مرتضی ترک تبریزی*در دنیای امروز، فناوری اطلاعات (IT) به بخش جدایی‌ناپذیری از ساختار سازمان‌ها و کسبوکارها تبدیل شده است. از سیستم‌های مالی و زنجیره تامین گرفته تا ارتباطات داخلی و خدمات مشتری، تقریبا تمامی‌فرآیندهای حیاتی به فناوری اطلاعات وابسته‌اند. این نفوذ همه‌جانبه باعث شده است که فناوری اطلاعات نه فقط به عنوان بخشی از عملیات سازمانی، بلکه به عنوان عاملی تعیین‌کننده در موفقیت یا شکست کل سازمان و کسب‌وکار مطرح شود. در چنین شرایطی، حسابرسی فناوری اطلاعاتبه عنوان ابزاری کلیدی برای شناسایی، ارزیابی و مدیریت ریسک‌های مرتبط با این حوزه، اهمیت فزاینده‌ای یافته است.
به عبارت دیگر، با توجه به نفوذ گسترده فناوری اطلاعات در تمامی‌جنبه‌های سازمانی و افزایش تهدیدات مرتبط، حسابرسی فناوری اطلاعاتدیگر یک گزینه نیست، بلکه یک ضرورت استراتژیک برای ادامه حیات سازمان‌ها محسوب شده و به عنوان بخشی جدایی‌ناپذیر از کل فرآیند و برنامه حسابرسی داخلی سازمان‌ها به شمار می‌رود. تحولات کسبوکارها در عصر دیجیتال باعث شده در بسیاری از مجامع شرکت‌ها، بحث‌های حسابرسی دیگر صرفا به گزارش‌های مالی محدود نباشد و تحلیل‌ها و گزارش‌های مربوط به حسابرسی فناوری اطلاعاتنیز به‌طور گسترده مطرح شوند. به بیان دیگر، حسابرسی مالی به تنهایی دیگر نمی‌تواند اطمینان کافی به سهامداران، مدیران و ذی‌نفعان سازمان‌ها ارائه دهد، زیرا بخش عمده‌ای از دارایی‌ها، فرآیندها و ریسک‌های سازمانی امروز در بستر فناوری اطلاعات شکل می‌گیرند.
لازم به تاکید است تغییر دیدگاه سازمانی به حسابرسی فناوری اطلاعاتدر عصر دیجیتال(از یک رویکرد تکمیلی به یک نیاز استراتژیک و اساسی برای سازمان‌ها و کسبوکارها) و تبدیل شدن آن به بخش جدایی‌ناپذیر فرآیند حسابرسی داخلی، نشان‌دهنده تغییر پارادایمی‌است که تمامی‌سازمان‌ها، به ویژه در صنایع حساس مانند مالی و بانکداری، باید آن را جدی بگیرند تا بتوانند اعتماد سهامداران و تطابق با الزامات نظارتی را تضمین کنند.
جایگاه جهانی حسابرسی فناوری اطلاعات
حسابرسی فناوری اطلاعاتدر سطح جهانی به یکی از ارکان کلیدی مدیریت ریسک و تضمین صحت عملکردهای دیجیتال سازمان‌ها تبدیل شده است. طبق گزارش ISACA، بیش از ۷۵درصد شرکت‌های بزرگ و متوسط دنیا تا سال ۲۰۲۴ نوعی از حسابرسی فناوری اطلاعاترا به عنوان بخشی از استراتژی مدیریت ریسک خود پیاده‌سازی کرده‌اند. این رشد شتابان ناشی از گسترش تهدیدهای سایبری و پیچیدگی‌های روزافزون زیرساخت‌های فناوری اطلاعات است.
در تحقیقی که Deloitte در سال ۲۰۲۳ منتشر کرده، اشاره شده که بازار جهانی خدمات حسابرسی فناوری اطلاعاتتا سال ۲۰۲۶ به ارزشی بالغ بر ۳۸ میلیارد دلار خواهد رسید که نشان‌دهنده نرخ رشد سالانه مرکب( CAGR) بیش از ۹ درصد است. این رشد مستمر ناشی از الزام‌های قانونی سخت‌گیرانه‌تر، افزایش هزینه‌های ناشی از نقض داده‌ها و تلاش سازمان‌ها برای دستیابی به شفافیت و قابلیت اطمینان بالاتر در گزارش‌دهی‌های مالی است.
