In de wolken
Trendwatchers, softwareleveranciers, IT-auditors en inmiddels ook accountants hebben hun mond er van vol: cloud computing. Ik moet eerlijk zeggen dat ik tot voor kort nog onbekend was met die term, maar uit nieuwsgierigheid heb ik me nader georiënteerd.
Volgens Wikipedia maakt cloud computing 'het mogelijk om door middel van een computernetwerk gedeelde configureerbare computer middelen (zoals netwerken, servers, opslag, applicaties en diensten) op aanvraag beschikbaar te stellen op een snelle, gemakkelijke en alomtegenwoordige manier met minimale beheermoeite of interactie van een service provider'.
Deze ontwikkeling past in een al langere trend van globalisering en digitalisering: bedrijven besteden in toenemende mate (delen van) bedrijfsprocessen uit aan externe partijen. In het vertrouwen dat deze processen bedrijfszekerder en dus goedkoper worden uitgevoerd. Uitbesteding kan op van alles betrekking hebben. Van salarisadministratie tot aan de hele financiële administratie, van de bedrijfswebsite tot hosting van de complete IT-infrastructuur van de primaire processen. Ook cloud computing valt hieronder.
Bedrijven en instellingen worden dus in toenemende mate aan elkaar geknoopt en zijn daarmee gevoeliger geworden voor calamiteiten in de hele keten.
Wat betekenen deze ontwikkelingen voor de accountant? ‘Mijn klant heeft een SAS 70 geregeld' hoor ik de willekeurige accountant roepen. Te vaak heb ik gemerkt dat accountants zich onvoldoende verdiepen in wat de werkelijke waarde is en kan zijn van een rapportage van de accountant van de service provider. Zo kan het zijn dat de accountant van de service provider alleen een uitspraak doet over het bestaan van de interne beheersing en niet over de effectieve werking ervan. Of dat de periode waarover verslag wordt gedaan een significant deel van het gehele controlejaar niet afdekt. En heeft de accountant van de service provider wel voldoende rekening gehouden met de specifieke behoeften van de gebruikende klanten?
De kern van uitbesteding is dat de ondernemer bepaalde processen buiten de deur zet, maar wel de zekerheid wil hebben dat de beheersingsmaatregelen aanwezig blijven die hij zelf ook had. Dus ligt het voor de hand dat zowel de ondernemer als de accountant antwoord willen hebben op de vraag of de key controls van de uitbestede processen adequaat zijn ingeregeld, maar ook effectief werken en dat daarover verantwoording wordt afgelegd.
Voor degenen voor wie SAS 70 een merknaam was geworden als ware het de iPod onder de mp3-spelers, is er slecht nieuws: SAS 70 bestaat niet meer. Het goede nieuws: er is een nieuwe wereldwijde standaard (in Nederland Standaard 3402) gekomen die beter dan voorheen recht doet aan de risico's en de bijbehorende beheersingsmaatregelen van uitbesteding. Maar die nieuwe standaard wordt niet vanzelf de nieuwe iPod: accountants, hun kantoren en de NBA moeten aan de weg timmeren om dit nieuwe merk in de markt te zetten.
Kortom, werk aan de winkel voor de accountant. Cloud computing is geen roze wolk, maar geeft aanleiding voor de accountant om na te gaan wat dit betekent voor de beheersingsmaatregelen bij de ondernemer. Om zo te voorkomen dat de wolk ontaardt in een heftige onweersbui van geschaad vertrouwen.
Deze bijdrage is ook verschenen in Accountant van juli/augustus 2011.