Dit artikel is een samenvatting van hoofdstuk 7 van het boek Accounting Information Systems van Romny en Steinbart. Er is gebruik gemaakt van de negende editie.
Hoofdstuk 7 behandeld de beheersing (het ‘in control’ zijn) van het Accounting Information System binnen bedrijven. Eerst worden de mogelijke bedreigingen genoemd, daarna worden mogelijke beschermingsmaatregelen genoemd door de leiding van de huishouding (het management) en (in de vorm van ondersteuning) door accountants. Vervolgens komen de soorten controles aan bod en wordt kort ingegaan op het COSO-systeem.
Mogelijke bedreigingen voor het Accouting Information System (AIS)
Ten aanzien van het AIS zijn de volgende bedreigingen te indentificeren.
1. Natuurlijke en politieke rampen. Hierbij kan gedacht worden aan vuur of extreme droogte/hitte, overstromingen, aardbevingen, oorlog e.d.
2. Softwarefouten. Voorbeelden zijn: het uitvallen van hardware, softwarefouten of bugs, een crash van het operationeel systeem of een stroomstoring.
3. Onbedoelde handelingen/onbedoeld handelen. Hierbij wordt gedacht aan onschuldige fouten, verloren of misplaatste data, logistieke fouten, systemen diue niet in de behoefte van de onderneming voorzien of die niet de dingen (kunnen) doen die van ze worden verwacht, of ongelukken door onzorgvuldig menselijk handelen, het negeren van de te volgen procedures of onbekwaam personeel.
4. Opzettelijk handelen (computer crimes). Hieronder vallen sabotage en computerfraude.
Tips om de rechtsgang van gedupeerde derden te voorkomen:
Onderstaande tips worden gegeven vanuit het oogpunt van de onderneming welke een AIS ter beschikking stelt van derden of hiermee samenwerkt.
1. Implementeer een in-house security policy.
2. Laat een deskundige, onafhankelijk, de beveiliging testen.
3. Let goed op bij contact met andere ondernemingen, dat deze ook veiligheidsmaatregelen hebben én naleven.
4. Beloof niet iets wat je niet waar kunt maken.
5. Houd rekening met de wetten in het land waar je zaken mee doet.
6. Neem extra beveiliging bij het gebruik van e-commerce.
7. Let op wat vergelijkbare ondernemingen doen zodat jij kan aantonen dat je minstens zo je best hebt gedaan als de rest.
Meer informatie over AIS-bedreigingen
Onderstaand een opsomming over de vraag ‘waarom komen er steeds meer AIS-bedreigingen’? (niet limitatief)
– Doordat er steeds meer computers en netwerken komen, is informatie voor steeds meer mensen beschikbaar, ook voor ongeauthoriseerden.
– Netwerken kunnen vaker van buitenaf benaderd worden. Dit is moeilijker te beheersen dan gecentraliseerde mainframesystems.
– WAN’s geven mensen toegang tot elkaars systemen. Probleem: bijvoorbeeld als jouw crediteur ook bij de concurrent naar binnen mag.
Helaas beschermen niet alle ondernemingen voldoende hun data, onder andere door de volgende punten.
– Computerbeheersingsproblemen worden vaak onderschat en men denkt dat het wel meevalt met het verliezen van cruciale informatie. Zij denken: ‘dat gebeurd toch niet’.
– De implicaties van de overgang van een gecentraliseerd, zelf beheerd computersysteem naar een netwerk dat via internet beheerd wordt, wordt niet goed begrepen.
– Veel ondernemingen realiseren zich niet dat databeveiliging van cruciaal belang is om te kunnen overleven.
– Productiviteit en kostendruk motiveren het management om te weinig in dataprotectie te investeren.
Taak van de accountant
Het mangement adviseren bij het beheersen van een business organisation is een primaire taak van een AIS. De accountant kan hierbij helpen door een effectief beheersingssysteem te ontwerpen en door de systemen die er al zijn te beoordelen op hun effectiviteit.
Het management verwacht dat accountants controlconsultants zijn. Accountants moeten volgens hen:
– een proactieve houding hebben om de systeembedreigingen te elimineren en
– de bedreigingen ontdekken, corrigeren en herhaling voorkómen.
Accountants zouden eigenlijk al in de bouwfase van een systeem aanwezig moeten zijn, omdat het integreren van beheersingsmechanismen nadat er iets is fout gegaan, of gewoon achteraf, veel moeilijker is.
Internal control
Internal control is het plan van een organisatie en de methode die zij gebruiken om activa te beveiligen, voor accurate en betrouwbare informatie te zorgen, de operationele efficiency te verbeteren, en het bevorderen van het trouw blijven aan de voorgeschreven management policies.
De Internal Control Structure bevat de policies en procedures die ontworpen zijn om een redelijk niveau van beveiliging te bereiken. Het gaat om ‘reasonable assurance’, omdat ‘volledig’ erg moeilijk is om te ontwerpen. Het zou al gauw te duur zijn.
– Preventive Controls detecteren problemen voordat zij zich voordoen.
– Detective Controls zijn nodig om problemen zo snel mogelijk te ontdekken.
– Corrective Controls lossen de problemen op die met detective controls zijn gevonden.
COSO
Het Committee of Sponsoring Organisations (COSO) schreef een rapport met een studie naar de definitie van Internal Controls en schreef een handleiding om Internal Control Systems te evalueren. Het rapport schrijft over de verantwoordelijkheid van medewerkers voor een goede werking van de beheersingsinstrumenten en beschrijft de rol van externe auditors in het belasten van de controls.
COSO definieert Internal Control als het proces dat is geïmplementeerd door de directie, het mangement en ondergeschikten om een redelijke zekerheid te verkrijgen dat de beheersingsobjecten aan het volgende voldoen.
– Efficiency en effectiviteit van de uitvoering.
– Betrouwbaarheid van de financiële rapportage.
– In overeenstemming zijnmet van toepassing zijnde wetten en regelgeving.
