Odtworzony system nie oznacza odtworzonych dowodów. Cyberincydent w badaniu sprawozdania i odpowiedzialności zarządu

Po cyberataku zarząd chce jak najszybciej usłyszeć, że systemy ponownie działają, a działalność może być kontynuowana. Dla biegłego rewidenta nie jest to jednak koniec problemu, lecz początek kolejnych pytań. Czy odtworzono wszystkie dane? Czy nie zostały one wcześniej zmienione? Co stało się z transakcjami rejestrowanymi ręcznie podczas awarii? Czy raporty wygenerowane po przywróceniu systemu są kompletne i można na nich oprzeć badanie sprawozdania finansowego? 

Cyberincydent może podważyć wiarygodność ścieżki audytowej, ujawnić słabości kontroli wewnętrznej i zwiększyć ryzyko oszustwa lub błędu. Może również zmusić biegłego rewidenta do rozszerzenia procedur, zaangażowania specjalistów IT, poszukiwania alternatywnych dowodów, a w skrajnych przypadkach wpłynąć na treść opinii z badania. Dlatego odpowiedzialność zarządu nie ogranicza się do przywrócenia działania infrastruktury. Obejmuje także zabezpieczenie dowodów, odtworzenie kompletności danych, wdrożenie kontroli zastępczych i zapewnienie, że zamknięcie ksiąg nadal prowadzi do sporządzenia rzetelnego sprawozdania finansowego. 

Badanie sprawozdania nie jest audytem cyberbezpieczeństwa 

Celem badania jest uzyskanie racjonalnej pewności, że sprawozdanie finansowe jako całość nie zawiera istotnego zniekształcenia. Biegły rewident nie wydaje zatem ogólnej opinii o odporności cybernetycznej jednostki. Musi jednak zrozumieć środowisko informatyczne oraz uwzględnić ryzyka związane z IT w takim zakresie, w jakim mogą one wpływać na sprawozdanie lub możliwość uzyskania dowodów. Międzynarodowy Standard Badania (MSB) 315 łączy rozpoznanie kontroli wewnętrznej i środowiska IT z identyfikacją ryzyk, na które audytor odpowiada zgodnie z MSB 330. Incydent nie zmienia celu badania, ale może zmienić jego strategię, harmonogram, zakres testów i skład zespołu. Czasami potrzebne będzie zaangażowanie specjalistów IT, ponowne rozważenie możliwości polegania na kontrolach automatycznych oraz rozszerzenie procedur wiarygodności. 

Czy dane nadal są wiarygodne? 

Odtworzenie danych to tylko jeden etap. Trzeba ustalić, z jakiej daty pochodziła kopia, czy objęła wszystkie bazy i interfejsy oraz co stało się z transakcjami pomiędzy wykonaniem kopii a ponownym uruchomieniem systemu. Znaczenie mają też logi, historia zmian, dane podstawowe kontrahentów, uprawnienia użytkowników i dokumenty przesyłane między systemami. 

Jeżeli w czasie awarii sprzedaż, płatności lub ruchy magazynowe rejestrowano ręcznie, zarząd powinien wykazać kompletność tej populacji, prawidłowość zatwierdzeń i sposób późniejszego wprowadzenia danych. Samo zapewnienie, że wszystko odtworzono, nie rozstrzyga o wiarygodności ksiąg. 

Biegły rewident może między innymi uzgodnić dane sprzed i po odtworzeniu, odtworzyć populację na podstawie wyciągów bankowych i dokumentów kontrahentów, rozszerzyć potwierdzenia zewnętrzne, zbadać zmiany rachunków dostawców, przeanalizować zapisy wykonane przez konta uprzywilejowane oraz ponownie wykonać wybrane uzgodnienia. MSB 500 wymaga uzyskania wystarczających i odpowiednich dowodów badania. 

Incydent może ujawnić ryzyko oszustwa 

Przejęcie poczty, konta administratora lub danych dostawcy może służyć przekierowaniu płatności, utworzeniu fikcyjnego kontrahenta, zmianie dokumentów albo ukryciu niedoborów. Audytor powinien więc ponownie ocenić ryzyko oszustwa, w tym możliwość obejścia kontroli przez kierownictwo, i odpowiednio zmodyfikować badanie zapisów księgowych oraz transakcji nietypowych. 

Równolegle należy rozważyć skutki naruszenia prawa. MSB 250 nie czyni biegłego rewidenta audytorem zgodności z Ustawą o Krajowym Systemie Cyberbezpieczeństwa (KSC) wdrażającej dyrektywę NIS2 (Drugą Dyrektywę w sprawie Infrastruktury Krytycznej), Rozporządzenie w sprawie operacyjnej odporności cyfrowej (DORA) czy Ogólnym rozporządzeniem o ochronie danych (RODO). Wymaga jednak uwzględnienia przepisów, których naruszenie może prowadzić do istotnych kar, roszczeń, rezerw, ujawnień albo zagrożenia kontynuacji działalności. 

