Uitwerkingen cases hoofdstuk 5

© 2008 Noordhoff Uitgevers bv Groningen/Houten

Uitwerkingen cases hoofdstuk 5 5.1 1

PCkrediet Hoe beïnvloedt de invoering van het geautomatiseerde systeem bij PCkrediet de drie gebruiksmogelijkheden van informatie binnen de onderneming (informatie ten behoeve van het delegeren van taken en het afleggen van verantwoording; informatie voor het nemen van beslissingen; informatie ten behoeve van het doen functioneren van de organisatie)? De verandering van het proces binnen PCkrediet heeft een aantal belangrijke gevolgen. • Het proces is aanzienlijk versneld. In de praktijk nam het oorspronkelijke proces mogelijk enkele dagen in beslag. In het nieuwe proces kan dit worden teruggebracht tot enkele uren. • Een groot aantal taken dat vroeger over meerdere personen was verspreid, is nu geconcentreerd in een persoon. In plaats van specialisten maakt men nu gebruik van generalisten. • Beslissingen worden door medewerkers op operationeel niveau genomen (employee empowerment). • Klanten communiceren nog slechts met een enkele medewerker van de onderneming (eenloketgedachte). • De totale procedure is nu sterk afhankelijk van de juiste werking van het informatiesysteem. De gebruiksmogelijkheden van informatie worden als volgt beïnvloed: • Verantwoorden; aangezien de hele procedure zich steeds rond een enkele medewerker afspeelt, is de verantwoordingsstructuur veel helderder. In de oude procedure blijft het bij het optreden van een fout steeds de vraag wie verantwoordelijk is voor deze fout. Om dat vraagstuk beheersbaar te houden, is dan ook uitgebreide en gedetailleerde verantwoordingsinformatie nodig. In de nieuwe procedure is het verantwoordingsvraagstuk aanzienlijk vereenvoudigd, waardoor de verantwoordinginformatie kan worden verminderd. Als gevolg van de centralisatie van het proces en de inzet van het informatiesysteem kan verantwoordingsinformatie veel eenvoudiger en sneller worden gegenereerd. In de oude situatie kwam de verantwoordingsinformatie uit verschillende bronnen waardoor inconsistenties en integriteitproblemen konden ontstaan. • Beslissen; in de meeste situaties worden operationele beslissingen decentraal (door de medewerker zelf) genomen. Alleen in uitzonderlijke situaties worden specialisten in de procedure ingeschakeld. Het informatiesysteem zorgt ervoor dat relevante beslissingsinformatie accuraat en tijdig beschikbaar is voor de medewerker. • Besturen; aansturing van het proces door het management verloopt in de nieuwe situatie veel directer. Coördinatieproblemen zijn kleiner en de noodzaak voor het delen van kennis tussen verschillende betrokkenen in het proces is aanzienlijk afgenomen.

H o o fd lij n e n b es t u u rlij ke in fo rm a t ie vo o rz ie n i n g

1


2

Geef aan in hoeverre de inzet van het nieuwe geautomatiseerde systeem de internal control van PCkrediet zal beïnvloeden. Maak daarbij een onderscheid tussen de vier te onderscheiden doelen van internal control, te weten: (1) betrouwbare informatievoorziening; (2) volledigheid ingaande kasstromen en juistheid uitgaande kasstromen, (3) vermijden juridische conflicten en (4) minimaliseren risico onjuiste beslissingen. • Betrouwbaarheid (informatie in overeenstemming met de werkelijkheid); als er geen sprake is van bewuste fouten, wordt in standaardsituaties de betrouwbaarheid van informatie positief beïnvloed door het feit dat er slechts één persoon bij de procedure betrokken is (geen inconsistentieproblemen) en door de inschakeling van het informatiesysteem. Er zijn echter ook risico’s met betrekking tot de betrouwbaarheid van informatie. Zo is er geen sprake meer van functiescheiding (een persoon beheert het hele proces). Daarnaast bestaat er het risico dat het informatiesysteem in niet-standaardsituaties niet de juiste informatie verstrekt. • Volledigheid ingaande (en juistheid uitgaande) kasstromen (waarden verlaten ten onrechte de organisatie); concentratie bij één persoon kan de volledigheid van de ingaande kasstromen (termijnbetalingen) zowel positief (minder schakels in het proces waardoor beter overzicht kan worden gehouden) als negatief beïnvloeden (minder controle, mogelijkheid tot fraude). • Vermijden juridische conflicten (naleving weten regelgeving); ook hier geldt dat in standaardsituaties de inzet van het informatiesysteem de kans op juridische conflicten verkleint. Bij niet-standaardsituaties bestaat de kans dat het informatiesysteem onjuiste informatie verstrekt, met het risico van verkeerd gespecificeerde contracten (contractvoorwaarden die niet passen bij het risicoprofiel van de desbetreffende kredietnemer. Daarnaast kunnen zich veranderingen in de omgeving voordoen (bijvoorbeeld aanpassing van weten regelgeving) die niet tijdig of correct in het informatiesysteem worden verwerkt door een gebrek aan controle. • Risico onjuiste beslissingen (bedrijfsvoering is niet efficiënt of effectief); concentratie bij één persoon heeft een positieve invloed op het beslissingsproces in standaardsituaties. In het verleden was de inzet van specialisten in standaardsituaties zeker niet efficiënt. De inzet van generalisten in plaats van specialisten kan echter leiden tot onjuiste beslissingen in niet-standaardsituaties. Zo kan het zijn dat de medewerker een situatie ten onrechte als een standaardsituatie inschat, waardoor noodzakelijk specialistische kennis niet wordt ingezet. Ook is het team van specialisten veel kleiner, waardoor mogelijk specialistische kennis verloren gaat of te weinig nieuwe specialistische kennis wordt opgebouwd. Om deze vier risico’s simultaan aan te pakken, moet de functievermenging die is ontstaan door de hele kredietprocedure bij één persoon onder te brengen worden gecompenseerd door andere beheersingsmaatregelen. Het gaat om de volgende functievermenging: • vastleggen klantorder (bij Zepp) en vastleggen kredietaanvraag enerzijds en controle kredietwaardigheid; • goedkeuren krediet en opstellen contract; • vaststellen kredietvoorwaarden en registratie daarvan; • offerte vaststellen en verzenden. We herkennen in de nieuwe situatie duidelijk de basisprincipes van BPR (Business Process Re-engineering), namelijk: • Laat de gebruikers van de uitkomsten van processen ook dat proces uitvoeren (uitkomst = kredietverstrekking; procesuitvoer = alle vorengenoemde handelingen die nu zijn vermengd). • Laat degenen die de registratie doen van transacties ook de verdere verwerking doen (registratie = vastleggen order en kredietaanvraag; verwerking = controleren kredietwaardigheid en goed- dan wel afkeuren).

2

U it w e rkin g e n c as e s h o o fds t u k 5


•

Geef medewerkers op zo laag mogelijk niveau in de organisatie zelfstandige beslissingsbevoegdheid (beslissen = goed- of afkeuring krediet; controleren = vaststellen dat geen kredieten ten onrechte zijn verstrekt).

Als vervanging voor de functievermenging ten gevolge van BPR moet – om de vier doelstellingen van internal control zeker te stellen – een aparte functionaris cijferanalyse toepassen op de toegewezen en afgewezen kredieten. Dit kan onder andere door de aantallen toegewezen kredieten per periode ten opzichte van de aanvragen te vergelijken met vergelijkbare perioden in voorgaande jaren, het gemiddelde kredietbedrag te vergelijken met voorgaande perioden, het proces van klantenorder tot offerte per fase vast te laten leggen door de kredietfunctionaris en dit periodiek te monitoren. Daarnaast kan een aparte functionaris steekproefsgewijs bij klanten navragen of het openstaande saldo dat uit de administratie van PCkrediet blijkt, overeenstemt met hun eigen administratie. Voorts moet een aparte functionaris periodiek het contractenregister afstemmen met de facturering van termijnen. Concluderend wordt hier dus een systeem van periodieke monitoring opgezet ter compensatie van de functievermenging.

