IT-auditor is een professional die onafhankelijk onderzoek uitvoert naar de beheersing van informatietechnologie, geautomatiseerde informatiesystemen en de daarmee samenhangende bedrijfsprocessen. Het vakgebied wordt aangeduid als IT-auditing. Een IT-auditor beoordeelt onder meer of IT-systemen betrouwbaar, beschikbaar, voldoende beveiligd en beheerst zijn en of zij voldoen aan wet- en regelgeving, interne beleidsregels en andere vooraf vastgestelde normen.
IT-auditing kan worden uitgevoerd binnen de interne-auditfunctie, als onderdeel van een accountantscontrole of door een onafhankelijke externe dienstverlener. De werkzaamheden kunnen betrekking hebben op technische infrastructuur, applicaties, gegevensverwerking, informatiebeveiliging, privacy, continuïteit, cloudcomputing, uitbestede IT-diensten en de inrichting van IT-governance. De IT-auditor onderzoekt daarbij niet uitsluitend de techniek, maar ook de processen, verantwoordelijkheden en beheersingsmaatregelen waarmee een organisatie haar IT-risico's beheerst.
NOREA en ISACA beschrijven IT-auditing als een onafhankelijk en risico-gebaseerd vakgebied. Een IT-auditor onderzoekt in dat kader de kwaliteit, veiligheid, continuïteit en beheersing van IT-systemen, IT-infrastructuur en de daarmee samenhangende organisatie en processen. De beoordeling kan betrekking hebben op zowel de opzet als de werking van IT-beheersingsmaatregelen in applicaties en onderliggende technologie.
Plaats in de organisatie
Een IT-auditor kan werkzaam zijn binnen een interne-auditfunctie, bij een accountantsorganisatie, bij een gespecialiseerd advies- of auditbureau of binnen een publieke toezichthoudende organisatie. De plaats van de IT-auditor in de organisatie is van belang voor diens onafhankelijkheid. Een auditor dient een oordeel te kunnen vormen zonder ongepaste beïnvloeding door personen die verantwoordelijk zijn voor de onderzochte activiteiten, systemen of beheersingsmaatregelen.
Interne en externe IT-audit Bij interne IT-audit onderzoekt de IT-auditor de IT-risico's en beheersingsmaatregelen van de eigen organisatie. De interne-auditfunctie geeft assurance en advies aan bestuur, directie en toezichthoudende organen, maar neemt niet de verantwoordelijkheid van het management voor risicobeheersing over.
Bij externe IT-audit voert een onafhankelijke partij een onderzoek uit ten behoeve van bijvoorbeeld een accountantscontrole, een opdrachtgever, een toezichthouder of gebruikers van een dienstverlener. Een externe IT-auditor kan onder meer onderzoek doen naar IT-beheersingsmaatregelen die relevant zijn voor de financiële verslaggeving, naar de beveiliging van een digitale dienst of naar de beheersing van uitbestede processen.
Functionele en hiërarchische rapportagelijnen Binnen een grote organisatie is de interne-auditfunctie doorgaans functioneel verbonden aan de raad van commissarissen, het auditcomité of een vergelijkbaar toezichthoudend orgaan. Functionele rapportage kan onder meer betrekking hebben op de goedkeuring van het audit charter, het risicogebaseerde auditplan, het budget, de benoeming of het ontslag van het hoofd Internal Audit en de ontvangst van rapportages over belangrijke bevindingen.
Voor dagelijkse organisatorische aangelegenheden, zoals personeelszaken en faciliteiten, kan het hoofd Internal Audit hiërarchisch rapporteren aan de chief executive officer, de raad van bestuur of een vergelijkbaar hoog bestuursniveau. De interne-auditfunctie behoort niet te zijn ondergebracht bij een bedrijfsonderdeel dat zij zelf moet onderzoeken, zoals de IT-directie, informatiebeveiliging, risicomanagement, compliance of financiële administratie.
