Inleiding

Wat is eigenlijk een trend? In de Van Dale wordt een trend omschreven als ‘een richting waarin zich iets ontwikkelt’. In het dagelijkse spraakgebruik staat de term trend ongeveer gelijk aan elke nieuwe ontwikkeling. Een trend is een belofte. Wordt de belofte niet ingelost, dan spreken we van een hype. Een trend die, na verloop van tijd, zijn belofte inlost, wordt een algemeen gebruikte toepassing.

In een wereld waarin de technologische ontwikkelingen elkaar steeds sneller opvolgen en het steeds moeilijker wordt om te voorspellen welke technologieën gaan doorbreken, is het allereerst van belang om inzicht te hebben in de belangrijkste technologische ontwikkelingen en doorbraken. Deze ontwikkelingen en doorbraken kunnen substantiële impact op de maatschappij of een branche hebben. Op hun beurt leiden (technologische) ontwikkelingen tot ontwikkelingen op andere gebieden. IT-trends beïnvloeden en geven verdere richting en invulling aan de wijze waarop het vakgebied IT-auditing zich in de komende jaren zal ontwikkelen.

In dit artikel wordt een kort overzicht gegeven van de trends in IT en IT-auditing. Het artikel is voor een belangrijk deel gebaseerd op de publicatie Trends in IT 2005|2006 van het Business & IT Trends Institute.

Trends in IT

De laatste jaren is er een duidelijke kentering zichtbaar in de IT. Na het aanvankelijke primaat van de techniek gaat nu steeds meer de inhoud de boventoon voeren. Het gaat erom met behulp van techniek innovatieve concepten te ontwikkelen met toegevoegde waarde voor de organisatie. We zien dit terug in de ontwikkelingen waarlangs IT-trends zich grofweg bewegen. Uit empirisch onderzoek blijkt een drietal ontwikkelingen:

Ten eerste stelt de technologie ons in staat steeds meer tijd- en plaatsonafhankelijk te werken. We zijn niet meer gebonden aan een pc maar kunnen via allerlei apparaten informatie benaderen en diensten afnemen. Dit wordt ook wel pervasive computing genoemd. Overigens schetsten diverse leveranciers, waaronder IBM, eind jaren negentig al een beeld van een dergelijke toekomst. In het Thomas J. Watson researchcentrum van IBM werd toen al onderzoek gedaan met allerlei huishoudelijke apparaten die voorzien van een chip met de buitenwereld konden communiceren. Op een nieuwjaarsbijeenkomst van IBM in 1998 werd verteld dat door een koelkast en de producten in deze koelkast te voorzien van chips, het mogelijk is om de koelkast via bijvoorbeeld het elektriciteitsnetwerk een boodschappenlijst te laten doorgeven aan de supermarkt. Ook nu nog geven diverse gerenommeerde leveranciers hun beeld van ‘de huiskamer van de toekomst’ of de toekomst van een bepaalde branche. Kijk bijvoorbeeld maar eens op de website van Microsoft.

Diverse (combinaties van) technologieën zoals Global Positioning System (GPS), Wireless Fidelity (Wi-Fi), GPRS/UMTS, intelligent agents, spraakherkenning en interactieve beeldschermen maken pervasive computing mogelijk. Het meest sprekende voorbeeld van pervasive computing op dit moment is waarschijnlijk de BlackBerry, een gecombineerde mobiele telefoon/organizer. De BlackBerry zal op korte termijn worden vervangen door zogenaamde Windows Smartphones. Deze telefoon kan in de auto dienen als navigatiesysteem en multimediaspeler en stelt ons met behulp van spraakherkenning in staat te reageren op ontvangen voice- en e-mailberichten. Daarnaast kan de ‘smartphone’ op een intelligente manier uw agenda bewaken en op basis van bepaalde voorkeursinstellingen nieuwsberichten voorlezen. Verder is de verwachting dat het gebruik van spraak- en videotoepassingen, bijvoorbeeld in het onderwijs, via datanetwerken de komende jaren verder zal toenemen. Een belangrijke randvoorwaarde voor de verdere ontwikkeling van pervasive computing is een goedkoop, breedbandig (internationaal) en ‘roaming’ draadloos netwerk.

