Van de redactie. Memories, just memories Column Thea Gerritse. Hoe gaat u dat nu doen, minister? Interview met Anne-Wil Duthler

Transcriptie

1 de EDP-Auditor Colofon De EDP-Auditor is een uitgave van de Nederlandse Orde van Register EDP-Auditors Redactieraad drs. M.A. Bongers RE RA drs. H.A. Kampert RE RA drs. E. Koning RE RA CISA prof. ir. E.F. Michiels prof. dr. ir. J.A.E.E. van Nunen J.C. Vos RA H. de Zwart RE RA Redactie M. M. Buijs RE RI drs. Th.M.J.Gerritse RE drs. W.T. Houwert RE prof. dr. G.J. van der Pijl RE drs. E.J.M Ridderbeekx RE CISA drs. R.J.Steger RE RA ir. C. L. Wauters EMEA drs. Th. Wijsman RE Eindredactie prof. dr. G.J. van der Pijl RE Bureauredactie D. Mensink (Lensink Van Berkel Communicatie) Uitgever Reed Business bv Postbus AD Amsterdam Tel.: Abonnementen De EDP-Auditor wordt kosteloos aan de leden van de NOREA verzonden. De abonnementsprijs voor niet-leden bedraagt voor ,75 excl. btw. (Studentenprijs 31,80) De verzendtoeslag voor België bedraagt 7,37 en voor de Nederlandse Antillen en overige landen 22,85. De prijs van losse nummers is 24,95 excl. btw. Per jaar verschijnen 4 nummers. Een abonnement kan worden beëindigd door schriftelijk vóór 1 november van een lopend jaar op te zeggen. Bij niet-tijdige opzegging wordt het abonnement met een jaar verlengd. Abonnementenadministratie en lezersservice Reed Business bv Postbus 4, 7000 BA Doetinchem Tel.: Fax: klantenservice@reedbusiness.nl Copyright Het geheel of gedeeltelijk overnemen van artikelen, schema s of tekeningen uit deze uitgave is slechts toegestaan na voorafgaande schriftelijke toestemming van de uitgever. ISSN Bijdragen De redactie nodigt lezers uit een bijdrage te leveren aan de EDP-Auditor. U kunt uw bijdrage sturen naar de bureauredactie. Advertenties Reed Business Media Amsterdam Postbus AD Amsterdam info@reedbusinessmedia.nl Geldend advertentietarief Vormgeving Studio Putto BNO, De Rijp Inhoud Van de redactie Memories, just memories Column Thea Gerritse Hoe gaat u dat nu doen, minister? Interview met Anne-Wil Duthler HR Shared Service Centres: aandachtspunten voor de IT-auditor Veronie Boonk Het belang van XBRL voor IT-auditors Jan Pasmooij Security-aspecten bij Voice over IP Will Franken Registration, Evaluation and Authorisation of Chemicals (REACH) Tobias Houwert en Willem-Jan van Sluisveld Sociaal leven op internet Xander Bordeaux Coaching ook voor IT-auditors Kees van der Maarel en Loubna Zarrou Een dag uit het leven van Nora Boukadid Managing IT outsourcing Boekbespreking door Jan Roodnat Uit de opleidingen Van de NOREA 2jaargang

2 Van de redactie Vernieuwing alom Terwijl er een eind lijkt te komen aan de eerste zomerse periode van dit jaar leggen we de laatste hand aan dit nummer van de EDP-Auditor, dat net voor de zomervakanties bij u in de bus valt. Wij bieden u in dit nummer een keur aan artikelen die allemaal ingaan op nieuwe ontwikkelingen op het gebied van ICT en regelgeving en op de impact die deze ontwikkelingen hebben op ons vakgebied. De openingscolumn van Thea Gerritse past daar prima bij. Zij staat naar aanleiding van haar eigen 20-jarig verblijf in het vakgebied en het 20-jarig bestaan van de EDP Audit Pool stil bij het tempo waarin ontwikkelingen in IT-auditing zich voltrekken. Vervolgens zien we in een interview hoe Anne-Wil Duthler zowel in haar dagelijkse advieswerk als in haar Eerste Kamer-lidmaatschap vanuit haar belangstelling voor recht en ICT een bijdrage levert aan ons maatschappelijk verkeer. Belangrijk aandachtspunt daarbij is de vraag hoe de overheid (technologische) vernieuwingen ook daadwerkelijk weet te implementeren. Vernieuwing doet zich onder andere voor op het gebied van de voortgaande opkomst van Shared Service Centres. Veronie Boonk laat zien waar de IT-Auditor op moet moet letten bij SSC s in de HR-omgeving. Jan Pasmooij gaat vervolgens in op de ontwikkelingen rond XBRL. Deze nieuwe mogelijkheid tot het standaardiseren en digitaliseren van bedrijfsgegevens lijkt niet alleen te leiden tot verdergaande automatisering van bestaande administratieve en rapportage processen, maar maakt ook veranderingen in deze processen zelf mogelijk. Daar waar technische mogelijkheden en maatschappelijke behoeften samengaan, gaan ontwikkelingen vaak plotseling snel. XBRL lijkt dan ook op het punt te staan daadwerkelijk door te breken. Voice over IP opent nieuwe en goedkope communicatiemogelijkheden. Maar hoe zit het met de beveiliging van deze communicatie? Will Franken laat zijn licht schijnen over deze vraag. Nieuwe regels betreffende de registratie, evaluatie en autorisatie van chemicaliën stellen eisen aan de informatiesystemen van vele organisaties. Tobias Houwert en Willem-Jan Sluisveld leiden ons in deze materie in. Snelle veranderingen stellen hoge eisen aan de vakmatige ontwikkeling van de IT-Auditor. De EDP Audit Pool probeert hieraan onder andere vorm te geven door het opzetten van een systeem van coaching. In de bijdrage van Kees van der Maarel en Loubna Zarrou lezen we hoe deze coaching is opgezet. Tenslotte treft u in dit nummer uiteraard ook weer de bekende vaste rubrieken aan. Nora Boukalid beschrijft een dag uit haar leven als junior IT-Auditor, Jan Roodnat bespreekt het boek Managing IT outsourcing en Xander Bordeaux kijkt in de rubriek Internet naar het sociale leven op Internet. Al met al ook in dit nummer van de EDP-Auditor weer voldoende leesstof. Wellicht een aanleiding om het een goed plaatsje in de reisbagage te geven. 4 de EDP-Auditor nummer

3 Column Memories, just memories Thea Gerritse In 2008 bestaat EDP Audit Pool (EAP), de organisatie waar ik werk, twintig jaar. Dat is voor ons reden voor een feestje, vanzelfsprekend. Mijn dienstverband met EAP bestaat ook twintig jaar, ik sta aan de vooravond van een sabbatical en vind dat een mooie gelegenheid om wat herinneringen op te halen. Op mijn eerste werkdag kreeg ik een plek toegewezen in een nieuw kantoorgebouw: een bureau met een ladenblok, een telefoon, een bureaustoel, een grote stalen kast, een prikbord, allemaal nieuw en leeg. In notime zou die kast zich vullen met ordners: dossiers van projecten waar ik mij mee bezig ging houden. Op het secretariaat stond een typemachine, rapporten werden nog grotendeels handgeschreven aangeleverd. De eerste personal computers werden na enkele weken afgeleverd. Voor elke werkruimte één - collega s maakten onderling afspraken over de tijden dat ze de computer nodig hadden. Ik maakte kennis met mijn nieuwe collega s een man of tien, de meeste accountant of studerend hiervoor. Met kennis van én interesse in de gevolgen van de automatisering voor de accountantscontrole. Want daar ging het over, in De objecten van onze audits waren enkele grote geautomatiseerde administratieve en financiële systemen. Normenkaders moesten nog per onderzoek ontwikkeld worden. De belangrijkste ondersteuning bestond uit NIVRA publicaties, met name de serie Auto matisering en controle. In de eerste jaren volgden de ontwikkelingen elkaar snel op. In 1988 ging aan de VU in Amsterdam de postdoctorale opleiding EDP-auditing van start, in 1989 gevolgd door de universiteiten van Rotterdam en Tilburg en in 1992 werd de Nederlandse Orde van Register EDP-Auditors (NOREA) opgericht. De EDP-auditor ontwikkelde zich van iemand die een uitspraak deed over de verwerking van gegevens in wat voor de accountant een black box was, tot iemand die ten behoeve van het management een uitspraak kon doen over de kwaliteit van informatiesystemen en informatie. Hierdoor ontstond de roep om de EDP-auditor om te dopen in IT-auditor en het vakgebied tot IT-auditing. Want het ging niet langer alleen om electronic data processing, maar om een breed scala van domeinen die een diversiteit van objecten van informatie- (en communicatie) technologie omvatten. Hoe mooi werd deze ontwikkeling geïllustreerd door de titels van de eerste uitgave bij het ontstaan van NOREA in 1992 en NOREA geschrift nr. 1 uit 1998: respectievelijk EDP-auditing georganiseerd over het belang van een beroepsvereniging en IT-auditing aangeduid om duidelijkheid te geven over de inhoud van EDP-auditing. De snelheid van de technologische ontwikkelingen had invloed op de groei van het aantal audit-objecten en de behoefte aan technisch geschoolde medewerkers ontstond. De eerste technisch specialisten kwamen werken bij EAP. In 1995 kregen wij een demonstratie van het Internet en tijdens een kantooroverleg werd gediscussieerd over de vraag of alle medewerkers een eigen adres zouden moeten hebben. Uit een adreslijst uit die tijd ook een vorm van extern geheugen blijkt dat we inmiddels gegroeid waren tot zo n dertig medewerkers. Om beter bereikbaar te zijn kregen we een pieper die enkele jaren later vervangen werd door een mobiele telefoon. Inmiddels stond er natuurlijk op iedere werkplek een vaste pc en er werden enkele (loodzware) portables aangeschaft die we konden reserveren als we op locatie bij de klant of s avonds thuis nog moesten werken. Iedereen weet dat de veranderingen hier niet mee ophielden, want ontwikkelingen gaan nu eenmaal snel verder. Organisaties en de mensen die er werken groeien met de veranderingen mee dankzij hun natuurlijk lerend- en aanpassingsvermogen. Daarom vinden we het nu doodgewoon dat we geen vaste werkplek meer hebben, maar gebruik kunnen maken van een flexplek een tafel, bureaustoel en een netwerkaansluiting volstaan. Ladenblok en stalen kasten zijn verdwenen want e-dossiers zijn opgeslagen op de draagbare pc. Bereikbaar zijn we op onze blackberry waar we ook de mail op ontvangen. We zijn het zelfs normaal gaan vinden om per dag tientallen s te krijgen. Tsja, herinneringen over veranderingen. Toch ben ik ervan overtuigd dat één ding niet zal veranderen. Iemand die dit over twintig jaar leest zal zonder twijfel ook een gevoel van nostalgie ervaren over wat nú de state of the art is. Want alles gaat door, zeker in de IT. Een uitdagend vakgebied dat alleen nog maar leuker kan worden! 5 de EDP-Auditor nummer

