Постановление N 49 от 22.12.2015 по Отчету аудита ИТ "Обеспечивает ли автоматизированная информационная система "Социальная помощь" защиту активов, целостность данных и эффективное функционирование для достижения организационных целей и задач?"

СЧЕТНАЯ ПАЛАТА

ПОСТАНОВЛЕНИЕ

по Отчету аудита ИТ “Обеспечивает ли автоматизированная информационная

система  “Социальная помощь”  защиту  активов,  целостность  данных  и

эффективное функционирование для достижения организационных

целей и задач?”

№ 49  от  22.12.2015

 (в силу 29.01.2016) 

Мониторул Офичиал ал Р.Молдова № 20-24 ст. 5 от 29.01.2016

* * *

Счетная палата в присутствии исполняющего обязанности заместителя министра труда, социальной защиты и семьи г-на Б.Гылкэ, директора Национального совета по определению инвалидности и трудоспособности г-жи Л.Сокиркэ, начальника Социальной инспекции г-на М.Григорьева, начальника Управления социального обеспечения и защиты семьи сект.Чентру, мун.Кишинэу, г-жи Е.Паранченко, начальника Управления социального обеспечения и защиты семьи Криулень г-жи Л.Брынзэ, начальника Управления социального обеспечения и защиты семьи Хынчешть г-жи Т.Кэлугэру, начальника Управления социального обеспечения и защиты семьи Яловень г-жи М.Тыргоалэ, начальника Управления социального обеспечения и защиты семьи Теленешть г-жи А.Сырбу, начальника главного управления по разработке и развитию информационной системы Национальной кассы социального страхования г-на И.Кучаша, заместителя начальника главного управления внутреннего аудита Национальной кассы социального страхования г-жи Е.Цыбырнэ, а также других ответственных лиц указанных органов, руководствуясь ст.2 (1) и ст.4 (1) a) Закона о Счетной палате № 261-XVI от 5.12.2008¹, рассмотрела Отчет аудита ИТ “Обеспечивает ли автоматизированная информационная система “Социальная помощь” защиту активов, целостность данных и эффективное функционирование для достижения организационных целей и задач?”, проведенного в Министерстве труда, социальной защиты и семьи (далее – МТСЗС), со сбором аудиторских доказательств и в других публичных органах, вовлеченных во внедрение автоматизированной информационной системы “Социальная помощь”.

Аудиторская миссия проводилась на основании ст.28 и ст.31 Закона № 261-XVI от 5.12.2008 и в соответствии с Программой аудиторской деятельности Счетной палаты на 2015 год², учитывая компетенции, предложенные Всемирным банком, с целью получения компетентных, соответствующих и разумных аудиторских доказательств для поддержки констатаций и выводов, сформулированных в Отчете аудита, а также внесения в этом отношении конструктивных, надежных и полезных рекомендаций.

Аудит был запланирован и проведен в соответствии с Международными стандартами аудита, введенными в действие Счетной палатой³, Пособием по аудиту информационных технологий⁴, утвержденным Счетной палатой, а также передовыми практиками в области аудита информационных технологий.

Рассмотрев результаты аудита и заслушав представленный Отчет, а также объяснения ответственных лиц, присутствовавших на публичном заседании, Счетная палата

УСТАНОВИЛА:

Счетная палата проявляет заботу об интеллигентности/правильности, находящейся в основе инвестиций в информационные технологии (далее – ИТ), осуществляемых публичными органами, а также тем, что эти органы могут добиваться эффективности от использования публичных фондов и администрирования публичных услуг.

Автоматизированная информационная система “Социальная помощь” (далее – АИССП), закупленная за счет кредитов, предоставленных Всемирным банком, представляет собой перспективную инвестицию в ИТ, которая может существенно способствовать прогрессу проекта “Повышение эффективности сети социальной помощи”, а также успешной реализации реформы в области социальной помощи, и не только. Согласно нормативной базе⁵, МТСЗС является владельцем и держателем АИССП, будучи ответственным за обеспечение ее администрирования и постоянного развития путем создания необходимой и адекватной контрольной деятельности.

Основная цель АИССП, как было предусмотрено Постановлением Правительства № 1356 от 03.12.2008, состоит в повышении эффективности системы социальной помощи как путем предоставления инструмента непрерывного формирования, так и путем информационного обеспечения министерств, других центральных публичных органов и органов местного публичного управления, а также персонала системы социальной помощи. Первоначальная версия АИССП была запущена в производство в сентябре 2013 года и включала 2 основных модуля: “Социальные пособия” и “Социальные услуги”. Вместе с тем, учитывая и то, что в рамках структур МТСЗС имеются и другие подведомственные учреждения со специфической областью деятельности, однако с влиянием в секторе социальной помощи, при поддержке Всемирного банка, кроме 2 основных модулей, были развиты и интегрированы в АИССП 7 модулей, в том числе: “Социальная инспекция”, “НСОИТ”⁶, “Местный фонд” и “Республиканский фонд”, “Местные выплаты”, “Аккредитация”, “Отчетность и мониторинг”. Расширенная версия АИССП была сдана в эксплуатацию практически в сентябре 2015 года.

Посредством проведенных аудиторских процедур аудит приоритетно определил недостатки и дисфункциональности, которые в период сентября-ноября 2015 года повлияли на надлежащее функционирование расширенной версии АИССП, внеся соответствующие рекомендации, посредством которых они могут быть устранены, обеспечивая успешное внедрение системы в ближайшем будущем.

В период проведения аудита интегрированная с новыми функциональностями АИССП находилась на ранней стадии эксплуатации. В этом контексте необходимо отметить, что выводы аудита являются предварительными и относятся лишь к тому, что было реализовано до завершения миссии.

Исходя из констатаций и выводов аудита, изложенных в Отчете, отмечается наличие некоторых препятствий, проблем и дисфункциональностей, обусловленных в основном преждевременной сдачей в эксплуатацию АИССП. Этот факт может повлиять на успех АИССП и требует срочного принятия соответствующих мер вовлеченными ответственными сторонами с целью их устранения. Так, аудит делает вывод, что в период проведения аудита АИССП частично выполняла цель, для которой была создана: реализация единой системы для администрирования процесса предоставления и исчисления бенефициарам социальной помощи.

В 2015 году, аналогично прошлым годам (согласно результатам аудитов, проведенных Счетной палатой в 2013 и 2014 годах⁷), в АИССП были отмечены дисфункциональности, которые привели к непоставке полезной информации для процесса принятия решения или к предоставлению неполной/неправильной информации. В настоящее время информационная система не способствует в целом повышению эффективности деятельности, осуществляемой аудируемыми объектами, и не позволяет в оперативном порядке получать информацию, которая облегчит ее анализ, осуществление мониторинга эффективности и реализацию собственных задач.

Вместе с тем необходимо подчеркнуть факт, что МТСЗС не располагает достаточными ресурсами, в том числе человеческими, которые обеспечат адекватное и устойчивое администрирование АИССП, будучи зависимой в настоящее время от консультантов Всемирного банка, с которыми заключены договора на ограниченный срок. В этом отношении деятельность ряда субъектов, вовлеченных в использование системы, ограничена и недостаточностью необходимой вычислительной техники (компьютеров, принтеров и др.), что может повлиять на соответствующее применение АИССП и выполнение установленных задач.

В контексте вышеизложенного для реализации широкого спектра установленной деятельности МТСЗС необходима поддержка со стороны Правительства, а также конструктивное и прозрачное сотрудничество с субъектами, вовлеченными в использование АИССП. При отсутствии вышеуказанного будет сложно достичь значимых задач, предусмотренных в утвержденных документах политик.

Исходя из вышеизложенного, на основании ст.7 (1) а), ст.15 (2) и (4), ст.16 с) и ст.34 (3) Закона о Счетной палате № 261-XVI от 5.12.2008 Счетная палата

ПОСТАНОВЛЯЕТ:

1. Утвердить Отчет аудита ИТ “Обеспечивает ли автоматизированная информационная система “Социальная помощь” защиту активов, целостность данных и эффективное функционирование для достижения организационных целей и задач?” (прилагается).

2. Настоящее Постановление и Отчет аудита направить:

2.1) Министерству труда, социальной защиты и семьи для информирования и потребовать:

2.1.1) рассмотреть результаты аудита в присутствии подведомственных учреждений, а также территориальных управлений социального обеспечения и защиты семьи, пользователей АИССП с целью информирования их о результатах аудита и интенсификации необходимых усилий для обеспечения функционирования системы;

2.1.2) принять необходимые меры с целью устранения установленных аудитом недостатков путем внедрения рекомендаций, изложенных в Отчете аудита;

2.1.3) пересмотреть приложение № 1 к Положению о порядке установления и выплаты социального пособия⁸ с целью включения ряда норм относительно согласия субъекта (заявителя социальных выплат) для обработки персональных данных с представлением предложений по изменению в установленном порядке;

2.1.4) совместно с подведомственными учреждениями, процессы которых были автоматизированы и интегрированы в АИССП, инициировать полный пересмотр нормативной базы, соответствующей их деятельности, учитывая использование в этом отношении АИССП, с представлением в установленном порядке соответствующих предложений;

2.1.5) оценить потребности пользователей АИССП, в том числе относительно вычислительной техники, с целью обеспечения эффективной реализации деятельности по применению системы, с принятием соответствующих мер;

2.2) Агентству земельных отношений и кадастра для информирования, а также совместно с Министерством труда, социальной защиты и семьи рассмотреть и представить в установленном порядке соответствующие предложения с целью обеспечения взаимосвязи АИССП с автоматизированной информационной системой “Активный доступ к Регистру недвижимого имущества”;

2.3) Национальной кассе социального страхования, ГП “ЦГИР “Registru””, Национальной медицинской страховой компании для информирования и внедрения совместно с Министерством труда, социальной защиты и семьи рекомендаций из Отчета аудита;

2.4) Социальной инспекции, Национальному совету по определению инвалидности и трудоспособности, Республиканскому фонду по поддержке населения и управлениям социального обеспечения и защиты семьи сект.Чентру, мун.Кишинэу; мун.Бэлць; Криулень; Хынчешть; Яловень и Теленешть для ознакомления и принятия необходимых мер для обеспечения функционирования АИССП;

2.5) Офису Всемирного банка для информирования;

2.6) Правительству Республики Молдова для информирования;

2.7) Парламенту Республики Молдова для ознакомления и возможного использования при принятии решений, связанных с областью информационных технологий и коммуникаций.

3. О выполнении требований из подпунктов 2.1)–2.3) настоящего Постановления, в том числе о внедрении рекомендаций аудита проинформировать Счетную палату в течение 12 месяцев с даты публикации в Официальном мониторе Республики Молдова, с полугодовым информированием о принятых в этом отношении мерах.

4. Настоящее Постановление опубликовать в Официальном мониторе Республики Молдова в соответствии со ст.34 (7) Закона о Счетной палате.

____________________

¹ Закон о Счетной палате № 261-XVI от 5.12.2008, Официальный монитор Республики Молдова, 2008, № 237-240, ст.864.

² Программа аудиторской деятельности Счетной палаты на 2015 год, утвержденная Постановлением Счетной палаты № 57 от 8.12.2014 (с последующими изменениями).

³ ISSAI 100 “Основополагающие принципы аудита в публичном секторе”, ISSAI 300 “Основополагающие принципы аудита эффективности” и ISSAI 5310 “Методология пересмотра систем информационной безопасности – Руководство по пересмотру систем информационной безопасности в публичных органах”, введенные в действие постановлениями Счетной палаты № 60 от 10.12.2013 и, соответственно, № 7 от 10.03.2014.

⁴ Пособие по аудиту информационных технологий, утвержденное Постановлением Счетной палаты № 69 от 30.12.2010.

⁵ Постановление Правительства № 1356 от 3.12.2008 “Об утверждении структуры автоматизированной информационной системы “Социальная помощь”, с последующими изменениями и дополнениями, далее – Постановление Правительства № 1356 от 3.12.2008.

⁶ Модуль Национального совета по определению инвалидности и трудоспособности (далее – модуль “НСОИТ”).

⁷ Постановление Счетной палаты № 65 от 17.12.2013 “По Отчету аудита эффективности “Эффективно ли администрируются фонды программ социального пособия и направляются ли они малообеспеченным слоям населения?”; Постановление Счетной палаты № 22 от 6.05.2014 “По Отчету операционного аудита проекта “Услуги здравоохранения и социальной помощи” за период 2011–2013 годов”; Постановление Счетной палаты № 6 от 27.02.2015 “По Отчету аудита эффективности “Менеджмент управления программами социальной поддержки функционален, однако требует постоянного совершенствования”.

⁸ Постановление Правительства № 1167 от 16.10.2008.

Приложение

к Постановлению Счетной палаты

№ 49 от 22 декабря 2015 г.

ОТЧЕТ АУДИТА ИТ

“Обеспечивает ли автоматизированная информационная система “Социальная помощь”

защиту активов, целостность данных и эффективное функционирование для

достижения организационных целей и задач?”

Список аббревиатур

КРАТКИЙ ОБЗОР

Важной деятельностью, осуществляемой при поддержке внешних доноров в рамках системы социальной помощи, была разработка нового автоматизированного инструмента институционального менеджмента. Так, при поддержке Всемирного банка в рамках МТСЗС была развита автоматизированная информационная система “Социальная помощь” (далее – АИССП).

АИССП представляет собой перспективную инвестицию в ИТ, которая может существенно способствовать прогрессу проекта “Повышение эффективности сети социальной поддержки” путем снижения времени и необходимых ресурсов для успешной реализации реформы в области социальной поддержки. Конечными пользователями АИССП являются граждане, государственные служащие и правительственные/местные субъекты, а также другие государственные учреждения.

Основная цель АИССП, как было предусмотрено Постановлением Правительства № 1356 от 3.12.2008, состоит в повышении эффективности системы социальной помощи как путем предоставления механизма непрерывного формирования, а также путем информационного обеспечения министерств, других центральных административных органов и органов местного публичного управления, а также персонала системы социального обеспечения. АИССП представляет собой единую систему учета всех просителей и бенефициаров социальной помощи и не только, состоит из комплекса программных и технических информационных и организационных ресурсов, а также систем передачи и использования данных, методов и персонала, предназначенных для осуществления информационной поддержки системы социальной помощи.

Задачи деятельности и технические требования системы были впоследствии установлены, а аспекты, связанные с проектированием, разработкой, тестированием и внедрением, подлежали аутсорсингу после того, как были выставлены на конкурентоспособные международные торги. Стоимость разработки АИССП, которая включает 2 основных модуля (“Социальные выплаты” и “Социальные услуги”), составила 1265,0 тыс. долларов США, она была запущена в действие начиная с октября 2013 года, имея основной целью определение соответствия требованиям и исчисление права потенциальных бенефициаров социальной помощи и пособия на холодный период года, с хранением соответствующей информации для внедрения и осуществления мониторинга программ социальной помощи.

АИССП ориентирована, в первую очередь, на сектор социальных выплат и услуг, но учитывает и то, что в рамках структур МТСЗС имеются и другие подведомственные учреждения, которые имеют другую ориентацию в области деятельности, однако с влиянием в секторе социальной поддержки, при поддержке Всемирного банка были развиты отдельные модули и интегрированы в АИССП. Так, новый договор по расширению функциональностей АИССП, подписанный с тем же поставщиком, включил оптимизацию и развитие существующих модулей, а также создание 7 новых модулей/подмодулей, в том числе: “Социальная инспекция”, “Национальный совет по определению инвалидности и трудоспособности”, “Местный фонд” и “Республиканский фонд”, “Местные выплаты”, “Аккредитация”, “Отчетность и мониторинг”. Стоимость функционального расширения АИССП составила 637,0 тыс. долларов США, а запуск системы в производство состоялся в августе 2015 года.

Учитывая обязательства, содержащиеся в Соглашении о финансировании, которые предусмотрены в проекте “Повышение эффективности сети социальной поддержки”, заключенном между Республикой Молдова и Международной ассоциацией по развитию, Счетная палата имеет обязательство по проведению аудита указанного проекта путем реализации аудитов эффективности и аудита ИТ автоматизированной информационной системы “Социальная помощь”. Ранее, в 2013 и 2014 годах, Счетная палата реализовала 2 миссии аудита эффективности в МТСЗС и в других учреждениях, вовлеченных в реализацию проекта “Повышение эффективности сети социальной поддержки”, в рамках которых аудиторы рассмотрели проблемы о целостности данных, имеющихся в АИССП, а также об эффективности ее функционирования для достижения организационных целей и задач, направив некоторые рекомендации с целью консолидации ИС.

В этом отношении Всемирный банк сформулировал задания, согласно которым Счетная палата должна провести аудит ИТ АИССП. Основная цель аудита состояла в определении того, если система активно защищена, поддерживает целостность данных и эффективно функционирует для достижения организационных целей и задач. В этом контексте и в соответствии с Программой аудиторской деятельности Счетной палаты на 2015 год в сентябре-декабре 2015 года был реализован аудит информационных технологий по теме: “Обеспечивает ли автоматизированная информационная система “Социальная помощь” защиту активов, целостность данных и эффективное функционирование для достижения организационных целей и задач?”

Путем проведения этого аудита Счетная палата предложила дать ответ на указанный вопрос, представляет ли АИССП успешное решение в области развития ИТ, в том числе на перспективу. В этом отношении Счетная палата установила, если деятельность, процессы и проведенные МТСЗС контроли в целях реализации проекта по развитию и внедрению АИССП были хорошо разработаны и управлялись должным образом до декабря 2015 года и если внесенные изменения и другие соответствующие факторы, которые вмешались в ходе выполнения, были восприимчивы для существенного влияния на основные выявленные недостатки.

Аудит был проведен в соответствии со стандартами аудита, применяемыми Счетной палатой, Пособием по аудиту информационных технологий, а также передовыми международными практиками в данной области при поддержке экспертов, вовлеченных в рамках Проекта Всемирного банка “Консолидация потенциала Счетной палаты Республики Молдова”.

Аудит считает, что путем получения ответов на вопросы аудита, согласно установленным целям, можно понять аспекты нынешней ситуации по внедрению АИССП и одновременно можно будет легко выявить возможности по улучшению ситуации в пользу заинтересованных сторон, особенно МТСЗС, СИ, НСОИТ и других вовлеченных публичных органов, пользователей системы.

Общий вывод аудита заключается в том, что в целом, с некоторыми резервами по улучшению, АИССП, которая находится на начальном этапе эксплуатации/внедрения, представляет собой перспективный потенциал по достижению желаемого воздействия и существенный вызов для автоматизации бизнес-процессов, связанных с областью социальной помощи или с влиянием на нее. Вместе с тем аудитом установлены некоторые проблемы, недостатки, а также другие факторы, которые могут повлиять на адекватную функциональность АИССП (ограниченные человеческие ресурсы министерства, вовлеченные во внедрение комплексной ИС, и др.). Так, выявление и эффективное управление рисками для успешного внедрения системы ответственными сторонами, считаются максимально важными. Также, если министерство совместно с заинтересованными сторонами примет необходимые меры для внедрения направленных аудитом рекомендаций, а также проанализирует и устранит дисфункциональности и ошибки системы, отраженные в настоящем Отчете, тогда предложенные цели как для АИССП, так и для организационных задач субъектов пользователей модулей АИССП в целом могут быть достигнуты соответствующим образом. В этом контексте необходимо отметить и вклад группы, ответственной за внедрение АИССП до настоящего времени, который должен быть обеспечен в будущем, для решения недостатков и обеспечения адекватной функциональности системы.

