Auditing (Summary)
Lecture notes, Studybook & Academic papers
Lecturer : Marc Welters, Eric Westhoek
Exams :
Auditing College 1
Date : 21-01-2022
Auditing wordt gedefinieerd als het vergaren- en evalueren van bewijslast over het informatiesysteem.
Waarbij wordt vastgesteld in hoeverre het informatiesysteem informatie genereert conform de gestelde
criteria. Auditing moet dan ook altijd worden uitgevoerd door een competente en onafhankelijke persoon.
Accounting is het vastleggen, classificeren en samenvatten van economische transacties om financiële
informatie te genereren voor beslissingen nemen.
Auditing is het doen van onderzoek door een onafhankelijke auditor met als doel om aanvullende
zekerheid te geven aan de opdrachtgever en belanghebbenden.
Voorbeelden van audit zijn: Financial Audit (jaarrekeningocntrole), Operational Audit, IT-audit, Compliance,
Certificering (ISO/NEN), beoordeling gedrag of cultuur, medische keuring, APK. Auditing is geíntroduceerd om
een zekere mate van zekerheid (oordeel/advies) te geven over de kwaliteit (betrouwbaarheid/contiuïteit)
verstrekt door een onafhankelijke deskundige. Hierbij is aandacht voor kwaliteit van process, bedrijfsvoering,
interne beheersing, beveiliging en compliance.
Een audit levert een product op, dit is een: Opdracht, rapport (met oordeel, bevindingen en aanbevelingen),
eventuele presentatie, rapportage conform standaarden (IFRS, ISAE etc.) of dossier.
Een audit bestaat uit een opdrachtbevestiging, waarbij de klant gebruik gaat maken van diensten van de
auditor. Belangrijke onderdelen van deze bevestiging zijn (o.a.):
Honorarium
Scope van werkzaamheden
Deadline
Afgesproken kosten
Gedurende de audit leg je een audit-dossier aan met bewijslast welke uiteindelijk leidt tot het oordeel.
Betreft professionele diensten die leiden tot een (eind)rapport
Primair verantwoordingsinstrument van uitgevoerde werkzaamheden
Secundair ondersteuning uitvoering en toezicht
Moet toegankelijk zijn voor een ervaren IT-
auditor
Moet volledig beeld geven van uitgevoerde
werkzaamheden, afwegingen, analyses en
besluitvorming / oordeelsvorming (Richtlijn
geeft overzicht van relevante documenten /
auditinformatie)
Let op ontwikkelingen na onderzoeksdatum,
voor rapportdatum
Dossier afsluiten (max 60 dagen na datum
conclusie / advies); dan geen wijzigingen
meer
Wettelijke bewaartermijn (minimaal 7 jaar)
,De kwaliteit van de audit wordt sterk bepaald door:
Auditor (deskundigheid, objectiviteit, geheimhouding en ‘beroepsregels naleving’)
Eisen van de uitvoering (planning, uitvoering, rapportage)
Kwaliteitsbeheersing en kwaliteitstoezicht.
Een audit is opgebouwd uit fases: (1) voorbereiding (vooronderzoek, opdrachtsverstrekking/acceptatie) (2)
Uitvoering (initiële beoordeling, bepalen SOLL positie, bepalen IST-positie, analyse soll-ist, evaluatie
oordeelsvorming) (3) Afronding (rapportage, dossiervorming, uitbrengen rapport en evaluatie)
Figure 1: Handleiding voor bepalen: Doelstelling audit, object van onderzoek, scope en afbakening,
kwaliteitscriteria, normen.
Een object moet: identificeerbaar zijn, makkelijk te toetsen, moet informatie beschikbaar zijn
en is controleerbaar.
