804_scriptie_tjeerdsma_blokker_definitieve versie - Vurore

estaan van de logische toegangsbeveiliging wordt veelal getoetst vanuit een veranderingsaudit. De werking van
de logische toegangsbeveiliging wordt primair getoetst door de operational auditors. De jaarrekening controle
wordt door externe audit organisaties uitgevoerd.
Departementale Audit Dienst Ministerie van Justitie
Bij de interne audit dienst van het Ministerie van Justitie, de ‘Departementale Audit Dienst’, werken ongeveer
40 medewerkers. Daarnaast kunnen ze aanspraak maken op 3.5 FTE uit de EDP audit pool en is er budget
beschikbaar voor het inhuren van externen. De audit dienst is ingedeeld in een drietal (klantgerichte) clusters. Bij
de Departementale Audit Dienst is er bewust voor gekozen om geen scheiding tussen operational en IT audit te
hebben, aangezien dat beter is voor de carrière mogelijkheden van de auditors. Als voordelen voor de scheiding
worden onder andere genoemd de mogelijkheid van het uitvoeren van geïntegreerde audits en het klantgericht, in
plaats van productgericht, inrichten van de audit functie. Nadelen die worden genoemd zijn het moeilijk
onderhouden van kennis en het ontbreken van inzicht in de optimale inzet van de (kennis van de) medewerkers.
Hoewel er bij de Departementale Audit Dienst geen functioneel onderscheid is tussen IT en operational auditors,
worden audits waarbij specialistische IT kennis nodig is toch voornamelijk uitgevoerd door IT auditors. De audits
naar General IT Controls worden uitgevoerd door de IT auditors van de Departementale Audit Dienst. Het komt
zelden voor dat een operational auditor een audit naar General IT Controls uitvoert. Hetzelfde geldt voor de
logische toegangsbeveiliging. Er worden vrij veel project audits uitgevoerd en tevens vindt de jaarrekening
controle plaats. Deze laatste wordt vooral door extern ingehuurde auditors uitgevoerd.
6.3.2 Normen
Onderstaand overzicht geeft schematisch weer welke normenkaders de twee audit diensten gebruiken:
Group Audit ABN AMRO Departementale Audit Dienst Ministerie van Justitie
Algemene normenkaders IT audit: CobiT
Operational audit: COSO
ITIL, CobiT en COSO
Interne normenkaders Interne ABN AMRO regels Voorschrift Informatiebeveiliging Rijksdienst (VIR)
Handboek Auditing Rijksoverheid
Audit programma’s Standaard, centraal opgestelde audit
programma’s toegesneden op audit
Geen standaard audit programma’s
Figuur 9: Overzicht van de gebruikte normenkaders binnen ABN AMRO en het Ministerie van Justitie
Group Audit ABN AMRO
Bij Group Audit vindt iedere audit plaats op basis van een, op de audit toegesneden, audit programma. Bij
operational audit wordt COSO als algemeen normenkader gebruikt. Bij IT audit wordt CobiT als vertrekpunt en
als referentie voor de toetsing van de volledigheid van het audit programma gebruikt. In beide gevallen geldt dat
deze algemene normenkaders niet worden gehanteerd als richtinggevende normen. Andere toetsingscriteria die
binnen ABN AMRO Bank worden gebruikt zijn de eigen ABN AMRO regels, algemene sound practices zoals
ITIL, de richtingbepalende criteria die komen van de Nederlandse Vereniging van Banken en de sound practices
uit het vakgebied zelf, zoals de ISACA, de NOREA en de NIVRA.
Departementale Audit Dienst Ministerie van Justitie
Bij de Departementale Audit Dienst worden als algemeen normenkader ITIL, CobiT en COSO gehanteerd.
Daarnaast is er het Voorschrift Informatiebeveiliging Rijksdienst (VIR). Dit is het interne normenkader dat is
gebaseerd op de Code voor Informatiebeveiliging. De Departementale Audit Dienst maakt geen gebruik van
standaard audit programma’s. Wel is er een handboek Auditing Rijksoverheid waarin richtlijnen zijn opgenomen
voor het uitvoeren van audits, zowel met betrekking tot de jaarrekeningcontrole als met betrekking tot de overige
audits (IT en operational audits).
6.3.3 De audit planning
Group Audit ABN AMRO
Binnen Group Audit is er een verschil tussen het opzetten van de planning van operational audits en het opzetten
van de planning van de IT audits. De (regionale en centrale) operational audit teams bepalen zelfstandig hun
planning op basis van risico analyses, terwijl er bij IT Audit centrale thema’s/objecten zijn bepaald die regionaal
31