EDP Auditing; een poging tot verduidelijking
Inform atiesysteem
Automatische
gegevensverwerking
Accountantscontrole

Prof. L. C. van Zutphen RA

EDP Auditing; een poging tot

verduidelijking

Inleiding
EDP auditing is een typisch eigentijdse aanduiding voor een functie die nog
volop in beweging is als gevolg van nog lang niet voltooide automatiserings­
processen in bedrijf en maatschappij. De behoefte aan EDP auditing wordt
evenwel door managers en gebruikers van systemen steeds duidelijker
onderkend.
In dit artikel wordt een op deze doelgroepen gerichte analyse gegeven van
de behoeften aan deze nog betrekkelijk nieuwe functie. Na een korte
verkenning van de begrippen auditing in het algemeen en EDP auditing in
het bijzonder worden de eigenschappen (eisen) besproken waaraan de in­
formatieverzorging en automatisering in een bedrijf behoren te voldoen.
Daarop inhakend wordt een uitwerking gegeven van een EDP auditfunctie,
zoals deze het management in principe ten dienste zou moeten staan,
gepreciseerd naar attentievelden, doelstellingen en concrete onderwerpen.
Besloten wordt met een beknopte bespreking gewijd aan het probleem van
de toetsingscriteria op het gebied van EDP auditing.
A uditing als algem een begrip
Anderson1omschrijft de essentie van auditing in zeer algemene zin als: ‘the
process of examining evidence regarding a report, statement or other asser­
tion to determine its correspondence to established criteria’.
Wilschut2 geeft in een recent - en zeer lezenswaardig - artikel de volgende
meer gepreciseerde omschrijving: ‘auditing is controle en/of evaluatie van
het beleid, de beheersing, de uitvoering of het resultaat daarvan, met
betrekking tot een bepaald gebied door terzake deskundigen, die onafhan­
kelijk staan ten opzichte van degenen die op het desbetreffende gebied
verantwoordelijkheden dragen’.
 In de huidige maatschappij is accountantscontrole wel de meest erkende
en bekende variant van auditing. Een openbaar accountant onderzoekt of
de jaarrekening wel een getrouw beeld geeft van resultaat en vermogen op
balansdatum, gelet op de wettelijke voorschriften en andere algemeen aan­
vaarde richtlijnen die daarvoor gelden. Een intern accountant kan bijvoor­
beeld onderzoeken of de voorstelling van zaken zoals die door het mana­
gement van een bepaalde werkmaatschappij of afdeling wordt gegeven wel
10/11-429