همچنین گزارشPwC( ۲۰۲۲) نشان می‌دهد که ۶۸ درصد مدیران ارشد حسابرسی انتظار دارند طی سه سال آینده سهم فناوری‌های نوین مانند هوش مصنوعی و تحلیل داده‌ها در فرآیندهای حسابرسی به‌طور چشم‌گیری افزایش یابد. این امر نشان می‌دهد که حسابرسی فناوری اطلاعاتدیگر محدود به بررسی‌های سنتی نیست و به سمت مدل‌های پیش‌بینی‌گر و پیش‌گیرانه حرکت می‌کند.
این آمارها نه تنها روند جهانی را منعکس می‌کند، بلکه تاکیدی است بر لزوم تسریع توسعه زیرساخت‌های حسابرسی فناوری اطلاعاتدر کشورهایی که در این حوزه عقب‌تر هستند؛ کشورها و سازمان‌هایی که نتوانند خود را با این روند جهانی هماهنگ کنند، با ریسک‌های جدی مانند نقض امنیت داده‌ها، از دست دادن اعتبار و کاهش رقابت‌پذیری مواجه خواهند شد. بنابراین برنامه‌ریزی استراتژیک در این حوزه، سرمایه‌گذاری در فناوری‌های نوین حسابرسی و تدوین مقررات الزام‌آور می‌تواند به عنوان گام‌های کلیدی در مسیر توسعه حسابرسی فناوری اطلاعاتدر نظر گرفته شود.
چالش‌های حسابرسی فناوری اطلاعات
حوزه حسابرسی فناوری اطلاعاتبه دلیل نو بودن و تحولات سریع در دنیای فناوری اطلاعات، با چالش‌های متعددی در جنبه‌های مختلف روبه‌رو است. این چالش‌ها نه تنها در سطح جهانی مطرح هستند، بلکه در کشورهایی مانند ایران که زیرساخت‌ها و نیروی انسانی متخصص در این حوزه هنوز به بلوغ کامل نرسیده‌اند، به‌طور خاص شدت می‌گیرد. در این بخش، برخی از مهم‌ترین موانع و چالش‌های این حوزه بیان شده است:
-نیاز به تخصص دوگانه: یکی از مهم‌ترین چالش‌های حوزه حسابرسی فناوری اطلاعات، ماهیت «دوگانه» این تخصص است؛ به این معنا که فرد شاغل در این حوزه باید هم مهارت‌های فنی فناوری اطلاعات را به خوبی بشناسد و هم به اصول و روش‌های حسابرسی مسلط باشد. تلاقی این دو حوزه تخصصی، حسابرسی فناوری اطلاعاترا به یکی از پیچیده‌ترین شاخه‌های حسابرسی تبدیل کرده است. به گفته Brody وKearns (۲۰۱۲)، این نیازمندی به مهارت‌های دوگانه باعث شده که آموزش نیروی انسانی در این زمینه به یک چالش جدی برای سازمان‌ها تبدیل شود؛ زیرا بسیاری از متخصصان فناوری اطلاعات آشنایی کافی با اصول حسابرسی ندارند و بالعکس، حسابرسان مالی فاقد دانش عمیق فنی هستند.
مطالعه‌ای که توسطVasarhelyi و Kogan (۲۰۲۱) انجام شده است نشان می‌دهد که تنها ۳۰ درصد از حسابرسان فناوری اطلاعات به‌طور کامل در هر دو حوزه فناوری و حسابرسی تخصص دارند. این رقم پایین، به خصوص در کشورهایی که زیرساخت‌های آموزشی قوی در این زمینه وجود ندارد، نگرانی‌ها را دوچندان می‌کند و نشان‌دهنده لزوم سرمایه‌گذاری جدی‌تر در آموزش‌های بین‌رشته‌ای است.