Onafhankelijkheid en objectiviteit Onafhankelijkheid betreft de organisatorische positie van de auditfunctie; objectiviteit betreft de onbevooroordeelde professionele oordeelsvorming van de individuele auditor. Een IT-auditor dient geen audit uit te voeren naar werkzaamheden waarvoor hij of zij kort tevoren zelf verantwoordelijk was, noch beslissingen te nemen over de inrichting of uitvoering van maatregelen die later door de auditor moeten worden beoordeeld.
Mogelijke bedreigingen voor de onafhankelijkheid kunnen ontstaan door een ondergeschikte rapportagelijn aan de IT-organisatie, betrokkenheid bij de uitvoering van projecten, belangenconflicten, beperkingen van de auditomvang of onvoldoende toegang tot informatie. Dergelijke bedreigingen behoren te worden vastgelegd, beoordeeld en zo nodig door passende waarborgen of escalatie beperkt.
IT-audit charter en mandaat De opdracht, bevoegdheden en verantwoordelijkheden van de interne-auditfunctie kunnen worden vastgelegd in een internal audit charter. Daarin worden onder meer het doel van de functie, de toegang tot systemen, gegevens, medewerkers en locaties, de rapportagelijnen, de onafhankelijkheid en de omgang met beperkingen van de auditomvang beschreven.
Opvolging van bevindingen
De verantwoordelijkheid voor het oplossen van een auditbevinding ligt bij het management van het onderzochte organisatieonderdeel. De IT-auditor stelt vast welke risico's en tekortkomingen zijn geconstateerd, beoordeelt de voorgestelde herstelmaatregelen en volgt de voortgang onafhankelijk. De auditor neemt niet zelf de verantwoordelijkheid voor het ontwerpen, implementeren of exploiteren van de maatregelen over.
Actieplannen en managementreactie Na afloop van een audit reageert het verantwoordelijke management op de bevindingen. Een managementreactie bevat doorgaans de aanvaarding of gemotiveerde betwisting van de bevinding, de risicoacceptatie of voorgenomen herstelmaatregel, de aangewezen eigenaar van de actie en een streefdatum voor voltooiing. Bij belangrijke bevindingen behoort ook te worden aangegeven welke tijdelijke compenserende maatregelen gelden totdat een structurele oplossing is ingevoerd.
Een actieplan is het meest controleerbaar wanneer het concreet, meetbaar en tijdgebonden is. De actiehouder behoort voldoende beslissingsbevoegdheid, middelen en verantwoordelijkheden te hebben om de maatregel daadwerkelijk uit te voeren.
Eigenaarschap, termijnen en prioriteiten Auditbevindingen kunnen worden geprioriteerd naar de ernst van het risico, de waarschijnlijkheid van optreden, de mogelijke gevolgen en de aanwezigheid van compenserende beheersingsmaatregelen. Organisaties gebruiken hiervoor vaak classificaties als hoog, middelmatig en laag risico of kritisch, hoog, middelmatig en laag.
Voor iedere bevinding worden ten minste een risico-eigenaar, een actiehouder, een herstelplan en een uiterste datum vastgelegd. Wanneer het management een risico tijdelijk of structureel accepteert, behoort die acceptatie te worden genomen door een functionaris die bevoegd is het betreffende risico namens de organisatie te aanvaarden. Bij ernstige risico's kan dit de raad van bestuur, een risico- of auditcomité of een vergelijkbaar orgaan zijn.
Follow-up en validatie De interne-auditfunctie volgt openstaande bevindingen periodiek op. Daarbij beoordeelt zij niet alleen of een actie administratief als voltooid is geregistreerd, maar ook of de maatregel is ingevoerd en het beoogde risico daadwerkelijk voldoende beperkt. Een bevinding wordt pas gesloten nadat de auditor voldoende en geschikte controle-informatie heeft verkregen over de uitvoering en, waar van toepassing, de werking van de maatregel.
De frequentie van follow-up kan afhankelijk zijn van het risiconiveau. Kritieke of hoogrisicobevindingen worden doorgaans vaker gevolgd en eerder geëscaleerd dan bevindingen met een beperkt risico.
