Mikä on IT-auditointi ja milloin se kannattaa tehdä?

Tiivistäen tästä on kyse:

• IT-auditointi vastaa kysymykseen, kestääkö nykyinen järjestelmä sen, mitä siltä seuraavaksi odotetaan.
• Tyypillinen tilaaja punnitsee jatkokehitystä ja uudelleenrakentamista, vaihtaa toimittajaa tai valmistelee investointipäätöstä.
• Auditointi etenee viidessä vaiheessa: rajaus, tiedonkeruu, analyysi, raportointi ja seuranta.
• Raportin arvo on tiedolla, mitä voitaisiin haluttaessa tehdä toisin.

Mitä auditointi tarkoittaa ja mitä se kattaa?

Auditointi tarkoittaa järjestelmällistä ja puolueetonta arviointia, jossa kohdetta verrataan sovittuun vertailukohtaan: standardiin, alan vakiintuneeseen käytäntöön tai organisaation omiin tavoitteisiin. IT-auditoinnissa kohteena on teknologia ja se, miten hyvin teknologia palvelee liiketoimintaa.

Laajimmillaan IT-auditointi voi kattaa neljä osa-aluetta:

• Järjestelmät ja integraatiot. Mitä on käytössä, miten osat keskustelevat keskenään ja paljonko kullakin järjestelmällä on elinkaarta jäljellä.
• Tietoturva. Päivitystilanne, pääsynhallinta, varautuminen ja se, mitä tapahtuu kun jokin menee rikki.
• Kehitys- ja ylläpitokäytännöt. Versionhallinta, testaus, julkaisutapa ja dokumentaatio eli se, kuinka turvallista järjestelmää on jatkokehittää.
• Arvontuotto ja käyttäjäkokemus. Käyttävätkö ihmiset järjestelmää niin kuin oletettiin ja syntyykö siitä mitattavaa hyötyä.

Laajuus skaalataan sen mukaan, mihin päätökseen vastausta haetaan. Koko IT-ympäristön läpikäynti on eri kokoinen työ kuin yhden järjestelmän arviointi. Jos huoli koskee vain yhtä julkista palvelua, rajatumpi verkkopalvelun auditointi vastaa kysymykseen nopeammin.

IT-auditointi korvaa mielipiteet havainnoilla

Saman järjestelmän kunnosta on organisaation sisällä yleensä useita eri käsityksiä, ja jokainen niistä on osittain oikeassa. Kehittäjä näkee teknisen velan, talous näkee laskun ja liiketoiminta näkee sen, mikä ei toimi. Auditoinnin tehtävä on tuottaa yksi yhteinen tilannekuva, josta voi neuvotella.

Päivittämätön komponentti, yhden ihmisen varassa oleva ylläpito tai dokumentoimaton integraatio on halvempaa korjata etukäteen. Kustannukset tarkentuvat, kun päällekkäiset järjestelmät ja käyttämättömät lisenssit tulevat näkyviksi. Erityisesti elinkaaripäätösten tekeminen helpottuu. Jatkuvuus paranee, kun järjestelmän tila on dokumentoitu eikä se jää yksittäisen ihmisen muistin varaan.

Vanhentuneen järjestelmän hinta ei ole budjetissa omana rivinään, vaan ikäänkuin piiloutuu uuden kehittämisbudjettiin. Deloitten vuoden 2026 teknologiajohtajatutkimuksen arvion mukaan tekninen velka vie 21–40 prosenttia organisaation IT-kuluista. Auditointi antaa vinkkiä mihin tuo raha menee oman järjestelmän osalta.

Vastaava näkyy julkishallinnossa. Valtiontalouden tarkastusvirasto totesi vuonna 2023 vanhoja tietojärjestelmiä koskevassa tarkastuksessaan, että elinkaarinäkökulma tunnistetaan mutta rahoitus ohjautuu herkemmin uusiin hankkeisiin kuin olemassa olevien järjestelmien elinkaaren hallintaan. Tarkastuksessa nostettiin esiin myös toimittajariippuvuus: se on huomioitava jo hankintaa ja sopimusta suunniteltaessa, koska muuten ylläpitoa ei voi myöhemmin kilpailuttaa.

Riskienhallinnan näkökulmasta arvo on ajoituksessa. Tietoturvapuute maksaa sitä enemmän, mitä pidempään se on ollut olemassa huomaamatta, ja sama pätee tekniseen velkaan. Säännöllinen auditointi siirtää löydöksen häiriötä aikaisemmaksi. Verizonin vuoden 2026 tietomurtoraportin mukaan 31 prosenttia tietomurroista alkaa ohjelmistohaavoittuvuuden hyväksikäytöstä. Haavoittuvuudet ohittivat siinä ensimmäistä kertaa varastetut käyttäjätunnukset yleisimpänä sisäänpääsyreittinä.

Auditointiraportilla on käyttöä myös organisaation ulkopuolella. Puolueeton arvio järjestelmän tilasta kelpaa perusteluksi rahoittajalle, hallitukselle ja viranomaiselle. Se toimii myös tarjouspyynnön pohjana, kun toimittajia pyydetään vastaamaan samaan tilannekuvaan.