4 Interview Hoe gaat u dat nu doen, minister? Senator Anne-Wil Duthler over de politieke aandacht voor ICT Ed Ridderbeekx en Thea Gerritse In IT-auditland is Anne-Wil Duthler geen onbekende. Ze heeft met talloze publicaties en presentaties in belangrijke mate bijgedragen aan het vakgebied, met name op het raakvlak van ICT en recht. Ze is directeur van het adviesbureau Duthler Associates dat zij eind 1998 oprichtte. Het bureau richt zich op advisering op het gebied van bestuur, recht en ICT, en is onder andere betrokken bij een nieuwe uitgave van de publicatie IT Audit en Recht. Daarnaast is Anne-Wil, namens de VVD, sinds medio 2007 lid van de Eerste Kamer der Staten-Generaal. Een combinatie tussen bedrijfsleven en politiek die nieuwsgierig maakt, dus ging de redactie op bezoek in Den Haag. Je bent een ondernemer met je eigen adviespraktijk; was de entree in de politiek wakker worden in een andere wereld? Dat klinkt wat zwaar, maar een andere wereld is het zeker. En een fascinerende wereld. De vergaderdag van de Eerste Kamer is dinsdag, en iedere week vind ik het weer leuk om te gaan, en iedere dinsdagavond denk ik: goh, wat een interessante dag was het weer. Het is heel bijzonder om die andere wereld van binnenuit te leren kennen en je rol daarin te spelen. En natuurlijk verschilt die rol van die van ondernemer. Het stereotype beeld van trage besluitvormingsprocessen, en het zoeken naar compromissen? Dat is herkenbaar, maar let op, zo heel veel verschilt dat ook weer niet van een adviespraktijk, daar ga je ook niet altijd recht op je doel af. In projecten waarin je als adviseur meedraait ben je eigenlijk ook heel politiek bezig. Je probeert mensen te winnen voor je ideeën, en dat op een handige manier, dus daar zitten best overeenkomsten. Natuurlijk zijn er verschillen, overleg is in de politiek heel belangrijk en overleg kost tijd, af en toe zou je liever zelf meteen de knopen doorhakken. Maar het is onderdeel van het spel en zeker voor een jurist is het heel leuk om de gelegenheid te hebben om aan het spel mee te doen. Omdat het om wetgeving gaat? Ja, ik heb ook heel bewust voor de Eerste Kamer gekozen omdat ik het vermoeden had dat daar wat meer op de inhoud wordt ingegaan dan in de Tweede Kamer. Je ziet ook dat er veel minder spanning is tussen de fracties dan in de Tweede Kamer, ik heb heel leuke contacten met collega s van andere fracties. Je hoeft ook niet voor het oog van de camera te benadrukken dat er allemaal zoveel verschillen tussen de partijen zijn, en er staan wat minder publicitaire schijnwerpers op het Eerste Kamerwerk. Daarnaast zijn Eerste Kamerleden ook heel boeiende mensen die allemaal hun eigen deskundigheid meenemen. Voor hun carrière zijn ze niet puur afhankelijk van de politiek, ze doen het er als het ware gewoon bij. Maar ook al is de focus sterk op de inhoudelijke problematiek die we behandelen, het is toch de politieke factor die het werk zijn extra charme geeft. Ik zou echter niet zonder het advieswerk kunnen, ik vind dat dat me echt de voeding geeft om mijn politieke werk te 6 de EDP-Auditor nummer

5 doen. Bij elkaar besteed ik minimaal twee dagen per week aan de Eerste Kamer. Maar mijn gewone dagelijkse werk geeft me inspiratie om het werk in de Eerste Kamer te doen. Als dat zou wegvallen, dan zou ik een belangrijke bron missen. Je weet nu wat er speelt en waar bedrijven tegenaan lopen, wat hen belemmert en waar ze mee vooruit kunnen, dat geeft inspiratie en energie, en het zorgt er ook voor dat je weet waarop je moet letten als je een wetsvoorstel voorbij ziet komen. Wat er voorbij komt aan stukken moet gigantisch zijn. Dat klopt. Kijk, als jurist ben je altijd met de wet bezig, maar als lid van de Eerste Kamer ben je medewetgever en maak je dus echt onderdeel uit van het wetgevingsproces. Het is heel boeiend om te zien hoe wetten tot stand komen en wat voor processen daarbij spelen. Ik krijg nu elke week een heel grote stapel kamerstukken: nieuwe wetgeving, handelingen, verslagen, memories van antwoord, alles wat verschijnt zie ik dus ook echt. Natuurlijk moet je daar belangrijke zaken uitfilteren, maar al met al krijg je een heel goed beeld van wat er zoal speelt en welke thema s eraan zitten te komen. Met zo n hoeveelheid informatie leer je trouwens ook om steeds sneller te lezen. En wat het gemakkelijker maakt is dat je als jurist gewoon van wetten houdt. Dat klinkt misschien raar, maar soms denk je kom maar op met die stapel, dan ben ik gewoon nieuwsgierig naar wat erin staat. Ik wil weten waar het over gaat. En de klanten van je adviespraktijk willen natuurlijk ook weten wat er qua wetgeving speelt. Ik hou heel scherp in de gaten dat er geen schijn van belangenverstrengeling ontstaat. Ik ga niet over de dossiers die te maken hebben met elektronische communicatie of de bedrijfsvoering raakt van mijn klanten - dat doe ik niet. Natuurlijk komen er onderwerpen voorbij waarmee ik in de adviespraktijk te maken heb, denk aan zaken als de bewaartermijnen van internetverkeergegevens en nieuwe beveiligingsverplichtingen. Maar ik richt me ook sterk op onderwerpen die in een bredere maatschappelijke context relevant zijn, zoals het onderwerp gegevensbescherming. Daarover organiseren we bijvoorbeeld een expertmeeting, omdat we als verschillende fracties in de Eerste Kamer vinden dat zo n belangrijk onderwerp meer aandacht verdient. Het doel van een expertmeeting is om kamerleden handvatten te geven om wetsvoorstellen waarin gegevensbescherming een rol speelt, beter te kunnen beoordelen. In zo n meeting worden geen standpunten ingenomen en is er geen politiek debat, het is echt informerend van aard. En dat is een goede ontwikkeling. Er wordt wel eens geklaagd over de plaats waarop ICTgerelateerde vraagstukken op de agenda staan, en ook over de beperkte kennis die de politiek over ICT heeft. Ben je in de positie om dat op een hoger peil te brengen? Ik weet niet of ik het op een hoger peil kan brengen, dat zou wel heel erg ambitieus zijn. Maar één van mijn speerpunten is wel dat ik, behalve dat ik altijd heel goed naar het rechtstatelijk gehalte van wetsvoorstellen kijk, ook heel veel aandacht heb voor de uitvoerbaarheid van wetten. En als je het hebt over uitvoerbaarheid, dan komen daar heel vaak ICT aspecten om de hoek kijken. Beste minister, dit is een heel mooi wetsvoorstel, maar hoe gaat u dit nu in de praktijk uitvoeren? Zo n vraag is bijna bij elk wetvoorstel op zijn plaats, en door die vragen te stellen hoop ik de uitvoeringsproblematiek, waarin ICT een heel belangrijke rol speelt, beter voor het voetlicht te brengen. Kun je voorbeelden noemen? We hebben nu het wetsvoorstel Samenhangende besluiten Awb voorliggen. Dat heeft als doel om het ondernemers gemakkelijker te maken om met regelgeving om te gaan. Als je bijvoorbeeld een horecaonderneming wilt starten, heb je met allerlei wet- en regelgeving te maken, die gaat over het verkrijgen van vergunningen, ontheffingen, subsidies, noem 7 de EDP-Auditor nummer

6 maar op. De bedoeling van de wet is ervoor te zorgen dat die ondernemer voor al die aspecten naar één loket kan. Wij stellen als fractie heel nadrukkelijk de vraag aan de minister hoe hij dat denkt te realiseren. Want als je al die zaken op elkaar wilt afstemmen, betekent het dat je informatie moet delen. En dat je een elektronisch loket zou moeten maken, dat je gezamenlijk ontwikkelt. Dat is nog niet zo een voudig. Een ander voorbeeld, niet zozeer over een concrete wet, maar over beleid, is de jeugdzorg, en dat is zeker in dit kabinet een belangrijk dossier. Ik heb 29 januari het jeugddebat gedaan met minister Rouvoet. Ik heb hem gevraagd naar de wachtlijsten in de Jeugdzorg die nemen alleen maar toe; hoe ga je de bureaucratie te lijf, maar ook als je gaat samenwerken hoe ga je dan je informatievoorziening op orde krijgen? Ook hebben we gesproken over het Elektronisch Kind Dossier. De toegang tot de gegevens in dat dossier is een heel belangrijk punt, een ander essentieel issue is de aard van de gegevens die in het dossier zijn opgenomen. Wat als die gegevens niet juist zijn? Wat zijn de consequenties daarvan voor de jeugdigen? Ik heb de minster gevraagd: Over een paar weken zet ik hopelijk een gezond kind op de wereld, waarom zet u daar eigenlijk niet meteen een chip in? 1 Dan hebt u helemaal geen kind meer buiten beeld. Ik bedoelde dit natuurlijk ironisch, maar het is echt de bedoeling dat het EKD bij de geboorte wordt aangelegd, en dat het blijft bestaan tot je 23e levensjaar. Persoonlijk vind ik dat heel ver gaan, temeer omdat de gegevens die in het EKD worden opgenomen niet alleen objectief medisch van aard zijn. Het gaat ook over de thuissituatie, de manier van opvoeden, er zitten veel impliciete normen en waarden in verscholen. Is er nu sprake van een kennislacune ten aanzien van ICT, of wil de politiek gewoon laten zien dat ze niet stilzit? Het gevolg is dan wellicht dat er wetten worden ingevoerd zonder dat er voldoende over de praktische consequenties is nagedacht? Dat laatste is bij sommige thema s wel herkenbaar, omdat daar enorm veel druk is om snel te handelen; denk aan veiligheidsbeleid en terrorismebestrijding. Maar ik bespeur ook heel veel onbekendheid bij bewindslieden over ICT-aspecten, en het belang daarvan. Als je de minister gerichte vragen daarover stelt, dan zie je hem als het ware vragend omhoog kijken naar de tribune, waar de ambtenaren zitten. Vervolgens hoor je dat het antwoord op je vraag door de buizenpost naar beneden daalt, en even later leest de minister dat voor. Het thema leeft niet echt. Over het algemeen denk ik dat voor heel veel ICT-voorzieningen aanpassing in wetgeving niet nodig is. Maar het Burger Service Nummer is toch wel een mooi voorbeeld, waarbij allerlei praktische voorbereidingen al volop getroffen waren, zoals implementatieteams bij de gemeenten, terwijl de wetgeving nog niet rond was om tot brede en grootschalige uitrol over te gaan. Toen wij op 10 juli in de Eerste Kamer het wetsvoorstel BSN bespraken, en het even dreigde te worden uitgesteld, zag je de ambtenaren dan ook wel wat zenuwachtig op de tribune zitten. Maar het is eenvoudig: het democratisch wetgevingsproces moet nu eenmaal zorgvuldig worden doorlopen en de Eerste Kamer heeft daarin een heel belangrijke rol en die willen we ook nadrukkelijk spelen, politieke haast of niet. Soms zie je dat ICT niet zozeer de bottleneck is, maar de regelgeving en de procedures daaromheen. Een voorbeeld daarvan is het Verdag van Prüm, dat gaat over verdergaande Europese samenwerking op het gebied van terrorisme en criminaliteitsbestrijding. Eén van de afspraken die daarin worden gemaakt is dat DNA-gegevens tussen landen en instanties kunnen worden uitgewisseld. Zo n traject begint met het grensoverschrijdend uitwisselen van metagegevens, waaruit dan potentieel een hit komt. In dat verdrag is tot in de puntjes geregeld aan welke eisen de betrokken informatiesystemen moeten voldoen: welke NEN-normen toegepast moeten zijn, dat er periodiek audits op uitgevoerd moeten worden, beveiligingsmaatregelen, noem maar op. Maar als er een grensoverschrijdend verzoek komt om daadwerkelijk DNA-gegevens uit te wisselen, dan komen we ondanks die geavanceerde ICT terecht in een tijdrovende procedurele wereld van schriftelijke rechtshulpverzoeken, terwijl snelheid bij criminaliteitsbestrijding cruciaal is. Hoe sta je ten aanzien van dat spanningsveld tussen veiligheid enerzijds en privacy anderzijds? Ik vind de balans tussen enerzijds privacybescherming, de vrijheid van gegevensuitwisseling en de vrijheid van meningsuiting en aan de andere kant veiligheid en stabiliteit, cruciaal. Maar het is niet altijd eenvoudig daarin de nuance over te brengen. Het is simpel om te zeggen dat veiligheid belangrijk is. En ook zal iedereen begrijpen dat privacybescherming een groot goed is. Maar een genuanceerde discussie over het vinden van de balans daartussen hoor ik te weinig. Ik ben liberaal, en liberalen zien niet zo ontzettend veel kerntaken weggelegd voor de overheid, maar het garanderen van veiligheid voor de burgers behoort daar zeker wel toe. Zonder veiligheid kan vrijheid niet bestaan. Er komt nu een wetsvoorstel aan over de uitbreiding van de bevoegdheden van de militaire inlichtingen- en veiligheidsdiensten. Het is wat mij betreft erg belangrijk dat ook daarin voldoende wordt benadrukt dat het niet óf veiligheid is óf privacy, maar dat er gewoon heel zorgvuldig wordt omgegaan met persoonsgegevens, en dat er ook voldoende waarborgen in de wet worden ingebouwd die de beoogde zorgvuldigheid in de praktijk afdwingen. Iets anders. Een tijd geleden stelde een artikel in de Automatiseringsgids dat rechters vaak niet deskundig zijn op het gebied van bepaalde specialisaties zoals ICT. Het was een pleidooi voor een register van specialisten 2 die ook een bepaalde juridische kennis hebben, en daarmee in ieder geval voldoende onderlegd zijn om ook in een gerechtelijke context op te kunnen treden als deskundige. Een kans voor IT-auditors? 8 de EDP-Auditor nummer

