REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jak chronić dane finansowe w środowisku informatycznym rachunkowości

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Izabela Szczepankiewicz Elżbieta

REKLAMA

W informatycznych systemach prowadzenia ksiąg rachunkowych liczba elementów wywołujących zagrożenia jest znacznie większa niż w tradycyjnych, manualnych systemach rachunkowości. Zagrożenia te stają się coraz trudniejsze do przewidzenia i wykrycia, a ich skutki są trudne do usunięcia.

Audytorzy coraz większą uwagę zwracają na tzw. środowisko informatyczne rachunkowości i na kwestię prawidłowego zabezpieczenia danych finansowych.

 

REKLAMA

Autopromocja


W rozumieniu Międzynarodowych Standardów Rewizji Finansowej (MSRF) środowisko systemów informatycznych rachunkowości istnieje, gdy komputer określonego rodzaju i pojemności operacyjnej został przez firmę włączony w proces przetwarzania informacji finansowych o istotnym znaczeniu dla rewizji - niezależnie od tego, czy komputer ten działa w samym przedsiębiorstwie, czy też używa go strona trzecia (np. w warunkach zleconego prowadzenia ksiąg rachunkowych).


Audytor w szczególności zwróci uwagę na najczęściej występujące zagrożenia bezpieczeństwa danych, które wiążą się z:

l dostępem do systemu informatycznego przez osoby nieuprawnione

l niewłaściwym postępowaniem z nośnikami danych, zarówno papierowymi, jak i elektronicznymi

Dalszy ciąg materiału pod wideo

l możliwością ujawnienia identyfikatora i hasła użytkownika innym osobom

l możliwością podglądu zawartości ekranu monitora przez osoby nieuprawnione

l stosowaniem korupcji oraz szantażu wobec pracowników firmy w celu wydobycia informacji

l zagubieniem dokumentów lub nośników danych

l błędami podczas wprowadzania danych przez operatorów

l uszkodzeniem nośników magnetycznych

l błędami procedur przetwarzania, działaniem oprogramowania niezgodnym ze specyfikacją lub brakiem specyfikacji określającej algorytmy przetwarzania danych

l utratą integralności danych na skutek awarii sprzętu lub oprogramowania

l możliwością dokonania fałszerstwa danych lub nadużycia danych

l działaniem wirusów, robaków i innego szkodliwego oprogramowania

hackingiem, podsłuchem linii transmisyjnych, podsłuchem akustycznym, działaniem oprogramowania szpiegowskiego (tzw. Spyware)

l utratą integralności danych podczas transmisji danych

l możliwością wystąpienia różnego typu awarii: zasilania elektrycznego, oprogramowania systemowego, oprogramowania użytkowego, sprzętu komputerowego, okablowania lub urządzeń sieci lokalnej lub rozległej

l kradzieżą sprzętu lub nośników

l niewłaściwym użytkowaniem sprzętu komputerowego

l niezachowaniem parametrów środowiskowych dla eksploatacji sprzętu komputerowego (awaria klimatyzacji, nadmierne nasłonecznienie, nadmierna wilgotność)

l uszkodzeniem łączy transmisyjnych

l usunięciem danych na skutek błędu użytkowników lub administratorów systemów

l celowym lub przypadkowym zniszczeniem danych na skutek impulsu elektromagnetycznego

l niedostosowaniem wydajności systemu lub pojemności systemu do potrzeb firmy

l zniszczeniem systemu na skutek powodzi, pożaru, zalania, zadymienia i innych zdarzeń losowych


Cechą charakterystyczną zastosowania komputerów w rachunkowości jest koncentracja funkcji i wiedzy personelu. Polega ona na tym, że liczba osób zaangażowanych przy przetwarzaniu danych księgowych jest znacznie mniejsza niż w środowisku tradycyjnym. Może to nieść ze sobą zagrożenia (np. personel, znając dokładnie system, a także zdając sobie sprawę z niedoskonałości mechanizmów kontroli wewnętrznej, może zmieniać programy lub dane podczas ich przechowywania bądź przetwarzania). Niebezpieczeństwo takie istnieje zwłaszcza wtedy, gdy nie występuje kontrola oparta na podziale funkcji lub gdy nie jest ona dość skuteczna.


Do grupy osób wpływających pośrednio na działanie omawianego systemu należą też wszyscy projektujący i konstruujący sprzęt, oprogramowanie systemowe i dokumentację systemu informatycznego. Ingerować w system, zarówno w sposób bezpośredni, jak i pośredni, przejmując nielegalnie funkcje osób uprawnionych, mogą również tzw. hakerzy.


