Inleiding

Veel bedrijven hebben de afgelopen twee jaar geïnvesteerd in het documenteren en implementeren van Internal Controls over Financial Reporting (ICOFR), in verband met de Sarbanes-Oxley Act (SOX). De ICOFR betreffen beheersingsmaatregelen die de integriteit van de externe financiële verslaggeving waarborgen.

Eén van de uitdagingen van SOX is het vaststellen van de maatregelen die relevant zijn in het kader van ICOFR, hetgeen ook wel scoping wordt genoemd. Voor ICT in het bijzonder blijkt scoping als complex te worden ervaren. Hiervoor is een aantal oorzaken aan te wijzen:

• het ontbreken van concrete theorie achter de wet- en regelgeving waarin de relatie tussen ICOFR en beheersing van ICT eenduidig wordt aangegeven;
• de onder verschillende personen verdeelde kennis betreffende de samenhang tussen processen, applicaties en ICT, evenals de aan deze objecten verbonden risico’s;
• de complexe relatie tussen de betrouwbaarheid van de financiële verslaggeving en ICT-maatregelen.

In dit artikel wordt een aanpak behandeld voor de scoping van de voor financiële verslaggeving relevante ICT-maatregelen, met inachtneming van publieke standaarden én de KPMG-werkmethoden die in de auditpraktijk zijn ontwikkeld.

Relevante wet- en regelgeving

De Amerikaanse beursautoriteit SEC (Security & Exchange Committee) heeft met de invoering van SOX een speciaal orgaan in het leven geroepen dat is belast met het opstellen van auditstandaarden en het zorg dragen voor de naleving van de auditstandaarden: de Public Company Accounting Oversight Board (PCAOB).

De PCAOB heeft met Auditing Standard 2 aangegeven op welke wijze de kwaliteit van Internal Controls over Financial Reporting (ICOFR) dient te worden beoordeeld. De standaard betreft een nadere uitwerking van de eisen uit de SOX404-wetgeving en bevat voorschriften die door externe auditors dienen te worden nageleefd.

In de PCAOB Standard 2 wordt specifiek ingegaan op de scoping van ICT voor SOX:

• Artikel 40: ‘the auditor should determine whether management has addressed the following elements: … controls, including information technology general controls, on which other controls are dependent. …’
• Artikel 50: ‘… information technology general controls over program development, program changes, computer operations, and access to programs and data help ensure that specific controls over the processing of transactions are operating effectively. …’

Afbakening van de relevante ICT

De scoping van de relevante ICT betreft twee activiteiten:

1. het vaststellen van de key applicaties;
2. het vaststellen van de aan key applicaties gerelateerde ICT.

Vaststellen key applicaties

De scoping vangt aan met een (strategische) analyse van de organisatie als geheel. Dit betreft onder andere de analyse van de mate van homogeniteit van organisatieonderdelen en de mate van (de)centralisatie, kritieke bedrijfsprocessen en externe en interne factoren ([Brou03]). Deze analyse resulteert in een overzicht van de relevante entiteiten en processen.

Voor de relevante processen worden de key proces controls gedefinieerd, die in samenhang de integriteit van financial reporting waarborgen.

De key proces controls zijn een mix van preventieve en detectieve maatregelen, samengesteld op basis van een risicoanalyse. De key proces controls waarborgen met een redelijke mate van zekerheid dat fouten worden voorkomen en/of (tijdig) worden gedetecteerd en gecorrigeerd. De key proces controls vallen uiteen in handmatige controls en applicatie controls.

Via de key applicatie controls worden de key applicaties geïdentificeerd. Hiertoe wordt vastgesteld welke (delen van) applicaties de key applicatie controls bevatten. Vervolgens wordt het samenstel van handmatige en applicatie controls geëvalueerd, rekening houdende met de gewenste mix van preventieve en detectieve maatregelen. Als gevolg hiervan kunnen mogelijk applicaties worden uitgesloten van de resulterende scope, als na evaluatie blijkt dat slechts in beperkte mate op een applicatie wordt gesteund in relatie tot key proces controls.

De key applicaties kunnen zowel financiële als operationele systemen betreffen.

Figuur 1. Stappen bij het vaststellen van de key applicaties.

Vaststellen van aan key applicaties gerelateerde ICT

De aan key applicaties gerelateerde ICT-componenten worden vastgesteld door het analyseren van de impact die ICT-componenten hebben, zowel op de integriteit van de dataverwerking door key applicaties, als op de integriteit van de door deze key applicaties bewerkte en opgeslagen data.

De ICT kan in een aantal groepen worden verdeeld:

• Primaire ICT: de toegepaste ICT op het pad vanaf de werkplek van de gebruiker tot en met de opslag van de data, waarmee een specifieke applicatie wordt ondersteund.
• Secundaire ICT: de ICT die niet direct kan worden toegerekend aan het pad van de gebruiker tot de data, maar wel noodzakelijk is voor het functioneren van de applicatie. Dit is het deel van de ICT dat niet voor een specifieke applicatie aanwezig is, maar dat voor meerdere applicaties wordt toegepast (bijvoorbeeld het interne netwerk). Deze generieke ICT wordt ook wel aangeduid als ICT-infrastructuur.
• Tertiaire ICT: de ICT die de naleving van maatregelen controleert betreffende de primaire en de secundaire ICT, door het controleren van systeeminstellingen en het controleren van optredende gebeurtenissen. De tertiaire ICT is van belang, juist omdat vanuit de PCAOB wordt gevraagd om testing of operating effectiveness. Hiertoe dient een organisatie zelf de naleving van ICT-maatregelen te controleren.

