Information System Audit বা তথ্য ব্যবস্থার নিরীক্ষা বলতে কি বুঝায়?

Audit বা নিরীক্ষা

Audit যার বাংলা অর্থ নিরীক্ষা। এটা সোজা কথা আমরা সবাই জানি। নিরীক্ষা বলতে সাধারনত যেটা বুঝান হয় তা হলো কোন প্রতিষ্ঠানের সকল কার্যক্রম আইন-কানুন পরিপালন পূর্বক সঠিকভাবে পরিচালিত হচ্ছে কি না তার সরেজমিনে নিরীক্ষা করা। অথবা এমন হতে পারে সম্পূর্ণ নয় কিন্তু কতটুকু পরিপালন হচ্ছে এর ফলে প্রতিষ্ঠানের কার্যক্রম সুষ্ঠুভাবে পরিচালিত হচ্ছে কিনা তা সরেজমিনে যাচাই-বাছাই করা। এটা হচ্ছে নিরীক্ষার মোদ্দা কথা।

কিন্তু আমাদের প্রসংগ “Information System Audit” বা তথ্য ব্যবস্থার নিরীক্ষা নিয়ে। অনেকে একে “Information Technology Audit” বা তথ্য ব্যবস্থার নিরীক্ষা বলে। সংক্ষেপে IT Audit অনেকে বলে থাকে। কিন্তু সঠিক শব্দটি হচ্ছে “IS Audit” বা “Information System Audit” ।

এখন আসি কোন প্রতিষ্ঠানে কি কি কারনে নিরীক্ষা পরিচালনা করা হয়?

• কোন প্রতিষ্ঠান কতটুকু ফলপ্রসু কার্যক্রম পরিচালনা করছে তা নিশ্চিত করতে।
• প্রতিষ্ঠান কোন দেশের অভ্যন্তরীন আইন-কানুন কতটুকু মেনে চলছে, অর্থাৎ সম্পূর্ণ না আংশিক, অথবা একটুও মেনে চলছে না তা নিশ্চত করতে।
• এবং সেই সাথে প্রতিষ্ঠানের ব্যবসায়ীক কার্যক্রম কতটুকু সুষ্ঠুভাবে চলছে এবং বিভিন্ন পরিস্থিতিতে প্রতিষ্ঠান উদ্বুদ্ধ চ্যালেঞ্জ মোকাবিলায় কতটুকু সক্ষম তা নিশ্চিত করতে।

“IS Audit” এর ক্ষেত্রে মূলত এই বিষয়গুলি দেখা হয় তবে তা তথ্য-প্রযুক্তির উপর ভিত্তি করে।

• কোন প্রতিষ্ঠানের তথ্য-প্রযুক্তি ব্যবস্থা এবং এর ওপর গড়ে ওঠা সম্পূর্ণ সিস্টেম (এখানে সিস্টেম বলতে তথ্য-প্রযুক্তি এবং ব্যবসায়ীক কার্যক্রম এর সম্মিলিত রূপ)।
• তথ্য-প্রযুক্তি পরিমন্ডলের প্রতিটি স্তরের নিরাপত্তা এবং নিয়ন্ত্রন ব্যবস্থা।
• প্রতিষ্ঠানের অর্থনৈতিক কার্যক্রম, স্বাভাবিক কর্মকান্ড এবং নৈতিক দৃঢ়তা সম্পর্কে স্টেক হোল্ডারদের অবগত করা।

“IS Audit” মূলত এসকল বিষয়ের ওপর গুরুত্ব প্রদান করতঃ তথ্য-প্রযুক্তির সাথে জড়িত সকল বিষয়, যা একটি প্রতিযোগীতামূলক ব্যবসার জন্য গুরুত্বপূর্ণ সে সকল বিষয়ের ওপর পরীক্ষা-নিরীক্ষা করে থাকে।

“IS Audit” যে সকল বিষয়ের ওপর গুরুত্বারোপ করে:

• একটি প্রতিষ্ঠান যে দেশে অবস্থিত, সে দেশের সরকার বা রাস্ট্রের কিছু পরিপালনীয় শাষন মানদন্ড (Governance Criteria) রয়েছে এবং আছে এর সাথে সম্পর্কযুক্ত কিছু প্রাসংগিক নীতি (Policy) ও পদ্ধতি (Procedure) এবং আরও আছে তথ্য-ব্যবস্থা (Information System) এবং এর সাথে সম্পর্কযুক্ত ও নির্ভরশীল প্রক্রিয়া (Process), কোন প্রতিষ্ঠান এসকল কিছু মেনে চলছে কি না বা কতটুকু মেনে চলছে।
• রাষ্ট্রের এ্ সকল শাষন মানদন্ডের ওপর গড়ে ওঠা অন্যান্য আইন, প্রবিধান, চুক্তি, শিল্প নির্দেশিকা (Industry Guidelines), মেনে চলছে কিনা বা কতটুকু মেনে চলছে।
• তথ্য-ব্যবস্থায় ব্যবহৃত ডাটা ও তথ্যের জন্য স্তর ভিত্তিক গোপনীয়তা (Confidentiality), অখন্ডতা (Integrity), প্রাপ্যতা বা সহজলভ্যতা (Availability), রক্ষা করা হয় কিনা।
• তথ্য-ব্যবস্থার সাথে সম্পর্কযুক্ত সকল কার্যক্রম পরিপূর্ণ দক্ষতার সাথে পরিচালিত হয় কিনা? যেন তা প্রতিষ্ঠানের লক্ষ্য পূরনে কার্যকর ভূমিকা পালন করে।

যে, যিনি বা যারা এই “IS Audit” পরিচালনা করে তাদেরকে “IS Auditor” বা “তথ্য-ব্যবস্থা নিরীক্ষক” বলা হয়ে থাকে।

এখন একজন “IS Auditor” এর প্রধান কাজ কি? একটু দেখা যাক:

• Evidence বা প্রমান সংগ্রহ করা।
• Control Framework বা নিয়ন্ত্রন কাঠামো পর্যালোচনা করা। (নিয়ন্ত্রন কাঠামো বলতে বুঝান হয় প্রতিষ্ঠানের সমগ্র সিস্টেমটি যে ব্যবস্থার (তথ্য-ব্যবস্থা) ওপর দাড়িয়ে আছে)
• এই সকল প্রমান এবং নিয়ন্ত্রন কাঠামো পর্যালোচনাপূর্বক সম্পূর্ন সিস্টেমের সবলতা বা দুর্বলতা চিহ্নিত করা হয়।
• স্টেকহোল্ডারদের জন্য রিপোর্ট প্রস্তুত করা, যেখানে দুর্বলতা চিহ্নিতকরণ পূর্বক তার প্রতিকারের ব্যবস্থা উল্লেখ থাকে। এবং সম্পূর্ণ সিস্টেমের চিত্র তুলে ধরা হয়।

Audit Process বা নিরীক্ষা প্রক্রিয়া

সাধারনত একটি নিরীক্ষা প্রক্রিয়ার মূলত তিনটি অংশ থাকে:

• পরিকল্পনা (Planning),
• সরেজমিন কাজ করা এবং তা লিপিবদ্ধ করা (Fieldwork & Documentation),
• রিপোর্ট প্রস্তুত ও তদারিক করা (Reporting & Follow up),

এছাড়াও অন্যভাবে বলা যায়, অন্যান্য সকল প্রক্রিয়ার মতো নিরীক্ষা প্রক্রিয়ার জন্য ইনপুট এবং আউটপুট রয়েছে।

Input: একটি নিরীক্ষা কার্যের জন্য প্রতিষ্ঠান সম্পর্কে গভীর হতে গভীরতর জ্ঞান একজন নিরিক্ষকের জন্য ইনপুট হিসেব কাজ করে থাকে। একটি নিরীক্ষা প্রক্রিয়ার ইনপুটগুলি হচ্ছে:

