Invloed van ICT bij de auditfunctie

Pakketsoort - Audit, dossierbeheer en data analyse > Invloed van ICT bij de auditfunctie

De invloed van ICT wordt steeds groter bij accountantsopdrachten. Hier wordt dan bedoeld assurance over de continuïteit en/of betrouwbaarheid van IT-systemen. In voorkomende gevallen zal de accountant een beroep doen op een gespecialiseerde IT-Auditor. Het vastleggen van goede afspraken over de te verrichten werkzaamheden mag hierbij als vanzelfsprekend worden verondersteld.

Bij de invloed van ICT wordt onderscheid gemaakt tussen:

I General IT-controls;
Hebben betrekking op applicaties, besturingssystemen, databases, netwerken en de cloud. Belangrijke zaken die hieronder vallen zijn:

1. een adequate backup procedure; worden backups regelmatig gemaakt, maar is er ook regelmatig controle op teruglezen van backups (recovery);
     
2. versiebeheer; veelal ‘change management’ genoemd; is een nieuwe versie of update goed getest voordat deze in productie gaat.
     
3. beveiliging; toegang op basis van rechten en rollen in relatie tot functiescheiding.

II Application controls; zoals:

1. logging van handelingen (eindgebruikers, beheerders en applicaties);
     
2. logging van wijzigingen op basis- en mutatiegegevens;
     
3. controle op ongeautoriseerd muteren van de data.

Bovenstaande feitelijk om de integriteit van de data vast te stellen.

Cloud computing
Bij ‘cloud computing’ zijn bovenstaande aspecten ook belangrijk, maar ook met name:

1. Continuïteit van de dienstverlening; wat zijn de consequenties als de dienst een korte of langere tijd uit de lucht is?
     
2. Exit strategie; kan de ondernemer over zijn data beschikken in (een voor de mens) leesbare vorm gedurende redelijke termijn?
      
3. In relatie tot veiligheid van (web)applicaties zijn de “ICT-Beveiligingsrichtlijnen”, uitgegeven door het Nationaal Cyber Security Centrum (NCSC), van belang, die voor een deel gebaseerd zijn op internationale standaarden, zoals OWASP. Het Open Web Application Security Project (OWASP) is een wereldwijde non-profit organisatie die zich richt op het verbeteren van de beveiliging van software. Zo is de OWASP Top 10 een krachtig bewustmakingsdocument voor beveiliging van webapplicaties. Meer informatie is te vinden op https://www.owasp.org/.

De verwachting is dat steeds meer van bovenstaande aspecten onderdeel zullen uitmaken van (model)werkprogramma’s, voor zover dat al niet reeds het geval is. Ook de gespecialiseerde IT-Auditor maakt gebruik van werkprogramma’s voor het vaststellen van de opzet, bestaan en werking van een proces (bijv. het regelmatig maken van een backup).

Aanbevolen

• Rapport "Assurance: beoordelen veiligheid (web)applicaties en IT-organisaties".