Skip to main content

Blog Archives

Older posts
Newer posts

Het verhaal achter de techniek

De Amerikaanse toezichthouder SEC (Security and Exchange Commission) kondigt begin dit jaar aan om financiële informatie te gaan vragen op basis van XBRL (eXtensible Business Reporting Language). De Europese Commissie heeft in 2004 een subsidie van € 1 miljoen verstrekt voor het project XBRL in Europa. In ons eigen land verwacht het ministerie van Justitie, verantwoordelijk voor de Wet op de Jaarrekening, door het gebruik van XBRL tot 2008 een besparing van maar liefst € 420 miljoen te realiseren. Dit zijn zomaar wat berichten van de laatste tijd over XBRL. Vraagt u zich ook wel eens af waar deze ophef over XBRL vandaan komt en welke voordelen er eigenlijk voor uw organisatie te behalen zijn? Dit artikel richt zich vooral op de te realiseren voordelen en randvoorwaarden die een implementatie van XBRL met zich mee kan brengen, en gaat daarbij kort in op de techniek achter XBRL. Daarnaast besteden wij aandacht aan het raakvlak van corporate governance en XBRL.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Corporate governance in Nederland

Corporate governance in Nederland bestaat uit de corporate-governancecode die de commissie-Tabaksblat in 2004 opstelde. Sinds 1 januari 2005 zijn de Nederlandse beursgenoteerde ondernemingen wettelijk verplicht conform deze code te handelen. Deze code heeft verschillende raakvlakken met de Amerikaanse Sarbanes-Oxley Act. Eén van de meest opvallende en afwijkende aspecten van de Nederlandse code is het ‘comply or explain’-principe. Dit artikel geeft de basis en de inhoud van de Nederlandse corporate-governancecode beknopt weer en gaat in op de verschillen en overeenkomsten met Sectie 404 van de Sarbanes-Oxley Act.

Inleiding

De VOC was in de zeventiende eeuw één van de eerste grote Nederlandse ondernemingen waarbij er sprake was van een scheiding tussen de eigenaren en de bestuurders van de organisatie. Sindsdien hebben verschillende voorvallen plaatsgevonden waarin de eigenaren van de organisatie bedrogen uit de strijd kwamen doordat de organisatie onvoldoende volgens goed huisvaderschap werd bestuurd. In de afgelopen jaren hebben verschillende voorbeelden hiervan herhaaldelijk de voorpagina’s van de kranten gehaald (Enron, Worldcom, Parmalat en Ahold). Deze financiële schandalen hebben het vertrouwen van de aandeelhouders geschaad en leidden tot een behoefte aan strengere controle. Stakeholders eisen meer informatie over de manier waarop organisaties hun risico managen. Dit heeft geresulteerd in nieuwe regels op het gebied van corporate governance.

In Nederland is sinds januari 2005 de corporate-governancecode (de code) van kracht. De commissie corporate governance die werd voorgezeten door de heer Tabaksblat (commissie-Tabaksblat) heeft deze code opgesteld als reactie op de voorgevallen boekhoudschandalen. Zij kreeg als opdracht: ‘verbetering van de corporate governance van ondernemingen, teneinde het vertrouwen van de internationale kapitaalmarkt te vergroten’.

In 1997 stelde eenzelfde commissie corporate governance onder leiding van de heer Peters (commissie-Peters) het document op om de governance van vennootschappen in Nederland te verbeteren. Deze commissie kreeg de taak om te onderzoeken of het toenmalige evenwicht tussen toezicht, bestuur en aandeelhouders binnen de beursgenoteerde ondernemingen houdbaar was tegen de achtergrond van de internationalisering van de Nederlandse economie. Hiermee volgde zij onder andere het Verenigd Koninkrijk, waar aandacht voor corporate governance was veroorzaakt door de schandalen bij Barings en Maxwell.

De wijze waarop de commissie-Peters en de commissie-Tabaksblat invulling hebben gegeven aan de opdracht die zij in 1997, respectievelijk 2003 kregen, is onderwerp van de eerste paragrafen van dit artikel. Dit artikel gaat vervolgens in op de gevolgen van de code-Tabaksblat. Enerzijds worden de gevolgen voor het bedrijfsleven besproken; anderzijds wordt dieper ingegaan op de verschillen tussen de Sarbanes-Oxley wetgeving en de Nederlandse code-Tabaksblat. Het artikel sluit af met een overzicht van de consequenties voor de externe auditors, en de IT-aspecten van de code.

Commissie-Peters

De commissie-Peters deed in 1997 veertig aanbevelingen voor verbetering van corporate governance in Nederland. Deze aanbevelingen betroffen goed bestuur, adequaat toezicht en het afleggen van verantwoording. Het streven naar transparantie en verantwoording stond hierbij centraal ([Pete02]).

Twintig aanbevelingen hadden betrekking op de Raad van Commissarissen. Deze aanbevelingen richten zich op een onafhankelijke rol van de Raad van Commissarissen, die hierover verantwoording aflegt in het jaarverslag en op de Algemene Vergadering van Aandeelhouders. Zeven aanbevelingen hebben betrekking op de Raad van Bestuur. Deze aanbevelingen betreffen de rapportering van de Raad van Bestuur aan de Raad van Commissarissen over de doelstellingen, strategie en risico’s en de mechanismen ter beheersing van de risico’s van financiële aard. Daarnaast zijn aanbevelingen opgenomen over de bezoldiging/beloning van bestuurders en de mate waarin transparantie hierover in het jaarverslag dient te bestaan. De hiernavolgende tien aanbevelingen hebben betrekking op het functioneren van de Algemene Vergadering van Aandeelhouders en de rol van de kapitaalverschaffers. De commissie wil bewerkstelligen dat de kapitaalverschaffers serieuze invloed kunnen uitoefenen op de vennootschap. Zij geeft een aantal punten aan de hand waarvan de rol en de invloed van de kapitaalverschaffers kunnen worden getoetst en is voorstander van het opheffen van stemrechtbeperking en een efficiënt ‘proxy sollicitation’-systeem[Proxy sollicitation is stemmen op afstand door een administratiekantoor een volmacht te geven.]. De laatste aanbevelingen hebben onder andere betrekking op de rol van de externe accountant. De commissie-Peters geeft aan dat de accountant van de Raad van Commissarissen de opdracht kan krijgen om de juistheid van de rapportage van de Raad van Bestuur aangaande corporate governance te onderzoeken. Eén van de laatste aanbevelingen is een eenmalige wijze van monitoring van de nakoming van haar aanbevelingen ([CoCG97]).

De veertig aanbevelingen zijn nooit tot wet verheven. De commissie-Peters stelt ook geen wetswijzigingen voor (behalve een voorstel om het inkopen van eigen aandelen zonder fiscale gevolgen mogelijk te maken). De aanbevelingen bleven beperkt tot zelfregulerende maatregelen.

Het effect van de aanbevelingen van de commissie-Peters

Peters geeft aan in zijn artikel ‘Vijf jaar Corporate Governance in Nederland’ ([Pete02]) dat in 1998 gehoor is gegeven aan de aanbeveling om eenmalig te monitoren in hoeverre de veertig aanbevelingen door beursgenoteerde ondernemingen ter harte werden genomen. Hij geeft aan dat in 1998 corporate governance één van de gespreksthema’s was tijdens de Algemene Vergadering van Aandeelhouders. De veertig aanbevelingen zijn daardoor in 1998 inderdaad het gespreksthema geweest in vennootschapsland.

De Monitoring Commissie Corporate Governance (monitoringcommissie) voerde in 1998 een onderzoek uit naar de opvolging van de veertig aanbevelingen van de commissie-Peters. Op 3 december 1998 presenteerde deze commissie haar rapport ([MCCG98]), waarin zij concludeerde dat er in tegenstelling tot de aanbevelingen van de commissie-Peters, gebruik werd gemaakt van een grote diversiteit aan regelingen en structuren om de invloed van aandeelhouders te beperken. Het rapport van de monitoringcommissie leidde ertoe dat het kabinet concludeerde dat zelfregulering niet voldoende werkte en dat corporate governance in Nederland moest worden verbeterd.

In 1999 werd de Nederlandse Corporate Governance Stichting door Amsterdam Exchanges, de Stichting Corporate Governance Onderzoek voor Pensioenfondsen, de Vereniging Effecten Uitgevende Ondernemingen, Unilever en verschillende verzekeraars opgericht om de discussie over corporate governance in Nederland te stimuleren.

De Jong en Roosenboom ([Jong03]) publiceerden in 2003 een artikel dat de resultaten samenvatte van het onderzoek van de Nederlandse Corporate Governance Stichting naar de mate waarin beursgenoteerde ondernemingen in de vijf jaren de veertig aanbevelingen van de commissie-Peters ter harte hebben genomen. De resultaten van dit in 2002 uitgevoerde onderzoek laten een gemêleerd beeld zien. Er is sprake van vergrote transparantie in de jaarverslagen over de door de Raad van Commissarissen ingestelde commissies en de beloningen en het effectenbezit van bestuurders en commissarissen. Er was echter nog veel ruimte voor verbetering doordat de jaarverslagen de aandeelhouders vaak van onvoldoende informatie voorzien om te kunnen beoordelen of de Raad van Commissarissen zijn werk naar behoren heeft gedaan. Sinds 1997 is het aantal jaarverslagen dat informatie toont over de vergaderingen van de Raad van Commissarissen nauwelijks veranderd. Bovendien wordt in 2001 minder vaak vermeld dat de risico’s en beheersingssystemen in de vergaderingen van de Raad van Commissarissen aan bod zijn geweest. Er wordt geconcludeerd dat er sprake is van schone schijn; ondernemingen willen de indruk wekken de aanbevelingen overgenomen te hebben, maar de concretisering hiervan is weinig toetsbaar. De mate waarin de Veertig Aanbevelingen hiervoor ruimte laten doordat zij geen concrete eisen stellen, is hier debet aan.

Bovendien werd geconcludeerd dat organisaties anticiperen en reageren op wetgeving en uit eigen beweging slechts beperkte opvolging geven aan de aanbevelingen van Peters. Na vijf jaar commissie-Peters leek het concept van zelfregulering tot beperkte resultaten te hebben geleid.

De conclusies van de Corporate Governance Stichting vormden een aanleiding tot het instellen van een nieuwe corporate-governancecommissie, die een nieuwe code voor corporate governance moest opstellen. Deze commissie, onder leiding van Morris Tabaksblat (commissie-Tabaksblat), werd op 10 maart 2003 ingesteld.

De Code Corporate Governance in 2003

De commissie-Tabaksblat richtte zich op het definiëren en aannemen van rollen, taken en verantwoordelijkheden van de verschillende bestuursorganen binnen een bedrijf en van de externe auditor.

‘Goede corporate governance gaat in essentie om efficiënte supervisie van de Raad van Bestuur (de ‘checks’) en een gebalanceerde verdeling van macht tussen de Raad van Bestuur, de Raad van Commissarissen en de Algemene Aandeelhoudersvergadering (de ‘balances’).’ ([C0GC03])

Deze nieuwe code voor corporate governance, de code-Tabaksblat, bevat 21 principes en 113 best practices. Deze best practices formuleren gedragscodes en een verdeling van verantwoordelijkheden voor de Raad van Bestuur, de Raad van Commissarissen, de aandeelhouders en de externe toezichthouders.

De code-Tabaksblat heeft een wettelijke basis die is ingegaan per 31 december 2004. Hij is van toepassing op alle bedrijven die hun geregistreerde vestiging in Nederland hebben, evenals een Nederlandse beursnotering en gaat van kracht vanaf het financiële jaar na 1 januari 2004. Op 14 december 2004 heeft de Tweede Kamer een motie aangenomen om ook woningcorporaties wettelijk te verplichten aan de code-Tabaksblat te voldoen.

De code-Tabaksblat is gebaseerd op twee pijlers. Allereerst is dit ‘goed ondernemerschap’, inclusief integriteit en transparantie van de besluitvorming. De tweede pijler is behoorlijk overzicht, waaronder ook de aansprakelijkheid voor dit overzicht valt. Deze twee concepten acht de commissie-Tabaksblat noodzakelijk voor het vertrouwen van de aandeelhouders in het management van een bedrijf en zij zijn hierdoor de basis voor corporate governance en de code-Tabaksblat ([CGCo03]).

De code-Tabaksblat is verdeeld in vijf hoofdstukken:

0 Preambule
1 Naleving en handhaving van de Code
2 Het bestuur
3 RvC
4 De (algemene vergadering van) aandeelhouders
5 De audit van de financiële verslaggeving en de positie van interne audit en van de externe accountant.

De code-Tabaksblat schrijft voor dat bedrijven moeten kunnen aantonen dat de informatie over de bedrijfsvoering betrouwbaar en beschikbaar is. De Raad van Bestuur is verantwoordelijk voor de kwaliteit en volledigheid van de financiële verslaggeving. Bedrijven moeten dit kunnen waarborgen door het ontwerpen van een stelsel van interne beheersingsmaatregelen. Het bestuur is verantwoordelijk voor het voldoen aan wet- en regelgeving, voor een degelijk risicomanagement en voor een correcte financiële bedrijfsvoering. Het bestuur moet hierbij verantwoording afleggen over de interne beheersing, de gekozen risicomanagementstructuur, en de betrouwbaarheid van de financiële verslaggeving aan de Raad van Commissarissen en de auditcommissie. De bedrijven moeten in het jaarverslag een hoofdstuk opnemen waarin de corporate-governancestructuur beschreven wordt, evenals de mate waarin voldaan wordt aan de code-Tabaksblat.

De commissie-Peters stelde gelijksoortige aanbevelingen op die zich beperkten tot rapportage aan de Raad van Commissarissen. Deze rapportage diende de uitkomsten van de beoordeling van de opzet en het functioneren van de systemen die gericht zijn op het verschaffen van redelijke zekerheid dat de financiële informatie betrouwbaar is, te betreffen.

De code-Tabaksblat stelt strikte bepalingen aan de onafhankelijkheid van de leden van de Raad van Bestuur, evenals aan de hoogte en de samenstelling van de beloningen. Tevens mogen de leden van de Raad van Commissarissen maar voor een maximumperiode van vier jaar worden aangesteld en mogen zij een maximumaantal commissariaten bezitten.

De code-Tabaksblat schrijft, evenals de commissie-Peters, voor dat de Raad van Commissarissen van bedrijven uit verschillende comités moet bestaan (afhankelijk van de grootte van de Raad van Commissarissen): een auditcommissie, een benoemingscommissie en een remuneratiecommissie. Deze commissies moeten de besluitvorming van de Raad bevorderen. Tevens stelt de code-Tabaksblat grenzen aan het aantal commissies waarin de leden van de Raad van Commissarissen mogen deelnemen. Dit is ter voorkoming van het ‘old boys network’ en het vergroten van de onafhankelijkheid van de leden.

Bij de instelling van de diverse commissies kunnen bottlenecks ontstaan in verband met eerder aangegane contractuele relaties. Leden van de Raad kunnen voor een bepaalde tijd verbonden zijn aan de organisatie met een bijbehorende beloning. Onderkend wordt dat deze structuur niet direct opgeheven kan worden, waardoor het bedrijf niet meteen aan de principes van de code kan voldoen.

De Algemene Aandeelhoudersvergadering heeft onder de code-Tabaksblat meer macht gekregen. Niet alleen beoordeelt zij de mate waarin het bedrijf verklaart te voldoen aan de code-Tabaksblat, tevens evalueert zij de beloningen voor de Raad van Commissarissen. De aandeelhouders zijn de enige aangewezen partij die expliciet belast wordt met de controle op de naleving van de code-Tabaksblat ([Rene04]). Voor een goede werking van de code-Tabaksblat dienen de aandeelhouders hier ook van doordrongen te zijn. Het belang dat de code-Tabaksblat hecht aan de aandeelhouder wordt onderstreept door de preambule waarin wordt aanbevolen dat institutionele beleggers aan hun belanghebbenden verantwoording afleggen over het beheer van de aan hun beleggingen verbonden zeggenschapsrechten. Daarnaast behoren institutionele beleggers volgens de code hun corporate-governancebeleid openbaar te maken en transparantie te geven over de wijze waarop zij hun zeggenschapsrechten uitoefenen. Hierin schuilt ook een punt van kritiek op de code. Er kunnen vraagtekens worden gezet bij de mate waarin een dialoog zal ontstaan tussen vennootschap en institutionele belegger, wanneer deze van mening verschillen over de kwaliteit van de corporate governance. Ligt het niet meer in de lijn der verwachting dat deze dialogen vanwege hun tijdrovendheid, om efficiëntieredenen, een eenzijdig karakter zullen hebben (de toelichting op het stemgedrag van de belegger)? ([Maat04])

Een ander punt van kritiek op de code is dat deze geen framework voor het evalueren van de effectiviteit van het systeem van interne beheersing aangeeft. De code refereert aan het COSO-framework, maar dit geeft niet voldoende aanwijzingen over het evalueren van het systeem van interne beheersing. ‘Aandeelhouders worden geconfronteerd met statements over interne beheersing die op verschillende manieren kunnen worden geïnterpreteerd, omdat verschillende evaluatiecriteria gebruikt zijn’ ([Viss04]). Deze kritiek wordt door het NIVRA gedeeld: ‘Zonder een verplichting tot een vast framework voor interne beheersing, zoals gebruikelijk is in andere landen zoals de Verenigde Staten, blijft de code te vrijblijvend’ ([NIVR04a]).