 ১) প্রতিষ্ঠানের লক্ষ্য ও উদ্দেশ্য এবং প্রতিষ্ঠানের বিভিন্ন কার্যাবলি সম্পর্কে গভীর হতে গভীরতর জ্ঞান।

২) প্রয়োজনীয় নিয়ন্ত্রন (Control) সম্পর্কিত জ্ঞান।

৩) প্রতিষ্ঠানের সম্পদ ও পরিমন্ডল।

৪) লজিস্টিক।

Process: ইনপুটকে বিভিন্নভাবে পর্যালোচনা এবং বিশ্লেষনের মাধ্যমে প্রক্রিয়াকরণ করা হয়। এই ধাপেই  নিরীক্ষা প্রক্রিয়া শুরু হয়ে থাকে। এই ধাপের কার্যাবলি:

১) নিরীক্ষা পরিমন্ডল নির্দিষ্ট করা হয়।

২) প্রতিষ্ঠানের পলিসি, স্ট্যান্ডার্ড এবং গাইডলাইন সনাক্ত, নির্দিষ্ট ও পর্যালোচনা করা।

৩) ঝুঁকি বিশ্লেষন করা।

৪) নিরীক্ষা পদ্ধতি প্রস্তুত করা।

Output: এই ধাপে সম্পূর্ণ নিরীক্ষা কার্যের রিপোর্ট টপ ম্যানেজমেন্ট, স্ট্যাক হোল্ডারদের জন্য প্রস্তুত করা হয়ে থাকে।

কিছু কথা

Stack Holder: সিস্টেম বা প্রতিষ্ঠানের সাথে যুক্ত বিভিন্ন পর্যায়ের কর্তাব্যক্তি।

IT Audit vs IS Audit:  তথ্য প্রযুক্তি নিরীক্ষা (IT Audit: Informaation Technology Audit) প্রতিষ্ঠানের তথ্য-প্রযুক্তির ওপর গুরুত্ব আরোপ করে, যেমন: নেটওয়ার্ক-ইনফ্রাস্টাকচার সিকিউরিটি, এক্সেস কন্ট্রোল, সিস্টেম চেঞ্জ ম্যানেজমেন্ট, আইটি পলিসি এবং প্রসিডিউর, বিজনেস কন্টিনিউটি এবং ডিজাষ্টার রিকভারি, ডাটা ব্যাকআপ সিস্টেম ইত্যাদি।

অন্য দিকে, তথ্য ব্যবস্থার নিরীক্ষা (IS Audit: Information Systems Audit) উপাত্ত-তথ্যের প্রবাহ নিয়ে আলোচনা করে থাকে।

যেমন: তথ্যের ইন্টিগ্রিটি, কনফিডেন্সিয়ালিটি, এ্যাভেইলেবিলিটি, এ্যাপ্লিকেশন কন্ট্রোল, ডাটা ইনপুট-আউটপুট ভ্যালিডেশন, সিস্টেম ইন্টারফেস ইত্যাদি।

Control: নিয়ন্ত্রন।

তথ্য সূত্র:

• CISA-Certified Information Auditor By Hemang Doshi.
• CISA-Certified Information Auditor By David L. Cannon.
• CISA Review Manual-27E.
• CISA-Certified Information Systems Auditor By Peter H. Gregory.

এতক্ষণ যা আলোচনা করা হলো তা সাধারণ আলোচনা, যদি আপনি CISA সার্টিফাইড হতে চান এবং কাজ করতে চান, আপনাকে অবশ্যই উপরোক্ত বইগুলি পড়তে হবে। এবং আরো জ্ঞান অর্জন করতে হবে, পরিশ্রম করতে হবে। এতদ সংক্রান্ত যে কোন সহায়তার জন্য আমাদের সাথে যুক্ত হতে পারেন।