ניהול סיכונים Risk Management

• זיהוי של כל מערכות המידע הפועלות בארגון.
• מיפוי העובדים האחראים על כל אחת ממערכות המידע שזוהו.
• פגישות עם עובדים, על מנת לקבל הסברים ונתונים בנוגע לתהליכים העסקיים המבוצעים על-ידי כל אחת ממערכות המידע שזוהו.
• זיהוי האיומים והשפעתם על נכסי המידע.
• זיהוי הבקרות שנועדו להפחית את הסיכון והשפעתו, ובנוסף – תעדוף הבקרות לפי מידת האפקטיביות, היעילות ושקולי עלות-תועלת.

המלצה על הטמעת בקרות על-פי שיקולי עלות-תועלת ובהתחשב בשיקולים, כמפורט להלן:

• • 1. עלות הבקרה ביחס לתועלת הנובעת מהפחתת הסיכון.
    2. מידת הסיכון אליה ההנהלה מוכנה להיחשף.
    3. שיטה מועדפת להפחתת הסיכון:
•  ביטול הסיכון.
•  הפחתת הסבירות להתרחשות הסיכון.
•  הפחתת השפעת הסיכון.
•  ביטוח מפני הסיכון.

• הבנת הסביבה העסקית של הגוף המבוקר.
• תוצאות ביקורות משנים קודמות.
• דוחות כספיים עדכניים.
• חקיקה.
• סקירת סיכונים שבמהות.

• סביבת הבקרה.
• נוהלי הבקרה.
• הערכת סיכון הבקרה.
• הערכת סיכון החשיפה.
• הערכת הסיכון הכולל.

• בחינת מדיניות ונהלים.
• בחינת בקרות מנהלתיות, כגון: הפרדת תפקידים.

• ניסוח המלצות.
• עריכת דוח ביקורת.