Opinie 11 april 2013

De IT-auditor komt van Venus

IT-auditors komen van Venus denk ik. Want ze hebben wel heel veel woorden om uit te leggen hoe belangrijk ze zijn voor accountants.

Ivo Kouters en Age-Jan van de Meer pleiten in het maartnummer van Accountant en op dit forum voor audit integration, het toepassen van IT-audit als geïntegreerd onderdeel van de jaarrekeningcontrole. Hun bijdrage lokt zeer lange reacties uit en ook al een stevige  tegenreactie. 

Hé alweer, denk ik bij mijzelf. In de jaren negentig deed ik ook enorm mijn best om de integratie tussen IT audit en accountant voor elkaar te krijgen. Zowel als IT-auditor als accountant met kennis van en affiniteit met IT probeerde ik beide partijen tot elkaar te brengen. 

Als Venus van huis uit, was het volgens mij niet zo'n ingewikkeld probleem. De bijdrage die de IT-auditor kan leveren aan een jaarrekeningcontrole is maar heel beperkt:

• Ja accountant, je kunt steunen op de systemen. Aanvullende gegevensgerichte controle niet noodzakelijk.
• Nee accountant, je kunt niet steunen op de systemen. Volledige gegevensgerichte controle noodzakelijk.
• Ja accountant, je kunt deels steunen op de systemen.

En de accountant ging gewoon zijn gang. Niet steunen was geen 'best practice'.  

De vaktechnische noodzaak van deze bevindingen neemt inmiddels wel af. Door beschikbaarheid en toegankelijkheid van gegevens is gegevensgericht controleren de norm. Ik corrigeer mijzelf: Gegevensgericht controleren zou de norm moeten zijn. Vraag het aan Philip Elsas en vraag het aan Pieter de Kok. 

Maar ik bereikte de accountant van Mars maar zelden. Ik schreef hier al eerder over. Het standaardwerk van John Gray "Mannen komen van Mars, vrouwen van Venus" gaf me troost en diverse nuttige tips waar de accountant en IT-auditor hun voordeel mee kunnen doen: "Als een Marsbewoner zich beter wil voelen trekt hij zich terug om zijn problemen alleen op te lossen". 

De auteurs van 'Audit integration moet gaan vliegen' hebben dezelfde ervaringen: "Toch wil het nog niet echt van de grond komen, ondanks de vele trainingen op dit gebied. Dit is onder meer verklaarbaar door een gebrek aan communicatieve vaardigheden van de betrokken specialisten." 

Volgens de auteurs is de gemiddelde accountant niet goed op de hoogte van de mogelijkheden en beperkingen van IT-audit en heeft hij daar ook weinig tot geen affiniteit mee. En omgekeerd. Het ligt dus blijkbaar aan de communicatie. Maar als IT-auditors zoveel woorden nodig hebben is er iets bijzonders aan de hand. Dat vraagt ook om bijzondere oplossingen, en een heel andere kijk op het probleem. 

De oplossing van Kouters en Van de Meer is echter weinig creatief. De IT-auditors gaan het nog maar een keer uitleggen en nog maar weer eens beter communiceren. Maar IT-auditors en accountants spreken niet dezelfde taal. En dan kun je uitleggen tot je een ons weegt. Ik citeer John Gray: "Zodra je maar begrijpt dat je soms niets van elkaar begrijpt, zijn veel relatieproblemen meteen opgelost". 

Zelf ben ik ook tot de conclusie gekomen dat de verschillen te groot zijn om enkel door relatietherapie ("Dokter ... mijn accountant van Mars luistert zo slecht naar me!") te worden opgelost.  

Ook Jan Matto gelooft niet direct in Audit integration. De kern van de reacties komt voor mij samen in de bijdrage van Prof drs H.C. Kocks RA (zie zijn reactie). Hij schrijft: "Mijn aantoonbare stelling is dat een IT-auditor niets te zoeken heeft bij de jaarrekeningcontrole. De accountant is daarvoor opgeleid en niet de IT-auditor. (...)  Ik heb in 1991 de EDP auditing opleiding aan de EUR gestalte mogen geven. Die opleiding is, zolang ik er verantwoordelijk voor ben geweest, nimmer bedoeld geweest om mensen op te leiden voor (ondersteuning van) de jaarrekeningcontrole maar als zelfstandige discipline." 

Voor mij ook nieuw, geef ik toe. Ik ben van de school: "Kom, geef de Mars- accountant een handje en nu samen spelen!" 

De voornaamste werkzaamheden van een IT-auditor binnen de jaarrekeningcontrole zijn gericht op het in kaart brengen en beoordelen van de AO, BIV, de maatregelen van interne controle. Een kerntaak van de accountant zelf. 

Door de opmerking van Kocks valt voor mij het kwartje. De accountant die zijn vak beheerst begrijpt IT. De technische kennis kan hij in zijn controle betrekken zonder de verantwoordelijkheid over te dragen: Een Java-expert in plaats van een Java-auditor, een Oracle-specialist in plaats van een Oracle-auditor. De accountant bepaalt wat hij wil weten. En de IT-auditor houdt zich met andere dingen bezig, niet met de jaarrekening. Zo hoort het.