Deze scriptie is geschreven door beide op persoonlijke titel

Hoofdstuk 4IT control frameworkIn dit hoofdstuk introduceren wij het IT-control framework voor de DSA, een model bestaandeuit beheersdoelstellingen en illustratieve beheersmaatregelen. Het model is algemeen toepasbaarvoor ondernemingen en Douane en dient eerst specifiek te worden gemaakt voor de situatievan de onderneming waarna de normen kunnen worden geformuleerd.Voor het opstellen van het framework is gebruik gemaakt van het Cobit framework 4.1 36 . Inhoofdstuk 3 hebben wij onderzocht welke informatiecriteria voor ons onderzoek relevant zijn,namelijk: vertrouwelijkheid, integriteit, beschikbaarheid en compliance. Deze vier informatiecriteriavormen de input voor het opstellen van het IT-control framework.Op basis van deze vier informatiecriteria zijn de Cobit-processen geselecteerd en daarop zijn, inparagraaf 4.1, een tweetal onderbouwde verfijningen toegepast. Deze geselecteerde Cobitprocessenzijn vervolgens in paragraaf 4.2 vergeleken met het IT-control framework dat voorSOx is beschreven door Dr. A. Shahim RE. De verschillen en overeenkomsten tussen de beidemodellen worden in paragraaf 4.2 inzichtelijk gemaakt alsook de gevolgen hiervan voor onsonderzoek. Deze analyse resulteert in een overzicht (tabel 10) van relevante ITbeheersdoelstellingenwaaraan de eisen uit tabel 5 weer gekoppeld zijn. In paragraaf 4.3 is, opbasis van de relevante IT-beheersdoelstellingen het IT-control framework voor de DSA.§4.1 Bepalen van de relevante Cobit-processenCobit heeft 34 gedefinieerde IT-processen beschreven en die verdeeld over 4 domeinen (zievoor meer informatie bijlage 6). Om vast te stellen welke processen voor de DSA van belangzijn is eerst vastgesteld welke processen invloed hebben op de informatiecriteria vertrouwelijkheid,beschikbaarheid, integriteit en compliance. Hiertoe maakt Cobit bij elk proces gebruikvan de aanduidingen ‘P’ 37 en ‘S’ 38 . In bijlage 8 in tabel 29 is een totaaloverzicht gegeven vande Cobit-processen en de invloed ervan op de verschillende informatiecriteria. Deze tabel isvolledig gebaseerd op Cobit versie 4.1.Op basis van tabel 29 uit bijlage 8 is een eerste selectie van mogelijke relevante Cobitprocessengemaakt. De eerste selectie bevat alle Cobit-processen die een relatie hebben met éénof meer van de in de vorige alinea genoemde informatiecriteria. Het resultaat is in bijlage 8 tabel30 weergegeven.Een tweede verfijning heeft plaatsgevonden door een inhoudelijke beoordeling van de Cobitprocessengenoemd in tabel 30. Wij komen dan tot de conclusie dat de processen PO6 , PO8, AI5,DS3 , DS4, ME1 en ME2 niet van belang zijn voor de DSA. Hierna staat een korte toelichting perproces:36 Zie voor meer informatie over Cobit bijlage 637 De aanduiding ‘P’ staat voor primair en dat betekent dat het IT-proces direct van invloed is op het informatiecriterium38 De aanduiding ‘S’ staat voor secundair en dat betekent dat het IT-proces indirect of beperkt van invloed is op hetinformatiecriterium40