PAS commissie viert lustrum met topconferentie

De PAS commissie hield 2 november 2017 in samenwerking met RSG Finance haar vijfde conferentie. Aanwezigen werden tijdens dit lustrum in het Eye Filmmuseum te Amsterdam getrakteerd op een interessant programma dat in het teken stond van data & cyber en de persoonlijke ontwikkeling van de professional auditor. Nederlands zwemmer en Olympisch kampioen Maarten van der Weijden sloot de conferentie af.

PAS staat voor Professional Auditors at Small Audit Shops. De audit professionals van de kleine audit teams kwamen in grote getale opdagen: de filmzaal zat goed vol met ruim 100 aanwezigen. Zij kwamen voor Paul Hofstra, directeur van de Rekenkamer Rotterdam, die het veelbesproken rapport In Onveilige Handen besprak, luisterden vol aandacht naar de energieke Roel van Rijsewijk van Deloitte, die de kansen van cybersecurity benoemde en gingen via hun smartphone aan de slag met quizvragen over kwaliteitstoetsingen die Arnoud Daan van het college Kwaliteitstoetsing IIA hen voorlegde. Na dit plenaire gedeelte, konden de internal auditors zich verder verdiepen in drie break-out rondes.

Links Paul Hofstra en rechts Roel van Rijsewijk

In onveilige handen

Paul Hofstra sprak over het rapport In Onveilige Handen. Een rapport dat veel stof heeft doen opwaaien, omdat het nogal wat ongeregeldheden in de databeveiliging van de gemeente Rotterdam aan het licht bracht. Hofstra geeft bruikbare tips over het uitvoeren van een dergelijk onderzoek. “Als kleine IAF kun je vaak niet meer dan twee of drie onderzoeken doen. Zorg dus dat je het juiste onderzoekt”, is zijn eerste tip.  “En vertaal dat naar heldere, begrijpelijke taal, zodat – zoals in ons geval - het college het ook begrijpt.” Een ander belangrijk punt dat hij aansnijdt, is dat als het op papier in orde lijkt, dat niets zegt over de werkelijkheid. Enige manier om te zien of het werkt, is penetratietesten uitvoeren; eventueel door specialistische derde partijen. De tip die hij hierbij geeft is dat je altijd moet zorgen voor een vrijwaringsverklaring. Hacken, ook als het bedoeld is om te testen, is verboden zonder vrijwaring.  Of een onderzoek veel impact zal hebben, hangt volgens Hofstra van verschillende factoren af. “Geluk is daar één van. En uiteraard actualiteit, relevantie en kwaliteit”, besluit hij.

The upside of cyber risk

Roel van Rijsewijk liet de aanwezige auditors omdenken door juist in te gaan op de kansen die cyber risk met zich meebrengt. “Je kunt denken: ‘alles verandert, ik weet het niet’ óf je kunt denken ‘alles verandert, er zijn volop mogelijkheden!’.” Rijsewijk geeft aan dat 100% veilig niet alleen onmogelijk is, maar zelfs onwenselijk is. “De waarde zit in de vrije stroom van informatie, dat maakt je kwetsbaar. Omhels die onzekerheid en durf kwetsbaar te zijn. Internet is een delicate dans tussen totale vrijheid en perfect control.” De tip van Rijsewijk: wees voorbereid en maak je zelf weerbaar. Ethisch hacken helpt daarbij. Als je goed risico kunt managen, kun je ook meer risico nemen.

Kennistoets en break-out sessies

Links: kennis over Kwaliteitstoetsingen via smartphone toetsen, rechts: volop gelegenheid om te netwerken

Bij de lezing van Arnoud Daan werd het kennispeil van het publiek over Kwaliteitstoetsing getest. Met de smartphone in de hand werden tussen de presentatie door acht meerkeuzevragen beantwoord. De vragen gingen over hoe vaak je getoetst diende te worden en of er andere regels gelden voor kleine IAF’s. Na afloop bestond er meer duidelijkheid over wat de kwaliteitstoetsingen inhouden. Hierna deelde het publiek zich op in kleinere groepen voor de break-out sessies. In een aantal sessies lag de aandacht vooral op persoonlijke ontwikkeling, zoals bij Talentmanagement door Ron de Korte en bij Hoe Objectief en Onafhankelijk ben jij?, waarin Theresia Gommans vooral de deelnemers met elkaar in discussie liet gaan. Binnen deze sessies werden deelnemers uitgedaagd kritisch naar zichzelf te kijken: wat kun je en wat wil je? Zit je nog op de juiste plek? Ben je je bewust van externe prikkels die je beoordeling beïnvloeden? De andere sessies hadden een meer vakinhoudelijke focus. Zo werd het rapport Analytics: good pratices voor de (kleinere) IAF door Peter Bos en Dennis Boersen besproken, deelde Carlo Bavius zijn ervaringen hoe je als kleine IAF toch effectief kunt zijn en behandelde Mieke Lepper het onderwerp Cybersecurity in the boardroom.