Vaststellen primaire ICT

Op het logische toegangspad van de gebruiker tot de data bevinden zich de volgende primaire ICT-componenten die voor een applicatie specifiek zijn ingericht:

• applicatie;
• database/DBMS;
• besturingssysteem.

Het waarborgen van de naleving van functiescheidingen vereist dat beveiliging op alle lagen van de ICT is gewaarborgd ([Bink05]).

In kader 1 wordt een voorbeeld gegeven van het logische pad voor een gebruiker die SAP R/3 benadert.

Vaststellen secundaire ICT

Secundaire ICT betreft de ICT die niet direct kan worden toegerekend aan het pad van de gebruiker tot de data (zie kader 2). Dit is het deel van de ICT dat niet voor een specifieke applicatie aanwezig is, maar dat voor meerdere applicaties wordt toegepast (bijvoorbeeld het interne netwerk). De generieke ICT wordt ook wel aangeduid als ICT-infrastructuur.

Verscheidene ICT-risicogebieden kunnen worden onderkend, die een wezenlijke invloed hebben op de beveiliging van het pad van de gebruiker naar de data, en die secundaire ICT betreffen (zie tabel 1).

Tabel 1. Risicogebieden met betrekking tot secundaire ICT.

Vrijwel alle organisaties beschikken over secundaire ICT. Voor SOX zullen deze organisaties moeten vaststellen of een (beveiligings)deficiëntie betreffende de secundaire ICT-component een relevante impact kan hebben op de primaire ICT. Indien hiervan sprake is, dan dient die secundaire ICT-component te worden opgenomen in de SOX-scope.

Vaststellen tertiaire ICT

Voor compliance aan SOX 404 is het van belang dat de organisatie aantoonbaar ‘in control’ is. Dit niveau van control is in figuur 2 in perspectief geplaatst.

Figuur 2. Volwassenheid van maatregelen.

Als de ICT aantoonbaar ‘in control’ is, dan bestaat een stelsel van preventieve en detectieve ICT-maatregelen ([Korn04]). De ICT-maatregelen die key proces controls wezenlijk ondersteunen, dienen dan te worden gecontroleerd op naleving. Denk bijvoorbeeld aan controle van primaire en secundaire ICT-componenten betreffende de implementatie van security baselines voor besturingssystemen en de wijze van inloggen door beheerders op ICT-componenten.

De monitoring van de ICT omvat de controle en rapportage inzake de geïmplementeerde parameters voor relevante ICT-componenten (bijvoorbeeld beveiligingsparameters binnen applicaties, middleware, databasemanagementsystemen, besturingssystemen en netwerkcomponenten). Uit alle ICT-componenten kan data worden geëxtraheerd, zowel betreffende de optredende gebeurtenissen (logging) als voor wat betreft de status (bijvoorbeeld mate van compliance aan een beveiligingsstandaard).

De gegevens betreffende optredende gebeurtenissen en statussen kunnen worden verzameld, geanalyseerd, gerapporteerd en gearchiveerd.

Intussen hebben veel bedrijven onderkend dat het integraal en systematisch verwerken van dergelijke monitoringgegevens een structurele aanpak vraagt. Het is niet afdoende onafhankelijk van de te stellen eisen aan de ICT, logging te activeren en de status van ICT-componenten te meten.

Monitoring dient plaats te vinden op basis van de aan ICT gestelde eisen. Voor elk van de vastgestelde eisen moet worden bepaald of en zo ja, op welke wijze monitoring kan plaatsvinden.

Rekening houdende met het grote volume aan monitoringgegevens dat hiermee wordt verzameld, is het tevens van belang hulpmiddelen in te zetten om informatie bij de bron (de ICT-componenten) te verzamelen en voorzover mogelijk centraal te verwerken. Tot slot moet worden overwogen gedurende welke periode logging dient plaats te vinden.

Figuur 3. Verwerking van logging.

Tot slot

De scoping van ICT begint bij het vaststellen van de key proces controls inclusief de key applicatie controls. Via de key applicatie controls worden de key applicaties bepaald. Vervolgens wordt nagegaan welke ICT een relevante impact heeft op de data en programmatuur van key applicaties.

Bij de selectie van de voor SOX relevante ICT dient in de eerste plaats te worden uitgegaan van de primaire ICT, de ICT op het pad van de gebruiker tot de data die een bedrijfsfunctie automatiseert.

Daarnaast dient secundaire ICT expliciet te worden opgenomen binnen de scope van SOX, als deze een relevante impact heeft op de primaire ICT en daarmee op key applicaties.

Tevens dient tertiaire ICT (monitoring) te worden opgenomen binnen de scope. Het inrichten van monitoring van de ICT vraagt allereerst om een bewuste visie ten aanzien van de principes volgens welke monitoring dient plaats te vinden: betreffende welke eisen dient controle op naleving van ICT-maatregelen plaats te vinden, voor welke systemen dient de naleving te worden gecontroleerd, op welke wijze dient de ICT te worden aangepast om monitoring van diezelfde ICT te waarborgen?

Als bij een audit in het kader van SOX 404 blijkt dat ICT-component controls niet adequaat zijn, dan moet op basis van een risicoanalyse de impact van een ICT-deficiëntie worden vertaald naar het effect op gerelateerde key proces controls van een organisatie. Besef hierbij dat primaire ICT veelal betrekking heeft op één of slechts enkele key applicatie controls, terwijl secundaire en tertiaire ICT betrekking hebben op (vrijwel) alle key applicatie controls.