Transcript
ControlasaService(C.a.a.S)INRICHTENENUITBESTEDENVAN2E L INEOFDEFENCE / INTERNECONTROLE
DESNELSTEENGOEDKOOPSTEMANIEROM‘ INCONTROL’ TEKOMEN.
1
UniekedienstverleningvoorSAPKenmerkenvanControlasaService(C.a.a.S.):
ØWijontzorgen uworganisatievoorhet‘incontrol’zijn.
ØDeinvullingvande2nd lineofdefense /onafhankelijkecontrolefunctie.
ØContinuous Monitoringvanhetfinancieelbeheer.
2
WatkrijgtumetC.a.a.S.1. Invullingvande2nd lineofdefence /internecontrole,geheelonafhankelijkvanuworganisatie.
2. Deuitvoeringvanperiodiekcontrolesenrapportage.
3. Vragenalleentijdvanhetmanagementindiennodig(early warnings).
4. Eenuitgebreiddossierwaaruitblijktdatdecontroleszijnuitgevoerd.
5. EenGovernance,RiskenComplianceFrameworkopgezetdoorzeerervarenengecertificeerdeauditors.
6. DesgewenstdeinrichtingvanGRCtooling,metdeopvolgingvansignalen
7. Eenhogematevanstandaardisatievancontroles,waardoorC.a.a.S.tegenbetaalbaretarievenkanwordenaangeboden.
8. Eenvolwaardigegesprekpartnervooruwaccountant.
9. Ondersteuningbijverbeteringvanhetincontrolzijnvandeorganisatie.
10. C.a.a.S.iseengroeimodel:startmetuniverselestandaardcontrolesvoorSAPenbreidendiesamenmetuuit.
3
SAPisalsERPsysteemeengoedekeuzemaarwelveelaandachtspuntenbijimplementatieenbeheer
ØAutorisatieinrichtinginSAPiseen’uitdaging’
Ø(Te)makkelijkomSAP_ALLuittedelenaangebruikersenbeheerders
ØHeelgoedeBusinessControlsteimplementeren,maarØMetbepaaldeSAPtransactiesteomzeilenØMetparametersensettings gestuurd=>sneluitteschakelenwanneerhetchangemanagementprocesnietgoedwordtbeheerd
Ø Steedsmeersteunendopworkflow=>dedicated voorelkeorganisatie,nietgebaseerdopTCodes
ØSAPbiedtveelondersteuningvoorchangemanagement,maarØ TransportmechanismemoetwelbeheerstwordenØOmgevingenmoetennietopenstaanvoorwijzigingen
ØGoedeloggingsmogelijkheden,maarØ Logging isuitteschakelenØ Logfileskunnenverlorengaan=>nietbewaardinSAP
AndereERPpakkettenw.o.OracleEBS,MicrosoftDynamicsmissendemeestedoorSAPstandaardondersteundebusinesscontrols eneentransportmechanisme.
4
Productscope
C.a.a.S.AO/IC
C.a.a.S.Infra
C.a.a.S.SAP
ToetsenopnalevingSecurityBaselines
Standaardcontrolewerkprogramma’s&specials
DatabaseOperatingSystemInfrastructuur
AutorisatieinrichtingChangeManagement
ParametriseringSAPSecurityBaselineSecurityManagement
WorkflowProgrammed Procedures
CustomizationAO/IC
JaarrekeningInControlStatement
5
OnderdelenC.A.A.S.1. Intake IsC.a.a.S.geschiktvooru? inputvoornulmetingenverbeterplan.
2. Nulmeting Hoegoedbentu’incontrol’? ControleProgramma’senverbeterplan.
3. Verbeterplan Ontbrekendebeheersmaatregelenbelangrijkomoptevolgen!
4. Periodiekecontroles OpbasisvanControlProgramma’s,gestandaardiseerd,vastgelegdindossiers.
5. Rapportage+early warnings Rapportagenaar1e lijn,early warnings voorhetmanagement.
6. PeriodiekeanalyseKey Controls Actualiseren&uitbreidingvandeperiodiekecontroles Groeimodel.
7. Verbeterenbeheersmaatregelen Debeheersmaatregelendieudientinterichten/verbetereninuworganisatie.
8. UitbreidenControles AanpassingeninbeheersmaatregelenwijactualiserendeControleProgramma’s.
C.a.a.S.isgeen eenmaligeimplementatie.C.a.a.S isweleenproductwaarmeeu‘incontrol’komtenblijft.
6
HetC.a.a.S.proces
2.Nulmeting
1.Intake
6.AnalyseKey
controls
7
1.IntaketoetsDeintakebestaatuit:o Uworganisatievulteenvragenlijstin.o Interviewsmethetmanagement,SAPbeheerdersenkey users.o EendocumentaironderzoeknaardebeveiligingenhetbeheervanuwSAPsysteem.o Opstellenvaneenverbeterplan.
NadeintakeisduidelijkwelkeC.a.a.S.dienstverleninghetbestebijuworganisatiepast:o Decontroleswaarwedirectmeekunnenstarten.o Deverbetertrajectenwaaruworganisatienogmeeaandeslagmoet.o Hetgroeipaddathetbestebijuworganisatiepast.
