6. člen
(Revizijski pregled kvalitete informacijskega sistema)
(1)
Pri revizijskem pregledu kvalitete informacijskega sistema upošteva revizor določila Sklepa o upravljanju s tveganji in izvajanju procesa ocenjevanja ustreznega notranjega kapitala za borznoposredniške družbe (Uradni list RS, št. 106/07; odslej Sklep o upravljanju s tveganji).
(2)
Revizijski pregled kvalitete informacijskega sistema opravi revizor na podlagi smiselne uporabe določil Mednarodnih standardov poslov preiskovanja, pri čemer mora zbrati zadostne in ustrezne dokaze, ki mu dajejo zmerno zagotovilo, da je kvaliteta informacijskega sistema BPD skladna z zahtevami ZTFI in Sklepa o upravljanju s tveganji.
(3)
Pri revizijskem pregledu kvalitete informacijskega sistema revizor glede na kompleksnost posameznih poslovnih aktivnosti v skladu z 10. členom Sklepa preverja:
1.
ali ima BPD zapisano strategijo razvoja informacijskega sistema;
2.
ali ima BPD zapisano politiko varnosti informacijskega sistema, ki vključuje najmanj:
a) cilje pri zagotavljanju varnosti informacijskega sistema;
b) načela in postopke za zaščito zaupnosti, neoporečnosti in razpoložljivosti informacij in podatkov;
c) porazdelitev odgovornosti glede varovanja informacijske tehnologije, informacij, shranjenih v informacijskih sistemih BPD, in pripadajoče dokumentacije;
3.
ali zapisane notranje kontrolne dejavnosti informacijskega sistema vključujejo:
a)
pri izvajanju strategije razvoja informacijskega sistema: ugotavljanje skladnosti s poslovnimi procesi, kvalitete projektnega načrtovanja, vključenosti ustreznih kadrov ter seznanjenosti različnih vodstvenih ravni s pripadajočo problematiko;
b)
pri zagotavljanju varnosti informacijskega sistema: logične in fizične kontrole pri dostopu do informacijskega sistema;
c)
pri strojni opremi: ugotavljanje njene ustreznosti glede zahtev pripadajočih poslovnih procesov, notranjih in tehničnih standardov ter rednosti njenega vzdrževanja;
d)
pri programski opremi: ugotavljanje njene ustreznosti in uporabe v poslovnih procesih v smislu izpolnjevanja zahtev uporabnikov ter ločevanja funkcij njenega razvoja, vzdrževanja in uporabe;
4.
ali informacijska podpora upravljanju s tveganji deluje v skladu z zapisanimi notranjimi pravili BPD iz 1.–3. točke tega odstavka in je v tem pogledu učinkovita.