Auditdienst Rijk Ministerie van Financiën. Application Controls PVA ingericht conform ontwerp

Transcriptie

1 Auditdienst ijk Ministerie van Financiën Application Controls VA ingericht conform ontwerp

2 Colofon Titel Uitgebracht aan Datum Status Application Controls VA ingericht conform ontwerp HDBV en HDFC 21 september2016 Definitief Kenmerk Inlichtingen Auditdienst ijk

3 Inhoud Context 4 1. esultaten onderzoek positief 1.1 De Application Controls VA zijn controleerbaar vastgelegd De Application Controls VA zijn aanwezig in SA SA Help voorziet niet in aanvullende informatie De onderzochte Application Controls zijn niet gewijzigd 5 2 Managementreactie 6 3 Ondertekening 7 Bijlage 1: Onderzochte Application Controls 8

4 Context De Auditdienst ijk (AD) voert jaarlijks een jaarrekeningcontrole uit bij het ministerie van Defensie. De totstandkoming van de jaarrekening steunt op E M&F (SA). In dit systeem zijn controls opgenomen om bepaalde financiële risico s te beperken. Deze controls zijn de Application Controls. De accountant wil weten of deze controls juist zijn opgenomen in E M&F. Met name is de accountant geïnteresseerd in 23 application controls van rojectmatig Verwerven en Afstoten (VA). Het daartoe opgestelde plan van aanpak gaat uit van 4 onderzoeksvragen en een bijlage met de te onderzoeken Application Controls VA: 1. Zijn de Appllcation Controls controleerbaar vastgelegd in de systeemdocumentatie van E M&F (AIS) per 1 april 2016 (opzet vaststelling) 2. Zijn de Application Controls daadwerkelijk opgenomen in E M&F-kernel (bestaan vaststelling) 3. Komt het effect volgens SA Help overeen met het effect volgens de BCD1 4. Zijn de Application Controls gewijzigd sedert 1 januari 2016 (vaststelling werking) en zo ja, is de change management procedure juist doorlopen. Deze opdracht is uitgevoerd conform NV COS 4401 van de NOEA (beroepsorganisatie voor IT-Auditors). Er is sprake van overeengekomen specifieke werkzaamheden waarbij geen Assurance wordt verschaft. Voor het onderzoek hebben wij ons gebaseerd op de Application Controls voor SA-release 2.70 die in december 2015 in gebruik is genomen. 1 BCD: Business Control Diagram 4 1 Application Controls VA ingericht conform ontwerp

5 esultaten onderzoek positief Het antwoord op de onderzoeksvragen is gegeven aan de hand van de 23 onderzochte (deels combinaties van) Application Controls. Deze Application Controls maken deel uit van (Bijlage 1 van) het plan van aanpak. 1.1 De Application Controls VA zijn controleerbaar vastgelegd De Application Controls bleken voor 64%2 controleerbaar vastgelegd. De rest (36%) was controleerbaar nadat er aanpassingen waren aanbracht in de documentatie. Hiermee is akkoord gegaan omdat uiteindelijk de situatie in de kernel bepalend is. Zie voor nadere informatie bijlage De Application Controls VA zijn aanwezig in SA De AD heeft vastgesteld dat de gedocumenteerde Application Controls VA in de E M&F-kernel in het algemeen zijn opgenomen conform de systeemdocumentatie. Eén Application Control is niet getoetst. Zie voor nadere informatie bijlage SA Help voorziet niet in aanvullende informatie SA Help bevat algemene informatie die door SA is aangeleverd. Deze algemene SA-informatie gaat niet gedetailleerd in op de onderzochte instellingen. 1.4 De onderzochte Application Controls zijn niet gewijzigd De door ons onderzochte Application Controls van SA-release 2.7 zijn in de periode van onderzoek conform de documentatie aangetroffen. 2 Achtergrond van de berekeningen: a. Er zijn 23 (combinaties van) Application Controls (Bijlage 1 van lan van Aanpak) b. Deze 23 Application Controls worden toegepast in 33 activiteiten c. 1 Application Control kon niet worden getoetst: zie bijlage 1 (23) d. 14 Application Controls waren meteen akkoord: 64 h (14/22) e. 8 Application Controls zijn akkoord na (getoonde) aanpassingen in BCD: 36% (7/22) 5 1 Application Controls VA ingericht conform ontwerp

