Klassieke IT-audit voldoet niet meer

Daarbij hoort ook een nieuwe kijk op auditing, zeggen Abbas Shahim, partner bij Atos Consulting en Rob Fijneman, Head of Advisory bij KPMG. In plaats van een stand-alone IT-audit aanpak is meer een business audit nodig.

De focus van IT-auditing verschuift dan ook naar de beoordeling van de digitale businessmodellen. Een verschuiving die vraagt om een andere werkwijze en andere vaardigheden. Dit betekent bijvoorbeeld dat rapportering over afwijkingen met beperkte en in jaren geleden vastgestelde sample sizes niet meer van deze tijd is. En analyses van de aan IT gerelateerde risico’s met laag, medium of hoog indicatie of het gebruik van stoplichten zonder een duidelijke businesscontext hebben weinig waarde meer.”

Review managementsystemen en documentatie op de schop

Datzelfde geldt volgens Fijneman voor een review van een managementsysteem en de hiermee geassocieerde documentatie. Fijneman: “Als ik zie dat steeds meer organisaties werken met grote hoeveelheden datasets, dan vraagt dit om onderlinge samenhang en beheersing. In dit kader is het goed denkbaar dat binnen de organisatie een data voogd wordt geïntroduceerd. De waarde van de gegevens is dan bepaald, de integriteit van deze business asset is gewaarborgd en een verantwoording hierover kan op ieder moment worden afgelegd. Het gevolg van deze aanpak is dat ieder IT-auditing gerelateerd onderzoek, ongeacht het doel, de scope en de aard, op een natuurlijke manier in relatie worden gebracht met de huidige, moderne verdienmodellen. En dat duidelijk wordt welke aspecten het succes hiervan negatief kunnen beïnvloeden.”