Rapporteren over de informatievoorziening
MAB

EDP- auditing
Risicobeheer

Lezers reageren

Rapporteren over de
informatievoorziening
Een reactie op kritische kanttekeningen van de heer Drs. S.J. Hartjes

Dr. K .IJ. M ollem a
In het MAB van januari/februari 1992 schrijft collega
Hartjes een kritisch commentaar bij NIvRA-geschrift
53. Dat commentaar stemt op zich tot vreugde,
omdat tot nu toe over deze materie weinig publie­
kelijk is gediscussieerd. De stellingname van de heer
Hartjes nodigt echter uit tot een reactie. Als voorzit­
ter van de werkgroep die dit geschrift heeft voort­
gebracht, wil ik graag reageren op hetgeen de heer
Hartjes over NlvRA-53 stelt en de alternatieven die
hij aandraagt.
Wellicht ten overvloede zij opgemerkt dat NlvRA-53
niet het eerste NIvRA-geschrift is over het onder­
werp: 'De accountant die rapporteert over de infor­
matievoorziening'. Reeds in 1982 is daarover het NI­
vRA-geschrift nr. 26 verschenen en NlvRA-53 is dus
in feite een actualisering van dat geschrift.
Zowel hetgeen collega Hartjes over doelgroepen van
edp-audit schrijft als zijn samenvatting van NIvRAgeschrift 53, kan ik in grote lijnen van harte onder­
schrijven.
 Interessant wordt het als hij zijn eerste kanttekenin­
gen plaatst, waarbij als eerste het gebrek aan norm­
stelling aan de orde komt. Collega Hartjes lijkt hier
de mening te delen van Prof. Moonen, die in zijn in­
augurele rede stelde dat er een gebrek is aan kwa­
liteitsnormen voor edp-audit. In 'De Accountant'
van maart 1992 heb ik daarop een reactie ge­
schreven die deze uitspraak nuanceert. Alleen maar
wijzen op het gebrek aan normen is waarschijnlijk te

370

rigide, omdat niet aangegeven is welke normen ei­
genlijk wenselijk zijn en ook niet welke überhaupt
haalbaar zijn. Over de haalbaarheid van normen heb
ik zo mijn twijfels. Vele normen liggen anders voor
verschillende organisaties. Dat heeft te maken met
de instabiliteit van informatievoorziening en de mate
van toegesneden zijn op de specifieke organisatie
waarin zij functioneert. Zo heeft het weinig zin om
voor alle bedrijven één uniforme responstijd te de­
finiëren. Ik heb geen bezwaar tegen het constateren
dat er een gebrek is aan normen, mits men daaraan
meer inhoud geeft en vooral aangeeft aan welk soort
normen dan wel behoefte zou zijn.
 Vervolgens constateert collega Hartjes dat het oor­
deel, zoals dat in NlvRA-53 is verwoord, tot een ta­
melijk stellige uitspraak leidt. Dit is een juiste con­
statering en dat is ook de bedoeling geweest, wat
niet wil zeggen dat in alle gevallen tot zo'n uit­
spraak kan worden gekomen. Als er belemmeringen
zijn verdient het de voorkeur een algemene uit­
spraak achterwege te laten en kan de accountant of
edp-auditor volstaan met een inhoudelijk rapport
waarin allerlei aspecten gedetailleerd de revue pas­
seren. NlvRA-53 heeft in tegenstelling tot NlvRA-26
veel nadruk gelegd op de opdrachtfase, om te
voorkomen dat problemen inzake onduidelijkheid

