Dankzij IT-audit een veilig zeecontainer vervoer: feit of fictie?

Transcriptie

1 Dankzij IT-audit een veilig zeecontainer vervoer: feit of fictie? John Piepers en René van Egmond Belastingdienst, Douane VUrORE, 18 april 2008

2 Programma Voorstellen; Plaatsing presentatie; Supply chain; Functie cargadoor (zeecontainers); Stopfunctie Douane; AEO en onze scriptie; Koppeling theorie aan praktijk; Invulling praktijk; Professionalisering IT-auditberoep.

3 Voorstellen John Piepers René van Egmond Wij zijn geen Douanemedewerkers Scriptiebegeleiders: René Matthijsse Wim Visscher Frans Vermeulen

4 Een fotopresentatie

5 Supply chain: functie cargadoor Fabriek Transport Port Loading Transport Transit Transport Port Transport Discharge Bestemming Cargadoor landsgrens landsgrens

6 Supply chain: stopfunctie Douane Bedreigingen van de openbare veiligheid (chemische, biologische, nucleaire en vuurwapens) Bedreigingen van de samenleving (risico mbt gezondheid, planten, dieren en culturele goederen) Bedreigingen voor consumenten, industrie, commercie en intellectuele eigendom (namaak)

7 Containers in de Rotterdamse havens

8 Zinvol stoppen: keuzes maken

9 Maar ook:

10 Het andere uiterste

11 En niet te vergeten!

12 Risicoselectie binnenkomende containers Op basis van informatie vooraf (pre-arrival); Aangeleverd door de cargadoors; Selectie voor aankomst boot; Geselecteerde containers worden apart gezet; Overige containers mogen door.

13 Informatie: SBB SBB: Sagitta Binnen Brengen; Bevat zeer veel informatie; Informatie boot en lading; Laten we eens wat schermen bekijken.

14

15

16

17

18

19 Kortom: veel informatie Maar hebben we gevoel bij de informatie? Zou het niet leuk zijn zelf ook wat te selecteren?

20 Wat is dit?

21 Vruchten en andere eetbare plantendelen, op andere wijze bereid of verduurzaamd, ook indien met toegevoegde suiker, andere zoetstoffen of alcohol, elders genoemd noch elders onder begrepen. 2 * 24 uur? Op B/L: Oranges Maroc late

22 Artikelen voor gezelschapsspellen, daaronder begrepen spellen met motor of met drijfwerk, biljarten, speciale tafels voor casinospellen en automatische bowlinginstallaties. Op B/L: 370 CTNS LOADER AMD PCB BOARD

23 Speelgoed op wielen, waarop of waarin door kinderen wordt gereden (bij voorbeeld driewielers, autopeds, pedaalauto's); poppewagens. Stoppen?

24 Dat is maar 1,5 uur te laat! Maar het is wel import! Dat moet goed zijn!

25 Bommen, granaten, torpedo's, mijnen, raketten, patronen en andere munitie en projectielen, alsmede delen daarvan, hagel en proppen voor patronen daaronder begrepen. Op B/L: Ink Cartridge

26 De Authorized Economic Operator (1) EG-verordening 1875/2006; In werking getreden op j januari 2008; Doel: veiligheid goederenvervoer verhogen; Belangrijkste maatregel: Verlenen status AEO aan bedrijven door Douane-autoriteiten EU => vertrouwde beveiligingspartner; Basis: World Customs Organisation.

27 De Authorized Economic Operator (2) Voordelen AEO-status: minder controles (zowel fysiek als van bescheiden); indien toch controle dan met voorrang en aangekondigd; summiere aangifte is voldoende. AEO-status = toegangskaartje voor EU.

28 De Authorized Economic Operator (3) Voorwaarden EG verordening m.n. gericht op handels- en vervoersadministratie: inrichtingseisen; beveiligingseisen; controle-eisen. AEO-guidelines (zachte wetgeving); geen concrete eisen IT beheersing; IT governancemodel verplicht.

29 De Authorized Economic Operator (4) Vormgeving en uitvoering AEO door NL-douane: horizontaal toezicht op de hele logistieke keten; douane maakt maximaal gebruik van alle waarborgen die het bedrijfsleven al biedt (bijvoorbeeld ISO-certificering, SAS-70 verklaringen); uitgangspunt is evaluatie van de waarborgen en veiligheisprocedures in het algemeen in plaats van controle van individuele goederentransacties; AEO-self-assessment (onder andere informatiebeveiliging).

30 AEO-status Praktijkonderzoek cargadoor; Onderwerp AEO : is dit een issue voor de cargadoor? is op dit punt sprake van centrale aansturing? Betrokkenheid IT?