لازم به تاکید است این چالش دوگانگی تخصص، به ویژه در ایران، با شدت بیشتری حس می‌شود؛ زیرا تعداد محدودی از دانشگاه‌ها یا موسسات آموزشی دوره‌های جامع و کاربردی برای تربیت حسابرسان فناوری اطلاعات ارائه می‌دهند. این کمبود آموزش، هم‌افزایی دانش را دشوار کرده و در نتیجه، بازار کار با کمبود نیروی ماهر در این حوزه مواجه است.
-کمبود نیروی انسانی متخصص: یکی دیگر از چالش‌های کلیدی حسابرسی فناوری اطلاعات، کمبود نیروی متخصص در این حوزه است. این چالش نه تنها در کشورهای در حال توسعه بلکه حتی در بسیاری از کشورهای توسعه‌یافته نیز به عنوان یک معضل شناخته می‌شود. طبق گزارشDeloitte (۲۰۲۳)، بیش از ۶۴ درصد از سازمان‌ها در سطح جهانی اعلام کرده‌اند که در جذب نیروی متخصص حسابرسی فناوری اطلاعاتبا مشکل مواجه هستند.
ISACA (۲۰۲۲) در گزارش خود خاطرنشان می‌کند که نرخ رشد تقاضا برای حسابرسان فناوری اطلاعات سالانه حدود ۱۰درصد افزایش می‌یابد، در حالی که عرضه نیروی کار متخصص با این سرعت رشد نمی‌کند. این عدم توازن بین عرضه و تقاضا منجر به فشار زیادی بر بازار کار شده و سازمان‌ها را ناچار کرده تا از نیروهای غیرمتخصص استفاده کنند یا فرآیندهای حسابرسی را به شرکت‌های ثالث برون‌سپاری کنند.
در ایران این مساله ابعاد جدی‌تری دارد، چراکه نه تنها فرصت‌های آموزشی کافی وجود ندارد، بلکه بازار کار برای جذب و حفظ این نیروهای متخصص به اندازه کافی جذاب نیست. همین موضوع باعث شده که بسیاری از متخصصان حوزه فناوری اطلاعات مسیرهای شغلی دیگری مانند توسعه نرم‌افزار یا مدیریت پروژه را به حسابرسی ترجیح دهند و در نتیجه شکاف مهارتی همچنان پابرجا بماند.
- ضعف آموزشی و کمبود استادان این حوزه: یکی از چالش‌های مهم و کمتر دیده شده در توسعه حسابرسی فناوری اطلاعات، ضعف سیستم‌های آموزشی و کمبود اساتید متخصص در این حوزه است. طبق گزارش Global Knowledge (۲۰۲۲)، یکی از موانع اصلی پیشرفت حسابرسی فناوری اطلاعات، عدم وجود برنامه‌های آموزشی استاندارد و گسترده در سطح دانشگاه‌ها و مراکز آموزش عالی است. بسیاری از برنامه‌های آموزشی، یا بیش از حد بر مباحث فناوری تمرکز می‌کنند یا از سوی دیگر، به اصول حسابرسی سنتی محدود می‌شوند و به همین دلیل نمی‌توانند نیروی انسانی کارآمد و چندوجهی تربیت کنند.
تحقیق انجام شده توسط Bierstaker و Brody (۲۰۲۱) نیز نشان می‌دهد که کمتر از ۲۵ درصد دانشگاه‌های مطرح در جهان دوره‌های جامع و تخصصی حسابرسی فناوری اطلاعاترا در سطح کارشناسی یا کارشناسی ارشد ارائه می‌دهند. آنها بر این نکته تاکید دارند که کمبود اساتید با تجربه عملی و تسلط کافی بر هر دو حوزه فناوری و حسابرسی، مهم‌ترین مانع در رشد کیفی این آموزش‌ها محسوب می‌شود.
