Audytor IT: obowiązki, certyfikaty i ścieżka kariery
Audytor IT sprawdza, czy systemy organizacji, uprawnienia dostępu, zmiany i środki kontroli bezpieczeństwa działają zgodnie z polityką firmy i przepisami prawa, a następnie zgłasza kierownictwu stwierdzone luki. Popyt na takie usługi pochodzi ze strony banków, ubezpieczycieli, firm z Wielkiej Czwórki, sektora publicznego oraz wynika z nowych obowiązków audytowych wynikających ze znowelizowanego KSC, a certyfikaty takie jak CISA mają realne znaczenie.
Czym zajmuje się audytor IT?
W polskiej klasyfikacji zawodów KZiS (Klasyfikacja Zawodów i Specjalności) stanowisko to zaliczane jest do kodu 242204 Audytor/kontroler, który jest ogólnym kodem dla audytorów. Od 27 listopada 2025 r. klasyfikacja obejmuje również 252910 Audytor cyberbezpieczeństwa dla stanowisk skupiających się wyłącznie na bezpieczeństwie. W ogłoszeniach można spotkać nazwy takie jak Audytor IT, Audytor wewnętrzny IT, Specjalista ds. audytu IT czy Inspektor IT.
Audytor IT pracuje cyklicznie, a każde zlecenie audytowe przebiega mniej więcej według tego samego schematu:
- Ocena ryzyka i planowanie. Roczny plan audytu wyznacza obszary według poziomu ryzyka; następnie dla każdego zlecenia ustala się zakres, kryteria i harmonogram.
- Analiza i dokumentacja. Rozmowy z właścicielami i administratorami systemów, zapoznanie się z politykami, procedurami i schematami architektury.
- Testowanie mechanizmów kontroli na próbkach. Czy faktycznie przeprowadzane są przeglądy uprawnień dostępu? Czy konta osób, które odeszły z firmy, zostały wyłączone w odpowiednim terminie? Czy każda zmiana w środowisku produkcyjnym posiada zatwierdzony zgłoszenie? Czy kopie zapasowe pozwalają na przywrócenie danych?
- Wyniki. Każda luka jest opatrzona dowodami, przyczyną źródłową, oceną ryzyka oraz zaleceniem.
- Raportowanie. Raport, który kierownictwo i komisja audytowa mogą przeczytać w ciągu kilku minut.
- Działania następcze. Sprawdzanie po kilku miesiącach, czy uzgodnione poprawki zostały wdrożone.
Nie jest to test penetracyjny. Audytor IT zapoznaje się z raportami z testów penetracyjnych, wynikami skanowania i eksportami konfiguracji, a czasami przeprowadza zapytania na surowych danych, ale rzadko osobiście atakuje systemy. Podstawową umiejętnością jest ocena, czy mechanizm kontroli jest dobrze zaprojektowany i działa w praktyce, poparta dowodami, które przekonałyby sceptycznego czytelnika.
Jak wygląda dobry wynik audytu?
Większość zespołów audytowych sporządza wyniki w strukturze często nazywanej „pięcioma C”: stan (condition), kryteria (criteria), przyczyna (cause), konsekwencja (consequence) oraz działanie naprawcze (corrective action). Krótki przykład z przeglądu zarządzania dostępem:
Stan: 14 z 40 losowo wybranych kont pracowników, którzy odeszli z firmy, pozostawało aktywnych w głównym systemie bankowym przez ponad 30 dni po ich ostatnim dniu pracy. Kryteria: polityka zarządzania dostępem wymaga dezaktywacji konta w ostatnim dniu pracy. Przyczyna: dane dotyczące zakończenia zatrudnienia z działu kadr są przekazywane do działu IT ręcznie raz w miesiącu. Konsekwencja: ryzyko nieuprawnionego dostępu ze strony byłych pracowników. Działanie naprawcze: zautomatyzować przekaz danych z działu kadr do systemu zarządzania tożsamością oraz co tydzień sprawdzać konta osób, które odeszły z firmy, dopóki rozwiązanie to nie zostanie wdrożone.