Учитывая то, что внедрение АИССП находится на ранней стадии, следует отметить, что выводы аудита, безусловно, имеют предварительный характер. Они не должны быть интерпретированы в качестве комментария по внедрению АИССП в целом, ни способностей аудируемых сторон/субъектов за областью применения текущего аудита.

Обобщение основных результативных констатаций и выводов, следуемых из аудиторской деятельности, свидетельствует о следующем.

♦ Для разработки и внедрения АИССП были использованы инструменты и техники менеджмента проекта, признанные на международном уровне, однако неадекватное управление рисками обусловило недостатки и дисфункциональности по реализации ключевых задач деятельности, что требует особого внимания и принятия соответствующих мер с целью создания эффективного механизма управления рисками для обеспечения устойчивости системы.

♦ Недооценка сложности процессов, находящихся в основе модулей АИССП, человеческих ресурсов и необходимого времени для их развития, а также недостаточное тестирование модулей АИССП и преждевременная сдача их в эксплуатацию имели отрицательные последствия на использование АИССП, а также на реализацию установленных задач.

♦ Отсутствие возможности по генерированию отчетов по различным разделам делает невозможным оценить эффективность работы для пользователей, а отсутствие доступа к историческим данным для пользователя или для владельца системы приводит к формированию ошибочной статистики, а также к формулированию неправильных решений, которые могут привести к отрицательным результатам. Аналогично отчеты по управлению представляют собой совершенный инструмент для осуществления внутреннего контроля, а их отсутствие демонстрирует недостаточность контроля при выполнении служебных полномочий.

♦ Последовательное управление ИС такого масштаба требует в обязательном порядке адекватной разработки и использования комплексного набора политик, стандартов и других регламентирующих документов. Вместе с тем поддержание их актуализации путем их пересмотра и развития продолжает представлять особый интерес, так как их наличие и качество влияют напрямую на все находящиеся в управлении активы. В этом контексте аудит отмечает, что хотя имеются некоторые документы, необходимые для функционирования АИССП, они должны быть пересмотрены/приведены в соответствие согласно новым функциональностям ИС.

♦ Соответствующее документирование изменений, внесенных в разделы баз данных, код-источник и своевременная актуализация технической документации имеют прямое влияние на способность МТСЗС обеспечить непрерывность функционирования АИССП. Сохранение неадекватного контроля над ней приведет к росту рисков, связанных с возможностью предоставления качественных социальных услуг, а также других видов услуг, создаваемых АИССП.

♦ Формализация отношений с пользователями АИССП с установлением требований и условий по выполнению соответствующей деятельности и созданию механизма по адекватной коммуникации и мониторингу необходима для обеспечения функциональности АИССП.

♦ Правильное и согласованное формирование информационных ресурсов в области социальной помощи путем обмена информацией с соответствующими ресурсами других релевантных учреждений (НКСС, НАЗН и др.) имеет прямое влияние на качество данных АИССП. В контексте расширения функциональностей АИССП, в том числе путем включения новых модулей, которые направлены на отдельные и сложные процессы, необходимы пересмотр существующих соглашений, а также заключение других с компетентными учреждениями с целью обеспечения необходимыми и соответствующими данными пользователей системы и исключения дублирования или генерирования неиспользуемых и противоречивых данных.

♦ Хотя путем утверждения политики защиты данных, имеющих персональный характер, и Положения об информационной безопасности МТСЗС были установлены базы для обеспечения информационной безопасности АИССП, в том числе конфиденциальности данных, имеющих персональный характер, аудитом установлено несоответствующее применение их требований, что в период аудита обусловило неограниченный доступ в АИССП, усиливающий риск по информационной безопасности и конфиденциальности данных, имеющих персональный характер. Вместе с тем логический доступ к АИССП требует постоянного контроля для более эффективного обеспечения конфиденциальности данных.

♦ Несмотря на то, что в настоящее время обеспечивается реализация резервных копий компонентов АИССП, МТСЗС не располагает документированными процедурами о порядке и периодичности их выполнения. Вместе с тем отсутствие Плана обеспечения непрерывности и Плана восстановления в случае аварии (BCP и DRP) повышает риск невосстановления АИССП в случае материализации этих рисков.

♦ Хотя контроли одного приложения используются для предоставления подтверждения (в основном менеджменту), что произведенные сделки являются доступными, разрешенными и зарегистрированными, аудитом установлен неадекватный характер или даже отсутствие их в АИССП, особенно модуля “Социальная помощь”. Так, неконфигурация контролей по предупреждению и/или выявлению потенциальных ошибочных обработок имеет прямое влияние на качество данных, обработанных АИССП.

♦ Несмотря на то, что большинство обращений пользователей зарегистрировано в центре помощи, а возникающие проблемы описаны достаточно хорошо, отсутствуют методы отчетности соответствующей единицы перед руководством МТСЗС. В результате зарегистрированные события подробно не проанализированы для использования в процессе принятия решений или для внесения изменений/корректировок в ИС или инфраструктуру.

♦ Контроль за изменениями необходим для получения подтверждения того, что информационные системы продолжают адекватно функционировать, так, как было предусмотрено, независимо от изменений или корректировок, произведенных в ходе всего из жизненного цикла. Недооценка потребностей в техническом обеспечении, сети, а также риска относительно увеличения числа пользователей и объема операций определила снижение производительности и доступности АИССП, повышение длительности обработки заявлений и времени ответа системы.

Обобщение этих, а также отраженных в констатациях аудита выводов указывает на ряд важных аспектов, которые требуют вмешательства, в этом отношении был направлен ряд рекомендаций для устранения несоответствий и улучшения деятельности в аудируемых областях.

Рекомендации аудита

Рекомендации руководству МТСЗС

1. Создать адекватный механизм по управлению рисками, в том числе проектов, с целью обеспечения успешной реализации установленных задач.

2. Провести исчерпывающую оценку рисков, связанных с внедрением АИССП, с принятием соответствующих мер для обеспечения их функциональности и стабильности.

3. Провести миссии внутреннего аудита по осуществляемым проектам с целью оценки эффективности процессов/процедур по их внедрению.

4. Проанализировать ошибки и дисфункциональности, генерируемые АИССП, а также их причины с принятием необходимых мер по их устранению с целью обеспечения функциональности модулей АИССП.

5. Разработать и внести для утверждения в установленном порядке проекты нормативных актов, в том числе положения о функционировании АИССП, с целью обеспечения необходимыми инструментами и рычагами для эффективного управления АИССП.

6. Совместно с субъектами, деятельность которых была автоматизирована и интегрирована в АИССП, пересмотреть нормативную базу, связанную с деятельностью соответствующих субъектов, с целью приведения адаптированных бизнес-процессов в соответствие с новыми функциональностями АИССП.

7. Пересмотреть документы по политике безопасности и конфиденциальности данных с целью приведения их в соответствие с нынешними условиями/потребностями в контексте расширения функциональностей АИССП, увеличения числа пользователей и вовлечения большего числа учреждений в формирование информационных ресурсов.

8. Обеспечить внедрение внутренних положений в области информационной безопасности и защиты данных, имеющих персональный характер, путем создания менеджерских инструментов, необходимых для их применения и мониторинга.

9. В зависимости от внесенных изменений в потоки модулей, интегрированных в АИССП, обеспечить приведение в соответствие и дополнение документации, связанной с функционированием АИССП (руководства/пособия для пользователей, руководство для администратора АИССП, техническая документация инфраструктуры и др.).

10. Обеспечить соблюдение процедур менеджмента изменений с адекватным документированием изменений, внесенных в АИССП.

11. Обеспечить более активное участие работников министерства во всех этапах управления/развития системы с целью формирования институциональной памяти и обеспечения устойчивости АИССП.

12. Оказывать необходимую поддержку пользователям модулей, интегрированных в АИССП, для обеспечения адекватной функциональности системы и реализации целей, для которых она была создана.

13. Четко определить роли пользователей для каждого уровня доступа к приложению с документированием критериев в зависимости от предоставления права доступа.

14. Совместно с субъектами, которые используют модули АИССП, обеспечивать периодическую актуализацию списков пользователей, имеющих право доступа к АИССП.

15. Создать процедуры о порядке и периодичности проведения и тестирования резервных копий АИССП с обязательным их документированием.

16. Разработать и утвердить План обеспечения непрерывности и План восстановления в случае аварии, в том числе соответствующие процедуры и документацию, с периодическим проведением мониторинга и тестирования их реализации с целью обеспечения устойчивости АИССП.

17. Выявить форму и периодичность составления отчетности центром помощи /группой содержания АИССП в рамках субподрядчика по ошибкам, генерируемым АИССП, и запросов пользователей по проблемам, возникшим при использовании системы.

18. Интенсифицировать процедуры по мониторингу решения проблем, сообщенных пользователями, с целью обеспечения удовлетворения пользователей АИССП и адекватной функциональности системы.

Рекомендации руководству МТСЗС и НМСК

19. Заключить соглашения по формализации обмена данными, необходимыми для правильного и плотного формирования информационных ресурсов, связанных с функционированием АИССП.

Рекомендации руководству МТСЗС совместно с НКСС и ГП «ЦГИР “Registru”»

20. Пересмотреть заключенные соглашения по обмену информацией между ИС учреждений, учитывая внесенные в результате расширения функциональностей АИССП изменения, для обеспечения доступности к необходимым и релевантным данным пользователям системы и исключения дублирования или генерирования неиспользуемых и противоречивых данных.

ВВЕДЕНИЕ

В качестве основания для предоставления общего видения об автоматизированной информационной системе “Социальная помощь”, выполняемых ею функциях, а также об описании правовой, информационной базы и взаимодействии с другими ИС послужило Постановление Правительства № 1356 от 3.12.2008¹. АИССП представляет собой единую систему учета всех просителей и бенефициаров социальной помощи и состоит из комплекса программных и технических информационных и организационных ресурсов, а также систем передачи и использования данных, методов и персонала, предназначенных для осуществления информационной поддержки системы социальной помощи.

АИССП предназначена для сбора, хранения, обработки и распространения центральным и местным органам публичного управления, юридическим и физическим лицам информации о бенефициарах, учреждениях и услугах системы социальной помощи. В то же время АИССП является рабочим инструментом для социальных ассистентов, помогающим им пройти все этапы, необходимые для решения каждого случая.

Основная цель АИССП состоит в повышении эффективности системы социальной помощи как путем предоставления инструмента непрерывного формирования, а также путем информационного обеспечения министерств, других центральных публичных органов и органов местного публичного управления, а также персонала системы социальной помощи. Владельцем и держателем АИССП является МТСЗС.

С целью внедрения АИССП МТСЗС при поддержке Всемирного банка (далее – ВБ) запустило проект “Услуги здравоохранения и социальной помощи – приложение программного обеспечения для автоматизации информационной системы “Социальная помощь””. Так, в результате проведения вторых международных торгов МТСЗС заключило в 2010 году Договор² о разработке и внедрении автоматизированной информационной системы “Социальная помощь” в размере 1265,0 тыс. долларов США и в 2012 году другой Договор³ о поставке оборудования технического обеспечения и ассоциированных услуг, необходимых для внедрения инфраструктуры ИТ АИССП, на сумму 2490,0 тыс. долларов США. Операционные приемки были подписаны МТСЗС для указанных договоров 28.08.2013 для АИССП и, соответственно, 20.09.2012 для инфраструктуры ИТ АИССП. Запуск в эксплуатацию АИССП был произведен в сентябре 2013 года на основании Приказа № 144/a от 28 августа 2013 года⁴.

Первоначально, согласно техническим спецификациям, АИССП содержала 2 основных модуля:

1) модуль “Социальные выплаты”, в основе которого находится программа социального пособия и пособия на холодный период года, и

2) модуль “Социальные услуги”.

Краткий обзор потребностей МТСЗС свидетельствует, что АИССП должна быть центральной компьютеризированной системой, которая позволит управлять и осуществлять мониторинг данных о бенефициарах и небенефициарах денежных выплат и социальных услуг, хранить индивидуальные карточки для каждого активного и пассивного бенефициара, аналогично как и оплата выплат, управлять случаем и обменом данными с другими учреждениями. В результате проведения функционального анализа системы социальной помощи члены группы по внедрению ранее указанного проекта вместе с группой экспертов пришли к выводу о необходимости расширения функциональностей АИССП. Таким образом, с согласия Всемирного банка Министерство в апреле 2014 года заключило договор⁵ с тем же поставщиком о расширении функциональностей АИССП в размере 637 тыс. долларов США, из которых: 240 тыс. долларов США – за счет кредита, финансируемого в рамках проекта “Услуги здравоохранения и социальной помощи”, и 397 тыс. долларов США – за счет кредита, финансируемого в рамках проекта “Повышение эффективности сети социальной поддержки”⁶.

Внедрение функционального расширения системы охватило, помимо функционального расширения существующих модулей “Социальная помощь” и “Социальные услуги”, и развитие новых модулей/подмодулей, интегрированных в АИССП, которые автоматизируют основную деятельность некоторых подведомственных министерству учреждений. Так, АИССП ориентирована, в первую очередь, на сектор социальных выплат и услуг, а учитывая то, что в рамках структур МТСЗС имеются и другие подведомственные учреждения, которые имеют другую ориентацию в области деятельности, однако с влиянием в секторе социальной поддержки, были разработаны следующие модули: “Социальная инспекция”, “НСОИТ”, “Местный фонд” и “Республиканский фонд”, “Местные выплаты”, “Отчетность и мониторинг” и “Аккредитация”.

Вместе с тем, согласно техническим требованиям Договора, расширение функциональностей АИССП предусматривало:

♦ оптимизацию существующих интерфейсов для пользователей АИССП в результате внедрения новых функциональностей и максимального использования системы для повышения результативности операторов АИССП;

♦ оптимизацию структуры базы данных относительно введения в действие новых функциональностей;

♦ оценку возможностей подключения (в зависимости от технических возможностей учреждения) АИССП для обмена данными с внешними учреждениями, а именно: с Министерством просвещения; Департаментом пенитенциарных учреждений; Агентством “Cadastru”; Главной государственной налоговой инспекцией; Министерством юстиции; Министерством внутренних дел; другими государственными учреждениями.

Операционная приемка для расширенной АИССП была подписана МТСЗС 15.07.2015, а согласно Приказу № 107 от 2.07.2015⁷ система вместе с интегрированными модулями была сдана в эксплуатацию 1.08.2015.

Потенциал АИССП существенно способствовать реформированию и повышению эффективности системы социальной помощи трудно недооценить. Если будут созданы соответствующие условия, АИССП может быть эффективным инструментом в достижении организационных задач (политик в области социальной помощи). Так, обеспечение адекватных условий для максимизации бенефициаров может включать:

♦ адекватный характер АИССП в реализации задач, для которых она была внедрена, с целью повышения эффективности деятельности и обеспечения прозрачности связанных с нею процессов;

♦ наличие технических компетенций и менеджмента, необходимых для обработки и администрирования АИССП;

♦ внедрение последовательных техник менеджмента рисков (функционального и адекватного механизма управления рисками, связанными с АИССП);

♦ дальнейшую поддержку гражданами и Правительством Республики Молдова, а также международными агентствами по развитию и другими лицами, вовлеченными в проект развития АИССП, в том числе поставщиком платформы;

♦ доверие пользователей к модулям АИССП как надежному месту для осуществления электронной деятельности, а также выполнения их потребностей в деятельности и уставных обязательств;

♦ создание благоприятной/адекватной законодательно-нормативной базы.

Счетная палата подтверждает важность этих условий, а также других факторов, которые могут придать импульс успешному внедрению АИССП. Так, выявление рисков видится как значительная ответственность, а адекватное управление этими рисками ответственными сторонами считается максимальной важностью. Необходимо отметить, что аудит озабочен пониманием/правильностью, стоящей в основе инвестиций публичных органов, подведомственных Правительству, в ИТ в контексте обеспечения большей эффективности и результативности при реализации соответствующей деятельности.

Этим отчетом аудита Счетная палата желает, чтобы читатель оценил некоторые из трудностей, которые необходимо преодолеть, чтобы позволить преобладать лучшим условиям для достижения успеха. Не удивителен факт выявления рисков и проблем в одном проекте развития, а также во внедрении комплексной ИС, которая вовлекает множество участников. Сложность системы и масштабность применения бизнес-процессов превращает в первичное условие необходимость адекватного управления на высшем уровне ИТ.

Ссылаясь на аудит ИТ, одной из целей выявления недостатков менеджмента и контроля является способствование пониманию проблем или потенциальных проблем так, чтобы они могли быть подняты своевременно и эффективно, с получением доверия, что могут трансформироваться в возможное улучшение или успех.

В конце концов, необходимо отметить и факт, что аудит АИССП не был без вызовов или сложностей, которые включали:

♦ существующая версия АИССП находится на начальном этапе эксплуатации, фактический запуск состоялся в конце сентября текущего года;

♦ комплексная законодательно-нормативная база, стоящая в основе развития модулей, интегрированных в АИССП;

♦ внутренняя нормативно-регулирующая база, относящая к АИССП, не актуализирована к новым требованиям, в том числе в результате функционального расширения системы путем разработки новых интегрированных модулей/подмодулей;

♦ сложная конъюнктурная политика в период разработки АИССП, в том числе по причине изменений/отставки Правительства;

♦ присущие трудности при проведении аудита процессов менеджмента ИТ, если эти процессы не формализованы и не зарегистрированы.

Некоторые из этих вызовов повлияли не только на уровень сложности аудита, но и прямым способом на внедрение АИССП в целом. Кроме того, учитывая, что эксплуатация АИССП находится на начальном этапе, выводы, к которым пришла миссия относительно аспектов, включенных в область применения аудита, могут считаться временного характера. Вместе с тем принятие необходимых мер будет способствовать обеспечению достижения предложенных целей в результате внедрения АИССП.

____________________

¹ Постановление Правительства № 1356 от 3.12.2008 “Об утверждении структуры автоматизированной информационной системы “Социальная помощь”, с последующими изменениями и дополнениями (далее – Постановление Правительства № 1356 от 3.12.2008).

² Договор G/11/S/IDA от 24.12.2010 “О разработке и внедрении автоматизированной информационной системы “Социальная помощь””, включая 3 поправки к нему.

³ Договор G/13-S/IDA от 30.01.2012 “О поставке оборудования технического обеспечения и ассоциированных услуг, необходимых для внедрения инфраструктуры ИТ автоматизированной информационной системы “Социальная помощь””, включая 3 поправки к нему.

⁴ Приказ МТСЗС № 144/a от 28.08.2013 “Об автоматизированной информационной системе “Социальная помощь”” (далее – Приказ № 144/a от 28.08.2013).

⁵ Договор G/25-S/IDA от 29.04.2014 “Функциональное расширение автоматизированной информационной системы “Социальная помощь””, включая 2 поправки (далее – Договор G/25-S/IDA от 29.04.2014, при необходимости, Договор).