ISACA (۲۰۲۳) در تحلیل وضعیت آموزشی این حوزه اعلام کرده است که به‌دلیل تقاضای بالای بازار کار برای حسابرسان فناوری اطلاعات، فشار زیادی برای توسعه برنامه‌های آموزشی جدید به دانشگاه‌ها وارد شده است، اما فقدان استادان مجرب باعث شده این توسعه با کندی پیش برود. در واقع، آموزش حسابرسی فناوری اطلاعاتنیازمند مربیانی است که نه تنها دانش تئوری داشته باشند، بلکه تجربه عملی گسترده‌ای هم در زمینه اجرای حسابرسی فناوری اطلاعاتداشته باشند؛ چیزی که همچنان یک خلأ جدی محسوب می‌شود.
این کمبود در کشورهایی مثل ایران بسیار شدیدتر است، زیرا سیستم آموزش عالی کشور هنوز زیرساخت لازم برای توسعه این رشته‌ها را به‌طور جدی فراهم نکرده است و اغلب آموزش‌ها به‌صورت پراکنده یا در قالب کارگاه‌های کوتاه مدت ارائه می‌شوند. نبود مسیرهای آموزشی بلندمدت و حرفه‌ای موجب شده بسیاری از علاقه‌مندان این حوزه برای ارتقای مهارت‌های خود به منابع خارجی یا دوره‌های آنلاین بین‌المللی روی بیاورند که این خود چالش‌های دیگری مانند هزینه‌های بالا و عدم دسترسی برابر ایجاد می‌کند.
موانع فرهنگی و مدیریتی: از درک نادرست تا بی‌علاقگی و مقاومت سازمانی
یکی از چالش‌های مهم و پیچیده در حوزه حسابرسی فناوری اطلاعات، موانع فرهنگی و مدیریتی است که خود را در قالب درک نادرست مدیران، بی‌علاقگی سازمانی و همچنین مقاومت فعال یا پنهان سازمان‌ها در برابر توسعه این حوزه نشان می‌دهد. بسیاری از مدیران ارشد، حسابرسی فناوری اطلاعاترا هنوز به عنوان یک فرآیند صرفا فنی یا هزینه‌بر می‌شناسند و آن را بخشی از اولویت‌های راهبردی سازمان تلقی نمی‌کنند. طبق گزارشISACA (۲۰۲۲) ، نزدیک به ۵۴ درصد از مدیران ارشد جهانی اظهار کرده‌اند که اهمیت حسابرسی فناوری اطلاعات به اندازه کافی در هیات‌مدیره یا مدیریت کلان مطرح نمی‌شود که این موضوع خود یکی از دلایل کندی پیشرفت این حوزه است.
Abu-Musa (۲۰۲۱) اشاره می‌کند که حتی زمانی که مدیران به ظاهر از حسابرسی فناوری اطلاعاتحمایت می‌کنند، در عمل مقاومت‌های فرهنگی و ساختاری زیادی وجود دارد. این مقاومت‌ها می‌تواند شامل محدود کردن دسترسی حسابرسان به اطلاعات مهم، تاخیر در ارائه داده‌ها، یا حتی بی‌توجهی به توصیه‌ها و یافته‌های حسابرسی باشد. این مقاومت سازمانی، به ویژه در بخش‌های دولتی و سازمان‌های بزرگ، یکی از عوامل کلیدی عدم اثربخشی حسابرسی فناوری اطلاعاتاست.
Vasarhelyi وAlles (۲۰۲۰) بر این نکته تاکید دارند که این مقاومت سازمانی اغلب ناشی از ترس از شفافیت است. بسیاری از مدیران و واحدهای عملیاتی نگران آن هستند که اجرای حسابرسی فناوری اطلاعات، مشکلات یا نواقص موجود در زیرساخت‌های فناوری و امنیت سازمان را افشا کند که این خود می‌تواند به چالش‌های مدیریتی یا حتی تهدید جایگاه حرفه‌ای آنها منجر شود. این عامل باعث می‌شود حسابرسی فناوری اطلاعاتبه جای آنکه به عنوان یک ابزار حمایتی و بهبود‌دهنده دیده شود، بیشتر به چشم یک تهدید داخلی نگریسته شود.
