Continuous auditing en de (veranderde) rol van de IAD ... - Lime Tree

met continuous auditing is dat continuous monitoring een activiteit
is die door het management (of door door het management
aangewezen lijnfunctionarissen) wordt uitgevoerd. Continuous
monitoring is een managementgedreven proces. Bij continuous
monitoring worden computertechnieken gebruikt om op een continue
basis uitzonderlijke situaties of problemen te identificeren.
Continuous monitoring wordt dus door de
eigenaar van de data uitgevoerd en is erop
gericht om resultaten te rapporteren, data voor
operationele beslissingen te analyseren en om
specifieke acties te verrichten.
Continuous monitoring wordt vervolgens door
de IAD getoetst, het management kan namelijk
een belang hebben om resultaten gunstiger
voor te stellen dan dat de werkelijkheid is. Dit
heet ‘audit testing of continuous monitoring’.
Als al deze continuousbegrippen tezamen in
een onderneming goed worden toegepast, ontstaat continuous
assurance.
Continuous risk assessment
Een nieuwe begrip dat elders in de GTAG 3 voorkomt maar
(nog) niet expliciet in het conceptuele model, is continuous risk
assessment. Dit sluit nauw aan op de visie die Pricewaterhouse-
Coopers heeft beschreven in haar studierapport Internal Audit in
2012*3, een lezenswaardig stuk over de verandering die de IAD
moet doormaken wil het ‘overleven’. Het slechts assurance
geven over control monitoring en eigen control assessments is
hiervoor onvoldoende. Wil de IAD een goede plaats binnen de
organisatie behouden door toegevoegde waarde te bieden aan
haar stakeholders, dan zal ze zich tevens moeten gaan richten op
het meer op continue basis evalueren en zelf uitvoeren van risk
assessments. Het model kan uitgebreid worden met een derde
pijler: op de managementlaag het enterprise risk management en
op auditniveau het continuous risk assessment.
Door continu risico’s te beoordelen en beheersmaatregelen te
auditen kan de auditor zijn onafhankelijke oordeel over de interne
beheersing aan zijn belangrijkste stakeholders rapporteren.
Management Audit
Continuous assurance
Results of continuous auditing and continuous montoring
Audit testing of CM Continuous auditing
Continuous montoring
Figuur 1. Continuous assurance
Activities, Transactions and Events
Business Systems and Processes
Continuous auditing
Overigens lenen niet alle processen zich voor deze aanpak, het is
een vereiste dat de auditor de onderliggende processen goed
kent, inclusief de techniek. Er moet toegang zijn tot alle relevante
data, die met behulp van de juiste softwaretools benaderd kunnen
worden.
Continuous auditing is een welkome aanvulling
op de noodzakelijke verbeteringen op het
gebied van beheersing van risico’s
De relatie tussen externe accountant en internal auditor
Bij het uitvoeren van zijn normale auditwerkzaamheden bepaalt
de externe accountant onder meer in welke mate hij kan steunen
op de werkzaamheden van de internal auditor. Hij stelt vast wat
de invloed is van de internal auditor op de controleomgeving en
op de controlemaatregelen.
Of de accountant inderdaad kan steunen op deze werkzaamheden
hangt af van de mate van onafhankelijkheid van de internal
auditafdeling, de scope van de IAD, de kennis en competenties
en of de werkzaamheden zorgvuldig zijn uitgevoerd. In een
onlangs verschenen artikel in Internal Auditor 4 staan de belangrijkste
stappen genoemd voor de implementatie van continuous
auditing:
• vaststellen van aandachtsgebieden die onderworpen worden aan
continuous auditing (op basis van kritieke processen, beschikbaarheid
van data, kosten/baten, snelle resultaten/demonstratieproject);
• vaststellen van de regels voor queries;
• bepalen van de frequentie;
• configuratie van parameters;
• follow-up;
• communiceren van resultaten.
In het kader van continuous auditing heeft de internal auditor een
andere rol dan de externe accountant. De toegevoegde waarde
van de internal auditor ligt in de kennis van de ‘te auditen’ organisatie,
de processen, en vooral in de gehanteerde informatiesystemen.
Enerzijds kan de internal auditor werkzaamheden verrichten
waar de externe accountant op kan steunen met betrekking
tot zijn werkzaamheden. Anderzijds kan de internal auditor een
‘interne consultant’-rol krijgen. Vanuit de kennis van IT-systemen,
risicobeheersingssystemen en performance-indicatoren kan
de internal auditor adviezen geven aan het lijnmanagement over
het inrichten en de werking van continuous monitoringsystemen.
Hierbij is wel van belang om de consequenties voor de onafhankelijkheid
van de IAD in acht te nemen.
AUDIT magazine nummer 5 december 2008 7