Polityka bezpieczeństwa zasobów informatycznych w firmie powinna uwzględniać dwa aspekty:

1) zagrożenia związane z elementami środowiska informatycznego wewnątrz podmiotu,

2) ryzyko płynące z zewnątrz podmiotu, a związane np. z dostępem do sieci publicznych (Internet) czy przetwarzaniem rozproszonym.


Przy opracowywaniu zasad bezpieczeństwa zasobów informatycznych pierwszym aspektem analizy powinny być ryzyka wewnętrzne, które wiążą się z zasobami informatycznymi. Przede wszystkim przy braku stosowania odpowiednich zasad ochrony zasobów informatycznych podmiotu istnieje możliwość uszkodzenia lub zniszczenia komputerowych zbiorów danych, oprogramowania lub sprzętu komputerowego.

Niewłaściwie skonfigurowane lub źle zabezpieczone sieci lokalne (w których pracują podsystemy informatyczne rachunkowości), czy nawet jednostanowiskowy, niedopracowany system ewidencji księgowej mogą dawać pełną gamę możliwości przekłamań, błędów i nadużyć, a niekiedy prowadzić do przestępstw komputerowych.


Część procedur kontroli wewnętrznej w systemie informatycznym rachunkowości może być realizowana programowo
. Jeśli przewidziano odpowiednie mechanizmy kontroli, w zbiorach danych zapisywane są operacje spełniające warunki kontroli, natomiast treści błędne są na ogół odrzucane przez system. Użytkownik systemu finansowo-księgowego spotyka się z programowymi kontrolami poprawności ujawniającymi się podczas ewidencji operacji gospodarczych w systemie.


Gdy program komputerowy nie został przetestowany na etapie wdrożenia, może konsekwentnie niewłaściwie przetwarzać dane w operacjach, dla których stworzono błędne algorytmy lub parametry przetwarzania.

Przetwarzanie danych w systemie może być wsadowe lub bieżące. Przetwarzanie wsadowe polega na tym, że zaewidencjonowane operacje zapisywane są w plikach, w których przechowywane są do momentu księgowania. Księgowanie wykonuje się okresowo (np. raz w miesiącu). Zaletą tej metody jest możliwość sprawdzenia i poprawienia danych przed księgowaniem. Natomiast wadą to, że aktualizowanie zbiorów danych następuje dopiero w momencie księgowania.


Podczas przetwarzania bieżącego zaletą jest to, że nie gromadzi się plików dokumentów oraz nie ogranicza się ich terminami przetwarzania. Każde zarejestrowane zdarzenie automatycznie aktualizuje wszystkie związane z nim zbiory w bazie danych - powiązane z nim salda kont, wykazy sald i obrotów, bilans oraz rachunek zysków i strat. Jednak w przypadku wprowadzenia błędnej danej mogą wystąpić błędy na różnych kontach i w różnych zbiorach.


Praktyka wypracowała jeszcze jeden system przetwarzania danych (tzw. system aktualizacji w „tle”) łączący elementy przetwarzania wsadowego i bieżącego. Jest to proces aktualizacji bezpośredniej zbioru „memo” z odłożonym w czasie procesem przetwarzania. Łączy on zalety obydwóch systemów. Pojedyncze operacje (lub dowody zbiorcze) wprowadza się do dokumentów w tzw. buforze (pamięci tymczasowej), a następnie przechowuje się je do momentu zaksięgowania. W przypadku większości zintegrowanych systemów na tym etapie system pozwala tworzyć wydruki próbne sprawozdań czy obrotów na kontach księgi głównej, zaktualizowane o operacje niezaksięgowane (po zaznaczeniu opcji uwzględnienia danych z bufora). Po dokładnym sprawdzeniu, uzupełnieniu i poprawieniu błędów okresowo przeprowadza się księgowanie dokumentów (np. w końcu miesiąca). Wówczas ostatecznie aktualizuje się księga główna.


Następną cechą, która może mieć zarówno pozytywne, jak i negatywne skutki, jest możliwość generowania operacji księgowych przez system informatyczny (np. automatyczne naliczanie odsetek, amortyzacji czy rozliczanie kosztów). Operacja ta może być inicjowana przez system automatycznie na podstawie odpowiednich danych, parametrów i procedur programowych. Ze względu na brak „ścieżki rewizyjnej” obie te sytuacje utrudniają rewizję finansową.