Dr. K.IJ. Mollema, registeraccountant, studeerde economie
en accountancy in Groningen en promoveerde in 1990 aan
de Vrije Universiteit van Amsterdam. Hij is controller van For­
tis en part-time docent in edp-audit aan de VU te Amsterdam.
juli/augustus 1992

zouden worden doorgeschoven naar de rapporte­
ringsfase en dan zouden leiden tot weinig of niets­
zeggende accountantsmededelingen.
Dan komt collega Hartjes tot de kern van zijn be­
zwaar. Hij stelt: 'Het zal zelden of nooit zo zijn dat
alle mogelijke maatregelen ter waarborging van de
kwaliteit van informatie zijn getroffen .... Het expliciet
vermelden dat de aangetroffen situatie als vol­
doende wordt beoordeeld kan ten onrechte de aan­
dacht afleiden van die zaken die minder goed ge­
regeld zijn ...'En even verder: 'Het onderzoek is be­
perkt tot een radertje in het totale systeem van de in­
formatievoorziening ...' In de samenvatting stelt col­
lega Hartjes: 'De oordelen zijn niet gericht op het ob­
ject informatievoorziening, maar op deelgebieden
van het systeem van informatievoorziening.' Hier ligt
de kern.
 Het is inderdaad zo dat NlvRA-53 heeft gepro­
beerd om het weidse begrip informatievoorziening,
waaronder nagenoeg de hele administratieve or­
ganisatie valt, wat meer dimensie te geven. In het
geschrift is een model opgenomen dat ontleend is
aan publikaties van de ondergetekende; een model
dat de informatievoorziening opdeelt in componen­
ten en in activiteiten. De reden daarvoor is dat de
praktische haalbaarheid van het geven van een
totaalvisie op de gehele informatievoorziening laag
is en bovendien onbetaalbaar, dan wel onuitvoer­
baar zal blijken. De accountant en de edp-auditor
opereren in bestaande omgevingen. Daar zal niet
zozeer behoefte zijn aan een integrale audit, maar
meer aan een audit op deelgebieden, daar waar
men vermoedt dat de kwaliteit niet in orde zal zijn of
daar waar risico-analyses indicaties geven dat het de
moeite waard is om nader onderzoek te doen.
Wat collega Hartjes dus als een nadeel aanmerkt,
namelijk het afbreken van een totaalprobleem in
deelgebieden, is voor NlvRA-53 een heel bewuste
keus geweest. Met behulp van een aantal matrixen
is aangegeven welke deelopdrachten in principe mo­
gelijk zouden zijn, maar ook welke relevant zouden
zijn. De ster (zie figuur 1) geeft aan welke dimensies
NlvRA-53 geeft aan de kwaliteitsoordelen over de in­
formatievoorziening. Met name tussen object, criteria
en doelgroep kan men een zeer grote hoeveel­

juli/augustus 1992

heid combinaties van deelopdrachten onderschei­
den, waarvan uiteraard slechts een bepaald aantal
relevant zullen zijn. Het voordeel van een dergelijke
benadering is evenwel, dat men deelopdrachten kan
begrenzen. Degenen die NIvRA-geschrift 26 goed
kennen weten dat juist de begrenzing van de op­
dracht een van de problemen is geweest waar­
mee in NlvRA-26 is geworsteld en die met name in
de rapporteringsfase en niet in de opdrachtfase tot
uitdrukking is gekomen.
 Figuur 1

Opdracht

Kwalifi­
catie

Doel­
groep
Kwaliteits­
oordelen
over
informatie­
voorziening

Rapport

Oordeel

Criteria

Object

Diep­
gang

Het door collega Hartjes gesignaleerde gevaar, dat
het toepassen van normen op een afgebakend ob­
ject van onderzoek zou kunnen leiden tot sub-optimalisatie, acht ik niet groot, daar het in de praktijk on­
ontkoombaar zal zijn dat deelopdrachten worden
verstrekt. In een middelgrote of grote organisatie is
een integrale edp-audit van de totale informatie­
voorziening een, naar mijn mening, in economi­
sche en technische zin onuitvoerbare opdracht.
Collega Hartjes komt evenwel tot een heel andere
conclusie. Hij stelt: 'Juist bij het maken van keuzes
in complexe situaties heeft het management be­
hoefte aan oordelen inzake de kwaliteit van de in­
formatievoorziening. Oordelen op deelgebieden
waarbij voorbijgegaan wordt aan deze complexiteit
kunnen averechts uitwerken.' Ik ben van mening dat
complexiteit nooit aanleiding mag geven tot een in-