5.2

Gran Dorado Piramide van Gran Dorado wordt een ‘strategisch informatiesysteem’ genoemd. Ben je het eens met deze classificatie? Op welke krachten uit het vijfkrachtenmodel van Porter wordt met dit systeem ingespeeld? Denk je dat het systeem een bron van concurrentievoordeel kan zijn? Met het Piramidesysteem tracht Gran Dorado concurrentievoordeel te halen uit het gebruik van informatie. Als het Gran Dorado lukt om beter inzicht te krijgen in de verwachtingen en voorkeuren van klanten, kan het aangehaalde systeem zeker als een strategisch informatiesysteem aangemerkt worden. Mogelijke voordelen betreffen het verbeteren van het bungalowaanbod (inclusief bijhorende diensten) en het verbeteren van de effectiviteit van reclamecampagnes. Deze applicatie speelt met name in op concurrentie binnen de bedrijfstak. Van een duurzaam concurrentievoordeel kan met dit systeem geen sprake zijn, aangezien het een combinatie betreft van bekende technologieën (datamarts, datawarehouses, besluitvormingsondersteunende systemen) die ook door concurrenten ingezet kunnen worden. Wel lijkt Gran Dorado een voorsprong op de concurrentie te hebben genomen. In het verleden heeft Gran Dorado samengewerkt met Getronics om het Piramidesysteem te ontwerpen. De managementinformatie uit dat systeem wordt nu ontsloten dankzij het gebruik van datamarts. De Bit-wyse technologie van Sybase maakt het mogelijk om deze datamarts snel te doorzoeken.


3


5.3

IT-risico’s Vul de matrix zo veel mogelijk aan met aan IT-gerelateerde risico’s en mogelijke beheersingsmaatregelen. Merk op dat voor een aantal beheersingsmaatregelen geldt dat zij zich op meerdere risico’s tegelijk richten. Natuurrampen

Stroomuitval

Vandalisme

Diefstal van gegevens

Ongeautoriseerde verandering of vernietiging van gegevens

Virussen en hoaxes

Hacking

Kwaliteit software (incl updates & patches) Data-entrycontroles Back-ups

Denial of service aanvallen

Web defacing

X

X

Onopzettelijke vergissingen

X

X X

X

X

X

Toegangscontroles (passwords) Audit trails

X

Encryptie

X

X X

X

X X

Certificaten Firewalls

X

X

X

X

Virtual private networks

X

X

X

X


X X

X

4


5.4 1

Onderzoek e-mails Welke argumenten kan het management gebruiken om de beheersingsmaatregel in de komende vergadering te verdedigen? Het management kan betogen dat de systemen van de onderneming uitsluitend voor bedrijfsdoeleinden dienen te worden gebruikt. Dat betekent dat het gebruik van het emailsysteem voor privédoeleinden niet is toegestaan. Daarnaast lijkt het redelijk dat de onderneming naleving van deze regel controleert en dat geconstateerde overtredingen worden gestraft.

2

Welke argumenten kunnen de werknemers gebruiken tegen de invoering van de desbetreffende maatregel? Medewerkers kunnen aanvoeren dat zij op zijn minst op de hoogte zouden moeten zijn van deze maatregelen. Het is de taak van het management om zijn mening over het gebruik van systemen voor privédoeleinden duidelijk richting haar medewerkers te communiceren. Daarnaast moet ook volstrekt duidelijk zijn welke maatregelen het management neemt om naleving te controleren en welke straffen kunnen voortvloeien uit overtreding van de regels. Daarnaast kunnen zij argumenteren dat zolang er geen verdenking is, het systematisch controleren van de e-mail van medewerkers ingaat tegen hun recht op privacy. Tot slot lijkt met redelijk dat medewerkers – mits met mate – de door hen gebruikte communicatiemiddelen ook mogen gebruiken voor privédoeleinden (zoals het maken van afspraken of het contact houden met familieleden).

3

Geef aan onder welke omstandigheden het acceptabel is dat een werknemer wordt ontslagen op basis van zijn e-mailcorrespondentie. Zijn er voor die omstandigheden waaronder ontslag niet acceptabel is, alternatieve straffen die meer passen bij de aard van het vergrijp? Over het gebruik van de bedrijfs-pc voor doeleinden die te maken hebben met seks of criminaliteit of die te maken hebben met commerciële activiteiten van de medewerker, is ontslag een passende reactie. Ook het laten uitlekken van bedrijfsgeheimen is doorgaans een reden voor ontslag. Maar het overmatig gebruik van e-mail voor ‘normale’ privédoeleinden (zoals het sturen van e-mailberichten naar familieleden of vrienden) wordt doorgaans niet gezien als een reden voor ontslag. In dergelijke gevallen zijn alternatieve straffen meer passend (bijvoorbeeld inhalen van werktijd of inleveren van vakantiedagen).

4

Verzamel gegevens over de vraag of het in Nederland is toegestaan om werknemers op basis van hun e-mailcorrespondentie te ontslaan. Hoe verhoudt zich dit met telefoonverkeer? De privacy op communicatie via electronic mail wordt geregeld in de Grondwet (artikel 13), in de versie zoals in de Tweede Kamer in behandeling is. In het vernieuwde artikel 13 wordt geregeld dat voor electronic mail een met telefonie en briefpost vergelijkbaar briefgeheim bestaat. Voorts wordt expliciet geregeld dat het briefgeheim eveneens geldt voor opslag van electronic mail tijdens transport, of aan het begin en het einde van het transport.


5


5.5

ERP en interne beheersing Bespreek de verschillen tussen onderneming X en onderneming Y inzake de te treffen interne beheersingsmaatregelen. Behandel daarbij de volgende deelgebieden: • invoer; • documenten; • conversie; • continuïteit; • controletechnische functiescheiding; • toegangsbeveiliging; • informatie- en communicatietechnologie. In onderneming Y is sprake van een geïntegreerd systeem. Allerlei meetpunten, zoals aangetroffen in onderneming X, ontbreken. Te noemen zijn: • signalering minimumvoorraad; • plaatsing bestelling; • ontvangst van de bestelling; • ontvangst van de factuur; • factuurcontrole; • betaling van de factuur. Invoer In het geïntegreerde systeem zoals beschreven in onderneming Y is er slechts één invoeractie: het activeren van het systeem waarna een roterend bedrijfsproces in gang wordt gezet. Om het systeem te activeren zijn een stel parameterinstellingen nodig op basis waarvan het systeem de genoemde acties zal uitvoeren. Controle dus op parameters (vooraf) en niet meer op invoer van de transacties (tijdens). Documenten In onderneming Y zijn er geen schriftelijke vastleggingen doordat de hele communicatie elektronisch geschiedt. Autorisaties zijn dientengevolge niet zichtbaar op documenten, waardoor de authenticiteit van transacties moeilijk is vast te stellen. Er zijn daardoor stringente procedures nodig voor het vaststellen en controleren van bevoegdheden. Elektronische handtekeningen kunnen op kunstmatig gecreëerde meetpunten worden ingevoerd, maar dat zal de slagvaardigheid aantasten en de bestaansgrond van geïntegreerde systemen in feite wegnemen. Conversie Doordat er tijdens het gebruik van het geautomatiseerde systeem in onderneming Y geen natuurlijke meetpunten zijn, moet het systeem uitgebreid worden getest voordat het operationeel wordt. ‘Change management’ is het sleutelwoord. Testen via deskchecking en schaduwdraaien. Een gefaseerde invoer leidt tot een betrouwbaarder systeem, echter dit is lastig in dit geval, gezien de ondeelbaarheid van het proces. Continuïteit In onderneming Y is er sprake van een grote afhankelijkheid van het geautomatiseerde systeem doordat er geen menselijke tussenkomst meer is en uitval van één subsysteem uitval van het gehele systeem betekent. Er moeten derhalve uitgebreide voorzorgsmaatregelen worden getroffen om calamiteiten op te vangen. Allerlei general controls zijn hier van toepassing. Controletechnische functiescheiding De functiescheidingen in onderneming Y verschillen van die in onderneming X in die zin dat ze hun zwaartepunt in de implementatiefase hebben in plaats van in de operationele fase. Bijvoorbeeld, er moet een scheiding zijn tussen de ontwikkelomgeving en de productieomgeving en tussen programmeurs en operators. Voorts zijn er in onderneming Y geen tegengestelde belangen omdat een computer nu