Coraz częściej mamy także do czynienia z wprowadzaniem do systemu informatycznego rachunkowości danych bez towarzyszących im dokumentów księgowych. W takiej sytuacji oprócz trudności związanych z badaniem śladu rewizyjnego można napotkać problem niemożności zweryfikowania wyników procedur dokonywanych w systemie (szczególnie w przetwarzaniu wielofazowym), jeśli nie są w nim sporządzane na papierze wydruki kontrolne.


Wraz z rozwojem technologii i wiedzy oraz dostępem do sieci publicznych (Internet, poczta elektroniczna, usługi bankowe itp.) pojawiają się nowe zagrożenia dotyczące bezpieczeństwa komunikacji, sieci i danych.

Audytor zwróci uwagę w szczególności na ryzyko pozyskiwania i wykorzystania informacji wewnętrznych podmiotu i wykorzystania ich przez szpiegów przemysłowych czy inne nieupoważnione osoby.


Zwiększenie bezpieczeństwa zasobów informatycznych powinno być jedną z głównych dziedzin zainteresowania kierownictwa firmy. Wymaga prowadzenia ciągłej analizy ryzyka systemów informatycznych i systemu zabezpieczeń. Kierownictwo powinno identyfikować te informacje i drogi ich obiegu, których utrata lub ujawnienie mogą być szkodliwe dla firmy, powodować naruszenie zaufania inwestorów, skutki prawne, utratę wizerunku firmy na rynku i pogłębić trudności finansowe.


W 2005 r. pojawiły się dwa nowe zagrożenia dla bezpieczeństwa informacji, określane jako „phishing” i „pharming”, polegające na nakłanianiu ludzi do ujawniania poufnych informacji przy użyciu fałszywej poczty elektronicznej i fałszywych stron internetowych. Te dwie formy ataków są ukierunkowane na pracowników firm. Istotną rolę w zmniejszeniu tego ryzyka może odegrać ścisła weryfikacja klientów, szkolenia pracowników i wiedza o potencjalnych zagrożeniach. Tymczasem, jak wykazało badanie przeprowadzone przez Deloitte, szkolenia i wiedza w zakresie bezpieczeństwa nie są uznawane przez zarządy za zagadnienia kluczowe. Szkolenia lub inne przedsięwzięcia poszerzające wiedzę w tym zakresie planuje na najbliższe 12 miesięcy mniej niż połowa (46%) respondentów. Niepokojący jest także fakt, że szkolenia i poszerzanie wiedzy o potencjalnych zagrożeniach znalazły się na końcu listy priorytetowych zagadnień związanych z bezpieczeństwem informacji. Respondenci cenią wyżej przestrzeganie procedur (74%), raportowanie i pomiary (61%). Te wyniki znalazły też odzwierciedlenie w planach inwestycyjnych instytucji finansowych w zakresie bezpieczeństwa: najwięcej pieniędzy ma zostać przeznaczonych na narzędzia zabezpieczające (64%), podczas gdy jedynie 15% - na szkolenia i zwiększanie wiedzy pracowników.


Kilkanaście miesięcy temu autorka przeprowadziła badania na próbie 107 dużych, średnich i małych polskich podmiotów. Z badań wynika, że 53% urzędów, 40% firm oraz 63% banków doświadczyło niespodziewanej przerwy w działaniu systemów rachunkowości w ciągu 12 ostatnich miesięcy. Z tego tylko 61% przedsiębiorstw i urzędów oprócz usuwania skutków bada także przyczyny niedostępności systemów informatycznych.


Respondenci podali, że przyczyną 43% przypadków niedostępności systemów informatycznych rachunkowości są wirusy i inne szkodliwe programy, 33% jest wynikiem awarii oprogramowania, 33% - awarii sprzętu komputerowego, w 27% przyczyną jest niedostateczna wydajność systemów, 10% stanowią błędy obsługi powodowane przez użytkowników, aż 10% to celowe działania pracowników, a tylko 2% to ataki hakerów.

Aż w 42% podmiotów nie opracowano dokumentów (procedur, instrukcji, szczegółowych polityk) opisujących system bezpieczeństwa danych informatycznych, a 51% podmiotów nie posiada procedur awaryjnych dla systemów informatycznych rachunkowości.


Spośród badanych podmiotów 43% z nich nie organizuje żadnych szkoleń dla pracowników w zakresie bezpieczeństwa danych informatycznych, a 32% podmiotów organizuje szkolenia jednorazowe. Nowo zatrudnionych użytkowników systemów w zakresie bezpieczeństwa danych informatycznych szkoli tylko 37% podmiotów.


