Pentru un CISA nu ar trebui să fie nici o noutate faptul că există diferenţe semnificative între cele trei tipuri de servicii la care se poate angaja: audit; revizie; proceduri agreate. Excepţiile care se pot întîlni în piaţă ţin probabil mai mult de etică şi mai puţin de necunoaştere…..Poate IS Auditing Guideline: G7 Due Professional Care ar trebui citit cu mai multă atenţie înainte de acceptarea unui angajament….

Însă cît de bine  înţeleg utilizatorii/solicitanţii de servicii aceste diferenţe şi cum le putem schimba percepţia cu privire la  constatărilor (factuale) din aceste angajamente? Contabilitatea are mult mai clar reglementat acest subiect. La noi, domeniul sistemelor informaţionale pare a fi în suferinţă. Am scris „pare” pentru că în realitate lucrurile nu stau chiar aşa dacă am în vedere „continous professional education”.

Clienții trebuie să fie conștienți de faptul că nu toate angajamentele asumate de un auditor oferă asigurări.  Din lipsa cunoştinţelor sau ca efect al unei „consilieri” superficiale, utilizatorii (auditatul in mod direct sau reglementatorul speţei/domeniului) pot interpreta greșit aceste angajamente și gradul de asigurare pe care îl obţin. De aici cred că apare şi decalajul dintre aşteptările „auditatului” şi abordarea „auditorului”.

Diferenţe

• “clientul” este responsabil pentru stabilirea naturii, duratei şi dimensiunii (aria de cuprindere) procedurilor în cadrul unui angajament de tip “proceduri agreate” iar auditorul răspunde pentru selectarea procedurilor
• proceduri agreate: natura, durata şi dimensiunea procedurilor sînt documentate în angajamentul asumat (cererea de servicii, contract)
• audit: natura, durata şi dimensiunea procedurilor sînt documentate în Planul de audit (misiunii)
• proceduri agreate: auditorul îşi exercită judecata profesională doar în cazul în care îl asistă pe client să identifice procedurile ce vor fi incluse în angajament
• audit: judecata profesională se manifestă chiar din momentul ajustării procedurilor de audit (testelor) conform riscului auditului identificat!
• proceduri agreate: planificare se limitează strict la realizarea procedurilor
• audit: planificarea include înţelegerea organizaţiei şi a mediului său, evaluarea riscurilor, stabilirea pragului de semnificaţie… (vezi Standard for IS Auditing: S5 Planning  , IS Auditing Guideline: G15 Audit Planning  )
• proceduri agreate: utilizatorii raportului sunt cei care stabilesc suficienţa probelor prezentate
• audit: suficienţa probelor este responsabilitatea auditorului.
• proceduri agreate: raportul prezintă doar constatări factuale
• audit: raportul conţine concluzia auditorului exprimată sub formă de opinie sau asigurare negativă (cazul reviziei)
• proceduri agreate: raportul conţine descrierea detaliată a procedurilor realizate
• audit: raportul prezintă în rezumat activităţile desfăşurate
• proceduri agreate: constatările sunt prezentate în detaliu pentru fiecare procedură în parte
• audit: se prezintă de obicei constatările ce necesită modificări/acţiune din partea managementului.