LIBER AMICORUM - IBR

40·JARIG BESTAAN i.B.R.
Eenmaal het systeem in aanbouw is of voltooid, is het aanbrengen van bijkomende
controles niet enkel buitensporig duur of erg moeilijk te realiseren, doch vaak ook niet
effectief. Een systeem dat niet met beveiligings- en controleerbaarheidsoogmerken
werd gebouwd kan onmogelijk via achteraf aangebrachte maatregelen waterdicht
worden gemaakt. Zowel de beoordeling van de ingebouwde controles als de specificatie
van de door de auditor gewenste audit modules (om het systeem controleerbaar
te maken) moeten de fasering van het ontwikkelingsproces volgen. Een einde-fase
ingreep is o.i. onvoldoende. Deze noodzakelijke vroege tussenkomst van de auditor
als expert in interne controle schept het gevaar dat hij adviezen gaat verstrekken die
hij achteraf zelf moet beoordelen. Omdat het ontwikkelingsproces bestaat uit een
groot aantal stappen, waarbij elke stap voortbouwt op de opties die in de vorige stap
werden genomen, zullen adviezen die in de beginfase werden gegeven in latere stappen
nog moeilijk kunnen worden gekeerd. Toch is dit onvermijdelijk. Enkel beroep
doen op een post-audit is onvoldoende:
«Conventional IT audit is often directed towards post event reviews of controls in
systems. ( ... ) To meet management's concerns IT auditors have to C .. ) extend their
reviews to assist in the ongoing assessments» (McCusker, 1992).
Toch moet de IT-auditor zo veel mogelijk binnen zijn rol van onafhankelijk beoordelaar
blijven. Het is de taak van de IT-auditor de gebruikers en interne (en eventueel
externe) auditors te stimuleren hun controle- en controleerbaarheidsvereisten zo volledig
en correct mogelijk te formuleren. De IT-auditor zal erop toezien dat deze vereisten
zo goed mogelijk worden opgenomen en geTmplementeerd. Hij mag daarbij uiteraard
nooit zijn onafhankelijkheid in diskrediet brengen door zelf die vereisten te gaan
implementeren. Hij moet o.i. ook behoedzaam zijn met het zelf formuleren van vereisten.
Het is beter dat deze definiering door andere partijen gebeurt. In het CICA rapport
wordt gesteld: «Internal auditors should participate in the review of control specifications
for the system and should assist users to verify that an adequate system of
internal control and management trails has been designed» (CICA, 1986, p. 37).
In de bekende SAC-studie van het I.I.A. wordt eveneens een voorzichtige benadering
bepleit: «Because of the objectivity required to assess the quality of controls, internal
auditors should not be directly responsible for any tasks subject to audit. As audit
users of the system, they may be involved in specifying auditability requirements and
may act as consultants with regard to control specifications» (SAC, 1991, p. 69). Dit
ligt in de lijn van, maar gaat o.i. toch iets verder dan, het Statement of Responsibilities
of Internal Auditors (1976):
«Objectivity is essential to the audit function. Therefore, internal auditors should not
C .. ) engage in any C .. ) activity which they would normally review and appraise and
which could be reasonably construed to compromise the independence of the internal
auditor. The internal auditor's objectivity need not be adversely affected, however,
by determining and recommending standi3rds of control to be applied in the development
of the systems and procedures being reviewed.»
271