Nederlands
Menu

Wat is IT-audit?

Een activiteit waarbij deskundige auditors die onafhankelijk zijn van het onderzochte gebied (IT-auditors) nagaan en beoordelen of de beheersmaatregelen voor de risico's van informatiesystemen goed zijn opgezet en werken, en de resultaten aan het management en anderen rapporteren als zekerheid of als advies voor verbetering. De audit verloopt via auditplanning, vooronderzoek, hoofdonderzoek, beoordeling en conclusie, rapportage en follow-up. In Japan publiceert het ministerie van Economie, Handel en Industrie (METI) de System Audit Standards en de System Management Standards.

Japanse benaming: システム監査

“IT-audit” komt voor in 8 oefenvragen uit 1 onderwerpen, bijv. IT-servicemanagement en IT-audit.

Vakgebied: IT-servicemanagement en IT-audit

Hoe een audit verloopt

Een IT-audit begint met een auditplan dat de doelen, de reikwijdte en de timing vastlegt. In het vooronderzoek neemt de auditor documenten door en interviewt hij mensen om de werkelijke situatie en de risico's van het onderzochte gebied te begrijpen, en daarna legt hij de auditwerkzaamheden voor het hoofdonderzoek concreet vast. In het hoofdonderzoek wordt auditbewijs verzameld met werkzaamheden zoals het vergelijken van registraties, observatie en tests, en vastgelegd in het auditdossier. Door het bewijs te beoordelen wordt een conclusie getrokken, bevindingen en verbetervoorstellen worden in het auditrapport gerapporteerd, en bij de follow-up wordt de stand van de verbeteringen gecontroleerd.

Onafhankelijkheid en deskundigheid

IT-auditors moeten onafhankelijk zijn van wat ze auditen. Als ze betrokken zijn bij de ontwikkeling of het beheer van het onderzochte systeem, zouden ze hun eigen werk of dat van hun afdeling beoordelen, zodat ze niet objectief kunnen oordelen en voor anderen niet onpartijdig overkomen. Auditors voeren verbeteringen niet zelf uit; ze bevelen ze aan, en de geauditeerde afdeling (en het management dat haar aanstuurt) is verantwoordelijk voor de uitvoering. Ook vakkennis van informatiesystemen, risico's en beheersmaatregelen is nodig.

Audittechnieken

Naast het doornemen van documenten, interviews, het observeren van de werkzaamheden en het vergelijken van registraties gebruiken auditors ook technieken met de computer. Daartoe behoren de testdatamethode, waarbij een programma door de auditor voorbereide gegevens verwerkt en de resultaten worden gecontroleerd; de ITF-methode, die fictieve auditrekeningen in het productiesysteem inricht; de snapshotmethode, die gegevens halverwege de verwerking wegschrijft; en de analyse van alle records met algemene auditsoftware. Samen heten ze CAAT (computerondersteunde audittechnieken).

Nu oefenen: vragen over IT-audit

Welke beschrijving van het doel van een IT-audit is juist?

  1. AVanuit een onafhankelijke, deskundige positie nagaan en beoordelen of de beheersmaatregelen voor de risico's van informatiesystemen goed zijn opgezet en werken, en het resultaat als zekerheid of advies aan de betrokkenen meedelen
  2. BDeelnemen aan een ontwikkelproject voor een informatiesysteem, zelf programma's schrijven en testen, en de ontwikkeling versnellen
  3. CBij een storing in een informatiesysteem het herstelwerk leiden en zelf maatregelen nemen om herhaling te voorkomen
Antwoord en toelichting tonen

Antwoord: A. Vanuit een onafhankelijke, deskundige positie nagaan en beoordelen of de beheersmaatregelen voor de risico's van informatiesystemen goed zijn opgezet en werken, en het resultaat als zekerheid of advies aan de betrokkenen meedelen

Bij een IT-audit gaan deskundige auditors die onafhankelijk zijn van het onderzochte gebied na of de beheersmaatregelen (controls) voor de risico's van informatiesystemen goed zijn opgezet en werken, en beoordelen ze dat. De resultaten worden aan het management en andere betrokkenen gerapporteerd als zekerheid dat er geen problemen zijn of als advies voor verbetering (verbetervoorstellen). Als auditors zelf ontwikkel- of beheerwerk zouden doen, zouden ze hun eigen werk beoordelen en zou hun onafhankelijkheid worden aangetast.