Een tweede ontwikkeling waarlangs IT-trends zich bewegen is dat IT-toepassingen steeds meer gericht zijn op proces- en ketenintegratie. De technologie stelt ons steeds beter in staat informatie en diensten geautomatiseerd uit te wisselen tussen de processen binnen en tussen organisaties. Service Oriented Architectures (SOA), op XML gebaseerde technologietoepassingen (webservices) en zogeheten middlewarebussen maken het mogelijk (keten)integratie (met bestaande systemen) te realiseren. Daarnaast wordt steeds meer ketengeoriënteerde software ingezet, zoals ERP-software en portals om processen door organisaties heen beter op elkaar af te stemmen. In de zorg bijvoorbeeld wordt de volledige beschikbaarheid en efficiënte uitwisseling van informatie door middel van een basis ICT-infrastructuur en een landelijk Elektronisch Patiënten Dossier nagestreefd. Hiertoe wordt een gemeenschappelijke basisinfrastructuur gerealiseerd. Deze basisinfrastructuur omvat de gedeelde ICT-voorzieningen die nodig zijn om de individuele ICT-voorzieningen van verschillende zorgpartijen (zorgverleners, zorgverzekeraars, etc.) onderling te kunnen koppelen voor transmuraal gegevensverkeer. De inzet van SOA, XML en middleware speelt hierbij een belangrijke rol. Op zich is de gedachte van proces- en ketenintegratie natuurlijk niet nieuw. Enkele jaren geleden werd met objectoriëntatie en objectgeoriënteerd programmeren hetzelfde nagestreefd. Doordat processturing, procesoptimalisatie en ketenintegratie eindelijk volwassen beginnen te worden is de verwachting dat deze ontwikkelingen zich de komende jaren verder doorzetten.

De derde ontwikkeling ten slotte waarlangs IT-trends zich bewegen is de steeds verder toenemende (maatschappelijke) gerichtheid op informatie en het belang van betere en transparante informatie. De boekhoudschandalen (Enron, Ahold, Parmalat) waarmee de wereld is geconfronteerd, hebben hier zeker hun steentje aan bijgedragen. De roep om betrouwbare informatie kan worden gezien als één van de belangrijkste triggers voor IT-investeringen in de komende jaren. De technologieën zijn al beschikbaar, al blijven het aantal gigabytes en de bandbreedte een uitdaging. Een ander lastig vraagstuk in dit verband is het feit dat dezelfde gegevens vaak op verschillende plekken op niet-uniforme wijze worden geregistreerd. Binnen de (lokale) overheid worden hierom zogeheten authentieke bronregistraties opgezet zoals de gemeentelijke bevolkings- en vastgoedadministraties.

De gevolgen van de hierboven genoemde ontwikkelingen en trends zijn verschillend. Behalve dat het voor organisaties economisch steeds noodzakelijker wordt om gelijksoortige werkzaamheden vanuit efficiencyvoordelen te concentreren, wordt deze ontwikkeling door de technologie versterkt. Doordat informatie en diensten op elk moment via allerlei slimme randapparaten te benaderen zijn maakt het niet meer uit waar het werk wordt uitgevoerd. In dit verband staat het shared service center (SSC) al enige jaren in de belangstelling.

In het verlengde hiervan zien we dat organisaties vanuit proces- en ketenintegratie gedwongen worden om zich verder te positioneren in de keten en op zoek gaan naar hun kracht maar ook naar hun zwakte in deze keten. Deze ontwikkeling dwingt een organisatie na te denken over haar ‘kerncompetentie’. In dit kader zijn organisaties steeds meer bezig om delen van het eigen primaire proces onder te brengen bij andere partijen. Dit is een speciale vorm van outsourcing, business process outsourcing (BPO).