8
2.NulmetingBijdenulmetinglichtenwijuSAPsysteemdoor:o Debelangrijkstebeveiligingsinstellingen.o Debeheerprocessen.o Deautorisatieinrichting.o VoordeSAPinstellingenenbeheerprocessendiewijtoereikendhebbenbevonden,stellenwijcontroleprogramma’sop.
oWijidentificerenwaarverbeteringennodigzijnenleggenditvastinhetverbeterplan.
Denulmetingishetvertrekpuntvoordeperiodiekecontroles.
9
3.VerbeterplanInhetVerbeterplanstaandebeveiligingsinstellingenenbeheerprocessendieverbeterdzoudenmoetenwordenom ‘incontrol’tezijn.
Hetverbeterplandatwevooru opstelleniseendynamischplandatop- enbijgesteldwordtopbasisvan:o Onzeconstateringenvanuitdeintake.o Onzeconstateringenvanuitdenulmeting.o Onzeconstateringenvanuitdeperiodiekecontrole.o DeanalysevandeKey controls,wanneerblijktdatdezenietgetroffenzijn.o Dedoorgevoerdeverbeteringeninbeveiligingsinstellingenen/ofdebeheerprocessen.
HetisbelangrijkdathetmanagementperiodiekaandachtbesteedaanhetVerbeterplanenzorgdraagtvoorhetdoorvoerenvandeverbeteringen.
Desgewenstkunnenwebijhetdoorvoerenvandeverbeteringenondersteunen.
10
4.PeriodiekecontrolesDeperiodiekecontroleswordenuitgevoerdopbasisvanControleProgramma’sdieinvoorgaandefaseszijnopgesteld.o Uverstrektonsmaandelijksdevoorafgevraagdegegevens.oWijcontrolerendegegevensenbepalendedeelwaarnemingen.oWijvragenaanvullendeinformatieop,waaronderdeinformatieoverdedeelwaarnemingen.oWijverwerkendeinformatie,voerenhetcontroleprogrammauitenleggendeuitgevoerdewerkzaamhedenvastineendigitaaldossier.
HetdigitaaldossierwordtveiligopgeslagenopuweigenvertrouwdenetwerkofbijeenCloudproviderdieaanstrengesecurityeisenvoldoetengedurendetenminste7jaarbewaard.
11
5.RapportagesMaandelijksontvangtuvanonseenrapportage:o Overdeuitgevoerdewerkzaamheden.o Debelangrijkstebevindingen.o Deaanvullendeuitgevoerdewerkzaamhedenendaaraanverbondenkosten.o Overdevoortgangvanverbeteringenwaarwijbijbetrokkenzijn.
Wijnemenslechtscontactopmethetmanagement,indienmanagementaandachtnoodzakelijkis.
12
6.(Periodieke)analysekey controlsPeriodiekgaanwesamenmetuworganisatiedeKey Controlsidentificeren:o DeKey Controlszijndebeheersmaatregelendievoordebedrijfsprocessenvandeondernemingvanessentieelbelangzijn.
o SamenmetubepalenweopbasisvaneenrisicoanalysederelevanteKey Controls.o DeKey ControlsbetreffenzowelmaatregeleninSAP,hetITbeheer,indeAOofIC.o DeKey Controlskunnenalzijningeregeldofnogontbrekenenmoetendanwordeningericht.o VoordeKey Controlsdiezijningeregeld,stellenweControleProgramma’sop.o DeKey Controlsdienognietzijningeregeld,voegenwetoeaanhetVerbeterplan.o DeKey Controlszijngeenvervanging,maareenaanvullingopdecontrolesdiewestandaardopSAPenindienafgesprokenopinfrastructuurniveauhebbeningeregeld.
13
ProductWerkzaamheden Standaardproduct Plus
Intake +
Nulmeting +
Verbeterplan +
Periodieke controles + +
Periodieke rapportages + +
Managementinformatie(early warnings) + +
Ondersteuningverbeteringen +
Periodieke analyseKey Controls +
14
VoordelenvooruØ Debelangrijkstebeheerprocessen&debelangrijksterisico’sinSAPwordenmaandelijksgemonitordopbasisvaneenstandaardsetvancontrols.
Ø Tijdigsignalerenvanrisico’senverbeterpuntennaarmanagementen1e lijn.
Ø GRCframework,tooling,bemensing2e lijnwordtuuithandengenomen.
Ø BetereuitkomstenuitITenFinancialaudits.
Ø 2e lijns achtervang,dieondersteuntbijdeverbeteringendebeheersingvanSAP.
Ø Kostenreductieomdatgebruikgemaaktwordtvaneenstandaardaanpakenbestpractices.
Ø Focusopkey-risks en-controls;geenstandaardlijstjesmeteenoneindigaantalbeheersmaatregelen.
ØMinderkostenverbondenaandeaccountantscontroleomdathij/zijkansteunenoponzewerkzaamheden.
15
Bentugeïnteresseerd?Website:control-as-a-service.eu
Mail:info@control-as-a-service.eu
C.a.a.S.wordtuaangebodendoor:
SonkeAssuranceProviderarold@sonke.net06-28115488http://www.sonke.net
RA’Quel06-22538735http://www.ra-quel.nl
16
Terinfo:Threelines ofDefence Structure
17
top related