Легализация» информационного аудита

Информационный аудит деятельности органов государственной власти и управления должен быть включён в число механизмов контроля, применимых к деятельности государства. Это может быть обеспечено путём внесения изменений в нормативные правовые акты разного уровня. Непосредственно внедрение внутреннего контроля работы ИКТ-систем или введение информационного аудита государственных ИКТ-систем не создаёт обязанностей и не ограничивает права граждан. Поэтому внедрение нового института может быть поддержано на уровне подзаконных актов, регламентирующих особенности внутренней организации деятельности органов власти (на уровне постановлений и распоряжений Правительства РФ, и даже на уровне приказов по отдельным министерствам в связи с аудитом эксплуатируемых ими конкретных ИКТ-систем). Однако дальнейшее развитие института аудита, использование его как механизма защиты прав граждан, защищённого, в свою очередь, от административного произвола, требует закрепления важнейших аспектов регулирования процессов создания и эксплуатации государственных ИКТ-систем в федеральном законодательстве.

Предметом правового регулирования закона об информационном аудите в органах государственной власти должны стать отношения, связанные с проведением независимых аудиторских проверок ИКТ-систем и практики их использования, осуществляемых с целью выражения мнения о соответствии ИКТ-систем целям и задачам, для решения которых они создавались, требованиям законодательства, применимым стандартам и правилам.

Положения закона должны определять, в соответствии с настоящей Концепцией:

· Объект и предмет информационного аудита

· Обязательность информационного аудита органов государственной власти и местного самоуправления

· Организации, осуществляющие информационный аудит

· Независимости информационного аудитора

· Права и полномочия информационных аудиторов

· Ответственность информационных аудиторов

· Страхование гражданской ответственности информационных аудиторов

· Стандартизация аудиторской деятельности

· Право на претензионный аудит

· Право граждан на получение результатов информационного аудита

· Саморегулирование в отрасли.

Обязательность внутреннего контроля и информационного аудита должна стать основным вопросом законодательного регулирования данной сферы.

Контроль любой деятельности, как государства, таки и иных лиц, может быть организован разными способами:

· постоянный контроль, подразумевающий вовлечённость контролёра во все действия контролируемого лица;

· регулярный контроль, подразумевающий проведение регулярных проверок по известному графику или по решению уполномоченного на принятие такого решения органа управления контролируемого лица;

· претензионный контроль, подразумевающий проведение проверок по факту наличия каких-либо претензий к контролируемому лицу, дающих основания предполагать наличие нарушений в его работе.

Внутренний контроль функционирования ИКТ-систем органов государственной власти и управления должен осуществляться как постоянный контроль, и должен быть обязателен для всех государственных ведомств и организаций, осуществляющих эксплуатацию ИКТ-систем.

Информационный аудит в силу специфики его осуществления может осуществляться либо как регулярный, либо как претензионный контроль.

Обязанность проходить регулярный информационный аудит должна быть возложена на органы государственной власти и управления, использующие ИКТ-системы для ведения важнейших видов государственного учёта, которые должны быть определены законодательно как непосредственно влияющие на права и обязанности граждан. Обязательному информационному аудиту должна подвергаться всякая ИКТ-система, записи в которой имеют юридические последствия при реализации прав или установлении обязанностей граждан и организаций. К числу таких систем относятся системы паспортного учёта, записи актов гражданского состояния, кадастры недвижимости и системы регистрации сделок с недвижимостью, и ряд иных систем государственного учёта.

Установление обязанности проходить регулярный информационный аудит должно быть связано с инвентаризацией систем государственного учёта и с ревизией нормативно-правовой базы ведения этого учёта. Например, обязанность ведения записей актов гражданского состояния возложена законодательством Российской Федерации на органы местного самоуправления, и обязанность проводить аудит ИКТ-систем, обеспечивающих ведение этой деятельности, может быть создана только внесением соответствующих изменений в законодательство, регламентирующее данный вид учёта.

Обязательному регулярному информационному аудиту должны также подлежать ИКТ-системы, составляющие инфраструктуру электронного государства – системы электронного документооборота, электронной нотаризации и архивирования, системы раскрытия государственной информации, включая интернет-порталы и иные точки электронного доступа к информации и услугам государства.

Если эксплуатация ИКТ-системы осуществляется несколькими ведомствами и соответствующие процессы государственного управления являются в существенной степени межведомственными, нормативные правовые документы должны устанавливать список ведомств, охватываемых обязательным регулярным аудитом. Обязанности заказчика при аудите межведомственных ИКТ-систем должны быть возложены на одно из вовлечённых в его эксплуатацию ведомств, и должны быть определены права и обязанности этого ведомства в части проведения государственной закупки услуг аудиторской организации и организации взаимодействия аудиторов и всех аудируемых лиц.

Обязательный регулярный аудит может не осуществляться в отношении тех систем, данные которых не используются для непосредственного установления прав и обязанностей граждан (хотя и содержат информацию, могущую, например, быть истребованной судом для целей установления прав и обязанностей).

Информационный аудит может также являться инструментом претензионного контроля. Право выступать заказчиком претензионного информационного аудита эксплуатации любой государственной ИКТ-системы должно быть предоставлено любому гражданину государства или группе граждан:

· гражданин вправе заказать за свой счёт аудит информации о себе в любой государственной ИКТ-системе, и аудит действий, предпринятых в отношении этой информации;

· гражданин или группа граждан вправе заказать за свой счёт информационный аудит любой государственной ИКТ-системы.

Государственный орган, в компетенцию которого входит контроль за иными государственными органами, вправе заказать претензионный информационный аудит любой государственной ИКТ-системы.

При заказе информационного аудита иным лицом, имеющим на это законные полномочия, аудируемое лицо не вправе чинить препятствий аудитору в выполнении работ.

Претензионный аудит может быть заказан любому аудитору по выбору заказчика аудита, из числа аудиторов, имеющих право на осуществление информационного аудита деятельности органов государственной власти и управления в соответствии с моделью регулирования информационного аудита.

Если заказчиком аудита выступает также государственный орган, например, в случае обязательного регулярного аудита, на процедуру заказа налагаются обычные ограничения по закупке услуг для государственных органов.

Результаты аудита государственных ИКТ-систем, содержащих какие-либо виды информации, с ограниченным доступом, могут быть переданы не допущенному к соответствующему виду информации заказчику аудита только в той мере, в какой они не содержат охраняемых сведений. Ответственность за соблюдение этого требования лежит на аудиторе. Данное требование, однако, не ограничивает права аудитора высказать свою оценку соответствия ИКТ-систем и практики их использования определённому мандатом аудитора набору требований и критериев.

Предлагаемый механизм не имеет аналогов среди используемых сегодня методов гражданского контроля в Российской Федерации. Его внедрение, как пояснено выше, становится возможным именно благодаря широкому внедрению ИКТ в деятельность органов государственной власти. Возможность опираться на современные технологии позволяет осуществлять информационный аудит с минимальными издержками для аудируемой организации, и, тем самым, позволяет предоставить столь широкие права гражданам. Цена проведения полномасштабного информационного аудита будет выполнять роль ограничителя потока заказов, однако системы, представляющие общественный интерес и привлекающие внимание, будут находиться под достаточно пристальным контролем граждан.