Promotie over ontwikkeling referentiekaders binnen IT-auditing
Op donderdag 3 juni jl. is Wiekram Tewarie gepromoveerd op zijn proefschrift over de ontwikkeling van referentiekaders binnen IT-auditing.
Modelmatig ontwikkelen van Referentiekaders: een gestructureerde aanpak binnen IT auditing
IT-auditing richt zich op het beoordelen van IT-onderwerpen zoals software applicaties, systemen en infrastructuur. Een (IT)audit kent drie fases: vooronderzoek, veldwerk en rapportage. Een belangrijke stap binnen de vooronderzoeksfase is het ontwikkelen van een beoordelingsinstrument (referentiekader).
Voor het ontwikkelen van referentiekaders worden veelal structuren van de Best practices gevolgd die niet altijd de juiste consistente analyses ondersteunen. Hierdoor bevat een referentiekader een mix van gedetailleerde en algemene beoordelingsnormen die tevens op verschillende manieren geformuleerd worden en waarin de mate van samenhang varieert. Gevolg is dat er onzekerheid bestaat over de volledigheid van de beoordelingsnormen waardoor er discussies kunnen ontstaan over de geloofwaardigheid van de resultaten. De bovenstaande werkwijze wordt in dit proefschrift aangemerkt als een "Rule-based" aanpak.
In dit proefschrift heeft Wiekram Tewarie een framework (SCF) en een methode (M3) ontwikkeld op basis waarvan het ontwikkelen van referentiekaders systematischer kan plaatsvinden. Deze werkwijze wordt getypeerd als "Principle-based". Het framework bestaat uit drie elementen: "Structure (S)", "Content (C)" en "Form (F)". "S" bevordert het systematisch ontwikkelen van een referentiekader, "C" maakt het mogelijk de juiste audit elementen te identificeren. Per audit-element kan een audit-principe geformuleerd worden. "F" geeft een template om deze audit-principes consistent te formuleren. De methode (M3) stelt drie stappen voor: Middle, Middle-Out en Middle-In. Het ondersteunt de vaststelling van de juiste audit-elementen per specifieke audit. Het framework en de methode zijn toegepast in twee case-studies, waarbij referentiekaders zijn beoordeeld. Middels deze case-studies kon enerzijds de consistentie, de samenhang en de mate van volledigheid van de referentiekaders worden aangetoond, anderzijds is het SCF framework als model hiermee gevalideerd (tekst samenvatting: persbericht VU).