31 Onderkende goederenstromen

32 Confrontatie theorie en de praktijk

33 Theorie VU: structuurmodel Strategie, Leiding, Cultuur Risico Actoren Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak

34 Uitgangspunten audit Cargadoor doet verzoek tot statusverlening; Betreft cargadoor vanuit scriptie, dus: Hoofdkantoor buiten Nederland; Wereldwijde organisatie; Gecertificeerde en niet gecertificeerde handelspartners; Cargadoor levert pre-arrival informatie.

35 Functie cargadoor Plaats in de keten; Aanleveren pre-arrival informatie:

36 Confrontatie theorie en praktijk Compact-model Nee, maar er zijn verbeteringsmaatregelen Strategie, Leiding, Cultuur Voorafgaande bedrijfscontrole Aanvraag AEO-status Juridische voorwaarden Nee Ja AEO-normen en criteria (volgens AEO-guidelines) Ris ico Potentiële risico's Actoren Wijze van Bedrijfsvoering / Bedrijfsproces Begrijpen wat het bedrijf doet Identificatie van de risico's In kaart brengen risico's door de Douane Synthese Techniek van de automatisering In kaart brengen risico's met bedrijf Resterende risico's Status toegekend Ja Nee Geen AEO-status Geen AEO-status Audit aspecten en aanpak Vergunning/ certificaat Bedrijfscontroleplan Evaluatie toegekende vereenvoudigingen Verbeteringsmaatregelen

37 Strategie, Leiding, Cultuur Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Efficiënte afhandeling zeecontainers staat centraal; Informatiebeveiligingsbeleid is in Nederland niet bekend; Implementatie beveiligingsbeleid centraal belegd op hoofdkantoor; In Nederland geen beschrijving systeem (inrichting database inclusief relaties); Werken met user-id s van collega s is algemeen gebruik (wachtwoorden bekend).

38 Actoren Wetgeving/ Toezichthouders Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Beschikken Uitvoeren Klanten Controleren Bewaren Leveranciers Registreren Partners/ Outsourcing Het gaat om de invloed op de bedrijfsvoering van de cargadoor!

39 Klanten Actoren extern Gezien het internationale karakter cargadoor: Hoe zijn WCO standaarden Wetgeving/ geïmplementeerd in wetgeving? Toezichthouders Hoe wordt daar op toegezien? Wat zijn de daadwerkelijke eisen en criteria? Hoe zijn de eisen en criteria getoetst? Is er sprake van certificering? Beschikken Gecertificeerde schakels: Welke eisen en criteria gelden in de diverse landen? Hoe weet ik dat mijn klant daaraan voldoet? Controleren Hoe is het met de fysieke veiligheid gesteld? Welke eisen moet cargadoor stellen (eisen gelden niet voor cargadoor zelf)? Registreren Uitvoeren Bewaren Concurrentie van de verschillende havens: Er moet samen gewerkt worden met diverse autoriteiten. Vanuit Partners/ concurrentieoverwegingen kunnen andere eisen Outsourcing worden gesteld, dan wel op andere wijze audits worden ingericht. Gecertificeerde schakels: Ook de leveranciers moeten vertrouwd kunnen worden; Denk hierbij een de inhuur van containers. Leveranciers Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Het gaat om de invloed op de bedrijfsvoering van de cargadoor!

40 Actoren intern Wetgeving/ Toezichthouders Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Klanten Beschikken Uitvoeren Gezien het internationale karakter cargadoor: De logistieke applicatie wordt wereldwijd gevoed. Als de opzet van de AO/IB al is beschreven en in opzet Controleren aanwezig is hoe kan dan vanuit Bewaren Nederland het bestaan en de werking worden getoetst? Leveranciers Registreren Partners/ Outsourcing Het gaat om de invloed op de bedrijfsvoering van de cargadoor!

41 Risico s Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak De audit is risicogericht: Vanuit Nederland geen zicht op General ITcontrols; Geen goede logische toegangsbeveiliging; Vanuit Nederland geen zicht op geïmplementeerde application controls; Vele handmatige handelingen. Niet te vangen met application controls => compensatie door user-controls. Zijn deze goed ingeregeld en bekend bij het personeel?

42 Bedrijfsproces Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Integriteit (volledigheid, juistheid en tijdigheid), vertrouwelijkheid en controleerbaarheid van aangeleverde data is van belang.

43 Bedrijfsproces (volledigheid) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Wat zijn de aanknopingspunten voor de volledigheid? Typologie is dienstverlening. Is sprake van verhuur specifieke ruimte? In de logistieke applicatie geen link met beschikbare containers. Is sprake van quasi goederen (de B/L s)? Worden soms wel en soms niet aangemaakt (kan overigens door iedereen). Geen afdoende maatregelen rondom aanmaak B/L s.

44 Bedrijfsproces (volledigheid) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Aansluiting met loslijsten lijkt het meest voor de hand liggen. In praktijk echter verschillen tussen loslijsten en losrapportages van de terminals. Hoe ga je hier mee om?

