IT-audit

Een IT-auditor is een professional die onafhankelijk onderzoek uitvoert naar de beheersing van informatietechnologie, geautomatiseerde informatiesystemen en de daarmee samenhangende bedrijfsprocessen. Het vakgebied wordt aangeduid als IT-auditing. Een IT-auditor beoordeelt onder meer of IT-systemen betrouwbaar, beschikbaar, voldoende beveiligd en beheerst zijn en of zij voldoen aan wet- en regelgeving, interne beleidsregels en andere vooraf vastgestelde normen.

IT-auditing kan worden uitgevoerd binnen de interne-auditfunctie, als onderdeel van een accountantscontrole of door een onafhankelijke externe dienstverlener. De werkzaamheden kunnen betrekking hebben op technische infrastructuur, applicaties, gegevensverwerking, informatiebeveiliging, privacy, continuïteit, cloudcomputing, uitbestede IT-diensten en de inrichting van IT-governance. De IT-auditor onderzoekt daarbij niet uitsluitend de techniek, maar ook de processen, verantwoordelijkheden en beheersingsmaatregelen waarmee een organisatie haar IT-risico's beheerst.

NOREA en ISACA beschrijven IT-auditing als een onafhankelijk en risico-gebaseerd vakgebied. Een IT-auditor onderzoekt in dat kader de kwaliteit, veiligheid, continuïteit en beheersing van IT-systemen, IT-infrastructuur en de daarmee samenhangende organisatie en processen. De beoordeling kan betrekking hebben op zowel de opzet als de werking van IT-beheersingsmaatregelen in applicaties en onderliggende technologie.

Plaats in de organisatie

Een IT-auditor kan werkzaam zijn binnen een interne-auditfunctie, bij een accountantsorganisatie, bij een gespecialiseerd advies- of auditbureau of binnen een publieke toezichthoudende organisatie. De plaats van de IT-auditor in de organisatie is van belang voor diens onafhankelijkheid. Een auditor dient een oordeel te kunnen vormen zonder ongepaste beïnvloeding door personen die verantwoordelijk zijn voor de onderzochte activiteiten, systemen of beheersingsmaatregelen.

Interne en externe IT-audit

Bij interne IT-audit onderzoekt de IT-auditor de IT-risico's en beheersingsmaatregelen van de eigen organisatie. De interne-auditfunctie geeft assurance en advies aan bestuur, directie en toezichthoudende organen, maar neemt niet de verantwoordelijkheid van het management voor risicobeheersing over.

Bij externe IT-audit voert een onafhankelijke partij een onderzoek uit ten behoeve van bijvoorbeeld een accountantscontrole, een opdrachtgever, een toezichthouder of gebruikers van een dienstverlener. Een externe IT-auditor kan onder meer onderzoek doen naar IT-beheersingsmaatregelen die relevant zijn voor de financiële verslaggeving, naar de beveiliging van een digitale dienst of naar de beheersing van uitbestede processen.

Functionele en hiërarchische rapportagelijnen

Binnen een grote organisatie is de interne-auditfunctie doorgaans functioneel verbonden aan de raad van commissarissen, het auditcomité of een vergelijkbaar toezichthoudend orgaan. Functionele rapportage kan onder meer betrekking hebben op de goedkeuring van het audit charter, het risicogebaseerde auditplan, het budget, de benoeming of het ontslag van het hoofd Internal Audit en de ontvangst van rapportages over belangrijke bevindingen.

Voor dagelijkse organisatorische aangelegenheden, zoals personeelszaken en faciliteiten, kan het hoofd Internal Audit hiërarchisch rapporteren aan de chief executive officer, de raad van bestuur of een vergelijkbaar hoog bestuursniveau. De interne-auditfunctie behoort niet te zijn ondergebracht bij een bedrijfsonderdeel dat zij zelf moet onderzoeken, zoals de IT-directie, informatiebeveiliging, risicomanagement, compliance of financiële administratie.

Onafhankelijkheid en objectiviteit

Onafhankelijkheid betreft de organisatorische positie van de auditfunctie; objectiviteit betreft de onbevooroordeelde professionele oordeelsvorming van de individuele auditor. Een IT-auditor dient geen audit uit te voeren naar werkzaamheden waarvoor hij of zij kort tevoren zelf verantwoordelijk was, noch beslissingen te nemen over de inrichting of uitvoering van maatregelen die later door de auditor moeten worden beoordeeld.

Mogelijke bedreigingen voor de onafhankelijkheid kunnen ontstaan door een ondergeschikte rapportagelijn aan de IT-organisatie, betrokkenheid bij de uitvoering van projecten, belangenconflicten, beperkingen van de auditomvang of onvoldoende toegang tot informatie. Dergelijke bedreigingen behoren te worden vastgelegd, beoordeeld en zo nodig door passende waarborgen of escalatie beperkt.