7 Ja, ik kan me heel goed voorstellen dat IT-auditors in die doelgroep zitten. Persoonlijk denk ik dat het goed is dat zo n register van deskundigen er is. Rechters hebben doorgaans inderdaad weinig specifieke deskundigheid op het gebied van ICT, en in veel gevallen overzien ze de consequenties niet van bepaalde ICT-aspecten. Dan is het goed als zij kunnen steunen op deskundigen die aan bepaalde eisen voldoen. Noten 1 Op het moment dat wij Anne-Wil interviewden was zij zwanger, en inmiddels is zij bevallen van een gezonde zoon. 2 De stichting Landelijk Register van Gerechtelijk Deskundigen, afgekort LRGD ( is eind 2006 in het leven geroepen door gerechtelijke deskundigen, die een speciale juridische, postdoctorale opleiding gevolgd hebben ( De opleiding richt zich op wetskennis en in het bijzonder het procesrecht. Daarnaast wordt er aandacht geschonken aan de noodzakelijke vaardigheden (schrijven en verdedigen van het deskundigenbericht) en wordt er geoefend (in een Moot Court). De vierde jaargang van deze opleiding telt momenteel 28 cursisten, waaronder weer enkele ICT ers. Het gevolgd hebben van een adequate opleiding is cruciaal om toegelaten te worden tot het register. De onafhankelijke commissie van toelating, onder voorzitterschap van een rechter, toetst echter ook de vakdeskundigheid van de deskundigen. Daarbij wordt zoveel mogelijk aansluiting gezocht bij bestaande beroepsverenigingen, zoals NIVRA/ NOREA, VRI of NVBI, die de vakkennis van de aangesloten leden toetsen alvorens ze toe te laten en hen te verplichten tot permanente educatie. Ten slotte wordt verlangd dat de deskundige een verklaring omtrent gedrag (het vroegere bewijs van goed gedrag ) inlevert en dat hij de gedragscode onderschrijft. Die verplicht hem onder meer om opdrachten te weigeren waarvoor hij onvoldoende kennis en ervaring heeft. In het LRGD zijn inmiddels een kleine honderd deskundigen ingeschreven op allerlei vakgebieden, zoals accountants, medici, milieudeskundigen, toxicologen en business valuators. Er is ook een aantal ICT-deskundigen in het LRGD opgenomen. Vodafone is een van de grootste mobiele telecommunicatiebedrijven in Nederland en maakt deel uit van het wereldwijde Vodafone Group, het grootste telecommunicatiebedrijf voor mobiele telefonie ter wereld met ruim 240 miljoen klanten in vijf continenten. Vodafone Group heeft deelnemingen in het aandelenkapitaal van mobiele operators in 25 landen. Daarnaast heeft zij een samenwerkingsverband met netwerken in 39 landen. Voor ons kantoor in Maastricht zijn wij op zoek naar een Revenue Assurance Auditor (IT/EDP Auditor) Functie: De doelstelling van deze functie is het waarborgen van de omzetstromen voor Vodafone. Je werkveld is een wereld van hoge volumes, miljardenomzetten en zeer diverse producten en diensten met een hoge omloopsnelheid. Je maakt deel uit van een klein team met vak-specialisten, die als adviseur actief zijn op basis van expertise maar ook een belangrijke rol spelen in de uiteindelijke besluitvorming. Het is een succesvol team hetgeen betekent dat de verwachtingen ook hoog zijn die aan het team gesteld worden. Je bent niet alleen actief als Adviseur op basis van je expertise, maar beslist ook daadwerkelijk zelf mee. Je vertaalt daartoe procesflow naar risico s en pinpoint deze; Je verricht herstelwerkzaamheden bij incidenten en escaleert naar de juiste instantie; Je overlegt met Marketing in het kader van new product development; Je draagt zorg voor risicoinschatting; Je bent betrokken bij multidisciplinaire projecten en bent Sox process-owner. Jouw profiel: Je hebt een succesvol afgeronde opleiding aan een (technische) universiteit doorlopen; Je hebt je eerste jaren werkervaring achter de rug Je hebt ervaring met mass billing processen bij bijvoorbeeld banken/verzekeraars, een Big 4 kantoor of een andere Telco of kabelbedrijf/provider. Je hebt bij voorkeur een afgeronde post-doc opleiding tot IT auditor. Gezien de diversiteit aan gesprekspartners waarmee je te maken krijgt, ben je communicatief vaardig, bedreven in en bereid om ook zelf query s te schrijven om de juiste data te verkrijgen. Programma s als SQL, Business Objects, ACL en TOAD klinken je dan ook bekend in de oren. Je beheerst de engelse taal goed in woord en geschrift. Als persoon ben je te typeren als zelfstandig, vasthoudend en gedreven. Sollicitatie: Voor meer informatie neem contact op met Dave Ubachs, Resourcing Consultant op of kijk op (referentie 1562). Supported by: 9 de EDP-Auditor nummer

8 Artikel HR Shared Service Centres: aandachtspunten voor de IT-auditor Veronie Boonk Als organisaties besluiten een HR Shared Service Centres in te richten, heeft niet alleen consequenties voor de HR-organisatie en -processen, maar ook een grote impact op de IT-toepassingen die door HR worden gebruikt. Naast het traditionele HR/Payroll informatiesysteem, komen principes als medewerker- en Manager Self Service (Employee Self Service of ESS en MSS), digitale personeelsdossiers en case management tools om de hoek kijken. V.M. (Veronie) Boonk RE is sinds 2004 werkzaam bij NorthgateArinso. Tot voor kort werkte zij als Business Consultant, waarbij zij bedrijven adviseerde over het efficiënt en effectief inrichten van de HR-organisatie, processen en ondersteunende technologie. Momenteel is Veronie als Practice Manager verantwoordelijk voor een team dat zich bezighoudt met procesontwerp, training en change management. Voor haar komst naar NorthgateArinso heeft Veronie zes jaar als IT-auditor gewerkt bij Ernst & Young EDP Audit. Als een IT-auditor bij de uitvoering van zijn werkzaamheden te maken krijgt met een HR SSC, kan dit consequenties hebben voor de reikwijdte van de werkzaamheden en zijn er enkele specifieke inhoudelijke aspecten waar rekening mee gehouden moet worden. Wat is een Shared Service Centre? SSC s hebben in korte tijd grote bekendheid gekregen. Vooral de laatste jaren zijn SSC s in Nederland als middel om kosten te reduceren sterk in opkomst. Maar wat is nu precies een SSC? In de literatuur zijn diverse definities te vinden, bijvoorbeeld: Een SSC is een gespecialiseerd dienstencentrum dat zich toelegt op het verwerken van dagelijkse transacties voor meerdere bedrijfseenheden. Hierbij worden gelijksoortige activiteiten, die verspreid zijn over de divisies, gebundeld in een nieuwe eenheid. [DELM05] Een SSC is een resultaat-verantwoordelijke eenheid (RVE) in de interne organisatie van een onderneming, overheidsinstelling of non-profit instelling, die tot taak heeft het leveren van diensten op een specifieke specialisatie (zoals administratie, personeelszaken, informatietechnologie, inkoop e.d.), aan de operationele eenheden van die onderneming (zoals business units, divisies of werkmaatschappijen), op basis van een overeenkomst tegen een vaste verrekenprijs. [STRI04] Deze definities nader beschouwend, zijn er een aantal elementen te benoemen die een SSC kenmerken. Zo levert een SSC diensten op een specifieke specialisatie. SSC s kunnen bijvoorbeeld diensten leveren met betrekking tot financiën, IT en logistiek. De activiteiten die door een SSC kunnen worden uitgevoerd zijn, met name daar waar het gaat om administratieve dienstverlening, ongelimiteerd. Een SSC vormt over het algemeen een afdeling binnen de eigen organisatie en verwerkt transacties voor meerdere bedrijfseenheden of zelfs voor meerdere bedrijven en is een resultaat-verantwoordelijke eenheid. Activiteiten die door een SSC worden verricht worden doorbelast aan de onderdelen binnen de organisatie die gebruik maken van de diensten van het SSC. Afspraken hierover worden vastgelegd in de vorm van een Service Level Agreement (SLA). Tot slot ontstaat met de introductie van een SSC een (interne) klant- 10 de EDP-Auditor nummer