⁶ Закон № 174 от 28.07.2011 о ратификации Финансового соглашения между Республикой Молдова и Международной ассоциацией развития для реализации проекта “Повышение эффективности сети социальной поддержки”.

⁷ Приказ министра МТСЗС № 107 от 2.07.2015 “О внедрении функционального расширения автоматизированной информационной системы “Социальная помощь”” (далее – Приказ № 107 от 2.07.2015).

СФЕРА И ПОДХОД К АУДИТУ

В рамках этой миссии, имея в основе требования, согласованные со Всемирным банком, Счетная палата, будучи мотивированная повышенным интересом со стороны общества, международных организаций и зарубежных доноров по реформированию системы социальной помощи путем внедрения и эффективного использования ИТ, провела в сентябре-ноябре 2015 года аудит информационных технологий по теме: “Обеспечивает ли автоматизированная информационная система “Социальная помощь” защиту активов, целостность данных и эффективное функционирование для достижения организационных целей и задач?” Миссия аудита была запланирована и реализована в соответствии с Программой аудиторской деятельности на 2015 год⁸, согласно положениям соответствующих международных стандартов аудита, введенных в действие Счетной палатой⁹, Пособия по аудиту ИТ Счетной палаты¹⁰ и передовых практик в области аудита ИТ¹¹.

____________________

⁸ Программа аудиторской деятельности Счетной палаты на 2015 год, утвержденная Постановлением Счетной палаты № 57 от 8.12.2014 (с последующими изменениями).

⁹ ISSAI 100 “Основополагающие принципы аудита в публичном секторе”, ISSAI 300 “Основополагающие принципы аудита эффективности” и ISSAI 5310 “Методология пересмотра систем информационной безопасности – Руководство по пересмотру систем информационной безопасности в публичных органах”, введенные в действие постановлениями Счетной палаты № 60 от 10.12.2013 и, соответственно, № 7 от 10.03.2014.

¹⁰ Пособие по аудиту информационных технологий, утвержденное Постановлением Счетной палаты № 69 от 30.12.2010.

¹¹ COBIT 4.1. – Система отсчета, задачи контроля, Руководство для менеджмента, модели зрелости (далее – COBIT 4.1.).

Основная цель аудита состояла в рассмотрении развития и внедрения АИССП до настоящего времени для получения понимания о деятельности, процессах и контролях, проводимых МТСЗС в целях успешной реализации проекта, предоставления ряда жизнеспособных и своевременных рекомендаций, которые будут способствовать обеспечению реализации предложенной цели.

Путем получения ответов на сформулированные вопросы будет возможно понять текущую ситуацию по эксплуатации АИССП и в то же время выявить возможности по ее улучшению в пользу заинтересованных сторон, в частности МТСЗС и подведомственных учреждений, пользователей модулей, интегрированных в АИССП (Социальной инспекции, НСОИТ, Республиканского фонда и Местного фонда, НСАПСУ (Национального совета по аккредитации поставщиков социальных услуг), а также территориальных УСОЗС. Вместе с тем аудиторы оценили, если МТСЗС приняло адекватные корректирующие меры в подходе к выводам и рекомендациям из предыдущих аудитов, связанным с внедрением АИССП, которые являются существенными в контексте реализации целей аудита. Исходя из предпосылки, что АИССП представляет собой единую систему учета всех просителей и бенефициаров социальной помощи, аудиторская группа оценила и протестировала контроли входа, обработки и выхода данных, существующих в модуле “Социальной помощь”, в одном из 2 основных модулей ИС.

В этом контексте аудит акцентировал внимание на получении ответов на следующие вопросы:

1. Как проконтролировало МТСЗС развитие и внедрение АИССП?

2. Являются ли общие контроли адекватными для обеспечения безопасности и конфиденциальности данных из АИССП?

3. Обеспечивают ли контроли приложения целостность данных?

Независимость аудита

Счетная палата формулирует выводы аудита независимо от учреждения(-ий), которые являются объектом проведения аудита, и независимо от другого внешнего влияния. В этом отношении, при реализации аудиторской миссии Счетная палата соблюдала принципы Мексиканской декларации о независимости аудита”.

Критерии аудита и их источники

Критериями аудита являются требования, используемые для оценки или измерения в последовательном и разумном порядке специфической цели аудиторской миссии. Аудитом установлен ряд критериев аудита относительно развития, внедрения и мониторинга/оценки механизма менеджмента проекта, а также по функционированию некоторых модулей, интегрированных в АИССП. Эти критерии были разработаны исходя из предыдущих аудитов ИТ Счетной палаты, а также на основании законодательства, документов менеджмента проектов и других соответствующих публикаций.

Так, с целью эффективной и надлежащей реализации аудита используемые критерии аудита были установлены из следующих источников:

♦ законодательно-нормативная база, соответствующая данной области;

♦ внутренняя регулирующая база МТСЗС, а также документы менеджмента проекта, в том числе планы по тестированию, менеджменту проекта, отчеты о достижениях, договоры об оказании услуг, протоколы и др.;

♦ передовые международные практики в области ИТ, соответствующие международные стандарты и др.

Критериями аудита, идентифицированными из указанных источников, являются следующие, но не ограничиваются при:

• организационной и функциональной способности реализации проекта МТСЗС, в том числе наличии адекватного плана менеджмента проекта для управления и контроля области применения проекта;

• наличии ряда адекватных процедур по мониторингу и оценке действий в ходе осуществления проекта;

• наличии адекватной системы менеджмента рисков на уровне субъекта;

• возможности проекта или предпринятых действий по отношению к потребностям бенефициаров/пользователей АИССП;

• наличии эффективной системы и необходимой поддержки, обеспечивая облегчение с технической точки зрения использования модулей, интегрированных в АИССП вовлеченными субъектами (пользователями АИССП), уровень удовлетворения потребностей пользователей;

• множительном воздействии проекта или действий с целью реализации предложенных задач и др. Подробное видение об источниках по используемым аудиторами критериям представлено в приложении № 2 к настоящему Отчету.

Счетная палата получила консультации экспертов в области аудита ИТ, вовлеченных в рамках проекта Всемирного банка “Консолидация потенциала Счетной палаты Республики Молдова”, Паула O′Нейлла и Адриана Джолиффе относительно действенности и выполнимости этих критериев аудита и проанализировала соответствующую специализированную международную литературу.

Сфера аудита охватила выполнение соответствующих мероприятий МТСЗС и 6 УСОЗС: Бэлць, Теленешть, Яловень, Криулень, Хынчешть и сект.Чентру, мун.Кишинэу, вместе с тем были собраны аудиторские доказательства от Социальной инспекции, Республиканского фонда по поддержке населения (далее – Республиканский фонд), НСОИТ и НКСС. Аудит оценил порядок, в котором аудируемые субъекты были вовлечены в развитие и внедрение в течение 2015 года существующей версии АИССП, идентифицировав полученные результаты вследствие реализации принятых мер, а также задачи, имеющие низкий уровень выполнения, подчеркивая причины, которые обусловили невыполнение в целом предложенных задач для совершенствования системы.

Подход к аудиту был комбинированным, ориентированным на систему и выявление проблем, дисфункциональностей, которые затянули реализацию установленных задач и требований путем определения наличия, внедрения и мониторинга адекватных контролей, связанных с аудируемой областью. Вместе с тем аудит сконцентрировался на выявлении наиболее важных достижений, зарегистрированных в реализации решений по развитию и внедрению АИССП до настоящего времени.

Методология аудита охватила основные процедуры аудита, а именно: прямое наблюдение, рассмотрение документов, интервьюирование и опрос пользователей АИССП /участников процесса с последующим анализом и обработкой результатов. В рамках аудиторской миссии были собраны, обобщены, проанализированы и интерпретированы все виды аудиторских доказательств: физические, устные, документированные и аналитические. С целью получения аудиторских доказательств был применен ряд техник и процедур аудита.

Более подробное видение относительно области применения и методологии аудита представлено в приложении № 3 к настоящему Отчету.

Полученные в результате процедур аудита результаты и выводы были сообщены ответственным лицам МТСЗС, были обсуждены констатации, выводы аудита и возможные решения по улучшению.

КОНСТАТАЦИИ АУДИТА

Цель I. Как проконтролировало МТСЗС развитие и внедрение АИССП с целью обеспечения реализации организационных задач, соответственно, основной цели?

Для развития АИССП были использованы инструменты и техники менеджмента проекта, признанные на международном уровне, однако неадекватное управление рисками привело к недостаткам/нарушениям в реализации установленных задач. Так, с этой целью необходимо уделить особое внимание и принять соответствующие меры для создания эффективного инструмента управления рисками, который обеспечит функциональность и жизнеспособность АИССП. Вместе с тем недостаточное тестирование и преждевременный запуск в эксплуатацию АИССП обусловил ряд недостатков/ошибок и трудностей, которые ограничивают ее надлежащее функционирование. Следует отметить в контексте и вклад группы, ответственной за внедрение АИССП до настоящего времени, и который должен быть обеспечен в будущем для решения недостатков и обеспечения адекватной функциональности системы.

Согласно Постановлению Правительства № 1356 от 3.12.2008, владельцем и держателем АИССП является МТСЗС, вследствие чего оно ответственно за постоянное функционирование и развитие системы для обеспечения выполнения своих задач деятельности. АИССП является специализированной информационной системой и предназначена для целей и процессов, управляемых МТСЗС.

В соответствии с передовыми международными практиками¹² для контроля эволюции систем ИТ и в основном некоторых проектов этого происхождения и широты должны существовать требования к обязательной системе менеджмента проектов. Как правило, цикл развития может быть разложен по фазам или отдельным этапам, каждый с различными требованиями контроля со стороны руководства, для которых были развиты инструменты, процессы и часто используемые техники менеджмента. В этом отношении аудит руководствовался и использовал в качестве критерия технические регламенты “Процессы жизненного цикла программного обеспечения” (RT 38370656 – 002:2006)¹³, а также передовые практики в данной области¹⁴.

Развитие дополнительных функциональностей к АИССП было осуществлено на основании прямого Договора, подписанного с поставщиком, с согласия Всемирного банка, имея в основе положения Пособия Всемирного банка¹⁵. Задачи, имеющие результативность и предложенные технические требования к модулям АИССП, были определены впоследствии, а аспекты, связанные с проектированием, развитием, интегрированием и тестированием системы, подлежали аутсорсингу, согласно положениям Всемирного банка.

МТСЗС представило аудиту документы по планированию менеджмента проекта – “План проекта – функциональное расширение АИССП” (далее – план проекта), а также некоторые приложения к нему¹⁶, разработанные разработчиком, который, в основном, выполняет договорные требования. Этот документ по планированию перенес минимум 2 пересмотра – в апреле и июне 2015 года, учитывая необходимость отражения дополнений к договору.

Разработанная оригинальная версия плана проекта была согласована в установленном порядке обеими сторонами. Методология менеджмента проекта, используемая разработчиком, названная Agile SCRUM, “представляет собой гармонизацию, полностью совместимую со стандартами, правилами и процессами, определенными в “Составе менеджмента ознакомительного проекта” (PMBOK), изданного Институтом менеджмента проекта, с опытом и передовыми практиками, приобретенными поставщиком во время своей деятельности”.

Аудит рассмотрел, если план проекта был адекватным для управления и контроля сферы применения, календаря и стоимости проекта развития АИССП и ее приложений/модулей, а также для управления рисками, потребностями бенефициаров/пользователей, человеческими ресурсами, коммуникацией, качеством/эффективностью в контексте реализации технических требований, указанных в Договоре по расширению функциональностей АИССП¹⁷.

В целях обеспечения и осуществления мониторинга достижения результатов, предложенных в рамках проекта “Приложение программного обеспечения для автоматизации системы “Социальная помощь””, и предоставления поддержки для реализации задач и информирования вовлеченных ответственных лиц об успехе деятельности МТСЗС создало Комитет по руководству¹⁸ под председательством министра, а также рабочие группы¹⁹, ответственные за предоставление необходимой информации для реализации проекта, участия при тестировании компонентов АИССП. Деятельность Комитета по руководству осуществлялась в соответствии с положениями Приказа № 73 от 29.05.2014 г., рабочие заседания были соответствующим образом документированы.

____________________

¹² COBIT 4.1.

¹³ Приказ министра информационных технологий и связи № 78 от 1.06.2006 “Об утверждении технических регламентов “Процессы жизненного цикла программного обеспечения” RT 38370656-002:2006” (далее – Приказ МИТС № 78 от 1.06.2006).

¹⁴ COBIT 4.1

¹⁵ П.3.7 Пособия Всемирного банка: Закупки товаров, работ и услуг по консультации в рамках займов МБРР и кредитов и грантов МАР со стороны Всемирного банка, издание от января 2011 года.

¹⁶ План менеджмента качества: МТСЗС – АИССП (далее – План менеджмента качества); План менеджмента рисков для МТСЗС: приложение АИССП (далее – План менеджмента рисков, разработанный разработчиком приложения).

¹⁷ Договор #G/25-S/IDA от 29.04.2014 г..

¹⁸ Приказ министра труда, социальной защиты и семьи № 73 от 29.05.2014 “О создании Комитета по руководству для функционального расширения автоматизированной информационной системы “Социальная помощь”” (далее – Приказ № 73 от 29.05.2014 г.).

¹⁹ Приказ министра труда, социальной защиты и семьи № 74 от 29.05.2014 г. “О создании рабочих групп” (далее – Приказ № 74 от 29.05.2014 г.).

Систему менеджмента рисков необходимо консолидировать.

Согласно законодательным нормам²⁰, руководство МТСЗС несет ответственность за внедрение системы финансового менеджмента и контроля, оценку ее функциональности, а также оценку уровня ее соответствия нормативной базе в данной области. Аудитом установлено, что министерство не располагает отдельным документом по оценке и управлению рисками, в результате риски не квалифицированы, не было определено их влияние и методы предотвращения, обнаружения или корректировки. Учреждение должно оценить влияние и вероятность рисков, а также определить их приоритетность, установив допустимый уровень рисков и предпринимая действия для нахождения под контролем выявленных и оцененных рисков, с соответствующим их документированием. Так, МТСЗС должно создать механизм для выявления, оценки, регистрации, мониторинга и отчетности рисков с соответствующим документированием менеджмента рисков.

Аудит отмечает, что предварительная оценка рисков, связанных с проектом, в том числе АИССП, а также их возможное влияние, некоторые меры по предупреждению последствий были описаны в плане менеджмента рисков, разработанном разработчиком приложения. Тем не менее осуществление мониторинга и адекватная оценка выявленных рисков не были обеспечены, аудитом установлена материализация некоторых рисков с неблагоприятным воздействием на задачи АИССП, аспекты, которые будут отражены в настоящем Отчете.

Адекватное внедрение внутреннего аудита создаст эффективный инструмент в оценке и повышении эффективности внутренних контролей учреждения, в том числе связанных с АИССП.

Необходимо отметить, что эффективным инструментом для руководителя учреждения по оценке функциональности и эффективности внутренних контролей, внедряемых в рамках субъекта с целью снижения рисков соответствующим образом, представляет собой внутренний аудит. МТСЗС создало службу внутреннего аудита, в которой работают 2 специалиста. Несмотря на то, что в результате проведенного по рекомендации Счетной палаты²¹ аудита служба внутреннего аудита запланировала на 2015 год проведение внутренней аудиторской миссии по осуществляемым проектам с целью обеспечения эффективности процессов при их внедрении, по мотиву текучести персонала эта деятельность не была реализована. Так, менеджмент учреждения не получил поддержку/обеспечение при принятии своевременных решений по внедрению, в том числе соответствующего проекта. Аудит считает необходимым укрепить деятельность внутреннего аудита путем проведения ряда всесторонних миссий внутреннего аудита, связанных с внедряемыми проектами на уровне министерства, а также внедренной деятельности, способствуя выявлению рисков, присущих реализации операционных задач, в том числе функциональности АИССП.

____________________

²⁰ Закон о государственном внутреннем финансовом контроле № 229 от 23.09.2010 г., с последующими изменениями и дополнениями.

²¹ Постановление Счетной палаты № 22 от 6.05.2014 г. “По Отчету операционного аудита проекта “Услуги здравоохранения и социальной помощи”” за период 2011–2013 годов”.

Сроки внедрения проекта и, соответственно, внедрения АИССП в расширенной версии были превышены.

Анализ плана внедрения, содержащегося в плане проекта, а также последующие изменения указывают на превышение сроков сдачи в эксплуатацию как всей АИССП, так и каждого созданного модуля/подмодуля. Первоначально план внедрения предусматривалось завершить 30.12.2014 г. (хотя в документе по планированию не указана точно дата операционной приемки системы, была указана лишь дата представления окончательного отчета о достижениях проекта № 8). В этом отношении установлено, что до июля 2015 года, когда была подписана операционная приемка системы, были реализованы 2 поправки к договору о продлении сроков. Аудит отмечает, что изменения к договору были произведены с согласия ВБ и не повлияли на первоначальную стоимость проекта. Обобщение о расходах АИССП в расширенной версии представлено в таблице № 1.

В результате проведенного изучения аудит свидетельствует, что изменения договора в аспекте продления сроков по модулям/подмодулям и, соответственно, сдачи в эксплуатацию расширенной версии АИССП были обусловлены некоторыми факторами, а именно: недооценкой сложности бизнес-процессов, находящихся в основе вновь созданных модулей; недостаточными человеческими ресурсами, вовлеченными в процесс разработки и внедрения модулей и др.

В этом отношении сравнительный анализ технических спецификаций²² и документов по разработке каждого модуля в отдельности, названных Сферой применения деятельности²³ (на английском языке: SOW), разработанных разработчиком при поддержке рабочих групп, созданных согласно Приказу № 74 от 29.05.2014 г., свидетельствует, что требования, включенные в технические спецификации для некоторых модулей: “Республиканский фонд”, “Местный фонд”, “Местные выплаты”, “НСОИТ” и “Аккредитация” являются слишком общими.

В реальности потоки, связанные с описанием процессов, являются более сложными, и в результате внедрения/тестирования модулей был выявлен ряд изменений/оптимизаций, которые потребовали большое количество времени и больше человеческих ресурсов для разработки, чем предусматривалось первоначально, что обусловило последующее затягивание с превышением установленных сроков.

Вместе с тем аудитом установлены аспекты относительно несогласованности между модулями, которые должны быть развиты согласно Техническим требованиям и приложению № 6 к договору²⁴, а также несоответствия с требованиями, связанными с развитием некоторых модулей, с процедурами, установленными нормативной базой, находящейся в основе описанных процессов (например, для модуля “Республиканский фонд”), не была обеспечена полная автоматизация процессов.

____________________

²² П.2.12 общих технических спецификаций, раздел III. Технические требования (в том числе Программа внедрения), приложение к Договору #G/25-S/IDA от 29.04.2014 г. (далее – технические спецификации).

²³ Scop of Work (SOW).

²⁴ Appendix 6. Revised Price Shendules, Договор-Соглашение #G/25-S/IDA от 29.04.2014 г.

Расширенная версия АИССП находится на начальном этапе эксплуатации, были необходимы срочные меры с целью активизации деятельности для обеспечения функциональности системы.