De verslaggevingsaspecten van de code-Tabaksblat vatte professor Langendijk samen ([Lang04]). Tabel 1 geeft een overzicht van deze aspecten van de code. De verantwoordelijkheden van institutionele beleggers zijn niet meegenomen in tabel 1.

C-2005-2-Houwelingen-01

Tabel 1. Inhoud code-Tabaksblat. [Klik hier voor grotere afbeelding]

Het feit dat de code-Tabaksblat wettelijk verplicht is, wil niet zeggen dat je niet van de code mag afwijken. Het ‘comply or explain’-principe van de code houdt in dat organisaties mogen afwijken van de code-Tabaksblat, wanneer zij hiervoor gegronde redenen hebben. Bedrijven zijn wettelijk verplicht om te voldoen aan de code, echter de specifieke situatie van een bedrijf is van invloed op de mate waarin alle principes en best practices kunnen worden overgenomen. In dit geval moeten bedrijven in hun jaarverslag beargumenteren of, en zo ja in welke mate, zij niet kunnen voldoen aan de best practices en provisies. Het is hierbij aan de aandeelhouders om te bepalen of de corporate-governancestructuur voldoet aan de code; ‘explanation vervangt compliance na goedkeuring van de aandeelhoudersvergadering’. De Algemene Vergadering van Aandeelhouders kan bezwaar indienen tegen de corporate-governancestructuur en/of de reden van non-compliance voor een bepaald principe en de organisatie dwingen om hier veranderingen in aan te brengen. Mocht het tot een conflict komen tussen de Algemene Vergadering van Aandeelhouders en het management inzake de corporate-governancestructuur, dan mogen de aandeelhouders verschillende stappen ondernemen, waaronder het opstarten van juridische procedures ([CGCo03]).

C-2005-2-Houwelingen-02

Figuur 1. Corporate governance score per land in maart 2005 ([GMIn05]).

Opvolging van de code-Tabaksblat

In 2004 lieten het Netherlands Institute for Corporate Governance (NICG) en de Nederlandse Corporate Governance Stichting een onderzoek uitvoeren naar de naleving van de code-Tabaksblat ([NICG04]). Het NICG is een onafhankelijk kennisplatform waar Morris Tabaksblat (commissie-Tabaksblat), Jaap Peters (commissie-Peters) deel van uitmaken. Op 5 oktober 2004 werden de resultaten van het onderzoek gepresenteerd. Het onderzoek liet zien dat Nederlandse vennootschappen voortvarend aan de slag waren gegaan met de code-Tabaksblat. 93% voldeed aan de vereiste aanwezigheid van een corporate-governanceparagraaf in het jaarverslag, 81% van de vennootschappen had corporate governance geagendeerd tijdens de aandeelhoudersvergaderingen en de overgrote meerderheid verwacht relatief weinig problemen met de toepassing van de code-Tabaksblat. De heer Tabaksblat gaf aan dat ondernemingen op de goede weg waren. Over 2003 hoefde men geen verantwoording in het jaarverslag af te leggen aangaande de naleving van de code-Tabaksblat. 40% van de beursgenoteerde ondernemingen paste de zogenaamde ‘pas toe of leg uit’-regel al in de praktijk toe. Van de 32 ondernemingen die deze regel toepasten, legden 29 vennootschappen gezamenlijk 153 maal een afwijking van de zogeheten best practice-bepalingen uit. De voornaamste afwijkingen zijn: de benoemingstermijn, de maximale ontslagvergoeding en het maximale aantal commissariaten. Deze afwijkingen zijn in het algemeen van tijdelijke aard, vanwege bestaande contracten of specifieke situaties.

Onderzoek van het Amerikaanse ratingbureau Governance Metrics International (GMI) naar de corporate governance van 3220 ondernemingen wereldwijd toont eveneens een positief resultaat. Van alle Europese landen scoren de Nederlandse ondernemingen het hoogst op het gebied van goed ondernemingsbestuur. GMI onderzocht 3220 internationale bedrijven op honderden of kenmerken, verdeeld over zes categorieën:

  • bestuursaansprakelijkheid;
  • financiële toelichting en interne beheersing;
  • rechten van aandeelhouders;
  • remuneratie;
  • ownership base en takeover provisions;
  • maatschappelijk gedrag en sociale verantwoordelijkheid.

De gemiddelde Nederlandse score steeg van 4,2 in juli 2003 naar 6,5 in maart 2005. Wereldwijd moet Nederland het Verenigd Koninkrijk, Canada, de Verenigde Staten, Australië en Ierland voor laten gaan (zie figuur 1) ([GMIn05]).

De code versus SOX 404

De code-Tabaksblat komt op enkele gebieden overeen met Sarbanes-Oxley Act, één van deze gebieden is risicomanagement. De risicomanagementstructuur moet toegesneden zijn op de organisatie en moet beschreven worden in de jaarverslagen. De Nederlandse code stelt echter dat deze risicomanagementstructuur van toepassing is op alle soorten risico’s, zoals operationele risico’s en compliancerisico’s. Een integrale risicomanagementstructuur wordt hierbij aanbevolen. De Amerikaanse Act is alleen van toepassing op risico’s gerelateerd aan de betrouwbaarheid van de jaarrekening ([Viss04]). Beide codes geven aan dat het COSO-raamwerk voor interne beheersing gehanteerd kan worden bij de evaluatie van het interne risicobeheersingssysteem. Als zodanig omvat de code-Tabaksblat de volledige COSO-kubus en Sarbanes-Oxley 404 alleen de doorsnede gericht op ‘financial reporting’.

De code-Tabaksblat schrijft in tegenstelling tot de Sarbanes-Oxley Act een beperkte vorm van controle door de externe accountant voor. De code-Tabaksblat schrijft geen toezicht op naleving van de code voor. Ook niet voorzover het de interne beheersing betreft. De Sarbanes-Oxley wet schrijft expliciete controle door de externe auditor voor op de werking van de effectiviteit van het interne beheersingssysteem en op het proces dat het management gevolgd heeft om tot de conclusie aangaande de effectiviteit van dit systeem te komen. De werkzaamheden van de externe auditor in het kader van de code-Tabaksblat zijn beperkt tot een marginale toetsing. Dit houdt in dat de accountant geen verantwoordelijkheid heeft voor de doelmatigheid van de bestuursverklaring en de volledigheid van de bestuursverklaring ([Rene04]). De inhoud van de werkzaamheden van de accountant met betrekking tot de code wordt toegelicht in de volgende paragraaf.

Een ander verschil tussen de twee codes is dat Sarbanes-Oxley rule-based en de code-Tabaksblat principle-based is. De regels van Sarbanes-Oxley moeten strikt gevolgd worden, dit in tegenstelling tot de principes van de code-Tabaksblat. Hoewel de Nederlandse overheid de code-Tabaksblat heeft overgenomen, en hiermee het voldoen aan de code voor Nederlandse beursgenoteerde bedrijven verplicht heeft gesteld, mogen de principes worden aangepast aan de specifieke organisatie. Hierbij geldt het reeds toegelichte ‘comply or explain’-principe, hetgeen bedrijven enige flexibiliteit toelaat bij het toepassen van de code.

Dit heeft bovendien gevolgen voor de aansprakelijkheid van een bedrijf in het geval dat de interne beheersing niet volledig gewaarborgd is. Wanneer de systemen van een bedrijf gehackt worden en hierdoor schade wordt aangericht, is dit bedrijf in Amerika direct aansprakelijk voor de schade. In Nederland is dit echter afhankelijk van hetgeen het bedrijf naar ‘redelijkheid en billijkheid’ kon doen en gedaan heeft om dit misbruik te voorkomen ([Zaal05]). De begrippen ‘redelijkheid en billijkheid’ zijn echter niet duidelijk gedefinieerd in de code-Tabaksblat.

Een ander verschil met betrekking tot aansprakelijkheid is het feit dat onder de Sarbanes-Oxley Act het management persoonlijk aansprakelijk is voor fraude of misstatements in de financiële verslagen, dit in tegenstelling tot het management van bedrijven die alleen binnen de scope van de code-Tabaksblat vallen. Voor deze bedrijven geldt dat het bestuur niet persoonlijk aansprakelijk wordt gehouden.

C-2005-2-Houwelingen-03

Figuur 2. Het spectrum van interne beheersingsmaatregelen, COSO-kubus.

Gevolgen voor de externe auditor

De code-Tabaksblat geeft aan dat de externe accountant wordt aangewezen door de aandeelhoudersvergadering. De beloning en de restricties voor niet-auditdiensten worden goedgekeurd door de Raad van Commissarissen. Ter bevordering van de onafhankelijkheid van de externe auditor moet hij direct rapporteren aan de Raad van Commissarissen in plaats van aan de Raad van Bestuur. Tevens moet minimaal één keer per vier jaar het functioneren van de externe auditor worden beoordeeld. De interne auditor opereert onder de verantwoordelijkheid van de Raad van Bestuur.

De externe auditor beoordeelt de corporate-governancesectie in het jaarverslag op dezelfde wijze als de overige onderdelen van het jaarverslag. Hij is echter niet verplicht om deze structuur en de daaraan gerelateerde maatregelen ter bevordering van de interne beheersing te testen (dit in tegenstelling tot de Sarbanes-Oxley Act).

Het NIVRA heeft in januari 2005 Audit Alert 14 gepubliceerd om nadere ‘guidance’ rondom de code-Tabaksblat aan accountants te verstrekken. Deze Audit Alert heeft als titel: ‘De verantwoordelijkheid van de accountant bij de toetsing van in het jaarverslag opgenomen informatie over de naleving van de Nederlandse corporate governance code’. Het NIVRA geeft hierin aan dat de werkzaamheden van de accountant met betrekking tot de code-Tabaksblat zich dienen te richten op:

  1. toets op aanwezigheid en uiteenzetting van de corporate-governancestructuur in het jaarverslag;
  2. toets op rapportage-eisen uit de code voor opname in het jaarverslag en het verslag van de Raad van Commissarissen;
  3. toets op consistentie van door bestuur of Raad van Commissarissen gedane uiteenzettingen in het jaarverslag en de jaarrekening;
  4. toets op consistentie van uiteenzettingen in het jaarverslag en het verslag van de Raad van Commissarissen met uitkomsten van de wettelijke controle.

De werkzaamheden zullen voornamelijk gericht zijn op de beoordeling van de informatie aangaande de naleving van de code-Tabaksblat die weergegeven is in het jaarverslag. Wanneer een mededeling over corporate governance ontbreekt in het jaarverslag, dan moet de accountant dit opnemen in zijn verklaring.

De code-Tabaksblat stelt dat de externe accountant verplicht aanwezig dient te zijn tijdens de aandeelhoudersvergadering en kan worden bevraagd over zijn verklaring omtrent de getrouwheid van de jaarrekening. Het NIVRA heeft een ontwerp-gedragsrichtlijn opgesteld waarin het stelt dat de externe accountant tijdens de Algemene Vergadering van Aandeelhouders van een beursgenoteerde vennootschap alle vragen moet beantwoorden die betrekking hebben op zijn controlewerk. De voorzitter van de vergadering kan de externe accountant verbieden een vraag te beantwoorden vanwege ‘zwaarwegend’ belang van de vennootschap. Hier moet de externe accountant zich bij neerleggen ([NIVR04b]). Het bestuur behoudt echter zijn eigen verantwoordelijkheid voor de gepresenteerde resultaten.

De IT-gerelateerde componenten van de code-Tabaksblat

Corporate governance is gericht op een betere verdeling van macht, controle en verantwoordelijkheden binnen een organisatie. Risicomanagement is essentieel hierin, omdat inadequate corporate governance leidt tot een overmaat aan risico. Het beheersen van de betrouwbaarheid van managementinformatie is daarbij cruciaal. Een degelijke set van instrumenten en regels voor interne controle draagt bij aan het ‘in control’ zijn ([Spit04]).

Een punt van kritiek op de code-Tabaksblat is dat hij de dubbelrol van IT als waardecreërende en risicoverhogende factor negeert. ‘De afhankelijkheid van IT en de hieraan gerelateerde investeringen rechtvaardigen meer aandacht voor ICT in corporate governance. De rol van ICT is cruciaal binnen bedrijven, zeker in de financiële verslaggeving welke afhankelijk is van een beheerste IT-omgeving en risicogebaseerde IT-controles’ ([Balr04]).

De rapportage over het ‘in control’ zijn zal in veel gevallen ondersteund worden door geautomatiseerde systemen. Wallage geeft aan dat IT niet alleen een onderdeel van de beheersingssystemen vormt, maar dat IT daarnaast een hulpmiddel is om de controle en risicobeheersing mee uit te voeren ([Wall04]). IT kan worden ingezet voor de realisatie en documentatie van de verantwoording van de risicobeheersing. Systematische rapportage van uitzonderingen is één van de voorbeelden van gevallen waarin IT de verantwoording ondersteunt.

Momenteel is de zogenaamde compliance-managementsoftware in opkomst. Deze software wordt bij verschillende organisaties in Nederland geïmplementeerd ter monitoring van de mate waarin aan de vereisten van onder meer de code-Tabaksblat en Sarbanes-Oxley sectie 404 wordt voldaan. Hij vergroot de transparantie binnen de organisatie door inzicht te geven in de status van het interne beheersingssysteem tot op het niveau van specifieke beheersingsmaatregelen. In november 2003 publiceerden Brouwers en Meuldijk een artikel in Compact over een applicatie ontwikkeld voor het vastleggen en bewaken van de interne controle van organisaties ([Brou03]).

Gartner heeft onderzoek naar deze tools uitgevoerd en publiceerde in december 2004 een overzicht van de mate waarin 24 compliance-managementtools voldeden aan de aspecten technische geschiktheid, technische functionaliteit, gezondheid leveranciers, marktstrategie en prijs ([Lesk04]). Het gebruik van deze tools om transparantie te creëren omtrent de werking van het interne beheersingssysteem beperkt zich niet tot de Sarbanes-Oxley wet. Deze tools kunnen ook invulling geven aan de vereiste transparantie van de code-Tabaksblat of een combinatie van verschillende wet- en regelgeving.

Conclusie

De code-Tabaksblat zal vanwege zijn wettelijke verankering meer gevolgen hebben voor de Nederlandse vennootschappen dan de Veertig Aanbevelingen van de commissie-Peters met hun zelfregulerende karakter. De aard van de code-Tabaksblat is echter minder strikt dan de Sarbanes-Oxley Act. In hoeverre de impact en de naleving van de code-Tabaksblat tot tevredenheid leiden, zal pas in de Algemene Aandeelhoudersvergaderingen over 2005 kunnen worden vastgesteld na de publicatie van de jaarverslagen van de Nederlandse beursgenoteerde ondernemingen.

Literatuur

[Balr04] S. Balraadjsing, Heeft Tabaksblat ICT over het hoofd gezien?, Controllers Magazine, maart 2004.

[Brou03] Drs. P.P.M.G.G. Brouwers RE RA en drs. ing. A.M. Meuldijk RE, SOX 404-implementatie in de praktijk: het proces van ‘trust me’ naar ‘prove me’, Compact 2003/3.

[CGCo03] Corporate Governance Committee, The Dutch Corporate Governance Code. Principles of Good Corporate Governance and Best Practice Provisions, 9 december 2003.

[GMIn05] Governance Metrics International, Global Governance Ratings, www.gmiratings.com, maart 2005.

[CoCG97] Commissie Corporate Governance, Corporate Governance in Nederland, De Veertig Aanbevelingen, juni 1997.

[COSO92] COSO, Internal Control – Integrated Framework, Committee of Sponsoring Organizations of the Treadway Commission, 1992.

[Jong03] Abe de Jong en Peter Roosenboom, De balans na vijf jaar Peters, Economisch Statistische Berichten, 20 december 2002.

[Lang04] Prof. dr. H.P.A.J. Langendijk, Verslaggevingsaspecten in de Nederlandse corporate governance code (Code Tabaksblat), Accounting, nummer 9, 9 september 2004.

[Lesk04] L. Leskela en F. Caldwell, MarketScope: Compliance Management Software, 2H04, Gartner, 10 december 2004.

[Maat04] Mr. R.H. Maatman, Tabaksblat en de botsende doelstellingen, Ondernemingsrecht, april 2004.

[MCCG98] Monitoring Commissie Corporate Governance, Monitoring Corporate Governance in Nederland 1998, 1998.

[NICG04] Netherlands Institute for Corporate Governance, Corporate Governance in Nederland 2004, oktober 2004.

[NIVR04a] NIVRA, www.nivra.nl.

[NIVR04b] NIVRA, Ontwerp-gedragsrichtlijn inzake het optreden van de accountant in de AvA, maart 2004.

[NIVR05] NIVRA, Audit Alert 14: De verantwoordelijkheid van de accountant bij de toetsing van in het jaarverslag opgenomen informatie over de naleving van de Nederlandse corporate governance code, januari 2005.

[Pete02] J.F.M. Peters, Vijf jaar corporate governance in Nederland, Corporate Governance in Nederland 2002: De stand van zaken, 2002.

[Rene04] Remko M. Renes, Zonder interne beheersing geen corporate governance, Accounting, nummer 9, 9 september 2004.