voldoet aan de doelstellingen en richtlijnen die door de concerndirectie zijn
vastgesteld.
Een overheidsaccountant zal kunnen onderzoeken in hoeverre de verant­
woording van een overheidsorgaan voldoet aan daaraan te stellen eisen van
rechtmatigheid en doelmatigheid.
Een rijksaccountant tenslotte kan onderzoeken of de aangifte van een
belastingplichtige wel overeenstemt met de belastingwetgeving en haar
uitvoeringsvoorschriften.
Al deze bekende vormen van auditing vervullen in onze maatschappij reeds
een noodzakelijke en belangrijke (sociale) functie.
De rode draden die door bovengenoemde vier voorbeelden lopen zijn drieër­
lei, te weten:
- er is sprake van een of andere vorm van verantwoording of verslaggeving
met een gepretendeerde voorstelling van zaken, opgesteld door een
belanghebbende (tevens de producent van de informatie) ten dienste
van anderen (de gebruikers van deze informatie);
- in het auditing-proces vindt een toetsing plaats aan bepaalde algemeen
aanvaardbare criteria, richtlijnen, standaarden, en dergelijke;
- er is een derde onafhankelijke en deskundige partij, de controleur, die
bewijsmateriaal verzamelt en beoordeelt op grond waarvan hij zich een
eigen en zo objectief mogelijk oordeel vormt, dat door hem vervolgens
aan het reeds bekende informatiebeeld wordt toegevoegd.
De behoefte aan auditing breidt zich in onze maatschappij steeds verder
uit. Om maar eens een boeket van mogelijkheden te noemen: medical audit,
legal audit, management audit, technical audit, milieu-audit en niet te
vergeten het onderwerp van dit artikel: de EDP audit.
 Deze groeiende behoefte ontstaat vooral wanneer sprake is van informatie­
verschaffing over complexe systemen en activiteiten en dergelijke waarbij
de gebruikers zich in sterke mate afhankelijk weten met het oog op hun
belangen, veiligheid, welbevinden en dergelijke. Overigens is niet alles even
nieuw en recent. Technical audits werden ook al in de vorige eeuw ingesteld
om de goede onderhoudstatus van het spoorwegmaterieel te waarborgen.
Een door Kitchen3 aangehaald voorbeeld van een technische verklaring
betreft de ‘rolling stock’ van een spoorwegmaatschappij die als volgt luidde:
T hereby certify that the whole of the company’s plant, engines, tenders,
carriages, waggons, machinery and tools, also the marine engines of the
steam vessels, have during the past half year been maintained in good
working order and repair.’
EDP auditing gedefinieerd
EDP auditing wordt nogal verschillend omschreven4. Het blijkt in de geesten
van wetenschappers en praktij kbeoefenaren een nogal kneedbaar concept;
soms eng maar meestal (erg) ruim gedefinieerd. Een voorbeeld van een
enge begripsomschrijving kan men aantreffen in de Systems Auditability
and Control Study van het Stanford Research Institute5. Daar luidt het:
‘e d p auditing is a specialized phase of internal audit that pertains to the
review, evaluation and verification of the Controls governing data processing
10/11-430

and the results of data processing, such as data files and reports’.
De audit activiteit richt zich in deze definitie uitsluitend op het gegevens­
verwerkend traject en blijft beperkt tot de betrouwbaarheidsaspecten ervan.
Waarom de uitvoering is voorbehouden aan interne auditors wordt in de
studie overigens niet duidelijk gemaakt.
 Een definitie met een veel wijdere scope is die van R. Weber6 in zijn boek
EDP auditing; conceptual foundations and practices. Daarin wordt ‘e d p
auditing omschreven als: ‘the process of collecting and evaluating evidence
to determine whether a computer system safeguards assets, maintains data
integrity, achieves organizational resources effectively and consumes re­
sources efficiently’. In een toelichting op deze omschrijving stelt Weber dat
EDP auditing niet alleen het realiseren van meer traditionele controledoelstellingen van de certificerend accountant kan ondersteunen, maar evenzeer
de doelstellingen van het management, die daarnaast gericht zijn op doel­
treffendheid (effectiveness) en efficiency. Een visie waarmee schrijver het
in beginsel geheel eens kan zijn.
In het Handboek Accountancy7 - als derde voorbeeld - wordt EDP audit
omschreven als: ‘het - door een onpartijdige deskundige - kritisch beoor­
delen van de opzet en de werking van de automatiseringsorganisatie en de
geautomatiseerde informatiesystemen, waarbij de beoordeling zich richt op
de betrouwbaarheid, dat wil zeggen de mate van interne controle en bevei­
liging (inclusief de privacybewaking) en eventueel op de doeltreffendheid
(effectiviteit) en de doelmatigheid (efficiency)’. In zijn oorspronkelijke vorm
werd een dergelijke definitie het eerst geformuleerd in de studie Computer
Audit Guidelines (t.a.p. blz. 147) van het Canadian Institute of Chartered
Accountants.8
Wat bij deze ruime begripsbepalingen wel bijzonder opvalt is de beperktheid
van het etiket - de term EDP auditing - die wordt gehanteerd. Zoals reeds
uit de begripsomschrijving blijkt richt de audit zich op het totale proces
van informatieverzorging en automatisering en niet slechts op het dataverwerkend gedeelte, de ‘Electronic Data Processing’.
 Betere termen voor een dergelijke ruime begripsomschrijving zouden wel­
licht zijn ‘Informatiesysteem audit (IS audit)’ of ‘Informatievoorzieningsen Automatiseringsaudit ( iva audit)’. Anderzijds dient te worden beseft dat
de aanduiding EDP audit inmiddels al zo is ingeburgerd dat aanpassingen
op korte termijn nauwelijks haalbaar zijn. Vervuld van deze realiteitszin
handhaaft de auteur in dit artikel daarom maar de oude term.
Te stellen eisen aan inform atieverzorging en autom atisering
Vanuit het standpunt van managers en gebruikers dienen de informatie­
voorziening en de automatisering te voldoen aan redelijke eisen van doel­
treffendheid, efficiency, beheersbaarheid, betrouwbaarheid, continuïteit en
controleerbaarheid. Een korte toelichting op elk van deze eisen ter verdui­
delijking.
Allereerst wat betekent het begrip doeltreffendheid in relatie tot informatie­
systemen? In algemene zin luidt het antwoord op deze vraag: de mate
10/11-431

