Hoofdstuk 6: Organisatie van controleprocessen ten behoeve van de informatieverwerking

1. Hoofdstuk 6: Organisatie van controleprocessen ten behoeve van de informatieverwerking

2. Obj. LT Beslissingsprocessen Beleidsvorming en beslissing Beleidsplan Obj. MT Beslissing jaarl. actieplannen Obj. KT Probleem- analyse 4 4 4 Beslissing uitvoering plan Beleids- begroting Jaarlijkse budgetten Budgetvoorstel Operationele processen Taakopdracht 7 Programmatie van uitvoering Instructies Controle-processen 6 Resultaten Uitvoering strategisch tactisch operationeel

3. Inhoudstafel Hoofdstuk 6 Controleprocessen 1. Belang van controleprocessen 2. Interne controle 3. Controle op beslissingen 4. Controle op het operationeel bedrijfsgebeuren 5. Controle op normen 6. Controle op administratie • materieel administratieve controle • formeel administratieve controle 7. Six Sigma

4. 1. Belang van controleprocessen Opdat een organisatie goed zou functioneren moeten beslissings- en operationele processen worden gecontroleerd. Het goed functioneren van een organisatie houdt in: • dat van de verleende bevoegdheden een juist gebruik gemaakt wordt; • dat de te verrichten opdrachten tijdig en op de juiste wijze worden uitgevoerd; • dat de ter beschikking staande middelen in voldoende mate zijn beveiligd; • dat de ter beschikking staande middelen worden aangewend voor het doel waarvoor zij volgens de voorschriften zijn bestemd; • dat de administratie correct wordt gevoerd.

5. Interne controle (internal audit) De controle die door of namens de leiding wordt uitgeoefend op de activiteiten binnen de organisatie ten behoeve van de leiding. Dit is het geheel van onderling samenhangende maatregelen die de volledigheid juistheid tijdigheid en het geoorloofd zijn van bedrijfsactiviteiten garanderen.

6. Externe controle Wordt uitgeoefend in opdracht van bv. eigenaars of aandeelhouders van bedrijven, financiële experts, overheid, regulatoren en anderen die in het maatschappelijk verkeer als ‘belanghebbenden’ (stakeholders) worden aangeduid. Deze controle gebeurt dus t.b.v. anderen dan diegenen die met de leiding belast zijn van het bedrijf waar de controle wordt verricht.

7. De interne controle verloopt in volgende fasen: • Vaststellen van normen • Registreren van de werkelijkheid • Confrontatie van werkelijkheid met norm • Vaststellen van eventuele afwijkingen • Analyseren van geconstateerde afwijkingen naar oorzaken • Rapporteren aan leiding Van de administratieve organisatie wordt verwacht dat zij het gehele controleproces systematisch ondersteunt.

8. 2. Vormen van interne controle • Naar de gewenste conclusie: pos. - neg. • Naar basisgegevens: goederen - bewijzen • Naar werkwijze: detail - totaal • Naar object: beslissingen – operaties - normen • Controle op beslissingen • Controle op bedrijfstoestand en operationeel bedrijfsgebeuren • Controle op normen • Controle op administratie

9. 2. Vormen van interne controle • Naar de gewenste conclusie: • Positieve controle • Had alles wat geboekt is, ook effectief geboekt mogen worden? --> opsporen van fictieve verkoopfacturen • Negatieve controle • Is alles wat geboekt had moeten worden, ook effectief geboekt? --> opsporen van reële maar niet geboekte aankoopfacturen

10. Naar basisgegevens: • Inventarisatie: • vaststellen door nagaan van fysieke aanwezigheid • Controle met bewijsstukken: • vaststellen door nagaan van bewijsstukken • Verbandcontrole: • vaststellen door nagaan van een verband dat oorzakelijk zou moeten aanwezig zijn bv. Liquide middelen: beginsaldo + ontvangsten van debiteuren + overige ontvangsten – betalingen aan crediteuren – overige betalingen = eindsaldo