6



eenmaal geen mens is en geen belang kan hebben. In onderneming X daarentegen kan bij het creëren van controletechnische functiescheiding gebruik worden gemaakt van tegengestelde belangen. Toegangsbeveiliging In onderneming Y moet aandacht worden besteed aan fysieke en logische toegangsbeveiliging terwijl in onderneming X slechts de fysieke beveiliging van gegevensverzamelingen van belang is. Informatie- en communicatietechnologie Doordat er in onderneming Y sprake is van een hoge automatiseringsgraad, wordt een beroep gedaan op de stand van de informatietechnologie. Dit impliceert dat er uitgebreide documentatie van apparatuur en programmatuur moet worden bijgehouden en dat er steeds technische ondersteuning voorhanden moet zijn. Verder moeten recovery-, back-up- en uitwijkregelingen worden getroffen en moet de datacommunicatie worden beveiligd.

5.6

Lateraal Beheersingsmaatregelen voor reorganisatie

1

Beschrijf de beheersingsmaatregelen inzake het afsluiten van verzekeringen en het uitkeren van schades. Afsluiten verzekeringen: • Klant vraagt met behulp van standaardformulier verzekering aan bij agent of rechtstreeks bij de afdeling Aanvragen; aanvragen via agent komen uiteindelijk ook op de afdeling Aanvragen terecht. • De aanvraagformulieren worden ingevoerd in het systeem ter verwerking in het aanvragenbestand, door de afdeling Aanvragen; elke aanvraag krijgt via een geprogrammeerde procedure een uniek nummer. • De beslissing tot acceptatie wordt genomen op de afdeling Acceptatie en mutatie op basis van informatie in het aanvragenbestand; deze afdeling heeft de beschikking over directierichtlijnen inzake afwijzing en acceptatie. • Controle door administratie op tijdige en volledige afwerking van aanvragen via verbandscontrole: aantal acceptaties volgens vastlegging acceptatieafdeling + aantal afwijzingen volgens vastlegging acceptatieafdeling = aantal aanvragen in een bepaalde periode volgens vastlegging afdeling Aanvragen. • Vastlegging polissen in poliscreatieregister en premies in standenregister door afdeling Acceptatie. • Vastlegging polissen in polissenbestand door administratie. • Periodieke afstemming van polissenbestand met poliscreatieregister door administratie. • Afdeling Incasso maakt facturen op basis van polissenbestand. • Bijwerken debiteurenbestand op basis van kopiefacturen door administratie. • Administratie maakt aansluiting aantal facturen met aantal polissen volgens standenregister, som premies volgens facturen met som premies volgens debiteurenbestand/polissenbestand/ standenregister, som polisnummers volgens facturen met som polisnummer volgens polissenbestand, ontvangen premies volgens dagafschriften bank met de opboeking debiteuren. Uitkeren van schades: • Klant dient schadeformulier in bij agent of schadeafdeling; claims via agenten worden door de agenten eveneens ingediend bij de schadeafdeling. • Invoer schadegegevens in claimbestand door schadeafdeling. • Beoordeling claims via geprogrammeerde procedure en aanvullend op basis van signaal uit systeem door experts van de afdeling Schade.


7


• • •

•

•

Toekenningsbeslissing via elektronische handtekening door medewerker van afdeling Schade. Toekenningsbrief dan wel afwijzingsbrief naar klant door afdeling Schade. Procuratieafdeling stelt toegewezen claims betaalbaar op basis van verbandscontroles door administratie en na steekproefsgewijze controle op de aansluiting tussen de claim, de uitkering en de toekenningsbrief van de schadeafdeling. Verbandscontroles door administratie: aantal claims volgens claimbestand = aantal toegewezen claims volgens toekenningsbrieven + aantal afgewezen claims volgens afwijzingsbrieven, som van de uitkeringen = som van de toegekende bedragen volgens de toekenningsbrieven. Aansluiting door administratie: som van de bankrekeningnummers volgens polissenbestand in combinatie met claimbestand met de som van de bankrekeningnummers waarop uitkeringen zijn gestort volgens de betaallijst van de procuratieafdeling.

Beheersingsmaatregelen na reorganisatie 2

Beschrijf de beheersingsmaatregelen inzake het afsluiten van verzekeringen en het uitkeren van schades nadat de genoemde reorganisatie is doorgevoerd. Afsluiten verzekeringen: • Klant vraagt door middel van standaardformulier verzekering aan bij agent of rechtstreeks bij de productgroep collectief of individueel; aanvragen via agent komen uiteindelijk ook bij een van beide productgroepen terecht. • In de productgroepen worden de aanvraagformulieren ingevoerd in het systeem ter verwerking in het aanvragenbestand; elke aanvraag krijgt via een geprogrammeerde procedure een uniek nummer; de beslissing tot acceptatie wordt genomen op basis van informatie in het aanvragenbestand; elke productgroep heeft de beschikking over directierichtlijnen inzake afwijzing en acceptatie. • Vastlegging polissen in polissenbestand door administratie. • Productgroep maakt facturen op basis van polissenbestand. • Bijwerken debiteurenbestand op basis van kopiefacturen door administratie. • Administratie maakt de aansluiting som polisnummers volgens facturen met som polisnummers volgens polissenbestand, ontvangen premies volgens dagafschriften bank met de opboeking debiteuren in het debiteurenbestand alsmede de aansluiting met het polissenbestand. Dit zijn zelfcontroles op de juiste, tijdige en volledige verwerking door de administratie. • Het hoofd administratie voert cijferbeoordelingen uit op de verhouding tussen premies, nieuwe klanten, vervallen klanten, krediettermijnen debiteuren, verhouding tussen de verschillende verzekeringsvormen, verhouding ten opzichte van uitkeringen en dergelijke. • Het hoofd van de productgroepen neemt regelmatig steekproeven op de verwerking van aanvragen tot en met de premie-inning. • In de software van de productgroepen zijn meetpunten ingebracht waarop prints worden gemaakt die naar de administratie gaan ter beoordeling. • De productgroepen maken periodiek uitgebreide rapportages ten behoeve van de directie waarin verantwoording wordt afgelegd over bereikte resultaten (aantallen klachten, aantallen nieuw afgesloten polissen, aantallen vervallen polissen, verhouding tussen premies en claims, e.d.). Uitkeren van schades: • Klant dient schadeformulier in bij agent of productgroep; claims via agenten worden door de agenten eveneens ingediend bij de desbetreffende productgroep. • Invoer schadegegevens in claimbestand door productgroepen. • Beoordeling claims via geprogrammeerde procedure en aanvullend op basis van signaal uit systeem door experts van de productgroepen.

8



• • •

3

Toekenningsbeslissing via elektronische handtekening door medewerker van de productgroep. Toekenningsbrief dan wel afwijzingsbrief naar klant door de productgroep. Productgroep stelt toegewezen claims betaalbaar op basis van cijferbeoordelingen door administratie en na steekproefsgewijze controle op de aansluiting tussen de claim, de uitkering en de toekenningsbrief van de schadeafdeling.