waarin deze systemen bijdragen tot het bereiken van de doelstellingen van
de organisatie. Informatiesystemen moeten uiteindelijk zo goed mogelijk
zijn afgestemd op de eisen die mensen eraan stellen. In de bedrijfssituatie
zijn dat de managers en gebruikers van deze systemen.
Evenals alle overige organisatiecomponenten (personeel, machines, mana­
gement en dergelijke) moeten ook informatiesystemen een zo groot moge­
lijke bijdrage leveren aan het functioneren van een bedrijf of instelling.
Daarom ook dienen automatiseringsdoelstellingen en computerprojecten te
worden ontwikkeld die aan deze primaire eis voldoen. Immers als de ver­
keerde of onbelangrijke informatiesystemen worden geautomatiseerd is er
zeker sprake van ineffectief computergebruik, ongeacht de bereikte efficiencygraad.
De Amerikanen kennen als kernachtige uitleg van het begrip effectiviteit
‘doing the right things’. De juiste dingen doen uit een oogpunt van kwaliteit,
kwantiteit en tijdigheid op het gebied van de informatievoorziening.
 Bij efficiency gaat het om de verhouding tussen de geleverde prestaties en
de daaraan bestede kosten. Worden de mensen en middelen (computers,
software, automatiseringspersoneel) door het bedrijf wel juist gebruikt? Er
moet evenzeer worden gestreefd naar een aanvaardbare verhouding tussen
de prestaties van de informatiesystemen en de kosten die daarvoor worden
gemaakt. Om maar weer de Amerikaanse zegswijze te hanteren: ‘doing the
right things right’.
Wat houdt de eis van de beheersbaarheid in?
Om een waarlijk effectief en efficiënt computergebruik te kunnen realiseren
moeten het management en de gebruikers van systemen een zware proble­
menreeks tot een oplossing brengen.
Bij beheersbaarheid gaat het om het beschikken over doeltreffende mecha­
nismen voor de planning, organisatie en ontwikkeling van informatiesys­
temen maar evenzeer voor het managen van reeds operationele informatievoorzienings- en automatiseringsfuncties. Het komt veel voor dat zowel de
gegevensverwerking als de systeemontwikkeling in één afdeling zijn onder­
gebracht. Deze combinatie van twee naar hun aard zeer verschillende
functies heeft grote invloed op de keuze van de juiste organisatievormen
en daarbij passende besturingstechnieken. Systeemontwikkeling is een
creatieve bezigheid; veel projecten zijn uniek of worden als nieuw of ver­
nieuwend ervaren. De dagelijkse gegevensverwerking daarentegen is meer
routinematig van karakter. Vooral de planning van informatiesystemen voor
de toekomst betekent in onze dagen van ingrijpende technologische veran­
dering een zware taak.
Niet zelden zal een complete ‘redesign’ nodig zijn om bijvoorbeeld te kunnen
profiteren van nieuwe computerarchitecturen, relationele databanken en
vernieuwde hulpmiddelen voor het ontwikkelen en onderhouden van pro­
gramma’s.
Betrouwbaarheid, continuïteit en controleerbaarheid zijn bij de moderne
vormen van geautomatiseerde gegevensverwerking eveneens van zeer grote
10/11-432