Ustalenie sformułowane w ten sposób wytrzyma krytykę ze strony kierownictwa, ponieważ każdy element opiera się na dowodach i jasno określonej zasadzie.
Gdzie pracują audytorzy IT?
Audyt wewnętrzny w bankach, firmach ubezpieczeniowych i dużych przedsiębiorstwach
Największa grupa. Pracujesz w trzeciej linii obrony, niezależnie od działów IT i bezpieczeństwa, podlegając komitetowi audytowemu. Banki należące do międzynarodowych grup przeprowadzają audyty IT w wielu krajach za pośrednictwem polskich zespołów, więc podróże służbowe i sporządzanie raportów wyłącznie w języku angielskim są na porządku dziennym.
Audyt zewnętrzny i doradztwo
Firmy z Wielkiej Czwórki oraz inne firmy audytorskie zatrudniają audytorów IT do testowania ogólnych mechanizmów kontroli informatycznych (ITGC) w ramach audytów sprawozdań finansowych, do przeglądu mechanizmów kontroli w organizacjach usługowych oraz do realizacji projektów doradczych dotyczących bezpieczeństwa i zgodności z przepisami. Jest to najczęstszy punkt wejścia dla absolwentów.
Audyty certyfikacyjne i zgodności
Jednostki certyfikujące przeprowadzają audyty systemów zarządzania bezpieczeństwem informacji zgodnie z normą ISO/IEC 27001, a wyspecjalizowane firmy przeprowadzają audyty bezpieczeństwa wymagane przez ustawę o KSC.
Sektor publiczny
Ministerstwa, urzędy centralne i jednostki samorządu terytorialnego posiadają jednostki audytu wewnętrznego. Formalne kwalifikacje audytorów wewnętrznych w sektorze finansów publicznych określa ustawa o finansach publicznych.
Przepisy regulujące pracę audytora IT
KSC po wdrożeniu NIS2
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC) weszła w życie 3 kwietnia 2026 r. i objęła systemem znacznie więcej sektorów. Artykuł 15 nakłada obowiązek przeprowadzania audytów bezpieczeństwa i określa, kto może je przeprowadzać: akredytowana jednostka oceniająca zgodność, audytorzy posiadający certyfikaty z listy ustalonej przez ministra cyfryzacji lub audytorzy z co najmniej trzyletnim doświadczeniem w audycie bezpieczeństwa systemów informatycznych (lub dwuletnim doświadczeniem oraz studiami podyplomowymi w tej dziedzinie). Audytor nie może przeprowadzać audytu w podmiocie, w którym w ciągu ostatniego roku wykonywał zadania związane z cyberbezpieczeństwem.
DORA w sektorze finansowym
Od 17 stycznia 2025 r. unijna ustawa o cyfrowej odporności operacyjnej (DORA) ma zastosowanie do banków, ubezpieczycieli, firm inwestycyjnych i innych podmiotów finansowych. Wymaga ona, aby ramy zarządzania ryzykiem informatycznym były regularnie poddawane audytom przez audytorów posiadających wystarczającą wiedzę z zakresu technologii informacyjno-komunikacyjnych, co spowodowało wzrost zatrudnienia audytorów IT w polskich instytucjach finansowych.
Zalecenia KNF
Banki działają również zgodnie z Rekomendacją D Komisji Nadzoru Finansowego (KNF) dotyczącą zarządzania bezpieczeństwem informatycznym i teleinformatycznym. Audytor IT w banku sprawdza zgodność z tą rekomendacją równolegle z wymogami DORA.
Audyt wewnętrzny w sektorze publicznym
Aby pracować jako audytor wewnętrzny w sektorze finansów publicznych, należy posiadać jedno z kwalifikacji wymienionych przez Ministerstwo Finansów, w tym CIA, CGAP, CISA, ACCA, CFE, CCSA, CFSA lub CFA, albo wymaganą praktykę audytorską połączoną ze studiami podyplomowymi.
