ЗАПРОШЕННЯ ДО ВИCЛОВЛЕННЯ ЗАЦІКАВЛЕНОСТІ 
(КОНСУЛЬТАЦІЙНІ ПОСЛУГИ)
Аудитор інформаційних технологій (ІТ Аудитор)

Країна: 		Україна
Проект: 		Стійке, інклюзивне та екологічно збалансоване підприємництво» (RISE)
Грант №:		P505616
Назва завдання: Аудитор інформаційних технологій (ІТ Аудитор)
Ідентифікаційний № (згідно з Планом закупівель): RISE-C2-NDI-ITA
Україна відповідно до Угоди про грант цільового фонду багатьох донорів з підтримки, відновлення, відбудови та реформування України між Україною та Міжнародним банком реконструкції та розвитку і Міжнародною асоціацією розвитку, що діють як адміністратор Цільового фонду багатьох донорів з підтримки, відновлення, відбудови та реформування України від 04.11.2024 отримала фінансування 10 млн доларів США від Світового банку на реалізацію інвестиційного компонента (Investment Project Financing, IPF) Програми «Стійке, інклюзивне та екологічно збалансоване підприємництво» (RISE, Program-for-Results Financing, PforR) (далі – Програма), та має намір використати частину цих коштів на здійснення правомочних платежів за консультаційні послуги, для закупівлі яких випущено це запрошення до висловлення зацікавленості. 
Консультаційні послуги (далі – «Послуги») передбачають оцінку поточного стану системи безпеки Національної установи розвитку, підтвердження ефективності ІТ-контролю, оцінку дотримання політик, процедур та відповідних нормативних актів. Детальне Технічне завдання наведено нижче.
Міністерство економіки, довкілля та сільського господарства України запрошує правомочні консультаційні компанії (надалі – «Консультанти»), висловити свою зацікавленість у наданні зазначених Послуг. Зацікавлені Консультанти мають надати інформацію, що підтверджує наявність у них кваліфікації та досвіду, необхідних для виконання Послуг.
Відбір найбільш кваліфікованого та досвідченого консультанта для виконання завдання здійснюватиметься на основі наступних критеріїв:
Обов’язкові вимоги:
•	Щонайменше три (3) роки досвіду надання послуг ІТ-аудиту.
Бажані вимоги:
•	Наявність не менше 1 фахівця з професійним сертифікатом CISA (сертифікований аудитор інформаційних систем) або іншими професійними сертифікатами із інформаційних технологій.
•	Досвід роботи з державними установами або організаціями.
Ключові експерти не будуть оцінюватися на етапі оцінки висловлень зацікавленості.
Звертаємо увагу зацікавлених Консультантів на Розділ ІІІ пункти 3.14, 3.16 та 3.17 Посібника Світового банку «Правила закупівель Світового банку для позичальників ФІП», датовані вереснем 2023 року (далі – «Правила закупівель»), який містить політику Світового Банку стосовно конфлікту інтересів.
Для підвищення рівня своєї кваліфікації Консультанти можуть об’єднуватись з іншими фірмами, однак мають чітко зазначити об’єднуються вони у формі спільного підприємства чи на правах підрядник-субпідрядник. У разі об’єднання у спільне підприємство, усі його члени несуть солідарну та індивідуальну відповідальність за контрактом (якщо будуть відібрані).
Консультанта буде обрано за допомогою методу відбору на основі кваліфікації консультантів (CQS), що детально описаний у Правилах закупівель.
Додаткову інформацію можна отримати за електронною адресою, що вказана нижче, з 10:00 до 17:00 години за місцевим часом.
Висловлення зацікавленості мають бути доставлені у письмовій формі українською мовою за зазначеною нижче адресою електронної пошти до 17:00 за київським часом 10 квітня 2026 року. Висловлення зацікавленості необхідно подавати із зазначенням наступної теми: «RISE-C2-NDI-ITA: Висловлення зацікавленості».
Адреси, що згадуються вище, наступні:
Ел. пошта: rise.procurements@gmail.com,  rviskunov@me.gov.ua з обов’язковою копією на okalender@me.gov.ua, t.tsymbal@bdf.gov.ua.

Додатки: 
1) Додаток 1 «Технічне завдання за пактом закупівель № RISE-C2-NDI-ITA».

ДОДАТОК 1

ТЕХНІЧНЕ ЗАВДАННЯ
на надання консультаційних послуг

Аудитор інформаційних технологій (ІТ Аудитор)
(пакет закупівель № RISE-C2-NDI-ITA)

