804_scriptie_tjeerdsma_blokker_definitieve versie - Vurore

Andere toetsingscriteria die binnen ABN AMRO Bank worden gebruikt zijn:
• De eigen ABN AMRO regels;
• De sound practices die ook voor de bank kunnen gelden, zoals ITIL en de richtingbepalende criteria
die komen van de Nederlandse Vereniging van Banken;
• De sound practices uit het vakgebied zelf, zoals de ISACA, de NOREA en de NIVRA.
Bij scheiding IT en operational audit:
1. Wat zijn de voor en de nadelen?
Binnen Group Audit is er altijd een scheiding geweest tussen IT en operational audit. Hans is er ook een groot
voorstander van. Zie ook zijn antwoord bij vraag 2 bij Interne audit organisatie.
2. Welke type IT/operational audits vinden er plaats? En welke andere werkzaamheden (advies, speciale
onderzoeken, due diligence, sox, sas, etc)
Binnen Group Audit vinden naast de eerder genoemde audits op de bestaande en op de veranderingssituatie, ook
andere werkzaamheden plaats. Het gaat dan om onder andere sox testen, speciale onderzoeken en due diligence
onderzoeken.
3. Is er een onderscheid binnen IT en operational audit (bijv. technical vs system, en proces en projecten, etc)?
Zoals eerder aangegeven is er binnen IT audit een onderscheid tussen technical en system auditors en is er in het
algemeen een onderscheid tussen audits op de bestaande situatie en op projecten. Daarnaast is er sprake van
ander type specialisten, zoals specialisten met betrekking tot Finance, Risk en Compliance. Deze verschillen
komen ook terug in de deskundigheidseisen (diploma’s en certificeringen) en het demonstreren en onderhouden
van die deskundigheid.
4. Worden er General IT audits gedaan en door wie?
De General IT audits worden in eerste instantie uitgevoerd door de technical auditors. Daar waar de system
auditors General IT Controls meenemen in hun audits, dienen zij met de technical auditors af te stemmen en te
toetsen of het nodig is dat zij dat doen en of zij het op de juiste wijze doen. De zuivere afdekking van een gebied
en de eventuele overlap wordt niet bewaakt. Het is aan de competentie van de auditor om in te schatten hoe
hiermee om te gaan.
5. Wie controleert de logische toegangsbeveiliging?
Volgens Hans wordt de opzet en het bestaan van de logische toegangsbeveiliging met name getoetst vanuit de
veranderingsaudits. Deze audits worden meestal uitgevoerd door een team van auditors, bestaande uit IT en
operational auditors. De werking van de logische toegangsbeveiliging wordt primair door de operational auditors
getoetst.
6. Vinden er gezamenlijke audits plaats? In welke gevallen?
Hans geeft aan dat gezamenlijke audits een kwestie van definitie is. In principe is 30% van de tijd van de IT
auditor gereserveerd voor participatie in operational audits, in verband met de wisselwerking vanuit de
ervaringsuitwisseling en in verband met het behalen van een efficiency voordeel. Daarnaast vinden er
gezamenlijke audits plaats zoals de landen audits, de veranderingsaudits en audits op speciale projecten
(bijvoorbeeld Basel II).
7. Hoe zit het met de overlap gebieden, qua afstemming? Komt dit terug in de audit programma’s?
Er is geen afstemming of bewaking met betrekking tot mogelijke overlap. Het is aan de regionale
verantwoordelijke en het vaktechnische inzicht van de auditor om dit te doen.
Binnen IT Audit worden op centraal niveau de audit programma’s voor de IT infrastructuur bewaakt door het
zogenaamde Shared Services Counsel. Zij bepalen de inhoud en het model waarin de audit programma’s moeten
passen (bijv. CobiT en ITIL). De input voor deze programma’s komt in principe van de specialisten.
41