[SEC02] SEC, Sarbanes-Oxley Act, Securities and Exchange Commission, www.sec.org, 2002.

[Spit04] F. Spits en H. van Nimwegen, Corporate Governance en Business Controls, Finance & Control, juni 2004.

[Viss04] C. Visser en N. Molhoek, Rapporteer alle risico’s eenduidig, Het Financieele Dagblad, 24 februari 2004.

[Wall04] P. Wallage, IT Implicaties Tabaksblat nog onduidelijk, Interview met o.a. P. Wallage door Rolf Zaal, De Automatisering Gids, 9 januari 2004.

[Zaal05] R. Zaal, Corporate Governance stelt IT management voor gewetensvragen, Automatisering Gids 2005/10.

SOX: ‘Keep your eyes on the ball’

Mede ingegeven door de US Sarbanes-Oxley Act van 2002 en vergelijkbare regelgeving over de gehele wereld, zien we een verhoogde aandacht voor IT governance. Beursbedrijven worden geconfronteerd met strenger toezicht en de ondernemingsleiding moet aantoonbaar maken dat ze de bedrijfsprocessen beheerst. De C-level-betrokkenheid is een duidelijk doelwit geworden van toezichthouders! In dit speelveld is het belangrijk om de kostbare tijd en energie aan de juiste zaken te besteden, wat in de praktijk niet altijd meevalt.

Klik op het pdf-symbool om het volledige artikel te bekijken.

SOX ING: de aanpak van ING in het kader van de Sarbanes-Oxley Act

Het is een goede zaak dat de Amerikaanse overheid paal en perk probeert te stellen aan boekhoudschandalen. Uit de opbouw en inhoud van de SOX- wetgeving blijkt duidelijk dat deze door de schandaalpraktijken is ingegeven. De pijnpunten bij deze schandalen zaten niet zozeer in IT-aspecten maar meer in de integriteit van de bestuurders en duistere boekhoudpraktijken. Toch heeft de SOX-wetgeving een grote invloed op de internal control van IT-omgevingen. In dit artikel wordt hierop ingegaan en worden tevens de ING-aanpak en de beperkingen van SOX behandeld. Tot slot worden enkele verwachte ontwikkelingen toegelicht.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Praktijkervaringen binnen SAS70-trajecten

Het uitbesteden van bedrijfsprocessen aan derden wint aan populariteit. Recentelijk hebben diverse organisaties activiteiten uitbesteed of verkocht aan derde partijen. Voorbeelden hiervan zijn de beleggings-en/of pensioenbeheeractiviteiten van Philips en TNO ([FINA01]) en de uitbesteding van IT door bijvoorbeeld ABN AMRO en Delta Lloyd. Uitbesteding wordt veelal gezien als een goede manier om te focussen op de kernactiviteiten van de organisatie. De uitbestedende organisatie wil vaak wel inzicht hebben in de kwaliteit en beheersing van de uitbestede processen bij de partij waaraan is uitbesteed, mede ingegeven door bepalingen in wet- en regelgeving. Een SAS 70-rapportage biedt hiervoor mogelijkheden. Een dergelijke rapportage geeft inzicht in de effectiviteit van de interne beheersing bij de serviceorganisatie van de door de organisatie uitbestede processen, daar waar traditionele verantwoording van uitbestede processen veelal outputgericht is. Dit artikel gaat in op praktijkervaringen die zijn opgedaan binnen SAS 70- trajecten vanuit het oogpunt van de serviceorganisatie.

Klik op het pdf-symbool om het volledige artikel te bekijken.

IT governance in relatie tot IT-toezicht bij bancaire instellingen

De diverse eisen vanuit wet-en regelgeving bij bancaire instellingen hebben in toenemende mate een impact op de IT-organisaties van deze instellingen en de omvang van de uit te voeren ‘compliance’-activiteiten. Bancaire instellingen met een Amerikaanse beursnotering dienen behalve aan de Nederlandse wet-en regelgeving per 31 december 2006 ook te voldoen aan de eisen van de Sarbanes-Oxley Act 404 (SOX 404). Dit artikel geeft een overzicht van de samenhang en verschillen in de IT-toezichteisen van SOX 404, de Regeling Organisatie en Beheersing van De Nederlandsche Bank en de Nadere Regeling Gedragstoezicht Effectenverkeer 2002 van de Autoriteit Financiële Markten. Dit overzicht kan bancaire instellingen helpen bij het inzicht krijgen in de scope en omvang van de ‘compliance’-activiteiten en het voorkomen van inefficiënties in de uitvoering van deze activiteiten. Tegelijkertijd wordt daarmee de aantoonbaarheid van het ‘in control’ zijn ten aanzien van de IT-toezichteisen ondersteund.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Tabaksblat: van code naar ‘in control’ in de praktijk

De laatste tijd worstelen veel bedrijven met het ‘in control’-vraagstuk. Eisen vanuit de Amerikaanse Sarbanes-Oxley wetgeving (SOX) bezorgen veel aan de Amerikaanse beurs genoteerde bedrijven slapeloze nachten. Gezien de aandacht die SOX de laatste tijd krijgt, zouden we bijna vergeten dat er veel dichter bij huis ook belangrijke ontwikkelingen zijn op dit gebied. Zo is er in Nederland de code Tabaksblat, die van toepassing is op in Nederland gevestigde beursgenoteerde vennootschappen. Tabaksblat ziet graag dat organisaties het nodige regelen op het gebied van risicobeheersing en interne controle. Maar zwijgt over de praktische invulling hiervan, en al helemaal over de implicaties op de beheersing van de IT. In dit artikel wordt aan de hand van een helder stappenplan, concrete eindproducten en ‘do’s & don’ts’ een praktische aanpak beschreven voor het operationaliseren van een risicobeheersings- en controlesysteem in het kader van Tabaksblat.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Invloed SOX op de rol van de IT-auditor

De Sarbanes-Oxley Act (SOX) uit Amerika houdt een deel van het Nederlandse bedrijfsleven druk bezig, ondanks een vertraging van de doorvoering met een jaar voor de buitenlandse ondernemingen die aan de Amerikaanse beurs genoteerd zijn. In dit artikel wordt het COSO-model kort behandeld, welke als referentie wordt aangehaald in de interpretatie van de Act. Daarnaast wordt uiteengezet welke bijdrage de IT-auditor kan leveren in de projectfase binnen bedrijven om te voldoen aan de Sarbanes-Oxley Act en welke rol de IT-auditor gaat spelen in de controle van de ‘internal controls over financial reporting’ (ICOFR).

Klik op het pdf-symbool om het volledige artikel te bekijken.

Accounting Information Systems: paradoxen en de betekenis daarvan voor de IT-auditor

Er zijn twee paradoxen van Accounting Information Systems. De eerste vindt zijn oorsprong in de spanning tussen accounting en informatietechnologie, de tweede vindt zijn oorsprong in de spanning tussen de wens om rijke informatie te kunnen verzorgen met een systeem dat daar in principe niet toe is uitgerust. Door deze paradoxen op te lossen kan worden geconcludeerd dat Accounting Information Systems nog steeds zinvol zijn, mits aan een aantal eisen wordt voldaan. Dit artikel bespreekt die eisen en de consequenties hiervan voor de IT-auditor.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Risicomanagement en certificering in outsourcingland

In de wereld van outsourcing zijn risicomanagement, beveiliging en kwaliteit van groot belang. Met het oog op deze verantwoordelijkheidsterreinen zijn binnen Capgemini Outsourcing de laatste jaren enkele specifieke maatregelen getroffen en projecten uitgevoerd, zoals BS7799-2-certificering, Regulatory Compliant QMS en volledige ITIL-compliancy. In dit artikel komen de vragen ‘Hoe ga je als outsourcer om met risicomanagement?’, ‘Waarom BS7799-2?’; ‘Wat is het effect van rightshoring?’; ‘Welke hulpmiddelen gebruik je?’; ‘Welke problemen kom je tegen?’; ‘Wat betekenen deze zaken voor de organisatie en de klanten?’ en ‘Welke rol spelen recente ontwikkelingen als SOX en LSF hierbij?’ aan de orde.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Het belang van IT-auditing bij informatie-infrastructuur

IT-auditing is een managementinstrument. Als de informatie-infrastructuur ook een managementinstrument is, wat is dan de relatie van IT-auditing tot die informatie-infrastructuur? Het uitvoeren van een IT-audit is een goede manier om zekerheid te verschaffen óf om onzekerheid weg te nemen over de bijdrage die de ICT aan de bedrijfsvoering levert. De verwachting is dat de vraag naar het uitvoeren van IT-audits toe zal nemen. Hiervoor is een aantal redenen aan te geven. Ten eerste neemt de informatieafhankelijkheid van organisaties sterk toe. Een tweede reden is dat organisaties het zicht op de ICT kwijtraken. Ten slotte is er wetgeving, zoals Sarbanes-Oxley, die de nodige claims op het adequaat functioneren van informatievoorziening en ICT-systemen legt. In al deze gevallen kan via audits aanvullende zekerheid worden geboden.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Nieuwe spelers in de informatiemaatschappij – speelt IT-auditor mee?

Kiezen is steeds complexer geworden en vergt steeds meer (achtergrond)informatie en begeleiding. Deze begeleiding wordt geboden door intermediairs, zoals de verzekeringsagent, de hypotheekadviseur en de reisagent. Zij zorgen dat het aanbod behapbaar wordt en dat u uw juiste keuze kunt maken. In toenemende mate worden deze intermediairs vervangen door systemen. De auditor kan zowel intermediair zijn als gebruiker van intermediaire systemen.

Inleiding

De kreten van wanhoop over informatieoverload en informatiestress zijn niet alleen een geluid van onze tijd. Na de introductie van de boekdrukkunst werd al geklaagd over de ontstane informatiedruk. Zo beschreef Constantijn Huygens in 1644 de ellende van de informatieoverload als volgt:

OP DE BOECK-CAMER VAN EENEN ONGELEERDEN

‘t is hier voll in alle hoecken:

‘ksie all boecken waer ick sie,

maer niet over twee of drie

goede en uijtgelesen boecken.

Huygens dicht dat het vergaren en bezitten van informatie niet gelijk staat aan het bezitten van intellectueel vermogen. Een waarheid die ook met de introductie van internet en zoeksystemen stand heeft gehouden. Informatie is steeds eenvoudiger te vergaren, maar is wat wij vergaren wel zo relevant? De ongebreidelde beschikbaarheid van informatie heeft in ieder geval een enorme impact op ons handelen. Mensen kunnen adequater functioneren als zij beschikken over de juiste informatie ([Tenn94]). De behoefte aan relevante informatie is tot ongekende hoogten gestegen. We willen steeds meer weten en op basis van vergaarde informatie zelf komen tot een oordeel of besluit omdat er steeds meer te kiezen valt.

Het Sociaal en Cultureel Planbureau spreekt met het oog op deze ontwikkeling in een recent onderzoek over ‘de meerkeuzemaatschappij’ ([Bree03]). De burger heeft steeds meer keuzemogelijkheden gekregen. Een keuzevrijheid die gepaard gaat met behoefte aan informatie om de juiste keuze te kunnen maken. Mocht u een hypotheek willen afsluiten, dan kunt u uit vele hypotheekvormen en aanbieders kiezen, ieder met zijn specifieke voorwaarden. Zoekt u een huis, vakantie of restaurant? Er zijn steeds meer keuzemogelijkheden. De cabaretier Theo Maassen grapte al dat in zijn jeugd alles eenvoudiger was, toen had je gewone of paprika chips en nu zijn er light chips, kaas-ham chips, paprika light chips, enz., enz.

Deze keuzemogelijkheden gaan gepaard met een bijna onverzadigbare informatiebehoefte. Kiezen is steeds complexer geworden en vergt steeds meer (achtergrond)informatie en begeleiding. Dergelijke ontwikkelingen hebben in onze Nederlandse diensteneconomie gezorgd voor een enorme toename van intermediairs, zoals de verzekeringsagent, de hypotheekadviseur en de reisagent. Zij zorgen dat het aanbod behapbaar wordt en dat u uw juiste keuze kan maken. Zij informeren u en u neemt op basis van hun informatie een koopbesluit. Ook de uitgever kan gezien worden als iemand die in deze intermediaire wereld garen spint. De uitgever selecteert geen vakanties, hypotheken of verzekeringen, maar informatie. Op basis van zijn selectie voorziet hij zijn klanten in hun informatiebehoefte, zodat de klant betere beslissingen kan nemen.

Dergelijke intermediairs hebben een businessmodel rondom bemiddeling opgezet. Taken worden door personen[In vele gevallen gediplomeerde personen.] uitgevoerd waarbij zij (zwaar) worden ondersteund door informatiesystemen. De intermediairs ontlenen hun positie aan het feit dat ze op een specifieke manier informatie kunnen vergaren, selecteren, bewerken en verrijken voor een (specifieke) doelgroep. Informatie die in principe voor iedereen toegankelijk is, eventueel tegen betaling. Iedereen kan alle banken afgaan om de juiste of goedkoopste hypotheek op te vragen. Maar intermediairs hebben hier hun beroep van gemaakt en vergaren dagelijks relevante informatie en maken deze behapbaar voor hun klanten.

Het in figuur 1 weergegeven model gaat in deze situatie op.

C-2005-1-Huibers-01

Figuur 1. De klassieke intermediair.

Nieuwe technologieën zorgen ervoor dat tegenwoordig informatie automatisch kan worden vergaard, geselecteerd, en zekere mate kan worden verrijkt. Deze systemen worden ook wel information-retrievalsystemen genoemd. Denk hierbij aan de populaire zoekmachines zoals Google, Ilse en Yahoo!

Deze nieuwe manier van informatie vergaren heeft een enorme impact op de traditionele intermediairs. Immers, reisinformatie is via internet eenvoudig te vergaren en de toegevoegde waarde van een reisagent als informatie-intermediair is marginaal. Zo ook voor de makelaar, gelet op het succes van www.funda.nl. Ook is regelmatig geopperd dat de uitgeverij haar unieke positie in de informatiemaatschappij aan het verliezen is omdat relevante informatie nu op betrekkelijk eenvoudige wijze gratis te vergaren is.

In dit artikel gaan we in op deze veranderingen. Eerst analyseren we de onafwendbare opkomst van nieuwe (geautomatiseerde) informatie-intermediairs. Vervolgens bespreken we de impact op de bestaande informatie-intensieve waardeketens. Deze verandering dwingt ook tot een veranderende kijk op het bestaande inkomstenmodel. Daarna gaan we in op de mogelijk nieuwe spelers in de informatiemaatschappij. En tot slot kijken we naar de IT-auditor, enerzijds als onderdeel van of in de rol van gebruiker van de informatie-intensieve ketens, anderzijds als beoordelaar van de betrokken systemen.

C-2005-1-Huibers-02

Figuur 2. De geautomatiseerde intermediair.

De onafwendbare opkomst van nieuwe informatie-intermediairs

Informatietechnologie en met name het internet heeft ervoor gezorgd dat we kunnen beschikken over een enorme hoeveelheid aan gegevens en informatie. Een aanwas van beschikbare informatie die niet te stuiten is. Er wordt gezegd dat op een gemiddelde weekdag de New York Times meer informatie bevat dan een tijdgenoot van Shakespeare in zijn hele leven zou hebben vergaard ([Seel00]). Via het internet kan men niet één maar duizenden digitale nieuwsbladen vergaren.

Een ander voorbeeld is de enorme omvang die het huidige e-mailverkeer heeft. In ‘How much information?’ ([www.sims]) worden enkele grootheden opgesomd.

  • About 31 billion emails are sent daily, on the Internet and elsewhere, a figure which is expected to double by 2006 (source: International Data Corporation (IDC)). The average email is about 59 kilobytes in size, thus the annual flow of emails worldwide is 667,585 terabytes.
  • Email ranks second behind the telephone as the largest information flow. Email users include 35% of the total U.S. population (source: eMarketer), and accounts for over 35% of time spent on the Internet (source: Forrester Research).
  • Sixty percent of workers with email access receive 10 or fewer messages on an average day, 23% receive more than 20, and 6% more than 50. 73% of workers spend an hour or less per day on their email.
  • Only two thirds of email traffic is personal, and spam (defined as unsolicited email) is about one-third of today’s email traffic, which is projected to increase to 50% four years from now (source: IDC). Therefore we estimate the upper bound of original content in emails as 440,606 terabytes (uncompressed), lower bound as 333,792 terabytes.

De onderzoekers verwachten dat in drie jaar tijd het aantal e-mails is verdubbeld. Dergelijke aantallen maken een handmatige verwerking van alle e-mails in de nabije toekomst niet meer mogelijk. Zeker als men in acht neemt dat eenderde van alle e-mails spam is.

Om de enorme aanwas van digitale informatie beheersbaar te houden is er behoefte aan geautomatiseerde systemen die het begrip relevantie juist benaderen. Deze problematiek wordt ook wel het ‘information-retrievalvraagstuk’ genoemd en wordt als volgt gekarakteriseerd:

‘Op welke wijze kan men relevante informatie onderscheiden van niet-relevante informatie?’

