Advisory: governance en IT-risicomanagement

Informatie en risicomanagement zijn de hoekstenen van communicatie en vertrouwen. Wij adviseren over governance, IT-risicomanagement en IT-governance, en helpen organisaties zich voor te bereiden op een assurance-traject.

Pre-audit

Een pre-audit is een onderzoek met dezelfde diepgang als een echte controle, maar zonder verklaring en zonder consequenties. Het levert één ding op: u weet waar u staat, op een moment dat u er nog iets aan kunt doen.

Dat is zinvol als u voor het eerst controleplichtig wordt, als u naar een ISAE 3402-rapport toewerkt, of als er een overname, financiering of due diligence aankomt waarbij iemand anders straks in uw administratie kijkt.

De uitkomst is een lijst met wat er nu niet aantoonbaar is en wat daarvoor nodig is, geordend naar wat het zwaarst weegt. Geen rapport van tachtig pagina's, maar iets waar u mee aan de slag kunt.

Governance en IT-governance

Wie beslist wat, op grond van welke informatie, en hoe wordt daarover verantwoording afgelegd? Bij organisaties die snel gegroeid zijn is dat vaak nooit expliciet gemaakt — het werkte, tot het niet meer werkte.

Wij helpen bij het scherp krijgen van rollen en verantwoordelijkheden, de informatievoorziening richting bestuur en toezicht, en de vraag welke beslissingen op welk niveau thuishoren. Bij IT-governance komt daar de relatie met leveranciers bij: wat is uitbesteed, wat is daarover afgesproken, en hoe weet u dat die afspraken worden nagekomen?

IT-risicomanagement

Risicomanagement dat blijft steken in een spreadsheet met kansen en gevolgen helpt niemand. De vraag die telt is: welke risico's raken de doelstellingen van deze organisatie, welke maatregelen zijn er, en werken die aantoonbaar?

Wij kijken naar de betrouwbaarheid van informatie — registratie, verwerking en beheersing, geregeld via logische toegangsbeveiliging, wijzigingenbeheer en continuïteitsmaatregelen — en naar de strategische inzet van IT: hoe gebruikt de organisatie IT, en hoe wordt er samengewerkt met leveranciers?

De grens die wij bewaken

Advies en controle laten zich niet onbeperkt combineren. Wij mogen niet adviseren over iets waar wij vervolgens een oordeel over geven, en dat is geen formaliteit: het is precies de waarborg die onze verklaring waarde geeft.

Wij zeggen daarom aan het begin van een gesprek welke combinaties kunnen en welke niet. Liever een opdracht die wij niet aannemen dan een verklaring waar later iets op af te dingen valt.