Erik Brinkman (links) en Niek Visser
Bewustwording IT Auditing vereist samenwerking
Accountantskantoren met beperkte kennis van IT-audit staan vanaf 2022 voor een steeds groter wordende uitdaging. Nieuwe regelgeving vraagt van accountants om zich verder te verdiepen in controle van en vanuit IT-systemen. De aandacht die van Stolwijk Kennisnetwerk (SKN) uitgaat naar kennis over IT-auditing komt vooral voort uit intrinsieke motivatie. Specialist IT auditing Niek Visser (Stolwijk Kelderman) en dataspecialist Erik Brinkman (TLA) werken samen aan de groei van bewustwording binnen SKN en onder klanten.
De nieuwe regelgeving komt er niet voor niets en ook niets te laat volgens Niek Visser: ‘We hoeven er niet omheen te draaien. Het is simpelweg noodzaak. Veruit de meeste organisaties hebben hun zaken rondom IT uitbesteed, ze kijken er niet naar om en hebben blind vertrouwen in de werking ervan. Tegelijkertijd kunnen ze niet zonder hun systemen, zijn ze er afhankelijk van voor de bedrijfsvoering en processen. Dit heeft ook effect op het werk van de accountant, die er niet langer aan ontkomt om uitgebreid te kijken naar de bij de klant aanwezige IT. De tijd dat er om de computer heen gecontroleerd kon worden ligt inmiddels achter ons. Dat geldt voor alle branches en sectoren, want overal zijn er risico’s.’
Intensief samenwerken
De groeiende aandacht voor controle vanuit IT-systemen binnen de accountancy komt onder meer voort uit een steeds groter wordende bedreiging. Iedereen kent inmiddels uit de media – of uit ervaringen binnen eigen kring – welke problemen ransomware kunnen veroorzaken. Om maar niet te spreken van privacygevoelige gegevens die pardoes op straat belanden als gevolg van datalekken. Bedrijven kunnen daardoor zomaar hun complete administratie kwijtraken of grote problemen krijgen met de Autoriteit Persoonsgegevens. Erik Brinkman: ‘En dan hebben we het nog niet gehad over de ingrijpende gevolgen voor alle betrokkenen of de imagoschade die getroffen bedrijven lijden. Door intensief samen te werken kunnen wij een belangrijke rol spelen bij het beheersen en beperken van het risico op dergelijke problemen.’
Veel organisaties beschouwen IT als een kostenpost. Zij hebben niet voldoende in beeld wat zij er allemaal mee kunnen en hoe waardevol het verzamelen van data voor hen kan zijn”
Niek Visser
Cyberrisico’s beheersen
Als voorzitter van de Projectgroep IT maakt Niek zich er binnen SKN verantwoordelijk voor dat accountants in hun controles ook IT-auditing gaan implementeren. Intern procedures aanpassen is één, maar hoe neem je klanten hierin mee en wat vraagt dit van hen? Niek: ‘De rol van de accountant verandert. Het is de bedoeling dat wij de komende jaren meer en meer, samen met de klant, ter plaatse mitigerende maatregelen implementeren. Daar waar je risico’s ziet, bouw je maatregelen in. Een voorbeeld daarvan is het gebruikmaken van treshholds. Dit zijn virtuele grenzen die je vooraf in je systeem hebt vastgelegd. Als het systeem activiteiten signaleert die deze grenzen te buiten gaan, ontvangt de ondernemer een waarschuwing. Bijvoorbeeld als iemand een overboeking doet op een ongebruikelijk tijdstip. Of als een bepaalde afnemer betalingen ontvangt op verschillende rekeningnummers. Met dergelijke indicatoren kunnen we eventuele interne fraude in de kiem smoren.’
Bewustwording vergroten
Beide specialisten benadrukken dat – hoewel SKN zich sterk ontwikkelt op het gebied van IT-auditing – de organisatie én de meeste klanten er nog niet helemaal klaar voor zijn. Erik legt uit dat SKN nog een aantal stappen moet zetten, voordat zij IT-audits optimaal kan inrichten. ‘Het één kan niet zonder het ander. Wij hebben natuurlijk wel de juiste data nodig om te kunnen bepalen wáár er risico’s zijn. Dan pas kun je die gaan beheersen.’ Niek zegt instemmend: ‘Klopt. Als accountants is het onze rol om bij klanten de bewustwording op dit gebied te vergroten. Veel organisaties beschouwen IT als een kostenpost. Zij hebben niet voldoende in beeld wat zij er allemaal mee kunnen en hoe waardevol het verzamelen van data voor hen kan zijn. Door IT-systemen goed in te regelen kunnen zij veel tijd en kosten besparen in hun bedrijfsprocessen, maar zeker ook op de operationele tijdsbesteding van accountants. Met de vrijgekomen middelen hebben wij meer ruimte om die bedrijven strategisch te adviseren.’
Datawarehouse
Op de vraag of er zaken zijn waar je nu al goed de effecten ziet van de groeiende aandacht voor IT-auditing, antwoordt Niek: wij passen nu al de wet van Benford toe in onze controles. Daarbij kijken wij naar de begincijfers van getallen in grote dataverzamelingen. Benford heeft namelijk ontdekt dat in veel verzamelingen van getallen de meeste van die getallen met een 1 beginnen. Daarna beginnen de meeste getallen met een 2 en uiteindelijk de minste met 9. Als onze software in de data van de klant een afwijking op deze regel aantreft, gaan wij op onderzoek uit. Wij merken dat daarmee onregelmatigheden aan het licht komen, die anders verborgen zouden zijn gebleven.’
Erik refereert aan het project waar hij met collega’s dataspecialisten aan werkt: het opzetten van een datawarehouse voor heel SKN. ‘Tot nu toe hebben wij in dit project vooral intensief samengewerkt met onze controle-accountants, later zullen wij dat ook met andere collega’s gaan doen. Met de accountants hebben wij besproken welke analyses er voor klanten nodig zijn en we hebben alle bekende risicogebieden in beeld gebracht. Elke keer als wij merken dat wij iets missen, breiden wij gegevensverzameling verder uit. Al is het nog niet perfect, we komen steeds een stap verder. Op basis van de afgelopen maanden kun je zien dat wij al een behoorlijke vooruitgang boeken, en rapportages steeds verder kunnen uitbreiden. We zijn geen accountants, dus samenwerken met collega’s als Niek is en blijft wat mij betreft heel belangrijk.’