IT-audit charter en mandaat

De opdracht, bevoegdheden en verantwoordelijkheden van de interne-auditfunctie kunnen worden vastgelegd in een internal audit charter. Daarin worden onder meer het doel van de functie, de toegang tot systemen, gegevens, medewerkers en locaties, de rapportagelijnen, de onafhankelijkheid en de omgang met beperkingen van de auditomvang beschreven.

Opvolging van bevindingen

De verantwoordelijkheid voor het oplossen van een auditbevinding ligt bij het management van het onderzochte organisatieonderdeel. De IT-auditor stelt vast welke risico's en tekortkomingen zijn geconstateerd, beoordeelt de voorgestelde herstelmaatregelen en volgt de voortgang onafhankelijk. De auditor neemt niet zelf de verantwoordelijkheid voor het ontwerpen, implementeren of exploiteren van de maatregelen over.

Actieplannen en managementreactie

Na afloop van een audit reageert het verantwoordelijke management op de bevindingen. Een managementreactie bevat doorgaans de aanvaarding of gemotiveerde betwisting van de bevinding, de risicoacceptatie of voorgenomen herstelmaatregel, de aangewezen eigenaar van de actie en een streefdatum voor voltooiing. Bij belangrijke bevindingen behoort ook te worden aangegeven welke tijdelijke compenserende maatregelen gelden totdat een structurele oplossing is ingevoerd.

Een actieplan is het meest controleerbaar wanneer het concreet, meetbaar en tijdgebonden is. De actiehouder behoort voldoende beslissingsbevoegdheid, middelen en verantwoordelijkheden te hebben om de maatregel daadwerkelijk uit te voeren.

Eigenaarschap, termijnen en prioriteiten

Auditbevindingen kunnen worden geprioriteerd naar de ernst van het risico, de waarschijnlijkheid van optreden, de mogelijke gevolgen en de aanwezigheid van compenserende beheersingsmaatregelen. Organisaties gebruiken hiervoor vaak classificaties als hoog, middelmatig en laag risico of kritisch, hoog, middelmatig en laag.

Voor iedere bevinding worden ten minste een risico-eigenaar, een actiehouder, een herstelplan en een uiterste datum vastgelegd. Wanneer het management een risico tijdelijk of structureel accepteert, behoort die acceptatie te worden genomen door een functionaris die bevoegd is het betreffende risico namens de organisatie te aanvaarden. Bij ernstige risico's kan dit de raad van bestuur, een risico- of auditcomité of een vergelijkbaar orgaan zijn.

Follow-up en validatie

De interne-auditfunctie volgt openstaande bevindingen periodiek op. Daarbij beoordeelt zij niet alleen of een actie administratief als voltooid is geregistreerd, maar ook of de maatregel is ingevoerd en het beoogde risico daadwerkelijk voldoende beperkt. Een bevinding wordt pas gesloten nadat de auditor voldoende en geschikte controle-informatie heeft verkregen over de uitvoering en, waar van toepassing, de werking van de maatregel.

De frequentie van follow-up kan afhankelijk zijn van het risiconiveau. Kritieke of hoogrisicobevindingen worden doorgaans vaker gevolgd en eerder geëscaleerd dan bevindingen met een beperkt risico.

Escalatie en rapportage

Openstaande, achterstallige of door het management niet aanvaarde hoogrisicobevindingen worden gerapporteerd aan het verantwoordelijke managementniveau en, indien nodig, aan de raad van bestuur, het auditcomité of de raad van commissarissen. De rapportage bevat ten minste de aard van de bevinding, het resterende risico, de verantwoordelijke risico-eigenaar, de overeengekomen maatregelen, de geplande einddatum en de actuele voortgang.

Door periodieke rapportage aan een onafhankelijk toezichthoudend orgaan kan de interne-auditfunctie zichtbaar maken of ernstige risico's tijdig worden beheerst. De auditfunctie blijft daarbij verantwoordelijk voor onafhankelijke toetsing en escalatie; het management blijft verantwoordelijk voor risicobeheersing en herstel.

Organisatie van IT-audit

Centrale IT-auditfunctie

In een grote organisatie kan IT-audit centraal worden georganiseerd als onderdeel van Group Internal Audit of Corporate Audit. Een centrale IT-auditfunctie ontwikkelt dan bijvoorbeeld de auditmethodologie, risicoclassificaties, rapportageformats, kwaliteitsbewaking en vaktechnische standaarden. Ook kan zij audits uitvoeren naar concernbrede systemen, centrale cloudvoorzieningen, identity-and-accessmanagement, cybersecurity, datacentra en shared servicecentra.

