Titelblad

‘accounts’ inlogt in de applicatie kan een ‘tricker’ in werking gesteld worden zodat gekeken kanworden wat er met het account wordt gedaan en of het via de formele procedure verloopt.CCM voor ‘manual / IT-dependent manual controls’De bedrijfsprocessen in een geautomatiseerde omgeving worden ondersteund doorinformatiesystemen, waarbij een steeds groter deel van de interne controlemaatregelen isondergebracht in die systemen. Niet meer tekenen voor ontvangst van goederen op een papiertje,maar alles gebeurt in het systeem (ERP), is hier een voorbeeld van. Een onderneming kan nogeen stap verder gaan. Om na te gaan of de ‘controls’ in het systeem effectief zijn, kan eenonderneming gebruik maken van CCM.CCM voor ‘application controls’Volgens de regelgeving (met name van de PCAOB 35 met zijn Auditing Standard no.2 van maart2004) zijn er enkele methoden om de werking van ‘application controls’ vast te stellen. Enerzijdskan de auditor gebruikmaken van de resultaten van een gebruikerstest. Een nadeel is dat dezevaak geruime tijd geleden is uitgevoerd en moeilijk kan worden achterhaald. Anderzijds kan mende tests opnieuw uitvoeren. Een nadeel is dat hiervoor vaak een testomgeving moet wordeningericht, wat veel tijd en geld kan kosten. Een andere optie kan zijn om de programmacode telaten beoordelen. Een nadeel is dat deze code vaak complex is. In de PCAOB richtlijnen issimulatie/heruitvoering met behulp van data-analyse ook een optie om de werking van‘application controls’ vast te stellen. CCM maakt gebruik van data-analyse oplossingen en hierbijkan het gebruik van data analyse gezien worden als een ‘dual-purpose’: enerzijds wordt eenoordeel verkregen over de werking van de interne controle (bijvoorbeeld door herberekening) enanderzijds wordt tevens een beeld verkregen van de concrete uitkomsten van de controle.3.3 Invloed op de mate van zekerheid“Het is praktisch onmogelijk om de mate van zekerheid van een oordeel van een IT Audit tekwantificeren” 36 . Men maakt een onderscheidt in opdrachten gericht op het verschaffen van eenredelijke mate van zekerheid en een beperkte mate van zekerheid.Opdrachten met een redelijke mate van zekerheid zijn situaties waarin de IT-Auditor toereikendbewijsmateriaal heeft verkregen om te kunnen oordelen dat er geen materiële afwijkingen in hetproces zijn. Bij opdrachten met een beperkte mate van zekerheid heeft de IT-Auditor niet kunnenvaststellen of er materiële afwijkingen in het proces zijn.De opdrachten met een redelijke mate van zekerheid worden in de accountancy aangeduid met determen ‘audit’ en controle. De opdrachten met een beperkte mate van zekerheid wordenaangeduid met de termen ‘review’ of beoordeling.35 PCAOB: Public Company Accounting Oversight Board36 Grondslagen IT-auditing, R. Fijneman, E. Lindgreen, P. Veltman22