804_scriptie_tjeerdsma_blokker_definitieve versie - Vurore

zijn. Objectieve normen zijn gebaseerd op algemeen aanvaarde en geldende theorieën. Subjectieve normen
worden bepaald door een persoon of een groep en zijn derhalve niet geheel vrij van persoonlijke beïnvloeding.
De normen die tijdens een audit worden gebruikt dienen altijd objectief te zijn.
Vervolgens kan er binnen de (objectieve) normen onderscheidt gemaakt worden tussen uitvoeringsnormen en
toetsingsnormen. Uitvoeringsnormen geven voorschriften over de uitvoering van een audit. Toetsingsnormen zijn
normen op basis waarvan het audit object wordt beoordeeld (Van Praat en Suerink, 2004). Hierbij kan worden
gedacht aan wettelijke normen, richtlijnen en aanbevelingen. Behalve de voorgaande normen kan er ook
onderscheid gemaakt worden tussen productnormen en procesnormen. Productnormen zijn de criteria waaraan
een product moet voldoen. Procesnormen worden op het niveau gehanteerd van het proces waar een individueel
product wordt gerealiseerd.
2.3.4 Audit fases
Iedere type audit, of het nu bijvoorbeeld een IT of een operational audit is, kent een aantal fases. Er zijn
verschillende modellen waarin deze fases worden uitgewerkt. Een overzichtelijk model is het zes stappenmodel
van Driessen en Molenkamp (2004), dat er als volgt uit ziet:
Planning
Vooronderzoek
Figuur 1: Zes stappenmodel van Driessen en Molenkamp
Veldwerk Evaluatie
Rapportage Follow-up
Binnen dit model kunnen de zes stappen volgens hen niet los van elkaar worden gezien. Ze lopen in elkaar over
en terugkoppelingen zijn altijd mogelijk als gevolg van bepaalde bevindingen. Alleen ten aanzien van veldwerk
en rapportage moet volgens Driessen en Molenkamp voorzichtigheid worden betracht ten aanzien van het
hanteren van een dergelijk iteratief proces.
Hieronder volgt een beschrijving van de zes stappen zoals zij die definiëren:
De planningsfase begint volgens hen met het audit jaarplan. Daarin moet in ieder geval worden aangegeven wat
de objecten van onderzoek zullen zijn, wie de auditee is, wat de audit doelstellingen zullen zijn, wanneer de
audits moet worden uitgevoerd en welke audit capaciteit zal moeten worden aangewend. Op basis van dit
jaarplan wordt vervolgens voor iedere afzonderlijke audit een gedetailleerde audit plan opgesteld, waarin voor die
audit wordt uitgewerkt hoe de auditors de audit zullen uitvoeren. Dit audit plan is gebaseerd op het jaarplan, de
uitkomsten van desk research en de reeds aanwezige kennis en ervaring met het object van onderzoek.
In de vooronderzoekfase verzamelen de auditors informatie over het geldende beleid van de organisatie, de aan
het object te stellen eisen en de kaderstellingen zoals regelgeving en systemen. Het gaat hierbij dus om zowel
algemene, organisatie gerichte informatie (bijv. organisatieschema en de centrale regels) als om object specifieke
informatie (bijv. functie-, product- en systeembeschrijvingen, rapportages, procedures en contracten). Uit de
verzamelde gegevens moeten bovendien die maatstaven en maatregelen worden geselecteerd die iets zeggen over
de te verwachten kwaliteit van beheersing van het onderzoeksobject, en die de normen vormen voor het
management. Normen die de auditor kan gebruiken voor zijn oordeelsvorming. Met behulp van deze verzamelde
informatie kan de auditor ook zelf een referentiemodel opstellen, waarin hij de gewenste beheersingssituatie van
het onderzoeksobject schetst. Dit model moet wel met het management worden afgestemd voordat het veldwerk
begint.
Een ander onderdeel van de vooronderzoekfase betreft volgens Driessen en Molenkamp de aankondiging van de
audit. Hiermee worden de proceseigenaar, het betrokken management en de medewerkers op de hoogte gesteld
van de inhoud en de doorlooptijd van de geplande audit. Voor deze fase moet voldoende tijd worden vrijgemaakt,
aangezien de resultaten hiervan (namelijk inzicht in doelstellingen en uitgangspunten en een normenkader)
noodzakelijk zijn om de volgende fase, het veldwerk, te kunnen starten.
7