I. ЗАГАЛЬНА ІНФОРМАЦІЯ

Україна, відповідно до Угоди про грант Цільового фонду багатьох донорів з підтримки, відновлення, відбудови та реформування України (Проєкт «Стійке, інклюзивне та екологічно збалансоване підприємництво») між Україною та Міжнародним банком реконструкції та розвитку і Міжнародною асоціацією розвитку, що діють як адміністратор Цільового фонду багатьох донорів з підтримки, відновлення, відбудови та реформування України від 04.11.2024 № TF0C6617 отримала фінансування у розмірі 10 мільйонів доларів США від Світового банку для реалізації інвестиційного компоненту (Фінансування інвестиційних проєктів, IPF Програми «Стале, інклюзивне та екологічно збалансоване підприємництво» (RISE), Program-for-Results Financing, PforR) (далі – Програма), яке буде використано для оплати консалтингових послуг, товарів та неконсультаційних послуг у рамках цього компоненту.
Мета Програми — покращити середовище для сталого економічного відновлення, керованого приватним сектором. Програма спрямована на вирішення ключових проблем розвитку бізнесу. Вона реалізується через три взаємодоповнюючі напрямки:
• 	Підвищення ефективності державної підтримки малого та середнього бізнесу з акцентом на «зелену» конкурентоспроможність;
• 	Покращення бізнес-середовища та цифрових державних послуг для бізнесу;
• 	Забезпечення доступу малих та середніх підприємств до експортних ринків.
Компонент IPF Програми (далі – Проєкт) спрямований на підтримку Мінекономіки у впровадженні Національної економічної стратегії 2021–2030 років та Плану для України на 2024–2027 роки, як це передбачено Програмою. Відповідно, Проєкт фінансуватиме технічну допомогу для організаційного зміцнення, розвитку потенціалу, консультаційної підтримки та передачі знань, щоб надати змогу Мінекономіки та іншим виконавчим установам Програми досягти сталих змін та посилення інституційної спроможності у реалізації програм підтримки підприємств.
Мінекономіки є виконавцем Програми. За загальну реалізацію відповідає заступник Міністра (далі – Координатор). Національна установа розвитку (далі – НУР, Реципієнт)  є співвиконавцем Програми. 
Для проведення комплексної оцінки ефективності та системи захисту існуючої ІТ-інфраструктури НУР Мінекономіки планує залучити компанію для надання послуг з аудиту інформаційних технологій (далі – Консультант).
II. МЕТА
Метою завдання є оцінка поточного стану системи безпеки НУР, підтвердження ефективності ІТ-контролю, оцінка дотримання політик, процедур та відповідних нормативних актів. ІТ-аудитор виявить слабкі місця (відхилення) та області для покращення в ІТ-системах та процесах, надасть перелік фактичних налаштувань та рекомендацій (присвоїть статус критичний/високий/середній), а також порадить технічні заходи контролю, що вимагаються ISO/IEC 27001:2022.
III. ОБСЯГ НАДАНИХ ПОСЛУГ 
Протягом періоду дії договору Консультант проведе комплексну оцінку ефективності та системи захисту існуючої ІТ-інфраструктури НУР, буде здійснювати моніторинг стану виконання Плану коригувальних заходів, а також проведе статус-аналіз (огляд) виконання рекомендацій аудиту.
Протягом дії договору Консультант надаватиме наступні послуги у три етапи:
Етап / період	Найменування послуг	Строк виконання	
Етап 1. 

	Kомплексний аудит інформаційних технологій існуючої ІТ-інфраструктури НУР, а саме:
• аудит конфігурації, політик безпеки, перевірки журналів використання хмарних сервісів Microsoft: Microsoft 365 (Exchange Online, SharePoint/OneDrive, Teams), Microsoft Entra ID (Azure AD), Microsoft Intune, Microsoft Defender (Endpoint/Office 365)
• аудит мережевої інфраструктури Fortinet: (FortiGate (периметр/правила/профілі безпеки/VPN/логування), FortiSwitch (VLAN/сегментація/керування), FortiAP (SSID/WPA2/3/ізоляція гостьової мережі)
• аудит процесів обробки, зберігання та захисту персональних даних
• аналіз практик застосування технологій «штучного інтелекту» у власних і партнерських сервісах і службах, надання оцінки  обізнаності персоналу НУР про особливості застосування та оцінка необхідності розробки внутрішніх регуляторних документів щодо використання «ШІ»
• оцінка інтеграції ІТ-систем із системами комунікацій та зв’язку
• перевірка терміну дії ліцензій на ПЗ (включаючи антивірусний захист) та використання неліцензованого ПЗ
• аудит ефективності управління інцидентами та тестування можливості несанкціонованого доступу до корпоративних даних, включаючи оцінку можливості використання приватних засобів обробки даних і комунікацій в службових цілях, і навпаки
• аналіз внутрішніх політик/положень НУР щодо контролю доступу, логування, резервного копіювання конфігурації, сегментації мережі та використання хмарних сервісів на відповідність ІТ-законодавству та ISO/IEC 27001:2022
• оцінка ефективності ІТ-контролю, включаючи функціонування системи управління резервним копіюванням	
Один місяць з дати підписання договору

	
			
Етап 2.
	Проведення моніторингу стану виконання Плану коригувальних заходів шляхом проведення щотижневих зустрічей із представниками Підрозділу інженерно-технічної підтримки та забезпечення та Внутрішнім аудитором Установи.