Maak een vergelijking tussen de controls vóór en na de reorganisatie. Behandel daarbij minimaal de volgende punten: • controleerbaarheid in het algemeen; • controletechnische functiescheiding; • procedures en richtlijnen; • informatietechnologie; • cijferbeoordelingen; • managementinformatie en kritieke succesfactoren. Voorbeelden van verschillen: • Controle door administratie op tijdige en volledige afwerking van aanvragen via verbandscontrole: aantal acceptaties + aantal afwijzingen (v.h. acceptatieafdeling) = aantal aanvragen in een bepaalde periode (v.h. aanvragenafdeling) is niet meer zinvol omdat de vastleggingen in dezelfde productgroep tot stand komen. • Vastlegging polissen in poliscreatieregister en premies in standenregister (v.h. door acceptatieafdeling) is niet meer zinvol omdat het bijhouden van een controleregister en de registratie in dezelfde productgroep gebeuren. • Periodieke afstemming van polissenbestand met poliscreatieregister door administratie is niet mogelijk omdat er geen poliscreatieregister meer is. • Administratie kan de aansluiting aantal facturen met aantal polissen volgens standenregister niet meer maken omdat er geen standenregister wordt bijgehouden. Idem som premies volgens facturen met som premies volgens standenregister. − De volgende verbandscontroles door de administratie zijn niet meer zinvol: aantal claims volgens claimbestand = aantal toegewezen claims volgens toekenningsbrieven + aantal afgewezen claims volgens afwijzingsbrieven, som van de uitkeringen = som van de toegekende bedragen volgens de toekenningsbrieven, som van de bankrekeningnummers volgens polissenbestand i.s.m. claimbestand ten opzichte van som van de bankrekeningnummers waarop uitkeringen zijn gestort volgens de betaallijst zoals opgemaakt door de productgroepen.


9


Uitwerking Aspect Controleerbaarheid in het algemeen

Controletechnische functiescheiding

Vóór • veel meetpunten door inschakeling van verschillende afdelingen • beveiliging datacommunicatie is van groot belang kan afdoende worden aangebracht

Procedures en richtlijnen

formele procedures en richtlijnen

Informatietechnologie

•

afhankelijkheid van workflow managementsystemen • enterpriseresourcepakketten • datacommunicatie nauwelijks van belang omdat sterkere ICmaatregelen mogelijk zijn (verbandscontroles)

Cijferbeoordelingen

Na • • •

niet mogelijk kan wel kunstmatig worden ingebracht, leidt echter tot terugkeer naar oude situatie supervisie, motivatie, beslissingsbevoegdheid, binnen zelfstandige taakeenheden belangrijker dan formele procedures en richtlijnen organisatie steunt op groupware, end-user computing, multidimensionele databases, expertsystemen, decision-supportsystemen e.d.

• •

• •

•

Managementinformatie en kritieke succesfactoren

5.7

premies, schaden, klachten, afgesloten verzekeringen, vervallen verzekeringen, krediettermijnen debiteuren/crediteuren, premiereserve, trends

weinig meetpunten proces is black box via queries en file interrogation software processen monitoren

•

•

van groter belang uit te voeren door administratie en eventueel directie ook door hoofd van de productgroep in het kader van zijn dagelijkse leiding eerste jaren nieuwe situatie tegen de oude situatie afzetten op basis van dezelfde grootheden uitgebreide periodieke verantwoordingsverslagen

Paviljoen BV Jij bent deskundig op het terrein van geautomatiseerde informatiesystemen en beheersingssystemen en de directie van Paviljoen BV verzoekt jou te adviseren over een nieuw informatiesysteem. Algemeen De consequentie van: • … het zo veel mogelijk rendement halen uit internationale prijsfluctuaties is dat er toegang moet zijn tot betrouwbare, online/realtime ter beschikking staande informatie over prijzen. • … het hebben van grote voorraden, debiteurenvorderingen en crediteurenvorderingen is dat de AO/IC zich concentreert op deze posten. • … het verspreid zijn over verschillende vestigingen en landen van de bedrijfsactiviteiten is dat een hoge automatiseringsgraad is vereist; een standalone

10



pc (zoals in scenario 1) of per vestiging een local area network met gegevensuitwisseling per USB-stick en dus per post of koerier (zoals in scenario 2) is daarom zeer onrealistisch. Verklaring aandachtsgebieden in het kader van de case: a Opleiding en training van de medewerkers betekent dat de mensen in de organisatie competenties moeten ontwikkelen op het terrein van IT. b Continuïteit van de bedrijfsvoering betekent dat de organisatie niet stil mag vallen ten gevolge van IT-problemen. c Kwaliteit van de informatie betekent dat de IT er niet de oorzaak van mag zijn dat er problemen met betrekking tot de vertrouwelijkheid, integriteit en authenticiteit van de informatieverzorging ontstaan. d Noodzakelijke organisatieaanpassingen hebben betrekking op de gevolgen van IT voor de organisatiestructuur en de processen. 1

Maak voor scenario 1 de analyse naar de genoemde aandachtsgebieden a t/m d.

2

Maak voor scenario 2 de analyse naar de genoemde aandachtsgebieden a t/m d.

3

Maak voor scenario 3 de analyse naar de genoemde aandachtsgebieden a t/m d. De organisatie kan haar strategie niet realiseren als informatie over marktprijzen niet tijdig beschikbaar is. Dit betekent dat (a) het personeel ervan bewust moet worden gemaakt dat up-to-date informatie de belangrijkste beheersingsdoelstelling is en dat er alles aan moet worden gedaan om dit te realiseren. In scenario 1 betekent dit dat de medewerkers van de inkoop- en verkoopafdelingen voortdurend telefonisch contact hebben met toeleveranciers en afnemers over de hele wereld. In scenario 1 vormt (b) de continuïteit van de bedrijfsvoering een groot risico. De organisatiecultuur moet zodanig worden dat iedere medewerker zich hiervan bewust is. Om (c) de kwaliteit van informatie te borgen moeten in scenario 1 de nodige AO/IC-maatregelen rondom de pc worden getroffen. Dit zijn derhalve vooral organisatorische maatregelen zoals controletechnische functiescheiding, procedurevoorschriften, repressieve controles door het hoofd van de administratie op de naleving van procedures, het niet doorbreken van functiescheidingen, en cijferanalyses. In scenario 1 kunnen (d) organisatieaanpassingen onafhankelijk van de beschikbare IT (de standalone pc) worden gemaakt. Naarmate van scenario 1 in naar scenario 2 en 3 wordt overgegaan, neemt de complexiteit ten gevolge van IT-inzet toe. Dit komt vooral doordat er meer interacties tussen de verschillende systeemcomponenten ontstaan waardoor ook krachten van buiten de organisatie het systeem kunnen beïnvloeden (hackers, aantasting van de integriteit, vertrouwelijkheid en authenticiteit van de gegevens/informatie). In de meest complexe situatie (scenario 3) zijn er echter ook veel meer mogelijkheden voor betrouwbare en up-to-date informatieverzorging. Dit betekent dat (a) meer IT-competenties nodig zijn onder het personeel, (b) meer ITcontrols nodig zijn om de continuïteit van de bedrijfsvoering te borgen, (c) mee informatiebeveiligingsmaatregelen moeten worden getroffen, en (d) organisatieaanpassingen moeilijker worden en niet meer onafhankelijk van de IT kunnen worden gemaakt.


