Deze scriptie is geschreven door beide op persoonlijke titel

§4.2 Vergelijking met IT-control framework SOxOns onderzoek richt zich op de grote ondernemingen. De meeste hiervan zijn bekend met SOx,hebben SOx geïmplementeerd of zijn zelfs SOx-plichtig. De Douane wil steunen op de beheersingsmaatregelendie de onderneming heeft genomen. Interessant zijn daarom de mogelijkeoplossingen die andere onderzoekers hebben aangedragen voor IT-governance. Wij verwijzenin dit kader naar een onderzoek van A. Shahim. In zijn boek IT governance Attestation (2009)beschrijft hij een IT-control framework met daarin de IT-beheersdoelstellingen voor SOx (Shahim,2009). Dit IT-control framework is in onderstaande tabel samengevat weergegeven:CobitprocesAI2AI3AI4AI6AI7DS1DS2DS5DS8DS9DS10DS11DS12DS13IT-beheersdoelstellingAcquire and maintain application softwareAcquire and maintain technology infrastructureEnable operationsInstall and accredit solutions and changesManage changesDefine and manage services levelsManage third-party servicesEnsure system securityManage service desk and incidentsManage configurationManage problemsManage dataManage the pysical environmentManage operationsTabel 8: Overzicht Beheersdoelstellingen en Cobit-processen voor SOx (Shahim, 2009)Indien wij een vergelijking maken tussen de geselecteerde Cobit-processen uit tabel 7 (paragraaf4.1) met de geselecteerde Cobit-processen in relatie tot SOx (zie tabel 8) blijkt, dat er eengroot aantal overeenkomsten en slechts een klein aantal verschillen zijn. De verschillen zijnhieronder in tabel 9 weergegeven. De ‘X’ in kolom DSA of kolom SOx geeft aan dat het Cobitprocesvoorkomt in de bijbehorende tabel voor DSA respectievelijk SOx.COBIT 4.1DSASOxPO2 Define the information architecture XPO9 Assess and manage IT risk XDS8 Manage service desk and incidents XME3 Ensure compliance with external requirement XME4 Provide IT governance XTabel 9: Overzicht verschillen Cobit-processen voor DSA en SOxIndien proces DS8, service desk en incidenten, inhoudelijk wordt beoordeeld dan ziet dit procestoe op efficiency en effectiviteit. Dit zijn criteria die wij in paragraaf 3.3 hebben uitgesloten. Overigensstaan incidenten in relatie met proces DS10: problem manage problems. Dit laatste proces hebben wijwel meegenomen in het IT-control framework.42