In het onderzoeksgebied information retrieval richt men zich op de ontwikkeling van dergelijke systemen. Het gezegde ‘zoeken naar een speld in een hooiberg’ lijkt hier van pas, echter het probleem is nog groter. Om de metafoor verder te hanteren zoeken we geen speld in een hooiberg. Immers, deze zou te vinden zijn door een heel sterke magneet, of door de hooiberg af te branden en dan de as te filteren. Information retrieval moet ervoor zorgen dat een ‘donkerbruin grassprietje’ gevonden wordt in de hooiberg. Het verschil tussen het relevante grassprietje en het niet-relevante grassprietje is lastig te bepalen en zou kunnen leiden tot enige discussie (wat vind jij donkerbruin?).

Het onderzoeksvraagstuk aangaande information retrieval is reeds zeer oud maar heeft dus de afgelopen tien jaar sterk aan betekenis gewonnen door de toename van de hoeveelheid beschikbare digitale informatie. Door deze toename is het steeds moeilijker geworden om de gezochte relevante informatie ook werkelijk te vinden (de hooibergen worden steeds groter). Zo wordt het risico van onderbenutting van informatie steeds groter, terwijl in een kennisintensieve samenleving het behalen van concurrentievoordelen en het slagen van projecten steeds sterker afhangen van de mate waarin betrokkenen informatie weten te benutten. De technieken moeten steeds geavanceerder worden en niet alleen teksten maar ook beelden, films en muziek kunnen ontsluiten.

De laatste decennia zijn vele praktisch toepasbare information-retrievalsystemen (IR-systemen) ontwikkeld. Dergelijke systemen worden ingezet als informatiefilter, denk hierbij aan de populaire spamfilters, maar ook als zoekmachine, zoals de eerdergenoemde Google, Ilse en Yahoo!. Deze systemen worden steeds geavanceerder en voldoen in steeds hogere mate aan de verwachtingen van de gebruiker.

We kunnen stellen dat de informatiemaatschappij en de commercie information retrieval hebben omarmd. Zo ontsluit Google ruim drie miljard webpagina’s en maakt bijna de complete internetpopulatie gebruik van zoeksystemen. Bovendien komt zeventig procent van alle e-commercetransacties op internet voort uit een zoekopdracht. Een (potentiële) klant vindt uw organisatie op internet hoogstwaarschijnlijk niet via www.uwbedrijfsnaam.nl, maar door het gebruiken van een zoekmachine.

Veranderende informatieketens

IR-systemen veranderen hierdoor in ras tempo onze informatiemaatschappij en met name de posities van de traditionele intermediairs, er ontstaan compleet nieuwe informatiepatronen. Laten we een typisch en een atypisch voorbeeld nemen.

De uitgeverij

De grote internationale uitgeverijen bepaalden al jaren, ja zelfs eeuwenlang het informatielandschap. Zij waren de informatie-intermediairs en zij verhandelden informatie zoals anderen huizen, auto’s of aandelen verhandelen. Zij waren de stabiele en betrouwbare intermediairs. Hun traditionele waardeketen bestaat in hoofdlijnen uit de in figuur 3 weergegeven stappen (zie o.a. [Kist96] en [Roos02]).

C-2005-1-Huibers-03

Figuur 3. De traditionele waardeketen.

Een auteur schrijft al dan niet op verzoek van een uitgever een document. De kwaliteit van het document wordt beoordeeld. Het document wordt gedrukt en verspreid. Een bibliotheek of een koper slaat (eventueel) het document op, waarna het document gelezen kan worden. Het verschil tussen een kranten-, tijdschriften- en boekenuitgeverij is qua waardeketen niet intrinsiek verschillend, dat wil zeggen de stappen zijn hetzelfde, alleen de timing en de inrichting per stap kunnen zeer uiteenlopend zijn.

De positie van de uitgever in deze waardeketen is op zich markant. De uitgever Johan Polak beschreef het primaire proces van een uitgever als volgt: ‘Een uitgever schrijft het boek niet, hij leest het boek niet, hij drukt het niet, hij bindt het niet, hij verkoopt het niet’. De uitgever is dus een echte informatie-intermediair. Hij handelt in informatie zoals de makelaar in huizen handelt.

Door de opkomst van internet eind jaren negentig van de vorige eeuw leek de toegevoegde waarde van de uitgeverij nauwelijks meer aanwezig te zijn. In de nieuwe informatie-economie is ‘the medium not the message’ ([Negr95]), maar zal content mediumneutraal in XML-databases worden opgeslagen. Deze content wordt dan toegankelijk gemaakt via gepersonaliseerde zoekmachines. De prijs van informatie wordt niet langer meer door de kostprijs maar door de relevantiewaarde bepaald. Het tijdschrift wordt verdrongen door een portal, het boek door een dvd over het boek en de krant door een actuele nieuwssite. En dit alles geïntegreerd! De ultieme digitale droom binnen handbereik. Maar bovendien kon iedereen, maar dan ook werkelijk iedereen, de rol van de uitgever overnemen. ICT had de entreekosten ongelofelijk laag gemaakt.

De opkomst van digitalisering heeft deze waardeketen dus sterk veranderd. Een auteur heeft geen uitgever meer nodig om zijn lezerspubliek te bereiken, en nieuwe intermediairs met nieuwe zoekmiddelen zoals AltaVista en Google veranderden het rustige informatielandschap in een woeste informatiezee. Een nieuwe waardeketen zou die van figuur 4 kunnen zijn[Zie voor een goede uiteenzetting van verschillende waardeketens voor de wetenschappelijke uitgeverij [Roos02].].

C-2005-1-Huibers-04

Figuur 4. De nieuwe waardeketen.

Voorheen was deze waardeketen niet interessant voor de auteur omdat weinige potentiële lezers de auteur konden vinden. Dit gold zelfs niet voor een auteur op internet, want men moest immers het webadres kennen. Maar door de opkomst van internetzoekmachines is het lezersbereik ongelofelijk groot geworden.

Medische wereld

In een medische omgeving was de arts eeuwenlang de informatie-intermediair tussen het aanbod van de medische informatie en de patiënt. De arts bepaalde welke medische informatie hij de patiënt verstrekte. De arts was als het ware de enige filter naar ‘echte, relevante’ medische informatie. De mogelijkheden van de patiënt om informatie te vergaren reikten in vele gevallen niet verder dan de bekende medische encyclopedieën. De arts bepaalde niet alleen wat de patiënt las, maar ook wanneer iets gelezen werd.

Op dit moment zoekt de patiënt veelal zelf naar relevante informatie over zijn ziekte op het internet. De arts heeft geen enkele controle meer over de wijze waarop de patiënt geïnformeerd wordt. In de praktijk komt het meer dan eens voor dat een patiënt een arts confronteert met artikelen over zijn specialisatie waarvan de arts het bestaan niet weet, en dus ook niet weet of ze actueel en betrouwbaar, ja zelfs überhaupt relevant zijn. Het uitzoeken hiervan zou de medische specialist al snel doen veranderen in een medische bibliothecaris. De rol van de arts als informatie-intermediair is compleet veranderd. Dit ter illustratie van de grote veranderingen die IR-systemen in onze informatiemaatschappij teweegbrengen. Geeft dit nu nieuwe kansen voor een medische informatie-intermediair, een medisch zoeksysteem of voor de uitgeverijen in medische informatie? Wie zouden nu de nieuwe spelers in de medische informatiemaatschappij worden?

Informatie-intermediairs wisselen nu massaal van positie of zij worden vervangen door andere spelers. Kortom, de gehele waardeketen van het informatieproces is sterk aan het veranderen.

Er spelen drie elementaire vragen, te weten:

  1. Veranderende waardeketen: wie doet wat?
  2. Veranderend inkomstenmodel: wie betaalt wat?
  3. Veranderende posities: wie is de marktleider van morgen?

C-2005-1-Huibers-05

Figuur 5. Intermediair in de medische sector.

Veranderende waardeketens

Informatieketens veranderen en daardoor veranderen ook de bijbehorende waardeketens. Met alle gevolgen voor de traditionele intermediairs, die veranderen of althans zouden moeten veranderen. De nieuwe spelers zijn veelal niet de oude bekende spelers in een nieuw jasje, maar voorheen relatief onbekende jonge bedrijven zoals Google en Overture. Niet het verkopen van informatie maar het zoeken naar informatie is big business geworden.

Deze turbulentie beperkt zich niet alleen tot de informatie-intermediairs. De gehele Nederlandse economie staat bekend als een diensteneconomie en ook op deze economie heeft de digitalisering een enorme impact. Het overgrote deel van de Nederlandse werkende bevolking is namelijk bezig met het creëren en verwerken van informatie. Ook privé verkeren wij in een informatierijke omgeving. Zo constateerde de toerismesector afgelopen zomer dat zoeksystemen op internet een nieuwe bedreiging vormden voor de hoteliers op de Turkse Rivièra[Turks strand voor habbekrats, NRC, 10 juli 2003.]. Surfende vakantiegangers bepaalden het lage prijsbeeld en de verwachting is dat dit ook voor de komende jaren zal gelden. Niet diegene met de mooiste folders verkoopt de meeste vakanties, maar diegene die het beste op internet wordt gevonden. Dit verandert het complete businessmodel van een reisorganisatie. De reisagenten, de drukkerijen, de prijsstellingen, vele, zo niet alle aspecten worden heroverwogen en gerangschikt in een nieuw businessmodel. Vooralsnog besluiten vele reisorganisaties om het internet te zien als een parallelle inkomstenbron. Maar de eerste informatie-intermediairs betreden reeds deze markt zonder dat zij een fysieke reisorganisatie achter zich hebben staan. Hun businessmodel is gebaseerd op het maken van kleine marges op basis van heel veel (internet)boekingen.

Dergelijke ontwikkelingen treden ook op in de financiële, huizen- en automarkten. Zowaar een hele omslag voor onze economie. Met een belangrijke kans voor de informatie-intermediairs.

Veranderend inkomstenmodel

De uitdaging voor zowel oude als nieuwe informatie-intermediairs ligt in het bouwen van goede filters en zoekmachines. Het verbinden van vraag en aanbod. Maar op welke wijze kan men daar net zoveel geld mee verdienen als in de oude papieren wereld? Daar werd de verkoopprijs voornamelijk bepaald door de kostprijs plus een flinke marge. In de digitale omgeving zal echter het begrip relevantie in hoge mate bepalend zijn voor de verkoopprijs.

De waarde van informatie is dus in hoge mate gerelateerd aan de relevantie van informatie. Het bedrijfseconomisch vraagstuk luidt dan: hoe bepaal je de kosten van relevantie? De mate van relevantie moet dan op de een of andere manier financieel worden uitgedrukt. Het heeft te maken met actualiteit maar ook met betrouwbaarheid, behoefte, eerder ontvangen informatie, enz. Het bepalen van een goede prijs voor de dienstverlening is één van de meest uitdagende vraagstukken voor de komende jaren. In het kort worden hier drie businessmodellen opgesomd.

De lezer betaalt

Dit is het traditionele businessmodel vertalen naar een nieuwe vorm. De lezer kan een abonnement kopen en via login’s de informatie raadplegen. Vanzelfsprekend kan dit parallel gaan met de papieren bronnen zoals vele krantensites doen. Ook kunnen nieuwe prijsmodellen geïntroduceerd worden zoals we die bijvoorbeeld kennen in de telecomindustrie met pre-paid kaarten (honderd artikelen) of bundels (tien artikelen per maand, indien meer geraadpleegd dan extra betalen, minder geraadpleegd dan gaan ze over naar de volgende maand). Natuurlijk mag men hier artikelen vervangen door gigabytes, digitale films, enz., enz.

De adverteerder betaalt

Denk bijvoorbeeld aan adverteerders die gebruikmaken van zoekmachines van de intermediairs. Adverteerders breken op eenvoudige wijze in op de lijst met opgeleverde relevante documenten. Soms transparant door een heldere, separate vermelding. Zo wordt bijvoorbeeld bij zoeken.nl na iedere zoekopdracht onder de resultaten vermeld dat dit onderwerp mogelijk ook te kopen of te verkopen is op eBay.

Maar soms zijn advertenties ondoorzichtig, als sluikreclame verweven in de lijst van relevante documenten. ‘Er staat niet wat er staat’ dichtte Nijhoff al. Bovendien kent de adverteerder na de zoekactie de intieme informatiebehoefte van de gebruiker, waarop hij vervolgens gewenst of ongewenst kan anticiperen. Dit levert veel toegevoegde waarde op voor de adverteerder. De wetenschap dat iemand op zoek is naar een huis uit de jaren dertig kan zeer informatief zijn voor een bouwmarkt die geïnteresseerden met de laatste aanbiedingen wil bestoken.

De schrijver betaalt

Ten slotte is het ook mogelijk dat de opsteller van de content wil betalen. Zo lanceert de wetenschappelijke uitgeverij Springer een nieuw businessmodel waarbij de wetenschapper kan betalen voor zijn artikel zodat Springer het gratis op internet zet. De uitgever wordt dan als het ware pr-man van een wetenschapper. Dus niet de lezer maar de schrijver betaalt. Een dergelijk model kan ook passen bij het eerdergenoemde reisorganisatie-businessmodel. De eigenaar van een hotel betaalt om ontsloten te worden door een internetservice van de reisorganisatie. Aan de hand van de populariteit van de services wordt de prijs bepaald.

De toekomst van de nieuwe spelers

In dit artikel wordt aangegeven dat bestaande intermediairs die richten op het vergaren, selecteren, bewerken en verrijken van informatie zware concurrentie hebben of kunnen verwachten van nieuwe toetreders. De vraag rest wie de nieuwe spelers zijn en hoe robuust hun toekomst is.

Allereerst lijkt het haast alsof eigenaren van internetzoeksystemen een lucratief leven leiden als de toekomstige intermediair. Er is nagenoeg sprake van verplichte winkelnering omdat een zoeksysteem in bijna alle gevallen bepaalt of een consument de internetpagina van een bedrijf bekijkt. Zij kunnen op deze manier een monopolie creëren op de intermediaire markt. Maar het leven van een eigenaar van een bedrijf in internetzoeksystemen kent ook vele onzekerheden.

Immers, welk internetzoeksysteem in de nabije toekomst gebruikt gaat worden, lijkt vooralsnog onvoorspelbaar. Gebruikersgemak, snelheid of omvang van de ontsloten collectie lijken het meest bepalend. Maar ook de wijze van relevantiebepaling vormt een onderdeel van succes, zoals we bij Google hebben mogen constateren. Google werd in één jaar tijd van een relatief onbekend zoeksysteem op het internet, een absolute wereldleider omdat men op geheel nieuwe wijze relevante documenten detecteerde. Het vernieuwende zit in het feit dat Google de mate van populariteit van de site meeneemt in de weging van relevantie, te meten door het aantal verwijzende links en de waardering van de verwijzers. De vraag is of een nieuw IR-systeem niet de complete klantenkring van Google kan afsnoepen. Dit kan doordat het systeem mogelijk geavanceerder is maar ook doordat een IR-systeem geïntegreerd wordt in een besturingssysteem of een standaard-bedrijfsapplicatie.

De tweede groep nieuwe spelers zijn zij die hun diensten aanbieden op basis van bestaande zoekmachines. Denk hierbij aan internet-reisaanbieders die langzaam maar zeker de reisbureaus wegconcurreren. Hetzelfde gebeurt ook op de advertentie-, auto-, huizen-, aandelen-, hypotheken-, vliegen-, verzekeringenmarkt, om maar een paar markten te noemen. De toekomst van deze nieuwe intermediairs is ook verre van zeker. De klantenbinding met een intermediair op internet is minimaal. Bovendien kan een klant altijd voordat hij de koopbeslissing neemt even zoeken naar een andere, betere[Lees, veelal goedkopere.] aanbieding. Dit maakt dat nieuwe intermediairs veelal op prijs concurreren. De tijd zal het leren of de klant ook bereid is te betalen voor de kwaliteit en de relevantie van de geleverde informatie over de aangeboden dienst. Bijvoorbeeld een makelaar die informatie vergaart maar deze alleen tegen betaling aanbiedt. In een dergelijk geval kan een intermediair contributie innen voor het gebruik van zijn functie en zijn we weer beland bij een traditioneel businessmodel van een uitgeverij.

Tot slot kan de nieuwe speler ook voortkomen uit de oude intermediairs van vandaag. De uitgeverij tracht bijvoorbeeld reeds enige tijd een positie te verwerven in het nieuwe digitale informatielandschap[Zie onder andere het KPMG-onderzoek ‘De uitgever aan het woord’, Theo Huibers en Cathelijn Timmers, 2004.]. Zij tracht door betere ontsluiting, kwaliteitsinformatie en selectief aanbod de gebruikers aan zich te binden. De vraag hier is of de bestaande intermediair de sprong naar de nieuwe invulling van zijn rol kan maken. Het vergt een complete herinrichting van zijn businessmodel en alles wat ermee samenhangt.

Speelt de IT-auditor mee?

De positie van de IT-auditor is tweeledig. Enerzijds is hij een onderdeel van de informatiemaatschappij, en functioneert hij als informatieanalist. In het bovenbeschreven model staan hem dan verschillende methoden ter beschikking. Anderzijds is hij in zijn auditende, toetsende rol ook de beoordelaar van de ‘informatiemakelende systemen’, zowel in de organische als de technische betekenis van het woord.

De IT-auditor als informatieanalist

De IT-auditor is eigenlijk een informatieanalist. Aan een veelheid aan informatie, die hij eerst moet ontsluiten, ordenen en analyseren, ontleent hij zijn bevindingen en hij trekt er zijn conclusies uit. Ook voor hem geldt het adagium van Huygens dat het bezitten van data nog niet gelijk staat aan intellectueel vermogen.