Certyfikaty istotne dla audytora IT
W przeciwieństwie do wielu stanowisk związanych z IT, certyfikaty z zakresu audytu IT mają konsekwencje prawne, a nie tylko wartość w CV. Tabela przedstawia te, które najczęściej pojawiają się w przepisach i ogłoszeniach o pracę.
| Certyfikat | Wydawca | Dlaczego ma znaczenie |
|---|---|---|
| CISA (Certified Information Systems Auditor) | ISACA | Znajduje się na liście audytowej KSC oraz liście audytu wewnętrznego sektora publicznego; certyfikat najczęściej wymieniany w ogłoszeniach banków i firm z Wielkiej Czwórki |
| CIA (Certified Internal Auditor) | IIA | Znajduje się na liście audytowej KSC oraz liście sektora publicznego; kluczowy dla kariery w audycie wewnętrznym |
| Główny audytor ISO/IEC 27001 | Akredytowane jednostki certyfikujące | Znajduje się na liście audytowej KSC, o ile certyfikat został wydany przez akredytowaną jednostkę; standard dla audytów ISMS |
| CISM, CRISC, CGEIT | ISACA | Znajduje się na liście audytowej KSC; ceniony na stanowiskach związanych z zarządzaniem i ryzykiem ICT |
| CISSP | ISC2 | Znajduje się na liście audytowej KSC; przydatny w pracach audytowych o wysokim stopniu bezpieczeństwa |
CISA wymaga zdania egzaminu oraz pięciu lat odpowiedniego doświadczenia, z czego część można zastąpić wykształceniem. Wielu pracodawców finansuje egzamin i zapewnia czas na naukę, więc nie musisz posiadać tego certyfikatu przed podjęciem pierwszej pracy jako audytor IT, ale oczekuje się, że będziesz dążyć do jego uzyskania.
Umiejętności i narzędzia wymieniane przez pracodawców
- Ramy referencyjne: COBIT, ITIL, NIST, ISO/IEC 27001 i ISO 22301.
- Obszary audytu: ITGC (zarządzanie dostępem, zarządzanie zmianami, operacje IT), kontrole aplikacji, cykl życia oprogramowania (SDLC), ryzyko związane z podmiotami zewnętrznymi i outsourcingiem, ciągłość działania.
- Znajomość zagadnień technicznych: Active Directory, bazy danych, systemy Windows i Linux, platformy chmurowe oraz wystarczająca wiedza z zakresu bezpieczeństwa, aby interpretować wyniki systemów SIEM i skanerów podatności.
- Dane: Coraz częściej wymagana jest znajomość języka SQL, a umiejętność analizy danych w celu testowania całych populacji zamiast próbek stanowi duży atut.
- Przepisy: praktyczna znajomość przepisów DORA, NIS2 oraz KSC, RODO (RODO), a w przypadku banków – zaleceń KNF.
- Język i mobilność: biegła znajomość języka angielskiego oraz gotowość do podróży służbowych w ramach międzynarodowych zespołów.
Umiejętności, które odróżniają dobrych audytorów od przeciętnych, rzadko są wymieniane: przeprowadzanie wywiadu z administratorem, który zna system znacznie lepiej niż ty, bez utraty kontroli nad rozmową, oraz sformułowanie w dwóch zdaniach wniosku, który zrozumie członek zarządu.
Jak zostać audytorem IT?
Istnieją dwie klasyczne ścieżki, a każda z nich wymaga wypełnienia pewnej luki. Osoby z branży IT (administratorzy systemów, analitycy bezpieczeństwa, programiści, menedżerowie usług) znają technologię i muszą nauczyć się metodologii audytu, pobierania próbek, gromadzenia dowodów oraz sporządzania raportów. Osoby z audytu finansowego znają metodologię i muszą nauczyć się technologii na tyle dobrze, by oceniać mechanizmy kontroli, a nie tylko zaznaczać pola w formularzach.
