Van continuous auditing naar continuous assurance
Continuous monitoring en continuous auditing: Groeipad naar continuous assurance
De afgelopen decennia hebben de ontwikkelingen in de IT een significante invloed op organisaties gehad. Als gevolg daarvan is de bedrijfsomgeving sterk veranderd. Allereerst hebben de IT-ontwikkelingen tot veranderingen in operationele systemen en de aansturing daarvan binnen organisaties geleid.
Er zijn mogelijkheden gecreëerd om accountinginformatie en andere data in digitale vorm te genereren. Tegenwoordig kunnen grote hoeveelheden transactie- en procesgegevens worden vastgelegd en vervolgens automatisch worden geanalyseerd. Het management kan die informatie gebruiken om bedrijfsprocessen te monitoren en bij te sturen. Het management is daardoor in staat om de bedrijfsprocessen continu te monitoren. Ook stakeholders eisen dat een organisatie met een grote mate van efficiëntie assurance over de betrouwbaarheid van de processen kan verschaffen.
Een effectievere en efficiëntere vorm van monitoren van de bedrijfsprocessen
Daarom hebben veel organisaties de laatste jaren hun focus verlegd van een betrouwbaar en volledig internal control framework naar een effectievere en efficiëntere vorm van monitoren van de bedrijfsprocessen. Om dat doel te bereiken beoordelen organisaties welke mogelijkheden de huidige IT-technologie en het harmoniseren van IT-systemen bieden. Het voorbeeld laat zien dat continuous monitoring en continuous auditing een belangrijke bijdrage aan het realiseren van deze doelstellingen kunnen leveren.
Voorbeeld crediteurenadministratie
Een medewerker heeft het bankrekeningnummer van een crediteur aangepast en vervolgens enkele facturen van deze crediteur ingevoerd en betaalbaar gesteld. Het management of de internal audit functie willen daar meer van weten, omdat dit kan duiden op het doorbreken van de in de organisatie ingebouwde controle-technische functiescheiding. En het liefst zo snel mogelijk, zodat kordaat kan worden opgetreden. Het antwoord daarop luidt: continuous monitoring of continuous auditing.
Implementeren en onderhouden van een effectief internal control framework
Het management is verantwoordelijk voor het implementeren en onderhouden van een effectief internal control framework. Continuous monitoring geeft het management zekerheid dat het controle systeem effectief werkt en zorgt ervoor dat onmiddellijk actie kan worden ondernomen om afwijkingen in bijvoorbeeld het invoeren of verwerken van transacties te verhelpen, voordat het problemen worden. Het is bijvoorbeeld de controller die de monitoring uitvoert of laat uitvoeren. De internal audit functie is verantwoordelijk voor het auditen of het management deze controle op een verantwoorde wijze uitvoert.
Resultaat van continuous monitoring gebruiken om de effectiviteit van internal control framework te toetsen
Omdat continuous monitoring onderdeel uitmaakt van het internal control framework, moet de internal audit functie zich ervan verzekeren dat het internal control framework effectief functioneert en dat erop kan worden gesteund. Hierdoor kan de internal audit functie het resultaat van continuous monitoring gebruiken om de effectiviteit van het internal control framework te toetsen. Er wordt gesproken over continuous auditing als een auditor, in veel gevallen de accountant of een gespecialiseerde IT-auditor de monitoring uitvoert.
Om de auditinspanningen te optimaliseren zouden internal en external auditors op de al aanwezige continuous monitoringactiviteiten van het management moeten bouwen. Zo zal de organisatie op een optimale wijze continuous assurance realiseren. Dat betekent dat de strategie van de organisatie zich op het zoveel als mogelijk inbedden van continuous auditing in de organisatie zou moeten richten. Daarmee verwordt continuous auditing uiteindelijk tot continuous monitoring. Uiteraard is daarbij intensieve samenwerking met de IT-organisatie en -infrastructuur vereist. De IT-organisatie moet ervoor zorgen dat de bij zowel internal als external auditors aanwezige kennis naar IT-specifieke oplossingen wordt vertaald om in de monitoringsystemen in te bedden.
Figuur. Continuous assurance framework
Belang om resultaten gunstiger voor te stellen dan dat die in werkelijkheid zijn
Ook als organisaties continuous monitoring hebben geïmplementeerd, zal de internal audit functie periodiek de in de organisatie uitgevoerde continuous monitoring beoordelen en testen om op de werking van continuous monitoring te kunnen steunen. Hierdoor zal de audit effectiever en efficiënter verlopen. Dat heet ‘audit testing of continuous monitoring’, beter bekend als continuous auditing. Het management kan namelijk een belang hebben om resultaten gunstiger voor te stellen dan dat die in werkelijkheid zijn.