371

tegrale benadering, maar juist moet uitnodigen tot
een meer deelgewijze aanpak. Ook met de stellig­
heid van de mededeling heeft collega Hartjes pro­
blemen. Hij schrijft: 'Het gaat veelal niet om de ab­
solute realisatie van een bepaald kwaliteitsaspect,
maar om een mate van.' In de verwoordingen van
de mededelingen volgens NlvRA-53 is met dat as­
pect wel degelijk rekening gehouden door de intro­
ductie van de term 'in voldoende mate'. Dat is geen
absoluut begrip, maar een begrip dat stelt dat ge­
geven de criteria (die ook geëxpliciteerd zijn) en ge­
geven het object (dat wel beschreven is) in vol­
doende mate wordt gescoord. Het feit dat een der­
gelijke uitspraak wordt gedaan is zeker niet, zoals
collega Hartjes vreest, een sta-in-de-weg om toch
nog tot adviezen voor verdere verbetering te kunnen
komen.
 In zijn samenvatting van de kritiek op NlvRA-53
stelt collega Hartjes nog dat naar zijn stellige indruk
NlvRA-53 is geschreven met als uitgangspunt dat
moet worden gekomen tot een standaard geformu­
leerde accountantsmededeling. Die indruk is onjuist.
NlvRA-53 wil evenals NlvRA-26 niet meer zijn dan
een handreiking en een communicatiemiddel. Het
zegt niet hoe iets moet, het zegt hoe iets kan en het
maakt bovendien aan de samenleving duidelijk wat
deze van de accountant mag of kan verwachten. Het
heeft dus een belangrijke communicatiefunctie. Ik
ben ervan overtuigd dat niemand ermee gediend is,
als aan het afgeven van mededelingen inzake de in­
formatievoorziening door elke accountant een geheel
andere invulling wordt gegeven; dat wil echter nog
niet zeggen dat elke accountant zich moet houden
aan een voorgeschreven tekst.
In de sam envatting van de kritiek staat nog een
ander verwijt dat weerlegd moet worden. Collega
Hartjes stelt dat de keuze tussen realisatie van
soms conflicterende kwaliteitsaspecten buiten be­
schouwing wordt gelaten. Dat is niet juist, omdat in
het geschrift in hoofdstuk 4: 'Criteria' wel degelijk
naast het definiëren van alle criteria aandacht
wordt geschonken aan de relatie daar tussen, en
ook aan de conflictstof die er met name ligt tussen
efficiëncy en de andere criteria.
Het laatste punt uit de samengevatte kritiek is dat de