9 Tabel 1: Redenen om een HR SSC in te richten Drijfveren Belangrijke tot zeer belangrijke rol Onbelangrijke tot zeer onbelangrijke rol Neutraal Realiseren van schaalvoordelen 86% 9% 5% Verbeteren van kwaliteit 77% 9% 14% Verbeteren van HR-efficiency 77% 18% 5% Reduceren van kosten 73% 14% 13% Standaardiseren HR-dienstverlening naar klanten 73% 9% 18% Concentreren op kerncompetenties 62% 19% 19% Verbeteren inzet technologie 62% 24% 14% Verbeteren HR-advisering aan de lijn 62% 14% 24% Creëren van flexibiliteit 43% 19% 38% Succesverhalen andere organisaties 37% 36% 27% Reduceren van HR-personeel 36% 23% 41% leverancierrelatie; het SCC is de leverancier en de afnemende partijen zijn de afnemers. Wat zijn nu redenen voor een organisatie om een HR SSC in te richten? Onderzoek dat NorthgateArinso in 2007 heeft uit gevoerd, wijst uit dat het realiseren van schaalvoordelen, verbeteren van efficiency en het reduceren van kosten de belangrijkste drijfveren zijn [ARIN07]. Organisatie van HR Voordat daadwerkelijk wordt ingegaan op de organisatie van een HR SSC, is het belangrijk eerst de HR-organisatie als geheel te schetsen. Hiermee wordt een normatief kader geschetst voor een logische opzet van het HR SSC en wordt duidelijk wat de verantwoordelijkheid is van ieder afzonderlijk onderdeel. HR kan worden georganiseerd volgens drie lines of business, te weten: HR Centre of Expertise; HR Business Partner; HR Shared Service Centre. HR Centre of Expertise Het HR Centre of Expertise biedt specialistische kennis op diverse deelgebieden van HR, zoals beoordelingsmanagement, personeelsplanning of organisatieontwikkeling. Daarnaast is kennis op het gebied van wet- en regelgeving geclusterd in dit organisatieonderdeel. Het HR Centre of Expertise is verantwoordelijk voor het bepalen van HR-beleid op basis van de organisatiestrategie. Hierin is er een sterke verbinding met de HR Business Partner, welke de lokale uitdagingen van een organisatieonderdeel kent. Tot slot houdt het HR Centre of Expertise zich bezig met het continue evalueren en verbeteren van het HR-beleid en de HR-processen. Dit betekent dat alle HR-proceseigenaren bijeen zijn gebracht in het Centre of Expertise. De HR Business Partner Een HR Business Partner waarborgt dat de strategische richting van HR wordt gevolgd ten behoeve van de organisatie. Zij dient zorg te dragen dat het beleid en hoogwaardige HR-processen worden geïmplementeerd. De HR Business Partner is in feite het gezicht van HR in de lijn; zij voorzien het management van adviezen met betrekking tot personele en organisatorische kwesties. HR Shared Service Centre Het HR Shared Service Centre is verantwoordelijk voor transactionele en gestandaardiseerde activiteiten en het leveren van HR-gerelateerde informatie. Klanten komen met deze activiteiten in contact met HR via het HR Shared Service Centre. Naast de administratieve verwerking en vraagafhandeling, is dit organisatieonderdeel verantwoordelijk voor het leveren van de noodzakelijke infrastructuur en technologie. In de matrix zijn de taken, verantwoordelijkheden en bevoegdheden, die de verschillende rollen hebben, op hoofdlijnen weergegeven. Een HR SSC HR SSC s zijn volledig gefocust op het efficiënt afhandelen van allerhande vragen en verzoeken van klanten van HR. Een HR SSC kan uit een viertal niveaus bestaan, waarbij ieder niveau verschillende taken, verantwoordelijkheden en bevoegdheden heeft. 11 de EDP-Auditor nummer

10 Tabel 2: Verdeling van taken, verantwoordelijkheden en bevoegdheden HR Business Partner Center of Expertise HR SSC Generalisten die de strategische relatie tussen HR en (lijn)managers onderhouden. Tezamen met het Center of Expertise geïntegreerde, strategische en klantgerichte programma s aanbieden (bijvoorbeeld management development programma s). Tezamen met het Center of Expertise definieren van projecten en deze uitvoeren in samenwerking met het Center of Expertise en het HR SSC. Managen van en tegemoet komen aan de klantverwachtingen. De organisatie ondersteunen bij de ontwikkeling van medewerkers, leidend tot strategisch voordeel. Het ondersteunen van de organisatie bij het opnemen van de HR-component in organisatiebrede strategische planning en ontwikkeling. Optreden als schakel tusssen de lijn en het HR SSC teneinde problemen van managers en medewerkers op te lossen.- Specialisten die verantwoordelijk zijn voor het ontwikkelen van HR strategie en beleid eventueel in samenspraak met de HR Business Partner en het HR SSC. Ontwerpen van best practice processen die voldoen aan de eisen en wensen van de organisatie. Zeker stellen dat HR-oplossingen de huidige best practices weerspiegelen en strategisch voordeel opleveren. Expertise bieden op onderwerpen als arbeidsvoorwaarden, beloning, medezeggenschap en organisatieontwikkeling. De HR-kolom in staat stellen om relevante, innovatieve producten en diensten aan te bieden door op te treden als adviseur en coach. Maatwerkoplossing aan de organisatie leveren om specifieke (eenmalige) trajecten te ondersteunen. 1-Loketfunctie voor het afhandelen van de HR-dienstverlening en geven van advies op gespecificeerde deelgebieden. Administratieve functie verantwoordelijke voor het afhandelen van alle HR transacties, vragen en verzoeken. Vragen die niet door het HR SSC kunnen worden afgehandeld, worden doorgezet naar het Center of Expertise. Zorgdragen voor een betrouwbare gegevensverwerking en leveren van rapportages. Diensten verlenen volgens afgesproken service levels. Onderhouden van relevante informatie voor klanten, zoals FAQ s en intranet. Mogelijke verbeterpunten in de dienstverlening identificeren en tezamen met het Center of Expertise geschikte oplossingen implementeren. Een manager, medewerker of HR Business Partner zal een vraag of verzoek die hij/zij heeft in eerste instantie zelf proberen te beantwoorden of af te handelen. Dit kan via diverse self-service principes (niveau 0). Als de vraag niet op deze wijze kan worden beantwoord, zal de betreffende klant contact opnemen met een servicemedewerker van het Contact Centre (niveau 1). In het geval het verzoek ook niet kan worden afgehandeld door de servicemedewerker, worden vragen en verzoeken automatisch doorgezet naar case-medewerkers en/of subject matter experts (niveau 2) of het Centre of Expertise (niveau 3). Niveau 0 selfservice Met behulp van diverse vormen van selfservice-technologie kunnen managers, medewerkers en HR Business Partners vragen die zij hebben voor HR zelf beantwoorden of mutaties die voorheen door HR werden verricht zelf invoeren. De verschillende technologische aspecten komen aan bod in de paragraaf technologie. Niveau 1 servicemedewerkers Servicemedewerkers vormen als het ware de helpdesk van het Contact Centre. Op het moment dat een medewerker, manager of HR Business Partner niet via selfservice kan worden geholpen, kunnen zij contact opnemen met de servicemedewerkers via intranet/internet, post, en telefoon. Daarnaast hebben veel organisaties een balie ingericht, waar klanten face-to-face contact kunnen hebben met servicemedewerkers. Servicemedewerkers houden zich over het algemeen bezig met vraagafhandeling en het terugkoppelen van de status van service-aanvragen en van verwerking van mutaties aan de klant. Vanuit deze rol beheren zij ook de informatie voor klanten, zoals de FAQ s en de arbeidsvoorwaarden op intranet. Daarnaast zijn zij verantwoordelijk voor het categoriseren en prioriteren van alle service-aanvragen en zetten zij deze eventueel door naar volgende niveaus (van eenvoudige vragen tot complexe mutaties en eventuele issues). Servicemedewerkers hebben beperkte toegang tot de HR-gege- 12 de EDP-Auditor nummer

11 QuickTime en een -decompressor HR Shared Service Center Niveau 0 Niveau 1 Niveau 2 HR Center of Expertise Niveau 3 Self service Contact Center Expertise Center E-HR Intranet / internet IVR forms Service Medewerkers Case Medewerkers Beleidsmedewerkers Proces eigenaren Medewerkers Lijnmanagers Business Partners 100% 66% 28% 5% 1% Vragen en verzoeken Figuur 1: de HR-dienstverleningstrechter vens. Zo hebben zij over het algemeen de mogelijkheid om eenvoudige mutaties te verrichten. Daarbij hebben zij leesrechten op alle personeels- en salarisgegevens van medewerkers. Niveau 2 case-medewerkers Op niveau 2 bevinden zich de case-medewerkers en subject matter experts die specifieke kennis hebben van arbeidsvoorwaardelijke regelingen en HR-processen als tijdregistratie en -verwerking, primaire en secundaire arbeidsvoorwaarden en salarisverwerking. Vragen en opdrachten tot het uitvoeren van complexe mutaties worden door de servicemedewerkers doorgezet naar de case-medewerkers, die de werkzaam heden één voor één en, met het oog op de afgesproken SLA s, bij voorkeur op volgorde van binnenkomst afwerken. Case-medewerkers hebben mutatierechten op allerhande personeelsen salarisgegevens. Niveau 3 beleidsmedewerkers en proceseigenaren Beleidsmedewerkers en proceseigenaren die in het HR Centre of Expertise zijn ondergebracht en dus geen onderdeel uitmaken van het HR SSC, vormen niveau 3 van de HR-dienstverlening. Alleen als de niveaus 0 tot en met 2 vraag stukken niet kunnen afhandelen, zullen deze worden doorgezet naar de beleidsmedewerkers en proceseigenaren. De werkzaamheden die door dit niveau worden uitgevoerd, zijn benoemd in de paragraaf HR Centre of Expertise. Aandachtspunten gerelateerd aan functiescheiding Daar waar in een traditionele HR-organisatie de personeelsadviseur zich onder meer bezighield met het doorgeven van mutaties aan HR zal, vanuit het principe dat de HR Business Partner strategisch partner wordt voor de organisatie, deze verantwoordelijkheid worden belegd bij de manager. Dit heeft consequenties voor de manier waarop de functiescheiding is opgezet. Zo krijgt de manager nu zowel de beschikkende als de uitvoerende functie toegewezen. Managers die op deze manier verantwoordelijk worden voor het rechtstreeks muteren van financiële gegevens, dienen ook verantwoordelijk te worden gemaakt voor de kostenplaats ten laste waarvan deze kosten zullen komen. Voor zover dat nog niet het geval is, zal de manager budgethouder gemaakt moeten worden. Om te beoordelen of deze manager niet ten onrechte gebruik maakt van zijn extra bevoegdheden, dient bewaakt te worden of de kosten zijn budget niet te boven gaan. Daarnaast kan gedacht worden aan extra maatregelen of het verscherpen van maatregelen om excepties te kunnen monitoren. Hierbij dient gedacht te worden aan uitzonderingsrapportages van salarisverhogingen boven een bepaald percentage en het hanteren van een normaalverdeling op afdelingsniveau ten aanzien van deze salarisverhogingen. Een ander aspect is de functiescheiding tussen personeels- en salarisadministratie; deze wordt in een HR SSC over het algemeen doorbroken. Het opheffen van de functiescheiding betekent ook hier dat aanvullende maatregelen van interne controle uitgevoerd moeten worden. Hierbij kan worden gedacht aan het controleren van de indiensttredingen en uitdiensttredingen door de manager van het HR SSC en het controleren van alle mutaties die zijn ingevoerd door medewerkers van het HR SSC op hun eigen personeels- en salarisgegevens. 13 de EDP-Auditor nummer