Podstawa prawna:
- MSRF Nr 401 w: Międzynarodowe Standardy Rewizji Finansowej 2001, International Federation of Accountants, Stowarzyszenie Księgowych w Polsce, Warszawa 2001.


dr Elżbieta Izabela Szczepankiewicz

audytor wewnętrzny, wykładowca WSHiR w Poznaniu

 
 
Zapisz się na newsletter
Chcesz uniknąć błędów? Być na czasie z najnowszymi zmianami w podatkach? Zapisz się na nasz newsletter i otrzymuj rzetelne informacje prosto na swoją skrzynkę.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: Biuletyn Rachunkowości

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Księgowość
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Będą kary za niezapłacony podatek od sprzedaży ubrań i zabawek w internecie? Fiskus analizuje informacje o 300 tys. osób i podmiotów handlujących na platformach internetowych w 2023 r. i 2024 r.

Operatorzy platform, za pośrednictwem których dokonywane są transakcje w internecie, przekazali MF dane ponad 177 tys. osób fizycznych i 115 tys. podmiotów – poinformowała PAP rzeczniczka szefa KAS Justyna Pasieczyńska. Dane te są teraz analizowane.

Czy będzie katastrofa fakturowa w 2026 roku? Kto odważy się wdrożyć obowiązek stosowania KSeF i faktur ustrukturyzowanych?

Niedawno opublikowano kolejną wersję projektu „nowelizacji nowelizacji” ustaw na temat faktur ustrukturyzowanych i KSeF, które mają być niezwłocznie uchwalone. Ich jakość woła o pomstę do nieba. Co prawda zaproponowane zmiany świadczą o tym, że twórcy przepisów chcą pozostawić tym, którzy połapią się w tych zawiłościach, jakieś możliwości unikania tej katastrofy, zachowując fakturowanie w dotychczasowej formie przynajmniej do końca 2026 r. Pytanie, tylko po co to całe zamieszanie i dezorganizacja obrotu gospodarczego – pisze prof. dr hab. Witold Modzelewski.

Jak nie zbankrutować na IT: inteligentne monitorowanie i optymalizacja kosztowa środowiska informatycznego. Praktyczny przewodnik po narzędziach i strategiach monitorowania

W dzisiejszej erze cyfrowej, środowisko IT stało się krwiobiegiem każdej nowoczesnej organizacji. Od prostych sieci biurowych po rozbudowane infrastruktury chmurowe, złożoność systemów informatycznych stale rośnie. Zarządzanie tak rozległym i dynamicznym ekosystemem to nie lada wyzwanie, wymagające nie tylko dogłębnej wiedzy technicznej, ale przede wszystkim strategicznego podejścia i dostępu do odpowiednich narzędzi. Wyobraźcie sobie ciągłą potrzebę monitorowania wydajności kluczowych aplikacji, dbałości o bezpieczeństwo wrażliwych danych, sprawnego rozwiązywania problemów zgłaszanych przez użytkowników, a jednocześnie planowania przyszłych inwestycji i optymalizacji kosztów. To tylko wierzchołek góry lodowej codziennych obowiązków zespołów IT i kadry managerskiej. W obliczu tej złożoności, poleganie wyłącznie na intuicji czy reaktywnym podejściu do problemów staje się niewystarczające. Kluczem do sukcesu jest proaktywne zarządzanie, oparte na solidnych danych i inteligentnych systemach, które nie tylko informują o bieżącym stanie, ale również pomagają przewidywać przyszłe wyzwania i podejmować mądre decyzje.

Wojna celna USA - Chiny. Jak może się bronić Państwo Środka: 2 scenariusze. Świat (też Stany Zjednoczone) nie może się obejść bez chińskiej produkcji

Chiny mogą przekierować towary nadal objęte nowymi, wysokimi cłami USA przez gospodarki i porty azjatyckie lub (a raczej równolegle) przekierować sprzedaż dotychczas kierowaną do USA na inne rynki - prognozują eksperci Allianz Trade. Bardziej prawdopodobna jest przewaga drugiego scenariusza – tak było podczas pierwszej wojny handlowej prezydenta Trumpa, co obecnie oznaczać będzie m.in. 6% rokroczny wzrost importu z Chin do UE (ale też do innych krajów) w ciągu trzech najbliższych lat. Branża, która nie korzysta z żadnych wyłączeń w wojnie celnej – odzież i tekstylia może odczuć ją w największym stopniu na swoich marżach.