Соответствие поставки для каждого этапа расширения АИССП, согласно оферте поставщика²⁵, тестировано в соответствии с техническими требованиями и находится в основе решения по сдаче в производство системы. Тестирование является процессом использования системы и ее компонентов с целью преодоления дефектов. Вместе с тем тестирование системы является ключевой деятельностью для обеспечения качества, а также возможности ее отвечать всем функциональным требованиям и эффективности.

Анализ результатов заседаний от 14.05.2015 г. и от 20.07.2015 г., проводимых Комитетом по руководству, свидетельствует о принятом решении о подписании впоследствии ATP²⁶ и актов операционной приемки (30.06.2015) для каждого модуля/подмодуля, несмотря на то, что по 4 из 9 были отмечены недостатки и направлены требования для завершения разработки соответствующих модулей. Вместе с тем общий акт операционной приемки АИССП был подписан в установленном порядке 15.07.2015 г., несмотря на то, что было указано на недостатки/сложности и опасения в последующей эксплуатации некоторых модулей: “Социальная инспекция”, “Республиканский фонд”, “Аккредитация”, “Отчетность и мониторинг”, а также внесено множество предложений/изменений для оптимизации деятельности, связанной с вовлеченными субъектами.

Вследствие проведенного изучения, в том числе результатов тестирования 9 модулей/подмодулей (названных ATP), аудит отмечает, что, хотя значительная часть из них, за исключением модуля “Социальная инспекция”, были отмечены как “успешные”, все-таки в период проведения аудита установлен ряд недостатков и сложностей, которые ограничивают возможности адекватного использования модулей. Подтверждение ответственными за тестирование лицами относительно соответствия модулей АИССП техническим требованиям и доступности модулей для использования послужили основанием для оплаты соответствующих поставок. Тем не менее, хотя согласно Положению об информационной безопасности МТСЗС²⁷ общий акт операционной приемки АИССП должен был быть подписан только после исправления всех ошибок и выполнения разработчиком требований МТСЗС, модуль “Социальная инспекция” был принят вопреки тому, что результаты тестирования по некоторым сценариям были частично успешными. Также другим соответствующим примером являются сценарии тестирования модуля “Социальная помощь”, которые больше были направлены на процесс регистрации данных в системе, а не на обработку и поставку данных. Вместе с тем, по мнению аудита, некоторые критерии, включенные в сценарии тестирования, не были такими значимыми, что привело к наличию ряда ошибок/сложностей при использовании соответствующего модуля, и не только этого.

В контексте вышеуказанного аудит отмечает факт, что недостаточное тестирование модулей и интегрированной АИССП, а также преждевременный запуск ее в производство обусловили появление ряда ошибок и сложностей в их использовании.

Согласно Приказу № 107 от 2.07.2015, АИССП в расширенной версии должна была быть сдана в эксплуатацию начиная с 1.08.2015 г.; аудитом установлено фактическое использование, особенно модуля “Социальная помощь”, начиная с сентября 2015 года, когда был заблокирован доступ в первоначальную версию АИССП.

Следует отметить, что, хотя согласно указанному приказу система была официально запущена в эксплуатацию, МТСЗС не было обеспечено информирование пользователей новых созданных модулей, в период аудита они считали, что АИССП находится на этапе тестирования в контексте множества установленных ошибок системы, а также трудностей, встречающихся в прохождении всех потоков до принятия решений/сертификатов, данный факт установлен в рамках посещений, произведенных в Республиканский фонд и НСОИТ.

На запрос аудита министерство не представило убедительные доказательства об информировании пользователей АИССП в расширенной версии о необходимости/обязательности использования системы, в том числе ее модулей в зависимости от возложенных ролей, за исключением территориальных структур социального обеспечения и защиты семьи (УСОЗС), пользователей основных модулей “Социальная помощь” и “Социальные услуги”.

Необходимо подчеркнуть и то, что хотя, согласно мотивации МТСЗС, на момент “все модули функциональные и используются” путем прямых наблюдений в результате посещений в территории, а также обсуждений с ответственными лицами относительно функционирования модулей “Республиканский фонд”, “НСОИТ”, “Социальная помощь” и анализа результатов опросов аудитом установлено интенсивное использование только модуля “Социальная помощь”. По другим 3 модулям, оцененным аудитом (“НСОИТ”, “Социальная инспекция”, “Республиканский фонд”), хотя и была введена информация, она не проходила весь цикл, не были генерированы соответствующие решения по причине ошибок системы, которые будучи ранее сообщенными, не были полностью устранены до настоящего времени.

Также, согласно ответам на вопросники, представленные аудитом, все пользователи модуля “НСОИТ” указали в качестве существенного препятствия недостаточность вычислительной техники. Что касается модулей “Местный фонд” и “Местные выплаты”, они не используются, во время посещений в территории потенциальные пользователи (работники территориальных УСОЗС) не имели к ним доступа.

Необходимо отметить и факт, что актуализация информации в модуле “Социальная помощь” имеет место в реальном времени путем введения данных напрямую на сервер министерства (таким образом, формируя базу данных ИС), будучи возможным сохранение данных о просителях и бенефициарах социальной помощи.

Аудитом установлено, что эффективное внедрение АИССП совпало с периодом внесения большого потока заявлений, что привело к перегрузке системы и центра помощи (help desk) в связи с множеством ошибок и сложностями, отмеченными пользователями. Данные рисунка № 1 отражают рост примерно в 4 раза среднего числа заявлений, зарегистрированных в этот период (октябрь – 983 заявления).

Источник. Разработано аудитом на основании информации МТСЗС.

Хотя процесс автоматизации деятельности по предоставлению СП и ПХПГ столкнулся с множеством трудностей, в настоящее время путем совместных усилий ответственных лиц внедрение перешагнуло в новый и важный этап, который должен подтвердить надежность и эффективность решения, а также способность сторон работать без вызовов. Аналогичная ситуация наблюдалась аудитом и по другим модулям: “Социальная инспекция”, “Республиканский фонд”, “НСОИТ”, пользователи которых предоставляют полные доказательства вовлечения с целью обеспечения их функциональности, предоставляя и предложения по улучшению и оптимизации.

В этом контексте, благодаря начальному этапу процесса эксплуатации и концентрации на глобальной деятельности, аспекты, которые кажутся, что имеют незначительное воздействие в настоящее время, могут быть позабыты без принятия в расчет отрицательных эффектов из последующих фаз. Так, для представления обобщенного заключения относительно соответствия и эффективности управления областью ИТК в рамках МТСЗС должен быть взят в учет начальный этап, в котором находится формализация и институционализация инструментов в этом отношении.

Текущий этап характеризуется необходимостью оперативного приведения в соответствие функциональностей и устранения установленных и указанных ошибок. В контексте расширения функциональностей модулей “Социальная помощь” и “Социальные услуги”, разработки “с нуля” других 4 модулей и зависимости от внешних факторов, а также из-за необходимости дополнительных разработок и обоснований в ближайшем будущем очевидно срочное и эффективное применение контролей ИТ, более интенсивное вовлечение министерства и пользователей АИССП в обеспечение успешной реализации предложенной цели.

____________________

²⁵ Оферта поставщика, приложение № 3. Техническое предложение.

²⁶ ATP (Acceptence testing plan) – акты приемки в результате проведенных в установленном порядке тестирований.

²⁷ П.14.2.9 Положения об информационной безопасности МТСЗС, приложение № 2 к Приказу № 144/a от 28.08.2013.

Соответствующее внедрение модуля “Отчетность и мониторинг” создаст эффективный инструмент для пользователей АИССП и МТСЗС по оценке результативности осуществляемой деятельности.

Модуль “Отчетность и мониторинг” особенно важен в контексте АИССП, так как представляет собой инструмент, при помощи которого пользователи АИССП имеют возможность создавать и генерировать различные виды специфических отчетов, используя данные, правильно хранящиеся в системе. Так, дисфункциональности и ошибки, связанные с соответствующим модулем, ограничивают возможности пользователей АИССП, в том числе руководства МТСЗС, потенциальных бенефициаров соответствующего модуля.

Рабочим инструментом особой важности для пользователей, в том числе для представителей МТСЗС, является модуль “Отчетность и мониторинг”, который имеет в качестве основной задачи правильное генерирование данных, хранящихся в АИССП, отобранных по определенным критериям, для выполнения определенной пользы как для пользователя, так и для администратора, а именно:

1. возможность оценить эффективность пользователей;

2. возможность правильной разработки различных видов статистических отчетов;

3. возможность формирования правильной социальной политики;

4. возможность проведения внутреннего контроля.

Согласно Техническим спецификациям²⁸, установленным разработчиком при помощи аудируемого субъекта, АИССП путем модуля “Отчетность и мониторинг” дает возможность создавать 64 отчета. Модуль является общим для всех пользователей АИССП, представителей МТСЗС, разрешающим генерировать определенные статистические отчеты исходя из данных, включенных в систему, путем прямого входа или посредством номенклатур.

Пользователи модуля разделены на основании реализуемых ими задач по соответствующим ролям и обучениям для получения необходимых знаний по созданию шаблонов отчетов в зависимости от специфики деятельности, которую практикуют. Так, согласно имеющимся ролям, пользователи могут войти в систему и реализовать предложенные задачи.

Так, представители МТСЗС в качестве пользователей модуля “Отчетность и мониторинг”²⁹ могут выполнять лишь роль “менеджера/администратора”, имея возможность доступа к отчетам на всех модулях в целом, в то время как остальные пользователи имеют возможность доступа лишь к подмодулю “Отчеты” в рамках своего специфического модуля (например, социальные инспекторы могут иметь доступ лишь к модулю “Социальная инспекция”, врачи – лишь в модулю “НСОИТ” и т.д.).

Анализ документов по тестированию модулей АИССП (ATP), представленных аудиторской группе, свидетельствует о невключении в деятельность по тестированию процедур по созданию отчетов согласно подмодулю “Отчеты” из каждого модуля, за исключением предопределенных отчетов, генерируемых системой автоматизированным способом (платежные ведомости, решения и др.). Вместе с тем, хотя согласно документам по тестированию модуля “Отчетность и мониторинг” (ATP³⁰) тестирование было проведено “успешно”, на его функциональность может отрицательно повлиять недостаток компетентного персонала в области ИТ. В то же время необходимо отметить, что документация по описанию модуля создания шаблонов и предоставления доступа к ней пользователями системы не актуализирована. Несмотря на то, что представители министерства отметили, что “отчеты создаются при помощи приложения iReport”, аудит установил, что процедура по созданию отчетов с использованием этого приложения не описана ни в одном документе, связанном с АИССП.

Аудит отмечает, что в октябре-ноябре 2015 года при использовании как подмодуля “Отчеты” из аудируемых модулей АИССП, так и модуля “Отчетность и мониторинг” встречаются некоторые трудности, отмеченные в рамках рабочих визитов аудиторов на аудируемые субъекты (в 6 УСОЗС, социальную инспекцию, Республиканский фонд, НСОИТ), а также в вопросниках пользователями модулей “Социальная помощь”, “Социальные услуги” и “НСОИТ”.

В рамках модуля “Социальная помощь” “генерирование платежных ведомостей” считается предопределенным отчетом, составленным без вовлечения человеческого фактора. В этом контексте правильное формирование платежных ведомостей имеет значимую важность. Аудитом установлено, что для месяца октября большая часть пользователей не смогла самостоятельно составить платежные ведомости, обращаясь к поддержке вовлеченных представителей МТСЗС.

Также, хотя в процессе тестирования модуля “Социальная инспекция” (ATP)³¹ был идентифицирован ряд замечаний, в том числе связанных с генерированием индивидуальных отчетов и отчетов по району (приложение № 1 к ATP)³², социальные инспекторы подтвердили, что в настоящее время создаются лишь 2 вида отчетов (Индивидуальный отчет и Отчет по району инспекции) и что данные из Индивидуального отчета инспекции в формате PDF являются ошибочными, а в Отчете по району появляется лишь его шаблон/формат, не будучи заполненными поля с соответствующими данными.

Согласно мотивации представителей МТСЗС, “одновременно с внедрением и использованием новой версии системы были выявлены проблемы по эффективности АИССП, вызванные одновременным использованием значительным числом пользователей. В итоге, было принято решение изменить архитектуру системы и добавить дополнительные серверы для окончательного устранения этой проблемы. Специальным образом была произведена процедура рефакторинга системы, которая в общих чертах состоит в переконфигурации всех серверов и оптимизации критических процедур. Вместе с тем необходимо отметить, что в ходе использования АИССП в производстве кроме корректировки приложения были приняты меры и по регулированию конфигурации оборудования для более эффективного использования системы. В качестве примера может быть приведена реконфигурация Load Balancer-а для оптимизации процессов распределения задач на серверы приложений или увеличение числа серверов (с 4 до 8) в период создания платежных ведомостей. Такие работы предполагают значительные усилия по изменению конфигурации всех приложений для получения синхронности в настройках и параметрах”.

Аудит считает разумным объяснение министерства, однако выявленные ошибки при генерировании предопределенных отчетов, а также отсутствие статистических отчетов из модулей АИССП ограничивают возможности пользователей системы, в том числе руководства МТСЗС, потенциальных бенефициаров соответствующих модулей/приложений. Так, отсутствие возможностей по генерированию отчетов по различным разделам приводит к невозможности оценки эффективности работы для пользователей. Отсутствие доступа к историческим данным для пользователя или для владельца системы приводит к формированию ошибочной статистики, а также к принятию неправильных решений, которые могут привести к отрицательным результатам. Аналогично Отчеты по управлению являются совершенным инструментом для осуществления внутренних контролей, а их отсутствие приводит к недостаточности контролей по выполнению служебных полномочий. В этом контексте принятие соответствующих мер с целью устранения установленных недостатков и обеспечения адекватной функциональности АИССП является условием для успешной реализации предложенных задач.

Справка: в ходе аудита министерство приняло ряд мер по улучшению ситуации по генерированию отчетов из системы, был откорректирован ряд ошибок, обнаруженных в модуле “Отчетность и мониторинг”. Вместе с тем были исправлены данные из индивидуального отчета для Социальной инспекции, а также для создания ряда шаблонов отчетов в модуле “Социальная помощь”. Тем не менее аудит не может высказаться о правильности данных из генерируемых отчетов.

____________________

²⁸ РАЗДЕЛ III. Tehnical Requirements (Including Implementation Shedule), стр.19.

²⁹ SOW (Модуль “Отчетность и мониторинг” в рамках АИССП).

³⁰ ATP (Acceptence testing plan) – акты приемки в результате проведенных в установленном порядке тестирований в модуле “Отчетность и мониторинг”.

³¹ ATP (Acceptence testing plan) – акты приемки в результате проведенных в установленном порядке тестирований в модуле “Социальная инспекция”.

³² Замечания относительно функциональности модуля “Социальная инспекция” (ошибки и проблемы, выявленные в процессе тестирования АИССП по шагам, изложенным в ATP).

Нормативную и регулирующую базу, связанную с созданием и функционированием АИССП, необходимо актуализировать и привести в соответствие с новыми потребностями системы, а также с изменениями, внесенными в соответствующее законодательство.

Политики, процедуры, стандарты и организационные структуры предназначены для предоставления подтверждения, что цели и задачи бизнес-процессов будут достигнуты и, одновременно, что нежелаемые события будут предотвращены, откорректированы или устранены. Поддержание их актуализации путем пересмотра и их дальнейшего развития представляет особый интерес, так как их наличие и качество напрямую влияют на все активы, находящиеся в управлении.

АИССП в первоначальной версии была внедрена в рамках МТСЗС для автоматизации потока данных и облегчения процесса ввода, учета и обработки заявлений для предоставления социальных пособий, а также для оптимизации потока информации по обработке заявлений по предоставлению социальной помощи, введения и организации информации в АИССП.

АИССП имеет высокий уровень уязвимости и чувствительности данных со значительным влиянием, которая требует надлежащего управления. По этим мотивам строго необходимо обеспечить непрерывность функционирования, безопасность, целостность, наличность и правильность данных. Последовательное управление ИС такого диапазона требует в обязательном порядке наличия и адекватного использования комплексного набора политик, стандартов и документов по регламентированию.

В данном контексте аудитом установлено, что министерство не располагает Положением по функционированию АИССП ни для первоначальной версии, ни для ее расширенной версии, хотя Счетная палата³³ рекомендовала утвердить его с целью обеспечения необходимыми инструментами и рычагами для эффективного управления областью социальной помощи. Четкое и точное указание ролей, ответственности, методов и механизмов взаимодействия, а также любых других деталей, необходимых для надлежащего функционирования АИССП, должно служить в качестве основного инструмента в достижении задач по автоматизации и обеспечению оптимального оборота данных.

С целью регламентирования указанного бизнес-процесса и введения в эксплуатацию АИССП в первоначальной версии был утвержден Приказ № 144/a от 28.08.2013. Так, в приложениях к приказу были включены некоторые документы, релевантные использованию АИССП, в том числе: Положение об информационной безопасности МТСЗС, Формуляр Декларации-обязательства пользователя АИССП о конфиденциальности данных, имеющих персональный характер, Инструкция о процедуре получения и установки цифрового сертификата авторизации для присоединения компьютера к АИССП, затребовав от начальников УСОЗС обеспечить информирование всех пользователей системы о соответствующих положениях.

Вместе с тем аудит отмечает, что хотя согласно Приказу № 107 от 2.07.2015 г. АИССП в расширенной версии была сдана в эксплуатацию 1.08.2015 г., она не содержит ссылки на Приказ № 144/a от 28.08.2013 г., а также на приложенные к нему документы. Аналогично соответствующие документы не были приведены в соответствие к существующей ситуации для охвата сферы применения их положений и других пользователей, кроме работников УСОЗС, не было ясно, если положения этих документов являются соответствующими/обязательными и для остальных пользователей АИССП. Таким образом, важные документы, которые должны быть в основе обеспечения безопасности информации и защиты данных, имеющих персональный характер, разработанные при поддержке внешних экспертов и консультантов, должны быть обновлены/откорректированы соответствующим образом, учитывая новые разработанные модули и интегрированные в АИССП и, соответственно, расширение сферы применения АИССП и числа пользователей системы.

Исходя из положений существующей нормативной базы и из реальной ситуации в контексте расширения системы путем разработки ряда новых модулей и увеличения ее рядом дополнительных функциональностей, в том числе разнообразием пользователей путем автоматизации процессов по: аккредитации, инспектированию, аккредитации поставщиков социальных услуг, определению уровня инвалидности и трудоспособности, предоставлению материальной помощи и других категорий местных выплат, актуализация нормативной базы, связанной с функционированием АИССП, становится аксиомой, требуя принятия в срочном режиме соответствующих мер.

Также автоматизация деятельности некоторых подведомственных МТСЗС учреждений обуславливает необходимость пересмотра и актуализации законодательно-нормативной и внутренней регулирующей базы, связанной с включенными в АИССП процессами, с целью приведения их в соответствие, вместе с тем предоставляя обеспечение устойчивости системы, в том числе путем ее надлежащего использования в реализации соответствующей деятельности.

