Partnerbijdrage,
Digitale systemen vormen het zenuwstelsel van vrijwel elke onderneming. Toch weten veel bedrijven niet precies wie toegang heeft tot welke data, of hun processen voldoen aan de AVG, of hun ERP-omgeving waterdicht is ingericht. Die onzekerheid groeit, en daarmee ook de vraag naar onafhankelijke doorlichtingen.
Zeker voor middelgrote organisaties is die stap niet vanzelfsprekend. Ze beschikken zelden over een eigen auditafdeling, maar zijn wel groot genoeg om onder het vergrootglas van toezichthouders te vallen. Tussen de vijftig en vijfhonderd medewerkers zit een grijs gebied waarin de risico’s reëel zijn maar de capaciteit beperkt.
Bureaus die zich richten op deze doelgroep merken een duidelijke toename in aanvragen. Bij IT-audits en advies van 2-Control, een auditbureau uit Breda dat sinds 2006 actief is, zien ze dat ondernemers vaker proactief aankloppen in plaats van pas na een incident. Het is een tendens die past bij een breder groeiend bewustzijn rond informatiebeveiliging.
De drempel voor een eerste doorlichting
“Veel ondernemers denken dat een IT-audit alleen iets is voor grote corporates of organisaties met een wettelijke verplichting,” zegt Arno Mouwen, oprichter van het Bredase bureau. “Maar juist bij groeiende bedrijven zie je dat de inrichting van systemen de groei niet heeft bijgehouden. Er zijn rechten toegekend die nooit zijn ingetrokken, of processen die ooit ad hoc zijn opgezet.”
Die terughoudendheid is herkenbaar. Een eerste audit voelt voor veel organisaties als een examen waar ze niet voor geleerd hebben. In de praktijk blijkt het eerder een inventarisatie dan een beoordeling.
Geert, financieel directeur bij een productiebedrijf in Noord-Brabant, herkent dat gevoel. “Wij hadden jarenlang het idee dat onze IT-omgeving goed geregeld was. Pas toen we een externe partij lieten meekijken, zagen we hoeveel aannames er in ons autorisatiemodel zaten.”
Wat een doorlichting concreet oplevert
Een IT-audit volgt doorgaans een gestructureerd traject. Bij het Bredase bureau begint dat met een pre-audit, waarin de huidige situatie in kaart wordt gebracht. Daarna volgen maatregelen, een eindaudit en een rapport met een assuranceverklaring die waarde heeft richting accountants en toezichthouders.
Voor organisaties die werken met Microsoft Dynamics 365 Business Central is autorisatiebeheer een terugkerend aandachtspunt. Wie mag wat zien, muteren of goedkeuren in het ERP-systeem? “Dat klinkt als een technisch detail, maar het raakt direct aan functiescheiding en fraudepreventie,” legt Mouwen uit. “Als één persoon zowel inkooporders kan aanmaken als betalingen kan goedkeuren, heb je een risico dat je niet wilt lopen.”
Geert bevestigt dat dit in de praktijk relevanter bleek dan verwacht. “Na de doorlichting hebben we onze autorisatiematrix volledig herzien. Dat kostte een paar weken, maar het gaf ons een veel steviger fundament voor de gesprekken met onze accountant.”
Geen eenmalige exercitie
IT-audits worden soms gezien als eenmalig project, maar de meeste organisaties merken dat regelmatige toetsing meer oplevert. Wetgeving verandert, systemen worden geüpdatet, medewerkers wisselen van functie. Elke verandering kan nieuwe kwetsbaarheden introduceren.
“Wij adviseren klanten om minimaal jaarlijks een review te doen,” zegt Mouwen. “Niet omdat er per se iets mis is, maar omdat je anders achter de feiten aanloopt. Een audit is geen eindpunt, het is een ijkmoment.”
Voor ondernemers die overwegen hun IT-beheersing extern te laten toetsen, is het raadzaam te kiezen voor een bureau met gecertificeerde auditors. Certificeringen als RE en CISA bieden zekerheid over de kwaliteit en onafhankelijkheid van het onderzoek. Brancheorganisatie NOREA houdt in Nederland een register bij van gekwalificeerde IT-auditors.
Groeiend bewustzijn bij ondernemers
De toegenomen aandacht voor informatiebeveiliging en privacy is niet los te zien van bredere ontwikkelingen. Ransomware-aanvallen halen regelmatig het nieuws, en de AVG heeft privacybewustzijn bij veel organisaties permanent op de agenda gezet. Middelgrote bedrijven realiseren zich steeds vaker dat ze een aantrekkelijk doelwit vormen, juist omdat hun beveiliging minder volwassen is dan bij grote corporates.
Dat bewustzijn vertaalt zich in concrete acties. Bedrijven nemen IT-audits op in hun jaarplanning, bespreken autorisatiebeheer in directievergaderingen en zoeken actief naar partijen die hen kunnen helpen met compliance. De verschuiving van reactief naar preventief is in volle gang, en daarmee verandert ook de rol van de IT-auditor: van controleur achteraf naar sparringpartner vooraf.