372

mededeling op zich zonder toelichting voor de ge­
bruiker niet begrijpelijk is. Dat is een juiste consta­
tering en is dan ook de reden waarom de medede­
ling van een bijlage wordt voorzien, waarin de ac­
countant zijn bevindingen en de door hem gehan­
teerde criteria uiteenzet.
 Collega Hartjes laat het niet bij kritiek. Hij draagt ook
een alternatief aan dat in zijn ogen beter zou zijn. Hij
stelt: 'Voor het management is van primair belang de
mate waarin de kwaliteit van de informatievoorzie­
ning wordt gewaarborgd'. Ad fundum zal dat waar
zijn, maar het management kan zich nauwelijks
permitteren om tot integrale evaluaties van de tota­
le informatievoorziening, de totale bedrijfsvoering of
de totale commerciële activiteit te komen. In de
praktijk zal het management zich bezighouden met
de problemen van alledag en van daaruit deelge­
bieden definiëren die verbetering behoeven of die
om nader onderzoek vragen. De accountant speelt
een belangrijke functie in het identificeren van die
deelgebieden, hetzij in de management letter als bijprodukt van zijn reguliere jaarrekeningcontrole, het­
zij door een wat meer uitgebreide opdracht waarbij
hij algemeen rapporteert over de administratieve or­
ganisatie en de informatievoorziening daarbinnen.
Het alternatief dat wordt geboden is een integrale be­
nadering die naar mijn mening wel ideaal, maar in de
praktijk niet haalbaar is. Dan stelt collega Hartjes dat
de kern van het onderzoek van de edp-auditor de risico-analyse is. Ik wil dat graag onderschrijven,
maar vestig er de aandacht op dat het hier dan om
de methode van controle gaat en dat is nu precies
een onderwerp dat NlvRA-53 heeft vermeden te be­
handelen. Over dat onderwerp zijn andere NIvRAgeschrifen in dezelfde serie verschenen, boven­
dien hebben de accountantskantoren in het alge­
meen daarover zelf veel materiaal ontwikkeld.
NlvRA-53 heeft dus niet miskend dat de risico­
analyse belangrijk zou zijn, het gaat daar niet over,
het laat het probleem van de audit-methodiek vol­
ledig transparant.
 Conclusies
Collega Hartjes heeft een kritische beschouwing ge­
geven bij NIvRA-geschrift 53. Dat is een goede
zaak, omdat de materie zich volop leent voor een

juli/augustsus 1992

discussie, mede ook gezien wat er op dit moment
gaande is op het terrein van certificeren door er­
kende keuringsinstanties.
Wat dit artikel in elk geval beoogt duidelijk te maken
is dat bij de totstandkoming van het NIvRA-geschrift 53 over een aantal van de door collega Hart­
jes aangehaalde aspecten wel degelijk is nage­
dacht. De werkgroep heeft echter gekozen voor een
heldere benadering met accent op de opdrachtfase,
uitmondend in een heldere accountantsmededeling en met een non-holistische, gedetailleerde be­
nadering van de problematiek. Daarbij werd aan­
genomen dat de complexiteit van het probleem
dermate groot is dat concentratie op haalbare en re­
delijk af te bakenen deelgebieden en deelopdrach­
ten, niet alleen nuttig, maar ook onontkoombaar zal
zijn. Hiermee ligt wel een interessante discussie op
tafel.
 Belangrijker dan deze ene discussie is echter het feit
dat er over dit onderwerp een discussie start. In de
maatschappij kan men allerlei ontwikkelingen waar­
nemen die concurrerend zijn voor de edp-auditor die
opereert vanuit de accountantsfunctie. Dit is niet per
se te betreuren, omdat er op het terrein van de edpaudit ook zeker dingen gebeuren die de accountant
niet tot zijn competentie hoeft te rekenen. De vormen
van edp-audit die echter dicht tegen de accoun­
tantsfunctie aanliggen dient de accountant, naar
mijn mening, te koesteren. Ook is het van belang
aan de samenleving duidelijk te maken wat zij van
hem kan verwachten. In het verleden is uit onder­
zoek gebleken dat er ten aanzien van de deskun­
digheid van de accountant op het gebied van auto­
matisering in de samenleving een duidelijke 'ex­
pectation gap’ bestaat. NlvRA-53 is hopelijk een van
de middelen om die 'expectation gap' te overbruggen
en als communicatiemiddel te dienen.
Uiteraard is NlvRA-53 een keuze. Men kan op an­
dere manieren tot hetzelfde doel komen. Belangrij­
ker echter dan de vraag of NlvRA-53 nu wel de al­
lerbest denkbare keuze zou zijn is de vraag of het
accountantsberoep enige eenheid en ook met name
enige duidelijkheid wil nastreven naar het bedrijfs­
leven en naar de overheid toe waar het gaat om wat
deze van haar kunnen verwachten inzake rappor­
tering over informatievoorziening. Het is te hopen dat