____________________

³³ Рекомендация № 43 из Отчета аудита эффективности “Эффективно ли администрируются фонды программ социального пособия и направляются ли они малообеспеченным слоям населения?”, утвержденного Постановлением Счетной палаты № 65 от 17.12.2013 (далее – Постановление Счетной палаты № 65 от 17.12.2013).

Документация по АИССП в расширенной версии, разработанная разработчиком, требует корректировки и актуализации.

В соответствии с передовыми практиками должны существовать политики по разработке, утверждению и изданию документов, а также по контролю за изменениями в существующих документах. В случае по разработанным или пересмотренным системам и в случае, когда субъект имеет доступ и необходимость внесения изменений в код программ, обязательно подробное функциональное описание модулей, процедур, используемых библиотек и функций, порядка обработки и требований к данным. Минимальным набором документов, по которым должны вноситься изменения/обновления, являются: руководства для администратора; техническая документация инфраструктуры; документирование внесенных изменений; документирование изменений в компонентах баз данных, код-источник и результаты тестов функциональности.

В период проведения аудита установлено, что не вся документация по АИССП актуализирована. В условиях недостаточного внутреннего документирования она становится зависимой от ключевых лиц, а текучесть кадров создает препятствия в обеспечении непрерывности развития в будущем АИССП. В результате внесенных изменений в потоки, связанные с модулями, разработанные пособия должны быть приведены в соответствие/актуализированы, обеспечивая описание аспектов по: порядку использования подмодуля “Отчеты” в рамках модулей, осуществлению резервных копий, изменению посредством систем управления версии АИССП и др. По этой причине при разработке приложений их постоянное развитие и корректировка, полное и адекватное документирование являются единственным решением для обеспечения:

♦ непрерывности функционирования;

♦ доступного уровня совместимости с другими компонентами;

♦ доступного уровня безопасности производственной среды;

♦ исключения зависимости от некоторых программистов при корректировке или изменении приложений;

♦ минимизации зависимости от ключевых лиц;

♦ минимизации расходов на содержание и развитие;

♦ возможности расследования и оперативного обнаружения ошибок и случаев аварии;

♦ корреляции технологических процессов с бизнес-процессами учреждения.

Вместе с тем аудит свидетельствует о необходимости разработки Руководства по АИССП в расширенной версии (приведение в соответствие или актуализация существующего на момент аудита Руководства по АИССП), которое бы включало виды пользователей, их роли, уровни доступа пользователей к разработанным модулям и другие важные аспекты.

Контроль за изменениями необходим для получения подтверждения, что ИС продолжает делать то, что требуется, и контроли продолжают функционировать так, как было предусмотрено, независимо от произведенных изменений или корректировок в течение всего жизненного цикла. В этом отношении анализируются изменения как относительно технического обеспечения, так и программного обеспечения. Процедуры менеджмента изменений предусмотрены в Положении об информационной безопасности АИССП.

Для управления версией АИССП министерство использует систему GIT, которая является системой “версии контроля”, используемой большинством платформ, в том числе Linux, POSIX, Windows и OS X. Хотя были внесены значительные изменения в версию АИССП, компоненты технического обеспечения и ее инфраструктуру, они не были документированы соответствующим образом. Изменения практически не документированы, некоторые производятся “в срочном режиме” для устранения появляющихся недостатков. Это провоцирует значительные трудности в содержании системы и большую зависимость от ключевых лиц (в том числе извне). Соответствующим примером в этом отношении является неадекватная документация изменений, произведенных в коде-источнике АИССП. Будучи сданной в первоначальный период промышленной эксплуатации, которая по причине зарегистрированных задержек была запущена в срочном режиме, а период тестирования был укороченным, в настоящее время отмечаются некоторые проблемы технического и функционального порядка. Следует отметить и то, что любые изменения, корректировки в рамках АИССП должны быть запущены и выполнены с согласия и мониторинга со стороны МТСЗС. Непосредственное участие работников министерства в процессе обслуживания должно способствовать формированию внутренних способностей по адекватному управлению системой, в настоящее время отмечается общая зависимость от поставщика и отсутствие надежных инструментов контроля.

Качество информации из АИССП имеет прямое влияние на качество услуг системы.

АИССП является специализированной информационной системой и предназначенной для целей и процессов, управляемых МТСЗС. В соответствии с положениями законодательной базы³⁴ МТСЗС в качестве владельца и держателя АИССП должно документально обеспечить делегирование субъектам юридических отчетов (в частности, регистраторам) прав и полномочий, связанных с формированием информационного ресурса, что указано и предыдущим аудитом Счетной палаты³⁵, однако не было реализовано до настоящего времени. Кроме того, согласно Постановлению Правительства № 1356 от 3.12.2008 г., “регистраторами АИСCП являются органы местного публичного управления посредством управлений/отделов социального обеспечения и защиты семьи”, с которыми министерство должно заключать соглашения, однако аудитом установлено их отсутствие.

Вместе с тем, учитывая участие и других учреждений, подведомственных МТСЗС, в формировании информационных ресурсов АИССП, а именно: НСОИТ, СИ, Республиканского фонда и др., “ответственных” за вновь созданные модули, аудит считает своевременным и необходимым оформить отношения с ними с определением требований и условий по выполнению соответствующей деятельности, создав механизм по коммуникации и адекватному мониторингу для обеспечения функциональности АИССП в достижении ее цели.

Для правильного и последовательного формирования информационных ресурсов в области социальной помощи Постановление Правительства № 1356 от 3.12.2008 г. предусматривает и необходимость обмена информацией с информационными ресурсами как минимум с 7 АИС (многие из них не реализованы полностью или не могут поставлять данные). В период проведения аудита установлен обмен информацией только с 3 учреждениями и подписаны соглашения о сотрудничестве по этому обмену с 4 субъектами (таблица № 2).

Так, АИССП в расширенной версии в настоящее время осуществляет обмен частью необходимых данных лишь с Государственным регистром населения (в одном направлении – импорт данных из ГРН), а также с информационными системами НМСК и НАЗН. Следует отметить, что хотя в технических требованиях/спецификациях по разработке АИССП в расширенной версии предусмотрено осуществление связи на основании web-услуг с такими учреждениями, как: Главная государственная налоговая инспекция, Агентство земельных отношений и кадастра, Министерство внутренних дел, Министерство просвещения в зависимости от их технических возможностей, а также с финансовыми учреждениями (BEM), на момент проведения аудита этот обмен данными не осуществлялся. Аналогично несмотря на то, что согласно мотивации министерства в настоящее время находятся в процессе развития web-услуги с Пограничной полицией и в процессе тестирования новая web-услуга с НКСС, а также по запросу НМСК производится пересмотр web-услуги с НМСК, аудит не может высказаться относительно их функциональности. В данном контексте отмечается и то, что еще не было подписано соглашение об обмене данными с НМСК, несмотря на то, что этот аспект был рекомендован и предыдущим аудитом, проведенным Счетной палатой³⁶.

Вместе с тем, ссылаясь на расширение функциональностей АИССП, в том числе путем включения новых модулей, направленных на отдельные и комплексные процессы, необходим пересмотр существующих соглашений с целью обеспечения необходимыми и соответствующими данными пользователей системы и исключения дублирования или генерирования неиспользуемых и противоречивых данных.

Справка: согласно мотивации субъекта, в ходе аудита было пересмотрено Соглашение с НКСС, учитывая и изменение поставщика социальных выплат (переход всех выплат на основании списков от BEM к ГП “Poşta Moldovei”) и предоставление возможности заявителям выбрать выплачиваемое учреждение, это находится в процессе завершения. Также выполняется работа по интегрированию АИССП с ИС Департамента пограничной полиции.

В рамках проведенных аудитом действий установлены случаи отсутствия доступности к некоторым данным, а также необновленные данные, импортируемые от соответствующих учреждений (НКСС, ГП “ЦГИР “Registru””, НАЗН), данные аспекты представлены далее в отчете, которые влияют на правильность/качество информации, генерируемой АИССП на этапе обработки данных. Следует отметить, что в результате проведенных проверок (путем сравнения некоторых данных в ИС НКСС с данными из АИССП) аудит свидетельствует о проблемах при взаимодействии между системами, что обуславливает указанные недостатки (отсутствие некоторых данных, неактуализированные данные и др.), особенно способность захвата данных.

Таким образом, улучшение качества и обеспечение полноты импортируемых данных из внешних ресурсов снизит случаи, например, включения в платежные ведомости лиц, не соответствующих требованиям, возрастет эффективность АИССП с точки зрения правильности импортируемых данных, а также снижения срока обработки заявлений.

____________________

³⁴ Закон о регистрах № 71 от 22.03.2007, с последующими изменениями и дополнениями.

³⁵ Постановление Счетной палаты № 65 от 17.12.2013 “По Отчету аудита эффективности “Эффективно ли администрируются фонды программ социального пособия и направляются ли они малообеспеченным слоям населения?””.

³⁶ Рекомендация № 48 из Отчета аудита, утвержденного Постановлением Счетной палаты № 65 от 17.12.2013.

Цель II. Являются ли общие контроли системы адекватными для обеспечения безопасности и конфиденциальности данных?

Несмотря на то, что путем утверждения Политики защиты персональных данных³⁷ и Положения об информационной безопасности МТСЗС³⁸ были установлены базы и ориентиры для обеспечения информационной безопасности АИССП, в том числе конфиденциальности персональных данных, аудитом установлено несоответствующее применение положений указанных документов, что увеличивает риск относительно информационной безопасности и конфиденциальности персональных данных, требуется срочное вмешательство в этом отношении.

Эффективность общих контролей представляет собой существенный фактор в определении эффективности контролей над приложениями. Тогда, когда общие контроли являются неэффективными, они существенно снижают безопасность контролей по индивидуальным приложениям. Констатации аудиторской миссии были сконцентрированы на оценке общих контролей ИТ под аспектом влияния их на АИССП.

В этом отношении необходимо отметить критическую зависимость МТСЗС от экспертов и консультантов, принятых для реализации и внедрения АИССП посредством ВБ, по аспектам безопасности, методологического руководства и применения общих контролей. Дополнительно в настоящее время МТСЗС не имеет возможности для самостоятельного покрытия аспектов содержания АИССП. Благодаря недавнему запуску в промышленную эксплуатацию системы и получения обширного срока гарантии по ней до 2018 года, нагрузка по обеспечению функциональности и других процессов, связанных с безопасностью и защитой данных (которые естественным образом должны контролироваться министерством), в настоящее время возложена на поставщика/субподрядчика.

Тем не менее зависимость МТСЗС от внешних факторов (поставщика/разработчика и консультантов/экспертов) в настоящее время не признается достаточным событием, чтобы способствовать избеганию материализации некоторых рисков по безопасности. Уклонение от этих рисков может иметь место только путем эффективного внедрения общих контролей и безусловного применения положений законодательной базы в области менеджмента проектов, которые путем соблюдения основных принципов будут гарантировать, что должно стоять при формировании АИТ такого масштаба. В критическом аспекте недостатки безопасности доступа в систему испытали существенный уровень материализации, а для избежания их необходим более эффективный мониторинг со стороны руководства министерства в течение всего периода жизненного цикла АИССП, а также консолидация возможностей ИТ на уровне учреждения с целью обеспечения эффективного администрирования ИС и ее устойчивости.

В контексте значительной зависимости от внешних факторов отметим, что ответственность субподрядчика, обеспечивающего обслуживание системы в гарантийном периоде, фактически, согласно договорным условиям, ограничивается несколькими основными видами деятельности, остальные находятся под ответственностью бенефициара. Этот факт, даже если и позволил улучшить ситуацию, обуславливает большие риски в аспекте обеспечения безусловного и эффективного применения инструментов по защите, безопасности, непрерывности и мониторингу.

____________________

³⁷ Политика защиты персональных данных, утвержденная министром труда, социальной защиты и семьи в 2013 году.

³⁸ Положение об информационной безопасности МТСЗС, приложение № 2 к Приказу № 144/a от 28.08.2013 (далее – Положение об информационной безопасности).

Контроль физического доступа требует адекватного выполнения для обеспечения лучшего управления рисками безопасности.

В соответствии с Политикой защиты персональных данных доступ в помещения, где размещены информационные системы с персональными данными, ограничен, будучи разрешен допуск лишь лицам, которые имеют необходимое разрешение, и только в течение рабочего времени, согласно списку и соответствующим знакам. Доступ в комнату серверов разрешен лишь на основании кардов доступа. С момента реконструкции комнаты серверов (май 2012 г.) было выдано лишь 2 карда доступа. Владельцем карда доступа является начальник подразделения э-преобразования в рамках МТСЗС и ответственное лицо подразделения. Хотя в соответствии с Положением об информационной безопасности³⁹ идентификация персонала должна производиться на основании электронной системы учета входа, в период проведения аудита установлено ее отсутствие.

Необходимо отметить, что в день предоставления аудитору физического доступа к АИССП (12.11.2015) не была произведена регистрация в Регистре по осуществлению мониторинга, который в соответствии с Политикой по безопасности должен храниться минимум один год. Несмотря на то, что имеется регистр на бумажном носителе, в который вносятся данные о дне и часе входа в комнату серверов, он отсутствует при входе в соответствующее помещение. Как правило, в эти регистры записывается цель входа и ее результаты (или визуальное подтверждение функционирования оборудования или произведенные работы по обслуживанию или ремонту). Также установлено, что допуск внутрь комнаты серверов ограничен системой контроля доступа с бесконтактными кардами. В комнате серверов установлены системы для видеонаблюдения, а также другие контроли для обеспечения физической безопасности АИССП, какими являются системы обнаружения/датчиков движения.

В этом контексте аудит отмечает, что с целью осуществления мониторинга функционирования АИССП МТСЗС должно организовывать еженедельные заседания (как предусмотрено в разделе VIII Положения об информационной безопасности) с ответственными лицами, с которыми должны обсуждаться как случаи неисправностей системы, так и отчеты Help Desk, статус попыток атаки и инцидентов безопасности.

Логический доступ к АИССП требует постоянного контроля для более эффективного обеспечения конфиденциальности данных.

Контроли логического доступа могут быть определены как система мер и процедур как в рамках одной организации, так и в информационных программах, которая направлена на защиту информационных ресурсов (данных, программ и терминалов) от попыток неавторизованного доступа. Тремя основными элементами для безопасности логического доступа являются:

♦ идентификация пользователя;

♦ удостоверение подлинности пользователя (политика паролей);

♦ защита ресурсов.

Недостаточность контролей логического доступа или неадекватное их применение делает информационные системы уязвимыми к атакам хакеров или к возможным мошенническим действиям со стороны внешних лиц или бывших работников. Несмотря на то, что были установлены процедуры по менеджменту доступа пользователей к АИССП⁴⁰, осуществляемому ответственными лицами МТСЗС, аудитом установлено, что они адекватно не внедрены. Все доступы в АИССП разрешены посредством пароля и каждый может быть связан с пользователем, который его произвел.

В настоящее время для обеспечения безотказности информаций удостоверение подлинности пользователей в АИССП производится на основании сертификатов безопасного доступа к приложению web АИССП. Аудитом установлено, что хотя согласно Плану менеджмента качества указан срок действия сертификата в течение 1 года, в характеристиках сертификатов срок их действия указан 10 лет без установления периода их обновления.

Требования, указанные в Положении об информационной безопасности⁴¹, четко устанавливают процедуру доступа к АИССП. Вместе с тем она указывает и какими являются основные требования относительно порядка регистрации, аннулирования, приостановления доступа пользователей к АИССП. Так, в процессе менеджмента доступа пользователей к АИССП необходимо обеспечить:

♦ допущение доступа к АИССП только для пользователей, которые подписали Декларацию-обязательство⁴² (о конфиденциальности данных), и на основании заявления, завизированного начальником управления социального обеспечения;

♦ блокирование, приостановление доступа к АИССП для пользователей, которые были освобождены от должности, повышены или находятся в отпуске;

♦ создание менеджмента паролей пользователя;

♦ пересмотр прав доступа пользователей.

Ст.5 (1) Закона о защите персональных данных⁴³ предусматривает, что обработка персональных данных осуществляется с согласия субъекта персональных данных. В рамках посещений в территории (6 УСОЗС) аудит не получил убедительных доказательств, что просители социальной помощи информированы по этому разделу и дали согласие на обработку персональных данных. Хотя ответственные лица МТСЗС считают, что “положения из заявления для получения социальной помощи (страница 6, Декларация для внесения заявления) информируют субъекта персональных данных, а подписание заявления просителем и членами семьи свидетельствует о том, что согласие субъекта персональных данных было дано”, аудит имеет другое мнение. Текст декларации, подписанной заявителем, указывает на наличие многих аспектов⁴⁴, которые соответствуют не только законным требованиям о согласии субъекта персональных данных.

На основании того, что Положение об информационной безопасности и Политика защиты персональных данных предусматривают периодический пересмотр прав доступа пользователей к системе, МТСЗС не смогло представить убедительные доказательства относительно интервалов или периодичности пересмотра всех пользователей, имеющих право доступа.

Согласно Приказу № 107 от 2.07.2015, обновленная версия системы была сдана в эксплуатацию 1.08.2015. Более того, в соответствии с Приказом № 144/a от 28.08.2013 меры по подтверждению, что социальные ассистенты и персонал из районов, которые имеют доступ к системе, соблюдают Положение об информационной безопасности, осуществляются путем подписания Декларации⁴⁵ о конфиденциальности персональных данных. Аудит установил, что обязательность наличия декларации была доведена до сведения лишь руководителей УСОЗС, а не остальных участников с правом доступа к модулям АИССП (“НСОИТ”, “Социальная инспекция”, “Местные выплаты”, “Республиканский фонд”, “Местный фонд”, “Аккредитация”, “Отчетность и мониторинг”). Вместе с тем, необходимо отметить и то, что на повторные запросы аудита представители министерства не представили документ, который бы указывал на критерии, стоящие в основе предоставления прав доступа пользователям к модулям/подмодулям АИССП, а также возложенные на них роли. В этом контексте аудит столкнулся с трудностями при определении правильности предоставления прав доступа пользователям.

Проверки аудита установили в период 13 октября – 2 ноября 2015 года ряд несоответствий, обусловленных в основном ошибками/недостатками, в том числе конфигурацией/программированием АИССП, а также неприменением положений политик безопасности министерства, среди которых можно назвать:

1) тот же счет может быть обработан одновременно на 2 или на большем числе компьютеров, не обеспечивая идентификацию и удостоверение подлинности оборудования, используемого в операциях по обработке персональных данных⁴⁶;

2) АИССП не позволяет изменять пароль пользователя на срок более 24 часов;

3) пароли не являются комплексными⁴⁷ и не включают символы, будучи созданными из фамилии пользователя;

4) администрирование идентификаторов пользователей не было эффективным, а доступ к АИССП возможен с любого компьютера, не имея связи с VPN или чтобы было проверено удостоверение подлинности каждого пользователя на основании сертификата доступа, выданного сервером, согласно установленной процедуре⁴⁸;

5) несоблюдение правил обеспечения информационной безопасности относительно использования паролей⁴⁹, а именно:

• необеспечение конфиденциальности паролей (социальные ассистенты знают пароли друг друга);

• необеспечение автоматизированного спасения регистрации паролей;

• необеспечение процедур, связанных с менеджментом паролей, согласно требованиям Положения об информационной безопасности⁵⁰, соответственно:

- возможность пользователей выбирать и менять индивидуальные пароли;

- блокирование доступа к системе после трех ошибочных попыток использования неправильного пароля;

- блокирование ранее используемых паролей;

- блокирование рабочего сеанса максимально через 5 минут от неактивного периода пользователя⁵¹, аудитом установлены случаи, в которых сеанс был действующим более 24 часов в течение неактивного периода пользователя.

