LIBER AMICORUM - IBR

40· ANNIVERSAIRE I.R.E.
«Participation by the Internal Audit Department in systems development is highly
questionable.» (De Marco, 1979, p. 23)
«Het is de specifieke taak van de EDP-auditor ervoor te zorgen dat reeds in de eerste
fasen van de systeemontwikkeling volle aandacht wordt geschonken aan de internecontrole-problematiek.»
(Frielink, 1983, p. 222)
«An internal auditor should be a member of the systems development team, review
specifications to ensure the adequacy of proposed controls, and participate in the
development of specific controls.» (Vasarhelyi, 1988, p. 296)
Het gaat niet zozeer om de vraag of de auditor toezicht moet uitoefenen op de systeemontwikkeling,
dan wel hoe hij dat moet doen. De «onafhankelijken» richten zich
vooral op de post-implementatie audit. De «participationisten» willen er van bij de
aanvang bij betrokken zijn. Binnen de groep «participationisten» zijn er dan nog drie
deelgroepen te onderscheiden: zij die continu actief willen meewerken; zij die continu
willen observeren (en beperkt adviseren) en zij die op het einde van elke fase willen
observeren (en beperkt adviseren). Deze laatste groep doet dat vooral vanuit het oogpunt
de benodigde auditinspanning te beperken (continue betrokkenheid vergt
inderdaad erg veel tijd en middelen) en om het beeld van de onafhankelijkheid zo
weinig mogelijk te verstoren. Degenen die continu willen betrokken zijn betogen dat
elk uitstel tijdens de systeemontwikkelingslevenscyclus gevaarlijk is en aanleiding kan
geven tot kostbare en soms nauwelijks uit te voeren aanpassingen.
Tot bij het begin van de jaren tachtig kon men deze discussie nog als enigszins academisch
of principieel afdoen. De grote meerderheid van de toenmalige toepassingssystemen
waren relatief eenvoudig en ook achteraf op een conventionele manier te controleren.
Een eventuele niet-participatie in de systeemontwikkeling van de auditor
hoefde m.a.w. niet tot fundamentele controleproblemen te leiden.
De jaren tachtig, met database management technieken, netwerken, gedistribueerde
informatieverwerking, client-server architectuur, EDI en een begin van expert systemen
hebben voor een ganse reeks van toepassingen het accent verlegd. De informatiesystemen
gaan steeds meer onvervangbare interne controlemaatregelen omvatten.
Zoals de Lange (1989, p. 352) opmerkt: «toepassing van kunstmatige intelligentie zal
uiteindelijk leiden tot dermate gecompliceerde verschijningsvormen van niet door
mensen genomen beslissingen dat controle achteraf door de accountant met verbandslegging
op gegevensniveau niet mogelijk of niet doelmatig zal blijken ». De
hoge mate van integratie van voorheen onafhankelijke toepassingssystemen en het
overschrijden van de grenzen van de eigen organisatie (zoals met EDI) hebben tot een
complexiteit geleid die onmogelijk te controleren valt door om het geautomatiseerde
systeem heen te lopen of dat systeem slechts achteraf te controleren.
Voor belangrijke systemen zijn wij voorstander van een zeer omzichtige continue participatie.
Controleerbaarheid moet vanaf het begin in de informatiesystemen worden
ingebouwd. De auditor dient zijn wensen tijdig en volledig kenbaar te maken.
270