betekenis. En juist deze aspecten hebben - hoe kan het anders - de bijzon­
dere belangstelling van accountants.
 Bedrijven worden door verregaande toepassing van computers en datacommunicatiefaciliteiten steeds sterker afhankelijk van deze systemen. De
automatiseringsgraad wordt steeds verder opgevoerd; organisatie, mensen
en computersystemen raken zodanig met elkaar verweven dat een groot
risico van kwetsbaarheid ontstaat. Kwetsbaarheid in dubbel opzicht.
In de eerste plaats moet worden gewezen op het risico dat de gegevensver­
werkende processen en daardoor de informatievoorziening niet meer be­
trouwbaar werken.
In de bedrijfssituatie betekent onbetrouwbare informatievoorziening onder
meer dat operationele functies zoals inkoop, produktie, personeelszaken en
dergelijke met onjuiste, onvolledige of niet tijdig met informatie worden
gevoed, met alle schadelijke gevolgen voor de bedrijfsvoering en het mana­
gement. Er dient daarom systematisch te worden gestreefd naar betrouw­
bare informatiesystemen, die aan redelijke eisen van foutvrijheid voldoen.
De continuïteitseis betreft het tweede element van kwetsbaarheid en wijst
op het risico van ernstige storingen in de bedrijfsvoering indien het com­
putersysteem of vitale delen daarvan voor langere duur niet meer functio­
neren. Er dienen in dergelijke situaties redelijke waarborgen te zijn dat de
gegevensverwerking binnen aanvaardbare termijnen kan worden hervat.
De schadelijke gevolgen van continuïteitsonderbrekingen kunnen zeer hoog
oplopen. Bij langere duur treden aanzienlijke financiële schades op, kan
uitval van het informatiesysteem leiden tot verlies van interne controle op
het bedrijfsgebeuren en ontstaat een reële kans van nadelige effecten op
het bedrijfsimago in de zin van reputatieverlies en negatieve berichtgeving
via de media.
Het is een daad van verstandige bedrijfspolitiek om door middel van een
risico-analyse vast te stellen welke degradatiegraad ten aanzien van de
informatiesystemen aanvaardbaar is en welke schadeniveaus voor het be­
drijf acceptabel zijn.
 Met behulp van fysieke en organisatorische beveiligingen kan veel worden
gedaan in de sfeer van preventie en tijdige ontdekking. Voor de informatie­
functies die echter van vitaal belang worden geacht dienen noodvoorzienin­
gen te worden getroffen die van tijd tot tijd ook in de praktijk worden
uitgetest.
Nog een opmerking over de eis van controleerbaarheid. Controleerbaarheid
(auditability) heeft betrekking op de eigenschappen van het informatiesys­
teem, die controle op goede werking ervan mogelijk maken. Een systeem
zal over voldoende technische faciliteiten en vooral ook over controleerbare
vastleggingen moeten beschikken om bijvoorbeeld een controleur (intern/
extern) in staat te stellen op een efficiënte manier te verifiëren dat het
systeem en de daarmee geproduceerde informatie betrouwbaar zijn. Het
geheel van maatregelen ter voldoening aan de gespecificeerde eisen van
10/11-433