В этом отношении аудит свидетельствует, что ни один документ, связанный с использованием АИССП, в том числе руководства для пользователей, специфичные каждому модулю, ни организованные обучения до ноября 2015 года не установили порядок изменения паролей.

Вместе с тем ошибки и дисфункциональности, установленные аудитом, показывают, что АИССП не имеет автоматизированных контролей для обеспечения требований по безопасности при выставлении паролей пользователями;

6) не все методы доступа с расстояния к АИССП документированы и подвергаются мониторингу и контролю⁵², а также не документирован, не мониторизирован и не обеспечен контроль доступа к АИССП на основании портативного и мобильного оборудования⁵³.

Справка: аудит информировал представителей министерства относительно соответствующих дисфункциональностей сразу после их обнаружения. Ответственные лица быстро отреагировали и приняли соответствующие меры: информировали субподрядчика, запросив устранение недостатков программирования/конфигурации путем внедрения требований, связанных с менеджментом доступа к АИССП (управление паролями); разместили на интерфейсе АИССП требования для изменения паролей пользователей; информировали пользователей в рамках обучений, организованных в ноябре, о требованиях и порядке изменения паролей и обеспечения безопасности с целью устранения дисфункциональностей, а также обеспечения конфиденциальности данных из АИССП.

Аудит делает вывод, что в результате совместного рабочего заседания между представителями МТСЗС и аудиторами Счетной палаты часть из недостатков, выявленных в указанный период, была устранена (вышеуказанные пункты 1-4), тем не менее, по остальным недостаткам аудит не может подтвердить, что замечания, связанные с контролями разрешений, были полностью разрешены. Одной из мер по избеганию этих рисков будет пересмотр и надлежащее применение требований Положения об информационной безопасности и рассмотрение возможностей внедрения цифровой подписи, которая будет представлять важный метод обеспечения правильной авторизации данных и предупреждения мошеннических действий.

____________________

³⁹ П.9.2. “Контроль физического доступа” из Положения об информационной безопасности.

⁴⁰ Положение об информационной безопасности.

⁴¹ П.23. “Менеджмент доступа пользователя” из Положения об информационной безопасности.

⁴² Положение об информационной безопасности.

⁴³ Закон о защите персональных данных № 133 от 8.07.2011 г., с последующими изменениями и дополнениями.

⁴⁴ Ответственность за правильность данных и своевременное информирование об изменениях, обязанность возврата неправильно полученных сумм, использование информации для рассмотрения заявления и проверки информации из других источников.

⁴⁵ Формуляр Декларации-обязательства пользователя автоматизированной информационной системы “Социальная помощь”, приложение № 3 к Приказу № 144/a от 28.08.2013 г.

⁴⁶ Раз.V, часть 2. “Идентификация и удостоверение подлинности оборудования” из Положения об информационной безопасности.

⁴⁷ Раз.V, часть 1. “Многофакторное удостоверение подлинности” из Положения об информационной безопасности.

⁴⁸ Раз.V, часть 3 из Положения об информационной безопасности.

⁴⁹ Раз.V, часть 5, п.55 “Использование паролей в процессе обеспечения информационной безопасности” из Положения об информационной безопасности.

⁵⁰ Раз.V, часть 6, п.56 “Администрирование паролей пользователей” из Положения об информационной безопасности.

⁵¹ Раз.V, часть 7, п.63 “Блокирование рабочего сеанса” из Положения об информационной безопасности.

⁵² Раз.V, часть 10, п.66 “Допуск с расстояния ” из Положения об информационной безопасности.

⁵³ Раз.V, часть 13, п.68 “Администрирование доступа с портативного и мобильного оборудования” из Положения об информационной безопасности.

Отсутствие ограничений при установке программ подвергнет рискам компромисса безопасности АИССП.

Для обеспечения безопасности в рамках МТСЗС используется различное оборудование, программы и методы: firewall (ограничения доступа как в сеть, так и для установки приложений), программа антивируса. В территории еще установлены недостатки по причине того, что отсутствует ответственное лицо за централизованное администрирование вычислительной техники. К тому же, в соответствии с Положением об информационной безопасности⁵⁴ администрирование пользователей и вычислительной техники не осуществляется централизованно, а по этой причине нельзя обеспечить:

• строгий контроль и мониторинг доступа к ресурсам АИССП;

• ограничение пользователей;

• стандартизацию параметров безопасности из УСО с предопределенными шаблонами;

• предупреждение изменений пользователями в конфигурации desktop.

Посредством журналов по регистрации логотипов МТСЗС может проследить как обработку посредством системы, так и авторизацию и целостность произведенных обработок.

Вместе с тем используемые инструменты по безопасности информации не конфигурированы и не активированы для предупреждения и отчетности событий по безопасности (например, отчеты о нарушении безопасности, попытки неавторизованного доступа к информационным ресурсам).

Аудит не выявил общие отчеты, выполненные автоматизированно, или в регулярном/периодическом порядке, которые должны периодически рассматриваться, согласно требованиям Положения об информационной безопасности⁵⁵.

Когда деятельность недостаточно документирована, сложно проследить, если она осуществляется согласно намерениям руководства и когда изменяется порядок осуществления деятельности. Отсутствие документирования может привести к путанице и задержке по выполнению деятельности. Частным образом слежение за журналами безопасности является критической деятельностью для обеспечения информационной безопасности. Если эти журналы не отслеживаются в целом и своевременно, могут появиться серьезные нарушения информационной безопасности.

____________________

⁵⁴ П.17 “Менеджмент безопасности сети”.

⁵⁵ Раз.XX, п.20.1, стр.35 из Положения об информационной безопасности.

Процедуры backup (резервных копий) и план обеспечения непрерывности.

Хотя в настоящее время обеспечивается выполнение резервных копий компонентов АИССП, МТСЗС не располагает документированными процедурами о порядке и периодичности их осуществления. Вместе с тем отсутствие Плана обеспечения непрерывности и Плана восстановления в случае аварии (BCP и DRP) увеличивает риск восстановления АИССП в случае материализации рисков.

Системы back-up данных и восстановления в случае аварии представляют собой обязательные контроли, предназначенные снизить риск потери в значительных пропорциях и постоянно значимых публичных данных, отсутствие которых, а также непостоянный формальный менеджмент вместе с отсутствием способности по осуществлению мониторинга со стороны органов, делегированных наблюдать за надлежащим внедрением, указывают, что этот риск не контролируется.

Целью разработки и внедрения Плана обеспечения непрерывности бизнеса (Business Continuity Plan – BCP) и Плана восстановления в случае аварии (Disaster Recovery Plan – DRP) и связанных с ними контролей является обеспечение того, чтобы организация могла реализовать миссии и не потеряла способности по обработке, приему и защите данных даже и в случае внезапной остановки или провоцированной аварии (катастрофа, неконтролируемый фактор), которые приведут к временной или общей потере функциональности инфраструктуры ИТ. BCP и DRP регулярно должны быть адекватно документированы, тестированы и обновлены. Для определения, если планы будут функционировать так, как предусмотрено, они должны периодически тестироваться путем подобных примеров случаев аварий.

Отсутствие надлежаще определенных и тестированных BCP и DRP может представить следующие значимые угрозы для самого существования субъекта:

♦ способность организации выполнять миссию после воспроизведения (перезапуска) функциональности;

♦ извлекать и защищать имеющуюся информацию;

♦ содержать неповрежденными все активы организации после аварии;

♦ начинать операции в полном размере как можно скорее, минимизировать потери финансовых, человеческих ресурсов и активов.

Резервные копии (Back-up) АИССП, ее модулей и всех важных данных должны производиться регулярно. Резервные копии должны иметь хорошо определенный циклический характер, используя сочетание периодичности выполнения, и должны храниться вместе с DRP и документацией системы в хорошо защищенном месте вне офиса.

Имеются некоторые резервы относительно предоставления МТСЗС подтверждения пользователям модулей, что системы back-up и восстановления в случае аварии являются прочными, надежными и безопасными. Такие ситуации требуют пересмотра и укрепления систем back-up данных и восстановления в случае аварии, релевантных для использования АИССП пользователями, которые включали бы, как минимум, оценку услуг непрерывности деятельности, восстановления в случае аварии и имеющихся в МТСЗС резервных копий, чтобы помочь при защите системы бенефициарам, пользователям, а также защите модулей из АИССП.

Для АИССП не оценены угрозы в адрес системы, уязвимость и влияние потери функциональности, которые могут отрицательно повлиять на возможность достижения организационных задач. Так, должны быть введены в действие адекватные меры, которые снизят риски на доступный уровень для руководства учреждения. Исходя из критицизма и важности АИССП, необходимо внедрить ряд всесторонних, актуализированных, тестированных BCP и DRP и которые включат “активы в ожидании” (которые могут быть запущены в любой момент с полными функциональностями) в альтернативных местах. Резервная копия состоит из двух частей: изображения “Snap-shot” рабочего раздела и копии папки, содержащей логи базы данных. Обе части должны быть сохранены на магнитной ленте и храниться вне данного помещения. Несмотря на то, что для АИССП выполняются резервные копии, они не являются единственным источником информации, который позволяет восстанавливать данные в необходимый момент.

В период проведения аудита отсутствовали пособия или какие-либо другие документы для администрирования системы или другие описанные процедуры порядка выполнения резервных копий, представители министерства делали ссылку на официальную документацию, опубликованную на электронной странице поставщика программного обеспечения HP, которая сопровождала оборудование и специализированную программную продукцию. Так, для управления продукцией back-up и для восстановления министерство использует HP-Data Protect. Приложение набрано так, что для базы данных резервные копии выполняются в реальном режиме времени и один раз в неделю производится полная копия BD. Что касается операционных систем и приложений – наряду с копиями, управляемыми системой версий, выполняются еженедельные копии всех операционных систем и их конфигураций, в том числе копии приложений, которые прокатываются по серверам. Для оборудования коммуникации – еженедельно копируются все операционные системы и конфигурации с них.

Аудит свидетельствует об отсутствии ряда документированных процедур, адаптированных для АИССП, относительно компонентов, периодичности выполнения резервных копий, лиц, необходимых ресурсов и действий для восстановления данных в случае аварии. Метод back-up, используемый в настоящее время, не может считаться приемлемым решением, так как:

• Back-up не тестированы и не проверены. Последний раз эта процедура была тестирована одновременно с приемом и сдачей в эксплуатацию оборудования⁵⁶, что обуславливает поддержание рисков того, что МТСЗС не сможет обеспечить осуществление деятельности в аварийных случаях, бедствии или при потере данных;

• место расположения резервных копий является тем же, что и производственного сервера, что представляет собой существенный риск в случае появления необходимости по восстановлению приложения, а также баз данных. Резервные копии не тестируются и не проверяются.

Увеличение опасности, к которой может привести отсутствие BCP и DRP, почувствовалось в результате одной аварии, случившейся в июле текущего года вследствие нефункционирования кондиционера в комнате серверов МТСЗС. Отсутствие резервного центра, который автоматически возьмет функции основного сервера, привело к остановке примерно на 3-4 часа функционирования всей АИССП. Учитывая, что информации, полученные от МТСЗС и от субподрядчика 6 августа 2015 года, являются противоречивыми, они не могли быть проверенными, так как время хранения резервных копий, согласно подтверждениям представителей Министерства, составляет лишь 10 недель, хотя согласно Положению об информационной безопасности максимальный срок хранения резервных копий составляет до 6 месяцев.

Аудиту МТСЗС был представлен Отчет компании, ответственной за содержание оборудования Ericsson AB⁵⁷, который, согласно результатам проведенных исследований, установил случаи инцидента, произошедшего 17.07.2015–18.07.2015 г. (перепад давления в электрической сети), что привело к отключению обеих единиц кондиционеров, как средств противозащиты. С этой целью были внесены соответствующие предложения для устранения ситуации. В этих условиях аудит не смог выявить резервные копии от этого периода для оценки влияния инцидента на АИССП.

____________________

⁵⁶ Подписанный договор между МТСЗС и Консорциумом Ericsson AB и Quality Business Solution SRL nr.#G/13-S/IDA от 30.01.2012 г. “Delivery of Hardware Equipment and associated services for implementation of the Social Assistance Automated Information System in the Republic of Moldova”.

⁵⁷ Отчет 101/0062-FCPF 601 3751 Uen Rev B.

Центр поддержки (help desk) и менеджмент проблем.

Несмотря на то, что большинство обращений пользователей зарегистрировано в центре поддержки, а появившиеся проблемы описаны достаточно хорошо, отсутствуют методы отчетности соответствующей единицы руководству МТСЗС. В результате зарегистрированные события подробно не проанализированы для использования в процессе принятия решений или для внесения изменений/корректировки в информационные системы или инфраструктуру. С этой целью будет своевременной подробное описание обращений, которое представит надежный источник информации для менеджмента проблем/инцидентов.

Согласно Приказу МТСЗС № 78 от 1.06.2006 г., область обслуживания должна определить обязательства лица, ответственного за содержание, а также вид поддержки, который должна обеспечить продукция программного обеспечения, вместе с тем должны быть описаны: виды выполняемых работ по обслуживанию; порядок содержания программной документации; действия лица, ответственного за обслуживание, в случае различных видов обслуживания; необходимый уровень обучения персонала, ответственного за обслуживание; организация службы поддержки клиентов (“Hot line”).

В разделе гарантийного плана, согласно Плану проекта, разработчик указывает, что: “в период гарантии Поставщик оказывает техническую поддержку посредством телефонной линии и e-mail для ошибок/неисправностей системы. Группа квалифицированного персонала, менеджер и 2 техника, имеющие сертификаты, находящиеся в Молдове, предоставят техническую помощь”. В настоящее время АИССП обслуживается на основании существующей гарантии разработчиком АИССП. Срок действия гарантии составляет до октября 2018 года. Для повышения эффективности системы компания организовала Службу поддержки пользователей (help-desk), которая собирает все ошибки системы и запросы пользователей по проблемам, появившимся в использовании АИССП.

Согласно Приказу № 144/a от 28.08.2013 г., пользователи обязаны докладывать обо всех ошибках, обнаруженных в АИССП, посредством телефона или извещения через электронную почту. Согласно п.8 и 9 указанного приказа, в случае выявления недостатков или ошибок в функционировании системы пользователи АИССП обязаны информировать местного ответственного лица АИССП (в рамках ТКСС). Местное ответственное лицо АИССП (пользователь) сообщает о выявленном случае группе обслуживания системы посредством e-mail или по бесплатному номеру телефона. Группа обслуживания субподрядчика обрабатывает поступающие ошибки, используя систему учета ошибок, где каждый случай создается в форме “билета”, к которому имеют доступ и местные ответственные лица АИССП из подразделения “э-Преобразование” МТСЗС, откуда могут быть выбраны отчеты о выявленных ошибках. Так, ошибки, сообщенные посредством «горячей линии» (услуги “Hot-Line”) или через e-mail, мониторизируются представителями единицы “э-Преобразование” министерства и разработчика.

Так, обращения пользователей регистрируются в специальных журналах, с указанием порядка и срока решения или мотива нерешения обращений. Часть проблем разрешена путем непосредственных действий работников центра поддержки. Более серьезные проблемы адресуются специалистам в соответствующей области. Появляющиеся в ходе проблемы обычно являются по природе циклическими и могут быть квалифицированы по видам, направлениям деятельности и сущности происхождения. На основании выявленных инцидентов иногда предпринимаются более сложные работы по устранению недостатков. Проблемы появляются по различным мотивам, в том числе по причине пользователей.

За период с февраля по 29 октября 2015 года в системе маркировки было зарегистрировано около 500 инцидентов. Вместе с тем анализ данных, представленных на рисунке № 2, свидетельствует о тенденции роста инцидентов в октябре 2015 года, после того, как АИССП в расширенном варианте была фактически запущена в производство (20 сентября 2015 года).

Источник. Разработано аудитом в результате анализа данных из системы маркировки.

Оценка ответов из заполненных представителями УСОЗС, НСОИТ вопросников (некоторых подведомственных учреждений) показывает, что в среднем чуть более половины из пользователей благодарны за качество решения проблем технической службой и менее половины благодарны за скорость решения. Вместе с тем, анализируя данные из системы маркировки, аудит считает нерешенными ряд проблем, сообщенных пользователями, в оптимальные сроки. Данные из рисунка № 3 свидетельствуют, что по состоянию на 29 октября 2015 года 41% из зарегистрированных инцидентов не были закрыты.

Рисунок № 3. Соотношение между закрытыми инцидентами и теми,

которые не были закрыты (“открыты”, “действуют”, “в производстве”).

Источник. Разработано аудитом в результате анализа данных из системы маркировки.

Кроме того, план проекта указывает на уровни поддержки и сроки решения инцидентов, соответственно, для квалифицированных катастрофическими – 24 часа, срочными – 48 часов, серьезными – 72 часа и обычными – лучшие попытки. Несмотря на то, что в системе маркировки инциденты изложены в другой форме приоритетности, все-таки аудитом установлено превышение уровней указанной поддержки (24, 48 и 72 часа) для инцидентов: тяжелых, критических, значимых, согласно системе маркировки (например, заявления с приостановленным статусом – тяжелый инцидент, зарегистрированный 8.10.2015 г. решен в течение 4 дней, впоследствии 28.10.2015 г. заново открыт.

Хотя регистрация инцидентов должна способствовать выявлению проблем/случаев, находящихся в основе, аудитом не установлены ссылки/документы /другие регистрации, в которых были бы изложены причины и способы решения ошибок. Вместе с тем аудит отмечает повторение ошибок со значимым влиянием на целостность данных (повторные заявления, невключение бенефициаров в ежемесячные платежные ведомости, ошибочные расчеты и др.). В результате недостатки в проектировании системы, а также ее недостаточное тестирование, недооценка необходимых усилий для устранения проблем/ошибок приводит к перегрузке «горячей линии», а также неблагодарности пользователей относительно опоздания по корректировке ошибок.

Цель III. В какой мере контроли приложения в рамках системы обеспечивают целостность (полноту и точность) данных?

Учитывая важность модуля “Социальные пособия” в реализации цели АИССП, а также и то, что результаты опроса показали, что все УСОЗС используют этот модуль и только 6 УСОЗС используют модуль “Социальные услуги”, аудит оценил, если контроли, связанные с модулем “Социальные пособия”, обеспечивают целостность данных. Имеется стремление облегчить использование модуля “Социальные пособия”, а с целью повышения эффективности и удовлетворения пользователей более активно должны учитываться требования и замечания пользователей.