REKLAMA

Ostatnie dni na rozliczenie PIT-a i odliczenie ulg podatkowych. Czego nie uwzględnia Twój e-PIT? Co zrobić, gdy nie masz PIT-11?

Dzień 30 kwietnia robi na podatnikach coraz mniejsze wrażenie, zwłaszcza na tych rozliczających się na formularzu PIT-37. Teoretycznie nie muszą już pamiętać o wysłaniu dokumentu, bo na koniec miesiąca automatycznie zrobi to za nich e-Urząd Skarbowy (usługa Twój e-PIT). W praktyce jednak – jeśli naprawdę zależy nam na najkorzystniejszym rozliczeniu 2024 roku (w tym np. o rozliczeniu ulg podatkowych), nie możemy odpuścić samodzielnej weryfikacji przygotowanego przez fiskusa rozliczenia. Co warto zrobić na krótko przed upływem terminu?

Rozliczenie roczne składki zdrowotnej do 20 maja 2025 r. Wypełnij ZUS DRA albo ZUS RCA i sprawdź czy masz nadpłatę, czy niedopłatę

ZUS przypomina, że każdy, kto w 2024 r. prowadził pozarolniczą działalność i podlegał ubezpieczeniu zdrowotnemu oraz był opodatkowany podatkiem liniowym, skalą podatkową lub ryczałtem ewidencjonowanym - musi rozliczyć w skali roku składki na ubezpieczenie zdrowotne. Należy to zrobić w dokumencie ZUS DRA lub ZUS RCA za kwiecień 2025 r., a termin minie 20 maja. Do tego dnia trzeba uiścić ewentualną niedopłatę.

KSeF. Do 25 kwietnia 2025 r. przedsiębiorcy mogą zgłaszać dodatkowe uwagi i opinie nt. KSeF. [WAŻNE TERMINY]

Krajowy System e-Faktur (KSeF). Do 25 kwietnia 2025 r. przedsiębiorcy mogą zgłaszać dodatkowe uwagi i opinie nt. KSeF. Resort finansów potwierdził wprowadzenie obowiązku wystawiania e-faktur dla wszystkich podatników. Poinformował, że uwzględnił wszystkie kluczowe postulaty zgłaszane przez przedsiębiorców w zakresie wystawiania e-faktur w KSeF.

System ICS-2 w transporcie drogowym i kolejowym – na to muszą uważać przewoźnicy. Od kwietnia 2025 r. ostatni etap wdrażania

Import Control System 2 (ICS2) ma służyć do przekazywania informacji o ładunkach między Unią Europejską a krajami trzecimi, a jego zadaniem jest uszczelnienie handlu z państwami spoza UE. Od kwietnia 2025 r. rozpoczął się ostatni etap wdrażania systemu ICS-2 dla sektora transportu drogowego i kolejowego.

REKLAMA

Rząd źle oszacował dochody z VAT-u - największego źródła dochodów budżetowych. Eksperci: ogromna pomyłka i wzrost deficytu

Jak wynika ze wstępnych danych Ministerstwa Finansów, w 2024 roku wpływy netto z tytułu podatku VAT wyniosły 287,7 mld zł, zaś brutto – 475,3 mld zł. To więcej niż w 2023 roku. Natomiast zgodnie z założeniami ustawy budżetowej na rok 2024, dochody z tytułu podatku VAT określono w wysokości 316,4 mld zł. Po nowelizacji zostały one obniżone do 293,5 mld zł. Za to o 14,6% spadły rok do roku zwroty z tytułu ww. podatku, tj. do wartości 187,6 mld zł. Eksperci komentujący te dane zauważają, że wyniki resortu rozminęły się z prognozami. Jednocześnie podkreślają, że zmniejszyła się tzw. luka VAT.

Firmy niegotowe na KSeF. Tylko 5230 przedsiębiorstw korzysta z systemu – czas ucieka. [DANE MF]

Z danych udostępnionych przez Ministerstwo Finansów wynika, że do 5 marca 2025 roku z Krajowego Systemu e-Faktur (KSeF) skorzystało zaledwie 5230 firm. To oznacza, że w ciągu ponad trzech lat działania systemu zdecydowało się na niego jedynie kilka tysięcy przedsiębiorców. Tymczasem za 9 miesięcy korzystanie z KSeF stanie się obowiązkowe – a to oznacza prawdziwą rewolucję dla księgowości w Polsce.

REKLAMA