20 straipsnis. Valstybės informacinių išteklių valdymo auditas

1. Siekiant įvertinti valstybės informacinių išteklių valdymo atitiktį šių išteklių valdymo politiką formuojančios ir ją įgyvendinančių institucijų tvirtinamoms metodikoms, rekomenduojamiems tarptautiniams ir nacionaliniams informacinių technologijų ir su jų valdymu ir (ar) tvarkymu susijusiems standartams bei tarptautinei gerajai praktikai, turi būti reguliariai atliekamas valstybės informacinių išteklių valdymo auditas.

2. Valstybės informacinių išteklių valdymo auditą atlieka aukščiausiosios audito institucijos darbuotojai, atlikdami valstybinį atitikties auditą, arba nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai.

3. Ypatingos svarbos ir svarbių valstybės informacinių išteklių valdymo auditas atliekamas ne rečiau kaip kartą per 5 metus, o vidutinės ir mažos svarbos – ne rečiau kaip kartą per 7 metus. Valstybės informacinių išteklių valdymo audito terminas skaičiuojamas nuo paskutinio šių išteklių valdymo audito atlikimo dienos, nepaisant to, ar jį atliko aukščiausiosios audito institucijos darbuotojai, ar nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai.

4. Valstybės informacinių išteklių valdymo valstybinį auditą Lietuvos Respublikos valstybės kontrolės įstatymo nustatyta tvarka organizuoja aukščiausioji audito institucija, o auditą, kurį atlieka nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai, – informacinės sistemos valdytojas ir už jį sumoka iš jam skirtų lėšų.

5. Jeigu tas pats valdytojas valdo kelias informacines sistemas arba skirtingoms valstybės informacinių išteklių rūšims priskirtas informacines sistemas, gali būti atliekamas bendras valstybės informacinių išteklių valdymo auditas ir rengiamas bendras jo metu nustatytų trūkumų šalinimo planas.

6. Atlikus valstybės informacinių išteklių valdymo auditą, informacinės sistemos valdytojas per vieną mėnesį nuo jo atlikimo dienos patvirtina valstybės informacinių išteklių valdymo audito metu nustatytų trūkumų šalinimo planą, jeigu auditą atliko nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai. Trūkumų šalinimo plane nustatomos trūkumų šalinimo priemonės, kurios turi būti įgyvendintos ne vėliau kaip per 3 metus nuo valstybės informacinių išteklių valdymo audito atlikimo dienos.

7. Jeigu auditą atliko aukščiausiosios audito institucijos darbuotojai, pagal valstybės informacinių išteklių valdymo audito ataskaitą informacinės sistemos valdytojas per Valstybės kontrolės įstatymo 14 straipsnio 1 dalyje nustatytą terminą pateikia aukščiausiajai audito institucijai audito rekomendacijų įgyvendinimo priemones ir terminus.

8. Informacinės sistemos valdytojas patvirtintą valstybės informacinių išteklių valdymo audito metu nustatytų trūkumų šalinimo planą per 5 darbo dienas nuo šio plano patvirtinimo pateikia ministro įgaliotai institucijai.

9. Už valstybės informacinių išteklių valdymo audito metu nustatytų trūkumų šalinimo plano įgyvendinimą ir valstybinio valstybės informacinių išteklių valdymo audito rekomendacijų plano įgyvendinimą atsako informacinės sistemos valdytojo vadovas.

10. Valstybės informacinių išteklių valdymo audito metu nustatytų trūkumų šalinimo plano įgyvendinimo priežiūrą atlieka ministro įgaliota institucija, jeigu valstybės informacinių išteklių valdymo auditą atliko nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai.

11. Valstybinio valstybės informacinių išteklių valdymo audito rekomendacijų įgyvendinimo stebėsena atliekama Valstybės kontrolės įstatymo 16 straipsnio 3 dalyje nustatyta tvarka.