juli/augustus 1992

juist met het oog daarop nog veel discussies zullen
worden gevoerd over dit, naar mijn mening, be­
langrijke onderwerp.
Literatuur
NIvRA-geschrift nr. 26 Automatisering & Controle deel IV: Mede­
delingen door de accountant met betrekking tot betrouwbaar­
heid en continuïteit van geautomatiseerde gegevensverwer­
king, Kluwer 1982.
NIvRA-geschrift nr. 53 Automatisering & Controle deel VII: Kwali­
teitsoordelen over informatievoorziening, Kluwer Deventer

1989.
 K.IJ. Mollema, Controle van de informatieverwerking, Samsom
Alphen a/d Rijn 1989.
Dr. K.IJ. Mollema, Kwaliteitsnormen bij edp-auditing - een kriti­
sche beschouwing, De Accountant, 1 maart 1992.
Naschrift bij artikel ’Rapporteren over de infor­
matievoorziening’ van Dr. K.IJ. Mollema

Drs.S.J. Hartjes
Ik heb met interesse kennis genomen van de reac­
tie van collega Mollema op mijn stellingname in het
MAB van januari/februari 1992. Ik vind het verheu­
gend te constateren dat in toenemende mate wordt
geschreven over de beoordeling van de kwaliteit van
de geautomatiseerde gegevensverwerking en in­
formatievoorziening en de rapportering daarover, het
vakgebied dat wordt aangeduid met de term edp-audit. De discussies die ontstaan over de grondslagen
van dit vakgebied tonen aan dat het vakgebied
zich als zodanig ontwikkelt en dragen bij tot een ver­
duidelijking van de rol van de edp-audit. Mijn reactie
op het artikel van collega Mollema wil ik voors­
hands beperken tot enkele, naar mijn mening es­
sentiële, zaken.
Met Mollema ben ik het eens dat algemeen aan­
vaarde normen nauwelijks haalbaar zijn. In mijn
eerdere artikel constateer ik ook - evenals hij nu
d o e t-d a t normen veelal situatie-afhankelijk zijn. Mijn
bedenking richt zich echter op het feit dat het gebruik
van een standaard-accountantsmededeling kan
suggereren dat wel sprake is van algemeen aan­
vaarde normen. Om dit te ondervangen voegt de ac­
countant of edp-auditor de gehanteerde normen
expliciet toe als bijlage bij de mededeling. Het is ech­

373

ter de vraag in hoeverre deze bijlage zorgvuldig
wordt gelezen als in de mededeling wordt aange­
geven dat de kwaliteit (of het onderzochte deelas­
pect daarvan) in voldoende mate is gerealiseerd.
 De kern van de discussie met collega Mollema ligt in
de vraag hoe moet worden omgegaan met de af­
bakening van het onderzoeksobject respectievelijk
het onderzoekscriterium. Mollema geeft aan dat bij
de totstandkoming van NlvRA-53 bewust is gekozen
voor het afbreken van het totaalprobleem in deel­
gebieden, met name omdat het - in veel gevallen niet mogelijk is om de informatievoorziening ineens
als totaalobject te beoordelen. Er bestaat geen dis­
cussie over het feit dat het onderzoeksobject vaak
nader afgebakend moet worden. Wel blijf ik van me­
ning dat het oordeel over het onderzoeksobject
moet worden geprojecteerd op de kwaliteit van de
totale informatievoorziening.
Het afgebakende onderzoeksobject is één van de
middelen om het doel - kwalitatief goede informatie
- te bereiken. Er moet voor worden gewaakt dat het
middel door de afbakening tot doel wordt verheven.
 Het gaat niet om de vraag of het middel - geïsoleerd
beschouwd - voldoet aan kwaliteitseisen die daar­
aan kunnen worden gesteld, maar aan de bijdrage
die dit middel levert aan de kwaliteit van de totale in­
formatievoorziening. In geval van het niet voldoen
aan de kwaliteitseisen op een bepaald deelgebied
dient zo mogelijk rekening te worden gehouden
met compenserende maatregelen in een ander
deelgebied (bijvoorbeeld ontoereikende toegangsbeveiliging op systeemniveau die gedeeltelijk wordt
gecompenseerd door toegangsbeveiliging op applicatieniveau). Het management moet in staat wor­
den gesteld een kosten/baten-analyse uit te (la­
ten) voeren in hoeverre aanvullende maatregelen op
een bepaald deelgebied daadwerkelijk nodig zijn of
dat tekortkomingen in voldoende mate door maat­
regelen in andere deelgebieden worden ondervan­
gen. Ik ben het derhalve oneens met de stelling van
Mollema dat het risico van suboptimalisatie niet
groot is omdat ’het in de praktijk onontkoombaar zal
zijn dat deelopdrachten worden verstrekt’. Indien
deze deelopdrachten niet vanuit het perspectief
van de bijdrage aan de kwaliteit van de totale infor­
matievoorziening worden uitgevoerd dan is juist dit
risico van suboptimalisatie levensgroot aanwezig.
 Tussen de regels door meen ik toch te bespeuren