12 Strategisch Arbeidsverhoudingen Personeelsplanning Strategie - en Organisatieontwikkeling Klantprocessen Waardetoevoegend Beloning en Arbeidsvoorwaarden Functioneren en Beoordelen Herplaatsing en Ontslag Opvolgingsmanagement Training en Opleiding Welzijn en Veiligheid Werving en Selectie Operationeel Afhandelen Informatieverzoeken Expatriates en Inpatriates Organisatieadministratie Personeelsadministratie Salarisverwerking Aan - en Afwezigheden Stuurprocessen HR- Informatie- en Documentatiemanagement Interne Controle Leveranciersmanagement Figuur 2: het HR-procesmodel HR-dienstverlening Met de introductie van een HR SSC, inclusief de gewijzigde rollen met hun specifieke taken, verantwoordelijkheden en bevoegdheden en de implementatie van nieuwe technologische oplossingen, zal de wijze waarop de HR-diensten worden geleverd, wijzigen. Dit heeft zijn weerslag op de wijze waarop HR-processen zijn opgezet en betekent dat deze moeten worden geherdefinieerd en geoptimaliseerd. Het is van belang om voordat hiermee wordt begonnen een aantal uitgangspunten te hanteren. Zo moeten de processen de taken, verantwoordelijkheden en bevoegdheden van de managers, medewerkers, HR Business Partners, het Centre of Expertise en het HR SSC reflecteren. Dit betekent, dat de werkzaamheden per rol op hoofdlijnen duidelijk moeten zijn alvorens wordt gestart met het procesontwerp. Hetzelfde geldt in feite voor de technologische oplossingen die worden toegepast. Deze oplossingen bepalen immers voor een deel de wijze waarop activiteiten moeten worden uitgevoerd. Processen dienen zoveel mogelijk te worden gestandaardiseerd. Dit betekent dat de aan HR gerelateerde activiteiten binnen de gehele (internationale) organisatie op eenduidige wijze worden uitgevoerd. Over het algemeen geldt dat 80% van alle werkzaamheden in een standaard proces te vatten is. Verder zijn efficiëntie, effectiviteit en betrouwbaarheid sleutelwoorden bij het opzetten van de processen. Dit betekent dat dubbele en onlogische activiteiten worden geëlimineerd, zonder in te boeten op het behalen van de doelstellingen en een betrouwbare gegevensverwerking. Omdat in een HR SSC de werkzaamheden conform afspraken gemaakt in SLA s worden uitgevoerd, dienen processen zodanig te worden opgezet, dat ze meetbaar zijn. HR-procesmodel Figuur 2 geeft inzicht in de HR-processen die een organisatie kan onderkennen. Dit procesmodel, dat door Northgate- Arinso is ontwikkeld, kan als raamwerk gebruikt worden bij het optimaliseren van de HR-processen. HR-processen kunnen op de volgende, logische wijze, worden gegroepeerd: Klantprocessen Klantprocessen zijn processen die gericht zijn op het leveren van een product of dienst aan de (interne) klant. De klantprocessen kunnen worden onderverdeeld in: Strategische processen. Dit betreft de processen die gericht zijn op het definiëren van de koers van de organisatie, ze hebben een richtinggevend karakter en worden uitgevoerd door het HR Centre of Expertise in samenwerking met de HR Business Partners. Deze processen lenen zich over het algemeen niet voor opname in een HR SSC. Waardetoevoegende processen. Dit zijn de processen die gericht zijn op het toevoegen van waarde aan (managers en medewerkers van) de organisatie. Vragen als: hoe kan ik mij ontwikkelen binnen de organisatie, worden beantwoord door het inrichten van deze processen. De HR Business Partner is over het algemeen belast met het uitvoeren van deze processen. De randvoorwaarden die noodzakelijk zijn om deze processen te kunnen uitvoeren, worden geschapen door de beleidsmedewerkers en proceseigenaren uit het HR Centre of Expertise. Het HR SSC heeft over het algemeen een ondersteunende rol bij het uitvoeren van deze processen. Operationele processen. Dit zijn noodzakelijke processen, die bij de meeste organisaties in meer of mindere 14 de EDP-Auditor nummer

13 Leveranciermanagement Personeelsplanning en opvolgingsmanagement Organisatieontwikkeling HR-strategie Beloning en arbeidsvoorwaarden Herplaatsing en ontslag Functioneren en beoordelen Training en opleiding Werving en selectie Expatriates en Inpatriates Welzijn en veiligheid Arbeidsverhoudingen Aan- en afwezigheden Salarisverwerking HR-informatie- en documentatiemanagement Organisatieadministratie Personeelsadministratie 0,00% 10,00% 20,00% 30,00% 40,00% 50,00% 60,00% 70,00% 80,00% 90,00% 100,00% Figuur 3: processen in een HR SSC mate voorkomen. Deze processen worden dagelijks, wekelijks, maandelijks of jaarlijks uitgevoerd en kennen hoge volumes, in de zin dat ze voor alle medewerkers in de organisatie moeten worden uitgevoerd. Deze processen zijn, vanwege hun administratieve aard, zeer geschikt om onder te brengen in een HR SSC. Stuurprocessen Stuurprocessen zorgen ervoor dat de HR-organisatie presteert en blijft presteren zoals gepland. Deze processen zijn gericht op het beheer en monitoren van de dienstverlening door middel van management- en controlerapportages en het besturen van de klantprocessen door middel van correctieve acties. De afzonderlijke procesclusters beïnvloeden ieder een ander cluster. De stuurprocessen borgen dat de klantprocessen kwalitatief goed worden uitgevoerd, de strategische processen scheppen de kaders voor de waardetoevoegende processen. De operationele processen vloeien op hun beurt voort uit de waardetoevoegende processen. Processen in een HR SSC In figuur 3 zijn de HR-processen te zien die organisaties over het algemeen uitvoeren in een HR SSC [ARIN07]. Vooral de operationele HR-processen worden vanuit een HR SSC geleverd. Naast deze processen worden ook (delen van) de waardetoevoegende HR-processen in een HR SSC uitgevoerd. Het betreft in dit geval de transactionele en administratieve componenten van de waardetoevoegende processen. Opvallend is, dat een aantal respondenten (delen van) strategische HR-processen, zoals de HR-strategie en organisatieontwikkeling verlenen vanuit een HR SSC. Een argument hiervoor kan zijn, dat organisaties een HR Centre of Expertise hebben dat deel uitmaakt van het HR SSC. Aandachtspunten gerelateerd aan HR-dienstverlening Op het moment dat de IT-auditor bij de uitwerking van zijn/haar auditwerkzaamheden te maken krijgt met een HR SSC, kan dit consequenties hebben voor de reikwijdte van de audit. Naast de traditionele HR-processen kan bijvoorbeeld ook de logistiek in het HR SSC object van onderzoek zijn. Het betreft hier het registreren en monitoren van werkzaamheden en het verwerken van documenten in een (digitaal) personeelsdossier. De kwaliteit van de dienstverlening van het HR SSC is sterk afhankelijk van de wijze waarop de logistieke processen in het HR SSC zijn opgezet. Indien dit niet van een adequaat niveau is, zal het HR SSC niet succesvol zijn. Ten aanzien van de logistiek in een HR SSC zijn, vanuit procesmatig perspectief en buiten de meer traditionele HR audit aspecten om, een aantal zaken van belang. Zo moet de juiste, tijdige en volledige registratie van alle binnen komende vragen en verzoeken tot mutaties inclusief de afhandeling van deze werkzaamheden, worden vastgesteld. Hierbij is ook de wijze waarop de werkzaamheden worden verdeeld over de verschillende diensten die het HR SSC levert een aandachtspunt. De SLA afspraken worden immers op dienstniveau vastgelegd en een incorrecte verdeling van diensten kan leiden tot een onjuiste en onvolledige SLA-meting. In het verlengde van de SLA-meting is het ook relevant de relatie tussen de diensten en de SLA s te toetsen. Een laatste aandachtspunt betreft de wijze waarop werkzaamheden worden gedistribueerd binnen het HR SSC. De overdracht van activiteiten van de servicemedewerkers naar de case-medewerkers en eventueel naar beleidsmedewerkers en proceseigenaren moet goed zijn ingebed en de naleving van gemaakte afspraken moet worden getoetst. Technologie Om de echte voordelen van flexibiliteit en efficiency van een HR SSC te benutten, zijn krachtige, flexibele en geïntegreerde automatiseringsoplossingen nodig. Dit betekent, dat naast het welbekende HR/Payroll-informatiesysteem oplossingen nodig zijn om de werkzaamheden die binnen het HR SSC worden uitgevoerd te registreren en te bewaken, een zogenaamd case management tool. Bovendien is de 15 de EDP-Auditor nummer

