Continuous auditing en de (veranderde) rol van de IAD ... - Lime Tree

C. Klumper RA CIA
column een case voor Cees
Meer continuïteit door een
dynamische auditplanning!
Continuous auditing is momenteel een buzzword.
Het wordt meestal in een adem genoemd met continuous
monitoring. Het IIA heeft er een Global
Technology Guide aan gewijd (GTAG 3), gepubliceerd
in 2005, die continuous auditing definieert als
een methode om beheersmaatregelen en risico’s op
doorlopende in plaats van op intervalbasis te auditen.
Daarbij kan de auditor gebruikmaken van
dezelfde technieken en methoden die het management
voor continuous monitoring kan toepassen.
Continuous monitoring wordt dan gedefinieerd als
een proces dat er – wederom doorlopend – voor
zorgt dat beheersmaatregelen effectief zijn.
Ondersteunende data-analysetools zijn, in de visie
van deze GTAG, hiervoor van essentieel belang.
Voorzover ik heb kunnen vaststellen is er sinds het
verschijnen van de GTAG in de literatuur niet veel
aan deze concepten gesleuteld: gebruik van geautomatiseerde
data-analysetools zou het management
en de internal auditor in staat moeten stellen om
beter en actueler zicht te houden op risico’s en de
effectiviteit van de interne beheersing ervan.
Dat klinkt goed, maar ik zie om me heen dat de
praktische toepassing van deze concepten tot nu toe
relatief beperkt is gebleven. Daar zijn goede redenen
voor. Ten eerste is het zo dat veel – zo niet de meerderheid
– van de belangrijkste risico’s zich buiten de
wat ik noem ‘bulkprocessen’ en bijbehorende datastromen
voordoen, namelijk in de handmatige controls.
En die laten zich niet of nauwelijks in een
geautomatiseerde data-analysetool vangen. Ten
tweede vind ik dat als een nuttige geautomatiseerde
check kan worden bedacht om mogelijke risico’s en
fouten te voorkomen of op te sporen, die check maar
beter direct structureel door het management in de
processen ingebouwd kan worden in plaats van als
(internal) audit tool te worden gebruikt.
COSO heeft recent ook iets over continuous monitoring
gezegd en wel in hun uitgebreide Monitoring
Guidance (juni 2008). Van de ongeveer 190 pagina’s
die deze guidance beslaat gaan er slechts twee over
het begrip continuous monitoring. Ook daarin wordt
geconcludeerd dat veel van de technieken en tools
die regelmatig onder de vlaggen van continuous
monitoring en auditing worden genoemd, structureel
worden ingebouwd als onderdeel van de reguliere
beheersmaatregelen. Kortom, geautomatiseerde
data-analysetools zijn zeker nuttig en dan met name
als onderdeel van de set van beheersmaatregelen die
in de processen aanwezig dienen te zijn, maar niet
zozeer als vaandeldragers van een ‘nieuw’ begrip als
continuous monitoring. Laat ‘continuous’ dan ook
maar weg, en pas de nieuwe COSO Monitoring
Guidance in de breedte, toe is mijn dringende advies.
En continuous auditing dan? Wel, mijn idee is altijd
geweest dat een auditor zich niet primair moet richten
op het vinden van fouten en risico’s maar dat hij
moet toetsen of het management daar adequaat mee
bezig is. Waarom zou internal audit doorlopend uitgebreide
data-analysetools in willen zetten als dat
een managementtaak is?
Wel kunnen internal auditors nadenken over hoe ze
het internal auditproces veel meer kunnen dynamiseren,
bijvoorbeeld hoe te komen tot een doorlopende
risicoanalyse in plaats van een periodieke (soms
alleen jaarlijkse!) en hoe te komen tot een dynamische
auditplanning, waarbij continu bijvoorbeeld zes
maanden vooruit wordt gepland in plaats van te werken
met statische jaarplannen? Die vorm van continuous
auditing spreekt mij in elk geval een stuk
meer aan. En internal audit kan natuurlijk het
management helpen bij het inregelen van de juiste
monitoringactiviteiten, inclusief het gebruik van de
juiste data-analysetools.
AUDIT magazine
nummer 5 december 2008
39