45 Bedrijfsproces (juistheid informatie B/L) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Wat zijn de aanknopingspunten voor de juistheid? Kenmerk: De cargadoor is niet verantwoordelijk voor de omschrijving op het B/L. Dat is de opdrachtgever. Basis moet dan zijn: Informatie komt van een Vertrouwde partij. Hoe richt je eigen organisatie in om dit vast te stellen en hoe leg je dat vast (en voorkom je ongeautoriseerde wijziging).

46 Bedrijfsproces (juistheid informatie B/L) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak In praktijk blijkt bij de cargadoor dat informatie niet altijd juist is: Oorzaken: handmatige processen; toevoegen codes (gevolg van wetgeving => in Nederland is code verplicht voor Veterinaire/Fyto sanitaire goederen. Cargadoor zoekt code in stamtabellen => deze tabellen zijn niet integer); technische omzettingsproblemen bij aanleveren informatie aan Douane => handmatige aanpassing.

47 Bedrijfsproces (juistheid onderscheid gecertificeerd/ niet gecertificeerd) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Dit onderscheid is bepalend voor selectie door de Douane. Welke waarborgen moeten worden getroffen zodat container terecht wordt aangemerkt als behandeld door gecertificeerde schakels. Welke waarborgen worden getroffen dat deze duiding niet ongeautoriseerd wordt gemuteerd. Hoe stel je vast dat deze waarborgen hebben gewerkt?

48 Bedrijfsproces (tijdigheid) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Wat zijn de aanknopingspunten voor de tijdigheid? Schepen varen vaak via vaste route. Indien hier van afgeweken wordt => verkeer. Dat moet personeel Nederland triggeren. Daarnaast ook de eerder genoemde handmatige handelingen. Veelal een probleem voor de tijdigheid.

49 Bedrijfsproces (vertrouwelijkheid) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Aandachtspunten voor de vertrouwelijkheid: Need to know en Need to use; Hoe is dat intern geregeld (zie eerdere risico s); Hoe is het informatiekanaal met de Douane geregeld? Informatie wordt afgeleverd op een portal. Ook dat traject moet worden afgeschermd.

50 Bedrijfsproces (controleerbaarheid) Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Aandachtspunten voor de controleerbaarheid: Hoe worden wijzigingen geadministreerd? In casu worden historische data in een logfile geschreven; Is dat afdoende waarborg voor controleerbaarheid?

51 Techniek van de automatisering Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Synthese Techniek van de automatisering Audit aspecten en aanpak Probleem is dat de Techniek van de automatisering geheel buiten Nederland om wordt geregeld. Informatie/hulp vanuit het buitenland is dus noodzakelijk. Hierbij is van belang dat het mandaat van de Douane-controleur ophoudt bij de landsgrens.

52 Audit aspecten en aanpak Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Aandachtspunten: Ethiek: In hoeverre is de IT-auditor objectief: Betreft ook eigen veiligheid; Landsbelangen spelen een belangrijke rol (wordt bevestigd vanuit de praktijk). Kwaliteit uitvoerende medewerkers: Heeft de Douane kwantitatief en kwalitatief genoeg personeel in dienst?

53 Audit aspecten en aanpak Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Aanpak: In analogie met compact model doet de Douanemedewerker proces niet helemaal zelf. Samenwerking met bedrijf staat voorop. Wie vertaalt eisen en criteria vanuit wet (en welke zijn dat dan) naar een normenkader? Kunnen we daarbij volstaan met Principes of moeten we Regelen?

54 Synthese Risico Actoren Strategie, Leiding, Cultuur Wijze van Bedrijfsvoering / Bedrijfsproces Techniek van de automatisering Synthese Audit aspecten en aanpak Problemen in de audit: Spreken van elkaars taal wereldwijd (wat zijn de eisen en criteria); Kwaliteit audit: Hoe kunnen we vanuit de Douane Nederland internationaal controleren => inschakelen van deskundigen is een oplossing; Specifieke risico s moeten worden onderkend en afgedekt.

55 In een plaatje

56 Oplossingen vanuit de scriptie Introduceren CobiT als internationale taal; Verkrijgen voldoende betrokkenheid management Douane voor inrichting IT-audit bij dit soort onderzoeken; In te schakelen deskundigen dienen te voldoen aan te stellen deskundigheidseisen; Indien onderneming de AO/IB nog niet afdoende op orde heeft moeten verbetertrajecten mogelijk zijn => volwassenheidsmodel (past binnen Compact-model).

57 Professionalisering IT-auditberoep Principle based; Het nalopen van checklisten werkt niet; Normen moeten gedragen worden door de werkvloer; Het accepteren van de verantwoordelijkheid; Samenwerking buiten de muren van de eigen organisatie lijkt onontkoombaar; Belastingdienst probeert daar invulling aan te geven middels horizontalisering van het toezicht.

58 Invulling in de praktijk

59 Vragen?