11. Naar werkwijze: • Detailcontrole: • elke post wordt gecontroleerd • Totaalcontrole: • enkel totalen worden gecontroleerd. Die totalen worden langs een andere weg berekend, waarna nagegaan wordt of de berekende totalen ook aangetroffen worden in de betreffende registraties. • Partiële controle: • door het nagaan van de correctheid van een steekproef conclusies nemen over de totale populatie

12. Naar het object: • Controle op de beslissingen: • Zijn de beslissingen die werden genomen en de opdrachten die werden gegeven, juist geweest? • Zijn de verwachtingen bij de beleidsbepaling juist geweest? • Controle op het operationele bedrijfsgebeuren: • Is steeds op het juiste moment gehandeld en maken de werkzaamheden voldoende vooruitgang? • Zijn de opdrachten efficiënt uitgevoerd? • Controle op normen: • Zijn de toegepaste normen nog valabel? • Controle op de administratie: • Is de door de administratie versterkte informatie juist en volledig en efficiënt verwerkt?

13. 3. Controle op beslissingen • Zijn de verwachtingen waarvan bij de beleidsbepaling werd uitgegaan, juist geweest? = verwachtingscontrole • Zijn de beslissingen die werden genomen en de opdrachten die werden gegeven, juist geweest? = beleidscontrole • Is steeds binnen de toegelaten bevoegdheden gehandeld? = bevoegdheidcontrole

14. Voorbeeld Verwachtingscontrole: een distributiebedrijf Objectieven voor volgend jaar: 15% stijging van verkoopontvangsten netto-winst voor belastingen naar 10% Gekozen strategie op basis van verkoopvoorspellingen marketing: • stimuleren verkoop, verhogen verkoopprijs • publiciteit opvoeren Resultaat na beslissingen en controle op beslissingen: Verwachtingscontrole • Stijgende verkoop betekent ook meer inkopen (lange levertijd): -> Opstellen van gewijzigde cash flow projectie

15. 0 p 1 Verwachtingscontrole en Beleidscontrole • Een wetenschappelijke aanpak gebaseerd op het gebruik van informatie-theorie • Beschouw willekeurige gebeurtenis E met waarschijnlijkheid van voorkomen gelijk aan p. In de informatie-theorie wordt de informatie-inhoud van een bericht dat zegt dat de gebeurtenis zich heeft voorgedaan, uitgedrukt door: log2(1/p).

16. Entropie • Beschouw compleet systeem van n elkaar wederzijds uitsluitende gebeurtenissen E1, E2, E3, .... , En. • De respectievelijke a priori waarschijnlijkheden van voorkomen van deze gebeurtenissen zijn p1, p2, p3, ..., pn. • Wanneer wij een bericht ontvangen dat zegt dat Ei zich heeft voorgedaan is de ontvangen informatie gelijk aan log2(1/ pi) = - log2 pi. • De waarschijnlijkheid dat wij juist deze boodschap ontvangen is gelijk aan de waarschijnlijkheid dat Ei zich voordoet (pi). • De verwachte waarde van de informatie-inhoud van een bericht dat zegt dat zich één van de gebeurtenissen Ei heeft voorgedaan is dus gelijk aan: Maximale onzekerheid log2(N) indien alle pi =1/N; 0 indien één pi=1

17. 0 p q 1 Nieuwe waarschijnlijkheden • Wat is de verwachte informatie-inhoud van een boodschap die de a priori waarschijnlijkheid pi omzet tot de a posteriori waarschijnlijkheid qi? • Beschouwen wij één gebeurtenis E en een boodschap die zegt dat de aanvankelijk waarschijnlijkheid p nu q is geworden. • Veronderstel nu dat wij een tweede boodschap verkrijgen die zegt dat E zich effectief heeft voorgedaan. • De ontvangen informatie is dan • log2(1/p) op basis van de a priori waarschijnlijkheid pi en • log2(1/q) op basis van de a posteriori waarschijnlijkheid qi. • Informatie inhoud van boodschap die zegt dat p nu q is geworden: log2(1/p) – log2(1/q) = log2(q/p)