14 Klanten Medewerkers Managers HR Contact HR Service Center Intranet Portaal Service technologie HR SSC technologie Case management Contact center tools Document management HR SSC ehrm Applicaties Intern Online formulieren ESS / MSS Partners Tools Backoffice HR en payroll informatiesysteem Overige applicaties Figuur 4: techniek in een HR SSC introductie van een documentmanagementsysteem geen overbodige luxe. Met een dergelijk systeem kunnen dossierstukken op eenvoudige wijze toegankelijk worden gemaakt voor medewerkers, managers en HR Business Partners en uiteraard voor de medewerkers van het HR SSC. Beide systemen kunnen worden geïntegreerd met systemen voor telefonie, en het HR/Payroll-informatiesysteem. Contactmogelijkheden De klanten van HR hebben diverse contactmogelijkheden, die worden vastgelegd in het HR-dienstverleningsmodel. Klanten kunnen het HR SSC benaderen via de volgende opties: Telefoon: via een vast telefoonnummer. Post: met een centraal postadres. met een vast adres. Intranet/internet. Een balie of spreekuur, waardoor persoonlijk contact mogelijk wordt. HR-SSC-technologie Ter ondersteuning van de HR-dienstverlening en het online brengen van diverse HR-diensten kan gebruikt gemaakt worden van meerdere technologische oplossingen. De eerste categorie betreft de zogenaamde e-hrm oplossingen. De HR-processen kunnen worden ondersteund met behulp van online formulieren en/of selfservice-principes. Hierdoor worden medewerkers en managers in staat gesteld zelf mutaties in te voeren in het HR/Payroll-informatiesysteem, waardoor medewerkers van het HR SSC worden ontlast. Daarnaast biedt een case management tool de mogelijkheid om alle handelingen die verricht zijn voor of alle vragen die gesteld zijn door een specifieke medewerker vast te leggen. Hierdoor kan iedere medewerker van het HR SSC een totaalbeeld krijgen van de werkzaamheden eventueel gespecificeerd per medewerker. Bijkomend voordeel is dat de servicemedewerker in staat is activiteiten over te nemen van andere medewerkers binnen het SSC. Ook worden dergelijke tools gebruikt voor het monitoren en beheren van de SLA s. Een derde categorie betreft de contact centre tools die bestaan uit oplossingen die het telefoonverkeer tussen het HR SSC en de klant en binnen het HR SSC in goede banen leidt. Deze software maakt het mogelijk metingen te verrichten van het aantal telefoontjes, de gespreksduur en de responstijd en kan deze toewijzen aan de service medewerkers die zijn ingelogd om telefonische oproepen te ontvangen. De laatste categorie zijn de document management systemen. Hierin kunnen stukken uit personeelsdossiers en correspondentie digitaal worden opgeslagen waardoor geautoriseerde gebruikers binnen en buiten het HR SCC toegang hebben tot relevante informatie in de digitale personeelsdossiers. 16 de EDP-Auditor nummer

15 De genoemde tools bieden ondersteuning in het efficiënt inrichten van de processen binnen het HR SSC. Het zijn geen absolute randvoorwaarden om een HR SSC in te richten. Er kunnen alternatieve oplossingen gekozen worden in de vorm van een eenvoudige SLA-meting-tool ondersteund door een database. HR/Payroll-informatiesysteem Het HR/Payroll-informatiesysteem wordt gebruikt ter ondersteuning van allerhande HR-processen. Er zijn belangrijke interfaces met andere systemen, zoals bijvoorbeeld het financiële informatiesysteem. Tegelijkertijd maken de verschillende e-hrm-applicaties en de HR SSC-technologie gebruik van de gegevens in het HR/Payroll-informatiesysteem. De verregaande integratie tussen en de toepassing van de softwareoplossingen wordt nader toegelicht aan de hand van de volgende case. Stel, een medewerker constateert dat een bonus die hij toegekend heeft gekregen niet op zijn salarisstrook staat. De medewerker logt in op het intranet en zoekt op op welke wijze de bonus verwerkt wordt binnen het HR SSC. De medewerker vindt het antwoord echter niet op het intranet en hij besluit contact op te nemen met het HR SSC. De medewerker belt het nummer van het HR SSC en wordt gevraagd zijn personeelsnummer en de reden waarvoor hij belt aan te geven via het daarvoor opgezette keuzemenu. De servicemedewerker binnen het HR SSC ziet in de case management tool direct welke medewerker belt en een werkopdracht (ticket) wordt automatisch aangemaakt. De servicemedewerker kan via de case management tool toegang krijgen tot de gegevens van de betreffende medewerker in het HR/Payroll-informatiesysteem, maar kan het antwoord niet geven. De servicemedewerker zet het ticket door naar de case-medewerkers, die automatisch zien dat er een vraag beantwoord moet worden. De case-medewerker ziet in het HR/Payroll-informatiesysteem, dat de bonus nooit is opgevoerd. Na controle in de case management tool blijkt, dat het verzoek tot het opvoeren van een bonus nooit is binnengekomen bij het HR SSC. De case-medewerker verwittigt de medewerker hiervan met de mededeling, dat deze contact moet opnemen met zijn manager. Na overleg met zijn manager, blijkt dat deze heeft verzuimd de bonus te melden. De manager vult via het intranet een online formulier in en verstuurt dit aan het HR SSC. Daar komt het verzoek direct binnen via de case management tool en de gegevens worden geautomatiseerd verwerkt in het documentmanagementsysteem. De case-medewerker ziet de nieuwe werkopdracht en kan via de case management tool, dat is gekoppeld aan het documentmanagementsysteem direct zien welke mutatie moet worden ingevoerd. De casemedewerker gaat via de case management tool naar het HR/Payroll-informatiesysteem waar de bonus kan worden verwerkt. Na verwerking van het verzoek, wordt het ticket afgesloten. Aandachtspunten gerelateerd aan HR SSC technologie De volgende aspecten kunnen, vanuit technologisch perspectief, van belang zijn: De authenticiteit van klanten van het HR SSC wordt ingeval van e-hrm-applicaties gewaarborgd door een adequaat opgezette logische toegangsbeveiliging. Op het moment dat een verzoek tot wijziging binnenkomt via de mail, zou het call-registratiesysteem de identiteit van de aanvrager moeten herkennen aan de hand van het adres. Ingeval een aanvraag telefonisch wordt ontvangen, wordt de klant herkend door het intoetsen van zijn personeelsnummer. Om fraude te voorkomen, moeten in de case management tool controlevragen opgenomen worden, die de servicemedewerker kan stellen ter verificatie. Bijvoorbeeld: wat is de meisjesnaam van je moeder. Op het moment dat een verzoek wordt geregistreerd in de case management tool wordt, afhankelijk van de soort dienst die geleverd moet worden, automatisch de vervaldatum die in de SLA zijn vastgelegd, aan het verzoek gekoppeld. De case management tool geeft automatisch inzicht in die werkzaamheden die uit SLA lopen. Het is noodzakelijk om vast te stellen dat de SLA-afspraken die in de tool zijn opgenomen overeenkomen met de afspraken zoals die op papier zijn vastgelegd. Digitale personeelsdossiers zijn alleen voor geautoriseerde functionarissen toegankelijk. Toegang is in bepaalde gevallen tot op documentniveau geregeld. De integriteit van de veelal verregaande integratie tussen e-hrm-applicaties, case management tools, documentmanagement systemen, contact centre tools en het HR/ Payroll-systeem moet zijn geborgd. Tot slot De organisatorische, procesmatige en systeemtechnische veranderingen die een organisatie bij de oprichting van een HR SSC ondergaat, hebben ook invloed op de werkzaamheden van de IT-auditor. In geval het een audit betreft in het kader van de jaarrekeningcontrole, zal de auditor zich beperken tot eventuele e-hrm-applicaties en het HR/Payroll-informatiesysteem. Dit verandert op het moment dat bijvoorbeeld een beveiligingsaudit moet worden uitgevoerd; de scope van de audit zal op dat moment ook betrekking moeten hebben op de HR SSC technologie. Zeker is wel, dat de introductie van een HR SSC veel nieuwe mogelijkheden schept voor zowel de klant als de IT-auditor. Literatuurlijst [DELM05] J. Delmotte & L. Sels, HR-outsourcing: kans of bedreiging?, [STRI04] J. Strikwerda, Shared Service Centers, 4e gewijzigde druk, Koninklijke van Gorcum, [ARIN07] NorthgateArinso, Strategische veranderingen in HR Dienstverlening, de EDP-Auditor nummer

16 Artikel Het belang van XBRL voor IT-auditors Jan Pasmooij In dit artikel 1 wordt ingegaan op wat XBRL is en wat XBRL zal gaan betekenen voor de interne en externe informatievoorziening en -verstrekking. Vervolgens wordt een overzicht gegeven van de stand van zaken en de ontwikkelingen internationaal en in Nederland. Deze geven een beeld van wat ons te wachten staat. J. (Jan) Pasmooij RE RA RO is Manager ICT Knowledge Center bij het Koninklijk Nederlands Instituut van Registeraccountants (NIVRA). Voorheen was hij als accountant/it-auditor werkzaam in het openbare accountantsberoep en bij de rijksoverheid (EDP Audit Pool). Hij combineert zijn baan bij het NIVRA met een deeltijdaanstelling bij de Erasmus Universiteit Rotterdam als plaatsvervangend Program Director van de postinitiële opleiding IT-auditing. Sinds 2002 is hij voorzitter van XBRL Nederland en lid van het International Steering Committee van XBRL International. Trends in rapporteren Alvorens in te gaan op XBRL schets ik kort de ontwikkelingen op het terrein van het rapporteren. Deze hebben alles te maken met globalisering en de behoefte wereldwijd financiele informatie te kunnen uitwisselen en interpreteren. Daarnaast het ingezette beleid om de administratieve lasten voor bedrijven te verlagen. Digitalisering Als over documenten in elektronische vorm wordt gesproken denkt men veelal aan documenten in PDF 2, een digitale afbeelding van het papieren document. PDF is een formaat waarin documenten eenvoudig elektronisch zijn uit te wisselen. Het verwerken van de gegevens die op dit document zijn opgenomen, vereist echter nog steeds een extra handeling, zoals het opnieuw invoeren van deze gegevens in een computersysteem om deze vervolgens te kunnen opslaan, analyseren of bewerken. Het is duidelijk dat hierbij fouten optreden. Christopher Cox, de voorzitter van de SEC 3 gaf in 2006 in een televisie-interview aan dat de foutenkans kan oplopen tot boven de 30%. Het betreft hier financiële informatie die door ondernemingen wordt verstrekt in zorgvuldig opgestelde jaarverslagen en toezichtrapportages. In Nederland geeft een bank jaarlijks tussen de 30 en 40 miljoen euro uit aan het verwerken van de ontvangen jaarrekeningen van hun klanten. Vandaar dat de afgelopen jaren is gezocht naar een technische standaard die het mogelijk maakt om gegevens zodanig elektronisch uit te kunnen wisselen dat deze gegevens direct door computers kunnen worden verwerkt. Dat deze wijze van gegevensuitwisseling voordelen heeft is duidelijk. Als voorbeeld de belastingaangifte die met ingang van 2005 verplicht elektronisch moet worden aangeleverd. De meeste gegevens die voor de aan- De invoering van XBRL zal ingrijpende gevolgen hebben voor de informatievoorziening zoals wij die nu kennen en de rol van accountants daarbij. Omdat op dit moment de gevolgen nog niet goed zijn te overzien beperkt de auteur zich in dit artikel tot het aanstippen van de mogelijke rol van IT-auditors en laat het aan de lezer om zich een eigen beeld te vormen. Het artikel laat dus nog een aantal vragen onbeantwoord. Een uitdaging dus voor studenten of praktiserende collega s voor nader onderzoek of bespiegelingen. 18 de EDP-Auditor nummer

