | Источники сведений | Возможные выводы |
|---|---|---|---|
| Инфраструктура | Серверы, сети, рабочие места | Конфигурации, мониторинг нагрузки, данные о поддержке | Узкие места, риски отказа, потребность в ресурсах |
| Приложения | Информационные системы и ПО | Реестр ПО, лицензии, опросы пользователей | Дублирующие системы, неиспользуемые лицензии |
| Интеграции | Обмен данными между системами | Схемы обмена, журналы, путь операции | Ручные операции, задержки, ошибки обмена |
| Облака и поставщики | Ресурсы, договоры, SLA | Договоры, отчеты поставщиков, счета | Зависимость от поставщика, переплата |
| Поддержка и изменения | Обращения, обновления | Система заявок, история изменений | Повторяющиеся сбои, изменения без тестов |
| Восстановление | Резервирование и копирование | Журналы, протоколы тестов, интервью | Несоответствие RTO и RPO требованиям бизнеса |
| Бюджет и договоры | Расходы и обязательства | Бюджет, счета, договоры | Скрытые затраты, невыгодные условия |
| Общие ИТ-контроли | Доступы, изменения, эксплуатация | Выгрузки прав, заявки, журналы | Лишние права, неконтролируемые изменения |
Как проводится ИТ-аудит
ИТ-аудит проводится в пять этапов, от определения целей до обсуждения результатов с руководством. Компания участвует на каждом этапе, и от этого во многом зависит точность выводов.
Сначала договариваются, какие вопросы нужно решить, какие системы и процессы входят в оценку и какой период исследуют. Затем определяют, с чем сравнивают фактическое состояние. Это могут быть требования бизнеса, показатели из договоров, внутренние правила, применимые нормы и выбранные практики.
Аудитор запрашивает схемы систем, реестр активов, договоры, сведения о расходах, обращениях и сбоях. Интервью проводят не только с ИТ-командой, но и с пользователями и владельцами процессов. В нашем примере бухгалтерия рассказывает, в какие дни система тормозит сильнее всего, и это сразу сужает круг поиска.
Аудитор изучает настройки, показатели нагрузки, журналы, историю изменений и выполнение процедур. Активные тесты проводят только в согласованном объеме. Одного замера в спокойный период недостаточно для выводов о работе в пиковую нагрузку. Если учетная система тормозит при закрытии месяца, смотреть на нее нужно именно тогда или по накопленным данным мониторинга за этот период.
На этом этапе подтвержденные факты отделяют от гипотез. Аудитор показывает связь между технической проблемой, ее причиной и последствиями для бизнеса. Если данных недостаточно, это фиксируется как ограничение. Предположение не выдается за установленный факт.
Факты уточняют с командой, выводы представляют руководству, варианты изменений обсуждают вместе с их зависимостями. На встрече с руководством полезно сразу договориться, кто отвечает за следующий шаг.
| Этап | Действия аудитора | Участие компании | Результат |
|---|---|---|---|
| 1. Цели и критерии | Предлагает границы и критерии оценки | Формулирует вопросы, согласует объем | Согласованные цели, границы, критерии |
| 2. Документы и интервью | Запрашивает сведения, проводит встречи | Передает документы, выделяет время сотрудников | Картина текущего состояния |
| 3. Обследование | Изучает настройки, нагрузку, журналы, процессы | Дает доступы, согласует тесты | Собранные данные и наблюдения |
| 4. Анализ причин | Связывает проблемы с причинами и последствиями | Уточняет факты по запросу | Подтвержденные выводы и рекомендации |
| 5. Представление | Готовит отчет, проводит презентацию | Проверяет факты, обсуждает варианты | Отчет и согласованные приоритеты |
Какие методики используют при ИТ-аудите
При ИТ-аудите используют признанные методики и стандарты как источник критериев, а также требования самой компании. Названия COBIT, ITIL и ITSM часто встречаются в коммерческих предложениях, но обозначают разные вещи.
COBIT, ITIL и ITSM
COBIT - методология ассоциации ISACA для руководства и управления информацией и технологиями в организации, актуальная версия COBIT 2019. Она помогает оценить, как ИТ связаны с целями бизнеса и как ими управляют. ITIL - набор практик управления ИТ-услугами, правообладатель PeopleCert. В 2026 году вышла ITIL (Version 5), ITIL 4 пока продолжает применяться. ITSM, управление ИТ-услугами, - это сама деятельность по организации ИТ как набора сервисов для пользователей. Требования к ней описывает стандарт ISO/IEC 20000-1:2018 и идентичный ему ГОСТ Р ИСО/МЭК 20000-1-2021. Ни одна из этих методик не является «стандартом аудита» в узком смысле. Подробнее о таком формате - на странице аудита ИТ-процессов по COBIT, ITIL и ITSM.
Стандарты, внутренние требования и техническая документация
Критерии могут опираться на стандарты, например ГОСТ Р ИСО/МЭК 38500-2017 о стратегическом управлении ИТ, на требования компании, договоры и рекомендации производителей оборудования и ПО. Сам порядок аудита систем менеджмента описывает ГОСТ Р ИСО 19011-2021. Весь набор методик обязательным для любой организации не является. Выбор критериев зависит от целей аудита и согласуется в начале проекта.
Что компания получает по итогам ИТ-аудита
По итогам ИТ-аудита компания получает описание текущего состояния ИТ, отчет с проблемами и подтверждающими данными, план улучшений и при необходимости оценку вариантов. Состав результатов согласовывают до начала проекта.