6 2 Managementreactie Uit het onderzoek is gebleken dat de Appllcation Controls VA zijn ingericht conform ontwerp en het rapport geeft voor zowel HDFC als HDBV geen aanleiding tot opmerkingen dan wel maatregelen. 6 1 Application Controls VA ingericht conform ontwerp

7 3 Ondertekening Den Haag, 21 september fl Auditma er E.N. Sax van der Weijden E O 7 1 Application Controls VA ingericht conform ontwerp

8 Bijlage 1: Onderzochte Application Controls In de bijlage van het lan van Aanpak Application Controls zijn de onderzochte Application Controls. Het betreft vrijwel steeds Application Controls met een hoog risicoprofiel. In de kolom eferentie is een koppeling gelegd met de nummering in die bijlage. No Activiteit.1.i.lOa Beheren.1.1.lOb Beheren.1.1.lOa Beheren.1.1.lOb Beheren.1.1.lOb Beheren.1.1.lOb Beheren.1.1.lOb Beheren 1101 Vrijgeven Vrijgeven ATB ATB/M Bestelling SM aansturing Vrijgeven ATB Maken aanvraag tot offerte 1104 Verwerken offerte(s) Maken bestelling a Maken contract b Wijzigen contract a Maken contract b Wijzigen contract a Maken contract b Wijzigen contract a Maken contract b Wijzigen contract 1105 Maken bestelling Dichtsturen van ATB velden tijdens vrijgave format bestelling format bestelling format bestelling contractsoorten & koppeling positietypen contractsoorten & koppeling positietypen contract veldsturing (mcl koppeling FQ / Inkoopopdracht) contract veldsturing (mcl koppeling FQ / Inkoopopdracht) contract toleranties contract toleranties5 vrijgave strategie contract vrijgave strategie contract veldsturing Creeren/wijzigen Bestelling (BCD) Maken bestelling documentsoorten en positietypen bestelling (BCD) Maken bestelling 1106 Wijzigen bestelling 1105 Maken bestelling Three way match Three way match Bestelling F1, CO aansturing (BCD) Wijzigen bestelling 1105 Maken bestelling Bestelling F1, CO aansturing MM toleranties en Inkoopwaardecodes (BCD) Maken bestelling 1105 Maken bestelling 1105 Maken bestelling b Wijzigen contract 1106 Wijzigen bestelling T ATB logistiek logistiek Application Control controle dubbele Leverancier controle dubbele Leverancier veldsturing Leverancier veldsturing Leverancier Betalingsblokkering factuur Controleregels Bankrekeningnummer gevoelige velden muteren fin. gegev. Leverancier vrijgave strategie ATB -> ATB/Bestelling budgetuitputting diverse toetsingen Afroeporder vs aamcontract vrijgave strategie Bestelling geautom. roces aanmaken/wijzigen contract via Winshuttle vrijgave strategie Bestelling Conclusie Application Controls (BCD) (BCD) 7 (BCD) Niet getoetst Opmerkingen. Nummering verwijst naar nummering die binnen de Application Control is gehanteerd 1)-3) Application Control als bij:.1.1.loa Beheren logistiek. controle dubbele Leverancier. Functioneel getoetst Application Control als bij:.1.1.loa Beheren logistiek. veldsturing Leverancier Onduidelijkheden zijn met een aangepast BCD weggenomen 1)-2) 1)-2) Getoetste vrijgavestrategieën zijn conform BCD. Vraag over vrijgavestrategiewijziging heeft geleid tot aangepaste BCD. Eisen HDFC lijken niet lijn met HDF100. Inzicht in FC met wijzigingen cf. HDFC100. Daarnaast is de BCD cf. SA De standaardafleidingen zijn niet mogelijk te herleiden