Continuous auditing: wat het is, wat het oplevert en wanneer het zin heeft

Continuous auditing is een werkwijze waarbij de auditor beheersmaatregelen gedurende het jaar met een vaste frequentie toetst, in plaats van één keer per jaar achteraf. Het begrip wordt ruim gebruikt, van volledig geautomatiseerde data-analyse tot een kwartaalritme waarin de organisatie bewijs aanlevert en de auditor het beoordeelt. Beide varianten hebben hun plek, maar ze leveren iets anders op. Hieronder staat wat continuous auditing wel en niet is, hoe het zich verhoudt tot een ISAE 3402- of SOC 2-rapport en wanneer het de moeite waard is.

Drie begrippen die door elkaar lopen

In de praktijk worden drie begrippen door elkaar gebruikt. Continuous monitoring is een taak van het management: de eerste of tweede lijn controleert zelf doorlopend of beheersmaatregelen werken, bijvoorbeeld met dagelijkse rapportages over mislukte back-ups of een wekelijkse controle op nieuwe beheerdersaccounts. COSO 2013 noemt dit het onderdeel monitoringactiviteiten, met doorlopende en afzonderlijke evaluaties.

Continuous auditing is een taak van de auditfunctie, intern of extern. De auditor bepaalt zelf welke maatregelen hij met welke frequentie toetst en welk bewijs hij daarvoor verwacht. Continuous assurance is de combinatie van die twee: de auditor steunt waar dat verantwoord kan op de monitoring van het management en richt zijn eigen werk op wat daar niet door wordt afgedekt. De IIA-richtlijn GTAG 3 beschrijft die samenhang uitgebreid.

Het onderscheid is meer dan terminologie. Als het management zelf niet monitort, moet de auditor alles zelf doen en wordt continuous auditing duur. Als het management wel monitort, is de eerste vraag van de auditor of die monitoring betrouwbaar genoeg is om op te steunen.

Hoe het in de praktijk werkt

Er zijn twee varianten. In de datagedreven variant draait de auditor of het management regels over de volledige populatie. Elke wijziging in toegangsrechten wordt vergeleken met de autorisatiematrix, elke wijziging in productie met een goedgekeurd wijzigingsverzoek. Afwijkingen komen op een lijst die iemand moet opvolgen. Dat vraagt toegang tot brondata, stabiele systemen en regels die vooraf zijn getest op historische data. Zonder die voorbereiding levert het vooral valse meldingen op.

In de periodieke variant kiest de auditor de sleutelmaatregelen en legt per maatregel een frequentie vast, met een omschrijving van het bewijs dat per periode wordt verwacht en een deadline. Denk aan een kwartaalreview van gebruikersrechten, een maandelijkse aansluiting van het wijzigingslog op de wijzigingsverzoeken of een halfjaarlijkse hersteltest van back-ups. De organisatie levert per periode aan, de auditor beoordeelt en keurt goed of af met een toelichting. Of dit werkt, hangt vooral af van een heldere omschrijving van het bewijs. Hoe je dat opzet, staat in het artikel over bewijslast bij een IT-audit.

Voor de meeste organisaties is de periodieke variant de realistische start. De datagedreven variant is een uitbreiding voor een beperkt aantal maatregelen waar de data goed toegankelijk is, zoals toegangsbeheer en change management.

Wat het wel en niet oplevert

Het belangrijkste voordeel is dat een maatregel die niet wordt uitgevoerd, binnen een periode opvalt en niet pas bij de jaarlijkse audit. Een gemiste toegangsreview in het tweede kwartaal is dan in juli bekend en kan nog worden hersteld, in plaats van in januari als afwijking in het rapport te staan. Daarnaast verschuift werk van één drukke auditperiode naar een ritme over het jaar, voor de organisatie en voor de auditor.

Wat het niet doet, is de jaarlijkse opinie vervangen. Bij een ISAE 3402 type II of SOC 2 type II toetst de service auditor de werking over de hele rapportageperiode en moet hij zelf voldoende bewijs verzamelen. Periodiek aangeleverd en beoordeeld bewijs helpt daarbij, omdat het over de hele periode al klaarligt, maar de auditor moet nog steeds beoordelen of het volledig en juist is. Hoe die periode werkt, staat in het artikel over de observatieperiode bij ISAE 3402 type II.

Volledige populatieanalyse levert ook niet vanzelf meer zekerheid tegen lagere kosten. De regels moeten worden ontworpen, gevalideerd en onderhouden, en elke afwijking moet worden uitgezocht. Het levert wel een ander soort bewijs op dan een steekproef, en bij grote populaties met eenvoudige, eenduidige regels is dat vaak sterker.

Wanneer het zin heeft

Continuous auditing past bij organisaties met veel terugkerende maatregelen met een vaste frequentie, bij organisaties die jaarlijks een type II-rapport of certificaat nodig hebben, en bij organisaties die bij eerdere audits bevindingen kregen van het type "maatregel niet uitgevoerd in een deel van de periode". Het past ook bij organisaties die aan meerdere normen tegelijk moeten voldoen, omdat één periodiek aangeleverd bewijsstuk dan voor meer dan één norm kan dienen.

Het heeft weinig zin bij een kleine organisatie met een handvol maatregelen, bij een eenmalige beoordeling zonder vervolg, of bij processen die nog zo in beweging zijn dat de maatregelen elk kwartaal anders worden ingericht. Richt in dat geval eerst de processen in en begin daarna met monitoring.

Hoe het platform van Secure Audit dit ondersteunt

Het auditplatform van Secure Audit ondersteunt de periodieke variant. De auditor legt per beheersmaatregel een monitoringcontrol vast met een frequentie van wekelijks tot jaarlijks, een werkinstructie en een omschrijving van het verwachte bewijs. Het platform maakt daar periodes met een deadline van. De klant levert per periode bewijs aan, de auditor keurt het goed of af met een toelichting, en bij de volgende audit of surveillance ligt het bewijs over de hele periode klaar. Het platform leest geen systemen van de klant realtime uit; het is periodieke monitoring met aanlevering door de klant.

Beginnen

Kies drie tot vijf sleutelmaatregelen, bij voorkeur die waar eerdere audits afwijkingen vonden. Leg per maatregel vast wat het bewijs per periode is, wie het aanlevert en wanneer. Beoordeel na het eerste kwartaal of het bewijs bruikbaar was en of de frequentie klopt, en breid pas daarna uit. Een monitoringprogramma dat met vijf maatregelen goed loopt, is meer waard dan een programma met vijftig maatregelen waarvan de helft te laat of onvolledig wordt aangeleverd.