, Auditing College 2
Date : 21-01-2022
Casus: Batana - App
Nederland is momenteel getroffen door een pandemie. Een nieuw virus, Batana, is zodanig besmettelijk, dat de
regering heeft besloten dat er zoveel mogelijk vanuit huis moet worden gewerkt. Tevens, om besmettingen in het
land zoveel mogelijk te kunnen monitoren en te onderzoeken waar ‘haarden’ zijn wordt aan een app gedacht die mensen
moeten gaan installeren op hun smartphones. Via de informatie uit de app kan worden geanalyseerd wie waar bij wie in
de buurt is geweest en zo wordt getracht verdere besmettingen te vermijden. Er is echter nogal wat publiek en
maatschappelijk rumoer rond de app. De demissionaire Minister van Volksgezondheid is het gezeur van de Kamer
spuugzat. Op het ministerie wordt koortsachtig overleg gepleegd om in samenwerking met mogelijke leveranciers tot een
optimale app te komen. Dit vindt plaats met gebrekkige computerondersteuning en communicatie. Het gevolg is dat veel
informatie niet up-to-date is waardoor het systeem en de coördinatie niet effectief werkt. Een voormalig ambtenaar,
inmiddels eigenaar van softwarebureau Batapp, heeft naar eigen zeggen een app ontwikkeld dat een goede oplossing zou
bieden. De back-end van het systeem draait onder software van Microsoft, in de Azure Cloud, een voor het ministerie
bekend platform. De datacollectie vindt plaats via het Internet en komt van alle gebruikers die akkoord zijn gegaan met
deze collectie toen zij de app installeerden . Het RIVM kan zo de ontwikkelingen ‘live’ monitoren . Ook het ministerie kan
desgewenst gegevens raadplegen . De app kost inclusief installatie een half miljoen euro en de jaarlijkse
licentie/onderhoudskosten zijn 50.000 euro. De minister heeft vanwege de Batana-crisis een bezuinigingsoperatie lopen
en heeft nauwelijks geld voor nieuwe dingen.
De directeur van Batapp heeft bij de minister een pleidooi gevoerd om de app aan te schaffen. De minister voelt
daar wel voor maar is beducht om geld te steken in de zoveelste ICT luchtballon, zeker gezien de maatschappelijke
discussie. Daarom wordt besloten een audit op de app te eisen. De leverancier is daartoe wel bereid, maar wil dan
wel zelf graag de opdrachtgever zijn, ofschoon het ministerie de kosten betaalt. Het ministerie heeft hiervoor
30.000 euro voor beschikbaar.
U wordt door de minister als externe auditor om advies gevraagd.
1. Welke dilemma’s u ziet bij het (laten) uitvoeren van het gevraagde onderzoek
(audit)?
Rondom de app- en de audit in het geheel zijn een aantal dilemma’s. (1) Allereerst is het een audit voor de overheid
rondom een maatschappelijk beladen thema. Het audit rapport zal openbaar worden gepubliceerd, een fout in de audit
kan leiden tot imagoschade. Daarnaast is vanuit de (2) overheid niet duidelijk wat men wil met de audit op de app of de
scope van de audit. Test men op functionaliteit, beveiliging, privacy of effectiviteit van deze app. (3) Men benoemd de
kosten van de app, maar niet de totale investering, (4) In de opdracht is nog niet duidelijk wie de opdrachtgever zal zijn.
Aanvankelijk wil batapp, de ontwikkelaar van de app, de opdrachtgever zijn. Dit kan niet vanwege de onafhankelijkheid
van de auditor. In dit geval zal de minister de opdrachtgever moeten zijn. Verder zijn er geen (4) Duidelijke normen,
criteria of audit-object gedefinieerd
2. Gaat u mee met het voorstel een audit te laten uitvoeren?
De belangrijkste vraag hier is waarom er een probleem is en dus een audit nodig is. De oorzaak kan (1) een slecht systeem
zijn (2) tegenwerking vanwege andere belangen of andere oorzaken. Daarom is het belangrijk dat er een objectieve
normering is voor het onderzoek/audit kan plaatsvinden.
3. Indien ja, wat zou de doelstelling en inhoud van deze ‘audit’ (waaronder object
van onderzoek,
criteria, normen, etc.) moeten of kunnen zijn?