18. Beschouwen wij nu opnieuw een compleet systeem van n elkaar wederzijds uitsluitende gebeurtenissen. Wij berekenen de verwachte informatie- inhoud van een boodschap die de a priori waarschijnlijkheid pi omzet tot a posteriori waarschijnlijkheid qi. • Als Ei zich uiteindelijk voordoet is de informatie-inhoud log2(qi/pi) bits. De waarschijnlijkheid dat zo iets zich voordoet is qi. Log2(q/p) = 0 wanneer q = p Log2(q/p) < 0 wanneer q < p Log2(q/p) > 0 wanneer q > p

19. Informatie-inhoud van het voorkomen van E1 Compleet systeem van n gebeurtenissen De verwachte informatie-inhoud van een boodschap die de a priori probabiliteit pi omzet tot a posteriori probabiliteit qi is dan: Deze uitdrukking is altijd > 0 behalve wanneer qi = pi Indien qi=1 dan wordt de uitdrukking: log2(1/pi) (informatie-inhoud van een determinerende boodschap) Toepassing van informatie-theorie concepten ten behoeve van verwachtingscontrole: analyse van budgetvarianties

20. 3.00 Budgetvarianties • Realisatie 1: proportioneel • Realisatie 2: graad van afwijking van proportionaliteit?

21. Toegepast op budgetanalyse budgetfracties = relatieve frequenties die vooraf worden bepaald -> komen dus overeen met a priori probabiliteiten (pi) uitgavenfracties = relatieve frequenties die achteraf worden vastgesteld -> komen dus overeen met a posteriori probabiliteiten (qi) verwachte waarde van een bericht dat a priori probabiliteiten pi omzet naar a posteriori probabiliteiten qi = verwachte waarde van een bericht dat aangeeft hoe de budgetfracties zich uiteindelijk in uitgavenfracties hebben vertaald -> verwachtingscontrole qi log2(qi/pi) = 0 wanneer de overschrijding die een afdeling van zijn budget heeft gemaakt volledig proportioneel is aan de globale overschrijding van het budget van alle afdelingen tezamen. > 0 meer dan proportioneel < 0 minder dan proportioneel Indicatie voor beleidscontrole

22. Voorbeeld

23. Interpretatie • Gegeven dat de onderneming globaal gezien haar budget met een bepaald percentage heeft overschreden, wordt het als goed beschouwd wanneer een afdeling een kleinere percentsgewijze toename vertoont en minder goed wanneer de procentuele toename groter is. Een hoger resultaat duidt op significante afwijkingen. • Gebaseerd op ervaringscijfers uit het verleden • Norm aanleggen en van daaruit beslissen over het ‘significante karakter’ van de afwijkingen = verwachtingscontrole • Disproportionaliteit in overschrijding van budget door afdelingen binnen het totaal van alle afdelingen van het bedrijf. = beleidscontrole

24. Inhoudstafel Hoofdstuk 6 Controleprocessen 1. Belang van controleprocessen 2. Interne controle 3. Controle op beslissingen 4. Controle op het operationeel bedrijfsgebeuren 5. Controle op normen 6. Controle op administratie • materieel administratieve controle • formeel administratieve controle 7. Six Sigma

25. 4. controle op operationeel bedrijfsgebeuren (operations control) • Efficiëntiecontrole Controle over het feit of er altijd economisch is gehandeld. • begrote verbruik aan grondstoffen versus werkelijk verbruik • begrote aankoopprijzen versus werkelijke aankoopprijzen • werkelijke machinebezetting versus normale machinebezetting • Voortgangscontrole Is steeds op het juiste moment gehandeld en maken de werkzaamheden voldoende vooruitgang! • Vooral bij de opvolging van complexe projecten zoals de lancering van een nieuw product • Technieken: netwerkplanning, bv. PERT (Program Evalutation and Review Technique), GANTT charts

26. 5. Controle op de bij de controle gehanteerde normen De normen op basis waarvan het bedrijfsbeleid of het operationele bedrijfsgebeuren kan worden getoetst mogen geenszins als statische onveranderlijke grootheden worden beschouwd. wisselwerking norm <-> resultaat Controle van norm noodzakelijk om bij significante afwijkingen te kunnen onderscheiden naar: • tekortkomingen in beleid of uitvoering; • te corrigeren onvolmaaktheden in de normstelling.

