Continuous auditing en de (veranderde) rol van de IAD ... - Lime Tree

de basis voor de financiële verantwoording. Aldus is er geen
ruimte voor interpretatieverschillen, omdat vanuit een verantwoordingsperspectief
en vanuit een control effectivenessperspectief
naar dezelfde basisgegevens wordt gekeken.
Een pragmatische aanpak voor de implementatie
De toepassing van CM biedt de auditor de mogelijkheid de audit
efficiënter en effectiever in te richten. Om gebruik te kunnen
maken van de resultaten van CM is het van belang dat de auditor
reeds bij de implementatie van de CM-toepassing betrokken is.
Zo kan worden bewaakt dat voldaan wordt aan de eisen waaraan
de CM-toepassing vanuit auditperspectief moet voldoen. Hiertoe
is het van belang dat de auditor begrijpt hoe de implementatie
van een CM-toepassing verloopt.
Het implementatietraject van een CM-toepassing wordt gekenmerkt
door het iteratieve karakter. In feite gaat het om het nemen
van kleine stappen op weg naar de juiste oplossing, waarbij het
van groot belang is een helder einddoel voor ogen te hebben. De
volgende stappen moeten mimimaal onderkend worden in een
CM-traject:
Prototype
In het traject richting een goed draaiende oplossing is het nuttig eerst
een prototype te realiseren. Er zijn twee belangrijke voordelen van
een dergelijke benadering: a) de mensen in de organisatie doorlopen
een steile leercurve en zijn daarom steeds beter in staat om doelstellingen
te formuleren omdat ze grip hebben op de transactiestromen
en b) inzicht in de transactiestromen helpt enorm bij het verfijnen van
resultaten. Overigens is het zaak om het prototype niet direct als definitieve
CM-oplossing in te zetten. Immers, een robuuste oplossing
vereist een bepaalde mate van beheersing van de oplossing zelf, iets
dat bij een prototype veelal achterwege gelaten wordt.
Continuous auditing
1. bepaal de visie op interne controle;
2. inventariseer de omgeving,
3. haal gegevens op;
4. analyseer transacties en transactiestromen;
5. rapporteer;
6. realiseer de CM-omgeving.
De eerste 5 stappen hebben betrekking op het realiseren van een
ad-hocrapportage op basis van beschikbare gegevens. In stap 6
wordt van de ad-hocrapportage een draaiende CM-omgeving
gemaakt. De stappen worden hierna kort uitgewerkt.
Visie op en doelstelling van interne controle
Een van de ontbrekende elementen is veelal het concreet maken
van de doelstellingen. Een visie op interne controle waarin de
doelstelling expliciet is opgenomen, moet duidelijk maken wat
de belangrijkste elementen zijn voor het interne controleraamwerk,
met welke periodiciteit gedemonstreerd moet worden dat
de controls werken en op welke wijze hierbij technologie ingezet
kan worden. De visie moet bijdragen aan een beeld over de mate
waarin gegevens uit bestaande processen en systemen moeten
worden hergebruikt.
Inventariseer de omgeving
De omgeving is een belangrijk onderdeel van de uiteindelijke
oplossing. Het gaat om het snappen welke processen belangrijk
zijn, het snappen hoe die processen aan elkaar gelinkt zijn en het
in kaart brengen van systemen die een rol spelen binnen deze
processen. Op basis van deze informatie kan doelgericht gekeken
worden naar de beschikbare data door in kaart te brengen in
welke databases de transacties worden vastgelegd en hoe er
wordt omgegaan met geaggregeerde informatie. Het resultaat van
deze stap is een proces- en systeemschets. Op hoofdlijnen is het
door deze stap mogelijk aan te duiden welke criteria worden
gehanteerd om gegevens op te halen en uit welke tabellen deze
gegevens afkomstig moeten zijn. Tevens moet helder worden
over welke periode gegevens moeten worden opgehaald.
Integrated control
Een actuele ontwikkeling in de markt is integrated control. CM kan
goed geïmplementeerd worden in relatie tot integrated control. De
combinatie met integrated control biedt voordelen omdat er in een
integrated controltraject vanuit een risicoanalyse wordt gebouwd
aan een controleraamwerk. Afhankelijk van de interne en externe
eisen zal een aantal controlemaatregelen in het raamwerk periodiek
beoordeeld moeten worden op effectiviteit. Een CM-oplossing kan
hierbij een zeer efficiënte oplossing bieden.
Haal gegevens op
De voorgaande stap maakt het mogelijk om aan de IT-organisatie
uit te leggen welke gegevens ontsloten moeten worden. Tevens
biedt het mogelijkheden om via de proceseigenaar specifieke
AUDIT magazine
nummer 5 december 2008
21