Rapportages voor derden

Het is niet altijd voor iedereen duidelijk wat en hoe een IT-auditor naar derde partijen moet rapporteren. Dat is niet alleen voor buitenstaanders een lastig punt, maar ook voor relatief onervaren auditors. De auditor mag niet in conflict komen met de regels en de daarop gebaseerde verwachtingen van de professionele buitenwereld. Een rapport en de onderliggende werkzaamheden voor derden moeten aan regels voldoen: de IT-auditor kan niet naar eigen goeddunken te werk gaan. Het begint met de keuze van de juiste richtlijn en daarbinnen de keuze van de juiste vorm van rapportage. Het doel van het rapport moet bepalend zijn voor de te volgen regels. Maar hier gaat het vaak fout. Waar ligt dit aan? Onbegrip of onbegrijpelijke regels? In elk geval leert de praktijk dat opdrachtgevers nogal eens vragen naar assurancerapporten die niet passen, respectievelijk dat de voorstelling die zij van het assurancerapport hebben anders is dan de geformuleerde vraag.

In dit artikel analyseer ik hoe wij als IT-auditors voor onszelf, en vooral ook voor de markt duidelijkheid kunnen scheppen. Voorwaarde om dat te kunnen doen, is natuurlijk dat we zelf goed in het hoofd hebben welke standaard voor welke situatie geschikt is. Daarom besteed ik hier uitgebreid aandacht aan. Verder pleit ik voor extra duidelijkheid door een onderscheidende benaming te gebruiken voor assurancerapporten over de beschikbaarheid, integriteit en vertrouwelijkheid van de dienstverlening door IT-serviceorganisaties. De van ouds bekende ‘Third Party Mededeling’ (TPM) vind ik daar een prima label voor.