27. 6. Controle op de administratie Controle op beslissingen Controle op operationele bedrijfstoestand Controle op normen Door middel van de administratie Controle op de administratie • Materieel administratieve controle: controle op de juistheid en de volledigheid van de administratie als uitdrukking van het bedrijfsgebeuren (bedrijfseconomisch) bijv. verband tussen uitgaven en daarvoor genoten prestaties ; verband tussen afgeleverde goederen en ontstane vorderingen • Formeel administratieve controle: controle op de juistheid en de efficiëntie van de administratieve verwerking

28. Materieel administratieve controle • 1. Verbandcontrole • 2. Controle-technische functiescheidingen • 3. Verificatie

29. 1. Verbandcontrole • Controle door middel van het leggen van een verband dat op basis van bedrijfseconomische principes moet bestaan. • Voorbeeld: de correctheid van de administratieve behandeling van een verkooptransactie kan op basis van het noodzakelijk bestaan van een aantal verbanden worden gecontroleerd. • verkooporderadministratie, voorraadadministratie, facturatie, debiteurenadministratie, boekhouding • Verband tussen al deze registraties moet kloppen! • Voorbeeld 2: crediteur (leverancier) biedt factuur ter betaling aan

30. 2. Controle-technische functiescheidingen • Het invoeren van een zodanige taakverdeling en het aanbrengen van zodanige beperkingen in de bevoegdheden van de verschillende functionarissen, zozeer dat transacties niet buiten de administratieve verantwoording kunnen worden gehouden. • Voorbeeld: persoon die tegelijk verantwoordelijk is voor aan- en verkoop kan leiden tot verduistering van bedrijfswinsten door het buiten de administratie houden van bepaalde transacties • Invoeren van zodanige beperkingen in de bevoegdheden van functionarissen dat: • ieder van hen slechts een beperkt aantal schakels in een waarden- omloopproces kan beïnvloeden. • beheersfuncties, bewarende functies en registrerende functies niet worden vermengd (niet door dezelfde persoon worden waargenomen).

31. Functiescheiding • Beheersfuncties: • Deze oefenen beheersmacht uit over goederen en geld, maar hebben ze niet in bewaring. bv. bestuurders, procuratiehouders, verkopers • Bewaarfuncties • Deze zijn gehouden tot het bewaren van goederen en geld en mogen die uitsluitend ontvangen of afgeven op machtiging van beheersfuncties • Registrerende functies • Deze verzorgen de informatieverwerking zoveel mogelijk onafhankelijk van het beheren en bewaren.

32. 3. Verificatie • Opname van de werkelijke aanwezige bedrijfsmiddelen en vergelijking hiervan met de corresponderende administratieve gegevens • Methode: inventarisatie van aanwezige voorraden, goederen, financiële middelen • Varianten: • Simultane opneming: volledige controle over alle voorraaditems over zeer korte periode probleem: kan productieproces worden stilgelegd? • Geregelde partiële opneming (cycle counting) continue en systematische controle van voorraaditems over periode van 1 jaar op basis van een vooraf ontworpen cyclus waarbij fysieke voorraadtoestand van elk voorraadartikel minstens éénmaal per jaar wordt nagezien(ABC) Voordelen cycle counting: productie niet stilleggen; tijdige detectie en verbetering van fouten, kleinere kans van te lage of te hoge voorraad

33. % van de totale vraag of omzet 95 80 A B C % van het aantal producten uit het totale assortiment 20 50 ABC-analyse • Een methode die een assortiment van producten onderverdeelt in veel, middelmatig en weinig gevraagde producten A-groep: betreft 20% van de producten uit het assortiment die verantwoordelijk zijn voor 80% van de vraag (omzet)

34. Formeel administratieve controle • Algemene invloeden van automatisering op interne controle: verzwakking interne controle? • Door de integratie van voorheen meervoudige registraties in 1 systeem valt de mogelijkheid weg om de verwerking door verschillende instanties te laten verrichten en de uitkomsten administratief te vergelijken (minder verbandcontrole) • Verschillende administratieve handelingen die voorheen in verschillende achtereenvolgende bewerkingsfasen werden verricht, vinden nu – zonder verdere menselijke tussenkomst - in 1 verwerkingsproces plaats (minder controle-technische functiescheidingen) • Juistheid en volledigheid van (enige) input belangrijker dan voorheen • Gevolgen: • een verzwakking van sommige facetten van de materieel administratieve controle; • een evolutie in materieel administratieve controle (inbouwen van controle-technische functiescheidingen in de automatiseringsafdeling); • een versterking van het belang van formeel administratieve controle.