Интерфейс модуля “Социальные пособия” может быть улучшен для облегчения пользования АИССП и, соответственно, обеспечения эффективности пользователей

Согласно техническим требованиям⁵⁸, интерфейсы системы необходимо развивать в едином стиле графического рисунка, с идентичным размещением элементов. Сравнивая форму заявления для предоставления социальной помощи, утвержденную Постановлением Правительства № 1167 от 16.10.2008 г., с электронной версией заявления из модуля “Социальные пособия” АИССП, аудит отмечает, что в основном поля по вводу данных из базы данных системы соответствуют полям из утвержденной формы, что облегчает процесс регистрации заявлений по предоставлению социальной помощи.

Тем не менее были выявлены и недостатки, наличие которых в некоторых случаях добавляет ясность заявлению просителя (например, дополнительные поля “ПКСС” и наличие одного дополнительного поля на поле “семейное положение”, которое могут заполнить социальные ассистенты с правильными/актуализированными данными, “государственная поддержка”), а в других случаях может провоцировать ошибки по регистрации (например, категория уровня инвалидности в системе указывается путем “тяжелой, обостренной или средней” и отличается от той из бумажной формы, которая указывается посредством “1, 2 или 3”).

Кроме того, в результате обсуждений с УСОЗС были установлены/отмечены недостатки, которые могут повлиять на эффективность (скорость обработки заявлений и др.) использования модуля “Социальные пособия” пользователями, среди которых можно отметить:

♦ обязательные поля не выделены соответствующим образом, хотя в соответствии с Пособием пользователя для модуля “Социальные пособия”⁵⁹ имеются поля, которые должны быть обязательно введены (например, дата получения заявления);

♦ были обнаружены случаи, в которых введенные социальными ассистентами данные не сохраняются, когда переходят из одной части заявления к другой;

♦ каждая часть заявления в модуле “Социальные пособия” содержит кнопку “Сохранение”, при наборе которой загружается первая часть заявления, что создает неудобства для оператора и требует времени для возврата на соответствующую страницу;

♦ не работают кнопки “Следующая страница” и “Предыдущая страница”, при наборе которых загружается первая и последняя части заявления;

♦ заявления, возвращенные от проверяющего/контролера, не содержат элемент дифференциации от других заявлений для более легкого обнаружения и взятия в работу социальным ассистентом;

♦ при изменении статуса заявления от “Проверки” в “К оплате/Отклонено” загружается список заявлений, что усложняет процесс работы;

♦ заявления, автоматически приостановленные системой и стоящие в их основе критерии, легко не выявляются и не признаются социальными ассистентами/проверяющими;

♦ интерфейс модуля “Социальные пособия” не был транспонирован на русский язык, несмотря на то, что система должна содержать многоязычный интерфейс⁶⁰ (минимум альтернативную версию на русском языке) с возможностью напечатать макеты из интерфейса пользователей.

Вместе с тем ранее указанные аспекты приводят к неблагодарности пользователей (в результате опроса 34 УСОЗС из 41 оценили легкость использования АИССП чуть выше средней), а также к несоответствующей эффективности по использованию модуля “Социальные пособия”.

____________________

⁵⁸ Технические требования для расширения АИССП (17 января 2014 года).

⁵⁹ Пособие пользователя для модуля “Социальные пособия”, 3 версия от 8.05.2015 г. (далее – Пособие пользователя для модуля “Социальные пособия”).

⁶⁰ Технические требования, III раздел (VI) для расширения АИССП, Техническое требование № 91, п.10), Договор № G/25-S/IDA от 29.04.2014 г.

Отсутствуют адекватные контроли и процедуры в АИССП для исключения дублирования, обеспечения точности, полноты и своевременности (полезного времени) по вводу данных.

Согласно техническому заданию⁶¹, регистрация данных ссылается на точность и исчерпываемость информаций, а также на ее достоверность. Основная база⁶², связанная с разработкой и внедрением АИССП, определяет принцип единой государственной идентификации, который предусматривает присвоение одного идентификационного номера каждому объекту регистрации. Одни из основных функций АИССП состоят в: взятии на учет информационного объекта путем присвоения одного единого идентификатора и введения установленного объема информации в базу данных АИССП, обеспечение единого учета просителей и бенефициаров социальной помощи.

Тем не менее, согласно Приказу № 78 от 1.06.2006 г., информационный объект должен характеризоваться тремя основными особенностями:

♦ уникальность (наличие единого идентификатора, который отличает соответствующий объект от других аналогичных объектов);

♦ состояние (набор атрибутов, описывающих переменные свойства объекта, учитываемые в системе);

♦ поведение (определенное списком событий, которые проводятся с объектом и которые учитываются в системе).

В этом отношении аудитом установлено, что в период 15.10.2015 – 19.11.2015 гг. в результате проверок и наблюдений на месте в рамках посещений 6 УСОЗС, а также анализа результатов опроса 34 УСОЗС было выявлено свыше 60 двойных кодов номера заявлений бенефициаров. Из объяснения представителей МТСЗС следует, что “указанная проблема появилась в результате разрешения системы указывать для двух различных пользователей тот же Персональный код социального ассистента, присвоенный УСОЗС”, что указывает на отсутствие адекватных контролей АИССП. Аудитом установлено, что корректировка ряда таких ошибок была осуществлена субподрядчиком, во многих случаях корректировка заключается в замене одной цифры порядкового номера заявления.

Вместе с тем в АИССП были обнаружены случаи непоследовательного присвоения единого кода заявления, как для старых заявлений (АИССП), так и для новых заявлений (расширенной АИССП). Что связано с непоследовательностью заявлений из старой системы, МТСЗС объяснило, что это связано с тем, что в старой системе можно создать заявление со статусом “проект”, которое потом закрывается без введения в поток (в любом случае в таких случаях заявление получает номер системы). В результате заявление больше не фигурирует в списке заявлений и не делается объектом миграции. Также из объяснений представителей МТСЗС, другой проблемой, которая появилась в результате миграции данных из первоначальной версии АИССП в расширенную и установленную аудиторами, было наличие для одного бенефициара множества активных заявлений со статусом “к оплате” и “к проверке/проект”, а специалисты УСОЗС указали, что АИССП позволяет создавать новые заявления для просителя, который уже имеет созданное заявление со статусом “Проверка” или “Проект”.

Кроме того, данные заявления в АИССП не находятся в соответствующем порядке: дата приема заявления, дата введения заявления, дата передачи контролеру (проверяющему) и дата направления к оплате. Вместе с тем поле с датой получения заявления в случае со старыми заявлениями, мигрируемыми из АИССП в первоначальной версии, не имеют заполненными это поле, вследствие этого на решении указана дата ввода заявления вместо даты получения заявления (внесения просителем), что противоречит нормативной базе⁶³, которая указывает, что решение о предоставлении или непредоставлении социальной помощи и пособия на холодный период года принимается начальником управления/отдела социального обеспечения и защиты семьи в течение 15 рабочих дней с даты внесения заявления путем издания приказа. Этот факт усложняет контроль сроков решения.

Более того, в пособии пользователя для модуля “Социальные пособия” указано, что при сохранении заявления присваивается единый номер регистрации заявления в системе в форме “A2991100148”, где: “A” является кодом модуля в системе, “29” – код района, “911” – персональный код социального инспектора, “00148” – порядковый номер заявления (11 символов), зарегистрированных социальным ассистентом. В системе были обнаружены новые коды, сформированные из 12 символов (например, 2200000000001). Снижение числа элементов кода снизит время коммуникации данных, занимаемую площадь, вместе с тем, разнообразие существующих в АИССП кодов не предоставляет возможность облегчить последующие обработки.

Вместе с тем, учитывая то, что заявления для каждой примэрии регистрируются одним социальным ассистентом, АИССП автоматически присваивает район, примэрию в зависимости от роли пользователя, который регистрирует заявление, все-таки в период 15.10.2015 – 19.11.2015 гг., в результате посещений территорий аудиторы выявили “незаконно вторгшиеся” заявления из других районов и зарегистрированные другими социальными ассистентами, заявления были со статусом “к оплате”. Такая ситуация указывает на слабые или несуществующие контроли приложения, которые позволили обработать заявления без заполнения обязательных полей (имя, фамилия просителя, населенный пункт и др.).

В результате появление некоторых данных, не являющихся действующими или являющихся ошибочными, и которые могут повлиять на операционный порядок информационной системы может привести к потере данных, отсутствию конфиденциальности и целостности персональных данных. Вместе с тем отсутствие контролей за приложением может повлиять на качество данных с отрицательным воздействием на отчеты, на основании которых принимаются решения.

____________________

⁶¹ COBIT 4.1.

⁶² Постановление Правительства № 1356 от 3.12.2008 г.

⁶³ Постановление Правительства № 1167 от 16.10.2008 г..

Импортируемые в рамках модуля “Социальные пособия” данные не всегда являются качественными, влияя, по случаю, на правильность решений.

Как было указано (см. Цель I), для правильного и последовательного формирования информационных ресурсов в области социальной помощи был предусмотрен доступ к соответствующим ресурсам семи центральных публичных органов. На практике обмен данными осуществлялся согласно Техническим спецификациям⁶⁴ для расширения АИССП только с: ГП “ЦГИР “Registru””, НКСС и НАЗН.

Анализ результатов опроса УСОЗС (ответили 34 из 41) показывает, что в период сентябрь-октябрь 2015 года частота недоступности данных от внешних ресурсов была достаточно высока. Также УСОЗС сообщили о проблемах качества и полноты поставляемой информации из внешних ресурсов.

В результате проведенных тестирований аудит установил, что данные, имеющиеся в АИССП и импортируемые от ГП “ЦГИР “Registru”, НКСС и НАЗН не обеспечивают соответствующее качество, особенно правильность и полнота данных, какими являются состав семьи, умершие лица, номер и серия документа, пенсии/социальные пособия бенефициаров/членов семьи, статус занятости рабочей силы. Во многих случаях ответственные лица УСОЗС обращаются к «горячей линии» МТСЗС, в ТКСС или в НАЗН для получения правильной на тот день информации. В результате проведенных тестирований аудит установил недостатки взаимосвязи между ИС НКСС и АИССП. Так, хотя ИС НКСС содержит необходимые данные, они в некоторых случаях не приняты АИССП.

Ответственные специалисты в рамках ГП “ЦГИР “Registru”” отметили, что актуализация данных со ссылкой на смерть в ГРН может длиться до 1 месяца. Согласно законным срокам, обновление данных производится 2 раза в неделю. Данные от примэрий направляются офису гражданского состояния часто со значительными опозданиями, после чего они достигают ГРН. Затягивание срока передачи данных ОМПУ, актуализации и отсутствие контроля АИССП привели к включению умершего просителя /членов семьи просителя в платежные ведомости (например, член семьи, умерший в августе, был включен в платежные ведомости за сентябрь и октябрь 2015 года).

Вместе с тем в рамках социальной инспекции удостоверились, что существенной причиной ошибок расчетов социальной помощи является отсутствие правильных данных, импортируемых из систем, которые содержат информации относительно пенсий и социальных пособий, статуса занятости рабочей силы и подробности о лицах и членах их семьи. На основании того же договора о расширении социальная инспекция получила порядок, предназначенный непосредственно для специфики деятельности, имея миссию по надзору и инспектированию порядка применения законодательства Республики Молдова в области социальной помощи и социальных услуг. В рамках модуля специалисты ИС имеют вариант по актуализации данных, импортируемых из заявлений, в результате которых были рассчитаны разницы сумм.

Улучшение качества и полноты данных, импортируемых из внешних ресурсов, снизит случаи включения лиц, не соответствующих требованиям, в платежные ведомости, возрастет эффективность АИССП с точки зрения импортируемых данных из внешних ресурсов, а также снизит срок обработки заявлений.

____________________

⁶⁴ Договор № G/25-S/IDA от 29.04.2014 г.

Некоторые контроли, связанные с обработкой данных в системе, которые обеспечат состояние информационного объекта, отсутствуют или не являются адекватными.

АИССП ориентирована в первую очередь на сектор социальных выплат и услуг, однако учитывая то, что в рамках структур МТСЗС имеются и другие подведомственные учреждения, имеющие другую ориентацию в области деятельности, однако с влиянием на область социального обеспечения, были развиты отдельные модули для каждого вовлеченного учреждения, интегрированные в АИССП. Соответствующим примером является модуль “НСОИТ”, разработанный для Национального совета по определению инвалидности и трудоспособности, который позволяет повысить эффективность процедур по предоставлению степеней инвалидности, а также возможность учитывать все случаи и лиц, которые взаимодействуют с НСОИТ.

Форма заявления из модуля “Социальные пособия” не имеет поля о сроке действия сертификатов по инвалидности⁶⁵, материнстве, учебе (студент), хотя старая версия АИССП предусматривает некоторые из них. Ответственные лица МТСЗС отметили, что для срока действия сертификатов по инвалидности в модуль “Социальные пособия” были внедрены необходимые правила для проверки инвалидности в момент установления права на пособие, а также при разработке ежемесячных платежных ведомостей. Кроме того, осуществление проверки было предусмотрено на основе данных, генерируемых модулем “НСОИТ”, который также является частью АИССП. Вместе с тем до полного внедрения модуля для НСОИТ было принято решение использовать информацию от НКСС относительно статуса и срока инвалидности.

Тем не менее аудит установил случаи включения в платежные ведомости бенефициаров:

♦ с истекшим сроком сертификатов по инвалидности членов семьи;

♦ с истекшим сроком сертификатов по инвалидности и которые больше не имеют занимаемый статус – нетрудоспособные, и не получают пенсию по инвалидности, заявление осталось к оплате и с пересчетом минимально гарантированного ежемесячного дохода в модуле “Социальные пособия”, с компенсацией пенсии по инвалидности;

♦ члены семьи в возрасте свыше 18 лет;

♦ члены семьи в возрасте свыше 23 лет.

Аудит считает, что первоначальное положение о наличии полей со сроками действия сертификатов по инвалидности, материнстве, учебе (студент) для автоматизированного учета действенности заявлений о предоставлении социальной помощи исключило бы человеческие ошибки, которые приводят к оплате/переплате социальной помощи в случае, когда ответственность возложена на бенефициаров, социальных ассистентов и проверяющих социальной помощи. Вместе с тем из обсуждений с представителями УСОЗС установлено, что общие решения о предоставлении или непредоставлении СП и ПХПГ, подписанные начальником УСОЗС, содержат ошибки в тексте, а в случае отрицательного решения не содержат конкретный мотив, указанные сроки в решениях являются неправильными (например, первоначальное решение: семья получит выплаты до 2016 года, в настоящее время в решении указан 2015 год).

____________________

⁶⁵ Requirement No 30 point 9) and 10), Section III (VI) of Technical Specifications from Functional extension (17 ianuarie 2014).

Контроли, обеспечивающие соответствующее производство всех выходов, необходимо консолидировать.

Согласно Пособию пользователя для модуля “Социальные пособия”, основной целью модуля является определение соответствия требованиям заявителей и исчисление размера СП. Должны отметить, что на этапе проведения аудита не было возможным генерировать отчеты в рамках модуля “Социальные пособия”, который позволил бы более комплексно проанализировать данные. Мотив, который привели представители МТСЗС, заключался в изменении инфраструктуры (смотреть раздел по внедрению модуля “Отчетность и мониторинг”) и генерируемых ими ошибочных данных.

Миграция данных из первоначальной версии АИССП в расширенную версию была предусмотрена планом проекта на период 10.07.2014 – 25.08.2014 гг. и реализована, согласно Отчету о миграции данных⁶⁶, в марте 2015 года. Тем не менее УСОЗС продолжали одновременно использовать обе версии АИССП и после 1.08.2015 г. (даты запуска в эксплуатацию расширенной версии системы). Так, согласно отмеченному консультантами МТСЗС, для уклонения от параллельного использования 2 систем 20.09.2015 г. был приостановлен допуск к старой системе, а данные были синхронизированы.

Для обеспечения правильности миграции данных представители МТСЗС сравнили платежные ведомости из старой и новой систем, были выявлены недостатки и ошибки, которые впоследствии были переданы разработчику для корректировки проблем и перерасчета заявлений на ошибочные суммы.

Аудит установил, что хотя в результате миграции данных в новую систему информация должна содержаться в той же форме/статусе, все-таки положительные решения из старой системы просителей пособий на холодный период года в новой системе стали неактивными. Так, для исправления соответствующей проблемы МТСЗС пересмотрело свыше 43000 заявлений и изменило их статус “к оплате”. Дополнительно было предусмотрено предоставить в распоряжение УСОЗС новый инструмент (после обучения, проведенного 26–30.11.2015 г.), который будет автоматически пересчитывать на уровне заявления в случае, когда будут обнаружены и другие заявления с ошибочным статусом.

Вместе с тем 29.10.2015 г. в результате обсуждений с представителями УСОЗС из муниципия Кишинэу аудиторы установили, что около 20% из решений за август 2015 года не были включены в платежные ведомости за сентябрь 2015 года. Согласно объяснениям МТСЗС, проблема была связана с одной ошибкой в правиле для критерия (правило из номенклатуры), которая повлияла на заявления из диапазона муниципия Кишинэу. МТСЗС отметило, что ошибка была исправлена, заявления были пересчитаны, а УСОЗС подтвердили правильность расчетов.

Несмотря на то, что МТСЗС приняло конкретные меры по корректировке проблем/ошибок, аудиторская группа не уверена, что проблемы/ошибки были полностью устранены, сохраняется риск невключения приемлемых просителей в платежные ведомости. Анализ числа бенефициаров СП и ПХПГ, которые с опозданием были включены в платежные ведомости и, соответственно, которым были выплачены с задержкой платежи, можно увидеть на рисунке № 4.

Рисунок № 4. Число бенефициаров, в том числе суммы платежей,

которые получили с опозданием выплаты социального

пособия за август-октябрь 2015 года.

Источник. Разработано аудитом в результате анализа

выплат СП и ПХПГ за август-октябрь 2015 года.

Из рисунка № 4 наблюдаем, что в августе были оплачены с опозданием 487 выплат помощи на сумму 469,0 тыс.леев. Снижение задержек отмечается в сентябре – только по 113 выплатам на сумму 118,0 тыс.леев и, соответственно, в октябре – рост опозданий по выплате в 1251 случае на сумму 815,0 тыс.леев. Таким образом, можем отметить, что существенное увеличение задержек по оплате в октябре обусловлено тем, что 20 сентября 2015 года была внедрена расширенная АИССП и, соответственно, появилось множество ошибок.

Вместе с тем установлено, что МТСЗС совместно с разработчиком недооценили процесс миграции данных, который привел к дисфункциональностям и дополнительному запросу человеческих ресурсов и времени, вовлеченных в их решение.

____________________

⁶⁶ Отчет о миграции данных от 14.05.2015 г., версия 2.0.

Время ответа АИССП имеет прямое влияние на эффективность пользователей.

Требования по функционированию расширенной АИССП содержат положения о максимальном использовании системы для повышения эффективности операторов АИССП, а также для оптимизации структуры базы данных относительно введения в действие новых функциональностей⁶⁷.

