804_scriptie_tjeerdsma_blokker_definitieve versie - Vurore

IT auditing Operational auditing
Proces- Strategie van de organisatie Strategie van de organisatie
audit
Inrichting van de bedrijfsprocessen:
- Processen binnen systeem ontwikkeling,
- Processen m.b.t. beheer technische infrastructuur
Inrichting van de bedrijfsprocessen
Wet- en regelgeving Wet- en regelgeving
Beheersing van de IT organisatie:
- Organisatie en structuur van systeem ontwikkeling;
- Organisatie en beheer van technische infrastructuur
- Organisatie m.b.t. toegangsbeveiliging
Beheersing van de organisatie of een afdeling
Product- audit Projectrealisatie Projectrealisatie
Realisatie organisatiedoelstellingen
Producten:
Producten:
- Computerprogramma’s;
- Besturingssystemen;
- Databases;
- Datacommunicatie systemen
- Organisatiespecifieke producten
Uitvoering van specifieke processen:
Uitvoering van specifieke processen:
- Externe en logische toegangsbeveiliging;
- Organisatiespecifieke processen;
- Fysieke beveiliging
- Logische toegangsbeveiliging;
- Fysieke beveiliging
Forensische audit Forensische audit
Figuur 4: De objecten van onderzoek bij IT en operational auditing
Als wij verder kijken naar de meer concrete uitwerking van de objecten in dit overzicht, dan lijken zij op het
eerste oog bij de twee vakgebieden meer verschil te vertonen. De reden hiervan is dat een aantal objecten niet op
dezelfde manier worden uitgewerkt of geconcretiseerd: Bij IT auditing worden de objecten inrichting van de
bedrijfsprocessen en beheersing van de organisatie of een afdeling bijvoorbeeld wel geconcretiseerd, maar bij
operational auditing niet. Bovendien worden bij beide vakgebieden de objecten producten en uitvoering van
specifieke processen anders uitgewerkt. Ook deze verschillen in specificaties die wij in de onderzochte literatuur
hebben aangetroffen, zullen in de praktijk niet werkelijk zo strikt van toepassing zijn.
Dat wil zeggen dat de verdere uitwerkingen van de objecten inrichting van de bedrijfsprocessen en beheersing
van de organisatie of een afdeling zoals die zijn genoemd bij IT auditing evengoed van toepassing kunnen zijn
voor operational auditing en er anderzijds uitwerkingen zijn te noemen voor operational auditing die op hun beurt
ook van kracht kunnen zijn voor IT auditing.
De reden hiervan is dat bij een (operational) audit naar de inrichting van de bedrijfsprocessen of de beheersing
van de organisatie IT een zeer wezenlijk onderdeel van de audit zal uitmaken. Bij het uitvoeren van een
operational audit naar bijvoorbeeld de bedrijfsprocessen, kunnen de ondersteunende systemen namelijk niet
buiten beschouwing worden gelaten en bij een audit naar de totstandkoming van een organisatiespecifiek product
zal ook gekeken moeten worden hoe het productie proces wordt beïnvloed door de systemen. Aangezien IT van
nature onderdeel is van een groter geheel, namelijk van de organisatie die zij ondersteunt, zal bij een IT audit
nooit alleen naar de IT specifieke objecten worden gekeken, maar zullen ook aanverwante aspecten onderdeel
van de audit uitmaken. Zoals de bedrijfsprocessen die de systemen ondersteunen, de gebruikersorganisatie
waarop de beveiligingsinstellingen betrekkingen hebben en de strategie van de organisatie als geheel welke
bepaalt hoe men IT wil inzetten.
Op basis van bovenstaande kunnen we derhalve concluderen dat de onderzoeksobjecten bij IT en operational
auditing sterk overeenkomen, ondanks dat ze vanuit een verschillende optiek starten. Namelijk IT auditing vanuit
de informatiesystemen en de organisatie omtrent de informatiesystemen, en operational auditing vanuit de
organisatie en de bedrijfsvoering in het algemeen.
5.3 Aspecten
Auditing is het vanuit een bepaalde invalshoek toetsen van de werkelijkheid aan vooraf opgestelde objectieve
normen. Deze invalshoek bestaat uit de aspecten die binnen een audit worden gehanteerd. Zoals we al hadden
gezien, geldt dit voor alle soorten van auditing, dus ook voor IT en operational auditing.
23