De centrale auditfunctie stelt doorgaans een meerjarig en jaarlijks risicogebaseerd auditplan op. Dit plan wordt afgestemd met het hoofd Internal Audit, senior management en het toezichthoudend orgaan dat verantwoordelijk is voor het toezicht op Internal Audit. Het auditplan behoort voldoende ruimte te bieden voor onverwachte risico's, incidenten, grote veranderingen in het IT-landschap en verzoeken van bestuur of toezichthouder.

IT-audit in concern- en groepsstructuren

Bij een concern met dochterondernemingen of andere groepsmaatschappijen kan de IT-auditfunctie werken volgens een centraal aangestuurd model, een lokaal model of een combinatie daarvan. In een gecombineerd model bepaalt Group Internal Audit de methodologie, minimumvereisten en rapportagelijnen, terwijl lokale IT-auditors of co-sourcingpartners audits uitvoeren binnen afzonderlijke groepsmaatschappijen.

Centrale coördinatie kan bijdragen aan een vergelijkbare beoordeling van risico's en beheersingsmaatregelen binnen de groep. Zij is vooral relevant wanneer groepsmaatschappijen gebruikmaken van gemeenschappelijke platforms, centrale identiteitsvoorzieningen, gedeelde cloudcontracten, groepsbrede cybersecuritydiensten of gemeenschappelijke financiële systemen.

Affiliates, dochterondernemingen en shared servicecentra

De directie van een dochteronderneming of affiliate blijft verantwoordelijk voor de beheersing van lokale risico's en voor de tijdige uitvoering van herstelmaatregelen. De centrale IT-auditfunctie kan de lokale managementreactie, de voortgang van actieplannen en de resterende risico's rapporteren aan zowel het lokale management als aan Group Internal Audit en het relevante groepsmanagement.

Wanneer een bevinding betrekking heeft op een centrale IT-dienst, is het van belang onderscheid te maken tussen de lokale risico-eigenaar, de eigenaar van de centrale dienst en de partij die verantwoordelijk is voor herstel. Een lokale organisatie kan bijvoorbeeld risico lopen door gebrekkig toegangsbeheer in een centraal identiteitsplatform, terwijl de technische herstelmaatregel bij een groepsbrede IT-organisatie ligt. Heldere toewijzing van eigenaarschap voorkomt dat bevindingen tussen organisatieonderdelen blijven liggen.

Relatie met risk, compliance, security en externe accountant

IT-audit werkt samen met functies als risicomanagement, compliance, informatiebeveiliging, privacy, interne beheersing en externe accountants, maar behoudt daarbij een onafhankelijke positie. Risicomanagement ondersteunt het bestuur bij het identificeren en beheersen van risico's; informatiebeveiliging ontwerpt en beheert beveiligingsmaatregelen; compliance bewaakt de naleving van regels. IT-audit beoordeelt onafhankelijk of deze processen en maatregelen toereikend zijn opgezet en daadwerkelijk functioneren.

De externe accountant kan, onder voorwaarden, gebruikmaken van werkzaamheden van de interne-auditfunctie. Daarbij beoordeelt de externe accountant onder meer de objectiviteit, vakbekwaamheid en zorgvuldigheid van de uitgevoerde werkzaamheden en blijft hij of zij zelf verantwoordelijk voor het controleoordeel.

Kwalificaties en beroepsorganisaties

Voor IT-auditors bestaan verschillende beroepskwalificaties. In Nederland zijn vooral de titel Register EDP-auditor (RE) en de internationale certificering Certified Information Systems Auditor (CISA) bekend. Beide kwalificaties zijn gericht op professionals die informatietechnologie, geautomatiseerde informatiesystemen, IT-risico's en IT-beheersingsmaatregelen onderzoeken. In de beroepspraktijk kunnen RE's en CISA-gecertificeerden vergelijkbare werkzaamheden uitvoeren, bijvoorbeeld binnen een interne-auditfunctie, bij een accountantsorganisatie, bij een adviesbureau of binnen een toezichthoudende organisatie.

Register EDP-auditor

De titel Register EDP-auditor (RE) is verbonden aan het register van NOREA, de Nederlandse beroepsorganisatie van Register EDP-auditors. Voor inschrijving in het register is een diploma vereist van een door NOREA erkende IT-auditopleiding. Daarnaast moet de kandidaat beschikken over een recente Verklaring Omtrent het Gedrag en ten minste drie jaar aantoonbare, voor IT-auditing relevante werkervaring. NOREA stelt daarbij een minimum van 4.500 uur praktijkervaring en verlangt voldoende variatie in de uitgevoerde IT-auditwerkzaamheden.