Несмотря на то, что разработчик Плана менеджмента качества АИССП идентифицировал меры по обеспечению эффективности и контролей эффективности, все-таки вследствие анализа результатов опроса УСОЗС 12 из 34 управлений ответили, что АИССП тяжело обрабатывает операции. Этот факт, связанный с отсутствием способности системы и шириной ленты, был установлен и в рамках рабочего визита аудиторской группы в социальную инспекцию, где было тестировано время ответа системы (например, выбор 10 заявлений по следующим критериям: район, населенный пункт, активные заявления из списка примерно 8000 заявлений. При первом исследовании АИССП не выдала результатов. После второго исследования заявления были отобраны через 5 минут ожидания).

Также проблемы эффективности АИССП были отмечены ответственными лицами МТСЗС, которые указали, что одновременно с внедрением и использованием новой версии системы были выявлены проблемы, связанные с одновременным ее использованием большим числом пользователей. Субподрядчик в Плане менеджмента рисков⁶⁸ идентифицировал потенциальные технические риски с влиянием на эффективность системы, связанные с техническими изменениями в инфраструктуре ИТ МТСЗС и проблемами эффективности систем, в том числе их доступности. В результате была изменена архитектура системы путем добавления дополнительных серверов и были переконфигурированы все серверы и оптимизированы критические процедуры.

Таким образом, неадекватное проектирование или перепроектирование системы, недооценка потребностей в техническом обеспечении и сети, а также недооценка риска по увеличению числа пользователей и объема информации обусловили низкую эффективность операторов, значительное время на обработку заявлений, низкую доступность АИССП и рост времени ее ответа. В этом отношении отсутствие адекватного анализа влияния, следуемого из переконфигурации инфраструктуры, определили неиспользование некоторых модулей/подмодулей (например, подмодуля “Отчеты” из модуля “Социальные пособия”).

____________________

⁶⁷ Договор № G/25-S/IDA от 29.04.2014 г., технические требования. Раздел III (VI) для расширения АИССП (17 января 2014 года), п.2, (l) k).

⁶⁸ Технический риск 3, Технический риск 4 из Плана менеджмента рисков для МТСЗС: приложение АИССП, п.3.4 (2014).

ОБЩИЙ ВЫВОД АУДИТА

В целом, с некоторыми резервами по улучшению, АИССП, которая находится на раннем этапе эксплуатации/внедрения, представляет собой перспективный потенциал по достижению желаемого воздействия, существенный вызов для автоматизации бизнес-процессов, связанных с областью социальной помощи или с влиянием на нее. Вместе с тем аудит установил некоторые проблемы, недостатки, а также другие факторы, которые могут повлиять на адекватную функциональность АИССП (например, ограниченные человеческие ресурсы министерства, вовлеченные в процесс внедрения комплексной ИС и др.). Эффективное выявление и управление рисками для успешного внедрения системы ответственными сторонами считаются максимально важными и значимыми. Также если министерство совместно с заинтересованными сторонами примет необходимые меры для внедрения направленных аудитом рекомендаций, а также проанализирует и устранит дисфункциональности и ошибки системы, отраженные в настоящем отчете, тогда предложенные цели как для АИССП, так и для организационных задач субъектов, пользователей модулей АИССП, в основном, будут достигнуты соответствующим образом. Необходимо отметить и вклад группы, ответственной за внедрение АИССП до настоящего времени, который должен быть обеспечен и в будущем для решения недостатков и обеспечения адекватной функциональности системы.

Учитывая то, что внедрение АИССП находится на начальном этапе, следует отметить, что выводы миссии аудита, безусловно, имеют предварительный характер. Они не должны быть интерпретированы в качестве комментария по внедрению АИССП в целом, способностей аудируемых сторон/субъектов за областью применения текущего аудита.

Приложение № 1

Используемая терминология

Приемка (ITILv3) – формальное соглашение о том, что ИТ-услуга, процесс или другой результат деятельности является завершенным, правильным, надежным и отвечает установленным требованиям;

Соглашение (ITILv3) – документ, который описывает формальное отношение между двумя и более сторонами. Соглашение не представляет собой правовое обязательство, за исключением случаев, когда оно является частью договора;

Администратор – лицо, ответственное за надлежащее функционирование местных сетей, серверов, сетевых устройств, компьютеров и обеспечивающее контроль за безопасностью информации.

Проверка подлинности – проверка идентификатора, присвоенного субъекту доступа, подтверждение подлинности;

Back-up/резервное копирование (ITILv3) – копирование данных для защиты от потери или уничтожения целостности или доступности оригинала;

Бенефициары модулей – физические, юридические лица и государственные служащие;

Жизненный цикл (ITILv3) – различные стадии из жизни одной ИТ-услуги, конфигурационной единицы, инцидента, одной проблемы, изменения и т.д. Жизненный цикл определяет категории для статуса и разрешенные переходы;

Договор (ITILv3) – обязательное правовое соглашение между двумя и более сторонами;

Код-источник – набор инструкций, специфичных определенному языку программирования. Код-источник помогает программисту связываться с компьютером, используя количество надлежаще определенных инструкций;

Контроли ИТ – специфическая деятельность, осуществляемая лицами или разработанными системами для обеспечения выполнения деловых задач. Они являются поднабором внутренних контролей предприятия. Контроли ИТ ссылаются на конфиденциальность, целостность и наличность данных, а также общее управление функцией ИТ предприятия;

Общие контроли ИТ – направлены на инфраструктуру информационной системы, в том числе любые политики, процедуры и рабочие практики, связанные с ИТ. Общие контроли встроены в процессы и ИТ-услуги (например, развитие систем, менеджмент изменений, безопасность, обработка на компьютере);

Контроли приложения – контроли приложения специфичны одному приложению и имеют прямое влияние на обработку индивидуальных сделок. Эти контроли используются для предоставления подтверждения (в основном, менеджменту), что все сделки доступны, разрешены и зарегистрированы (завершенность, точность, доступность, авторизация, разделение задач услуг);

Разработка (ITILv3) – процесс, ответственный за создание или изменение ИТ-услуги или приложения. Используется также для обозначения роли или группы, осуществляющей деятельность по разработке;

Служба поддержки пользователей (Help Desk/Service Desk) (ITILv3) – единая точка контакта между поставщиком услуг и пользователями. Типичная служба поддержки пользователей управляет инцидентами и требованиями к услугам, а также осуществляет связь с пользователями;

Идентификация – присвоение идентификатора субъектам и объектам доступа и/или сравнение имеющегося идентификатора со списком присвоенного идентификатора;

Целостность – обеспечивает точность и полноту информации так, чтобы проверка достоверности осуществлялась в соответствии с принципами и ожиданиями бизнеса;

Управление непрерывностью бизнеса (BCM) (ITILv3) – бизнес-процесс, ответственный за управление рисками, которые могут отрицательно и существенно повлиять на бизнес;

Управление ИТ-услугами (ITSM) (ITILv3) – внедрение и управление качественными ИТ-услугами, которые соответствуют потребностям бизнеса. Управление ИТ-услугами реализуется поставщиками ИТ-услуг путем использования наиболее оптимального сочетания людей, процессов и информационных технологий;

Модуль/и – АИССП разработана модульным способом, способствуя легкому интегрированию и развитию новых функциональностей, расширению модулей и взаимодействию с общей функциональностью;

План (ITILv3) – подробный проект, описывающий необходимую деятельность и ресурсы для достижения цели. Например, план, который внедряет новую ИТ-услугу или процесс. ISO/IEC 20000 требует наличия плана управления для каждого процесса управления ИТ-услугами;

Поставщик ИТ-услуг (ITILv3) – поставщик услуг, который предоставляет ИТ-услуги внутренним или внешним клиентам;

Процесс (ITILv3) – структурированная совокупность действий, спроектированная для достижения специфической цели. Процесс начинается с определенных входов и преобразовывает их в желаемый результат. Процесс может включать роли, ответственности, инструменты и контроли управления, необходимые для надежного получения желаемых результатов. Процесс, при необходимости, может определять политики, стандарты, рекомендации, виды деятельности и рабочие инструкции;

ИТ-услуга (ITILv3) – услуга, предоставляемая одному и более клиентам поставщиком ИТ-услуг. ИТ-услуга базируется на использовании информационной технологии и поддерживает процессы бизнеса клиента. ИТ-услуга состоит из комбинации лиц, процессов и технологий и должна быть определена в соглашении об уровне услуг/SLA;

Субподрядчик/разработчик – относится к физическому или юридическому лицу, который был назначен выполнять все или часть обязательств предварительного договора, будучи прямо или косвенно законтрактованным поставщиком;

Информационная технология (ИТ) (ITIL) – применение технологии для хранения, связи и обработки информации. В типовом отношении технология включает вычислительную технику, телекоммуникации, приложения и другие программные обеспечения. Информация может включать данные бизнеса, голосовые данные, изображения, видео и др. Информационная технология часто используется для поддержки бизнес-процессов посредством ИТ-услуг.

Пользователь – лицо, которое действует от органа, пользователя данных персонального характера, с признанным правом доступа к информационным системам данных персонального характера.

Приложение № 2

Список источников критериев аудита

I. Законодательно-нормативная база:

1. Закон № 71 от 22.03.2007 г. “О регистрах”, с последующими изменениями и дополнениями;

2. Закон № 229 от 23.09.2010 г. “О государственном внутреннем финансовом контроле”, с последующими изменениями и дополнениями;

3. Закон № 174 от 28.07.2011 г. “О ратификации Финансового соглашения между Республикой Молдова и Международной ассоциацией развития для реализации проекта “Повышение эффективности сети социальной поддержки””;

4. Постановление Правительства № 1167 от 16.10.2008 г. “Об утверждении Положения о порядке установления и выплаты социального пособия”;

5. Постановление Правительства № 1356 от 3.12.2008 “Об утверждении структуры автоматизированной информационной системы “Социальная помощь”;

6. Постановление Счетной палаты № 65 от 17.12.2013 г. “По Отчету аудита эффективности “Эффективно ли администрируются фонды программ социального пособия и направляются ли они малообеспеченным слоям населения?””;

7. Постановление Счетной палаты № 22 от 6.05.2014 г. “По Отчету операционного аудита проекта “Услуги здравоохранения и социальной помощи” за период 2011–2013 годов”;

8. Приказ министра информационных технологий и связи № 78 от 1 июня 2006 года “Об утверждении технических регламентов “Процессы жизненного цикла программного обеспечения” RT 38370656-002:2006;

9. Приказ министра информационных технологий и связи № 94 от 17.09.2009 г. “Об утверждении некоторых технических регламентов”;

10. Приказ министра труда, социальной защиты и семьи № 144/a от 28.08.2013 г. ”Об автоматизированной информационной системе “Социальная помощь”;

11. Приказ министра труда, социальной защиты и семьи № 73 от 29.05.2014 г. “О создании Комитета по руководству для функционального расширения автоматизированной информационной системы “Социальная помощь”;

12. Приказ министра труда, социальной защиты и семьи № 107 от 2.07.2015 г. “О внедрении функционального расширения автоматизированной информационной системы “Социальная помощь””;

13. Приказ министра труда, социальной защиты и семьи № 74 от 29.05.2014 г. “О создании рабочих групп”;

14. Политика защиты персональных данных, утвержденная министром министра труда, социальной защиты и семьи в 2013 году;

15. Положение об информационной безопасности Министерства труда, социальной защиты и семьи от 20.08.2013 г.

II. Документы, соответствующие менеджменту проекта:

1. Документ по оценке проекта “Повышение эффективности сети социальной поддержки”, 6 мая 2011 года;

2. Договор G/11/S/IDA от 24.12.2010 г. по разработке и внедрению автоматизированной информационной системы “Социальная помощь”, включая 3 поправки;

3. Договор G/13-S/IDA от 30.01.2012 г. о поставке оборудования технического обеспечения и ассоциированных услуг, необходимых для внедрения инфраструктуры ИТ автоматизированной информационной системы “Социальная помощь”, включая 3 поправки к нему;

4. Договор G/25-S/IDA от 29.04.2014 г. “Функциональное расширение автоматизированной информационной системы “Социальная помощь””, включая 2 поправки.

Вместе с тем были рассмотрены и проанализированы:

1. Оферта разработчика, приложение № 3 – Техническая оферта;

2. Общие технические спецификации, раздел III. Технические требования (в том числе Программа внедрения), приложение к Договору #G/25-S/IDA от 29.04.2014;

3. Подробная архитектура и рисунок АИССП;

4. SOW (Statement of Work) – технические требования модулей;

5. ATP (Acceptence Testing Plan) – акты приемки в результате проведенных в установленном порядке тестирований для модулей АИССП;

6. Операционные приемки модулей/системы;

7. План проекта расширения АИССП;

8. Пособия и руководства АИССП в расширенной версии;

9. План менеджмента рисков для АИССП: приложение АИССП;

10. План менеджмента качества;

11. Отчет о миграции данных;

12. Отчет № 101/0062-FCPF 601 3751 Uen Rev B;

13. Соглашения/договора об обмене данными, заключенные между МТСЗС и НКСС, НАЗН, ГП “ЦГИР “Registru””, Департаментом пограничной полиции.

III. Соответствующие международные стандарты/практики:

1. ISO/IEC 27002:2013 “Технология информации – техники безопасности – системы менеджмента информационной безопасности – требования”;

2. ISO/IEC 27001:2013 “Технология информации – техники безопасности – практический кодекс для менеджмента информационной безопасности”;

3. COBIT 4.1. “Система отсчета, Задачи контроля, руководство для менеджмента, модели зрелости”;

4. COBIT Control Practices: Guidance to Achieve Control Objectives for Successful IT Governance, 2nd Edition (Практики контроля);

5. Руководство PMBOK – Руководство по набору знаний менеджмента проекта, пятое издание;

6. ITILv3 “Библиотека инфраструктур технологии информации”;

7. ISSAI 100 “Основополагающие принципы аудита в публичном секторе”, введены в действие Постановлением Счетной палаты № 60 от 10.12.2013 г.;

8. ISSAI 300 “Основополагающие принципы аудита эффективности”, введены в действие Постановлением Счетной палаты № 60 от 10.12.2013 г.;

9. ISSAI 5310 “Методология пересмотра безопасности информационных систем”, введена в действие для проведения внешнего публичного аудита Постановлением Счетной палаты № 7 от 1.04.2014 г.;

10. Пособие Всемирного банка: Закупки товаров, работ и услуг по консультации в рамках займов МБРР, кредитов и грантов МАР со стороны Всемирного банка, издание от января 2011 года;

11. Пособие по аудиту информационных технологий, утвержденное Постановлением Счетной палаты № 69 от 30.12.2010 г.

Приложение № 3

Область применения и методология аудита

Методология аудита была разработана таким образом, чтобы соблюдать национальные и международные стандарты аудита в области ИТ, а также сконцентрироваться на рисках, которые могут иметь существенное влияние на информационную систему. Важным аспектом, который был взят в учет аудиторами в процессе аудита, было постоянное и эффективное информирование о любых потенциальных проблемах.

Вместе с тем методология аудита охватила основные уровни контроля среды ИТ: общие контроли ИТ и контроли приложения, процедуры аудита, а именно: прямое наблюдение, опросы, рассмотрение документов и проверяемых списков. В рамках аудиторских действий были собраны, проанализированы, обобщены и интерпретированы все виды аудиторских доказательств: документальные, физические, устные, аналитические.

При инициировании аудиторских мероприятий Счетная палата учитывала возможные риски АИССП, с неблагоприятным влиянием на способности публичных учреждений реализовать задачи в области социальной помощи.

Аудит Счетной палаты был направлен на автоматизированную информационную систему “Социальная помощь”, внедряемую МТСЗС. Так, Счетная палата, учитывая требования, предложенные Всемирным банком, установила следующую цель: “Обеспечивает ли автоматизированная информационная система “Социальная помощь” защиту активов, целостность данных и эффективное функционирование для достижения организационных целей и задач?”

В ходе проведения аудиторской миссии при осуществлении соответствующей деятельности аудиторская группа Счетной палаты руководствовалась:

1. Стандартами аудита информационных технологий Счетной палаты;

2. Пособием по аудиту информационных технологий Счетной палаты;

3. Действующими законодательными и нормативными актами.

Аудиторская миссия была проведена в МТСЗС, социальной инспекции, Национальном совете по определению инвалидности и трудоспособности и в УСОЗС в рамках районных советов Криулень, Хынчешть, Яловень и Теленешть, а также в рамках муниципальных советов Бэлць и Кишинэу (УСО сек.Чентру). Вместе с тем при необходимости была запрошена информация от ГП “ЦГИР “Registru”” и НКСС.

С целью получения аудиторских доказательств были применены следующие техники, методологии и процедуры аудита:

♦ изучение законодательства по тематике;

♦ изучение предыдущих отчетов аудита для оценки, если МТСЗС приняло адекватные корректирующие меры;

♦ изучение проекта “Услуги здравоохранения и социальной помощи” (2007 г.) и проекта “Повышение эффективности сети социальной поддержки” (2011 г.);

♦ использование COBIT 4.1, COBIT практик контроля, технических регламентов, пособия по аудиту ИТ СПРМ для применения в контролях;

♦ присутствие в рамках обсуждений с представителями МТСЗС, ответственных за внедрение АИССП;

♦ участие в демонстрациях по использованию АИССП, проводимых МТСЗС;

♦ изучение договорной документации по разработке и внедрению АИССП и внесенных изменений;

♦ рассмотрение технической документации: технических требований, отчетов о достижениях, планов проектов, плана менеджмента рисков, методологий, стратегий по внедрению, сценариев тестирования; отчета о миграции данных;

♦ анализ SOW-ов и руководств пользователя/администратора, технической документации существующей инфраструктуры;

♦ проверка общих контролей в комнате серверов;

♦ изучение документов, связанных с Приказом министра ТСЗС № 144/a от 28.08.2013 г. относительно АИССП, а именно: политики безопасности персональных данных, положения об информационной безопасности и других актов, соответствующих области, для формирования заключения об общих контролях ИТ в рамках МТСЗС;

♦ обсуждения с ответственными лицами из различных ключевых областей для оценки результатов применения общих контролей ИТ в рамках МТСЗС;

♦ разработка, внесение и анализ различных видов опросов для получения более специфичных данных и для проведения некоторых структурированных анализов (МТСЗС, 34 из 41 УСОЗС);

♦ анализ макетов, зарегистрированных в help desk;

♦ осуществление посещений территорий для тестирования функциональностей АИССП в 6 УСОЗС; Бэлць (15.10.2015 г.), мун.Кишинэу, сек.Чентру (29.10.2015 г.), Теленешть (30.10.2015 г.), Криулень (4.11.2015 г.), Хынчешть (11.11.2015 г.) и Яловень (12.11.2015 г.), а также визитов в МТСЗС, Социальную инспекцию, НСОИТ, Республиканский фонд для оценки уровня использования системы;

♦ анализ ответов из полученных вопросников (ответили 34 из 41 УСОЗС);

♦ анализ данных по вводу/выходу, обработке данных;

♦ проведение проверок над контролями системы для 51 пользователя;

♦ интервьюирование ответственных лиц МТСЗС, аудируемых УСОЗС, НСОИТ, Республиканского фонда, НКСС о соответствующих аспектах, связанных с предоставлением социальной помощи и пособия на холодный период года;

♦ документирование по Интернету с целью информирования о некоторых событиях, связях, эволюции, связанных с АИССП;

♦ прямые наблюдения (фотографии, печать интерфейсов).