betrouwbaarheid, continuïteit en controleerbaarheid kan zeer complex zijn.
Personele en organisatorische maatregelen, fysieke beveiligingen, foutbestendige apparatuur en geprogrammeerde controles moeten tezamen garant
staan voor de realisatie daarvan.
Op de schouders van het management rust de taak ervoor zorg te dragen
dat aan alle zes hiervoor besproken eisen in redelijkheid wordt voldaan.
Vanuit een oogpunt van beleidsbewaking is het nodig, dat met een zekere
regelmaat systematisch en op objectieve en deskundige wijze wordt vast­
gesteld dat zulks nog steeds het geval is. EDP auditors kunnen daarbij
behulpzaam zijn. EDP auditing dient het management concrete feiten en
evaluaties over de vele facetten en aspecten van het informatievoorzieningsen automatiseringsgebeuren aan te reiken, opdat de nakoming van uitge­
vaardigde richtlijnen kan worden beoordeeld, de realisatie van plannen kan
worden vastgesteld, corrigerende acties met betrekking tot systemen en
projecten kunnen worden ondernomen etc.
 Potentiële aandachtsvelden en onderwerpen voor e d p auditing
Het antwoord op de vraag welke onderwerpen potentieel in aanmerking
komen voor EDP audit is niet eenvoudig te geven. EDP audit zal zich vaak
richten op een breed scala van activiteiten zoals de processen van beleids­
vorming, planning en systeemontwikkeling, het systeemonderhoud en de
gegevensverwerking.
Figuur 1 geeft de attentievelden van EDP auditing weer zoals deze de
schrijver voor ogen staan. Daarbij werd een praktische indeling gehanteerd,
die geënt is op normaal aanwezige bedrijfsfuncties of aspecten die van
directe betekenis zijn voor de processen van informatieverzorging en auto­
matisering.
Voor elk van deze velden dient het management zich vervolgens af te vragen
welke doelstellingen moeten worden nagestreefd en onder welke condities.
Dit doende zal in vele gevallen een complex geheel van operationele doel­
stellingen en beleidsrichtlijnen ontstaan, vastgelegd in een operationeel
beleidsplan. Bij EDP auditing gaat het erom vast te stellen in hoeverre de
werkelijkheid hiermee in overeenstemming is. In Limpergiaanse termen
zijn we aanbeland bij ‘het controlerend element van de leiding’. Door middel
van deskundige, onpartijdige, kritische reviews en evaluaties poogt de EDP
auditor ten behoeve van het management en de systeemgebruikers vast te
stellen of het beleid ook daadwerkelijk werd gerealiseerd of aanpassing
nodig is c.q. nieuwe initiatieven moeten worden ontwikkeld.
In het hiernavolgende zullen wij eerst een korte toelichting geven op de
zeven onderscheiden aandachtsvelden om vervolgens meer in concreto aan
te geven welke EDP audit onderwerpen/activiteiten bij elk attentieveld
kunnen worden ingevuld.
 Bij het informatiebeleid gaat het erom een zo helder mogelijk inzicht te
krijgen in de betekenis voor het bedrijf van informatie en informatiesys10/11-434

Figuur 1: Potentiële aandachtsvelden

temen, vooral ook in relatie tot het totale toekomstige bedrijfsbeleid. Door
middel van een periodiek bijgesteld informatiebeleidsplan zal het mana­
gement aanzetten geven tot een doeltreffende en efficiënte benutting in de
eigen organisatie van steeds weer nieuwe informatietechnologieën. Het plan
zal alle relevante componenten en aspecten moeten omvatten zoals de
gewenste vernieuwing van informatiesystemen en automatiseringsmiddelen, beleidsrichtlijnen voor de systeemontwikkeling (bijvoorbeeld de uitbestedingspolitiek) alsmede de sociale, economische en organisatorische
consequenties.
Management en organisatie van de processen van systeemontwikkeling en
de geautomatiseerde verwerking vragen veel aandacht. Vraagstukken als
centralisatie of decentralisatie van functies en concentratie c.q. deconcen10/11-435

