Città, Giorno Mese Anno: 14-pt. Comic Sans MS Corsivo XXIV Convegno Nazionale AIEA Area Controlli Interni Servizio Audit ICT Efficientamento degli strumenti a supporto delle attività di ICT Audit Siena, 21 e 22 Ottobre 2010

2 Strutturatezza del CobiT 4.1 Domini (4) Processi (34) Obiettivi di Controllo (210)

3 Assurance Guide Dominio Processo Obiettivo di Controllo Control Design Obiettivo di Controllo Control Design Outcome Control Design Outcome

4 Attività manuali e ripetitive

5 Dominio Process o Obiettiv o di Controllo Cont rol Desi gn Obiettiv o di Controll o Cont rol Desi gn Outc ome Cont rol Desi gn Outc ome

6 Obiettivo Informatizzare il CobiT utilizzando un DB relazionale Creare uno strumento informatico in grado di:  Generare in automatico un Workprogram  Supportare la conduzione di un audit  Consentire la formulazione del giudizio  Creare una reportistica adeguata (rapporto di audit) Creare un gruppo di lavoro (MPS + Deloitte ERS) con l’obiettivo di:

7 Disclaimer: sono stati omessi alcuni dettagli implementativi al fine di rendere la presentazione autorizzabile alla pubblicazione sul web. CobiT 4.1

8 Disclaimer: sono stati omessi alcuni dettagli implementativi al fine di rendere la presentazione autorizzabile alla pubblicazione sul web. CobiT + Assurance Guide

9 Disclaimer: sono stati omessi alcuni dettagli implementativi al fine di rendere la presentazione autorizzabile alla pubblicazione sul web. CobiT + Assurance Guide + MPS

10 Processo Progetto Infrastruttura Applicazione Rischio Filtro – tipologia di Audit

11 Ulteriore livello legato agli Obiettivi di Controllo “Come” verificare l’Obiettivo di Controllo Check list specifiche (configurazione Firewall, as400…) Modalità

12 Rischio Classe (13) Categoria (45) Rischio interno (132) Rischi Assurance Guide (791) UP BOTTOM UP BOTTOM

13 Classi di Rischio Rischio di sicurezza Rischio di comunicazione, pianificazione o informazione Rischio di conformità alla normativa interna e/o esterna Rischi inerenti il trattamento dei dati Rischio infrastrutture Rischio decisionale e di organizzazione Rischio di controllo e monitoraggio Rischi inerenti al software Rischio disponibilità del sistema e/o di continuità dei servizi Rischio sviluppo prodotti e/o servizi Rischio risorse umane Rischio di outsourcing Rischio di business e finanziario

14 Software

15 Dominio

16 Processo

17 Obiettivo di Controllo

18 Passo di Controllo

19 Generazione Check list

20 Conduzione di un audit

21 Valorizzazione dei passi di controllo

22 Valutazione dell’audit

23 Risultati della verifica

24 Gap e ambiti di miglioramento

25 Struttura del rapporto Premessa Giudizio di sintesi Attività svolta Gap Aree di miglioramento

26 Rapporto

27 Corrispondenza dei campi Premessa Giudizio di Sintesi Attività di verifica svolte

28 Verifica effettuata Risultato della verifica Criticità Ambito di miglioramento Corrispondenza campi

29 Follow Up (seguimento delle remediation)

30 Grazie per l ’ attenzione!! Domande e risposte Riferimenti: