KPMG: te weinig IT-audits

Ook is het proces rond de audits te statisch. Audits worden ruim van tevoren gepland. “Daardoor kan er weinig rekening gehouden worden met de actualiteit, die wel degelijk van invloed is op een organisatie. Risicoprofielen kunnen daardoor veranderen, maar de audit houdt daar geen rekening mee. Kijk naar de huidige economische situatie”, zegt Rob Fijneman, voorzitter van de IT Advisory praktijk van KPMG. Hij pleit ervoor dat IT-audits een paar keer per jaar worden uitgevoerd: elke keer een paar onderdelen. Ook is hij een voorstander van verrassingselementen, zoals een penetratietest op informatiebeveiliging. Organisaties krijgen daarmee volgens Fijneman een veel actueler IT-risicobeeld.De audits op de interne IT-organisatie, dus op de netwerkinfrastructuur, de applicaties en de IT-afdeling zelf, leveren onder meer informatie op over het functioneren ervan en de beveiliging. Op basis van dergelijke informatie kunnen bestuurders hun beleid bijsturen. Die zijn echter nog steeds maar matig geïnteresseerd in informatie over IT. Fijneman wijst erop dat dat een belangrijke reden is dat er geen extra budget wordt vrijgemaakt om vaker en dynamischer te auditen. Uit een onderzoek dat KPMG eerder uitvoerde onder financiële organisaties bleek duidelijk dat raden van bestuur over het algemeen weinig interesse hebben voor IT. Het komt deels doordat de IT-informatie die ze krijgen te technisch is ingestoken. Maar het kennisniveau van de bestuurders is ook tamelijk beperkt. “Je moet het dus heel eenvoudig houden. Niet uitweiden over dat de passwords niet goed zijn ingesteld maar uitleggen wat het zakelijke risico daarvan is.”Fijneman wijst op de steeds belangrijkere rol van IT voor de dagelijkse bedrijfsvoering. Op bestuursniveau is men zich daar nog niet genoeg van bewust, vindt hij. “Het belang ervan wordt onderschat. IT ziet men als iets technisch maar men ziet niet dat IT van belang is om alle processen goed te laten functioneren. Zo’n houding is niet meer van deze tijd.” Dat moet wel doorbroken worden, maar het is praktischer SEnD want sneller realiseerbaar SEnD dat de rapportages naar hen toe vertaald worden in taal die zij wel begrijpen. Er moet ook geïnvesteerd worden in kennis en kunde over IT door bestuurders. Fijneman: “Ook in het rapport van de commissie-Maas [Aanbevelingen van de Adviescommissie Toekomst Banken hoe banken na de kredietcrisis kunnen voortbestaan] worden ze opgeroepen hun kennis van processen en IT te verbeteren.” Dat zal echter meer tijd vergen.