Absolwenci zazwyczaj dołączają do zespołu ds. ryzyka technologicznego lub audytu IT w jednej z firm Wielkiej Czwórki po ukończeniu studiów z zakresu informatyki, ekonometrii, finansów z elementami IT lub systemów informacji zarządczej. Studia podyplomowe z zakresu audytu IT lub bezpieczeństwa informacji są popularne wśród osób zmieniających ścieżkę kariery, a ponadto zaliczają się one do alternatywnej kwalifikacji audytorskiej KSC. Lokalne oddziały ISACA organizują spotkania i przygotowania do egzaminów, które pomagają w nawiązywaniu kontaktów.
Realistyczny harmonogram: rok lub dwa lata, aby zostać niezależnym audytorem IT realizującym zlecenia, a następnie kilka kolejnych lat, aby osiągnąć poziom kierowniczy i uzyskać certyfikat CISA.
Wynagrodzenia audytorów IT
Wynagrodzenia na stanowiskach dla początkujących, takich jak stanowiska asystentów w firmach audytorskich, często zaczynają się na poziomie zbliżonym do średniej krajowej. Audytor IT z kilkuletnim doświadczeniem i certyfikatem CISA zarabia znacznie powyżej średniej krajowej, a menedżerowie, kierownicy audytu IT oraz niezależni audytorzy KSC zarabiają znacznie więcej.
Czynniki wpływające na wysokość wynagrodzenia:
- Sektor: bankowość, fintech i ubezpieczenia oferują wyższe wynagrodzenia niż sektor publiczny, gdzie siatki płac są ustalone.
- Certyfikaty: certyfikat CISA oraz inne certyfikaty z listy KSC zwiększają zarówno wynagrodzenie, jak i możliwości zawodowe.
- Znajomość przepisów: brakuje osób, które w praktyce znają przepisy DORA, NIS2 i KSC.
- Forma umowy: audytorzy niezależni i wykonawcy często pracują na zasadach B2B, podczas gdy stanowiska w audycie wewnętrznym to głównie umowy o pracę.
- Lokalizacja i podróże: dominuje Warszawa, a stanowiska wymagające częstych podróży zagranicznych zazwyczaj są lepiej opłacane.
Obciążenie pracą, terminy i pozycja audytora
Rok pracy audytora IT ma swój rytm. W firmach audytorskich sezon wzmożonej aktywności następuje po zakończeniu roku obrotowego, kiedy to testy ITGC w ramach audytów sprawozdań finansowych osiągają szczyt, a długie dni pracy są normą. Audytorzy wewnętrzni pracują zgodnie z planem rocznym, a szczytowe okresy przypadają przed posiedzeniami komitetu audytowego i terminami regulacyjnymi.
Ta rola wiąże się również z kosztem społecznym: to właśnie ty jesteś osobą, która wykrywa problemy w pracy innych. Zasady niezależności oznaczają, że nie możesz przeprowadzać audytu w obszarach, za które niedawno byłeś odpowiedzialny, a czasami będziesz musiał bronić swoich ustaleń przed kierownictwem wyższego szczebla, które wolałoby, aby zostały one złagodzone. Osoby, które lubią precyzyjną argumentację, dobrze sobie z tym radzą; dla tych, którzy potrzebują aprobaty wszystkich, jest to wyczerpujące.
Ścieżka kariery i pokrewne stanowiska
Wewnętrzna ścieżka kariery prowadzi od audytora IT przez starszego kierownika ds. audytu, kierownika audytu IT aż do dyrektora ds. audytu. Wielu audytorów przechodzi na drugą stronę stołu: do zarządzania ryzykiem ICT, zgodności, zarządzania bezpieczeństwem informacji lub ostatecznie na stanowiska CISO. KZiS obecnie wymienia kilka z tych stanowisk osobno, na przykład 252914 dla menedżerów ds. ryzyka cyberbezpieczeństwa i 252905 dla dyrektorów ds. bezpieczeństwa informacji.