35. Maar… • Informatiesystemen laten ook nieuwe controle op fraude toe!

36. Fraude Detectie • Identificatie van foute acties (gekende fraude) • BI, reporting • Identificatie van acties door verkeerde personen • rechten • Identificatie van verdachte acties • patronen • Identificatie van foute acties (ongekende fraude) • Clustering, outliers

37. Benford's Law Typische toepassingen Overheid, Verzekeringen, Kredietkaarten, Telecom, Audit, Facturen en betalingen, Tax • Autoverzekeringen: # ongevallen • Witwaspraktijken • Ziekteverzekering • Voorschrijfgedrag • Onverenigbaarheden • Telecommunicatie • Afwijkingen van profiel • Voorraden, leveranciers, … • Anti-terrorisme …

38. Voorbeeld: Ziekteverzekering • Controle op prestaties (arts) • Controle op ontvangsten (patiënt) • Controle op uitbetalingen (bediende)

39. Formeel administratieve controle • Formeel administratieve controle: • controle op informatiesysteemontwikkeling; • controle op de eigenlijke informatieverwerking; • controle op de beveiliging.

40. Controle op systeemontwikkeling • Een kwaliteitsvol informatiesysteem ontwikkelen is niet evident: • Ontwikkeling gebeurt in fasen (analyse, ontwerp, bouw, implementatie). • Periodes waarin systemen moeten gereed zijn, worden steeds korter. • Wat is een ‘goed’ of ‘slecht’ informatiesysteem? • Kwaliteitsmodellen voor informatiesystemen duiden meestal 5 hoofdgebieden aan voor kwaliteit (en geven indicatoren en meetvoorschriften per gebied). • functionaliteit • bruikbaarheid • onderhoudbaarheid • betrouwbaarheid • portabiliteit • Het capability maturity model (CMM) is een model uit de wereld van software-engineering voor het beschrijven van kwaliteitsniveaus (5) waarop bedrijven zich – op het vlak van het ontwikkelen van informatiesystemen – kunnen bevinden.

41. Continu Verbeterende Processen Optimizing (5) Managed (4) Voorspelbare Processen Defined (3) Standaard en Consistente Processen Gedisciplineerde Processen Repeatable (2) Initial (1) Het CMM model

42. Het CMM model • Initial • Ontwikkeling van informatiesystemen kan gekarakteriseerd worden als ad-hoc, ongestructureerd, en chaotisch • Vrijwel geen processen gedefinieerd • Repeatable • Planning en managen van nieuwe informatiesystemen is gebaseerd op ervaring met vergelijkbare systemen • Herhaling van eerdere successen op het vlak van informatiesystemen • Defined • Een standaard proces van informatiesysteemontwikkeling is gedefinieerd met bijhorende documentatie • Verantwoordelijkheden (project managers, software ontwikkelaars) goed gedefinieerd • Managed • Ontwikkelingsproces is voorspelbaar en trends kunnen worden gedetecteerd; risico’s worden onderkend en gemanaged • Er worden (kwantitatieve) doelstellingen gesteld voor het ontwikkelingsproces en de kwaliteit van de resulterende informatiesystemen • Optimizing • Streven naar continue verbeteringen van het ontwikkelingsproces; constante focus op continue verbetering • Software project teams analyseren fouten en bestuderen mogelijke verbetering • De opgedane ervaringen en ‘lessons learned’ worden gedeeld met andere projecten

43. Resultaten van investeringen in informatiesystemen

44. Hoofdgebieden voor systeemkwaliteit • Functionaliteit: • Vervult het systeem de functionaliteit (de werkzaamheden) die ervan worden verwacht? • Bruikbaarheid: • Kan het systeem effectief probleemloos in de werkomgeving worden geïntegreerd? • Onderhoudbaarheid: • Kan het systeem gemakkelijk worden aangepast, bv ten gevolge van externe ontwikkelingen? • Betrouwbaarheid: • Is het systeem bestendig? Kan het 24 op 24h door medewerkers worden gebruikt, waar ze zich ook bevinden? • Portabiliteit: • Kan het systeem gemakkelijk worden overgedragen van het ene hardware platform naar het andere?