Hoe zou de IT-auditor efficiënter de juiste informatie kunnen vergaren en adequater functioneren? Hoe kan hij beter kiezen, of laten kiezen, uit alle informatiebronnen. Zou het mogelijk zijn gestructureerder met informatieanalysemiddelen om te gaan, zodanig dat IT-auditing efficiënter kan worden uitgevoerd?

Veel IT-audits verlopen nog via het eerst beschreven model, waarbij de informatie via menselijke intermediairs wordt verzameld met pen en papier in tijdsintensieve en soms wat subjectieve interviews. Vreemd eigenlijk dat het onderzochte object veelal hypermodern is, en de onderzoeksmiddelen zo klassiek zijn.

De IT-auditor is al wel bekend met de information-retrievalsystemen, als hulpmiddel bij de audit. Bijvoorbeeld in de vorm van tool-based auditing. Op basis van een keuze vooraf van de auditor worden data verzameld, geanalyseerd en verrijkt. Maar de selectie vooraf en de analyse blijven de kracht en de zwakte van zo’n audit. De ‘tools’ retrieven informatie en presenteren die aan de auditor op de door hem gekozen wijze. De tools zelf zijn nog niet slim genoeg om nieuwe patronen te kunnen ontdekken op het moment dat ze ontstaan. Deze tools kunnen alleen vergelijken met bekende, voorgeprogrammeerde modellen, achteraf. Deze wijze van werken voldoet indien men weet wat men zoekt, en indien de audit niet bijzonder tijdkritisch is ten aanzien van het object en eventuele incidenten.

In de volgende fase sluit tool-based auditing dichter aan bij het optreden van incidenten. Het verschil tussen auditing en logging of het anderszins registreren van gebeurtenissen wordt kleiner. De auditfunctie zit ingebouwd in de computersystemen. Ook hier kennen we al enkele voorbeelden. Er zijn bijvoorbeeld ‘policy checkers’ die geautomatiseerd de kwetsbaarheden in standaard-besturingssystemen checken. Voorheen zat zo’n policy checker in de bagage van de auditor. Tegenwoordig draait zo’n policy checker voortdurend mee in het systeem, en wordt ook nog eens automatisch van geactualiseerde gegevens voorzien omtrent de laatst-ontdekte kwetsbaarheden. De IT-auditor heeft daar vrijwel geen werk meer aan.

Deze voorbeelden gelden vooral de meer technische audits, maar hier beperkt de ontwikkeling zich niet toe. Hetzelfde geldt immers voor procesaudits. Neem de ontwikkeling van het IT-beheer. Waar men voorheen in een audit de beheerhandboeken opvroeg, om deze te toetsen tegen een norm, bijvoorbeeld ITIL, wordt in de moderne beheeromgeving gebruikgemaakt van geautomatiseerde hulpmiddelen voor incident-, wijzigings- en configuratiebeheer. De ‘procedures’ zijn vastgelegd in de beheersystemen en de auditor hoeft, in theorie althans, nog maar eenmaal zo’n systeem te beoordelen.

Overigens bieden information-retrievalsystemen bij uitstek de mogelijkheid voor de auditor zich te laten informeren over ongestructureerde teksten (memo’s, notities, enz.) of data. De IR-tools kunnen hem hierin ondersteunen. Juist hier kunnen onverwachte verbanden worden gedetecteerd.

De conclusie is dat ook voor de auditfunctie de informatieketen eerder en dieper in de informatiesystemen zal beginnen, en dat er minder noodzaak is zwaar-gespecialiseerde technische specialisten hands-on te laten auditen.

De IT-auditor en het object ‘informatiemakelende systemen’

De ontwikkelingen bieden ook ruimte voor nieuwe auditobjecten: de informatiesystemen van de intermediairs. Immers, daarin zit de informatie besloten die waarde genereert voor de intermediairs. De waarde wordt volledig bepaald door de actualiteit, juistheid en tijdige beschikbaarheid. En het waarde-genererend vermogen is weer geheel afhankelijk van de mogelijkheid de toegang tot die informatie te kunnen beheersen, te kunnen controleren en te kunnen doorbelasten.

Dat ‘doorbelasten’ vereist dat het digitaal afrekenen uit de kinderschoenen komt. Dit onderwerp is een bekend terrein voor de IT-auditor. Maar een verwante tak van sport, waarin de IT-auditor zich meer zou kunnen verdiepen, ontstaat: de online revenue assurance. Want uiteindelijk is het succesvol afwikkelen van de financiële stromen in de informatiemaatschappij toch één van de voorwaarden voor het doorgroeien naar een volwassen informatie-economie.

Tot slot

De positie van de traditionele intermediairs ligt onder vuur. De opkomst van geavanceerde IR-technologie maakt het mogelijk nieuwe businessmodellen te introduceren. Vergaren, selecteren, bewerken en verrijken van informatie kan door geautomatiseerde systemen worden overgenomen. Dit leidt tot nieuwe businessmogelijkheden voor nieuwe spelers in de informatiemaatschappij. Het zal de oorspronkelijke businessmodellen en waardeketens van bestaande informatie-intermediairs en mogelijk alle intermediairs in onze diensteneconomie drastisch gaan veranderen.

Literatuur

[Bree03] K. Breedveld en A. van den Broek, De meerkeuzemaatschappij. Facetten van de temporele organisatie van verplichtingen en voorzieningen, Sociaal en Cultureel Planbureau, Den Haag, 2003.

[Kist96] J. Kist, Bibliodynamica. Slaag- en faalkansen bij innovatie van informerende systemen, in het bijzonder in het uitgeversbedrijf, Otto Cramwinkel Uitgever, 1996.

[Negr95] Nicholos Negroponte, Being Digital, Hodder & Stoughton, 1995.

[Roos02] H. Roosendaal, Wetenschappelijke informatie, Oratie, Universiteit Twente, 2002.

[Seel00] John Seely Brown en Paul Duguid, De waarde van informatie, een holistische benadering voor organisatie en samenleving, Pearson Education Uitgeverij BV, 2000.

[Tenn94] J. Tennekes, Communicatie en cultuurverschil, M&O, 1994.

[www.sims] www.sims.berkeley.edu/research/projects/how-much-info-2003/execsum.htm#summary

Succesfactoren voor outsourcing van ICT

De dynamiek van organisaties is aan het eind van de vorige eeuw al sterk toegenomen als gevolg van een toename van fusies, reorganisaties, overnames en outsourcing. Deze dynamiek wordt alleen maar groter, want de netwerksamenleving breekt door. Wie zich in de vrije markt niet snel genoeg een sleutelpositie in een productieketen verwerft, verliest de concurrentieslag. Bedrijven moeten zich dan ook voortdurend herbezinnen op hun toegevoegde waarde in zo’n keten, en op hun concurrentiepositie ten opzichte van concurrerende ketens.

Klik op het pdf-symbool om het volledige artikel te bekijken.

SOX 404 business en tool alignment

Verschillende Nederlandse organisaties met een Amerikaanse beursnotering zullen in het eerste kwartaal van 2005 de laatste projectactiviteiten ter voorbereiding op de SOX 404-rapportage van 2005 uitvoeren. De laatste fase van SOX 404-projecten gaat in het algemeen gepaard met de implementatie van een tool. Het is echter onwaarschijnlijk dat een tool bestaat of wordt gebouwd dat geheel aan alle eisen en wensen van de organisatie voldoet en de gekozen methodologie volledig ondersteunt. Om te voorkomen dat als gevolg hiervan wordt afgeweken van de methodologie (en daarmee het risico bestaat dat uiteindelijk de organisatie niet SOX 404-compliant is), is het aan te bevelen (aanvullende) organisatorische maatregelen te definiëren en te implementeren. Dit artikel geeft inzicht in de te nemen stappen die resulteren in de noodzakelijk te treffen organisatorische maatregelen in aanvulling op een standaardtool om uiteindelijk SOX 404-compliant te kunnen zijn.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Never a dull moment

Henk Bronts gaf vanaf 1991 leiding aan KPMG Information Risk Management (IRM) en was daarvoor sinds 1970 verbonden aan KPMG Accountants. Afgelopen december ging hij met pensioen. Hij blikt terug op zijn carrière en de vakinhoudelijke ontwikkelingen die hij tijdens zijn loopbaan heeft meegemaakt. En hij kijkt vooruit: ‘Ik voorzie een nieuwe bloeiperiode voor de IT-auditor en voor KPMG IRM in het bijzonder.’

‘Ik ben min of meer bij toeval in deze branche terechtgekomen. Mijn eerste baantje was op de boekhoudafdeling van een dassenfabriek. Daarna ging ik naar de afdeling Huizenbezit van de gemeente Amsterdam waar ik in de gaten hield of bewoners hun huur wel op tijd betaalden. Een conflict met mijn toenmalige chef gaf misschien wel het zetje dat ik nodig had. Deze man kwam stelselmatig te laat. Ik waagde het mij één keer te verslapen en kreeg prompt een geweldige uitbrander van hem. Toen besloot ik aan mijn carrière te gaan werken. Ik heb het staatsexamen HBS-B gedaan en ging vervolgens in 1965 economie studeren aan de toenmalige Gemeente Universiteit Amsterdam.

Siddering

Ik koos voor deze studie, omdat ik dan nog alle kanten op kon met een vervolgstap. Dit werd uiteindelijk de postdoctorale opleiding accountancy. Ook dit was min of meer een toevallige keus. Ik had colleges gevolgd bij professor Starreveld. Zijn colleges waren inspirerend, maar bovenal was het een aardige man en ik wist dat hij bij Klynveld, Kraaijenhof & Co werkte, één van de voorgangers van KPMG. Ik ging op bezoek bij dat kantoor en ik ben er in dienst getreden. Van accountancy had ik eigenlijk nauwelijks een beeld. Het enige was dat ik als boekhouder bij de dassenfabriek had gemerkt dat er een siddering door het bedrijf ging als de accountant langskwam. Accountants waren strenge cijfercontroleurs waar je ontzag voor had.

Boardroom-consultant

Overigens wilde ik helemaal geen accountant worden. Organisatieadviseur leek mij veel boeiender en zo ben ik ook begonnen. Mij leek het veel interessanter om de leiding van organisaties te adviseren. Ik was net afgestudeerd en zag in mijzelf geheel ten onrechte al direct een boardroom-consultant. Maar al vrij snel kwam ik erachter dat je bij een accountantskantoor met een vrij kleine consultancyafdeling er goed aan deed om je eerst eens goed te ontwikkelen in het accountancyvak. Het hele kantoor draaide om de accountants. Van de organisatieadviseurs werd verwacht dat zij heel goed wisten wat die accountants precies deden. Bovendien moest ik die postdoctorale opleiding accountancy afronden. Een belangrijk vak daarvan was controleleer. Daarom was ik eigenlijk wel genoodzaakt de overstap te maken naar de controlesector. Ik begon als hoofdassistent, werd vervolgens eerste assistent en was vanaf eind 1972 officieel registeraccountant. Nadat ik een paar jaar als accountant-medewerker had gewerkt, werd ik in 1980 uitgenodigd om tot de maatschap toe te treden. Dat ging anders dan nu. Tegenwoordig wordt er gewerkt met uitgebreide beoordelingssystemen en als kandidaat-partner word je ruim van tevoren op de hoogte gebracht van het feit je ‘gespot’ bent. Toen zat je tussen kerst en oud & nieuw in spanning bij de brievenbus, want wellicht kreeg je een briefje van de maatschap waarin werd gemeld dat je te zijner tijd zou worden uitgenodigd om partner te worden. Als je niet in de prijzen gevallen was, was je oud & nieuw bedorven en moest je nog een jaartje wachten. Of langer.

Leo Epskamp

‘IRM is nu een leidende discipline binnen KPMG’

‘Onder leiding van Henk heeft IRM een ontwikkeling doorgemaakt van puur ondersteunende dienst tot een leidende discipline binnen KPMG. De samenwerking met de IT-auditors was van beide kanten even wennen: in het begin móesten we vooral met elkaar samenwerken. Maar dat is allang niet meer zo: nu wíllen wij als accountants dat ook echt. Dat is zeker voor een groot deel de verdienste van Henk. Hij heeft zich altijd keihard ingezet om anderen het besef bij te brengen dat IT-auditing een specialisme is waar niemand omheen kan. Tegenwoordig is het binnen KPMG simpelweg onmogelijk om de jaarrekeningcontrole bij grote cliënten uit te voeren zonder gebruik te maken van de expertise van de IT-auditor. Neem systemen als SAP en Hyperion: essentiële managementinformatiesystemen die binnen de reikwijdte van de audit moeten worden beoordeeld. De IT-auditors van IRM hebben daarvoor de specifieke expertise in huis.

Toen Henk bij IRM begon, bestond de functie CIO aan klantzijde nog niet. Deze functie is inmiddels gemeengoed. Het illustreert de enorme ontwikkeling die IT heeft doorgemaakt. Henk voorzag deze en maakte binnen KPMG de rol van IT in de audit tot wat deze behoort te zijn. Het succes van IRM beschouw ik dan ook voor een groot deel als het succes van Henk. Mede dankzij hem krijgt de IT-auditor nu de waardering die hij verdient.’

Spannend

Mijn interesse voor het vak IT-audit – dat toen nog niet zo heette – ontstond vrij snel nadat ik de overstap had gemaakt naar de controlesector. Mij werd direct gevraagd of ik belangstelling had om cursussen te volgen op het gebied van automatisering en controle. De accountants die zich daarmee bezighielden, heetten destijds AC-accountants. Waarbij de A stond voor automatisering en de C voor controle. Over het algemeen waren dat jonge accountants die zich hadden gespecialiseerd in de controle van administratieve automatiseringssystemen van klanten, zoals factureerprocessen en boekhoudsystemen. Dit soort processen werd geleidelijk geautomatiseerd en de accountant die daarmee werd geconfronteerd, moest begrijpen hoe deze processen werkten. Ik had toen al wel in de gaten dat wij aan het begin stonden van een belangrijke ontwikkeling. Het was spannend om daarbij te zijn. Automatisering was nieuw: grote computers die in zalen stonden opgesteld bij bedrijven. Wij mochten onze auditprogramma’s loslaten op de bestanden van de klant die op deze computers draaiden, maar dan moest de klant niet meer met automatisering bezig zijn, want je mocht in het begin maar één ding tegelijk doen op die grote machines. Dus ‘s avonds of ‘s nachts mochten we dan gebruikmaken van de computer van de klant om zijn bestanden te onderzoeken met onze programmatuur.

Specialistenwerk

De situatie dat de accountant met zijn auditsoftware de computerbestanden van de klant onderzocht, heeft wel een aantal jaren bestaan, maar het ging over op iets anders. Iedere onderneming had haar eigen programma’s – standaardpakketten bestonden toen nog niet of nauwelijks – en wij speelden daarop in met specifieke programma’s voor die klanten. Dat was specialistenwerk. De afdeling Software & Programming had op een gegeven moment zo’n twintig tot dertig programmeurs in dienst. Dat liep door tot in de jaren tachtig. Maar ik was toen volledig uit beeld als AC-accountant. Eind 1979 ben ik naar Spanje gegaan voor KPMG en ik kwam pas eind 1984 terug. Automatisering werd voor mij in Spanje een ver-van-mijn-bed-show. Ik controleerde daar de dochterondernemingen van Nederlandse bedrijven. En in Spanje liep het accountantsberoep toch wel achter; wij deden er eigenlijk niets met automatisering. Het meest geavanceerde waarover ons kantoor beschikte, was een bolletjesschrijfmachine en een telex.

Gert van Essen

‘Niets ontsnapte aan zijn aandacht’

‘Als een onderwerp eenmaal zijn aandacht had, ontsnapte geen enkel detail hem. Hij regeerde op basis van een enorme ervaring. En was een prima liaison naar de accountantswereld. Henk was streng en dwong respect af. Hij nam nooit een blad voor zijn mond, was wars van politiek en zei waar het op stond. En is volgens mij recordhouder ‘memo’s aan medewerkers versturen’.

Zijn hart lag bij ‘zijn’ IRM-club. Overal verdedigde hij IRM met verve. Ook in directievergaderingen liet hij geen kans onbenut om een IRM-spot te laten horen.

Henk Bronts, die ik nu toch al zo’n dertig jaar ken, heeft een dijk van een fundament gebouwd voor de IT-auditors. Internationaal staan Henk én IRM binnen KPMG hoog aangeschreven. Terecht. Het Nederlandse IRM is de grootste en de beste.

Het fundament dat Henk legde, zal de komende tijd van onschatbare waarde zijn voor KPMG. Want de automatiseringsslagen gaan door. Er zullen – zoals Henk het altijd zei – wel weer ‘moeilijke marktomstandigheden’ komen. Maar IRM staat als een huis. Henk kan dus met een gerust hart vertrekken. Een nieuwe generatie popelt om het van Henk, met zijn geheel eigen stijl, over te nemen. Met hún eigen stijl.’