این چالش‌ها در کشورهایی مانند ایران ابعاد عمیق‌تری پیدا می‌کند، زیرا نه تنها درک و آگاهی مدیران نسبت به اهمیت حسابرسی فناوری اطلاعاتپایین‌تر است، بلکه مقاومت سازمانی علیه توسعه این حوزه نیز به مراتب شدیدتر است. نبود فرهنگ پاسخ‌گویی شفاف و همچنین عدم نهادینه‌سازی فرآیندهای کنترل داخلی، شرایطی ایجاد کرده است که بسیاری از پروژه‌های حسابرسی فناوری اطلاعاتیا به کندی پیش می‌روند یا نتایج آنها به خوبی اجرا نمی‌شود.
سرعت بالای پیشرفت فناوری و تاثیر آن بر حسابرسیIT
یکی از چالش‌های بنیادین حوزه حسابرسی فناوری اطلاعات، سرعت بالای پیشرفت فناوری و تاثیر مستقیم آن بر پیچیدگی‌های این حوزه است. فناوری اطلاعات دائما در حال تحول است؛ از ظهور فناوری‌های ابری، اینترنت اشیا (IoT)، هوش مصنوعی (AI) و بلاک‌چین گرفته تا پیشرفت‌های روزافزون در حوزه امنیت سایبری. با توجه به این تغییرات سریع، حسابرسان فناوری اطلاعات نه تنها باید اطلاعات خود را به صورت مستمر به‌روز کنند، بلکه باید دائما مهارت‌ها و دانش خود را تطبیق دهند تا بتوانند به‌طور موثر ریسک‌ها و کنترل‌های جدید را شناسایی و ارزیابی کنند؛ این نیاز به آموزش مداوم، فشار مضاعفی بر حسابرسان وارد می‌کند.
طبق گزارش Deloitte (۲۰۲۳)، یکی از بزرگ‌ترین چالش‌های حسابرسی فناوری اطلاعات، همگام شدن با تغییرات فناوری است. این گزارش نشان می‌دهد که بیش از ۶۰درصد از حسابرسان فناوری اطلاعات احساس می‌کنند ابزارها و چارچوب‌های فعلی حسابرسی نمی‌توانند به سرعت نیازهای جدید بازار و فناوری‌های نوظهور را پاسخ دهند. این وضعیت منجر به شکاف‌های بالقوه‌ای در ارزیابی ریسک‌های فناوری و احتمال افزایش آسیب‌پذیری‌های سازمانی می‌شود.
در کشورهایی مانند ایران، حسابرسان فناوری اطلاعات اغلب با تاخیر چندساله به فناوری‌های جدید دست پیدا می‌کنند و این امر فاصله آنها با استانداردهای جهانی را بیشتر می‌کند، موضوعی که می‌تواند ریسک‌های گسترده‌تری برای صنایع کلیدی مانند بانکداری و بیمه ایجاد کند.
مدرک CISA: ابزاری کلیدی برای ارتقای مهارت‌ها و کیفیت حسابرسی فناوری اطلاعات
در مواجهه با چالش‌های متعدد حسابرسی فناوری اطلاعات، ضرورت تربیت حسابرسانی که هم از دانش فناوری و هم از اصول حسابرسی آگاه باشند بیش از هر زمان دیگری احساس می‌شود. یکی از شناخته شده‌ترین و معتبرترین گواهینامه‌های بین‌المللی در این زمینه، مدرک CISA است که توسط ISACA ارائه می‌شود. این مدرک با ارائه چارچوب‌ها، استانداردها و آموزش‌های تخصصی، نقش کلیدی در توانمندسازی حسابرسان فناوری اطلاعات ایفا می‌کند و آنها را برای مقابله با ریسک‌ها و پیچیدگی‌های روزافزون این حوزه آماده می‌سازد.
سرفصل‌های اصلی CISA به شرح ذیل است:
- فرآیند حسابرسی سیستم‌های اطلاعاتی: این بخش به روش‌ها و رویکردهای استاندارد برای برنامه‌ریزی، اجرا و گزارش دهی حسابرسی سیستم‌های اطلاعاتی می‌پردازد. به عبارتی در این بخش چرخه کامل حسابرسی و نحوه ارزیابی شواهد و کنترل‌ها بیان می‌شود.
