Jak rozpocząć implementację Wytycznych IT KNF?
Podobnie jak w przypadku Rekomendacji D dla banków, czas na implementację Wytycznych IT został wyznaczony na 2 lata. W celu mobilizacji podmiotów objętych nowymi regulacjami Urząd Komisji Nadzoru Finansowego zdecydował się na okresowe śledzenie postępów prac z wykorzystaniem ankiet samooceny rozsyłanych do uzupełnienia co 6 miesięcy. Pierwsze badanie stopnia zgodności zostanie przeprowadzone w połowie 2015 roku. W związku z powyższym oraz faktem, że zakres Wytycznych obejmuje swym zakresem praktycznie wszystkie obszary funkcjonowania IT, warto możliwie jak najwcześniej rozpocząć przygotowania. Należy również wziąć pod uwagę, że znaczna cześć prac wymaganych do realizacji w celu zapewnienia pełnej zgodności z Wytycznymi IT KNF może przekraczać kompetencje nawet rozbudowanych i licznych zespołów IT. W takim przypadku niezbędne będzie wykorzystanie wsparcia zewnętrznego, którego dostępność, w szczególności blisko terminu wskazanego przez KNF może być mocno ograniczona.
Praca nad Wytycznymi IT KNF przypomina opracowanie Strategii IT, ponieważ porusza zagadnienia związane praktycznie z całym środowiskiem IT obejmując dodatkowo obszary biznesowe. Podobnie jak w przypadku Strategii IT, pracę nad zapewnieniem zgodności z Wytycznymi IT KNF mogą zostać podzielone na trzy fazy:
- Faza 1: Audyt obecnego stanu środowiska IT, określenie obszarów niezgodności i zdefiniowanie rekomendacji działań dostosowawczych,
- Faza 2: Opracowanie planu realizacji działań dostosowawczych do Wytycznymi IT KNF,
- Faza 3: Realizacja planu działań dostosowawczych zapewniających osiągnięcie pełnej zgodności z Wytycznymi IT KNF.
Faza 1: Audyt obecnego stanu środowiska IT
Pierwszym rekomendowanym krokiem jest wykonanie analizy stanu obecnego środowiska teleinformatycznego pod kątem bieżącej zgodności z Wytycznymi IT KNF. Wytyczne IT KNF są na tyle szczegółowe, że niezbędne jest wykonanie audytu na poziomie poszczególnych podpunktów wytycznych. Oznacza to konieczność poświęcenia znacznego nakładu pracy oraz posiadania szerokich kompetencji poczynając od organizacyjno – procesowych po infrastrukturę, systemy i stricte zagadnienia bezpieczeństwa IT. Opracowanie szczegółowego audytu jest również ważne ze względu na konieczność raportowania do Regulatora na poziomie podpunktów Wytycznych IT KNF. W celu wykonania audytu niezbędne jest zgromadzenie informacji w oparciu o wiele źródeł, m.in.:
- Analiza dostępnej dokumentacji (dokumentacja zarządcza, techniczna, raporty i inne formy dowodów stosowania),
- Wywiady z osobami odpowiedzialnymi za poszczególne obszary IT,
- Wywiady z użytkownikami końcowymi wewnętrznych usług IT.
Poniżej przedstawiamy przykładowy wyciąg z Wytycznych IT KNF (wytyczne nr 10 oraz 11) wraz z zakresem prac rekomendowanych do wykonania w ramach audytu.
Rys. 1. Zakres prac do wykonania w ramach analizy zgodności z Wytycznymi IT KNF dla wytycznych nr 10 i 11
Jednym z istotniejszych aspektów przy definiowaniu produktów dostosowawczych, w tym w szczególności ich zakresu i podejścia do realizacji, jest uwzględnienie rzeczywistych potrzeb i skali działania firmy, przy jednoczesnym zachowaniu pełnej zgodności z Wytycznymi IT KNF.
Na przykładzie Strategii IT, będącej jednym z produktów wytycznej KNF nr 3, warto zauważyć, że jest ona dokumentem bardzo wrażliwym na skalę działania przedsiębiorstwa i poziom skomplikowania IT. Niezależnie jednak od skali organizacji Strategia IT powinna mieć charakter pisemny, formalnie przyjęty przez władze podmiotu oraz powinna być dokumentem żywym i regularnie aktualizowanym.
Rys. 2. Zakres dokumentu Strategii IT w zależności od skali działania organizacji
Głównym celem audytu jest wskazanie luk pomiędzy stanem obecnym a Wytycznymi IT KNF oraz wskazanie obecnego poziomu spełnienia poszczególnych wytycznych w postaci oceny procentowej. Ważnym elementem audytu jest, oprócz wskazania luk, definicja zakresu działań mających na celu doprowadzenie do pełnej zgodności z Wytycznymi IT KNF. Mając zdefiniowane rekomendacje działań można przejść do opracowania planu ich implementacji, spełniającego warunki niezbędne dla zagwarantowania jego pomyślnej realizacji, tj. uwzględniającego:
- Oszacowanie pracochłonności realizacji poszczególnych zadań,
- Przyporządkowanie osób odpowiedzialnych za realizację poszczególnych zadań,
- Zbilansowanie pracochłonności zadań z dostępnością czasową osób odpowiedzialnych,
- Uwzględnienie zależności między poszczególnymi wytycznymi podczas ustalania kolejności realizacji działań dostosowawczych,
- Zapewnienie odpowiedniego wsparcia dla realizacji projektu dostosowawczego po stronie Zarządu,
- Zapewnienie środków technicznych i finansowych niezbędnych do sprawnego przeprowadzenia prac.
W przypadku wielu podmiotów będzie to prawdopodobnie pierwszy przeprowadzony audyt środowiska IT. Warto wykorzystać ten fakt do uporządkowania i usprawnienia funkcjonowania obszaru IT nie tylko zgodnie z wymaganiami Wytycznych IT KNF, ale również z wymaganiami strony biznesowej. Może się okazać, że przy okazji realizacji zadań wynikających wprost z Wytycznych IT KNF wystarczy wykonać niewielką pracę w celu uzyskania znacznie większych korzyści z perspektywy rzeczywistych potrzeb przedsiębiorstwa.
W kolejnym artykule opiszemy, w jaki sposób przygotować plan osiągnięcia zgodności z Wytycznymi IT KNF oraz jego implementację.