Indien onderzoek uitwijst dat een audit mogelijk is – en dus de app ge-audit kan worden. Moet er stil worden gestaan bij
de doelstelling – en inhoud:
Beperkt het onderzoek tot het systeem, denk aan randvoorwaarden zoals technische infrastructuur
Lecture notes, Studybook & Academic papers
Lecturer : Marc Welters, Eric Westhoek
Exams :
Auditing College 1
Date : 21-01-2022
Auditing wordt gedefinieerd als het vergaren- en evalueren van bewijslast over het informatiesysteem.
Waarbij wordt vastgesteld in hoeverre het informatiesysteem informatie genereert conform de gestelde
criteria. Auditing moet dan ook altijd worden uitgevoerd door een competente en onafhankelijke persoon.
Accounting is het vastleggen, classificeren en samenvatten van economische transacties om financiële
informatie te genereren voor beslissingen nemen.
Auditing is het doen van onderzoek door een onafhankelijke auditor met als doel om aanvullende
zekerheid te geven aan de opdrachtgever en belanghebbenden.
Voorbeelden van audit zijn: Financial Audit (jaarrekeningocntrole), Operational Audit, IT-audit, Compliance,
Certificering (ISO/NEN), beoordeling gedrag of cultuur, medische keuring, APK. Auditing is geíntroduceerd om
een zekere mate van zekerheid (oordeel/advies) te geven over de kwaliteit (betrouwbaarheid/contiuïteit)
verstrekt door een onafhankelijke deskundige. Hierbij is aandacht voor kwaliteit van process, bedrijfsvoering,
interne beheersing, beveiliging en compliance.
Een audit levert een product op, dit is een: Opdracht, rapport (met oordeel, bevindingen en aanbevelingen),
eventuele presentatie, rapportage conform standaarden (IFRS, ISAE etc.) of dossier.
Een audit bestaat uit een opdrachtbevestiging, waarbij de klant gebruik gaat maken van diensten van de
auditor. Belangrijke onderdelen van deze bevestiging zijn (o.a.):
Honorarium
Scope van werkzaamheden
Deadline
Afgesproken kosten
Gedurende de audit leg je een audit-dossier aan met bewijslast welke uiteindelijk leidt tot het oordeel.
Betreft professionele diensten die leiden tot een (eind)rapport
Primair verantwoordingsinstrument van uitgevoerde werkzaamheden
Secundair ondersteuning uitvoering en toezicht
Moet toegankelijk zijn voor een ervaren IT-
auditor
Moet volledig beeld geven van uitgevoerde
werkzaamheden, afwegingen, analyses en
besluitvorming / oordeelsvorming (Richtlijn
geeft overzicht van relevante documenten /
auditinformatie)
Let op ontwikkelingen na onderzoeksdatum,
voor rapportdatum
Dossier afsluiten (max 60 dagen na datum
conclusie / advies); dan geen wijzigingen
meer
Wettelijke bewaartermijn (minimaal 7 jaar)
,De kwaliteit van de audit wordt sterk bepaald door:
Auditor (deskundigheid, objectiviteit, geheimhouding en ‘beroepsregels naleving’)
Eisen van de uitvoering (planning, uitvoering, rapportage)
Kwaliteitsbeheersing en kwaliteitstoezicht.
Een audit is opgebouwd uit fases: (1) voorbereiding (vooronderzoek, opdrachtsverstrekking/acceptatie) (2)
Uitvoering (initiële beoordeling, bepalen SOLL positie, bepalen IST-positie, analyse soll-ist, evaluatie
oordeelsvorming) (3) Afronding (rapportage, dossiervorming, uitbrengen rapport en evaluatie)
Figure 1: Handleiding voor bepalen: Doelstelling audit, object van onderzoek, scope en afbakening,
kwaliteitscriteria, normen.
Een object moet: identificeerbaar zijn, makkelijk te toetsen, moet informatie beschikbaar zijn
en is controleerbaar.