Apart beroep

De ontwikkelingen in IT Auditing waren tijdens mijn verblijf in Spanje niet heel snel gegaan, want veel tendensen die ik in 1985 waarnam, waren er ook al in 1979. Wat wel belangrijker was geworden was dat accountants in het kader van de jaarrekeningcontrole de geautomatiseerde systemen van klanten beoordeelden. Dat was één. En het andere was dat zij rekencentra van klanten onderzochten. In beide gevallen toetste de accountant op betrouwbaarheid en continuïteit. Destijds werkten de gespecialiseerde accountants alleen in het kader van de jaarrekeningcontrole en dat samen met de reguliere accountant. Pas in de tweede helft van de jaren tachtig kregen zij ook zelfstandige, niet-jaarrekeninggerelateerde opdrachten op het vlak van administratieve organisatie en interne controle. Het aandeel van deze specialistische opdrachten nam in deze jaren flink toe. Die ontwikkeling vormde de eerste aanzet tot een apart beroep. In 1986 startte ook de eerste postdoctorale opleiding voor IT-auditors aan de VU.

IRM

In 1991 ben ik begonnen bij IRM en heb ik met anderen richting kunnen geven aan de ontwikkeling van de discipline. In de loop van de jaren negentig ontwikkelde het beroep zich razendsnel, analoog aan de ontwikkeling van de IT-functie binnen bedrijven. In 1992 zag de beroepsorganisatie NOREA het licht en er kwamen twee postdoctorale opleidingen bij, waardoor de RE-titel op drie universiteiten kon worden behaald. Sindsdien is het hard gegaan en nu kun je wel zeggen dat het beroep van IT-auditor volwassen is geworden. Ik vind dat wij als KPMG een belangrijke bijdrage hebben geleverd aan die ontwikkeling. We hebben meegewerkt aan de drie postdoctorale opleidingen, we zijn het kantoor waaraan de meeste hoogleraren verbonden zijn, we hebben een forse bijdrage geleverd aan de oprichting van de NOREA en we hebben meer dan andere kantoren via publicaties bijgedragen tot de inhoudelijke ontwikkeling van het beroep. En – niet onbelangrijk: we zijn voorzover ik weet tot op de dag van vandaag het enige kantoor waar IT-auditing als activiteit is ondergebracht in een apart organisatieonderdeel, los van de accountancydiscipline. Als IT-auditors van KPMG IRM kunnen wij onze eigen toekomst bepalen, vooropgezet dat we het financieel goed doen. Wij hebben altijd alle ruimte gehad om het vak inhoudelijk te ontwikkelen en nieuwe producten op de markt te brengen.

Accountant – IT-auditor

Eigenlijk kun je zeggen dat vanaf het moment dat IT-auditor een apart beroep begon te worden, er sprake is geweest van een haat-liefdeverhouding tussen de IT-auditor en de accountant. Sinds medio jaren tachtig was IT-auditing niet langer alleen het domein van gespecialiseerde accountants. Er kwamen afgestudeerde informatici bij en we werden een multidisciplinair gezelschap. Met name diegenen zonder accountancyachtergrond hadden het in het begin behoorlijk moeilijk in dit bedrijf. De accountants binnen ons onderdeel hadden tenminste nog dezelfde achtergrond als de controlerend accountants binnen KPMG en deelden hetzelfde jargon. De niet-accountants werden toch vooral beschouwd als nerds. Het was dat de accountants in het kader van de jaarrekeningcontrole niet zonder de IT-auditor konden. Maar ook van de kant van de IT-auditor verliep de samenwerking met de accountant niet altijd van harte. De samenwerking is inmiddels enorm verbeterd. Maar toch blijft het nog wel eens wringen. In de eerste plaats omdat wij elkaars taal toch niet helemaal spreken. De accountant heeft nu eenmaal minder IT-expertise, maar hij moet de IT-auditor in het kader van een jaarrekeningcontrole wél precies vertellen wat deze moet doen. Dat gebeurt niet altijd. Behalve de taalkloof vindt er ook vrijwel altijd een gevecht plaats over het budget. De accountant onderhandelt met de klant over de fee en hij zal de neiging hebben een groter deel daarvan aan pure accountancywerkzaamheden te besteden dan de IT-auditor lief is.

Audit én advies

We praten nu overigens over IT-auditor en gebruiken niet de wat verouderde term EDP-auditor. De term ‘EDP’ is volstrekt ouderwets, daar hebben wij als beroepsgroep veel te lang mee gesukkeld, zelfs toen die term allang niet meer werd gehanteerd. Toen ik in het bestuur van NOREA zat, heb ik mij met anderen stevig ingezet om het element ‘EDP’ te vervangen door ‘IT’. Dat is uiteindelijk gelukt. Maar ook met het element ‘auditor’ heb ik moeite. Ik vind deze aanduiding te beperkt. In mijn optiek bestaat ons vak al sinds de beginjaren negentig uit audit én advies. Bij de controle van een jaarrekening kan het oordeel luiden: deze voldoet aan de eisen, dus ik geef een goedkeurende verklaring af. Punt. Maar voor ons vak geldt dat een oordeel zonder advies is als een ei zonder zout. Zeker bij IT kom je als auditor altijd tot een zekere beoordeling met bijbehorende opmerkingen. Als klant ben je niet geholpen met alleen een oordeel dat zaken beter, efficiënter kunnen. Je wilt weten hóe je dat dan kunt doen. Dat is tegelijkertijd het mooie aan ons vak.

Eric van Leeuwen

‘Hij liet zich niet gek maken’

‘Het is goed dat Henks werk wordt voortgezet door een managementteam en niet door één persoon. Wie hem ook had opgevolgd, er zou altijd een vergelijking gemaakt worden. Een onmogelijke vergelijking. Want Henk is uniek. Uniek in de rust die hij uitstraalt. Uniek in zijn manier om de dingen te relativeren of tot hun essentie terug te brengen. Bij Henk had je nooit de indruk dat hij onder stress werkte. Hij liet zich niet gek maken. Misschien is het wel typerend voor Henk dat ik me geen anekdotes over hem voor de geest kan halen. Henk was redelijk voorspelbaar. In de Directie Assurance & Advisory Services (DAS) en in het overleg met het eerstelijnsmanagement wist je altijd al wat Henk zou gaan zeggen. Het zou in elk geval óók over IRM gaan en een hoog gehalte ‘IRM-promotie’ bevatten. En hij voegde er altijd wel weer nieuwe elementen aan toe. Henk is van professie accountant en is min of meer in de managementrol bij IRM ‘terechtgekomen’ zonder EDP-auditor te zijn. In de loop der jaren heeft hij zijn IRM-familie opgebouwd. Henk was de vaderfiguur. Hij is tot het laatste moment, tot zijn 62e, gebleven. Dat zegt wel iets, lang niet iedereen doet dat. Ik wens hem en zijn gezin al het goede. Ik hoop dat hij zijn ex-collega’s nog eens op komt zoeken en dat hij in goede gezondheid nog veel zal zeilen en veel andere leuke dingen zal doen.’

Stimuleren

Ik vind het moeilijk om aan te geven wat mijn belangrijkste prestaties zijn geweest. Mijn rol als voorzitter was vooral om idee-ontwikkeling te stimuleren en om de veelheid aan ideeën en initiatieven binnen IRM in goede banen te leiden. Waarbij ik mensen soms ook wel eens moest afremmen. Mijn taak was om de afweging te maken of een idee iets zou kunnen opleveren. Als ik nu terugkijk, concludeer ik dat wij als KPMG IRM altijd vooropgelopen hebben in de markt. Laat ik een poging wagen om een aantal kenmerkende aspecten uit mijn IRM-periode eruit te lichten. Allereerst heb ik mij altijd keihard ingezet om zo goed mogelijk samen te werken met de accountant in het kader van de jaarrekeningcontrole. Daarnaast heb ik mij sterk gemaakt om ons als discipline daarnaast toe te leggen op opdrachten die niet gerelateerd zijn aan de controle van de jaarrekening. Bedenk wel: dit soort opdrachten maakt tegenwoordig ongeveer tachtig procent van onze omzet uit. Bovendien is ons organisatieonderdeel in de loop der tijd drastisch veranderd. Vroeger maakten accountants met een specialisatie in automatisering hier de dienst uit. Nu vormen zij de minderheid en nemen we vrijwel alleen nog afgestudeerde informatici aan. Daarnaast nemen we in toenemende mate afgestudeerde bedrijfseconomen, bedrijfsinformatici en bedrijfskundigen aan. Wil je deze mensen een interessante baan bieden, dan kun je je niet beperken tot opdrachten die voortvloeien uit de jaarrekeningcontrole. Ik heb verder altijd het belang onderkend van productontwikkeling, zoals nu gebeurt binnen onze zogenaamde competence centers. Daar ontwikkelt het vak zich. De vier belangrijkste, als we kijken naar de omzet van de betreffende diensten, zijn op dit moment de competence centers die zich richten op Pakketten, Projecten, Informatiebeveiliging en IT Governance. Vooral dat laatste thema staat vanwege de Governance-discussie nu in het middelpunt van de belangstelling.

Bloeiperiode

Ik ben ervan overtuigd dat het vak IT-auditing aan de vooravond van een nieuwe bloeiperiode staat en dat dit zeker ook geldt voor KPMG IRM. Ten eerste omdat het er nu echt op lijkt dat de haat-liefdeverhouding tussen accountant en IT-auditor definitief verandert in een liefdesrelatie. Het is alleen jammer dat daar een reeks schandalen voor nodig was. Door de nasleep van Enron is er wereldwijd terecht veel meer aandacht ontstaan voor interne beheersing. Organisaties zijn tegenwoordig dermate afhankelijk van IT dat de accountant – deels gedwongen door regelgeving – een hernieuwde belangstelling voor IT heeft. Dit heeft geleid tot het besef dat je goed móet samenwerken. Ik voorspel dat wij toegaan naar een situatie dat verantwoordingen van bedrijven worden voorzien van een verklaring van de accountant én de IT-auditor. Daar wordt overigens al twintig jaar over gefilosofeerd, maar ik ben ervan overtuigd dat we daar nu echt naartoe gaan. Waarbij de accountant vooral let op waarderings- en winstbepalingsvraagstukken en de IT-auditor een uitspraak doet over de mate waarin de organisatie greep heeft op interne IT-processen.

Verder verwacht ik dat de échte IT-audit en -advisering in omvang blijft toenemen. Vergelijk de stand van IT met die van vijf jaar geleden en het is eigenlijk onvoorstelbaar welke ontwikkeling er is geweest. En die ontwikkeling zet door. En daarmee neemt de behoefte van bedrijven ook toe om onzekerheden die samenhangen met IT te beperken. Op het gebied van beheersing zijn we ijzersterk. Wij weten hoe je in control bent. Ik vind ook dat we nog sterker kunnen profiteren van de behoefte aan deskundigheid over IT-beveiliging in de breedste zin van het woord. En als je kijkt naar de standaardpakketten denk ik dat wij nog sterker dan nu kunnen profiteren van onze onafhankelijke status. Veel concurrenten zijn verbonden aan leveranciers van hard- en software en zijn dus niet onafhankelijk.

Joop de Rooy

‘Ik heb hem altijd jonger ingeschat’

‘Henk was veel eerder partner dan ik. Vroeger was hij typisch iemand waar ik tegenop keek, een voorbeeld. In zekere zin is hij dat gebleven. Ik heb hem – ook in de laatste twee jaar, toen hij aan mij rapporteerde – ervaren als een hele fijne vent. Hij had zijn zaakjes altijd goed op orde. Hij is zeer sterk georganiseerd.

In de tijd dat Henk begon bij het toenmalige EDP Audit stond die eenheid bekend als een club met, laat ik zeggen, veel ‘incompabilités d’humeur’. Henk heeft er een stabiele club van weten te maken. Een hecht team, waar nu veel jonge mensen werken. Stuk voor stuk prettige kerels. Nog steeds een mannencultuur, dat wel. Maar dat het Henk zijn club is, zie je terug in het type mensen dat hij heeft geselecteerd.

Ik heb Henk altijd jonger ingeschat dan hij was. Het voelde goed als je bij hem in de buurt was. Altijd dat vriendelijke gezicht, met die lach. Het was in elk geval nooit een straf om bij hem aan tafel te zitten. Of samen met hem een conferentie bij te wonen. Hij is bepaald geen nerd. Maar een levensgenieter.

Hoewel ik weinig direct met Henk heb samengewerkt, voelt zijn vertrek als een gemis. Echt jammer dat hij weg is.’

Lekker niksen

Ik ben in 1991 gevraagd bij IRM. De bedoeling was dat ik slechts voor een kortstondige periode zou blijven. Dat het dertien jaar geworden zijn, geeft aan dat anderen daar de noodzaak van inzagen. Ik kijk erop terug als één van de leukste perioden bij KPMG, omdat IT zich in die periode enorm heeft ontwikkeld. We vergeten snel, maar kijk bijvoorbeeld naar de ontwikkeling van electronic banking, anno 2005 doet bijna iedereen dat. Stel de vraag wie er weleens iets koopt op internet en vrijwel iedereen antwoordt met ‘ja’. IT is het domein van jonge, enthousiaste mensen die voortdurend zorgen voor vernieuwing. Never a dull moment was en is het credo. Ik als oude rot moest echt mijn best doen om bij te blijven. Of ik IRM en het vak blijf volgen? Ja, maar op afstand. Ik heb de boel goed overgedragen en ik heb alle vertrouwen in de jeugd die mijn taak overneemt. Ik ga niemand voor de voeten lopen en ik neem in ieder geval eerst een sabattical. Vorig jaar heb ik een grotere boot gekocht, ik krijg eindelijk tijd om die stapel boeken te lezen, kortom: ik ga even lekker niksen. En wie weet begin ik na de zomer wel een leuk zaakje met mijn vrouw. Ik wil voelen hoe het is om eens niet hard te werken en niet lange dagen te maken.’

De rol van het testen bij het accepteren van een systeem

In de alsmaar verder digitaliserende wereld wagen steeds meer bedrijven zich aan grote en complexe systeemimplementaties. Om de zoveel tijd wordt een organisatie geacht het systeem op te waarderen tot de laatste versie c.q. aanvullende functionaliteit te implementeren. Onderdeel van dergelijke implementaties is het onderwerpen van het systeem aan een grondige test. Deze activiteit wordt in de praktijk vaak onderschat. Daarnaast zijn bedrijven onderhevig aan veranderende wetgeving (denk aan recente corporate governance-initiatieven zoals Sarbanes-Oxley en Tabaksblat) die (indirect) eisen stelt aan de inrichting van het testproces. In dit artikel wordt het belang van gebruikerstests onderschreven en wordt de toegevoegde waarde van een gestructureerde testaanpak uiteengezet.

Inleiding

Laten we beginnen met een greep uit veelgehoorde uitspraken bij projectevaluaties:

‘We hadden geen inzicht in de voortgang van het testproces en de hoeveelheid problemen. Het testproces had kop noch staart. Toen we moesten beslissen om live te gaan ontbrak het overzicht: niet alleen in wat er allemaal niet goed ging, maar ook in wat wel functioneerde.’

‘De stroom van probleemmeldingen kwam pas echt op gang nadat we ‘live’ waren gegaan met het pakket.’

Het probleem dat hieraan ten grondslag ligt is dat er bij systeemimplementaties onvoldoende aandacht is voor gedegen gebruikers- en acceptatietests. Hierdoor ontbreken belangrijke waarborgen voor het beheerst doorvoeren van veranderingen in een organisatie.

De risico’s, gerelateerd aan dit probleem, zijn eenvoudig uit te drukken in termen van tijd, geld en kwaliteit. Uitloop van projecten, budgetoverschrijdingen en weerstand tegen veranderingen in de interne organisatie zijn hierbij slechts voorbeelden van zaken die de oorspronkelijke business case voor een project ondermijnen.

Aan deze problematiek liggen tal van oorzaken ten grondslag. Het blijkt dat de testfase nog steeds wordt onderschat, zowel vanuit de project- als de lijnorganisatie. De projectleider ziet testen als de sluitpost van zijn project. Zo is testen vaak als één stap omschreven in het initiële projectplan. Daarnaast wordt deze fase vaak aangegrepen om een opgelopen vertraging in te lopen, bijvoorbeeld door het schrappen of drastisch inperken van de oorspronkelijk geplande testactiviteiten of door testwerkzaamheden te integreren in een andere fase (bijvoorbeeld de conversiefase of schaduwdraaien). Aan de andere kant onderschat de gebruikersorganisatie vaak de complexiteit van het specificeren en uitvoeren van testgevallen, en ontbreekt het overzicht van alle benodigde testactiviteiten. Daarnaast kan de onbekendheid met het testproces een rol spelen.

Het mag duidelijk zijn dat op dit terrein nog veel resultaat te behalen is.

Dit artikel beschrijft hoe een gestructureerde testaanpak eruitziet en hoe deze kan bijdragen aan het succes van het project zowel in kwalitatieve als in kwantitatieve zin. Deze testaanpak kan gezien worden als de start in het proces van ‘ongoing improvement’. Daarbij is kwaliteitsborging van systemen gedurende de gehele levenscyclus het doel. Bewustzijn en actieve betrokkenheid van de gebruikersorganisatie, management en projectleiders zijn daarbij belangrijke voorwaarden voor succes.

Voordat we ingaan op de gestructureerde testaanpak volgt eerst een terugblik op testen anno 1974: het jaar waarin Compact voor het eerst aandacht besteedde aan dit onderwerp.