374

dat Mollema in eerste instantie ook redeneert vanuit
de kwaliteit van de totale informatievoorziening,
wanneer hij namelijk stelt dat men de audit richt ’op
die deelgebieden, daar waar men vermoedt dat
de kwaliteit niet in orde zal zijn....’ In de praktijk wordt
veelal de lijn gevolgd dat in eerste instantie een glo­
baal onderzoek wordt uitgevoerd naar het proces
van informatieverzorging, een zogenaamde reken­
centrum audit (ik abstraheer hierbij even van het on­
derzoek naar specifieke applicaties). Op basis van
de uitkomsten van dit globale onderzoek wordt ver­
volgens bepaald in hoeverre deelgebieden voor
nader onderzoek in aanmerking komen. Het voor­
deel van deze benadering is dat de uitkomsten
van dit onderzoek op een deelgebied kunnen wor­
den geplaatst in de context van het meer globale
onderzoek naar de totaliteit.
Tot besluit nog enkele opmerkingen over het door
mij aangegeven alternatief. Mollema stelt dat de risico-analyse uitsluitend een 'methode van controle'
is, die in NlvRA-53 bewust niet wordt behandeld.
 Daarnaast acht ik de risico-analyse wel degelijk
geschikt als rapportagemiddel. De edp-auditor geeft
per onderkend risico expliciet aan welke maatrege­
len zijn getroffen (eventueel in verschillende deel­
gebieden) en in hoeverre daarmee het risico vol­
doende is afgedekt. Op deze wijze kan de vertaal­
slag vanuit de automatisering naar het niveau van al­
gemeen management worden gemaakt, indien de ri­
sico's worden gedefinieerd vanuit het gezichtspunt
van de informatievoorziening als geheel. Mijn con­
clusie is dat de edp-auditor door het gebruik van ri­
sico-analyse in de rapportering voor het algemeen
management meer duidelijkheid geeft dan door het
gebruik van een standaard-accountantsmededeling, waarbij voor de juiste interpretatie een studie
moet worden gemaakt van de normen die in die si­
tuatie zijn toegepast. Overigens heb ik de overtuiging
dat de uitkomsten van beide methoden in de praktijk
soms dichter bij elkaar zullen liggen dan deze vak­
technische discussie doet vermoeden.
Drs. S.J. Hartjes, registeraccountant, studeerde economie en
accountancy aan de Vrije Universiteit, afgestudeerd post­
doctoraal in 1985. Sinds 1 januari 1992 vennoot van Moret
Ernst & Young, EDP Audit te Amsterdam.
juli/augustus 1992.