Trends in IT-auditing

Zoals in de inleiding al is aangegeven, beïnvloeden en geven de hiervoor geschetste IT-trends verdere richting en invulling aan de wijze waarop het vakgebied IT-auditing zich in de komende jaren zal ontwikkelen. Er is tot op heden echter (te) weinig gepubliceerd over trends in IT-auditing. Misschien heeft dit te maken met de aard van het beroep. Rainer Steger verwoordde dit recent in een column in de EDP-auditor als volgt: ‘…wij als IT-auditors verrichten vooral onderzoeken waarbij we de huidige situatie (ist-positie) toetsen aan een set met normen (soll-positie). Aan het doen van voorspellingen wagen wij ons als IT-auditors dan vaak ook niet.’ Hij voorspelt vervolgens: ‘Beveiliging, control en assurance rondom projecten zijn de onderwerpen waarmee wij ons dit jaar met name gaan bezighouden’.

In deze paragraaf geven we op basis van Trends in IT-beveiliging 2006 van Platform Informatiebeveiliging en Het profiel van de audit van NOREA een eerste aanzet voor de belangrijkste trends in IT-auditing. Hieruit komt naar voren dat er een vijftal trends en ontwikkelingen in IT-auditing is te onderscheiden die een grote samenhang vertonen met de ontwikkelingen waarlangs de IT-trends zich bewegen.

Als eerste trend zien we dat verschillende typen audits – operationeel, financieel en IT – steeds dichter naar elkaar toe groeien. Dit is gezien de verschuiving in de toepassing van IT van techniek naar inhoud logisch. In veel branches is IT een steeds belangrijker onderdeel van de bedrijfsprocessen en is zij in veel gevallen het hart van de organisatie. Deze trend wordt versterkt door de eisen van behoorlijk bestuur[Op 9 december 2003 publiceerde de commissie-Tabaksblat haar corporate-governancecode. De code bevat een aantal principes en ‘best practice’-bepalingen op basis waarvan Nederlandse vennootschappen die aandelen of certificaten van aandelen aan een beurs hebben genoteerd, invulling kunnen geven aan behoorlijk bestuur. In de code zijn verstrekkende bepalingen opgenomen omtrent de rapportage over het risicobeheersings- en controlesysteem van de onderneming. Inmiddels zijn door verschillende brancheorganisaties (bijvoorbeeld de HBO-raad en de BVE-raad) specifieke governancecodes ontwikkeld. De code-Tabaksblat heeft hierbij veelal als uitgangspunt gediend.] die in steeds meer branches aan organisaties worden gesteld. Risicomanagement en interne beheersing laten zich vanuit het oogpunt van de bedrijfsvoering niet verdelen in operationeel, financieel en IT. Een verdere integratie van de verschillende typen audits is in de (nabije) toekomst dan ook een bittere noodzaak. Inherent aan deze trend is de ontwikkeling dat het toetsen van de kwaliteit van het proces van totstandkoming en een aantal inhoudelijke randvoorwaarden waaraan strategievorming moet voldoen een belangrijk onderdeel is van de geïntegreerde audit. Interne beheersing vindt immers haar startpunt in de organisatiestrategie. Hierbij is het tevens van belang dat er in de geïntegreerde audit aandacht is voor de wijze waarop een organisatie omgaat met veranderingen. Snel en flexibel reageren op veranderingen is voor een organisatie van groot belang.

Een tweede belangrijke trend vloeit voort uit de steeds verdergaande proces- en ketenintegratie. Om de efficiency in het auditen van dergelijke informatieketens te bevorderen zien we auditors steeds vaker verklaringen afgeven waarop een andere auditor kan steunen. Het bekendste voorbeeld hiervan is een zogeheten SAS 70-verklaring. Een ontwikkeling die zich daarnaast aftekent is dat door de ketenpartners en auditors meer en meer gebruik gemaakt zal worden van een gemeenschappelijk dan wel geïntegreerd en procesgericht stelsel van internecontrolemaatregelen. Nu zien we vaak dat internecontrole- en beheersingssystemen van de verschillende ketenpartners onvoldoende op elkaar aansluiten en hanteren de betrokken (externe) auditors veelal hun eigen normenkader. Niet alleen vertoont het werk van de auditors hierdoor overlap maar bestaat tevens de kans dat er onvoldoende inzicht is in de kwaliteit van het gehele proces.

