ISACA NL Chapter. 1. Opzet onderzoek 2. Resultaten onderzoek 3. ISACA’s Top 5; de meest opmerkelijke uitkomsten 4. Discussie & vervolg.

Presentatie over: "ISACA NL Chapter. 1. Opzet onderzoek 2. Resultaten onderzoek 3. ISACA’s Top 5; de meest opmerkelijke uitkomsten 4. Discussie & vervolg."— Transcript van de presentatie:

1 ISACA NL Chapter

2 1. Opzet onderzoek 2. Resultaten onderzoek 3. ISACA’s Top 5; de meest opmerkelijke uitkomsten 4. Discussie & vervolg

3 Totaal 24 organisaties  Banken / Verzekeringen : 9  Industrie : 9  Overheid : 6 Totaal 29 vragen  Organisatie / Personeel  Bezetting en financiën  Uitvoering  Algemeen Gemiddelde interviewduur: 1,5 uren

4  ABN/AMRO  Achmea  Equens  Essent  Fortis Bank NL  Gemeente Amsterdam  Heineken  ING  KLM  KPN  Min. Buitenlandse Zaken  Min. Defensie  Min. Justitie  NS  Nuon  PGGM  Philips  Rabobank  Rijksauditdienst  Shell  SNS Reaal  UWV  Van Lanschot  Vodafone

5  1Organisatorische plaats van de IA-afdeling -ca. 10%rechtstreeks onder AC/RvC -ca. 15%onder RvB, met directe lijn AC -ca. 75%onder RvB

6  2aOmvang & opbouw van de IA-afdeling -kengetallen per sector ratio auditor-medewerkers sectormin.max.. industrie1 -17301 –740. overheid1 –10501 –550. banken / verzekeringen1 –2701 –90. overheid, IT accent1 –2751 –75

7  2bOmvang & opbouw van de IA-afdeling -2443 auditors, bij onderzochte bedrijven daarvan:. ca. 13%RE-titel (obv totaal-gem.). ca. 4% CISA-titel (obv totaal-gem.)

8  3Opdrachtgevers van audits en gebruikers -Opdrachtgever(s). ca. 10% alleen Audit Committee (AC). ca. 90% naast AC: RvB/directeuren/anderen -Gebruikers van informatie. ca. 60% gebruik door ook anderen dan opdrachtgever(s), zoals externe accountant

9  4Werking / frequentie Audit Committee (AC)

10 -ca. 5%nog geen AC, wel in de maak ca. 95%wel AC -frequentie AC:. ca. 10% < 2 x per jaar. ca. 45%2-4 x per jaar. ca. 45%> 4 x per jaar tendens: frequentie verhogen

11  5aProductiviteit auditors -ca. 35%: doet niet aan productiviteitsmeting -ca. 65%: doet wel aan (enige vorm van) productiviteitsmeting.hoe? Meest genoemd: tijdschrijven in uren (directe uren).aantal uren productief: min. 1000 – max. 1400 uren

12  5bProductiviteit auditors -audit o/b/w:. netto duur: gemiddeld 250 uren min. 80 / max. 6000 uren.doorlooptijd: gemidd. 6 - 8 weken.aanbevelingen/audit:2-50.classificatie: L/M/H en soms risicofactor.afhandelingsduur: H < 3 mnd (max. 6 mnd), M < 3-6 mnd, L < 12 mnd.openstaande aanbev.:max 200.controle afhandeling niét bij IAD

13  6Waar ligt de nadruk op (OA/ITA/FA)? -ca. 30% nadruk FA -ca. 20% nadruk OA -ca. 15% nadruk ITA - ca. 35% mix van FA/OA/ITA

14  7Werving personeel - Op alle mogelijke manieren; geen eenduidige lijn hierin (bijv. via docentschap, headhunting, eigen site) -Over adverteren-sec is men minder tevreden

15  8Carrièreplanning medewerkers -overal loopbaanbeleid; beleid verschilt per organisatie, loopt uiteen van ‘altijd blijven’ tot vertrekken na 3-4 jaar -beeld ‘vertrekkende’ IT-auditors: 50% intern (blijft bij organisatie) / 50% extern -beeld per sector:.bedrijfsleven: organisatiebreed-loopbaanbeleid.banken & verzekeringen: weinig mobiliteitsprikkels.overheid: externe overstap

16  9HRM-cyclus -Alle IA-afdelingen (100%) werken met een HRM-cyclus. Overal functionerings- en beoordelings- gesprekken -Persoonlijke Ontwikkelplannen (POP’s) zijn gemeengoed

17  10Opleidingen -Alle instellingen bieden opleidings- mogelijkheden. Studie sterk gestimuleerd. Overheid kent meest ruime studiefaciliteiten -.RE voor IT-auditor verplicht.CISA etc. populair bij internationale bedrijfsleven

18  11Specialisten, inhuur of eigen mensen? -ca. 15%geen inhuur -ca. 85% wel inhuur, vnl. specialisten zoals hacking internet, mainframe, SAP -recessie-> minder inhuur -> inhuur-stop (bij ca. 90%) -> bedrijfsleven: zelfs geen invulling van vacatures eigen afdeling

