질문
안녕하십니까, IPE 제출에 관련해서 모범규준에 명확한 내용이 나와있지 않아 질의드립니다.
- IPE는 ITAC 또는 ITDM인 경우에만 제출하는 자료인가요?
아니면 수동통제인 경우에도 제출 요청받을 수 있나요? - ITAC 또는 ITDM인 경우 IPE 제출이 필수인가요?
IPE를 어떤 통제 유형에서 제출해야 하는지 기준이 나와있지 않아 혼란스럽습니다.
답변 부탁드립니다.
감사합니다.
답변
기업이 생성한 정보(IPE,Information Produced by Entity)에 대하여 원천정보(기초정보)의 신뢰성, 리포트 생성 로직, 입력 항목(PARAMETER)의 정확성 등에 대한 평가가 이루어져야 하며, 시스템에서 산출되는 정보뿐만 아니라 수작업으로 작성되는 정보도 이에 해당됩니다.
따라서 ITAC(Information Technology Automated Control) 또는 ITDM(IT Dependent Manual Control) 뿐만 아니라 수동통제에 대해서도 IPE를 확인하는 것이 필요할 수도 있습니다. 단, ITAC 또는 ITDM의 경우 그 유형에 따라 리포트 등 IPE가 식별될 수 있으나, 접근제한 및 업무분장, 시스템 설정 등의 유형에서는 IPE가 식별되지 않을 수도 있습니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=437&rGotoPage=51&rSchText=&rType=1
게시글 번호: 234