uit ingestelde application controles. Dit is standaard SA. Application control zijn in de testomgeving getest Dezelfde Application Control als bij: Maken aanvraag tot offerte Dezelfde Application Control als bij: 1102 Maken aanvraag tot offerte 1)-3) 4) Maatwerk gerealiseerd met 5SM20682 betreft een customizing instelling Dezelfde Application Control als bij: a Maken contract Dezelfde Application Control als bij: a Maken contract Dezelfde Application Control a Maken contract / vrijgave strategie contract. la)-lc), 3), 1f en 2) Verbeterd concept BCD. ld-e) SALMEO is geen customizing instelling id) Documentsoort ZSCA blijkt niet gekoppeld aan veldselectiegroep ZBF maar aan (vsg) ZCSA. BCD is aangepast Documentsoort ZSC blijkt niet gekoppeld aan veldselectiegroep NBF maar aan (vsg) ZCS. BCD is aangepast 4) Dichtsturing ad 1 is niet mogelijk en dichtsturing is niet nodig ad 2 1). 2-3) Verbeterd concept BCD. 5) Maatwerk S5M20682 is geen customizing instelling 3) OBBS: programma SOLAO2 niet relevant. BCD is aangepast 4) OBBS: onderdelen horen elders thuis. OBBS verwijst daarvoor naar andere Maatregel ATB/M -> Bestelling SM aansturing, alwaar verwezen wordt naar documentsoorten en positietypen bestelling. Volgordelijkheid van SA tussen Goods eceipts en Invoice eceipt wordt niet toegepast, conform eisen BV Dezelfde Application Control als bij: 1105 Maken bestelling 1) Maatwerk gerealiseerd met OBYC dit betreft een customizing instelling. 3) en 5) Conform opzet 2) Koppeling uit BCD anders aangetroffen. BCD is aangepast 4) OBBS heeft andere formulering opgesteld (BCD). Dezelfde Appllcation Control als bij: 1105 Maken bestelling A1-3b) Conform opzet A4) OBBS verwijst hiervoor naar 1105 Maken bestelling. Maatregel: Three way match. Verwerkt in BCD. 1) en 2) Verbetering in concept BCD aangebracht De Application Control is een Excel-bestand met de Vrijgavestrategie die geldt voor release 2.9. Maatwerk gerealiseerd met Winshuttle betreft geen Application Control Application Controls als bij: 1105 Maken bestelling. diverse toetsingen Afroeporder vs aamcontract eferentie M g ii Ml M6 M2 M7 M3 M8 M5 Mli i~ Kolom eferentie verwijst naar de nummering in Bijlage 1 van het lan van aanpak ~ De kolom M is een duiding van de personen die het onderzoek hebben uitgevoerd. Martijn, eter en oei In Bi is b niet gecombineerd met deze maatregel 6 OBBS: In 4) is een opmerking opgenomen van redenen waarom ervoor gekozen is om de condities en waarden velden niet dicht te sturen (lees dichtzetten). Dit betreft dus geen customizing die getoetst moet worden, maar een extra toelichting die wel van belang is als achtergrond informatie bij deze application control. Om verwarring hierover te voorkomen heeft OBBS deze opmerking naar het eind van de omschrijving van deze application control verplaatst en duidelijk vermeld dat het een opmerking betreft. Daarnaast zijn de vermelde customizingpaden verwijderd. OBBS: Zoals aangegeven wordt Volgordelijkheid van SA tussen Goods eceipts en Invoice eceipt niet toegepast conform eisen BV. Dit komt overeen met de huidige systeeminrichting dus het bestaan is daarmee in lijn met de opzet.

9 Auditdienst ijk ostbus EE Den Haag (070)