Dertig jaar testen

Testen anno 1974

In 1974 beschreef J.H. Urbanus in een tweetal artikelen in Compact ([Urba74a], [Urba74b]) hoe een organisatie (lees rekencentrum) het testproces kan inrichten. Uit het feit dat de artikelen zich richtten op de programmeurs bleek het belang van rekencentra in de acceptatie van een systeem. Urbanus onderschreef het belang van het zoveel mogelijk betrekken van de gebruiker in het testproces. In die tijd kwam dit hoofdzakelijk neer op het door de gebruiker laten aanleveren van testgegevens (indien mogelijk). De verantwoordelijkheid voor de planning en uitvoering van de tests lag bij het rekencentrum.

Doel van het testen in 1974 was primair het ontdekken en het ‘debuggen’ (corrigeren) van fouten. Daarbij werden als testfasen benoemd het testen van:

  • programmamodules;
  • individuele programma’s;
  • programmaseries;
  • deelprojecten;
  • het gehele project;

    en tot slot
  • de gebruikersacceptatie.

Volgens Urbanus was de belangrijkste (en meest onderschatte) test de moduletest. Wat zoveel inhield als het logisch testen van subroutines in de programmatuur door de programmeur. Daarnaast werd stilgestaan bij een aantal richtlijnen voor het testen (zie kader 1).

Kader 1. Richtlijnen met betrekking tot het testen.

Richtlijnen met betrekking tot testen ([Urba74a])

  1. Formuleer maatstaven met betrekking tot de acceptatie van het programma.
  2. Stel een testplan op.
  3. Ontwikkel testgevallen.
  4. Documenteer testgegevens.
  5. Standaardiseer de job control ten behoeve van testwerkzaamheden.
  6. Zet de sourceprogramma’s, nadat een schone compilatie is verkregen, op een source library.
  7. Bereken vooraf testresultaten.
  8. Ontwikkel de nodige utilities (zoals printprogramma’s en outputvergelijking).
  9. 9. Test zorgvuldig, conservatief en georganiseerd.
  10. Onderhoud een testlog per programma.
  11. Verzamel testgegevens bij de gebruiker.
  12. Laat één man de controletotalen, recordtellingen en andere totaalcontroles beheren.
  13. Check de computerresultaten met de uitvoervoorspelling (vier-ogen-principe).

Urbanus besteedde ook aandacht aan het onderwerp testmonitoring. Hierbij ging het met name om het bijhouden van het problemenlogboek en het sturen op openstaande bevindingen. Afsluitend stelde Urbanus een gebrek aan automatiseringskennis bij de gebruiker vast. Het was de taak van de automatiseringsafdeling de gebruiker op te leiden.

Testen anno 2004

Sinds 1974 is er veel veranderd op het gebied van testen. Dit is onder meer te verklaren door technologische ontwikkelingen, veranderingen in projectmethodieken en toegenomen affiniteit van gebruikers met ICT. Daarnaast is een belangrijke verandering de introductie van gestructureerd testen en bijbehorende methodieken, waarvan TMap ([Pol95]) in Nederland het bekendste voorbeeld is.

Een gestructureerde testaanpak is niet een op zichzelf staand iets. Een gestructureerde testaanpak ontleent zijn toegevoegde waarde voor een groot deel aan een goede integratie met de diverse fasen in een systeemontwikkeltraject. Aspecten van testen komen op diverse plekken terug tijdens een ontwikkeltraject van een nieuw of te wijzigen systeem.

Daarnaast legt de gestructureerde testaanpak een belangrijke basis voor een efficiënt test- en acceptatieproces in het onderhoud en beheer van het systeem. Nadat eenmalig is bepaald hoe het systeem getest wordt, kan bij iedere wijziging van het systeem gebruik worden gemaakt van de beschikbare testmiddelen.

In dit artikel beschrijven we de testaanpak aan de hand van het ontwikkel- en implementatietraject van een nieuw informatiesysteem.

Fasering

Een ontwikkel- en implementatietraject bestaat doorgaans uit de in figuur 1 weergegeven fasen.

C-2004-3-Beucken-01

Figuur 1. Fasering ontwikkel- en implementatietrajecten en de relatie met testen.

De integratie van de testaanpak in het implementatietraject komt tot uitdrukking in het feit dat er in de projectfasen voorafgaande aan het moment van ‘live’ gaan expliciet aandacht is voor het testen. Dit verband komt enerzijds tot uitdrukking in een duidelijke relatie tussen projectdeliverables en testactiviteiten (denk aan een projectplanning waarin de testactiviteiten zijn opgenomen) en anderzijds in de ontwikkeling en het gebruik van specifieke testdeliverables.

In de nazorgfase van een implementatietraject zal de aandacht voornamelijk gericht zijn op de overdracht en de opvolging van openstaande bevindingen.

In de volgende paragrafen wordt ingegaan op deze fasen en de rol die het testproces daarin speelt, wanneer de integrale testaanpak wordt gevolgd.

Fase 1. Voorbereiding

De implementatie van een nieuw systeem is doorgaans een langdurig en complex traject. Nadat een organisatie heeft besloten tot invoering van een nieuw systeem, zijn er kortweg drie mogelijkheden:

  • keuze voor een standaardpakket;
  • keuze om het pakket van de grond af aan helemaal zelf te (laten) bouwen, of
  • keuze voor een combinatie van de twee hiervoor genoemde.

Welke mogelijkheid men ook kiest, eerst dient men de vraag ‘Wat willen we eigenlijk hebben?’ te stellen. Kortom, de eisen en wensen moeten in kaart worden gebracht. Op basis van deze eisen en wensen kan (in geval van een standaardpakket) een pakketselectietraject worden gestart om een gedegen keuze voor het best passende pakket mogelijk te maken. In geval van maatwerk vormen de eisen en wensen de basis voor de functionele specificaties van het te bouwen systeem.

Onduidelijkheden en inefficiënties in het testproces moeten zoveel mogelijk worden vermeden. Daarom is het van belang om in een zo vroeg mogelijk stadium duidelijkheid te hebben welke aspecten van het informatiesysteem geaccepteerd moeten worden.

Het vastleggen van de eisen en wensen is dan ook feitelijk de start van het testtraject. In de praktijk worden eisen en wensen vaak vastgelegd in een zogenaamd scopingsdocument, waarin de grenzen van het project bepaald zijn, zowel op functioneel, organisatorisch als technisch gebied. Wat vaak in testtrajecten over het hoofd wordt gezien, is dat deze eisen de basis vormen voor de bepaling van de acceptatiecriteria waaraan het systeem moet voldoen.

Er zijn verschillende manieren om acceptatiecriteria vast te leggen. Daarbij kan gebruik worden gemaakt van beschikbare standaarden en kwaliteitsmodellen. De bekendste modellen hiervoor zijn het ISO 9126-model en het Extended ISO-model (SERC) ([Pill02]). Deze modellen richten zich primair op productkwaliteit. In kader 2 zijn de kwaliteitsaspecten waarop deze modellen zich baseren, opgenomen. Dergelijke modellen ontlenen hun toegevoegde waarde voornamelijk aan het feit dat ze aan requirements en acceptatiecriteria een plaats geven. Daarmee kunnen dergelijke modellen een belangrijk hulpmiddel zijn om een volledige set van acceptatiecriteria op te bouwen.

Kader 2. Kwaliteitsaspecten ISO 9126/Extended ISO-model.

Het model besteedt ook expliciet aandacht aan organisatorische aspecten, zoals procedures en werkinstructies.

Functionality

  • Suitability
  • Accuracy
  • Interoperability
  • Compliance
  • Security
  • Traceability*

Reliability

  • Maturity
  • Fault tolerance
  • Recoverability
  • Availability*
  • Degradability*

Usability

  • Understandability
  • Learnability
  • Operability
  • Explicitness
  • Customisability*
  • Attractivity*
  • Clarity*
  • Helpfullness*
  • User-friendlyness*

Efficiency

  • Time behaviour
  • Resource behaviour

Maintainability

  • Analysability
  • Changeability
  • Stability
  • Testability
  • Manageability
  • Reusability

Portability

  • Adaptability
  • Installability
  • Conformance
  • Replaceability

*) Extended ISO

Een ander raamwerk voor het vastleggen van deze acceptatiecriteria is het groeimodel van Nolan Norton ([Nola74]). Het model is gebaseerd op vier fundamenten:

  • processen en diensten;
  • mensen en cultuur;
  • infrastructuur;
  • management en organisatie.
Processen en diensten

Onder dit deelgebied vallen alle functionele acceptatiecriteria, zoals algemene en specifieke functies, rapporten en interfaces.

Mensen en cultuur

Onder dit deelgebied vallen alle acceptatiecriteria rondom procedures, werkinstructies, handleidingen, systeemdocumentatie, trainingen en dergelijke.

Infrastructuur

Dit deelgebied omvat de technische acceptatiecriteria zoals systeemstabiliteit, performance, verbindingen met andere systemen, back-up en recovery.

Management en organisatie

Onder dit deelgebied vallen acceptatiecriteria zoals autorisaties, stamgegevens en managementrapportages.

Naast aandacht voor een goede afbakening van het project wordt in deze fase ook een projectplanning opgesteld. Het is zaak hier expliciet aandacht te besteden aan activiteiten die in het kader van test en acceptatie moeten worden uitgevoerd. Hoewel het moeilijk is om in deze fase de testinspanning in te schatten is het belangrijk dat er inzicht is in de te leveren deliverables (project- en testdeliverables) en de afhankelijkheden daartussen.

Door het adresseren van bovengenoemde aspecten wordt impliciet bewustzijn gecreëerd ten aanzien van het testen. Dergelijke bewustwording is cruciaal voor het verdere verloop van het project. In de praktijk blijkt namelijk maar al te vaak dat test- en acceptatieactiviteiten zwaar worden onderschat, wat in de testuitvoering kan leiden tot spanningen en frustraties.

Fase 2. Analyse

In de analysefase van het implementatietraject worden de functionele specificaties tot in detail uitgewerkt en vastgelegd in een functioneel ontwerp. Daarnaast wordt voor een groot deel duidelijk hoe de huidige procedures en werkinstructies aangepast moeten worden aan de nieuwe werkwijze, hoe de inbedding van het systeem in het rekencentrum gerealiseerd moet worden en welke autorisatiestructuur gehanteerd gaat worden. Kortom, tijdens de analysefase wordt een verdere invulling gegeven aan de vier pijlers van het Nolan Norton-model.

C-2004-3-Beucken-02

Figuur 2. Groeimodel van Nolan Norton.

In deze fase wordt duidelijk welke wijzigingen in de organisatie worden doorgevoerd. Wijzigingen vormen een bedreiging voor de betrouwbaarheid van de gegevensverwerking. Testen is een maatregel om het risico dat de organisatie loopt als gevolg van wijzigingen te beheersen. Om enige zekerheid te verkrijgen over de betrouwbaarheid van het nieuwe systeem en bijbehorende procesgang, zullen functionele, technische en organisatorische wijzigingen getest moeten worden.

In theorie wordt gestreefd naar een 100% volledige test. Dit betekent bijvoorbeeld voor het testen van de systeemfunctionaliteit, dat alle mogelijke combinaties van invoergegevens getest zouden moeten worden. In de praktijk is dit niet haalbaar vanwege het veelal exponentiële aantal te testen paden en mogelijkheden. Tijd en kosten zijn beperkende factoren. Om te voorkomen dat er ‘in het wilde weg’ getest wordt, dient de organisatie te bepalen waarop de nadruk bij het testen moet komen te liggen. Een hulpmiddel bij het maken van een gewogen afweging is het opstellen van een risicoprofiel aan de hand van een risicoanalyse.

Risicoanalyse

Risico wordt doorgaans gedefinieerd als het product van de kans (of waarschijnlijkheid) dat een bepaalde bedreiging optreedt, en de impact die de bedreiging veroorzaakt. Met behulp van beide factoren wordt het risicoprofiel vastgesteld.

Op hoofdniveau (bijvoorbeeld procesniveau) dient de organisatie per geïmplementeerd onderdeel te bepalen wat de kans is dat het betreffende onderdeel niet aan de gewenste situatie voldoet en wat de impact is op de organisatie mocht het onderdeel inderdaad niet goed zijn geïmplementeerd. De hoogte van de kans en impact wordt meestal kwalitatief bepaald; deze is bijvoorbeeld hoog, middel of laag.

In de risicogrid worden niet alleen de functionele (proces)aspecten uitgezet, maar ook organisatorische, gebruikers- en technische aspecten. Bijzondere aandacht moet worden besteed aan het aspect gegevens. Zeker als er grote hoeveelheden gegevens uit een oud systeem geconverteerd moeten worden naar het nieuwe systeem.

Nadat van alle aspecten het risico is bepaald en is uitgezet in de risicogrid, is het risicoprofiel compleet. Op basis van dit profiel bepaalt de organisatie welke aspecten wel en welke niet (of in mindere mate) worden meegenomen gedurende het testen. Logischerwijs zullen aspecten met een hoge kans en veel impact zonder meer moeten worden meegenomen en intensief worden getest. Het is aan de organisatie om te bepalen welk (rest)risico zij accepteert en welke aspecten derhalve niet of beperkt worden meegenomen tijdens het testen.

Kortom, de risicogrid kan worden gebruikt voor het bepalen van de scope van, de diepgang van en de prioriteit binnen het testen. Figuur 3 toont een voorbeeld van een gedeeltelijk ingevulde risicogrid. Uit de figuur blijkt bijvoorbeeld dat de orderinvoer-functionaliteit en de werkinstructies van het verkoopproces intensief getest moeten worden, gezien het grote risico dat de organisatie op deze twee gebieden loopt.

C-2004-3-Beucken-03

Figuur 3. Voorbeeld van een risicogrid.

Testplan

Aan de hand van de risicogrid worden de scope en de diepgang van het testtraject bepaald. Het ‘wat’ is nu bekend. De volgende stap is de bepaling van het ‘hoe’. Dit wordt vastgelegd in een testplan. Hierin wordt aangegeven:

  • welke uitgangspunten en randvoorwaarden gelden;
  • welke testmethodiek wordt toegepast;
  • welke eisen gelden ten aanzien van de testomgeving;
  • welke testprocedures van toepassing zijn;
  • welke geautomatiseerde testtools worden ingezet;
  • hoe de planning eruitziet.

Daarnaast moet worden vastgelegd hoe de testorganisatie en de te gebruiken testprocedures zijn ingericht. Van belang is het om duidelijkheid te scheppen waar het gaat om de vraag welke personen waarvoor verantwoordelijk zijn. Hierbij moet worden gedacht aan de activiteiten testvoorbereiding, omgevingenbeheer, testcoördinatie, testuitvoering en probleemafhandeling. Verder geeft het testplan inzicht in de belangrijkste testgevallen die als uitgangspunt dienen voor de te testen onderdelen.

Het testplan wordt geaccordeerd door de (project)organisatie en dient als uitgangspunt voor de voorbereidende testactiviteiten.

Fase 3. Bouw

Gedurende de bouwfase worden de specificaties uit de analysefase omgezet in modules, werkinstructies, procedures, etc. Eenmaal opgeleverd zullen al deze zaken moeten worden getest.

De bouwfase is, wat het testen betreft, de meest intensieve fase. Naast de feitelijke tests die hier plaatsvinden, vinden in deze fase diverse activiteiten plaats ter voorbereiding van de tests.

Voorbereiding van de gebruikerstests

Bepalen testgevallen

Op basis van het testplan en de beschikbare en goedgekeurde projectdeliverables (waaronder functionele specificaties) wordt in detail bepaald welke aspecten getest moeten worden. Kortom, de te testen situaties worden vastgesteld. Als kapstok voor het opstellen van de testgevallen kan gebruik worden gemaakt van een procesinsteek: per bedrijfsproces wordt vastgesteld welke functionaliteiten (modules en functies), welke interfaces met andere systemen en dergelijke getest moeten worden. Specifieke aandacht moet worden besteed aan maatwerk, interfaces, niet-standaardrapporten en, in geval van een standaardpakket, specifieke gaps. Bij een standaardpakket geldt over het algemeen dat de (standaard) basisfunctionaliteit al bij diverse implementaties getest is c.q. gebruikt wordt door diverse bedrijven. Zeker als een standaardpakket reeds langere tijd op de markt is en door veel bedrijven wordt gebruikt, kan gesproken worden van ‘proven technology’. Bij standaardpakketten liggen de risico’s niet zozeer op het gebied van de basisfunctionaliteit, maar meer op het gebied van de specifiek voor die organisatie gemaakte aanpassingen en toevoegingen (‘gaps’) op de standaard.

Bepalen uitgangsdatabase

Vervolgens dient bepaald te worden wat de exacte uitgangsdatabase is. De uitgangsdatabase bevat de populatie waarop de test wordt uitgevoerd. De uitgangsdatabase is op hoofdlijnen al gedefinieerd in het testplan, maar wordt in de voorbereidende testfase in detail uitgewerkt. Zaak is om de uitgangsdatabase zo compact, maar zo volledig mogelijk te houden. Concreet betekent dit dat de organisatie moet bepalen welke situaties representatief zijn voor de dagelijkse gang van zaken. Zo zou een leasebedrijf moeten bepalen welke typen leasecontracten representatief zijn en een WAO-administratiekantoor moeten bepalen welke WAO-gevallen representatief zijn.