11


De onderstaande tabel geeft de te treffen AO/IC-maatregelen per scenario en aandachtspunt. 1 Standalone pc op 2 LAN per vestiging, 3 WAN via IP, alle het hoofdkantoor communicatie vestigingen met elkaar tussen de verbonden vestigingen via USB-sticks Behalve de bij scenario 2 a Opleiding en • Opleiding en training Behalve de bij scenario 1 genoemde genoemde maatregelen training van zijn gericht op maatregelen gelden gelden nog de volgende de gebruik en nog de volgende maatregelen: medewerkers onderhoud van de maatregelen: pc op het • de trainingen zijn hoofdkantoor en het gericht op het effectief • de trainingen zijn efficiënt (vooral en veilig gebruiken van gericht op het gericht op het pc-netwerk beheer van pcbetrouwbaarheid en netwerken • de trainingen zijn de daartoe uit te gericht op het • de trainingen zijn voeren handmatige gebruiken en delen gericht op het controles) van informatie met veilig (gericht op verwerken van andere locaties en het doelstellingen van gegevens die op communiceren van informatiebeveiligi papier zijn informatie naar andere ng) omgaan met aangeleverd locaties elektronische gegevensdragers • Verder moeten er • de trainingen op het cultuurbeheersingshoofdkantoor zijn maatregelen en vooral gericht op het personeelsbeheersi coördineren en ngs-maatregelen aansturen van de worden getroffen om lokale organisaties het personeel ervan bewust te maken en te houden dat informatie over prijzen te allen tijde up-to-date moet zijn (toon aan de top, werving en selectie, nabesprekingen van de activiteiten van inkopers en verkopers met daarbij aandacht voor de geboekte resultaten) • Ten slotte zijn de trainingen in de lokale organisaties ook gericht op het gebruik (afsluiten transacties naar derden) en onderhoud van het informatiesysteem en het efficiënt verwerken en analyseren van informatie teneinde

12



b Continuïteit van de bedrijfsvoering

•

•

c Kwaliteit van de informatie

•

•

de huidige activa en passiva op de balans te optimaliseren Er is maar één pc, dus alle informatiebeveiliging s-maatregelen zijn hierop gericht. De pc moet met wachtwoorden zijn afgeschermd voor de verschillende gebruikers en moet fysiek slechts toegankelijk zijn voor bevoegden Er moeten regelmatig back-ups van de bestanden worden gemaakt en in geval van calamiteiten moet er snel een vervangende pc beschikbaar zijn die dezelfde software bevat en waarop de back-ups snel geïnstalleerd kunnen worden De kwaliteit van de informatie (vooral betrouwbaarheid) is geborgd door middel van traditionele maatregelen van AO/IC rondom de pc. Dit houdt onder andere in dat het hoofd administratie regelmatig de papieren output doorloopt en daarop cijferanalyses uitvoert (o.a. verbandscontroles en cijferbeoordelingen) Geprogrammeerde controles op de invoer en de verwerking, waaronder redelijkheidscontrole s, formaatcontroles, en andere controles

Behalve de bij scenario 1 genoemde maatregelen gelden nog de volgende maatregelen: − back-ups worden dagelijks via een geprogrammeerd e procedure gemaakt op een centrale server per vestiging • service level agreement met leverancier van netwerk • toegang tot de USB-stick met wachtwoord beveiligen en de gegevens op de USB-stick vercijferen

Behalve de bij scenario 2 genoemde maatregelen gelden nog de volgende maatregelen (NB. Nu kan een centrale server op het hoofdkantoor volstaan i.p.v. centrale servers per vestiging): • beveiliging bij datacommunicatie zoals vercijfering, message authentication codes, firewalls, veilige IPprotocols, event logging, routing control enz.

Behalve de bij scenario 1 genoemde maatregelen gelden nog de volgende maatregelen: • geprogrammeerde controles op het bestaan van ingevoerde codes, de aansluiting tussen invoer en reeds aanwezige gegevens

Behalve de bij scenario 2 genoemde maatregelen gelden nog de volgende maatregelen (NB. De USB-stick wordt vervangen door online datacommunicatie, hier wordt fysieke controle op de toegang tot de gegevens vervangen door logische controle op de toegang): • geprogrammeerde controles op het totalen van verzonden gegevens en totalen van ontvangen gegevens • geprogrammeerde controles op de aansluiting tussen ontvangen gegevens en bestaande gegevens


13


d Noodzakelijke organisatieaanpassingen

5.8

waarbij geen online/realtime verbinding is met de te muteren gegevensverzamelin gen • Er moet een adequate controletechnische functiescheiding zijn tussen degene die de administratie op de pc bijhoudt (administratief medewerker) en degene die dit werk controleert (de administrateur in de rol van hoofd administratie). De informatie die tussen hoofdkantoor en de vestigingen wordt uitgewisseld moet altijd vergezeld gaan van batch- en/of hashtotalen die worden meegezonden ter controle Een standalone pc vereist nauwelijks organisatieaanpassingen. Wat voorheen handmatig gebeurde, gebeurt nu met de pc

Er moet per vestiging ten minste één functionaris zijn die het netwerk beheert

Er moet per vestiging en op het hoofdkantoor een netwerkbeheerder zijn die de LAN’s en het WAN beheert en ervoor zorgt dat dit netwerk te allen tijde operationeel is

Luchtbus Algemeen Risico’s zijn: • website down; • ERP-systeem down; • een autorisatiecode naar het verkeerde telefoonnummer sturen; • een autorisatiecode naar klanten sturen die niet hebben betaald doordat de creditcardinformatie onjuist was; • een blokcode naar het verkeerde telefoonnummer sturen; • een blokcode naar klanten sturen die de verkeerde autorisatiecode hebben ingevoerd; • niet of niet goed functioneren van de blokcodescanner in de bus; • toegang verlenen tot de bus met een ongeldige blokcode; • het via creditcard ontvangen bedrag niet kunnen overboeken naar de eigen rekening via de creditcardorganisatie.

14



]Uitwerking 1

Beschrijf de administratieve organisatie van het bestel- en autorisatieproces alsmede van het toegang verschaffen tot de bus als de verschillende processtappen handmatig worden uitgevoerd ter verdere verwerking. NB. De onderstaande procedure, hoewel correct, is zeer onrealistisch bij het gegeven bedrijfsmodel waarin IT een dominante rol speelt. Deze oplossing is echter illustratief voor de complexiteit en de risico’s die ontstaan als het bedrijfsmodel en de AO/IC niet goed op elkaar aansluiten. Nadat in stap 3 de passagier zijn telefoonnummer, e-mailadres, bestemming, reisdatum, soort ticket, naam en creditcardinformatie heeft ingevoerd, wordt een e-mail naar de verkoopafdeling van Luchtbus gestuurd met daarin deze gegevens (alternatief kan zijn dat een database wordt bijgewerkt die periodiek door de verkoopafdeling wordt gelezen). De medewerker verkoopafdeling werkt op dat moment de database bij die onder andere de gegevens van de passagier bevat en de code die hem zal worden toegezonden per sms. Vervolgens stuurt deze medewerker een sms naar de passagier met daarin de genoemde code. Zodra de medewerker verkoopafdeling de database heeft bijgewerkt en de sms heeft verstuurd, maakt hij hiervan een aantekening in een controleregister. Nadat de passagier de cijfercode op de website heeft ingevoerd, wordt er een e-mail naar de verkoopafdeling gestuurd met daarin de code die hij vergelijkt met de code in de database. Als deze overeenkomen, werkt de medewerker verkoopafdeling de database bij die onder andere de gegevens van de passagier bevat en de blokcode die hem zal worden toegezonden per sms. De debiteurenadministratie neemt simultaan hieraan telefonisch contact op met de creditcardmaatschappij om de creditcard te verifiëren. Als de betaling akkoord is, geeft de debiteurenafdeling dit door aan de verkoopafdeling die dan een tweede sms en een e-mail naar de passagier stuurt met daarin de blokcode. In de database met blokcodes zijn deze in grafisch formaat vastgelegd. Via een kabel of bluetooth kunnen deze codes worden gelezen en met de mobiele telefoon van de medewerker verkoop naar de passagier worden gestuurd. Tevens wordt deze code ’s ochtends voor vertrek van de bussen in het geheugen van de scanner in de bussen gezet waardoor de passagier die zich meldt bij de bus met zijn blokcode (als sms in zijn mobiele telefoon of op papier) toegang tot de bus kan krijgen. De chauffeur is degene die de toegangscontrole uitvoert. De medewerker van de debiteurenadministratie stuurt een lijst met de te innen bedragen en de namen van de creditcardhouders naar de creditcardmaatschappij en laat de betreffende bedragen bijboeken op de bankrekening van Luchtbus.