Escalatie en rapportage Openstaande, achterstallige of door het management niet aanvaarde hoogrisicobevindingen worden gerapporteerd aan het verantwoordelijke managementniveau en, indien nodig, aan de raad van bestuur, het auditcomité of de raad van commissarissen. De rapportage bevat ten minste de aard van de bevinding, het resterende risico, de verantwoordelijke risico-eigenaar, de overeengekomen maatregelen, de geplande einddatum en de actuele voortgang.
Door periodieke rapportage aan een onafhankelijk toezichthoudend orgaan kan de interne-auditfunctie zichtbaar maken of ernstige risico's tijdig worden beheerst. De auditfunctie blijft daarbij verantwoordelijk voor onafhankelijke toetsing en escalatie; het management blijft verantwoordelijk voor risicobeheersing en herstel.
Organisatie van IT-audit
Centrale IT-auditfunctie In een grote organisatie kan IT-audit centraal worden georganiseerd als onderdeel van Group Internal Audit of Corporate Audit. Een centrale IT-auditfunctie ontwikkelt dan bijvoorbeeld de auditmethodologie, risicoclassificaties, rapportageformats, kwaliteitsbewaking en vaktechnische standaarden. Ook kan zij audits uitvoeren naar concernbrede systemen, centrale cloudvoorzieningen, identity-and-accessmanagement, cybersecurity, datacentra en shared servicecentra.
De centrale auditfunctie stelt doorgaans een meerjarig en jaarlijks risicogebaseerd auditplan op. Dit plan wordt afgestemd met het hoofd Internal Audit, senior management en het toezichthoudend orgaan dat verantwoordelijk is voor het toezicht op Internal Audit. Het auditplan behoort voldoende ruimte te bieden voor onverwachte risico's, incidenten, grote veranderingen in het IT-landschap en verzoeken van bestuur of toezichthouder.
IT-audit in concern- en groepsstructuren Bij een concern met dochterondernemingen of andere groepsmaatschappijen kan de IT-auditfunctie werken volgens een centraal aangestuurd model, een lokaal model of een combinatie daarvan. In een gecombineerd model bepaalt Group Internal Audit de methodologie, minimumvereisten en rapportagelijnen, terwijl lokale IT-auditors of co-sourcingpartners audits uitvoeren binnen afzonderlijke groepsmaatschappijen.
Centrale coördinatie kan bijdragen aan een vergelijkbare beoordeling van risico's en beheersingsmaatregelen binnen de groep. Zij is vooral relevant wanneer groepsmaatschappijen gebruikmaken van gemeenschappelijke platforms, centrale identiteitsvoorzieningen, gedeelde cloudcontracten, groepsbrede cybersecuritydiensten of gemeenschappelijke financiële systemen.
Affiliates, dochterondernemingen en shared servicecentra De directie van een dochteronderneming of affiliate blijft verantwoordelijk voor de beheersing van lokale risico's en voor de tijdige uitvoering van herstelmaatregelen. De centrale IT-auditfunctie kan de lokale managementreactie, de voortgang van actieplannen en de resterende risico's rapporteren aan zowel het lokale management als aan Group Internal Audit en het relevante groepsmanagement.
Wanneer een bevinding betrekking heeft op een centrale IT-dienst, is het van belang onderscheid te maken tussen de lokale risico-eigenaar, de eigenaar van de centrale dienst en de partij die verantwoordelijk is voor herstel. Een lokale organisatie kan bijvoorbeeld risico lopen door gebrekkig toegangsbeheer in een centraal identiteitsplatform, terwijl de technische herstelmaatregel bij een groepsbrede IT-organisatie ligt. Heldere toewijzing van eigenaarschap voorkomt dat bevindingen tussen organisatieonderdelen blijven liggen.
Relatie met risk, compliance, security en externe accountant IT-audit werkt samen met functies als risicomanagement, compliance, informatiebeveiliging, privacy, interne beheersing en externe accountants, maar behoudt daarbij een onafhankelijke positie. Risicomanagement ondersteunt het bestuur bij het identificeren en beheersen van risico's; informatiebeveiliging ontwerpt en beheert beveiligingsmaatregelen; compliance bewaakt de naleving van regels. IT-audit beoordeelt onafhankelijk of deze processen en maatregelen toereikend zijn opgezet en daadwerkelijk functioneren.