Security is de derde belangrijke trend in IT-auditing. Zoals de toenmalige directeur van de ANWB, Jaap Groen, in het voorwoord van Trends in IT 2004|2005 al aangaf: ‘Security is op dit moment dan ook een belangrijk issue, niet alleen in de ICT, maar vooral ook in onze normale samenleving’. In z’n algemeenheid kan worden gesteld dat het belang van security toeneemt naarmate het aantal mensen met toegang tot de diverse informatiebronnen groter wordt. Daarnaast zorgt het toenemend gebruik van internet ervoor dat de aard van de bedreigingen verandert en dat het aantal bedreigingen toeneemt. De oorzaak hiervan kan worden gezocht in de voortschrijdende technologische ontwikkelingen en de onbegrensde omgeving waarin de bedreigingen zich kunnen manifesteren. Bedreigingen die samenhangen met het gebruik van internet zijn bijvoorbeeld virus- en ‘phishing'[Phishing is het oplichten van mensen door een vertrouwde website te kopiëren, en de nietsvermoedende personen al hun gegevens te laten ingeven zoals hun kredietkaartnummer en hun geheime code. De slachtoffers kunnen naar deze valse website gelokt worden door een e-mail met een link naar deze website (bron: nl.wikipedia.org/wiki/Phishing).]-aanvallen.

De vierde belangrijke trend is ‘tool-based auditing’. De IT-auditor zal bij het uitvoeren van zijn of haar werkzaamheden meer en meer gebruikmaken van Computer-Assisted Audit Techniques (CAAT’s). CAAT’s maken het werk van de IT-auditor niet alleen efficiënter en effectiever maar spelen ook een belangrijke rol bij het testen van interne beheersingsmaatregelen. Door Sarbanes-Oxley (SOX) en de code-Tabaksblat is het voor organisaties noodzakelijk om aantoonbaar ‘in control’ te zijn. Auditors kunnen CAAT’s benutten om feiten te onderbouwen. Daarnaast kunnen organisaties CAAT’s gebruiken om het functioneren van kritische internecontrolemaatregelen te monitoren.

Ten slotte heeft een aantal bovengenoemde trends een belangrijke impact op de wijze waarop de IT-auditor zijn of haar werkzaamheden uitvoert en vastlegt. De verschuiving van ‘tell me’ naar ‘prove me’, het toenemend belang van transparantie en de aard van de ‘in control’-verklaringen vereisen dat de IT-auditor te allen tijde de deugdelijke grondslag van de uitgevoerde audit moet kunnen aantonen. Dit betekent niet alleen standaardisatie van werkwijze (waaronder dossiervorming) maar ook standaardisatie van normenkaders. Belangrijk is om op te merken dat de IT-auditor tijdens de opdrachtaanvaarding en gedurende de opdrachtuitvoering steeds vaker zijn of haar onafhankelijkheid en onpartijdigheid moet kunnen aantonen.

Conclusie

Bij het toepassen van IT gaat het niet langer om de techniek maar om de inhoud. Het gaat om het ontwikkelen van inhoudelijk innovatieve concepten die mogelijk zijn geworden door de technologie: tracking en tracing van pakketten via internet. De nieuwe technologische ontwikkelingen geven organisaties die hierop weten in te spelen, goede mogelijkheden om hun eigen positie in de keten veilig te stellen.

Uit de trends in IT-auditing blijkt dat niet alleen technologische ontwikkelingen van invloed zijn op de ontwikkeling van het vakgebied. Vooral economisch-maatschappelijke ontwikkelingen drukken een belangrijk stempel op het vakgebied. De invloed van de Verenigde Staten is hierbij duidelijk zichtbaar. Het Amerikaanse de jure (rule based) lijkt het meer Nederlandse de facto (principle based) uitgangspunt steeds meer te overvleugelen. Volgens sommigen zijn we terug in het stenen tijdperk: alleen maar afvinken en documenteren. Een auditor zou echter niet alleen naar de letter moeten kijken, maar ook naar de geest.