Тривалість зустрічі: до 2х годин.
Кількість: 1 зустріч на тиждень	
три місяці з дати завершення етапу 1	
Етап 3.
	Проведення статус-аналізу (огляд) виконання рекомендацій аудиту.
	один місяць з дати завершення етапу 2	

IV. ОРГАНІЗАЦІЯ НАДАННЯ ПОСЛУГ
Мінекономіки та НУР забезпечує Консультанта інформацією, необхідною для виконання ним завдань своєчасно та у повному обсязі.
Консультант співпрацюватиме як з представниками Мінекономіки, так і з представниками Підрозділу інженерно-технічної підтримки та забезпечення і Внутрішнім аудитором НУР, матиме змогу брати участь у зустрічах із Аудиторським комітетом та засіданнях Членів Правління НУР в частині обговорення питань ІТ-інфраструктури.

V. ЗВІТНІСТЬ ТА ОЧІКУВАНІ РЕЗУЛЬТАТИ
Консультант готує та надає наступні звіти:
Звіти	Етап / період	Очікувані результати	Кінцевий термін надання результатів	
Звіт № 1	Етап 1. 
	Звіт аудитора про проведення комплексного ІТ аудиту існуючої ІТ-інфраструктури НУР у, який включатиме: 
• Детальний опис результатів аудиту
• Короткий виклад виявлених ризиків та недоліків контролю.
• Рекомендації щодо коригувальних дій.
• Висновок щодо адекватності та ефективності ІТ-контролю.
	15 календарних днів з дати завершення етапу 1	
Звіт № 2	Етап 2.
	Звіт щодо моніторингу виконання Плану коригувальних заходів (очікується отримання звіту за результатами кожного кварталу)
	15 календарних днів з дати завершення етапу 2	
Звіт № 3	Етап 3.	Звіт про оцінку виконання рекомендацій наданих у результаті попереднього IT аудиту
	15 календарних днів з дати завершення етапу 3	

Усі матеріали мають бути підготовлені Консультантом українською та англійською  мовами у спосіб, придатний для читання і розуміння Замовником.
Усі підготовлені Консультантом матеріали подаються Замовнику у формі звіту, попередньо погодженій із Замовником: спочатку в електронному, а потім — у паперовому вигляді українською та англійською мовами (паперова версія має бути підписана Консультантом). Електронні версії звітів та супроводжуючої документації повинні бути оформлені у форматі PDF, MS Word, MS Excel або MS PowerPoint, залежно від типу документа. 
У випадку, якщо звіт Консультанта посилається на раніше підготовлену інформацію або документи, такі документи повинні бути додані до звіту.
Після виконання Етапів 1-3 Консультант надає Замовнику та Реципієнту Результат надання послуг у формі Звітів №№ 1-3 відповідно.
Усі звіти, що надаються в електронній формі, надсилаються на електронні адреси Замовника та Реципієнта: ___________________ з електронних адрес Консультанта. 
Замовник та Реципієнт розглядають подані Консультантом звіти протягом 10 робочих днів з дати їх отримання та затверджують їх після погодження з Реципієнтом або надсилають Консультанту повний перелік обґрунтованих зауважень. Зауваження до звітів викладаються письмово та направляються Консультанту засобами електронного зв’язку на електронні адреси Консультанта, з повідомленням про доставку відповідного повідомлення. Консультант впродовж доби після отримання зауважень від Замовника та Реципієнта, має повідомити про отримання відповідних зауважень та впродовж 10 робочих днів з моменту отримання зауважень повинен надати Замовнику та Реципієнту доопрацьовані звіти та матеріали до них. У випадку надання оновленого звіту Замовник та Реципієнт перевіряє виправлення раніше наданих зауважень, при цьому вищевикладена процедура повторюється, але не більше трьох ітерацій. Якщо Замовник та Реципієнт не надають зауважень протягом 10 робочих днів з дати отримання звіту, або після третьої ітерації виправлень зауваження не надходять, звіт вважається прийнятим.
Після узгодження Сторонами відповідного звіту, оригінал в паперовому форматі надається Консультантом на адресу Замовника для затвердження в 3-х примірниках.
VІ. КВАЛІФІКАЦІЙНІ ВИМОГИ ДО КОНСУЛЬТАНТАТА КЛЮЧОВИХ ЕКСПЕРТІВ
1. Кваліфікаційні вимоги до Консультанта:
Обов’язкові вимоги:
•	Щонайменше три (3) роки досвіду надання послуг ІТ-аудиту.
Бажані вимоги:
•	Наявність не менше 1 фахівця з професійним сертифікатом CISA (сертифікований аудитор інформаційних систем) або іншими професійними сертифікатами із інформаційних технологій.
•	Досвід роботи з державними установами або організаціями.
2. Кваліфікаційні вимоги до ключових експертів Консультанта:
Для виконання завдань, передбачених цим Технічним завданням, до команди Консультанта повинен входити такий ключовий експерт з наступним досвідом:
•	IT аудитор:
Мінімальні вимоги: 
•	щонайменше три (3) роки практичного досвіду проведення аудитів IT інфраструктури.
Бажані вимоги:
•	вища освіта (ІТ або економіка);
•	щонайменше два (2) роки досвіду роботи в галузі ІТ/кібербезпеки;
•	знання міжнародних стандартів (COBIT, ISO 27001);
•	наявність сертифіката (CISA, CIA).