Dezelfde audit findings blijven terugkomen
Omdat dezelfde oorzaak iedere keer opnieuw wordt opgelost in plaats van structureel te worden weggenomen.
Controluitvoering in de praktijk
Controls zijn duidelijk op papier. Tot de uitvoering begint.
Audit findings blijven terugkomen, control owners weten niet welk bewijs wordt verwacht en pas tijdens controltesting blijkt dat uitvoering of evidence anders had gemoeten.
Dezelfde audit findings blijven terugkomen
Control owners stellen steeds dezelfde vragen
Bewijs is tijdens audits lastig terug te vinden
Dezelfde control wordt per team verschillend uitgevoerd
Controls beschrijven wat moet gebeuren, maar niet hoe
Het herkenbare probleem
De control bestaat. De dagelijkse uitvoering blijft onduidelijk.
In veel organisaties ligt het probleem niet bij het ontbreken van controls. Het ontstaat tussen controlbeschrijving, uitvoering, evidence en control testing.
Control owners krijgen ownership toegewezen, maar zijn voor de uitvoering afhankelijk van meerdere teams, systemen en informatiebronnen.
Daardoor blijft onduidelijk:
Wat de control owner concreet moet organiseren en uitvoeren
Welk bewijs tijdens testing of audit voldoende is
Welke teams informatie of uitvoering moeten leveren
Waar verantwoordelijkheden en afhankelijkheden liggen
Waarom dezelfde finding na remediation opnieuw kan terugkomen
Het gevolg is extra afstemming, herstelwerk, discussie met auditors en vertraging in remediation of andere controlprogramma's.
Herkenning
Dit zien wij regelmatig terug in bestaande controlomgevingen.
Evidence blijkt pas tijdens controltesting onvoldoende
De control is uitgevoerd, maar het beschikbare bewijs sluit niet aan op wat de tester of auditor verwacht.
Dezelfde control wordt verschillend uitgevoerd
Teams vertalen dezelfde controlbeschrijving ieder op hun eigen manier naar de praktijk.
Ownership ligt bij één rol, uitvoering bij meerdere teams
De control owner is aanspreekbaar, maar beschikt niet zelfstandig over alle informatie of uitvoering.
Control-remediation blijft hangen in documentatie
Controls worden aangepast, terwijl de praktische uitvoering en bewijsverwachtingen onvoldoende zijn uitgewerkt.
De control library beschrijft wat, maar niet hoe
De formele controltekst geeft richting, maar biedt onvoldoende houvast voor dagelijkse uitvoering en aantoonbaarheid.
Van analyse naar operationalisatie
Soms ligt het probleem in de control, maar vaker ligt het in de uitvoering, lokale implementatie of bewijsverwachtingen.
Iedere opdracht start met een afgebakende analyse van de aangeleverde controls, findings en relevante context. We bepalen waar het vraagstuk zit: in de generieke control, de lokale implementatie, de uitvoering of de bewijs- en testverwachtingen.
Daarna werken we uit wat nodig is om de controls begrijpelijk, uitvoerbaar en aantoonbaar te laten landen in de eerste lijn.
- Geen audit of control testing.
- Geen compliance-oordeel.
- Geen automatische reflex om nieuwe controls te schrijven.
- Geen onnodige vermenging van generieke controls, lokale implementatie en testing.
- Wel praktische duidelijkheid over uitvoering, ownership en evidence.
Voor wie
Voor organisaties waar controls door de eerste lijn moeten werken.
Voor managers en control owners die verantwoordelijk zijn voor uitvoering, remediation en aantoonbaarheid.
CIO
CISO
IT Managers
Operations Managers
Service Managers
Managers Regie
Eerste lijn Risk Managers
Control Owners
Volgende stap
Waar loopt uw controlomgeving in de praktijk vast?
Een eerste gesprek is bedoeld om de situatie te begrijpen: terugkerende findings, controlremediation, onduidelijke evidence, verschillend uitgevoerde ITGC's of ownership dat niet goed landt.
Bespreek uw vraagstuk