De RE-titel is gekoppeld aan een Nederlandse beroepsregistratie en aan een door NOREA erkende vervolgopleiding op universitair niveau. NOREA vermeldt dat de erkende IT-auditopleidingen een omvang hebben van ten minste 1.700 studie-uren.

Certified Information Systems Auditor

Certified Information Systems Auditor (CISA) is een internationale persoonscertificering van ISACA voor professionals die informatiesystemen, IT-risico's en IT-beheersingsmaatregelen auditen, controleren, monitoren of beoordelen. CISA is geen opleiding of beroepsregister, maar een certificering die is gebaseerd op een wereldwijd uniform examen, aantoonbare beroepservaring en doorlopende verplichtingen voor het behoud van de certificering.

Voor CISA-certificering moet een kandidaat slagen voor het CISA-examen. Het examen behandelt onder meer auditprocessen, IT-governance en -management, verwerving, ontwikkeling en implementatie van informatiesystemen, IT-exploitatie en bedrijfscontinuïteit, alsmede de bescherming van informatieactiva. Een kandidaat kan het examen afleggen voordat aan alle ervaringseisen is voldaan, maar verkrijgt de CISA-certificering pas nadat ook aan die eisen is voldaan.

ISACA verlangt voor CISA-certificering in beginsel ten minste vijf jaar aantoonbare professionele werkervaring in werkzaamheden op het gebied van het auditen, beheersen of beveiligen van informatiesystemen. Deze ervaring kan bijvoorbeeld zijn opgedaan als IT-auditor, internal auditor, IT-controlspecialist, informatiebeveiligingsspecialist of in een andere functie waarin IT-risico's en IT-beheersingsmaatregelen worden onderzocht of beoordeeld. De werkervaring moet zijn opgedaan in de tien jaar voorafgaand aan de aanvraag van de certificering. De kandidaat moet de ervaring laten verifiëren door een leidinggevende of manager. Onder door ISACA vastgestelde voorwaarden kunnen opleiding en bepaalde andere relevante kwalificaties leiden tot een gedeeltelijke vrijstelling van de ervaringseis, maar niet tot volledige vrijstelling.

De certificering moet na toekenning worden onderhouden. Een CISA-gecertificeerde moet jaarlijks ten minste 20 uren permanente educatie registreren en ten minste 120 uren binnen een periode van drie jaar behalen. Daarnaast moet de certificaathouder voldoen aan de gedragscode en de auditstandaarden van ISACA en de jaarlijkse onderhoudsverplichtingen nakomen. Wanneer niet aan deze voorwaarden wordt voldaan, kan ISACA de certificering intrekken.

Vergelijking en internationale context

De RE-titel en de CISA-certificering zijn niet hetzelfde en kennen verschillende toelatingsroutes. Voor inschrijving als RE verlangt NOREA een diploma van een erkende IT-auditopleiding, een recente Verklaring Omtrent het Gedrag en ten minste drie jaar aantoonbare ervaring met IT-auditwerkzaamheden. CISA vereist daarentegen een internationaal examen en in beginsel ten minste vijf jaar aantoonbare professionele ervaring op het terrein van IT-audit, IT-control, assurance of IT-security.

De RE-route is verbonden aan een Nederlandse vervolgopleiding op universitair niveau en aan inschrijving in het register van NOREA. CISA is een internationale persoonscertificering die berust op een wereldwijd uniform toetsingskader, verificatie van relevante beroepservaring en periodieke permanente educatie. Beide kwalificaties kunnen relevant zijn voor werkzaamheden als IT-auditor, maar zij vormen geen formeel gelijkwaardige of onderling uitwisselbare titels.

In internationale ondernemingen en organisaties met activiteiten in meerdere landen kan CISA als vereiste of voorkeur in functieprofielen voor IT-auditors worden opgenomen. De wereldwijde standaardisering en herkenbaarheid van de CISA-certificering kunnen daarbij een rol spelen. De RE-titel heeft vooral een bijzondere positie in Nederland door de koppeling met het NOREA-register en de erkende Nederlandse IT-auditopleiding.

Andere kwalificaties die bij IT-auditing kunnen voorkomen zijn Certified Internal Auditor (CIA), Certified Information Security Manager (CISM), Certified Information Systems Security Professional (CISSP), Register Operational Auditor (RO) en registeraccountant (RA). De relevantie van een kwalificatie is afhankelijk van de aard van de auditwerkzaamheden, de sector en de eisen van de werkgever, opdrachtgever of toezichthouder.

Externe links

• Nederlandse Orde van EDP-auditors
• ISACA België
• ISACA Nederland
• ISACA Internationaal