In de praktijk is het handig om het opstellen van testgevallen en het bepalen van de uitgangsdatabase in één stap uit te voeren. Bij het opstellen van testgevallen wordt namelijk vaak al impliciet nagedacht over welke populatie kan worden gebruikt om een bepaalde situatie mee te testen. Door tijdens het opstellen van de testgevallen deze populatie meteen vast te leggen, wordt voorkomen dat de uitgangsdatabase achteraf niet goed aansluit op de uit te voeren tests.

Het is van groot belang om kerngebruikers te betrekken bij het opstellen van de testgevallen en de uitgangsdatabase. Een IT-auditor vervult vaak een ondersteunende rol bij het opstellen van de testgevallen en de uitgangsdatabase, maar mist doorgaans diepgaande materiekennis van de processen in de organisatie. Om een volledige set testgevallen en een representatieve uitgangsdatabase op te kunnen leveren is input van kerngebruikers van essentieel belang.

Bij het opstellen van de uitgangsdatabase is het van belang rekening te houden met de afhankelijkheid van testscripts. Bij het uitvoeren van een testscript worden doorgaans testdata gewijzigd. Dit kan tot ongewenste resultaten leiden in die gevallen dat er meerdere testscripts van hetzelfde testgeval gebruikmaken. Derhalve is het aan te raden om een individueel testgeval te gebruiken in maximaal één testscript.

Opstellen testscripts

Nadat bekend is welke gevallen getest gaan worden op basis van welke uitgangsdatabase, dienen de testscripts te worden opgesteld. Een testscript beschrijft de handelingen die de tester moet uitvoeren om het testgeval te kunnen testen. Daarbij is de functionaliteit afgebakend. Per testgeval wordt minimaal één testscript opgesteld. Indien gewenst kunnen meerdere testgevallen worden samengevoegd in één testscript. De testscripts kunnen vervolgens worden toegewezen aan de individuele testers.

Opstellen testmatrix

Een hulpmiddel voor het waarborgen van de volledigheid van de tests is het opstellen van een testmatrix. Afhankelijk van de doelgroep kan deze testmatrix op verschillende niveaus worden ingestoken. Zo zal het team dat de testscripts opstelt behoefte hebben aan een gedetailleerde matrix, waarin elk te testen onderdeel van een functie naar voren komt. In dat geval worden enerzijds alle te testen functionaliteiten vastgelegd en anderzijds de testscripts.

De matrix kan echter ook worden gebruikt als rapportage-instrument richting management. In dat geval dient de matrix op een hoger (geaggregeerd) niveau te worden ingestoken. Bijvoorbeeld de hoofdprocessen uitgezet tegen de belangrijkere functies/modules binnen het systeem.

Door het relateren van beide gegevens in de matrix ontstaat er een gestructureerd inzicht in welke aspecten geraakt worden in welke test. In één oogopslag kan worden vastgesteld welke aspecten niet of onvoldoende geraakt worden in de testscripts. De testmatrix is een middel om de volledigheid van de tests te waarborgen.

Bepalen proceslevenscyclus

Als laatste dient de procesgang in kaart gebracht te worden en vastgelegd te worden in een proceslevenscyclus. Per proces dat het systeem ondersteunt dient een onderscheid te worden gemaakt tussen de belangrijkste activiteiten binnen het proces. Vervolgens dienen de activiteiten zodanig vastgelegd te worden dat ze de logische procesgang in de tijd weergeven. Deze proceslevenscyclus is de basis van de hierna te bespreken integratietest.

Testen

Nadat de testvoorbereiding is afgerond, kan er begonnen worden met het daadwerkelijke testen. De tests kunnen grofweg worden ingedeeld in vier deelgebieden waarop wordt getest, en wel:

  • testen van systeemfunctionaliteit;
  • testen van organisatorische wijzigingen;
  • testen van technische aspecten;
  • testen van geconverteerde gegevens.

In figuur 5 worden verschillende soorten tests weergegeven. Het doel van de functionele test is zekerheid te krijgen over het correct functioneren van afzonderlijke applicatieonderdelen. Bij de integratietest staat de integratie tussen deze onderdelen centraal, evenals relaties met andere systemen. De technische test is vergelijkbaar met de functionele test, maar richt zich in het bijzonder op de technische aspecten van de applicatie. De organisatorische veranderingen worden ook onderworpen aan een ‘test’. Hierbij moet onder andere gedacht worden aan de kwaliteit van nieuwe of aangepaste procedures en werkinstructies, het opleidingsniveau van betrokken medewerkers en de inrichting van de beheerorganisatie. De finale acceptatietest is een afsluitende test, met als doel het vaststellen van het correct functioneren van het geaccepteerde systeem met de geconverteerde data.

C-2004-3-Beucken-04

Figuur 4. Voorbeeld testmatrix. [Klik hier voor een grotere afbeelding]

C-2004-3-Beucken-05

Figuur 5. Soorten tests.

In deze paragraaf gaan we specifieker in op de tests die direct betrekking hebben op de juiste werking van het systeem, te weten de functionele test, de integratietest, de technische test en de finale acceptatietest. Derhalve blijven in dit artikel het testen van conversieprogrammatuur en het controleren van de conversie verder buiten beschouwing.

Functionele test

De nieuwe software dient uitgebreid getest te worden voordat deze geaccepteerd wordt. De daadwerkelijke testactiviteiten richten zich in het begin voornamelijk op het testen van de functionaliteit van het nieuwe systeem.

Een voorwaarde voor het uitvoeren van een functionele test is dat vóór vrijgave ten behoeve van de gebruikerstest, door de programmeur een systeemtest is uitgevoerd. In de systeemtest controleert de programmeur of de betreffende functie werkt. Dit houdt bijvoorbeeld in dat vastgesteld moet zijn dat de functie gestart kan worden zonder dat het systeem vastloopt, dat er inderdaad een rapport uit de printer komt, etc. De systeemtest geeft inzicht in de technische werking van een functie op programmaniveau. Een systeemtest is echter geen waarborg voor de juistheid van de door de functie opgeleverde gegevens. Daarvoor dient de functionele test.

Het verschil tussen een systeemtest en een functionele test is gelegen in het feit dat de systeemtest wordt uitgevoerd door en vanuit het oogpunt van de ontwikkelaar en de functionele test door en vanuit het oogpunt van de gebruiker. Daarnaast zullen in de praktijk de bij de functionele test gebruikte testgegevens de werkelijkheid beter benaderen dan de gebruikte gegevens bij de systeemtest.

Tijdens de functionele test (ook wel unittest genoemd) wordt op basis van de testscripts en testpopulatie de individuele functionaliteit van het systeem getest op het niveau van modules en functies. Hierbij kan worden gedacht aan het testen van een individuele berekening, rapport, scherm of interface.

Een functionaliteit moet één of meer keren getest worden, afhankelijk van het bijbehorende risicoprofiel en het feit of een test al dan niet succesvol wordt afgerond.

Integratietest

Het doel van de integratietest is zekerheid te krijgen over de juiste werking van de programmatuur gedurende de gehele procesgang. De nadruk ligt bij deze test op de toetsing van de programmatuur en niet van de data. Belangrijkste eindproduct van deze test is een door de gebruikersorganisatie geaccepteerde applicatie.

Tijdens de integratietest wordt de samenhang tussen de functies en de relatie met systemen in de omgeving getest. Hierbij wordt als uitgangspunt de totale keten van processen gehanteerd. Bijvoorbeeld het verwerken van een inkooporder dat moet leiden tot de juiste mutaties in geld- en goederenstromen in zowel het inkoopsysteem als het voorraadsysteem en in de boekhouding. Om dit te bereiken kunnen de scripts van de functionele test eenvoudig worden hergebruikt door deze aan de hand van de procesgang in de juiste volgorde uit te voeren.

Technische test

Het doel van de technische test is het testen van de technische infrastructuur (hardware, netwerk, middleware, DBMS) en performance van de applicatie. Deze test wordt door zowel eindgebruikers als de lokale ICT-organisatie uitgevoerd. Eindgebruikers richten zich met name op aspecten als performance (bijvoorbeeld opbouw van schermen en snelheid van uitvoeren van complexe berekeningen) en stabiliteit van het systeem (‘monkey test’). De lokale ICT-organisatie is enerzijds bij deze test betrokken als leverancier van de technische infrastructuur en heeft anderzijds ook een accepterende rol met betrekking tot de beheerfuncties in het systeem. Hierbij kan bijvoorbeeld gedacht worden aan de productieaansturing (het opstarten van batch jobs) en databasemanagementfuncties (schoning en archivering van gegevens).

In de praktijk krijgt deze test vaak onvoldoende prioriteit.

Acceptatietest

Feitelijk is hier sprake van het finale acceptatiemoment van het systeem.

Het doel van de acceptatietest is vast te stellen dat het totale systeem ook op de geconverteerde gegevens correct functioneert. In feite vindt hier een herhaling plaats van de integratietest. Echter, de basis voor deze test zijn de geconverteerde productiegegevens. Er wordt derhalve niet getest op basis van specifieke testgevallen, maar nu geldt het principe dat alle functies (minimaal) één keer geraakt moeten worden. Hierbij kan net als bij de integratietest gebruik worden gemaakt van reeds ontwikkelde testscripts.

Als de fasen zoals deze hiervoor zijn beschreven goed doorlopen zijn, dan volstaat het om bij de acceptatietest vast te stellen dat elke functie na uitvoering van de conversie nog werkt. Het is in principe niet de bedoeling om vergelijkbare uitgebreide controles uit te voeren, zoals deze bij de functionele en integratietest zijn uitgevoerd.

Echter, afhankelijk van de mate van zekerheid die men wenst kan ervoor gekozen worden om extra detailcontroles uit te voeren. Een overweging kan bijvoorbeeld zijn om functies die op grond van de risicoanalyse een hoog risico hebben, extra aan de tand te voelen.

Een veelgebruikte vorm van acceptatietesten is het ‘schaduwdraaien’. Hierbij draaien twee verschillende omgevingen (i.c. het oude systeem en het nieuwe systeem) in productie naast elkaar, waarbij het oude systeem leidend is. De uitvoer van het nieuwe systeem wordt één op één vergeleken met de uitvoer van het oude systeem. Deze methode geeft een hoge mate van zekerheid, maar vereist veel inspanning.

Testmanagement

Een integraal onderdeel van een testtraject is testmanagement. Testmanagement is in feite niet meer dan het monitoren en het beheersbaar houden van een testtraject. In de praktijk is dit echter vaak een onderbelicht aspect. In tegenstelling tot wat gedacht wordt, spelen het belang en de noodzaak van adequaat testmanagement niet alleen een rol bij omvangrijke testtrajecten.

Ook bij kleinere testtrajecten is adequaat testmanagement van groot belang. In de praktijk blijkt dat binnen kleine en middelgrote testtrajecten meer dan honderd testscripts zijn gedefinieerd en dat bij de uitvoering van de feitelijke tests honderden bevindingen naar voren komen.

In zulke situaties is het van belang dat bevindingen gestructureerd worden opgepakt. Daarnaast is het zaak om inzicht te hebben (en te houden) in de voortgang van een testtraject. Vragen als ‘Hoeveel procent van het testscript is afgerond?’, ‘Hoeveel showstoppers moeten er nog worden opgelost om een positieve ‘go/no go’-beslissing te nemen?’ zijn legitieme vragen, die vaak à la minute moeten kunnen worden beantwoord. Van belang is te focussen op die issues die een ‘go/no go’-beslissing beïnvloeden.

De basis van adequaat testmanagement is dan ook een gestructureerde registratie van testscripts en bevindingen. Daarnaast is het van belang om bevindingen naar zwaarte of belang te categoriseren, zodat prioriteiten kunnen worden gesteld. Een veelgebruikte indeling in de praktijk is het onderscheid tussen showstoppers, ernstige fouten en kleine fouten, waarbij geldt dat in ieder geval alle showstoppers moeten worden opgelost alvorens de finale acceptatie van het systeem kan plaatsvinden.

Ter ondersteuning van testmanagement zijn diverse geautomatiseerde tools beschikbaar in de markt. De kracht van dergelijke tools is gelegen in de (grafische) rapportages die inzicht geven in de status en voortgang van het testen.

Een gestructureerde vastlegging van de testresultaten is een essentieel onderdeel van testmanagement. Het gaat hierbij niet alleen om het verzamelen van bewijsmateriaal met betrekking tot gemelde problemen, maar ook bewijslast van een correcte werking van de functionaliteit.

C-2004-3-Beucken-06

Figuur 6. Voorbeeld van rapportage door een testmanagementtool. [Klik hier voor een grotere afbeelding]

Fasen 4 en 5. Go Live en Nazorg

Acceptatiedocument

De basis voor een verantwoorde besluitvorming omtrent het in productie nemen van het systeem ligt vast in het acceptatiedocument, dat een afgeleide is van het in de voorbereidingsfase opgestelde scopingsdocument. In het acceptatiedocument worden alle onderkende deelaspecten (denk aan functionaliteit, gebruikershandleidingen, etc.) van het project benoemd, van een prioriteit voorzien en toegekend aan een verantwoordelijke binnen de organisatie. Deze functionaris is verantwoordelijk voor het formeel accorderen van het betreffende deelaspect. Het is daarom ook zaak deze verantwoordelijke in de voorbereidingsfase van het project al te betrekken.

Een goed acceptatiedocument bevat naast de handtekening van de verantwoordelijke ook een verwijzing naar het testbewijs aan de hand waarvan het akkoord gegeven is. In die gevallen waarin dergelijk bewijs niet voorhanden is of het akkoord niet gegeven wordt, moet de consequentie vóór het in productie nemen van het systeem worden onderkend en vastgelegd. Concreet betekent dit dat inzichtelijk moet zijn welke risico’s de organisatie hierdoor loopt en welke maatregelen en vervolgacties moeten worden genomen. Op basis van deze gegevens dient de organisatie te bepalen of het verantwoord is om in productie te gaan.

Nadat het systeem in productie is genomen, start de nazorgfase. Uit oogpunt van testen dient er in de nazorgfase aandacht te worden besteed aan een aantal belangrijke aspecten.

Monitoring

Het eerste aspect is het controleren van de juiste werking en het juiste gebruik van het systeem. Dit zal doorgaans gebeuren door het aanmaken van signaleringslijsten door het systeem (indien beschikbaar) of het uitvoeren van ad hoc-queries op de database. Indien mogelijk kan hierbij gebruik worden gemaakt van controles die bij de conversie zijn uitgewerkt.

Daarnaast brengt het gebruik van het systeem doorgaans de nodige kinderziekten aan het licht. Om uitloop van de nazorgfase te voorkomen is het van belang dat over de afhandeling van dergelijke problemen duidelijke afspraken worden gemaakt tussen de lijn- en projectorganisatie. Bijvoorbeeld met betrekking tot het moment waarop dergelijke problemen door het project nog worden afgehandeld.

Overdracht

Als laatste zullen de herbruikbare testdeliverables, zoals testscripts en het testmanagementtool, moeten worden overgedragen aan de lijnorganisatie. Ook de vervolgacties, die in het acceptatiedocument zijn beschreven, worden belegd bij de lijnorganisatie.

De belangrijkste verschillen: testen anno 1974 versus 2004

In het begin van dit artikel is kort stilgestaan bij de visie op testen anno 1974. Het is interessant deze visie te projecteren op de beschreven gestructureerde testaanpak. Daarbij vallen de in tabel 1 genoemde zaken op.

C-2004-3-Beucken-07

Tabel 1. Testaspecten 1974 versus 2004.

Het overzicht laat zien dat er de afgelopen dertig jaar veel veranderd is op het gebied van testen. Echter, in de praktijk zien we nog al te vaak voorbeelden van een testaanpak die dichter aanligt tegen de benadering van 1974 dan tegen de geïntegreerde aanpak anno 2004.

Conclusie

In dit artikel zijn het nut en de toegevoegde waarde van een gestructureerde testaanpak uiteengezet aan de hand van ervaringen uit de praktijk anno 2004. Daarnaast is kort stilgestaan bij de ontwikkelingen die zich de afgelopen dertig jaar op dit terrein hebben voltrokken.

Testen is een activiteit die niet onderschat moet worden. De integratie van deze activiteiten binnen de projectfasen is van cruciaal belang voor de uiteindelijke kwaliteit van het systeem. Maar ook factoren als tijd en kosten worden door deze integratie beter beheerst.

Een belangrijk aspect van het hedendaagse testen is het maken van verantwoorde keuzen. Keuzen met betrekking tot de scope en diepgang van de tests, maar ook keuzen met betrekking tot de risico’s die de organisatie bereid is te nemen bij het in productie nemen van het systeem. Een gestructureerde testaanpak biedt bij het maken van deze keuzen een belangrijk houvast.

Literatuur

[Nola74] R.L. Nolan en F.G. Gibson, Managing the four stages of EDP growth, Harvard Business Review 1974, vol. 52, nr. 1-2, blz. 76-88.

[Pill02] M. Piller en E. Diemer, Testen, Handboek EDP Auditing, B.5.1.2, 2002.

[Pol95] M. Pol, R. Teunissen en E. van Veenendaal, Testen volgens TMap, 1995.

[Urba74a] J.H. Urbanus, De organisatie van het testen in relatie tot de gebruiker, Compact 1974/1.

[Urba74b] J.H. Urbanus, De organisatie van het testen in relatie tot de gebruiker (vervolg), Compact 1974/2.

Older posts
Newer posts