804_scriptie_tjeerdsma_blokker_definitieve versie - Vurore

3.3.3 Normen
Zoals reeds eerder beschreven, zijn normen nodig om de werkelijkheid te kunnen vergelijken met een criterium
waarover vooraf afspraken zijn gemaakt. Volgens Van Praat en Suerink (2004) kan er onderscheid worden
gemaakt tussen uitvoeringsnormen en toetsingsnormen. Uitvoeringsnormen geven voorschriften over de wijze
waarop audit uitgevoerd moeten worden. In de statuten, reglementen, richtlijnen en aanbevelingen van de
NOREA zijn de belangrijkste uitvoeringsnormen vastgelegd.
Toetsingsnormen zijn normen op basis waarvan het audit object wordt beoordeeld.
Algemene, veel gebruikte toetsingsnormen binnen de IT zijn CobiT, ITIL, Code voor Informatiebeveiliging,
Capability Maturity Model en Prince2. Normen vanuit de wetgeving zijn bijvoorbeeld de Wet Bescherming
Persoonsgegevens en de Wet Computercriminaliteit.
CobiT is ontwikkeld vanuit een audit oogpunt voor het beheren van de informatietechnologie in organisaties.
CobiT is opgebouwd uit een viertal domeinen, binnen deze domeinen zijn diverse processen en activiteiten
gedefinieerd.
ITIL (Information Technology Infrastructure Library) heeft als doel het bieden van ondersteuning bij het
verbeteren van de efficiency en effectiviteit van de IT dienstverlening en het beheer van de IT Infrastructuur in
organisaties. ITIL bestaat uit 7 sets op strategisch, tactisch en operationeel niveau. In de praktijk zijn meestal de
Service Delivery en Service Support sets binnen een IT organisatie geïmplementeerd.
De Code voor Informatiebeveiliging is oorspronkelijk ontwikkeld in het Verenigd Koninkrijk waar een aantal
grote organisatie in het bedrijfsleven hun dagelijkse praktijk t.a.v. informatiebeveiliging hebben vastgelegd. Deze
vastlegging (Code of Practice for Information Security) is later door het ministerie van Economische Zaken en in
samenwerking met een groep bedrijven en organisaties in Nederland overgenomen. Inmiddels is de Code voor
Informatiebeveiliging een algemeen aanvaarde standaard als het gaat om informatiebeveiliging. De code heeft als
doel het verschaffen van een gemeenschappelijke basis voor bedrijven van waaruit deze effectieve codes voor
informatiebeveiliging kunnen ontwikkelen, implementeren en meten en daarnaast het bevorderen van het
vertrouwen in het handelsverkeer tussen bedrijven.
Het Capability Maturity Model (CMM) is een model dat gebruikt wordt om verschillende niveaus in
volwassenheid van het systeemontwikkelingsproces aan te merken. CMM bestaat uit 5 niveaus en ieder niveau
bevat een reeks procesdoelen die kenmerkend zijn voor de betreffende fase van het systeemontwikkelingsproces.
Prince2 is een procesmethodiek en heeft als doel het bieden van een structuur met richtlijnen en hulpmiddelen
voor het beheerst opstarten, uitvoeren en afronden van projecten. Prince2 bestaat uit een achttal hoofdprocessen
en een achttal componenten.
3.4 De IT auditor
3.4.1 Beroepsorganisatie
De NOREA is de beroepsorganisatie voor IT auditors. De NOREA waakt over de deskundigheid van haar leden
en bindt hen tevens aan regels voor de beroepsuitoefening. De NOREA kent op dit moment 1300 leden en ruim
500 aspirant leden.
Toelating tot de NOREA is mogelijk wanneer een kandidaat is afgestudeerd aan een erkende (post) universitaire
opleiding tot IT auditor en daarnaast over minimaal 3 jaar beroepservaring beschikt. Na inschrijving mogen de
kandidaten de beschermde deskundigheidsaanduiding ‘RE’ voeren.
Volgens het jaarboek 2006/2007 van de NOREA is de doelstelling van deze organisatie drieledig:
1. Het bevorderen van de kwaliteit van de beroepsuitoefening door de leden. De NOREA werkt deze
doelstelling als volgt uit:
• Beroepsreglementering: alle RE’s dienen zich te houden aan de Gedrags- en Beroepsregels
(‘Code of Ethics’) en de daaruit voortvloeiende nadere beroepsreglementering in de vorm van
13