Summary
Samenvatting IT Audit aantekeningen colleges
- Course
- Institution
- Book
Samenvatting van boek IT-Based Audit. Hoofdstuk 1 t/m 11 aantekeningen colleges. Behaald cijfer: 8.2! Vakcode: ACVH3ITA1A
[Show more]
Connected book
Book Title:
Author(s):
- Edition:
- ISBN:
- Edition:
Seller
Follow
LarsV95
Reviews received
Content preview
Samenvatting It-Based Audit1
,Inhoud
Hoofstuk 1: Essentie van de IT-based audit ............................................................................................ 6
1.1 de IT-based audit ........................................................................................................................... 6
1.2 IT-trends ........................................................................................................................................ 6
1.3 Kun je nog controleren om de computer heen? ........................................................................... 7
1.4 Relevante wet- en regelgeving ...................................................................................................... 9
1.4.1 IT en COS................................................................................................................................. 9
1.4.2 Vermelding in het accountantsverslag ................................................................................. 10
Hoofdstuk 2: Invloed van de IT op het controleproces ......................................................................... 11
2.2 Hoofdlijnen en It-aspecten per fase ............................................................................................ 13
2.2.1 Cliënt- en opdrachtevaluatie ................................................................................................ 13
2.2.2 Planning en materialiteit ...................................................................................................... 14
2.2.3 Risico-inschatting.................................................................................................................. 15
2.2.4 Respons op de ingeschatte materiële risico’s ...................................................................... 16
2.2.5 Specifieke en afrondende werkzaamheden ......................................................................... 17
2.2.6 Evaluatie van de verkregen controle-informatie ................................................................. 17
2.2.7 Communicatie van de bevindingen ...................................................................................... 17
Bijlage 1 – Relevante IT elementen per COS ......................................................................................... 18
Hoofstuk 3: inzicht in de IT-omgeving ................................................................................................... 19
3.1 Analyse van de bedrijfsomgeving ................................................................................................ 19
3.2 Typen IT-omgevingen .................................................................................................................. 19
3.3 Gebruik van een IT-map .............................................................................................................. 20
3.4 Business Control Framework (BCF) ............................................................................................. 21
3.5 Functiescheidingen...................................................................................................................... 22
3.6 It general controls ....................................................................................................................... 23
3.6.1 Algemeen.............................................................................................................................. 23
3.6.2 Organisatie van de IT-functie ............................................................................................... 24
3.6.3 Fysieke en logische toegangsbeveiliging .............................................................................. 24
3.6.4 Changemanagement (wijzigingsbeheer) .............................................................................. 26
3.6.5 System management en problem management .................................................................. 27
3.6.6 Business Continuity Planning ............................................................................................... 27
3.7 Application controls .................................................................................................................... 28
3.8 User controls ............................................................................................................................... 30
3.9 Samenhang tussen de vier BCF-segmenten ................................................................................ 32
Hoofdstuk 4: Risicoanalyse.................................................................................................................... 33
4.1 Identificeren en inschatten van risico’s....................................................................................... 33
2
, 4.2 Verschillende soorten risico’s...................................................................................................... 33
4.2.1 bedrijfsrisico’s en jaarrekeningrisico’s ................................................................................. 33
4.2.2 IT risico’s ............................................................................................................................... 33
4.3 Risicoanalyse met behulp van het BCF ........................................................................................ 34
4.3.1 Algemeen.............................................................................................................................. 34
4.3.2 Risico’s in functiescheidingen ............................................................................................... 34
4.3.3 Risico’s in IT general controls ............................................................................................... 35
4.3.4 Risico’s in application controls ............................................................................................. 37
4.3.5 Risico’s in user controls ........................................................................................................ 38
4.4 Nieuwe ontwikkelingen, nieuwe risico’s ..................................................................................... 38
Hoofdstuk 5: Controle-aanpak .............................................................................................................. 39
5.1 Keuze van controleaanpak .......................................................................................................... 39
5.2 Uitbreiden van de IT-map............................................................................................................ 40
5.3 Gebruik CAATT’s .......................................................................................................................... 42
5.3.1 Computer Aided Audit Tools and techniques (CAAT’s) ........................................................ 42
5.3.2 Categorieën CAAT’s .............................................................................................................. 42
5.3.3 Uitdagingen van data-analyses ............................................................................................ 43
5.4 Documentatie van grote bestanden ........................................................................................... 43
5.4.1 Archivering van grote bestanden ......................................................................................... 43
5.4.2 Story of the audit .................................................................................................................. 44
Hoofdstuk 6: Onderzoek van IT-controls............................................................................................... 45
6.1 Onderzoek van application controls............................................................................................ 45
6.1.1 Samenhang tussen opzet, bestaan en werking .................................................................... 45
6.1.2 Onderzoeksmethoden van application controls .................................................................. 45
6.2 Onderzoek van de IT general controls......................................................................................... 46
6.2.1 Algemeen.............................................................................................................................. 46
6.2.2 Change management ........................................................................................................... 46
6.2.3 Logische toegangsbeveiliging ............................................................................................... 47
6.3 Evaluaties van de IT-tests ............................................................................................................ 49
6.4 Evaluatie van de fraudeleuze betalingen: drie scenario’s ........................................................... 50
6.5 Testen van managementrapportages ......................................................................................... 50
Hoofdstuk 7: datamining en process mining......................................................................................... 51
7.1 datamining................................................................................................................................... 51
7.2 De zes successtappen bij datamining .......................................................................................... 53
7.3 Analyse van subsets en frequentietests ...................................................................................... 54
7.3.1 Analyse van subsets (RSF, SSD en SSS) ................................................................................. 54
3
, 7.3.2 Benford’s law en andere frequentietests............................................................................. 55
7.3.3 Chi-kwadraattoets van de Belastingdienst ........................................................................... 55
7.4 Auditfile van de Belastingdienst .................................................................................................. 56
7.5 Process mining............................................................................................................................. 56
Hoofstuk 8: Databases........................................................................................................................... 57
8.1 Nut en risico’s van databases ...................................................................................................... 57
8.2 Belangrijke begrippen rond databases ........................................................................................ 58
8.3 Gevolgen voor de jaarrekeningcontrole...................................................................................... 62
Hoofdstuk 9: Specifieke onderwerpen .................................................................................................. 63
9.1 Cloud computing ......................................................................................................................... 63
9.2 E-business .................................................................................................................................... 64
9.2.1 Juridisch kader rond elektronische verkopen ...................................................................... 64
De leverancier moet ook een ontvangstbevestiging van een online-bestelling sturen. Zolang die
bevestiging niet is verzonden, kunnen de leverancier en de consument de bestelling kosteloos
annuleren. 9.2.2 OWASP Top-10 beveiligingsrisico’s .................................................................... 64
9.2.3 Elektronische handtekening ................................................................................................. 65
9.3 XBRL en SBR ................................................................................................................................. 65
9.3.1 Basisprincipes en belangrijke begrippen .............................................................................. 65
9.3.2 Verplichte SBR in Nederland ................................................................................................ 66
9.3.3 Potentiële voordelen van XBRL en SBR ......................................................................... 67
9.3.4 XBRL en SBR in de Nederlandse praktijk ....................................................................... 67
9.3.5 XBRL, SBR en assurance ................................................................................................. 67
Hoofdstuk 10: It-frameworks ................................................................................................................ 68
10.1 Het belang van control frameworks ...................................................................................... 68
10.2 Het ASL-framework ............................................................................................................... 68
10.3 Het BiSL-framework............................................................................................................... 69
10.4 Het COBIT-frmework ............................................................................................................. 70
10.5 Het ITIL-framework................................................................................................................ 71
10.6 ISO-norm voor informatiebeveiliging .................................................................................... 71
Hoofdstuk 11: Continuous assurance en de invloed van big data ........................................................ 72
11.1 Betekenis van continuos auditing en big data .......................................................................... 72
11.2 Stappenplan voor toepassing van continuous auditing ............................................................ 73
11.3 Behoefte aan continuous assurance ......................................................................................... 74
Aantekeningen ...................................................................................................................................... 76
Week 1............................................................................................................................................... 76
Week 2............................................................................................................................................... 76
4
,Week 4 Application controls (ZIE BIV 3 READER!!! Application controls) ....................................... 80
Week 5 IT General controls ............................................................................................................... 81
Week 6............................................................................................................................................... 84
5
,Hoofstuk 1: Essentie van de IT-based audit
1.1 de IT-based audit
De toenemende digitalisering heeft een grote impact op de samenleving. De communicatie tussen
consument en bedrijven gebeurt steeds meer digitaal en is onafhankelijk van tijd en plaats. Bedrijven
spelen hierop in door bestaande producten en diensten digitaal aan te bieden en door ook allerlei
nieuwe markten en toepassingen te ontgingen.
De gevolgen voor accountants zijn groot. Veel informatie is niet meer hard copy beschikbaar maar
tegenwoordig is alles vrijwel digitaal vastgelegd en is de IT doorgedrongen tot bijna alle
bedrijfsprocessen. Gebeurt ook steeds vaker dat papieren vastleggingen ontbreken en informatie
alleen nog digitaal beschikbaar is.
Voor de accountant biedt dit nieuwe risico’s maar ook nieuwe mogelijkheden en kansen. Zo biedt de
toenemende IT mogelijkheden voor data-analyse waarmee de jaarrekening efficiënter kunt
controleren. Daarnaast toegevoegde waarde leveren als accountant door je klanten te ondersteunen
en te begeleiden bij het beheersen van de IT-processen.
Om de jaarrekening goed en efficiënt te kunnen controleren is het belangrijk dat je de IT omgeving
van de klant zorgvuldig beoordeelt, specifieke risico’s onderkent en het It-systeem gebruikt waar dat
mogelijk en praktisch is.
IT betekent InformatieTechnologie, ook wel Informatie- en Communicatie-Technologie (ICT)
genoemd. Dit is het vakgebied dat zich bezighoudt met informatiesystemen, telecommunicatie en
computers.
Ontwikkelingen in de IT gaan razendsnel. De rekenkracht van computers blijft toenemen en de
opslagcapaciteit voor gegevens lijkt oneindig. De groeiende mogelijkheden van informatiesystemen
en andere intensieve systemen worden goed beschreven door de wet van Moore. Gordon Moore
voorspelde al in 1965 dat het aantal componenten in geïntegreerde circuits elk jaar zou verdubbelen.
Tot op de dag van vandaag blijkt die regel nog steeds te stroken met de realiteut, hoewel de limiet nu
toch wel in zicht blijkt te zijn.
1.2 IT-trends
Vrijwel alle controleplichtige ondernemingen hebben wel een ERP-systeem of hebben verschillende
logistieke en financiële systemen aan elkaar gekoppeld. ERP (Enterprise Resource Planning), betekent
het beheersen van de middelen (processen) van een onderneming. Figuur hieronder geeft een ERP
weer.
6
,Enterprise Resource Planning (ERP)
ERP is het fundament van bedrijfsomvattende informatiesystemen. Deze verbinden alle
bedrijfsprocessen zoals inkoop, productie, verkoop en administratie. Hiermee kan de hele
bedrijfsvoering worden geïntegreerd in één informatiesyteem.
Basis idee van ERP: alle zakelijke informatie in een grote database en gebruik die data voor
gestandaardiseerde functies.
De belangrijkste kenmerken van ERP-systemen zijn:
• Eén database voor het hele systeem;
• Tabelgestuurd (instellingen zijn in tabellen gedefinieerd en niet in de programmacode zodat
deze te muren zijn door de beheerder);
• Online;
• Functionaliteit aanpasvaar aan specifieke wensen;
• Opgebouwd uit vershcillende modules;
• Geïntegreerde gegevensverwerking;
• Real-time gegevensverwerking;
• Multi-currency / multi language;
• Client server technologie.
In de praktijk zie je een grote variatie in de manier waarop de It is georganiseerd. Grotere
ondernemingen hebben vaak een interne IT-afdeling maar in het MKB worden de IT-diensten vaak
extern ingekocht. Ze hebben één ding gemeen: hun afhankelijkheid van IT wordt steeds groter.
Dit geeft bepaalde risico’s, want de technische It-kennis is vaak geconcentreerd bij een beperkt
aantal mensen. Bij MKB-bedrijven is dat meestal alleen de systeembeheerder. Waneneer je als
accountant de klant op die risico’s wijst en een actieve rol speelt in het oplossen ervan, biedt je een
belangrijke toegevoegde waarde. Belangrijk is ook dat je de IT-kennis die je tijdens de controle
opdoet, helder communiceert met de klant. Hiermee help je de kloof tussen het management en de
IT-techneuten te dichten.
Andere IT-trends
Naast het gebruik van ERP-systemen zin er diverse andere IT-trends die van grote invloed kunnen zijn
op de accountantscontrole, zoals:
• XBRL en SBR
• E-business
• Datamining en processing
• Cloud computing
• Continuous Auditing en Continuous Monitoring
1.3 Kun je nog controleren om de computer heen?
In de traditionele accountancy wordt onderscheid gemaakt tussen controle ‘trough the computer’ en
een controle ‘around the computer’
Bij een controle througt the computer maak je als accountant geburik van de IT-controls in en rond
de software, nadat je hebt getest dat die maatregelen effectief werken. Je onderzoekt niet alleen
opzet en bestaan maar ook de werking van de relevante It-controls.
Daarbij richt je je vooral op de input en
verwerking, want als die goed zijn is de output
dat per definitie ook.
7
,Bij een controle around the computer onderzoek je alleen opzet en bestaan van de relevante IT-
controls. Dat doe je niet om daar bij je verdere controle gebruik van te maken, maar om de IT-risico’s
goed in te schatten.
Bij een controle around the computer onderzoek je dus wel de input en de output van het
geautomatiseerd systeem, maar verdiep je je niet in de precieze werking van de IT. Die werking blijft
een ‘blackbox’.
De vraag is wel of zo’n controle om de computer heen tegenwoording nog wel voldoende zekerheid
biedt. Grote en middelgrote ondernemingen zijn verplicht om de jaarrekening door een externe
accountant te laten controleren en die moet nagaan of de jaarrekening een getrouw beeld geeft van
het resultaat en vermogen. Als accountant moet je over dat getrouwe beeld een redelijke mate van
zekerheid krijgen.
Kun je die redelijke mate tegenwoordig nog krijgen zonder inzicht in het IT-systeem van de klant? Het
antwoord daarop verschilt per onderneming, maar in het algemeen zul je altijd inzicht moeten
krijgen in het gebruikte boekhoudpakket. Want hoe weet je anders of de opgeleverde administratie
wel betrouwbaar is en of de cijfers niet achteraf zijn gemanipuleerd? Dat het boekhoudpakket de
juiste cijfers oplevert is minder vanzelfsprekend dan vaak wordt gedacht. De volgende voorbeelden
laten zien waarom.
Voorbeeld 1: Openstaande debiteurenlijst
De betrouwbaarheid van een rapportage is afhankelijk van specifieke instellingen. Als het
boekhoudpakket de mogelijkheid biedt om rechtstreeks mutaties te boeken op de
grootboekrekening debiteuren, sluit de openstaande postenlijst vanuit de subadministratie
debiteuren niet meer aan met het grootboek. De openstaande postenlijst is daardoor niet meer
betrouwbaar.
Voorbeeld 2: Peildatum
De betrouwbaarheid van een rapportage is mede afhankelijk van de selecties die je meegeeft bij het
genereren van dat rapport. Zo kan de gehanteerde periode een groot verschil in uitkomst geven.
Sommige pakketten maken bijvoorbeeld onderscheid tussen de factuurdatum en de
rapportageperiode. Bij de rapportageperiode worden de kosten toegerekend aan de juiste periode.
Bij het uitdraaien van de kolommenbalans moet je rekening houden met dit verschil, omdat die
uiteraard een heel andere uitkomsten kan geven dan een rapportage op basis van de factuurdatum.
Dit zijn nog vrij eenvoudige voorbeelden, maar als de onderneming een ERP-systeem gebruikt waarin
meerdere bedrijfsprocessen zijn geïntegreerd zijn er vaak nog veel meer en complexere instellingen
die grote invloed hebben op de gepresenteerde cijfers. Als accountant is het belangrijk om inzicht te
hebben in die instellingen zodat je kunt nagaan of de getoonde administratie betrouwbaar is.
Deze voorbeelden laten zien dat je als accountant vrijwel nooit meer met een grote boog om de IT
heen kunt lopen. Altijd inzicht hebben in de It-systemen die relevant en materieel zijn voor de
jaarrekening. Vaak is dit niet alleen de administratie maar ook de inkoop- en
voorraadbeheerssystemen en de order- en factureringssoftware.
8
,Een controle around the computer is dus tegenwoordig bijna onmogelijk. De toekomst van de
accountant ligt in de IT, want daarmee zijn grote efficiencyvoordelen te behalen. Bovendien kun je de
klant daarmee meer toegevoegde waarde bieden.
1.4 Relevante wet- en regelgeving
1.4.1 IT en COS
Alle RA’s en AA’s moeten voldoen aan de Controle en overige Standaarden (COS). Deze standaarden
berusten op een vrijwel letterlijke vertaling van de ISA’s, de internationale controlestandaarden. De
COs hebben de status van de Nadere voorschriften en hebben daarmee wettelijk gezat. Afwijkingen
zijn in principe niet toegestaan. COS 200 verlangt dat de accountant de jaarrekeningcontrole zo
uitvoert dat hij een redelijke mate van zekerheid kan verklaren dat de jaarrekening een getrouw
beeld geeft. Dit is de centrale basis eis.
De COS zijn sterk risicogericht. Ze splitsen de uitvoering van de jaarrekeningcontrole is twee delen.
Eerst moet je inzicht krijgen in de risico’s dat de jaarrekening materiële afwijkingen (fouten of fraude)
bevat.
In de tweede fase moet je de onderkende materiële risico’s afdekken met verdere
controlewerkzaamheden.
Voor de eerste fase, de risico-inschatting, moet je inzicht krijgen in de opzet en bestaan van de
interne beheersingsmaatregelen die relevant zijn voor de jaarrekeningcontrole.
COS 315 stelt dat onderzoek altijd verplicht, bij elke controlecliënt en ongeacht de gekozen
controleaanpak. De interne beheersing omvat volgens deze standaard 'het informatiesysteem, met
inbegrip van de daarop betrekking hebbende bedrijfsprocessen, voor zover van belang voor de
financiële verslaggeving en de communicatie'. Hiertoe behoort ook het geautomatiseerd systeem,
inclusief de relevante software. Het bestaan wordt in de COS ook vaak aangeduid als invoering of
implementatie, omdat de internationale standaarden het bestaan van een maatregel de
'implementation' noemen.
IT-risico's
Dat je als accountant altijd inzicht moet krijgen in opzet en bestaan van de relevante interne
beheersingsmaatregelen is bedoeld om een goede inschatting te kunnen maken van de
jaarrekeningrisico's. Ook de IT brengt een aantal specifieke risico's met zich mee. COS 315 wijst in dit
verband op de volgende gevaren:
• programma's die fout werken, die foute gegevens verwerken of beide,
• ongeautoriseerde toegang tot gegevens waardoor deze worden verminkt, vernietigd of
vervalst,
• het doorbreken van functiescheidingen waardoor medewerkers kunnen beschikken over
gegevens die zij voor hun werk niet nodig hebben,
• ongeautoriseerde wijzigingen in systeemsoftware, applicaties of bestanden,
• het achterwege blijven van noodzakelijke aanpassingen in systeemsoftware of applicaties,
• onterechte handmatige ingrepen in bestanden of de gegevensverwerking, de mogelijk verlies
of onbereikbaarheid van gegevens.
Als accountant moet je je bewust zijn van deze risico's en inzicht hebben in de wijze waarop de
onderneming ze ondervangt.
9
, Afdekken van ingeschatte materiële risico’s
Nadat je de materiële risico’s voor de jaarrekening hebt ingeschat, moet je bepalen hoe die risico’s
wilt ondervangen. Daarbij kun je kiezen uit een systeemgerichte controleaanpak, een
gegevensgerichte aanpak of een combinatie van beide. Dit wordt behandeld in COS 330.
Bij een systeemgerichte aanpak maak je gebruik van de relevante interne beheersingsmaatregelen,
nadat je hebt getest dat die effectief werken. Dat testen gebeurt aan de hand van systeemtests, ook
wel proceduretests genoemd. Het zal duidelijk zijn dat een systeemgerichte aanpak alleen zinvol is
als de bewuste interne beheersingsmaatregelen goed zijn opgezet en echt zijn geïmplementeerd
(bestaan). Als je gebruik wilt maken van IT-controls, zal je ook moeten testen of die maatregelen
effectief werken.
Bij een gegevensgerichte aanpak maakt je géén gebruik van de interne beheersingsmaatregelen en
hoef je die dus ook niet te testen. Je moet echter wel altijd hun opzet en bestaan onderzoeken, want
dat is een verplicht onderdeel van de eerste fase, de risico-inschatting.
1.4.2 Vermelding in het accountantsverslag
Bij wettelijk verplichte jaarrekeningcontroles (grote en middelgrote rechtspersonen) moet de
externe accountant een verslag uitbrengen aan de raad van commissarissen en het bestuur. Die
verplichting is vastgelegd in artikel 393 lid 4 BW2.
In 1993 werd de Wet Computercriminaliteit van kracht en werden alle vormen van criminaliteit rond
computersystemen strafbaar gesteld. Hiertoe behoren:
• het ongeoorloofd toegang verschaffen tot een computersysteem (dit heet
computervredebreuk),
• het ongeoorloofd kopiëren van vertrouwelijke gegevens,
• ongeoorloofd computerdata verwijderen of aanpassen,
• ongeoorloofd computersystemen uitschakelen of onbruikbaar maken,
• het versturen van virussen,
• fraude met behulp van computers en valsheid in geschrifte met betrekking tot
computerdata, bijvoorbeeld door berichten te onderscheppen en te veranderen.
Bij de invoering van de wet Computercriminaliteit werd ook een IT-bepaling toegevoegd aan de
verplichte jaarrekeningcontrole. Artikel 393 lid 4 BW2 luidt sindsdien als volgt:
'De accountant brengt omtrent zijn onderzoek verslag uit aan de raad van commissarissen en aan het
bestuur. Hij maakt daarbij ten minste melding van zijn bevindingen met betrekking tot de
betrouwbaarheid en continuïteit van de geautomatiseerde gegevens.. verwerking.'
Blijkens de memorie van antwoord bij de wet is de vermelding van de IT-bevindingen alleen verplicht
als de accountant inderdaad zulke bevindingen heeft. De accountant hoeft geen specifiek onderzoek
in te stellen naar de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking.
Tot 2013 was de NBA Audit Alert nummer 2 van kracht. Deze Audit Alert gaf onder meer aan dat als
de accountant het IT-systeem niet heeft onderzocht hij dat in zijn verslag moet vermelden. Op die
manier wordt voorkomen dat commissarissen en bestuurders denken dat het accountantsverslag
niets vermeldt over de IT omdat het IT-systeem geen tekortkomingen zou bevatten. De Audit Alert
zei ook dat de continuïteit van geautomatiseerde gegevensverwer-king' niet behoort tot de
reikwijdte van de jaarrekeningcontrole. Voor een oordeel over de jaarrekening hoefde je dus geen
onderzoek te doen naar de continuïteit van het IT-systeem. De NBA heeft in 2013 besloten de Audit
Alert in te trekken, waarschijnlijk omdat deze opvattingen verouderd waren. inmiddels is wel
duidelijk dat IT niet meer ge-negeerd kan worden in de accountantscontrole.
10
The benefits of buying summaries with Stuvia:
Guaranteed quality through customer reviews
Stuvia customers have reviewed more than 700,000 summaries. This how you know that you are buying the best documents.
Quick and easy check-out
You can quickly pay through credit card or Stuvia-credit for the summaries. There is no membership needed.
Focus on what matters
Your fellow students write the study notes themselves, which is why the documents are always reliable and up-to-date. This ensures you quickly get to the core!
Frequently asked questions
What do I get when I buy this document?
You get a PDF, available immediately after your purchase. The purchased document is accessible anytime, anywhere and indefinitely through your profile.
Satisfaction guarantee: how does it work?
Our satisfaction guarantee ensures that you always find a study document that suits you well. You fill out a form, and our customer service team takes care of the rest.
Who am I buying these notes from?
Stuvia is a marketplace, so you are not buying this document from us, but from seller LarsV95. Stuvia facilitates payment to the seller.
Will I be stuck with a subscription?
No, you only buy these notes for $5.37. You're not tied to anything after your purchase.
Can Stuvia be trusted?
4.6 stars on Google & Trustpilot (+1000 reviews)
53340 documents were sold in the last 30 days
Founded in 2010, the go-to place to buy study notes for 14 years now