45. Kost van foutcorrectie Diskwaliteit in informatiesystemen • Principe: hoe later in de ontwikkeling van systemen fouten worden ontdekt, hoe groter de inspanning om deze te verhelpen.

46. Diskwaliteit in informatiesystemen • Moet vermeden kunnen worden -> preventieve maatregelen Hoe fouten voorkomen bij het ontwikkelen van informatiesystemen? • Door gebruik van formele methoden bij analyse en ontwerp van systeem. • Door gebruik van standaarden bij de bouw van een systeem. • Door gebruik van integriteitsregels en triggers (automatisch aanroep) in implementatie. • Voorbeeld: Event (voorraadmutatie) – conditie (bestelpunt overschreden) – actie (plaatsen van bestelling) • Moet snel ontdekt kunnen worden -> detectieve maatregelen • Quality Control, testen • Het inspecteren van het op te leveren systeem • Moet snel ‘verholpen’ kunnen worden -> correctieve maatregelen Het effectief corrigeren van gevonden fouten (-> gevaar voor het ontstaan van nieuwe fouten...)

47. Testen Testen = het gebruiken van een systeem met de bedoeling om fouten te vinden • Programmatest: • onderzoek of een programma de vereiste functionaliteit – in alle omstandigheden – correct uitvoert. • Integratietest: • onderzoek of een verzameling van programma’s – die deel uitmaken van een applicatie – op een correcte wijze samenwerken. • Systeemtest: • onderzoek naar hardware, software, telecommunicatielijnen, ..., en documentatie die bij aanwending van het systeem zullen worden gebruikt. • Acceptatietest: • eindtest waarbij eindgebruikers zich uitspreken over alle facetten van het ontwikkelde systeem.

48. Totale kwaliteitskosten Preventie & detectiekosten kosten faalkosten kwaliteitsgraad Kosten van controle op systeemontwikkeling • De maatregelen die in het kader van kwaliteitszorg moeten worden genomen, kosten geld ... • Preventiekosten • Detectiekosten • Faalkosten = kosten voor het nemen van correctieve maatregelen of kosten als gevolg van onvoldoende kwaliteit (-> gederfde omzet)

49. Overzicht formeel administratieve controle • Controle op informatiesysteemontwikkeling • Controle op eigenlijke informatieverwerking • Controle tijdens het invoeren, respectievelijk uitvoeren van gegevens (in- en uitvoeracceptatiecontroles) • Controle op eigenlijke gegevensverwerking (updaten, verwijderen, toevoegen). • Gegevensbewaringscontroles: controles op het feit of de gegevens – na verlies of beschadiging – nog kunnen worden gerecupereerd • Controle op beveiliging

50. Invoer/uitvoer – acceptatiecontroles • Volgorde controle: • ten behoeve van de verwerking is het soms noodzakelijk dat gegevens in een welbepaalde volgorde worden ingelezen. • Formatcontrole • Controle op de overeenstemming tussen de gespecificeerde format (data type, woordlengte) en de vormkenmerken van het aangeboden gegeven. • voorbeeld:bedrag: numeriek, 6 cijfers waarvan 1 na de komma • Volledigheidscontrole: • controle op de volledigheid van ieder gegeven afzonderlijk en op de volledigheid van het geheel van de ingevoerde gegevens • Voorbeelden: • woonplaats + postcode • tijdsregistratie voor salarisprogramma: de namen van de werknemers waarvoor geen tijdsregistratie beschikbaar is, moeten ter controle worden voorgelegd.