, Auditing College 2
Date : 21-01-2022
Casus: Batana - App
Nederland is momenteel getroffen door een pandemie. Een nieuw virus, Batana, is zodanig besmettelijk, dat de
regering heeft besloten dat er zoveel mogelijk vanuit huis moet worden gewerkt. Tevens, om besmettingen in het
land zoveel mogelijk te kunnen monitoren en te onderzoeken waar ‘haarden’ zijn wordt aan een app gedacht die mensen
moeten gaan installeren op hun smartphones. Via de informatie uit de app kan worden geanalyseerd wie waar bij wie in
de buurt is geweest en zo wordt getracht verdere besmettingen te vermijden. Er is echter nogal wat publiek en
maatschappelijk rumoer rond de app. De demissionaire Minister van Volksgezondheid is het gezeur van de Kamer
spuugzat. Op het ministerie wordt koortsachtig overleg gepleegd om in samenwerking met mogelijke leveranciers tot een
optimale app te komen. Dit vindt plaats met gebrekkige computerondersteuning en communicatie. Het gevolg is dat veel
informatie niet up-to-date is waardoor het systeem en de coördinatie niet effectief werkt. Een voormalig ambtenaar,
inmiddels eigenaar van softwarebureau Batapp, heeft naar eigen zeggen een app ontwikkeld dat een goede oplossing zou
bieden. De back-end van het systeem draait onder software van Microsoft, in de Azure Cloud, een voor het ministerie
bekend platform. De datacollectie vindt plaats via het Internet en komt van alle gebruikers die akkoord zijn gegaan met
deze collectie toen zij de app installeerden . Het RIVM kan zo de ontwikkelingen ‘live’ monitoren . Ook het ministerie kan
desgewenst gegevens raadplegen . De app kost inclusief installatie een half miljoen euro en de jaarlijkse
licentie/onderhoudskosten zijn 50.000 euro. De minister heeft vanwege de Batana-crisis een bezuinigingsoperatie lopen
en heeft nauwelijks geld voor nieuwe dingen.
De directeur van Batapp heeft bij de minister een pleidooi gevoerd om de app aan te schaffen. De minister voelt
daar wel voor maar is beducht om geld te steken in de zoveelste ICT luchtballon, zeker gezien de maatschappelijke
discussie. Daarom wordt besloten een audit op de app te eisen. De leverancier is daartoe wel bereid, maar wil dan
wel zelf graag de opdrachtgever zijn, ofschoon het ministerie de kosten betaalt. Het ministerie heeft hiervoor
30.000 euro voor beschikbaar.
U wordt door de minister als externe auditor om advies gevraagd.
1. Welke dilemma’s u ziet bij het (laten) uitvoeren van het gevraagde onderzoek
(audit)?
Rondom de app- en de audit in het geheel zijn een aantal dilemma’s. (1) Allereerst is het een audit voor de overheid
rondom een maatschappelijk beladen thema. Het audit rapport zal openbaar worden gepubliceerd, een fout in de audit
kan leiden tot imagoschade. Daarnaast is vanuit de (2) overheid niet duidelijk wat men wil met de audit op de app of de
scope van de audit. Test men op functionaliteit, beveiliging, privacy of effectiviteit van deze app. (3) Men benoemd de
kosten van de app, maar niet de totale investering, (4) In de opdracht is nog niet duidelijk wie de opdrachtgever zal zijn.
Aanvankelijk wil batapp, de ontwikkelaar van de app, de opdrachtgever zijn. Dit kan niet vanwege de onafhankelijkheid
van de auditor. In dit geval zal de minister de opdrachtgever moeten zijn. Verder zijn er geen (4) Duidelijke normen,
criteria of audit-object gedefinieerd
2. Gaat u mee met het voorstel een audit te laten uitvoeren?
De belangrijkste vraag hier is waarom er een probleem is en dus een audit nodig is. De oorzaak kan (1) een slecht systeem
zijn (2) tegenwerking vanwege andere belangen of andere oorzaken. Daarom is het belangrijk dat er een objectieve
normering is voor het onderzoek/audit kan plaatsvinden.
3. Indien ja, wat zou de doelstelling en inhoud van deze ‘audit’ (waaronder object
van onderzoek,
criteria, normen, etc.) moeten of kunnen zijn?
Indien onderzoek uitwijst dat een audit mogelijk is – en dus de app ge-audit kan worden. Moet er stil worden gestaan bij
de doelstelling – en inhoud:
Beperkt het onderzoek tot het systeem, denk aan randvoorwaarden zoals technische infrastructuur
