804_scriptie_tjeerdsma_blokker_definitieve versie - Vurore

De algemene normen die gehanteerd worden door de IT auditor en de operational auditor zijn daadwerkelijk
verschillend. De normen die bij IT auditing worden gehanteerd zijn vooral gericht op de IT. Zo vindt
bijvoorbeeld CobiT zijn oorsprong vanuit het oogpunt van het beheren van de informatietechnologie en is ITIL
een beheermethodiek die gebruikt wordt in IT organisaties. Normenkaders gebaseerd op CobiT en ITIL zijn
vooral geschikt voor proces audits, zoals de General IT Controls audits. De algemene normen die gehanteerd
worden bij operational auditing zijn gericht op de beheersing van de bedrijfsvoering en de bedrijfsprocessen in
het algemeen. Het COSO-raamwerk is bijvoorbeeld met name van toepassing voor de organisatiebeheersing,
terwijl het KAD-model zich richt op procesbeheersing.
Naast Proces audits vinden er binnen IT audit ook specialistische IT audits plaats, bijvoorbeeld naar de operating
systems. Deze audits zijn product gericht, waarbij geen algemene normen gehanteerd kunnen worden, behalve
ten aanzien van de informatiebeveiliging. Evenals bij IT auditing, zal ook bij een product gerichte operational
audit geen gebruik gemaakt kunnen worden van algemene normen maar zullen de normen op het betreffende
product moeten worden afgestemd.
Hoewel vanuit de literatuur de normenkaders van IT auditing en operational auditing verschillen, betekent het
natuurlijk niet dat de IT en operational auditor niet ‘elkaars’ normen kunnen gebruiken. Alles hangt af van welk
object zij willen beoordelen. Indien een operational auditor een IT-matig proces wil beoordelen, zal ook voor
hem een (algemene) IT norm het meest geschikt zijn. En wanneer een IT auditor naar algemene organisatie
aspecten wil kijken zou bijvoorbeeld COSO geschikt kunnen zijn. Het normenkader gebaseerd op Prince2 kan
ook door zowel een IT als een operational auditor worden gebruikt. Zoals reeds aangegeven is Prince2 een
project methodiek en deze wordt niet specifiek binnen de IT gebruikt. Een dergelijk normenkader is derhalve
geschikt voor het auditen van ieder project, met of zonder IT componenten.
5.5 Audit fases
Zoals beschreven in Hoofdstuk 2 kent ieder type audit een aantal fases, ongeacht of het een IT of een operational
audit betreft. De in dat hoofdstuk beschreven fases zijn gebaseerd op het zes stappenmodel van Driessen en
Molenkamp (2004) en zijn van toepassing voor zowel IT als operational auditing.
De zes stappen, of fases, zien er daarbij als volgt uit:
1. De planningfase: Hierin wordt de jaarplanning gemaakt, met daarin de objecten van onderzoek, de
auditees, de audit doelstellingen, wanneer de audits moeten worden uitgevoerd en de benodigde audit
capaciteit;
2. De vooronderzoekfase: Het ten behoeve van een specifieke audit verzamelen van informatie over
bijvoorbeeld het beleid van de organisatie, de aan het onderzoeksobject gestelde eisen en de
kaderstellingen zoals de regelgeving. Tijdens deze fase wordt ook de audit aangekondigd bij de
proceseigenaar;
3. De veldwerkfase: Het verzamelen van gegevens welke nodig zijn om de bevindingen te formuleren,
conclusies te trekken en aanbevelingen ter verbetering te kunnen doen;
4. De rapportagefase: Het opstellen van het rapport met daarin de bevindingen, conclusies, aanbevelingen
en een actieplan voor het management. In deze fase wordt tevens in overleg met de auditees, de
proceseigenaar en de opdrachtgever vastgesteld of de bevindingen van de auditors correct en volledig
zijn;
5. De evaluatiefase: De evaluatie vanuit de audit afdeling zelf, ten aanzien van de uitgevoerde audit en de
feitelijke inhoud van de audit;
6. De follow-up: Het controleren of het actieplan daadwerkelijk is uitgevoerd door het verantwoordelijk
management.
25