tratie van middelen en verwerkingsprocessen komen daarbij aan de orde.
Het ontwikkelen en onderhouden van informatiesystemen vereist een zorg­
vuldig uitgedachte organisatiestructuur waarin gebruikers, automatiseringsspecialisten en niet te vergeten het management zelve hun eigen
specifieke rollen zullen spelen. De keuze van passende ontwikkelingsprocedures en evaluatietechnieken is daarbij vaak van vitaal belang.
Ten aanzien van de operationele informatiesystemen en de daarmee ver­
bonden administratieve organisatie geldt als belangrijke doelstelling dat
deze blijvend voldoen aan de gebruikerseisen en bovendien dat de servicegraad van de geautomatiseerde functies en de communicatie tussen de
gebruikers en het automatiseringspersoneel op peil blijven. Reviews van
operationele computertoepassingen, gericht op deze punten, zullen het
management de indicaties verschaffen of de genoemde eisen nog steeds in
de praktijk worden gerealiseerd.
 Het personeels-aspect vraagt in tweeërlei opzicht de aandacht. Ten eerste
wordt gewezen op de mogelijke (soms ingrijpende) sociale gevolgen van
automatiseringsplannen en -projecten, waarbij met name aan werkgelegen­
heidseffecten en/of gevolgen voor de kwaliteit van de arbeid kan worden
gedacht. In de tweede plaats zal het beleid gericht moeten zijn op het op
peil houden van de personeelsformatie (kwantitatief en kwalitatief) belast
met de informatieverzorging en automatisering. Dit blijkt in de praktijk
vaak een punt van grote zorg.
Apparatuur en programmatuur zullen evenals computertoepassingen stel­
selmatig worden geëvalueerd op doeltreffend en efficiënt functioneren.
Prestaties en prijzen van computers en software zijn aan voortdurende
wijzigingen onderhevig en derhalve ook hun onderlinge verhouding. Reken­
centra en netwerkfaciliteiten zijn in onze tijd technisch en organisatorisch
zeer ingewikkelde systemen waarvan de organisatie en instandhouding een
keur van specialisten vraagt.
Bij het aspect van de bedrijfseconomie gaat het om het nastreven van
optimale - althans aanvaardbare - kosten/batenverhoudingen ten aanzien
van alle informatievoorzienings- en automatiseringsfuncties. De calculatieobjecten kunnen daarbij zeer verschillend zijn. Niet alleen de (ver­
wachte )kosten-effectiviteit van operationele systemen of van systemen in
ontwikkeling, maar evenzeer de kostenniveaus en de tariefstelling van
rekencentra zullen de aandacht van de bedrijfseconoom vragen.
Bij het aandachtsveld van de betrouwbaarheid en continuïteit tenslotte gaat
het om het waarborgen van de volledigheid, juistheid, tijdigheid en geoor­
loofdheid van de gegevensverwerking en informatievoorziening, alsook om
het vermogen om, ook na ernstige calamiteiten, service te kunnen blijven
verlenen.
 10/11-436

Zoals hiervoor al werd betoogd zijn alle zeven gebieden ook potentiële
aandachtsvelden voor de EDP auditor. In figuur 2 is, uitgaande van de
hiervoor toegelichte doelstellingen, een opsomming van meer concrete on­
derwerpen samengebracht. Deze opsomming is niet limitatief, andere on­
derwerpen kunnen worden toegevoegd indien daaraan bij het management
behoefte zou bestaan. In de praktijk zullen managers - meestal in nauw
overleg met de gebruikers van systemen - beslissen welke onderwerpen, met
welke prioriteitstelling, in welke periode en door wie aan een EDP audit
zullen worden onderworpen.
De behoeften aan EDP audit en daarmede het werkterrein van de EDP
auditor zullen in de toekomst zonder twijfel nog groter en ruimer zijn. De
kantoorautomatisering (office automation) heeft zich enkele jaren geleden
aangediend en dit fenomeen lijkt de initiële fase van denken en ontwikkelen
inmiddels te boven te zijn. Lieberman9en anderen hebben een geïntegreerde
visie en aanpak ontwikkeld van het kantoor van de toekomst.
Uitgaande van een veelheid van verwerkingstechnieken voor tekst, data,
spraak en beeld ontstaat een breed samenhangend spectrum van toepassin­
gen op het gebied van dataverwerking, tekstverwerking en communicatie
waardoor niet alleen de kosten-effectiviteit van de fysieke processen van
opslag, verwerking en transport van gegevens zullen verbeteren, maar even­
zeer de opzet en werking van de organisatie ingrijpend zullen veranderen.
De complexiteit en vooral ook afhankelijkheid van dergelijke systemen
zullen stellig sterk toenemen.
Juist ook in een dergelijke hooglijk geautomatiseerde kantooromgeving is
een (constant) werkzame EDP audit functie onontbeerlijk.
 Toetsingscriteria voor e d p auditing
Zoals reeds bleek uit de definitie van Anderson wordt de kern van het
auditingproces gevormd door het toetsen van activiteiten, feiten, informatie
en dergelijke aan bepaalde algemeen aanvaardbare beoordelingscriteria,
richtlijnen, standaarden en dergelijke. Het woord standaard dekt wellicht
het meest wijde begrip. Van Dale omschrijft dit als ‘vaststaande erkende
toetsingsmodellen, maatstaven en criteria’.
De Heer10 spreekt in plaats van standaarden liever van aanbevelingen voor
de praktijk om aldus het verstarrende en dwangmatige karakter van het
woord standaard weg te nemen. Toegepast in de sfeer van het accountantsberoep luidt zijn definitie: ‘op gezaghebbende wijze tot stand gekomen
systematische richtlijnen en hulpmiddelen voor de beroepsuitoefening’.
 Standaards kunnen op vele zaken betrekking hebben. Zo kennen we in de
praktijk standaards met een algemeen en beleidsmatig karakter, standaards
op het gebied van de beroepsethiek, voor de organisatie van het dagelijks
werk, voor de aan te leggen vakdocumentatie en niet te vergeten de kwan­
titatieve en kwalitatieve standaards voor meting en beoordeling. Pas met
scherp geformuleerde en geformaliseerde standaards slaagt men er door­
gaans in om een adequaat beleid te formuleren, op grond daarvan beleidsrichtlijnen uit te geven en uitvoerenden te instrueren. Evenzeer ontstaat
pas na vaak verregaande standaardisatie een adequate en toegankelijke
10/11-437

