804_scriptie_tjeerdsma_blokker_definitieve versie - Vurore

Nadelen:
• Geen inzicht of de juiste kennis op de juiste plaats wordt ingezet. Op deze manier is er geen sprake van
optimalisatie van de kennis;
• Er is geen onderhoud van kennis. Door EDP auditors vaak in te zetten bij geïntegreerde audits is het
moeilijk om kennis uit te wisselen. Als EDP auditors in een team van EDP auditors werken is kennis
onderhoud en overdracht eenvoudiger.
2. Welke type audits vinden er plaats? En welke andere werkzaamheden (advies, speciale onderzoeken, due
diligence, sox, sas, etc)?
Binnen het Ministerie van Justitie worden veel adviesopdrachten uitgevoerd, met daarnaast veel speciale
onderzoeken naar bijvoorbeeld ketens en integriteit. Binnen het Ministerie van Justitie vinden geen due diligence
en Soxa audits plaats.
3. Wie voert welke type audit uit?
In de praktijk komt het er op neer dat de operationele audits door zowel operational als IT auditors worden
uitgevoerd. Audits met veel IT componenten worden toch door EDP auditors uitgevoerd, bijvoorbeeld een audit
naar de fysieke beveiliging van het datacentrum.
4. Is er specifieke kennis van IT nodig?
Specifieke IT kennis is binnen de Departementale Audit Dienst van het Ministerie van Justitie niet echt nodig. De
datacenters zijn voornamelijk gericht op midrange systemen, er zijn geen mainframes bijvoorbeeld. Hierdoor is
geen specialisatie van IT auditors noodzakelijk.
5. Wie voert de echte technische audits uit, bijv. firewall settings/netwerk/etc?
IT audits waarbij specialisme noodzakelijk is worden voornamelijk uitgevoerd door EDP auditors uit de EDP
pool. In het geval dat er geen resource beschikbaar is met het gewenste specialisme is het mogelijk om extern in
te huren. De EDP pool is opgebouwd uit specialisten, de Departementale Audit Dienst van het Ministerie van
Justitie is opgebouwd uit generalisten.
6. Worden er General IT audits gedaan en door wie?
Er worden door de Departementale Audit Dienst General IT audits uitgevoerd. De EDP auditors voeren deze
audits uit. Het komt zelden voor dat een operational auditor een General IT audit uitvoert.
7. Wie controleert de logische toegangsbeveiliging?
Evenals bij General IT controls, worden de EDP auditors ingezet op audits naar de logische toegangsbeveiliging.
8. Hoe zijn de audit programma’s opgesteld en hoe komen daar de verschillende disciplines in terug
(geintegeerd of specifiek)?
Bij de Departementale Audit Dienst worden geen standaard audit programma’s ontwikkeld en gebruikt. Bij
aanvang van een audit wordt een Plan van Aanpak opgesteld. In het Plan van Aanpak worden de objecten welke
geaudit dienen te worden meegenomen. Ook bij de jaarrekening controle wordt er geen gebruik gemaakt van een
standaard audit programma. Volgens Jan is standaardisatie complexer door de vele speciale onderzoeken welke
uitgevoerd worden. Wel is Jan van mening dat er standaard audit programma’s opgesteld en gebruikt zouden
moeten worden.
9. Welke eisen stelt u aan de medewerkers qua opleiding, ervaring, kennis, etc?
Bij de audit dienst wordt gesteld dat de vooropleiding op academisch niveau is, met een enigszins relevante
richting zoals Informatica, Bedrijfskunde etc. Vervolgens is het verplicht om een post doctorale audit opleiding te
volgen.
45