2

Beschrijf de administratieve organisatie van het bestel- en autorisatieproces alsmede van het toegang verschaffen tot de bus als de verschillende processtappen geheel geautomatiseerd plaatsvinden. Nadat in stap 3 de passagier zijn telefoonnummer, e-mailadres, bestemming, reisdatum, soort ticket, naam en creditcardinformatie heeft ingevoerd, worden deze gegevens via een geprogrammeerde procedure in de orderdatabase verwerkt. Tevens wordt via een geprogrammeerde procedure een cijfercode aangemaakt en verwerkt in de database, waarna via een beveiligde verbinding het sms-center (dit is een server) van de mobiele operator wordt benaderd om een sms-bericht te verzenden naar de passagier met daarin de cijfercode. Nadat de passagier de cijfercode op de website heeft ingevoerd, wordt deze via een geprogrammeerde procedure vergeleken met de in de database opgenomen cijfercode. Als deze overeenkomen, wordt de database door middel van een geprogrammeerde procedure bijgewerkt met onder andere de gegevens van de passagier en de blokcode die hem zal worden toegezonden per sms. Ook wordt via een geprogrammeerde procedure contact gezocht met de database van de creditcardmaatschappij om de creditcard te verifiëren en de afboeking te doen (als


15


de passagier zijn bestelling definitief bevestigt, wordt de afboeking pas definitief gedaan). Als de betaling akkoord is, wordt via een geprogrammeerde procedure opnieuw contact gezocht met het sms-center van de mobiele operator om een tweede sms naar de passagier te sturen. Tevens wordt via een geprogrammeerde procedure een e-mail met daarin de blokcode naar de passagier gestuurd. In de database met blokcodes zijn deze in grafisch formaat vastgelegd. Tevens wordt de blokcode door middel van GPRS of UMTS dan wel WiFi indien er sprake is van hotspots in Maastricht en het Heuvelland samen met de reisdatum en het soort ticket doorgegeven aan een scanner die zich meldt. Een scanner meldt zich op het moment dat een passagier zijn blokcode voor de scanner houdt waarna deze wordt geactiveerd en een verzoek indient bij de centrale database om deze blokcode te verifiëren. Via een geprogrammeerde procedure wordt een signaal teruggegeven aan de scanner in de bus om de passagier al dan niet toegang te verlenen. Ook hier is de chauffeur degene die de toegangscontrole uitvoert. 3

Welke interne controlemaatregelen moeten worden getroffen ingeval er sprake is van automatisering van de processtappen zoals beschreven onder vraag 2? Opbrengsten worden gegenereerd door elektronische tickets te verkopen via de website van Luchtbus. De volgende procedures geven redelijke zekerheid over de volledigheid van de opbrengsten: • automatisch ordercodes, passagiercodes, cijfercodes en blokcodes toewijzen bij een bestelling; • automatisch het creditcardnummer verifiëren; • automatisch controletotalen berekenen en aansluitingen maken van het aantal geplaatste orders, het aantal toegewezen ordercodes, het aantal toegewezen passagiercodes, het aantal geaccordeerde creditcardnummers, het aantal geannuleerde transacties, het aantal toegewezen cijfercodes, het aantal verzonden sms-berichten met de cijfercodes, het aantal toegewezen blokcodes, en het aantal verzonden sms-berichten met de blokcodes; • automatisch berekenen en aansluitingen maken van de transactiebedragen per periode, de opboekingen van debiteurenrekeningen, en de geldontvangsten uit creditcardtransacties. De interne controlemaatregelen die erop zijn gericht slechts bezitters van geldige blokcodes toegang tot de bussen te geven, bestaan vooral uit informatiebeveiligingsmaatregelen zoals vercijfering van het berichtenverkeer tussen de passagier en de website van Luchtbus en tussen Luchtbus en het sms-center van de mobiele operator en een ‘message authentication code’ per bericht. Periodiek maakt de administratie een aansluiting tussen de in de database opgenomen bestellingen, de in de bus gescande blokcodes, en de ontvangen bedragen.

4

Welke gegevens moeten minimaal worden vastgelegd in de database van Luchtbus om deze processen te doen functioneren? Het ERP-systeem van Luchtbus moet de volgende gegevens bijhouden: • passagiersgegevens (naam, adres, telefoonnummer, e-mail); • ordergegevens (soort ticket, orderdatum, reisdatum); • ticketprijzen; • toegewezen cijfercodes; • toegewezen blokcodes. Deze gegevens zijn opgenomen in een relationele database met tabellen die de relaties tussen de pasagier, de order, de cijfercode en de blokcode beschrijven.

16



Gegevens die worden uitgewisseld zijn onder andere: • de blokcode die via GPRS/UMTS/WiFi naar de scanners wordt gestuurd op verzoek van de scanner als een passagier zich meldt voor vervoer; • de goedkeuring dan wel afwijzing na de controle op de blokcode door middel van een geprogrammeerde procedure.

5.9 1

Otomota Hoe kan ERP de bedrijfsvoering van Otomota ondersteunen? Besteed hierbij aandacht aan de volgende punten: a de ERP-modules die van toepassing zijn inclusief een beschrijving per module van de functionaliteit voor Otomota; (20 p.) In de meest vergaande vorm zorgt ERP zorgt ervoor dat alles bedrijfsfuncties van Otomota worden geïntegreerd. Er zijn verschillende ERP-pakketten in omloop die elk hun eigen indeling in modules kennen. De uitwerking hierna is gebaseerd op SAP R/3. Andere indelingen en beschrijvingen zijn mogelijk, zolang de bij Otomota vereiste functionaliteit maar wordt afgedekt. Bij Otomota vereiste functionaliteit: financiële administratie en financiële planning en control; • productieplanning en -voortgangsbewaking; • ondersteunen investeringen, afschrijvingen en desinvesteringen in productieinstallaties en het onderhoud van de fabriek; • personeelsbeheer (6.000 werknemers); • kwaliteitscontrole; • inkoopondersteuning; • verkoopondersteuning. •

De ERP-modules die deze functionaliteit mogelijk maken zijn: • Controlling (CO): het coördineren, beheersen en optimaliseren van de financiële aspecten van de bedrijfsprocessen van Otomota, waaronder budgettering, verschillenanalyses, en kostprijscalculaties. • Treasury (TR): vooral de functionaliteiten van het beheersen van het vermogensbeslag (kapitaalintensief) van productie-installaties en voorraden staal en geproduceerde auto’s alsmede het valutabeheer (internationaal afzetgebied) zijn hier van belang. • Asset management (AM): het ondersteunen van de aanschaf, de evaluatie en de afschrijving van de productie-installaties. • Business workflow (BW): het automatiseren van de productieprocessen (Otomota is hooggeautomatiseerd) en de informatie over en ten behoeve van de productievoortgang. • Human resources (HR): de salarisadministratie, werktijdenregistratie, verslaglegging over sollicitaties, competenties van het personeel (inzetbaarheid en ontwikkeling van personeel). • Plant maintenance (PM): gedetailleerde informatie voor het sturen van het onderhoud van productie-installaties en de voortgang daarvan, ondersteuning bij het bepalen van de specificaties van nieuwe productie-installaties, capaciteitplanning, verroostering personeel en kostenplanning. • Quality management (QM): ondersteunen integrale kwaliteitscontroles op geproduceerde auto’s; aangeven wanneer en hoe inspectie moet plaatsvinden; aanvullend kan QM ook de leveranciersselectie ondersteunen (hechte samenwerkingsverbanden in de vorm van interorganisationele informatiesystemen maken Otomota erg afhankelijk van de kwaliteit van de gekozen leveranciers).