Figuur 2: EDP audit; Aandachtsvelden en onderwerpen
Concrete onderwerpen
- Review actuele doelstellingen op het gebied van
Informatievoorziening en Automatisering
- Benutting nieuwe technologieën (Research- en
Development-activiteiten)
- Naleving en evaluatie beleidsrichtlijnen voor
Informatievoorziening en Automatisering
- Realisatie actueel beleid
- Goede werking organisatiestructuur
MANAGEMENT EN ORGANISATIE
- Idem procedures ter vaststelling van beleid en
plannen en ter beheersing van de uitvoering
- Goede werking Systems Development Life-Cycle
(bijv. SDM)
- Samenwerking tussen managers, gebruikers en
specialisten tijdens de systeemontwikkeling
- Beoordeling onderhoud van operationele systeem
- Actualiteit/legitimiteit informatiebehoeften
INFORMATIESYSTEMEN EN
- Doeltreffendheid informatievoorziening
ADMINISTRATIEVE ORGANISATIE
- Doelmatigheid informatiesystemen
- Werking functiescheidingen
- Review administratieve procedures in de
gebruikerssfeer
- Review gebruikershandleidingen
- Review rapportagesysteem rekencentra
- Kwaliteit data in relatie tot de werkelijkheid
- Review documentatie
- Beoordeling personeelscapaciteit
PERSONEEL
- Evaluatie opleiding/training
- Evaluatie beloningssysteem en overige
arbeidsvoorwaarden
- Review werkgelegenheidseffecten
- Review gevolgen automatisering op kwaliteit van de
arbeid
APPARATUUR EN PROGRAMMATUUR - Evaluatie inzake personeel en computergebruik
- Evaluatie technisch onderhoud
- Evaluatie gebruik systeem- en ondersteunende
programmatuur (bijv. DBMS)
- Evaluatie configuratievoorstellen
- Review verwerkingsprocedures hardware en software
- Computer performance monitoring
BEDRIJFSECONOMIE
- Verrichten van kosten/baten-analyses
- Beoordeling systeem van budgettering en
tariefstelling rekencentra en ontwikkelafdelingen
- Beoordeling systeem ten behoeve van doorbelasting
kosten
- Beoordeling bedrijfsadministraties en financiële
rapportages met betrekking tot informatievoorziening
en automatisering
BETROUWBAARHEID EN
- Review operationele systemen
- Review van systemen in ontwikkeling
CONTINUÏTEIT
- Review van opzet en werking rekencentra en DCfaciliteiten
- Review fraudepreventie- en detectiesystemen
- Review noodvoorzieningenplan
- Review systeem van privacybescherming
- Review fysieke beveiliging