19  12Hoe wordt het jaarlijkse budget bepaald? Genoemde werkwijzen: -historie 16 x -benchmark10 x -risico-analyse als basis8 x

20  13Worden kosten doorberekend? -ca. 45%nee -ca. 55% ja, waarbij.. ca. 40% alle kosten doorberekend. ca. 60% kosten gedeeltelijk/soms doorberekend -bijna overal: gedwongen winkelnering

21  14Tijdschrijven -ca. 15%nee -ca. 85% ja -Indruk: met gegevens wordt relatief weinig gedaan

22  15Wat is het bestaansrecht van de (IT) audit- afdeling? Genoemde redenen: -assurance 17 x -verbeteren ICT/processen 7 x -hoger management is overtuigd 5 x van meerwaarde -verplichting/regelgeving 4 x (van eigen en/of andere organisatie)

23  16Wordt gewerkt volgens een geïntegreerde auditbenadering (OA, FA, IT)? -ca. 30%nee -ca. 70% ja

24  17Jaarlijks auditplan? OKAY KAREL – KIES JE VOLGENDE AUDIT-OBJECT

25  17Jaarlijks auditplan? -ca. 5% nee -ca. 95% ja Auditplan wordt m.n. opgesteld op basis van: -risico-analyse (13 x genoemd) -financieel belang -toegevoegde waarde ICT

26  18Hoe zit rapportering eruit? -ca. 5% geen vast format -ca. 95% wel format (rapport of presentatie), daarvan. ca. 75% ver doorgevoerde uitwerking met standaard-sjablonen -Teneur: hoe groter de afdeling, hoe meer (gedetailleerde) formats/sjablonen

27  19Standaardisering van werkmethoden? -ca. 60% ja, zoals bij.opdrachtomschrijving.werkprogramma.eindrapport.dossiervorming -Teneur: hoe groter de afdeling, hoe meer gestandaardiseerde werkmethoden

28  20Welke normenkaders? Meest genoemde kaders: -Cobit15 x -Itil 10 x -Overig/divers12 x

29  21Richtlijnen -Meest genoemde richtlijnen:. Norea16 x. IAA9 x. Nivra 9 x. Isaca7 x Voor banken:. ook AFM en DNB -Meestal wordt aansluiting gezocht bij IAA. -Bewoordingen zoals ‘meer/mindere mate van zekerheid’ worden zoveel mogelijk vermeden. -Feitelijk voorgeschreven teksten vaak niet gebruikt.

30  22Belangrijkste obstakels voor goed functioneren? -ca. 10% geen obstakel -ca. 90% diverse obstakels. Meest genoemd:. binnen IA: * kwaliteit (9x) * capaciteit (4x). buiten IA: *twijfel meerwaarde/‘tegenwerking’ IA (6x) *trage besluitvorming (5x) * ervaring IA-er als spion

31  23Audittools Meest genoemd: -ACL 12 x -IDEA 11 x -SAP-(CSI) tools5 x -rest/divers 11 x

32  24Elektronische dossiervorming? DE SECTIE OVER TRANSPARANTIE IS TOCH OOK BIJGEVOEGD?

33  24Elektronische dossiervorming? -ca. 30%nee -ca. 70%ja -Meest genoemde software: TMate (9x)

34  25Is huidige economische situatie van invloed op de uitvoering van het werk? -ca. 50%nee -ca. 50% ja, vooral tot uiting komend in:. strakker toezicht. druk om efficiënter te werken

35  26Moet er regelgeving komen vergelijkbaar met WTA, voor IT-auditors? -ca. 80% nee -ca. 20% ja

36  27Welke trends (audit-vak algemeen, IT-audit in het bijzonder)? - meer risk gedreven -meer focus op FA -continuous monitoring / auditing -audit en advies geïntegreerd

37  28Outcourcing IT (welk deel, welke invloed) -ca. 90%heeft delen van IT geoutsourced -ca. 15%is betrokken bij outsourcing contract -ca. 40%eist/heeft zelf toegang tot de externe partij voor audit -ca. 30%mag niet auditen bij externe partij -> in plaats daarvan: SAS en TPM

38  29Hoe ziet de toekomst voor IT-audit eruit? -ca. 45% goed ->voorziet in toekomst meer IT-audit -ca. 40% matig -> acht verbetering IT-auditors nodig (qua opleiding, werk- wijzen, samenwerking e.d.) -ca. 15% slecht

39 1.Bestaansrecht is voornamelijk het geven van assurance 2.Weinig ervaring met productiemeting (Waar besteedt auditor tijd aan? Daardoor budget voornamelijk historisch bepaald.) 3.Audit committee niet altijd onafhankelijk 4.IT-auditor vaak niet betrokken bij outsourcing 5.Voorschriften en richtlijnen van beroepsorganisaties worden beperkt gevolgd

40 ZO - EN VERTEL EENS WAT JE MET DE AANBEVELINGEN HEBT GEDAAN

41 Onderzoeksuitkomsten grote IA-afdelingen in Nederland - 2009  Discussie / Focuspunten ? Nu – Toekomstig ? Nationaal / Internationaal ?  Vervolg ?