- حاکمیت و مدیریت فناوری اطلاعات: این سرفصل به ارزیابی ساختار حاکمیتیIT در سازمان و همچنین بررسی مدیریت منابع و ریسک‌های فناوری اطلاعات اختصاص دارد. با اطلاعات ارائه‌شده در این بخش، حسابرس می‌تواند ارتباط بین اهداف کسب وکار و استراتژی‌هایIT را تحلیل کند.
- تملک، توسعه و پیاده‌سازی سیستم‌های اطلاعاتی: این بخش به بررسی کنترل‌های کلیدی در طول چرخه عمر توسعه سیستم‌ها می‌پردازد؛ از ارزیابی پروژه‌ها و مدیریت تغییرات گرفته تا اطمینان از انطباق با استانداردهای کیفیت و امنیت.
- عملیات، نگهداری و پشتیبانی سیستم‌های اطلاعاتی: تمرکز این سرفصل بر ارزیابی کنترل‌های عملیاتی، مدیریت حوادث، تداوم کسب‌وکار و بازیابی پس از بحران است. حسابرسان با اطلاعات ارائه‌شده در این بخش می‌توانند پایداری و تاب‌آوری سیستم‌های حیاتی سازمان را بررسی کنند.
- حفاظت از دارایی‌های اطلاعاتی: این قسمت یکی از مهم‌ترین بخش‌هایCISA است که به امنیت اطلاعات، مدیریت هویت و دسترسی و بررسی سازوکارهای مقابله با تهدیدات سایبری می‌پردازد.
این گواهینامه به حسابرسان فناوری اطلاعات کمک می‌کند تا مهارت‌های فنی و تحلیلی خود را به سطح استانداردهای جهانی برسانند و از سوی دیگر، به سازمان‌ها این اطمینان را می‌دهد که حسابرسی‌های فناوری اطلاعات به صورت حرفه‌ای و موثر انجام می‌شوند.
نتیجه‌گیری: مسیر پیشرو و پیشنهادها
با توجه به روندهای جهانی و نیازهای داخلی، روشن است که توسعه حسابرسی فناوری اطلاعاتنه یک انتخاب، بلکه یک ضرورت است. سازمان‌ها باید اهمیت این حوزه را درک کنند و استراتژی‌های بلندمدتی برای به‌کارگیری آن تعریف کنند. سرمایه‌گذاری در ابزارهای نوین حسابرسی و به‌کارگیری نیروی انسانی متخصص، به موفقیت سازمان‌ها در محیط رقابتی امروز کمک خواهد کرد. یکی از پیشنهادهای کلیدی، توجه ویژه به آموزش نیروی انسانی است. دولت‌ها و موسسات آموزشی می‌توانند با‌گسترش دوره‌های تخصصی و فراهم کردن بستر اخذ گواهینامه‌های معتبر بین‌المللی مانند CISA، به ارتقای سطح دانش تخصصی در این حوزه کمک کنند. همچنین ایجاد همکاری‌های بین‌المللی برای انتقال تجربیات موفق از کشورهای پیشرو، می‌تواند بسیار موثر باشد.
در سطح کلان، نیاز به اصلاحات قانونی و الزامات نظارتی وجود دارد تا سازمان‌ها ملزم به اجرای حسابرسی فناوری اطلاعاتشوند. این اصلاحات می‌تواند تضمین کند که امنیت و صحت داده‌ها در بالاترین سطح ممکن رعایت می‌شود و بازارهای مالی از ثبات بیشتری برخوردار خواهند بود.
در نهایت، حسابرسی فناوری اطلاعاتباید به‌عنوان یکی از ابزارهای کلیدی برای بهبود شفافیت و اعتماد عمومی‌به سیستم‌های مالی شناخته شود. تجربه کشورهای توسعه‌یافته نشان داده که سرمایه‌گذاری در این‌حوزه، بازدهی بالایی از نظر کاهش ریسک‌های عملیاتی و افزایش اعتماد سرمایه‌گذاران دارد.
* کارشناس ارشد فناوری اطلاعات بانکی