IT-audit

Vrijwel elk cijfer in een jaarrekening komt uit een systeem. Of dat cijfer klopt, hangt dus af van de vraag of dat systeem te vertrouwen is: of de gegevens compleet zijn binnengekomen, of niemand ze buiten de reguliere weg om heeft kunnen wijzigen, en of de berekeningen doen wat ze horen te doen.

Die vraag is een vak apart. Bij Statements zit dat vak in huis en niet bij een partij die wij inhuren.

Waar wij naar kijken

Logische toegangsbeveiliging. Wie kan bij welke gegevens, en wie heeft dat toegekend? De klassieke bevindingen zijn hardnekkig: beheerdersaccounts die door meerdere mensen worden gedeeld, medewerkers die na een functiewissel hun oude rechten houden, en accounts van mensen die al maanden uit dienst zijn. Bijzondere aandacht gaat naar functiescheiding — of één persoon een betaling zowel kan aanmaken als goedkeuren.

Wijzigingenbeheer. Hoe komt een wijziging van idee tot productie? Wordt er getest, wie geeft akkoord, en kan een ontwikkelaar rechtstreeks in de productieomgeving? Als dat laatste kan, is elke andere maatregel omzeilbaar.

Continuïteit. Back-ups die gemaakt worden zijn niet hetzelfde als back-ups waarvan is aangetoond dat ze teruggezet kunnen worden. Wij vragen naar de laatste keer dat dat daadwerkelijk is beproefd.

Betrouwbaarheid van de gegevensverwerking. Interfaces tussen systemen, geautomatiseerde berekeningen, en de controles die aanslaan als er iets niet aansluit.

Wanneer u dit nodig heeft

Soms omdat het moet: als onderdeel van de jaarrekeningcontrole, of omdat een klant of toezichthouder erom vraagt.

Vaker omdat er iets speelt. U migreert naar een nieuw ERP-pakket en wilt weten of de conversie klopt voordat de oude omgeving uitgaat. U bent overgestapt naar de cloud en de oude beheersmaatregelen sluiten niet meer aan. Er is een incident geweest en de vraag is wat er nog meer openstaat. Of u wilt gewoon weten hoe u ervoor staat, voordat iemand anders het u vertelt.

Wat u niet van ons krijgt

Wij implementeren niet wat wij vervolgens beoordelen, en wij leveren geen rapport waarin staat dat u een pakket zou moeten aanschaffen waar wij belang bij hebben. Onafhankelijkheid is geen formaliteit maar de reden dat ons oordeel iets waard is.

Wat u wel krijgt is een bevindingenrapport waarin per punt staat wat het risico is, hoe zwaar wij het wegen en wat een reële oplossing zou zijn — in gewone taal, zodat het ook buiten de IT-afdeling te lezen is.