17


•

•

• •

Production planning (PP): opstellen productieopdrachten en berekenen productiekosten; dit omvat onder andere het maken en uitgeven van werkopdrachten door het bedrijfsbureau, het maken en beheren van stuk- en bewerkingslijsten en het evenwichtig verdelen van de beschikbare productiecapaciteit. Materials management (MM): het ondersteunen van de inkoop, materiaalbehoeftebepaling, ontvangen van grondstoffen en materialen, en voorraadbeheer. Sales en distribution (SD): ondersteuning verkopen (inclusief marketing), levering van auto’s aan klanten, en facturering. Enterprise controlling en investment management (EC): het aanleveren van geaggregeerde stuurinformatie uit interne en externe bronnen.

b de benodigde (logische) gegevensverzamelingen. (15 p.) Orderbestand: Ordernummer, kenmerken auto volgens stuk- en bewerkingslijsten (gereserveerde voorraden grondstoffen en materialen bij leveranciers, leverancierscodes per reservering, gereserveerde hoeveelheden voor geplande productie), per bewerking aan de loopband de voortgang (gereed/in bewerking/nog niet begonnen), kwaliteitscontrole uitgevoerd en resultaat (gedaan en goedgekeurd, gedaan en afgekeurd, in bewerking, nog niet begonnen), voorcalculatorische prijs, nacalculatorische prijs, verkoopprijs, gewenste leverdatum, gewenste afleverlocatie, gewenste wijze van afleveren, afnemerscode. Afnemersbestand: Afnemerscode, naam, adres enz., vordering, historische gegevens en klantkenmerken ten behoeve van customer relationship management. Vaste activabestand: Code productie-installatie, beschrijving, locatie in fabriek, investeringsbedrag, afschrijvingsmethodiek, geplande onderhoudsdata en onderhoudshandelingen, voortgang onderhoud (voltooid/in bewerking/nog niet begonnen). Inkoopbestand: Magazijnontvangstcode, grondstof- of materiaalcode, leverancierscode, hoeveelheid gereserveerd bij leverancier. Grondstoffen- en materialenbestand: Grondstof- of materiaalcode, omschrijving, hoeveelheid in voorraad, locatie in magazijn. 2

Welke meetpunten zullen worden aangebracht en welke controls zullen gebruikmaken van deze meetpunten? Geef hierbij tevens aan welke doelstellingen elk van de genoemde controls hebben. (30 p.) De case verwijst naar meetpunten in het productieproces. Dit zijn uiteraard niet de enige meetpunten die moeten worden aangebracht. De kern van BIV (AIS) is dat er meetpunten worden aangebracht die processen controleerbaar maken. De studenten moeten zich dit realiseren. Het slechts benoemen van de meetpunten in het productieproces is daarom onvolledig. Meetpunten zijn: • het opleveren van het ERP-systeem waarbij een acceptatietest wordt gedaan en waarbij wordt vastgesteld dat de noodzakelijke controles zijn ingebouwd (NB. Bij ERP verschuiven veel controles van de uitvoeringsfase naar de systeemontwikkelingsfase); • het door een leverancier peilen van de voorraad grondstoffen en materialen in het grondstoffen- en materialenbestand van Otomota;

18



•

•

de meetpunten in het productieproces, met per handeling/per order de status gereed/in bewerking/nog niet begonnen; NB. Dit wordt per productiefase (pershal, carrosseriebouw, lakstraat, montage) en bij de kwaliteitscontrole in detail uitgevoerd met behulp van de informatietechnologie (dus bijvoorbeeld per puntlas – 3.500 per auto – is bekend of deze is uitgevoerd en of dit succesvol is gedaan via een elektronische meting waarvoor de afdeling kwaliteitscontrole het systeem onderhoudt); het afleveren van de auto aan de klant via de expeditie en een transporteur.

Controles: De contracten met de leveranciers van het informatiesysteem van Otomota zijn de norm waaraan de realisatie van het systeem wordt getoetst. Doel is een zodanig informatiesysteem in gebruik te nemen dat dit conform de gemaakte specificaties qua functionaliteit en controleerbaarheid is. • Er worden verbanden gelegd tussen de gebruikte grondstoffen en materialen en de geproduceerde auto’s. Doel is de efficiëntie van het productieproces vast te stellen aan de hand van de stuk- en bewerkingslijsten. • Er worden verbanden gelegd tussen de levering aan een klant en de betaling door de klant. Doel is de bewaking van de activa van de onderneming. • Er worden verbanden gelegd tussen de door de leverancier geleverde goederen en de betalingen voor deze leveringen. Voorts wordt vastgesteld dat er een noodzaak is volgens de contracten die met leveranciers zijn afgesproken om goederen te leveren. Doel van deze controles is het inkoopproces effectief en efficiënt te doen verlopen en geen activa (geld) ongeoorloofd de onderneming te doen verlaten. •

Er zijn meer meetpunten mogelijk. Dit moet per geval door de corrector worden beoordeeld. 3

Welke informatierisico’s zal Otomota lopen als het bedrijf besluit om dit ebusinessinitiatief door te zetten? Met welke controls kan Otomota deze risico’s opvangen? (20 p.) Om risico’s op een systematische manier te analyseren moet er een keuze worden gemaakt voor een bepaald classificatieschema. Een voorbeeld van een dergelijk classificatieschema wordt gegeven door Gelinas et al. Zij onderscheiden de volgende vijf informatierisico’s: 1 onjuiste invoer; 2 onvolledige invoer; 3 inaccurate invoer; 4 onvolledige verwerking; 5 inaccurate verwerking. Toegespitst op e-business bij Otomota gelden de volgende risico’s. • Klanten geven valse identiteit door. Controls: klantidentificatie en -authenticatie door middel van gebruikersnaam en wachtwoord, firewall, encryptie, beveiligde betalingsserver, screenen van nieuwe klanten op basis van officieel identiteitsbewijs, creditcardnummer en veiligheidscode doorgeven, terugbelprocedure. NB. Dit lijkt overdreven, maar het gaat hier niet om een boek van 80 euro dat bij Amazon.com wordt besteld, maar om een auto van enkele tienduizenden euro’s. • Klanten geven verkeerde specificaties door met als gevolg het in productie nemen van een niet-besteld model. Controls: bevestiging van klant vragen nadat alle specificaties zijn ingevoerd, gebruikersvriendelijke interface (overzichtelijk scherm met keuzen logisch geordend), en geprogrammeerde controles op niet-gangbare combinaties van specificaties.


19


•

•

•

•

•

Klanten geven onvoldoende specificaties door met als gevolg dat de auto niet in productie kan worden genomen. Controls: geprogrammeerde controles op volledigheid invoer (pas naar scherm 2 als scherm 1 helemaal is ingevuld). Klanten maken fouten bij het intoetsen waardoor zij de verkeerde specificaties doorgeven. Controls: geprogrammeerde controles op niet-gangbare combinaties van specificaties, intoetsen van letters of getallen vervangen door aanklikken van buttons. Niet alle orders worden verwerkt in het orderbestand waardoor de auto niet in productie wordt genomen. Controls: acceptatietests software voor internetverkopen, geprogrammeerde aansluiting van aantallen bestellingen, aantallen identificaties, en aantallen productieorders, met aansluitend een analyse door de financiële afdeling van de verschillen. Tijdens de verwerking worden correct ingevoerde specificaties en klantgegevens verminkt. Controls: meteen na ontvangst van de order wordt een controlebestand aangemaakt dat op verschillende meetmomenten wordt aangesloten met het orderbestand. Onvolledigheid facturering. Controls: doorlopende nummering orders en bij facturering aansluiten van het aantal orders per vervaldatum en het aantal facturen per vervaldatum.

