Continuous auditing en de (veranderde) rol van de IAD ... - Lime Tree

Drs. R. de Ruiter RE RA RO CISA
Continuous auditing
Continuous auditing: de impact op assurance,
Onder de naam Global Technology Audit Guides (GTAG) brengt The Institute of Internal Auditors leidraden uit over audit-
onderwerpen die samenhangen met de automatisering van bedrijfsprocessen. Al in 2005 publiceerde IIA Inc.
een derde leidraad met als titel ‘Continuous Auditing: Implications for Assurance, Monitoring and Risk
Assessment’. Naar aanleiding van het thema van dit nummer, Continuous auditing, heeft de redactie van
Audit Magazine een aantal collega’s om een reactie gevraagd. Twee ervan zijn in deze bijdrage verwerkt.
Continuous auditing als uitdaging
In de derde leidraad van het IIA is beschreven op welke wijze
het concept continuous auditing (CA) kan worden geïmplementeerd
in geautomatiseerde omgevingen. CA omvat alle methoden
en technieken die door auditors worden gebruikt voor het uitvoeren
van controlewerkzaamheden (inclusief beheersings- en risicobeoordeling)
op transacties op een meer continue basis.
Randvoorwaarde
Door het volgen van het beschreven stappenplan maakt de internal
auditor optimaal gebruik van de mogelijkheden die juist in
geautomatiseerde omgevingen door IT worden geboden. Wel
moet hiervoor aan een belangrijke randvoorwaarde zijn voldaan
in de vorm van sponsorship door het management. Dit is niet
alleen nodig omdat het toepassen van het CA-concept kan noodzaken
tot het doen van aanvullende investeringen in IT, maar juist
ook voor het verkrijgen van directe toegang tot de geautomatiseerde
systemen met de daarin vastgelegde transactiegegevens.
Het management is primair verantwoordelijk voor de blijvend
goede werking van het interne beheersingssysteem. Idealiter
richt zij voor het kunnen dragen van deze verantwoordelijkheid
een proces in van continuous monitoring (CM), waarbij voor alle
transacties wordt vastgesteld of deze voldoen aan de interne controledoelstellingen.
Het management verkrijgt op deze wijze de
zekerheid dat het interne beheersingssysteem goed functioneert
en dat in het geval van afwijkingen escalatie kan worden voorkomen
door in te grijpen.
Omgekeerd evenredige relatie
Tussen CM en CA bestaat een omgekeerd evenredige relatie.
Wanneer het proces van CM door het management op een ade-
AUDIT magazine
nummer 5 december 2008
24
quate wijze is ingericht en naar behoren functioneert dan hoeft
het proces van CA niet met eenzelfde diepgang te worden uitgevoerd
door internal audit. Volstaan kan worden met een review
van het proces van monitoring en de behandeling van de gesignaleerde
afwijkingen.
Indien het management zelf de bedrijfsprocessen nauwelijks
monitort wordt de controle-inspanning van de internal auditor
evenredig groter, zoals gevisualiseerd is in figuur 1 uit de leidraad.
Deze redenering past binnen de huidige opvattingen
omtrent de taakverdeling tussen het management en Internal
Audit en de daarop gebaseerde systeemgerichte controlebenaderingen.
Het toepassen van het CA-concept is geen gemakkelijke opgave.
De leidraad spreekt over uitdagingen en over overige condities
waaraan moet worden voldaan. Een voorbeeld hiervan is dat het
bedrijfsproces in voldoende mate moet worden begrepen voor
Management Response
Comprehensive
monitoring of internal
controls
Little monitoring
of controls
Reduced
effort
Significant
effort/greater
resources
Audit Effort
Figuur 1. De controle-inspanning van de internal auditor