IT-auditointi vaihe vaiheelta

Auditointi etenee viidessä vaiheessa, ja niistä ensimmäinen ratkaisee lopputuloksen laajuuden.

1. Rajaus. Sovitaan, mitä arvioidaan, mihin päätökseen raporttia käytetään ja ketkä osallistuvat. Ilman päätöstä, jota varten raportti tehdään, auditoinnista tulee helposti pelkkä havaintolista.
2. Tiedonkeruu. Auditoija kerää dokumentaation, pääsyt ja mittarit sekä haastattelee järjestelmän kanssa työskentelevät ihmiset. Tässä vaiheessa tehdään myös tekniset tarkastukset ja skannaukset.
3. Analyysi. Havainnot suhteutetaan vertailukohtaan, ja jokaiselle löydökselle arvioidaan vakavuus ja korjauksen työmäärä. Priorisointi syntyy näiden kahden suhteesta.
4. Raportointi. Löydöksistä koostetaan dokumentti perusteluineen ja toimenpide-ehdotuksineen sekä tiivistelmä päätöksentekoa varten. Hyvästä raportista näkee, mitä tehdään ensin ja miksi.
5. Seuranta. Sovitaan, kuka vie korjaukset eteenpäin ja milloin tilanne katsotaan uudelleen. Ilman tätä vaihetta raportti jää kansioon

Auditoinnin tekijä on tyypillisesti eri taho kuin järjestelmän kehittäjä.

Milloin IT-auditointi kannattaa tehdä?

Ajankohtaiseksi IT-auditointi tulee aina, kun järjestelmästä pitää tehdä päätös eikä sen kunnosta ole yhteistä käsitystä. Selvimmät tilanteet ovat nämä:

• Suorituskyky heikkenee tai katkoksia tulee toistuvasti.
• Järjestelmän jäljellä olevaa elinkaarta pitää arvioida investointipäätöstä varten.
• Punnitaan, kehitetäänkö nykyistä järjestelmää vai investoidaanko uuteen.
• Järjestelmä uhkaa jäädä ilman aktiivista ylläpitoa.
• Toimittaja vaihtuu tai organisaation IT-vastaavat vaihtuvat.
• Ohjelmistokumppanit pitävät järjestelmän ylläpitoa riskialttiina.
• Yrityskauppa, fuusio tai due diligence edellyttää tilannekuvaa.
• Uusi järjestelmä otetaan käyttöön ja se pitää sovittaa olemassa olevaan ympäristöön.

Kiinteää aikaväliä auditoinnille ei ole. Luontevin näppisääntö on sitoa se muutostahtiin. Nopeasti kehittyvä ja liiketoimintakriittinen järjestelmä tarvitsee arvion useammin kuin vakiintunut sisäinen työkalu, jota ei ole muutettu vuosiin. Sääntelyn piirissä oleva toimiala nostaa tiheyttä omilla vaatimuksillaan.

Asiakascase: Suomen Hippos ja 150 000 kk-käyttäjää

Suomen Hippos ry on raviurheilun ja hevoskasvatuksen valtakunnallinen keskusjärjestö, joka ylläpitää rekisteriä Suomessa kasvatettavista hevosroduista ja johtaa ravikilpailutoimintaa. Suurta osaa rekistereistä koordinoidaan Heppa-järjestelmäkokonaisuuden kautta, jota käyttää kuukausittain noin 150 000 ihmistä.

Hippos halusi tietää, onko Heppa kustannustehokas ja palveleeko se aidosti käyttäjiään. Sofokus auditoi järjestelmän teknisten kehitystarpeiden ja käytettävyyden näkökulmasta, muodosti elinkaariarvion ja vertasi kokonaisuuden taloudellisuutta vastaavien organisaatioiden järjestelmiin. Käyttäjäkokemusta arvioitiin kyselyillä ja haastatteluilla eri kohderyhmissä.

Hippos sai kehitystiimilleen laajan dokumentin ja johtoryhmälle, rahoittajille ja muille sidosryhmille tiivistelmän. Esimerkki kertoo, mihin auditointiraporttia käytännössä käytetään: rahoituksen perusteluun, viranomaisviestintään ja sisäisten kehityshankkeiden suunnitteluun.

Suomen Hippoksen asiakastarina

Ennen kuin tilaat auditoinnin

Hankinta helpottuu, kun seuraavat on mietitty valmiiksi: mitä järjestelmää arvioidaan, mikä päätös raportin pohjalta on tarkoitus tehdä ja ketkä omasta organisaatiosta osallistuvat. Niiden varassa auditoija osaa rajata työn oikein, eikä raportti vastaa vääriin kysymyksiin.

Sofokus on suunnitellut ja ylläpitänyt vaativia digitaalisia palveluita vuodesta 2000. Auditoinnit tekevät samat ohjelmistokehityksen, arkkitehtuurin ja käyttöliittymäsuunnittelun asiantuntijat, jotka rakentavat järjestelmiä työkseen. Auditointi ei sido jatkamaan yhteistyötä, sillä raporttia voi käyttää oman tiimin työlistana tai minkä tahansa toimittajan toimeksiannon pohjana.

Näin IT-auditointi hankitaan Sofokukselta