COBIT 5: A Business Framework for the Governance and Management of Enterprise IT

Pentru cei care nu sunt familiari cu acest framework, trebuie menționat în primul rând că ITAF este o colecţie de bune pratici care:

• oferă îndrumări cu privire la proiectarea, realizarea şi raportarea în misiunile de tip asigurare şi audit;
• defineşte termenii şi conceptele folosite în domeniul asigurărilor IT;
• stabileşte standardele cu privire la rolurile şi atribuţiilor profesioniştilor implicaţi în misiuni de asigurare şi audit; cunoştinţele necesare; conduita profesională şi cerinţele privind raportarea.

ITAF include toate standardele, procedurile şi ghidurile elaboarate de ISACA (nu sub formă de colecţie de texte ci ca referinţe). Orice ghid nou apărut este încorporat în ITAF. Punerea în practică a cerinţelor ITAF este o condiţie prealabilă a oricărei misiuni de asigurare. Serviciile de consultanţă pe care le poate oferi un profesionist nu intră sub incidenţa ITAF.

Se ştie că standardele sunt mandatare în timp ce ghidurile, tehnicile şi instrumentele menţionate au rol de suport în realizarea misiunilor. Cele trei categorii de standarde ce apar în ITAF sunt structurate altfel:

• standarde generale – includ principiile în baza cărora se lucrează şi se aplică tuturor sarcinilor pe care un profesionist trebuie să le realizeze: conduita etică, independenţa, obiectivitatea, competenţele şi aptitudinile, profesionalismul (S2 Independence, S3 Professional Ethics and Standards, S4 Competence, S6 Performance of Audit Work)
• standarde de perfomanţă – au în vedere misiunea în sine: planificarea, supervizarea, scopul, riscurile asociate, pragul de semnificaţie, resursele necesare, probele, raţionamentul profesional, atenţia în exercitarea misiunii (S1 Audit Charter, S5 Planning, S9 Irregularities and Illegal Acts, S10 IT Governance
  • S11 Use of Risk Assessment in Audit Planning, S12 Audit Materiality, S13 Using the Work of Other Experts, S14 Audit Evidence, S15 IT Controls, S16 E-commerce)
• standarde de raportare – au în vedere tipurile de rapoarte, mijloacele prin care se comunică rezultatele şi informaţiile ce se comunică (S7 Reporting, S8 Follow-up Activities)

În secţiunea 1700—Use of the IT Assurance Framework se spune că standardele sunt mandatare pentru orice speţă, abaterea de le ele fiind obligatoriu de avut în vedere înainte de demararea oricărei misiuni. În ceea ce priveşte ghidurile, chiar dacă nu au caracter mandatar, profesionistul implicat într-o misiune trebuie să fie capabil să justifice abaterile sau omiterea acestora în cadrul unei misiuni.

În situaţia în care este parte a unei echipe implicată într-o misiune ce trebuie să folosească alte standarde, profesionistul trebuie să:

• folosească standardele ISACA în conjucţie cu standardele emise de alte autorităţi;
• să menţioneze în raport, pe lîngă standardele ISACA şi celelalte standarde utilizate.

În caz de conflict între standardele ISACA şi alte standarde, prevalează standardele ISACA!

Pentru cei care doresc mai multe informații, inclusiv câteva descărcabile, recomandăm spre lectură pagina dedicată ITAF de pe site-ul ISACA International