IT-audit voor het MKB: wat het inhoudt en wanneer het zinvol is

"Een IT-audit? Dat is toch iets voor grote, beursgenoteerde organisaties met een eigen IT-afdeling." Die aanname horen wij geregeld van directeuren en IT-managers bij Nederlandse MKB-bedrijven — en die aanname klopt niet. Steeds vaker krijgt juist een kleiner of middelgroot bedrijf de vraag om aan te tonen dat de IT-omgeving beheerst is: van een klant die zelf onder toezicht staat, van een aanbesteding, of simpelweg omdat het bedrijf zelf hard is gegroeid en de IT-processen niet meer meegroeiden met die groei.

Dit artikel legt uit wat een IT-audit voor een MKB-bedrijf concreet inhoudt, wanneer het traject daadwerkelijk zinvol is, wat het aan tijd van uw team vraagt, en hoe het zich verhoudt tot een ISO 27001-audit. Voor het volledige overzicht van onze IT-audit- en assurancedienstverlening, zie de hub-pagina IT-audit & assurance-readiness.

Is een IT-audit alleen iets voor grote organisaties?

Nee. Het idee dat een IT-audit alleen bij grote, complexe organisaties hoort, is een van de hardnekkigste misverstanden in dit vakgebied. In de praktijk is de omvang van een organisatie niet de belangrijkste factor die bepaalt of een IT-audit zinvol is — de aard van de afhankelijkheden wel. Een MKB-bedrijf dat persoonsgegevens verwerkt voor klanten, kritieke processen uitbesteedt aan een IT-dienstverlener, of onderdeel is van de toeleveringsketen van een grotere, gereguleerde partij, loopt precies dezelfde risico's als een grote onderneming — alleen vaak met minder interne capaciteit om die risico's zelf te beheersen.

Wat wél verschilt, is de schaal en scope van het onderzoek. Een IT-audit bij een MKB-bedrijf richt zich doorgaans op een beperkter aantal systemen en processen dan bij een grote organisatie met meerdere vestigingen of divisies. Dat maakt het traject behapbaarder, niet minder waardevol.

Wat een IT-audit voor een MKB-bedrijf concreet toetst

Een IT-audit beoordeelt of de beheersmaatregelen rond uw IT-omgeving — de zogeheten IT general controls en, waar relevant, application controls — daadwerkelijk aanwezig zijn, belegd zijn bij een verantwoordelijke, en aantoonbaar werken. ISACA, de internationale beroepsorganisatie voor IT-auditors, hanteert hiervoor in essentie dezelfde kernvraag: is er bewijs dat een beheersmaatregel niet alleen is beschreven, maar ook daadwerkelijk functioneert? Concreet gaat het bij een MKB-bedrijf meestal om dezelfde bouwstenen als bij grotere organisaties, maar dan toegesneden op de eigen omvang:

ISACA — IT Audit resources (officiële bron).

• Toegangsbeheer — wie heeft toegang tot welke systemen en gegevens, hoe wordt die toegang toegekend en weer ingetrokken, en gebeurt dat aantoonbaar volgens een vast proces?
• Wijzigingsbeheer — hoe worden wijzigingen aan systemen, software en infrastructuur getest, goedgekeurd en vastgelegd voordat ze live gaan?
• Logging en monitoring — worden relevante gebeurtenissen vastgelegd en is er iemand die daar daadwerkelijk naar kijkt?
• Back-up en continuïteit — worden back-ups gemaakt, getest en is er een plan voor het geval systemen uitvallen?
• Leveranciersbeheer — bij veel MKB-bedrijven is IT geheel of gedeeltelijk uitbesteed; een IT-audit kijkt dan ook naar de afspraken met en het toezicht op die leverancier.

Voor een uitgebreide toelichting per onderdeel, met praktijkvoorbeelden, verwijzen we naar onze blog IT-audit laten uitvoeren: wat wordt er precies onderzocht?

Wanneer is het zinvol: vier concrete triggers

Een IT-audit is meestal geen doel op zich, maar een reactie op een concrete aanleiding. Bij MKB-bedrijven zien wij vier situaties het vaakst terugkomen:

• Een klantvraag. Een (potentiële) klant, vaak zelf onder toezicht of onderdeel van een gereguleerde keten, wil onafhankelijk bewijs zien dat uw IT-omgeving beheerst is voordat de samenwerking start of wordt verlengd.
• Een aanbesteding. In het bestek staat een eis over IT-beheersing, informatiebeveiliging of een onafhankelijke beoordeling daarvan, en zonder aantoonbaar bewijs valt u af als leverancier.
• Een incident. Na een beveiligingsincident, een datalek of een bijna-misser wil de directie objectief weten waar de zwakke plekken zitten, los van de mening van de eigen IT-afdeling of leverancier.
• Groei. Het bedrijf is de afgelopen jaren snel gegroeid, systemen en processen zijn ad hoc meegegroeid, en niemand heeft meer een compleet, actueel beeld van wie waarvoor verantwoordelijk is.

In alle vier de gevallen geldt hetzelfde uitgangspunt: hoe eerder u begint, hoe minder de audit aanvoelt als een verplichting onder tijdsdruk, en hoe meer u er zelf van kunt leren voordat een klant of aanbesteder het voor u ontdekt.

Wat het traject kost aan tijd van uw team

De belangrijkste investering bij een IT-audit is niet zozeer geld, maar tijd van de mensen die de systemen en processen dagelijks beheren. In grote lijnen bestaat die tijdsbesteding uit drie fasen: een intake waarin scope en planning worden bepaald, een fase waarin bewijs en documentatie worden verzameld en toegelicht — vaak de meest tijdsintensieve stap — en een afrondende fase met bevindingen en een terugkoppelgesprek. Bij een MKB-bedrijf met een beperkt aantal systemen en een IT-omgeving die grotendeels is uitbesteed, is die tijdsbesteding doorgaans overzichtelijk: één of enkele contactpersonen die overzicht hebben, plus eventueel korte input van de externe IT-leverancier.

Hoeveel tijd dit precies kost, hangt sterk af van de scope en van hoe volwassen uw huidige documentatie al is. Er bestaat geen vast tarief of vaste doorlooptijd die voor elke organisatie klopt — dat wordt pas duidelijk tijdens de intake, wanneer scope en planning concreet worden gemaakt.

Verschil met een ISO 27001-audit

Een IT-audit en een ISO 27001-audit worden vaak door elkaar gehaald, maar zijn niet hetzelfde. Een IT-audit is een gericht, onafhankelijk onderzoek naar een afgebakende set IT-controls en resulteert in een bevindingenrapport; het kan op zichzelf staan, zonder dat uw organisatie een ISO 27001-certificeringstraject doorloopt. Een ISO 27001-audit toetst uw volledige managementsysteem voor informatiebeveiliging (ISMS) — inclusief risicomanagement, beleid, bewustzijn en continue verbetering — tegen een internationaal erkende norm, en leidt via een geaccrediteerde certificerende instelling tot een certificaat: een pass/fail-beslissing op normniveau.

Voor veel MKB-bedrijven is een IT-audit een logische eerste, kleinere stap: het geeft snel inzicht in de status van de belangrijkste IT-controls, zonder meteen de omvang van een volledig certificeringstraject. Overweegt u op termijn wél ISO 27001-certificering, dan is het bewijs uit een eerdere IT-audit vaak direct bruikbaar. Meer over die route leest u op onze pagina ISO 27001 voor het MKB.