Отчет с проблемами и подтверждающими данными
Для каждого замечания указывают, что обнаружено, на каких данных основан вывод, какие последствия возможны и что рекомендуется изменить. Учебная запись по нашему примеру:
| Поле | Содержание |
|---|---|
| Что обнаружено | При закрытии месяца время проведения документов в учетной системе вырастает с 2-3 до 40 секунд |
| Данные | Мониторинг сервера за 3 месяца, журнал обмена, интервью с бухгалтерией и складом |
| Причина | Обмен со складом запускается вручную в рабочее время, заказы с сайта загружаются пакетом раз в час; загрузка процессора сервера не выше 60% |
| Последствия | Задержки отгрузок, сверхурочная работа бухгалтерии, риск ошибок в отчетности |
| Рекомендация | Перенести пакетные обмены на ночное время, автоматизировать обмен со складом, оптимизировать проблемные запросы. Покупку сервера отложить до повторного замера |
План улучшений
План содержит приоритеты, зависимости, ответственных и порядок подтверждения результата. Быстрые изменения, например настройку расписания обменов, отделяют от проектов модернизации, которым нужны бюджет и время.
Оценка вариантов и затрат
Если это предусмотрено заданием, аудитор сравнивает альтернативы, то есть доработку, изменение настроек, расширение ресурсов или замену системы. Для каждого варианта указывают допущения и ограничения расчетов. Гарантировать экономию в процентах честный отчет не может, потому что итог зависит от того, как компания реализует изменения.
Когда компании нужен ИТ-аудит
Компании нужен ИТ-аудит в трех типичных ситуациях - при повторяющихся проблемах и росте расходов, при изменениях в бизнесе и технологиях и перед покупкой другой компании.
Сбои повторяются, обращения решаются долго, в счетах появляются непонятные платежи, работа держится на одном специалисте. Аудитору в такой ситуации стоит поставить конкретные вопросы. Почему сбои повторяются, за что именно платит компания, что произойдет, если ключевой сотрудник уволится.
Расширение компании, миграция, внедрение новой системы, смена ИТ-подрядчика или руководства. Аудит перед изменениями показывает исходную точку и риски, после изменений - что получилось на самом деле.
Покупатель получает вместе с бизнесом его системы, лицензии, договоры с поставщиками, зависимости и будущие расходы на поддержку и модернизацию. Оценку ИТ перед сделкой называют IT Due Diligence. Она помогает учесть эти обязательства в цене и условиях сделки. Подробнее - на странице ИТ-аудита объекта инвестирования.
Как подготовиться к ИТ-аудиту
Чтобы подготовиться к ИТ-аудиту, достаточно сформулировать вопросы, собрать доступные сведения, назначить участников и согласовать доступы.
-
Сформулировать вопросы и ожидаемый результат
Просьба «проверьте все» обычно дает размытый результат. Лучше поставить конкретные задачи - выяснить причины задержек в учетной системе, оценить готовность к открытию двух филиалов, разобраться в росте расходов на облако.
-
Подготовить сведения и назначить участников
Понадобятся перечень систем, документация, договоры, сведения о расходах и история сбоев, даже если все это неполное. Нужен координатор со стороны компании, ИТ-специалисты, а при необходимости представители бизнеса и финансовой службы.
-
Согласовать доступы и ограничения
Аудиторам выдают временные права, согласуют безопасный способ передачи материалов, допустимые тесты, время работ и порядок остановки. Неограниченный доступ ко всем данным для аудита не нужен.
Что делать после ИТ-аудита
После ИТ-аудита выводы превращают в план изменений, внедряют его и проверяют результат по показателям.
Утвердить приоритеты и план изменений
Приоритеты расставляют, сопоставляя последствия проблем, трудоемкость устранения и зависимости между задачами. Иногда сначала нужно сделать небольшое изменение, без которого крупный проект не имеет смысла.
Проверить результат внедрения
Показатели сравнивают до и после изменений. Это может быть время операции, число повторных сбоев, выполнение договорного уровня сервиса или стоимость при сопоставимой нагрузке. В нашем примере после переноса обменов время проведения документов при закрытии месяца вернулось к норме, и вопрос о новом сервере отпал.
Обновлять оценку при изменениях
Аудит показывает состояние на определенный момент и не заменяет постоянное управление ИТ. Периодичность повторной оценки выбирают с учетом задач, масштаба изменений и применимых требований.
Частые вопросы об ИТ-аудите
Можно ли провести ИТ-аудит своими силами?
Да, если в компании есть специалисты с нужными компетенциями и они не оценивают решения, которые принимали сами. Внутренняя оценка подходит для регулярного контроля. Внешний аудит полезен, когда нужен независимый взгляд или опыт, которого нет в команде.
Сколько времени занимает ИТ-аудит?
Срок зависит от границ, количества систем, методов и того, как быстро компания предоставляет сведения. Целевой аудит обычно занимает несколько недель, комплексный в крупной компании может длиться несколько месяцев.
От чего зависит стоимость ИТ-аудита?
От объема и трудоемкости, то есть от числа систем и площадок, глубины технического обследования и формата результатов. Подробные условия приведены на странице услуги ИТ-аудита.
Нужен ли ИТ-аудит, если все работает?
Он полезен, если компания планирует рост, не уверена, что сможет быстро восстановиться после сбоя, зависит от одного подрядчика или не понимает структуру расходов. То, что все работает сегодня, еще не отвечает на эти вопросы.
Входит ли устранение проблем в ИТ-аудит?
Нет. Аудит заканчивается выводами и рекомендациями. Внедрение изменений можно поручить исполнителю аудита, внутренней команде или другому подрядчику, но его согласуют отдельно.