Praca audytorska nieustannie styka się z pokrewnymi dziedzinami technicznymi. Dowody dotyczące konfiguracji i zmian przygotowane przez menedżera ds. konfiguracji stanowią podstawę do wyrywkowej kontroli podczas testowania zarządzania zmianami. Po naruszeniu bezpieczeństwa chronologia zdarzeń i dowody zebrane przez osobę odpowiedzialną za reagowanie na incydenty są bezpośrednio wykorzystywane w audytach przeprowadzanych po incydencie. Jeśli przygotowujesz się do rozmów kwalifikacyjnych, nasz przewodnik po przygotowaniach do rozmowy kwalifikacyjnej zawiera pytania dotyczące kompetencji, które chętnie zadają firmy audytorskie.
Najczęściej zadawane pytania dotyczące audytorów IT
Czy trzeba być programistą, aby zostać audytorem IT?
Nie. Trzeba rozumieć, jak działają systemy, bazy danych, sieci i zarządzanie dostępem, a znajomość języka SQL jest coraz częściej wymagana. Pisanie kodu produkcyjnego nie wchodzi w zakres obowiązków. Wielu dobrych audytorów IT wywodzi się z administracji, bezpieczeństwa lub zarządzania usługami, a niektórzy – z audytu finansowego po opanowaniu aspektów technologicznych.
Czy certyfikat CISA jest obowiązkowy dla audytorów IT?
Nie w przypadku każdego stanowiska, ale jest to najcenniejszy certyfikat w tej dziedzinie. Znajduje się on na liście certyfikatów audytorskich KSC oraz na liście audytorów wewnętrznych sektora publicznego, a wiele ogłoszeń o pracę w bankach i firmach z Wielkiej Czwórki wymaga go na stanowiskach kierowniczych. Pracodawcy często finansują jego uzyskanie młodszym pracownikom, którzy zdobywają go po zdobyciu wymaganego doświadczenia.
Jaka jest różnica między audytorem IT a audytorem ds. cyberbezpieczeństwa?
Audytor IT zajmuje się całym środowiskiem IT: zarządzaniem, dostępem, zarządzaniem zmianami, operacjami, outsourcingiem oraz kontrolami aplikacji, często powiązanymi ze sprawozdawczością finansową. Audytor cyberbezpieczeństwa, kod KZiS 252910, koncentruje się na kontrolach bezpieczeństwa i zgodności z przepisami bezpieczeństwa, takimi jak KSC. W praktyce role te się pokrywają i wiele osób pełni obie funkcje.
Kto może przeprowadzać audyt bezpieczeństwa zgodnie z KSC?
Zgodnie z art. 15 ustawy o KSC – akredytowana jednostka oceniająca zgodność, audytorzy posiadający certyfikaty z oficjalnego wykazu, takie jak CISA, CIA, CISM, CISSP lub certyfikat głównego audytora ISO/IEC 27001, albo audytorzy z wymaganym doświadczeniem w audytach bezpieczeństwa. Audytor musi być również niezależny od zadań związanych z bezpieczeństwem podmiotu poddawanego audytowi.
Czy audyt IT to dobry krok w karierze dla księgowego lub audytora finansowego?
Często tak. Znasz już metodologię audytu, gromadzenie dowodów i sporządzanie raportów, a tego trudno się nauczyć. Potrzebujesz jedynie solidnych podstaw w zakresie IT: zarządzania dostępem, kontroli zmian, baz danych i podstaw bezpieczeństwa. Wiele firm audytorskich wspiera wewnętrzne przeniesienia z działu audytu finansowego do zespołów zajmujących się ryzykiem technologicznym.