17 giftes nodig zijn, zijn al beschikbaar in de geautomatiseerde administraties van de ondernemers. De benodigde gegevens worden geautomatiseerd ingelezen door de aangiftesoftware waarmee de aangiftes worden samengesteld en via internet verzonden naar de Belastingdienst. De Belastingdienst kan de aangiftes direct verwerken. Deze vorm van ketenautomatisering verhoogt de kwaliteit van de gegevens omdat handmatige verwerking achterwege kan blijven, hierbij kan gebruik worden gemaakt van geautomatiseerde checks and balances, daarnaast verlaagt zij de kosten van het samenstellen, uitwisselen en verwerken. Andere voorbeelden van ketenautomatisering zijn de processen van elektronisch betalen en elektronisch factureren. Door het gebruik van technologie is het mogelijk het hele proces, van de ontvangst van de factuur, de controle en goedkeuring, het aanmaken van een betalingsopdracht, het versturen naar de bank, het verwerken door de bank tot het verantwoorden (het oude dagafschrift) in de boekhouding, volledig elektronisch te laten verlopen. Een werkwijze die de kosten verlaagt, de snelheid verhoogt en de kansen op fouten verkleint. Deze kostenbesparing maakt het mogelijk de administratieve lasten verbonden aan het uitwisselen van gegevens op papier terug te dringen. Wereldwijd zien wij vergelijkbare ontwikkelingen. Overheden, bedrijven, toezichthouders en gebruikers van informatie zijn bezig de huidige op papier gebaseerde informatie-uitwisseling om te zetten naar elektronische gegevensuitwisseling. Standaardisatie en harmonisatie Inmiddels hebben meer dan 100 landen wereldwijd IFRS (International Financial Reporting Standards) geadopteerd als de verslaggevingstandaard voor grote ondernemingen. Zelfs de Verenigde Staten hebben besloten US-GAAP als verslaggevingsstandaard in te wisselen voor IFRS. Het gebruik van IFRS maakt informatie toegankelijker en bedrijfsvergelijkingen mogelijk. De invoering van IFRS voor SME 4 zal ook de beschikbaarheid, toegankelijkheid en vergelijkbaarheid van financiële informatie over kleinere ondernemingen vergroten. Belangrijk nu ook kleinere ondernemingen internationaal zaken doen. Ook maakt standaardisatie in de verslaggeving het voor buitenlandse banken eenvoudiger kleine ondernemingen te financieren. Dat een aantal grote accountantskantoren de komende jaren grote veranderingen verwachten op het terrein van verslaggeving en rapportering met een grote impact op de accountantscontrole komt duidelijk naar voren in het in november 2006 verschenen paper Global Capital Markets and the Global Economy, uitgebracht door de CEO s van PricewaterhouseCoopers, Deloitte, Ernst & Young, KPMG, Grant Thornton en BDO 5. In dit paper schetsen zij onder andere de ontwikkelingen op het terrein van business reporting en het gebruik van XBRL. Mede in dat kader pleiten zij voor wereldwijde accounting en auditing standaarden en nieuwe vormen van assurance die aansluiten op de veranderende vraag naar informatie. Informatie op maat In het dagelijks leven is informatie op maat niet meer weg te denken. Wij kunnen vaak aangeven welke informatie wij wel of niet willen ontvangen. Deze behoefte geldt ook voor investeerders en analisten. Nu ontvangen zij vaak nog uitgebreide jaarverslagen waarin de onderneming de informatie heeft opgenomen die wettelijk moet worden gerapporteerd of die de onderneming graag onder de aandacht wil brengen. Maar de informatiebehoefte van gebruikers is veranderd. Uit gesprekken met analisten en investeerders komt naar voren dat zij behoefte hebben aan andere informatie dan nu opgenomen in de jaarrekening of het jaarverslag. Denk hierbij aan informatie over plannen en toekomstige activiteiten, over de kwaliteit van de interne beheersing en het management, over milieubeleid, CO2 uitstoot en compensatie, samenstelling van het personeel, et cetera. Zij vragen om meer (toekomstgerichte) informatie op maat, frequenter beschikbaar en in elektronische vorm in plaats van de huidige standaardinformatie op papier. Om enigszins aan deze wens tegemoet te komen publiceren de meeste beursgenoteerde bedrijven op hun website vaak extra informatie naast de informatie beschikbaar in het jaarverslag. Een andere belangrijke ontwikkeling is de invoering van Basel 2, regelgeving die financiële instellingen verplicht risico s verbonden aan het verstrekken van kredieten aan bedrijven actief te managen. Naar verwachting zal Basel 2 leiden tot een meer gerichte en mogelijk ook uitgebreidere informatievraag door banken. XBRL als open standaard Om de elektronische uitwisseling en directe verwerking van gegevens mogelijk te maken, is extensible Business Reporting Language (XBRL), een op XML 6 gebaseerde open standaard, ontwikkeld. In 1998 hebben de accountants in de US het initiatief genomen om XBRL te ontwikkelen, omdat zij voordelen zagen in het elektronisch beschikbaar stellen van financiële informatie aan analisten, beleggers en financiële instellingen, maar ook voor eigen gebruik in hun controle. Al snel bleken overheden en toezichthouders hiervoor grote belangstelling te hebben. XBRL is ontwikkeld en wordt onderhouden door XBRL International Inc. (XII), een wereldwijd consortium van nu ruim vijfhonderd organisaties. Om aan te kunnen geven wat de betekenis is van de gegevens(elementen) die elektronisch worden uitgewisseld, wordt gebruik gemaakt van een Taxonomie 7 waarin de gegevenselementen zijn vastgelegd en beschreven. Een taxonomie kan elektronisch beschikbaar worden gesteld op een website. Als informatie moet worden verstrekt, worden de relevante gegevenselementen uit de geautomatiseerde administratie geselecteerd en voorzien van een label (tag) die verwijst naar de taxonomie en die daarmee de gegevenselementen eenduidig definieert. De van een label voorziene gegevenselementen worden vervolgens in XBRL formaat opgenomen in een bestand, dat een instance document wordt genoemd. Dit bestand kan via het internet naar een organisatie worden gestuurd of op een website beschikbaar gesteld voor belanghebbenden (figuur 1). Door gebruik 19 de EDP-Auditor nummer

18 In figuur 1 is het uitwisselingsproces op basis van XBRL schematisch weergegeven. In figuur 2 is een voorbeeld opgenomen van informatie in XBRL formaat opgenomen in een instance document. te maken van een Style sheet (een sjabloon) kunnen de gegevens ook weer worden gepresenteerd, bijvoorbeeld in de vorm van een balans of een winst-en-verliesrekening. Het is mogelijk de gegevens aan het eind van de keten op het moment van rapporteren te selecteren en naar het XBRL formaat om te zetten. Het is echter ook mogelijk de gegevens al bij de primaire vastlegging te voorzien van een label. Deze laatste vorm van tagging van gegevens wordt beschreven in XBRL Global Ledger. Door middel van de tag is het gegevenselement dan herkenbaar in het gehele proces van gegevensverwerking en rapportering, zowel intern als extern. XBRL kan dus het best worden vergeleken met de barcode, maar dan de barcode voor gegevens. De voordelen in het gebruik van de tags van XBRL zijn vergelijkbaar met voordelen die de barcode heeft in de retail waar met behulp van de barcode een product in de hele keten kan worden gevolgd. Stand van zaken internationaal Op dit moment zijn XBRL taxonomieën beschikbaar voor de uitwisseling van gegevens op basis van de internationale verslaggevingstandaarden US-GAAP en IFRS. Daarnaast heeft een aantal landen 8 taxonomieën ontwikkeld voor de uitwisseling van financiële of toezicht informatie op basis van de nationale verslaggevingregels. Ook gebruiken inmiddels een aantal toezichthouders XBRL voor hun toezichtrapportages. Voorbeelden zijn CEBS 9 die de COREP en FINREP taxonomieën heeft ontwikkeld voor de uitwisseling van financiële informatie en informatie over de naleving van Basel 2 en een conglomeraat van financiële toezichthouders 10 in de Verenigde Staten dat in het najaar van 2005 is overgegaan op het gebruik van XBRL voor de uitwisseling van informatie in het kader van het toezicht op ongeveer banken. Vergelijkbare ontwikkelingen zijn zichtbaar in Azië. In maart 2005 heeft de SEC aangegeven dat zij ook elektronisch rapportages op basis van XBRL accepteert. De SEC heeft ook een vrijwillig rapportageprogramma gestart om ondernemingen in staat te stellen ervaringen op te doen met de uitwisseling in XBRL formaat. Op dit moment nemen ca. 45 bedrijven aan dit programma deel. De SEC spreekt in dit verband van Interactive data. De XBRL US-GAAP taxonomieën ten behoeve van de SEC rapportages zijn in september 2007 opgeleverd voor publiek commentaar; vaststelling zal in 2008 plaatsvinden. Het is duidelijk is dat de SEC aankoerst op het verplicht gebruik van XBRL voor het rapporteren van financiële informatie. Een beslissing hierover is ook in 2008 te verwachten. Een ontwikkeling die directe gevolgen zal hebben voor alle circa bedrijven die aan de Amerikaanse beurs zijn genoteerd. Meer informatie over de XBRL activiteiten van de SEC is beschikbaar op gov/spotlight/xbrl.htm. Inmiddels is het voor bedrijven in een aantal landen, waaronder Spanje, Zweden, Denemarken, Duitsland, Engeland, België, Korea en China, mogelijk op basis van XBRL financiële gegevens aan de overheid of toezichthouders aan te leveren. Beursgenoteerde ondernemingen in China, Korea, Japan en Singapore zijn inmiddels verplicht hun financiële gegevens in XBRL te deponeren. Een goed voorbeeld van grootschalig gebruik is ons buurland België waar, na de invoering op één april 2007, inmiddels meer dan 90% van de ondernemingen (totaal ondernemingen) op vrijwillige basis gebruik maakt van XBRL om hun financiële gegevens elektronisch aan te leveren aan de Balanscentrale. Een ander voorbeeld is Engeland waar al meer dan ondernemingen hun financiële cijfers met XBRL bij Companies House hebben gedeponeerd. Een land dat de Nederlandse aanpak volgt is Australië. Eind augustus 2007 heeft de Australische regering besloten tot de aanpak van administratieve lasten met behulp van de implementatie van Standard Business Reporting (SBR), een project vergelijkbaar met het Nederlandse Taxonomie Project. Ook hebben de Belastingdiensten van diverse landen, waaronder Nederland, gekozen voor XBRL en XBRL GL als standaarden. Vrijwel alle belangrijke softwareleveranciers zijn betrokken bij de ontwikkeling van XBRL en in staat software te leveren die met XBRL kan omgaan. Meer informatie over XBRL en de internationale ontwikkelingen is beschikbaar op 20 de EDP-Auditor nummer