Aandachtsveld
INFORMATIEBELEID

10/11-438

documentatie en kan worden gemeten en beoordeeld hoe het werk werd
uitgevoerd. Rapportage, communicatie, verantwoording en auditing ten­
slotte kunnen ten zeerste gediend zijn met adequate standaards voor deze
activiteiten.
 Op het vakterrein van de EDP auditor zijn wij niet geheel zonder standaards
en richtlijnen. De NlVRA-publikaties 1,13 en 16, de ‘general and application
standards’ van het American Institute of Certified Public Accountants en
de ‘minimum control standards’ geformuleerd door het Canadese Instituut
bijvoorbeeld zijn voor de EDP auditors belangrijke steunpunten. In 1983
publiceerde de EDP Auditors Foundation11 haar Control Objectives; een
omvangrijk werk waarin eveneens vele standaarden op EDP audit gebied te
vinden zijn. Een werkgroep van de Commissie Automatiseringsvraagstukken van het NIVRA tenslotte werkt hard aan een nieuwe versie van nivrageschrift no. 1, waarvan de betekenis voor de betrouwbaarheidsbeoordeling
van de automatiseringsorganisatie en -systemen hoog wordt ingeschat. Maar
op vele gebieden is toch een verdere uitbouw en ontwikkeling gewenst. Om
enkele zaken te noemen:
- minimum standaarden voor de interne controle en beveiliging van trans­
actieverwerkende systemen (data-communicatie en databank) en toe­
passingen op het nieuwe gebied van de kantoorautomatisering;
- standaarden voor EDP audits van operationele systemen;
- idem voor EDP audits van systemen in ontwikkeling;
- idem voor EDP audits van rekencentra;
- richtlijnen voor rapportages naar aanleiding van gehouden EDP audits.
Stellig is er in de literatuur en de praktijk al het nodige ontwikkeld, althans
op een aantal van deze punten. Maar om in de termen van De Heer te
schrijven, deze standaarden zijn (nog) niet ‘op gezaghebbende wijze tot
stand gekomen en gesystematiseerd’, laat staan ter beschikking van iedere
praktizerende EDP auditor. Het is van grote betekenis dat hieraan met
voortvarendheid verder wordt gewerkt. Beroepsorganisaties als het Neder­
lands Instituut van Registeraccountants, het Nederlands Genootschap voor
Informatica en organisaties van computergebruikers kunnen daarbij een
belangrijke rol spelen.
Literatuur

1 R. J. Anderson, FCA, The external Audit. Pitman Publishing, Toronto, 1977.
 2 Prof. Drs. K. P. G. Wilschut, Over auditing in het algemeen en over accountantscontrole
in het bijzonder, De Accountant, mei 1985.
3 Prof. J. Kitchen, Auditing: past development and current practices, Auditing Research:
Issues and Opportunities Pitman Books in association with Deloitte, Haskins & Sells,
Edited by M. Bromwich c.s. London 1982.
4 Ned. Genootschap voor Informatica, EDP auditing in breed perspectief, NGI, Amsterdam
1983.
5 Stanford Research Institute, Systems Auditability and Control Study, Audit practices
report Institute of Internal Auditors, 1977
6 Prof. R. Weber, EDP auditing, Conceptual foundations and practices, Mc.Graw Hill New
York, 1982.
10/11-439

7 J. H. Urbanus en J. M. Verheul, EDP audit, Handboek Accountancy, Samsom Alphen
aan den Rijn, 1979
8 The Canadian Institute of Chartered Accountants, Computer A udit Guidelines, 1975
9 M. A. Lieberman c.s., Office Automation, A manager’s guide for improved productivity,
John Wiley & Sons New York, 1982.
10 Prof. H. J. de Heer, Theorie en Praktijk, Oratie EUR, Samsom Alphen aan den Rijn, 1977
11 EDP Auditors Foundation, Control Objectives, 1983.
10/11-440.