Dostawca zewnętrzny nie przejmuje odpowiedzialności 

Incydent może wystąpić u operatora chmury, dostawcy systemu płacowego lub biura rachunkowego. Nie zwalnia to kierownika jednostki z odpowiedzialności za obowiązki w zakresie rachunkowości, nawet gdy powierzono je innej osobie. Z perspektywy badania zastosowanie może mieć MSB 402, ale raport o kontrolach usługodawcy nie rozwiązuje automatycznie problemu. Trzeba ocenić jego zakres i okres, kontrole wykonywane po stronie jednostki oraz wpływ konkretnego incydentu.  

Czy cyberincydent zmienia opinię audytora? 

Nie automatycznie – jeżeli skutki zdarzenia zostały właściwie ujęte i ujawnione, a audytor uzyskał wystarczające dowody, możliwa jest opinia bez modyfikacji. 

Cyberincydent może zostać przedstawiony jako kluczowa sprawa badania, gdy wymagał znaczącej uwagi audytora i należał do najbardziej znaczących spraw danego badania. Nie jest to obowiązkowy skutek każdego ataku. Jeżeli występuje nieskorygowane istotne zniekształcenie, na przykład brak rezerwy, odpisu lub wymaganego ujawnienia, właściwa może być opinia z zastrzeżeniem albo opinia negatywna – zależnie od rozległości skutków. Gdy problemem jest brak dowodów, ponieważ dane zostały utracone, a procedury alternatywne są nieskuteczne, konsekwencją może być zastrzeżenie albo odmowa wyrażenia opinii. 

Co powinien zrobić zarząd? 

Działania potrzebne dla zamknięcia ksiąg i badania powinny rozpocząć się równolegle z obsługą techniczną.  

Zarząd powinien: 

1. zabezpieczyć logi, kopie, obrazy systemów i dokumentację działań, zanim zostaną nadpisane; 

2. ustalić jedną chronologię oraz wskazać dotknięte systemy, procesy i okresy; 

3. uzgodnić dane odtworzone z księgą główną, źródłami operacyjnymi i dowodami zewnętrznymi; 

4. prowadzić kompletny rejestr transakcji ręcznych i kontrolować ich późniejsze ujęcie; 

5. wzmocnić zatwierdzanie płatności, zmian danych kontrahentów i operacji poza standardowym obiegiem; 

6. ocenić skutki rachunkowe i prawne oraz przygotować projekty ujawnień; 

7. wcześnie poinformować biegłego rewidenta i aktualizować przekazywane mu informacje. 

Dla podmiotów kluczowych i ważnych znowelizowana ustawa o KSC przypisuje kierownikowi odpowiedzialność za wykonywanie obowiązków cyberbezpieczeństwa także wtedy, gdy powierzono je innej osobie. Kierownik podejmuje decyzje dotyczące systemu zarządzania bezpieczeństwem informacji, planuje środki i nadzoruje zadania. W podmiotach finansowych DORA nakłada na organ zarządzający obowiązek zdefiniowania, zatwierdzenia i nadzorowania ram zarządzania ryzykiem ICT (technologii informacyjno-komunikacyjnych). 

W jednostkach zainteresowania publicznego szczególna rola przypada komitetowi audytu. Ustawa zobowiązuje go między innymi do monitorowania procesu sprawozdawczości finansowej, skuteczności kontroli wewnętrznej i zarządzania ryzykiem oraz przebiegu badania. Cyberincydent wpływający na księgi, płatności lub zamknięcie okresu mieści się więc bezpośrednio w jego obszarze nadzoru. 

Skuteczności reakcji na cyberincydent nie można mierzyć wyłącznie czasem przywrócenia usług. Równie ważne są odtworzenie ścieżki audytowej, wykazanie integralności danych i udokumentowanie osądów zarządu. Brak dowodów może mieć dla badania poważniejsze konsekwencje niż sam koszt ataku. Cyberbezpieczeństwo jest zatem elementem systemu kontroli sprawozdawczości finansowej. Zarząd odpowiada za wiarygodność procesu zamknięcia ksiąg, biegły rewident – za właściwą ocenę ryzyka i dowodów, a komitet audytu – za skuteczny nadzór. Dopiero współpraca tych funkcji pozwala odpowiedzieć na najważniejsze pytanie: czy po incydencie sprawozdanie nadal przedstawia rzetelny obraz sytuacji jednostki? 

Artykuł ma charakter ogólny. Ocena konkretnego incydentu zależy od jego faktów, stosowanych zasad rachunkowości, zakresu badania oraz przepisów właściwych dla danej jednostki.