19 Ontwikkelingen in Nederland In voorjaar 2004 heeft het Nederlandse kabinet besloten de Nederlandse Taxonomie (NT) te ontwikkelen. Het Nederlandse Taxonomie Project (NTP) heeft tot doel het gegevensmodel te ontwikkelen dat met ingang van 2007 door overheid en bedrijfsleven kan worden gebruikt voor de elektronische uitwisseling van financiële (jaarrekening), fiscale (winstbelasting, loonbelasting, btw en premieheffing) en statistische gegevens op basis van XBRL. Tijdens het ontwikkelen van deze taxonomie heeft tevens een eerste harmonisatieslag plaatsgevonden die ertoe heeft geleid dat het aantal gegevens dat ondernemers moeten verstrekken aan de overheid zal afnemen. Ook wordt hergebruik van gegevens eenvoudiger. Zo zal het Centraal Bureau voor de Statistiek meer gebruik gaan maken van gegevens die de Belastingdienst al ontvangt. De overheid verwacht dat door de elektronische uitwisseling van gegevens en het efficiënter inrichten van het proces van samenstellen en uitwisselen van informatie jaarlijks een besparing van 350 miljoen voor ondernemers kan worden gerealiseerd. Inmiddels is versie 2.1 van de NT beschikbaar. Via de Overheidstransactiepoort SOAP 2008 is het mogelijk om informatie in XBRL formaat elektronisch aan de overheid aan te leveren. Op vrijdag 9 juni 2006 hebben zo n vijftig organisaties, waaronder het NIVRA, het XBRL convenant 11 ondertekend. Met deze overeenkomst bekrachtigen overheid en marktpartijen hun samenwerking om door het gebruik van de NT besparingen te realiseren in het domein van de jaarverslaggeving, belastingaangiften en de economische statistieken. Inmiddels is het aantal organisaties dat het convenant heeft ondertekend opgelopen tot ruim honderd, waaronder VNO-NCW en MKB Nederland. In het kader van de harmonisatie en vereenvoudiging van de informatie-uitwisseling is, naast het ontwikkelen van de NT, een wetsontwerp ingediend dat kleine ondernemingen in de toekomst toestaat hun fiscale jaarrekening te deponeren in plaats van een commerciële jaarrekening. Dit betekent dat kleine ondernemingen in de toekomst hun jaarrekening op fiscale grondslag kunnen gebruiken voor het deponeren, hun fiscale aangifte en rapportage aan de bank. In dit kader wordt in samenwerking met een aantal banken gewerkt aan de ontwikkeling van een uitbreiding op de NT ten behoeve van hun informatiebehoefte in het kader van Basel 2. Meer informatie over de Nederlandse situatie is beschikbaar op Eind 2002 is XBRL Nederland opgericht, de Nederlandse jurisdictie van XBRL International. XBRL Nederland verstrekt informatie over XBRL en organiseert technische XBRL trainingen. Op dit moment nemen ongeveer zestig organisaties deel aan XBRL Nederland. Deelnemers hebben recht op toegang tot alle beschikbare informatie, kennis en ervaring binnen de (inter)nationale organisatie en de werkgroepen. Het stelt deelnemers ook in staat via de verschillende gebruikersgroepen in contact te komen met andere organisaties en ervaringen uit te wisselen. Voor meer informatie Gevolgen voor accountants De gevolgen voor accountants Het merendeel van organisaties in Nederland naar schatting procent maakt voor het samenstellen van hun jaarrekening en fiscale aangiftes en het uitvoeren van accountantscontroles gebruik van de diensten van accountants en financiële experts. De financiële intermediair is dus een belangrijke schakel in de rapportageketen. De verwachting is dat de meeste ondernemingen, met uitzondering van de grote, niet zelf aan de slag zullen gaan met XBRL, maar dit zullen overlaten aan hun financiële intermediairs. Het digitaliseren van de rapportageketen heeft dus directe gevolgen voor accountants die optreden als CFO, controller of dienstverlener bij het opstellen van jaarrekeningen, als controleur bij het verstrekken van een accountantsverklaring bij jaarrekeningen, of als assurance provider in het geval accountants wordt gevraagd uitspraken te doen over de kwaliteit van in elektronische verantwoordingen opgenomen gegevens of het rapportageproces. De gevolgen voor de eigen werkprocessen De invoering van XBRL zal gevolgen zal hebben voor de eigen werkprocessen van accountants in de samenstel- en de controlepraktijk. Hierbij kan worden gedacht aan: Integratie van huidige processen en aanpassen van de volgorde van werkzaamheden. Dit laatste is zeker van belang nu de Nederlandse overheid toestaat dat kleine ondernemingen hun fiscale jaarrekening mogen deponeren in plaats van hun commerciële jaarrekening 12. Een goede informatiebeveiliging nu meer gegevens van cliënten in elektronische vorm onder verantwoordelijkheid van de accountant worden verwerkt, uitgewisseld en opgeslagen. Een goede dossiervorming van informatie in elektronische vorm. Het tijdig kunnen beschikken over de software die kan omgaan met gegevens in XBRL formaat. In dit verband is van belang dat de accountant contact opneemt met zijn softwareleverancier om zich er van te vergewissen dat deze tijdig de gewenste functionaliteit en ondersteuning kan leveren. Ook is het van belang dat de accountant nagaat op welke wijze de communicatie met cliënt gaat verlopen en duidelijk wordt vastgelegd welke werkzaamheden de accountant voor zijn cliënt zal verrichten, zeker in het geval dat de accountant gaat zorg dragen voor de verzending van de jaarrekening naar de Kamer van Koophandel of het verstrekken van informatie aan het CBS. Nieuwe vormen van dienstverlening De invoering van XBRL en het beschikbaar komen van de NT schept ook mogelijkheden voor nieuwe vormen van dienstverlening. Zo valt te verwachten dat door verdergaande digitalisatie meer ondernemingen hun administra- 21 de EDP-Auditor nummer

20 tieve werkzaamheden zullen uitbesteden of zullen overgaan op vormen van internetboekhouden. Voorts biedt de beschikbaarheid van gestandaardiseerde informatie in elektronische vorm een goede basis voor het uitvoeren van bedrijfsanalyse of bedrijfsvergelijkingen. Andere mogelijkheden zijn de ontwikkeling door NIVRA en NOvAA van vormen van credit risk rating als dienstverlening door accountants en Horizontaal toezicht. Horizontaal toezicht is het steunen van de Belastingdienst op werkzaamheden die door accountants zijn uitgevoerd op basis van afspraken met de Belastingdienst. Ook wordt met de banken gesproken over de mogelijkheid van het verstrekken van financiële informatie in XBRL formaat als basis voor hun credit risk rating. In dit kader zijn een aantal banken betrokken bij de ontwikkeling van een aanvulling op de NT gericht op informatie in het kader van Basel 2. Nieuwe vormen van dienstverlening kunnen ook betrekking hebben op het verstrekken van assurance over de kwaliteit van gegevens opgenomen in instance documents, over datastromen of de interne beheersing van het rapporteringproces of advisering over / ondersteuning bij het inrichten van digitale processen. Een aantal accountantskantoren voert op dit moment onderzoek uit naar de mogelijkheden om in de controle gebruik te maken van XBRL tags. Audit en assurance De invoering van XBRL heeft ook gevolgen voor de huidige accountantscontrole. Om inzicht te krijgen in de problematiek heeft het NIVRA begin 2005 met het Canadese accountantsinstituut (CICA) binnen XBRL International, het initiatief genomen voor het oprichten van de internationale Assurance Working Group (AWG). Deze werkgroep had tot doel om, in samenwerking met de International Federation of Accountants (IFAC), de mogelijke gevolgen van het gebruik van XBRL voor de audit en assurance in kaart te brengen. Het research paper van de AWG is in november 2006 tijdens het World Congress of Accountants gepresenteerd en gepubliceerd 13. In dit document geeft de werkgroep een analyse van de gevolgen op de huidige rapportage- en controlepraktijk en schetst een aantal mogelijke scenario s voor het gebruik van XBRL met bijbehorende assurance services. Uit het onderzoek komt naar voren dat de invoering van XBRL gevolgen heeft voor: Het samenstellen van een rapportage, zoals bijvoorbeeld een jaarrekening. De bevindingen van de AWG sluiten aan bij de bevindingen in een research studie uitgevoerd door de IIA Research Foundation 14 naar de gevolgen voor de internal auditors. Beide studies geven aan dat het gebruik van tags de mogelijkheden van data-analyse vergroot en de noodzaak voor het gebruik van spreadsheets verkleint. Voorts heeft het gebruik invloed op de risicoanalyse en interne beheersing; Het object van onderzoek: De jaarrekening in XBRL formaat (een dataset in de vorm van een instance document) is een ander object van onderzoek dan de huidige jaarrekening op papier, omdat bij een jaarrekening in XBRL formaat de inhoud en presentatie zijn losgekoppeld. Een jaarrekening in XBRL formaat bestaat uit een verzameling gegevenselementen die voorzien zijn van een tag. Dit betekent dat de huidige accountantsverklaring (beeldverklaring) niet kan worden gebruikt en zal moeten worden vervangen door een andere verklaring qua scope, reikwijdte, bewoording en vorm. Mogelijk zal in de toekomst de assurance betrekking hebben op individuele gegevenselementen (data-level assurance) in plaats van de huidige document-level assurance (beeldverklaring). Uit een onderzoek uitgevoerd in opdracht van het CFA Institute 15 onder analisten (response circa 9 procent) komt naar voren dat 50 procent van de respondenten verwacht dat er sprake is van een geïntegreerde controle of review door een onafhankelijke auditor met betrekking tot de juistheid van de tags. Deze controle / review moet betrekking hebben op rapportages van financiële informatie, inclusief disclosures, aan toezichthouders en beurzen; Level of Assurance; Het proces van openbaarmaking: Een rapportage in elektronische vorm, zoals een jaarrekening, vereist ook een accountantsverklaring in elektronische vorm. Dit kan een apart gegevenselement zijn waarin de volledige verklaring is opgenomen of een apart instance document waarin de verklaring in gegevenselementen is opgenomen. In het laatste geval zal de accountantsprofessie een XBRL taxonomie voor verklaringen moeten ontwikkelen en onderhouden. Voorts zullen afspraken moeten worden gemaakt over: o de wijze van ondertekening, waarschijnlijk door gebruik te maken van een elektronische handtekening o de wijze waarop de verklaring aan het object van onderzoek wordt gehecht en openbaar gemaakt o de eisen die moeten worden gesteld aan waarborgen met betrekking tot de identificatie, integriteit en authenticiteit van zowel de rapportage als de verklaring. De controleaanpak: Op grond van het voorgaande mag duidelijk zijn dat bij een ander object van onderzoek, een mogelijk ander level of assurance en een andere invulling van het begrip materialiteit een andere controleaanpak hoort; De kennis en vaardigheden van de accountants, inclusief hulpmiddelen: Hoewel insiders er vanuit gaan dat XBRL in de toekomst onder de motorkap zal verdwijnen en niet meer zichtbaar zal zijn voor gebruikers, zal het toch noodzakelijk zijn dat accountants enige kennis van XBRL en het gebruik daarvan hebben en weten hoe zij met gegevens in XBRL formaat moeten omgaan. Op grond van het voorgaande moge het duidelijk zijn dat nog een weg te gaan is voordat duidelijkheid ontstaat over assurance services gericht op informatie in XBRL-formaat. Omdat de huidige accountantsverklaring niet past bij de een jaarrekening in XBRL formaat heeft het NIVRA begin 2007 bekend gemaakt dat het op dit moment niet is toegestaan jaarrekeningen met een accountantsverklaring in XBRL formaat te deponeren. Op dit moment wordt door het NIVRA, in samen- 22 de EDP-Auditor nummer