Wie is vanuit het oogpunt van de onafhankelijkheid van IT-auditors het meest geschikt om een verkoopbeheersysteem te auditen?

  1. AEen medewerker van de afdeling informatiesystemen die het verkoopbeheersysteem heeft ontwikkeld en nog steeds het onderhoud ervan verzorgt
  2. BEen afdelingshoofd van de verkoopafdeling die het verkoopbeheersysteem dagelijks gebruikt en het werk aanstuurt
  3. CEen medewerker van de interne auditafdeling die niet betrokken is bij de ontwikkeling of het beheer van het onderzochte werk of systeem
Antwoord en toelichting tonen

Antwoord: C. Een medewerker van de interne auditafdeling die niet betrokken is bij de ontwikkeling of het beheer van het onderzochte werk of systeem

IT-auditors moeten onafhankelijk zijn van wat ze auditen. Als mensen die betrokken zijn bij de ontwikkeling, het beheer of het gebruik van het onderzochte gebied de audit uitvoeren, beoordelen ze hun eigen werk of dat van hun afdeling; ze oordelen dan mogelijk niet objectief en komen ook voor anderen niet onpartijdig over. Daarom wordt de audit toevertrouwd aan medewerkers van een interne auditafdeling die onafhankelijk is van de onderzochte afdeling, of aan externe auditors.

Veelgestelde vragen

Wat is het verschil tussen een IT-audit en een informatiebeveiligingsaudit?

Een IT-audit bestrijkt het hele scala aan risico's van informatiesystemen, zoals effectiviteit, efficiëntie, betrouwbaarheid en beveiliging. Een informatiebeveiligingsaudit richt zich daarbinnen op informatiebeveiliging. Omdat de reikwijdtes overlappen, voeren sommige organisaties ze samen uit.

Kan een medewerker van de interne auditafdeling IT-auditor zijn?

Ja. Een interne audit door medewerkers van de interne auditafdeling van de organisatie kan als IT-audit worden uitgevoerd, zolang zij onafhankelijk zijn van het onderzochte werk en de onderzochte systemen. Er zijn ook externe audits door externe specialisten, en afhankelijk van het doel wordt de ene of de andere gekozen.

“IT-audit” in de toelichting

Vragen met “IT-audit” (8)

  1. Welke beschrijving van het doel van een IT-audit is juist?
  2. Wie is vanuit het oogpunt van de onafhankelijkheid van IT-auditors het meest geschikt om een verkoopbeheersysteem te auditen?
  3. Wat wordt er van de stappen van een IT-audit in het vooronderzoek gedaan?
  4. Een IT-auditor heeft in een auditrapport verbetervoorstellen gedaan. Welke follow-up is daarna juist?
  5. Een IT-auditor verzamelt auditbewijs over de vraag of de registraties van betalingen aan zakenpartners juist zijn. Welk auditbewijs heeft in het algemeen de grootste bewijskracht?
  6. Welke beschrijving van de testdatamethode, een van de technieken voor IT-audits, is juist?
  7. Een IT-auditor gebruikte algemene auditsoftware om uit de transactiegegevens van een jaar (enkele miljoenen records) van een verkoopsysteem dubbele factuurnummers en transacties boven de goedkeuringslimiet te halen. Welk voordeel van computerondersteunde audittechnieken (CAAT) op deze manier is juist?
  8. Wat gebruikt de IT-auditor bij een IT-audit vooral als maatstaf om te beoordelen of een organisatie haar informatiesystemen goed beheert?

Verwante termen

CAAT (computerondersteunde audittechnieken) Audittrail BCP (bedrijfscontinuïteitsplan) Configuratiebeheer (configuration management) Escalatie Functiescheiding (segregation of duties) Incidentbeheer (incident management) Interne beheersing (internal control) IT-governance ITIL

Naar de woordenlijst