IT Audit

Een effectieve IT-audit gaat verder dan het controleren of beleid en procedures aanwezig zijn. Het draait om de vraag of beheersmaatregelen daadwerkelijk zijn ingericht, worden toegepast en functioneren zoals bedoeld. Maar hoe bepaal je wat je moet onderzoeken? Welk bewijs is voldoende om een oordeel te onderbouwen? En hoe formuleer je bevindingen die niet alleen inzicht geven in tekortkomingen, maar ook leiden tot concrete verbeteringen?

In de tweedaagse training IT Audit doorloop je het volledige auditproces, van de eerste opdrachtformulering tot de rapportage en opvolging van bevindingen. Je leert hoe je een audit zorgvuldig afbakent, passende onderzoeksmethoden selecteert en tot een objectief en navolgbaar oordeel komt. Daarbij besteden we aandacht aan zowel de rol van de auditor als die van de professional die een audit voorbereidt of begeleidt.

Het programma bestaat uit de volgende onderwerpen:

1. Het auditvak: doel, rol en uitgangspunten

Wat is een IT-audit precies en wat mag je ervan verwachten? Je maakt kennis met de doelstellingen, uitgangspunten en verschillende vormen van auditing. We bespreken de rol en verantwoordelijkheden van de auditor, het belang van onafhankelijkheid en objectiviteit en het onderscheid tussen een audit, een risicoanalyse en andere vormen van toetsing. Zo ontwikkel je een helder beeld van de waarde en beperkingen van een audit.

2. Opzet, bestaan en werking

Een belangrijk onderdeel van IT-auditing is het onderscheid tussen de opzet, het bestaan en de werking van beheersmaatregelen. Je leert wat deze begrippen betekenen, hoe ze zich tot elkaar verhouden en welke onderzoeksmethoden je gebruikt om ze te toetsen. Daarbij ontdek je waarom een goed ontworpen maatregel niet automatisch betekent dat deze ook daadwerkelijk wordt toegepast of effectief functioneert.

3. Het auditproces: van opdracht tot opvolging

Een betrouwbare audit begint met een duidelijke opdracht en een zorgvuldig afgebakende scope. Je leert hoe je auditdoelstellingen formuleert, relevante risico's en toetsingscriteria bepaalt en een gestructureerd auditplan opstelt. Vervolgens behandelen we de verschillende fasen van de uitvoering, de beoordeling van resultaten, de rapportage en de opvolging van verbetermaatregelen.

4. Auditbewijs verzamelen en beoordelen

Hoe verzamel je voldoende en betrouwbaar bewijs om je conclusies te onderbouwen? Je maakt kennis met verschillende onderzoekstechnieken, waaronder interviews, waarnemingen, documentonderzoek, gegevensanalyse en steekproeven. We bespreken wanneer je welke methode inzet, hoe je de kwaliteit van auditbewijs beoordeelt en hoe je voorkomt dat conclusies worden gebaseerd op aannames of onvoldoende onderbouwde informatie.

5. Normenkaders als toetsingsgrond

Een audit vraagt om duidelijke criteria waaraan je de onderzochte situatie kunt toetsen. Je leert hoe je normenkaders zoals ISO 27001, BIO2 en relevante sectorale kaders gebruikt als uitgangspunt voor je audit. Daarbij besteden we aandacht aan het vertalen van algemene normen en eisen naar concrete toetsingscriteria die passen bij de scope, risico's en context van de organisatie.

6. Bevindingen formuleren

Een goede auditbevinding is feitelijk, navolgbaar en verifieerbaar. Je leert hoe je bevindingen gestructureerd opbouwt aan de hand van de geldende norm, de feitelijk aangetroffen situatie, het bijbehorende risico en een passende aanbeveling. Daarbij oefenen we met het helder formuleren van conclusies, het onderscheiden van feiten en interpretaties en het voorkomen van onduidelijke of onvoldoende onderbouwde oordelen.

7. Rapporteren en opvolgen

Een audit heeft pas waarde wanneer de resultaten worden begrepen en leiden tot passende acties. Je leert hoe je auditbevindingen vertaalt naar een heldere rapportage voor management en andere belanghebbenden. We bespreken hoe je risico's en aanbevelingen overtuigend presenteert, hoe je bevindingen bespreekt met de verantwoordelijken en hoe je de opvolging van verbetermaatregelen organiseert en bewaakt.

Na afloop van de training heb je inzicht in de volledige auditcyclus en beschik je over de kennis om een IT-audit gestructureerd uit te voeren of professioneel te begeleiden. Je kunt onderbouwde oordelen vormen over beheersmaatregelen, bevindingen helder rapporteren en bijdragen aan verbeteringen in de informatiebeveiliging en risicobeheersing van jouw organisatie.

De training IT Audit is bedoeld voor interne auditors, security officers, kwaliteitsmedewerkers en adviseurs in de tweede en derde lijn die betrokken zijn bij het uitvoeren, voorbereiden of begeleiden van IT-audits.

De training is geschikt voor professionals die willen leren hoe zij de opzet, het bestaan en de werking van beheersmaatregelen systematisch kunnen toetsen. Ook biedt de training waardevolle inzichten voor security officers en andere professionals die zelf worden geaudit en een audit zorgvuldig willen voorbereiden, begeleiden en opvolgen.

Voor deze training heb je een van de drie basistrainingen gevolgd, of beschik je over vergelijkbare kennis en ervaring op het gebied van informatiebeveiliging.

• Een IT-auditopdracht zorgvuldig afbakenen, duidelijke auditdoelstellingen formuleren en een gestructureerd auditplan opstellen;
• Het onderscheid maken tussen de opzet, het bestaan en de werking van beheersmaatregelen en bepalen hoe je deze aspecten toetst;
• Betrouwbaar en voldoende auditbewijs verzamelen met behulp van interviews, waarnemingen, gegevensanalyses en steekproeven;
• Auditbevindingen helder, navolgbaar en verifieerbaar formuleren, met aandacht voor de geldende norm, de feitelijke situatie, het risico en een passende aanbeveling;
• Een IT-audit vanuit de rol van auditee professioneel voorbereiden en begeleiden, en bijdragen aan een effectieve opvolging van bevindingen en verbetermaatregelen.