Er zijn meer risico’s mogelijk. Dit moet per geval door de corrector worden beoordeeld. 4

Op welke verschillende manieren kan het betalingsverkeer bij e-business worden geregeld? Leg uit hoe elk van deze systemen werkt en geef aan wat de risico’s hiervan zijn voor Otomota. (15 p.) Betalingen kunnen plaatsvinden via: • het door de klant geven van een betalingsopdracht aan zijn bank die deze vervolgens scant en verwerkt tot een elektronische overboeking naar de bank van Otomota. Hier wordt gebruikgemaakt van een tussenpartij: een clearing house. Risico’s: levering gaat mogelijk vooraf aan de betaling waardoor een groter risico van oninbaarheid van de vordering; • het door de klant machtigen van Otomota om het factuurbedrag af te boeken van zijn bankrekening. Risico’s: er is onvoldoende saldo op de bankrekening van de klant of de klant draait de betaling terug, met als gevolg het oninbaar zijn van de vordering; • een elektronische cheque met alle kenmerken van een papieren cheque (handtekening, klantnaam, Otomota als ontvanger, de bank van de klant, het geldbedrag) wordt elektronisch en vercijferd verzonden. Risico’s: inbraak door onbevoegden waardoor de betaling niet of voor een te laag bedrag bij Otomota binnenkomt; • een elektronische beurs – onderhouden door de bank – die door de klant wordt gevuld met virtueel geld, en waaruit betalingen kunnen worden gedaan als ware het papieren geld. Risico’s: inbraak in het systeem door onbevoegden waardoor de beurs kan worden leeggehaald en waardoor de betaling niet of voor een te laag bedrag bij Otomota binnenkomt; • doorgeven van creditcardnummer door de klant aan Otomota die het factuurbedrag bij de creditcardmaatschappij declareert. Risico’s: onbevoegden verschaffen zich toegang tot de creditcardinformatie van de klant van Otomota en halen daar geld van af, waardoor de geldontvangst niet of voor een te laag bedrag door Otomota kan worden geëffectueerd.

20



5.10

Emco NB. Gezien de beperkte informatie die in de case gegeven is, is deze uitwerking vrij globaal. Het is aan de corrector om een uitwerking te interpreteren in het licht van deze globale uitwerking.

1

Maak een risicoanalyse voor Emco. Besteed daarbij aandacht aan de verschillende risico’s op het terrein van de bedrijfsvoering, de informatieverzorging en de IT, alsmede aan de negatieve consequenties als een risico daadwerkelijk leidt tot een onwenselijke gebeurtenis. (25 p.) De volgende risico’s kunnen worden onderkend (tussen haakjes is de omvang van de gevolgen weergegeven, als dat mogelijk is op basis van informatie in de case): • het ERP-systeem dat via ASP wordt aangeboden voldoet niet aan de wensen van de klant (dit is de kern van de bedrijfsvoering van Emco en problemen op dit terrein kunnen tot groot omzetverlies leiden op de lange termijn doordat klanten zich terugtrekken); • betrouwbaarheid (volledigheid, juistheid, accuratesse) van facturering aan klanten voor de drie soorten ASP-contracten (het meten van het gebruik bij vergoeding per uur en Mb is moeilijk, aangezien 2.900 van de 3.000 klanten dit type contract heeft, zijn de gevolgen groot als Emco dit onvoldoende beheerst); • beschikbaarheid van het ERP-pakket via ASP (gevolgen zijn groot als het systeem niet beschikbaar is omdat dan de belangrijkste opbrengstcategorie van Emco wegvalt en bovendien reputatieschade kan ontstaan met mogelijk toekomstig klantenverlies); • beschikbaarheid van het eigen administratieve systeem dat met server-based computing werkt (een dergelijk systeem bestaat uit thin clients die hun software op een centrale server draaien, als dit systeem plat gaat, kan de gebruiker geen enkele transactie meer uitvoeren waardoor de gevolgen voor de bedrijfsvoering groot zijn); • technische problemen bij de implementatie van de op innovatie gebaseerde ITstrategie (Emco hanteert technieken die mogelijk nog onvoldoende betrouwbaar zijn; de gevolgen zijn dat de beperkte groep gebruikers die de nieuwe gadgets wil uitproberen niet de service krijgt die ze wenst); • niet-naleving van de contractuele bepalingen door de partners in de alliantie tussen Emco, de mobiele telefonieaanbieder, en de bank (geen aanwijzingen over de omvang van dit risico); • lekken van vertrouwelijke informatie uit het ERP-systeem van Emco en uit de bankadministratie (de gevolgen zijn dat het bedrijfsmodel van Emco niet meer werkt doordat klanten hun persoonlijke gegevens niet meer willen toevertrouwen aan Emco en haar partners); • de gebruikelijke risico’s op het terrein van informatiesystemen zoals onderhoud (ontbrekende of slechte systeemdocumentatie waardoor het systeem niet of moeilijk kan worden aangepast aan veranderende omstandigheden – gegeven de dynamiek in de markt waarin Emco opereert moeten de systemen goed onderhoudbaar zijn – met als consequentie dat reputatieschade en verlies klanten optreedt), overdraagbaarheid (het systeem kan niet of moeilijk worden overgezet op een ander besturingssysteem en/of andere hardware, gevolgen zijn gelijk aan die bij een slechte onderhoudbaarheid), en kostenoverschrijdingen (kosten wegen niet meer op tegen de baten, bij IT is het een bekend verschijnsel dat investeringen in IT vaak op grond van lichtere criteria worden gedaan dan investeringen in andere duurzame activa; gevolgen zijn dat Emco verlies maakt dan wel te hoge, niet-concurrerende tarieven in rekening moet gaan brengen).

2

Welke maatregelen van informatiebeveiliging moet Emco treffen rondom de draadloze communicatie en mobiele diensten? Beantwoord deze vraag zo specifiek mogelijk voor de genoemde alliantie. (20 p.)


21


Het gaat om de alliantie tussen Emco (ERP via ASP), een mobiele telefonieaanbieder, en een bank. Er vindt elektronische datacommunicatie plaats tussen deze drie partijen. Om deze communicatie goed te laten verlopen, zijn SLA’s tussen de partijen afgesloten waarin gedetailleerd is vastgelegd wat de rechten en plichten van elk van de partijen zijn, welke prestatiemaatstaven worden gebruikt en wat de sancties zijn bij niet-naleving. Maatregelen die specifiek bij draadloze communicatie via radiofrequenties (WiFi) moeten worden getroffen, hebben vooral betrekking op communicatie via veilige protocollen zoals WEP. Maatregelen die specifiek bij de communicatie tussen de computers van Emco en via smartphones/PDA’s naar de computers van de bank moeten worden getroffen, hebben vooral betrekking op het via een inlogprocedure toegang verschaffen tot de computers van de bank en de mobiele telefonieaanbieder. 3

Hoe zou je de AO/IC van Emco inrichten om redelijke zekerheid te krijgen dat de informatieverzorging aan de daaraan te stellen betrouwbaarheidseisen voldoet en dat geen waarden ongeoorloofd de organisatie verlaten? Je antwoord moet onder andere omvatten: • de afdelingen die nodig zijn om een adequate controletechnische functiescheiding te kunnen realiseren; • de controles die worden uitgevoerd; • de procedures in hoofdlijnen. (40 p.) De volgende opbrengstcategorieën kunnen binnen Emco worden onderscheiden: • opbrengsten uit ASP per uur; • opbrengsten uit ASP per Mb; • vaste jaarlijkse opbrengsten uit ASP; • opbrengsten uit de levering van hardware en software inzake de hot spots; • opbrengsten uit de alliantie met de mobiele telefonieaanbieder en de bank. NB. Over de laatstgenoemde categorie is geen informatie gegeven in de case, dus hierop hoeft niet nader te worden ingegaan. Over de levering van hardware en software is slechts zeer beperkt informatie gegeven, dus hierop hoeft ook maar kort te worden ingegaan. Door middel van geprogrammeerde procedures wordt de tijd gemeten die een gebruiker ingelogd is om gebruik te maken van het ERP-systeem (tijdsafhankelijk gebruik) of het aantal Mb voor gebruik van het ERP-systeem (datatransport afhankelijk gebruik). De afdeling ASP is verantwoordelijk voor de juistheid en volledigheid van de facturering. De automatiseringsafdeling is verantwoordelijk voor het correct functioneren van de hardware en software. Binnen de automatiseringsafdeling zijn subafdelingen verantwoordelijk voor het systeembeheer (hardware en databases), softwareontwikkeling (ERP en software voor hot zones), en hardwareontwikkeling (hot zones). Er is tevens een afdeling accountmanagement, die zorg draagt voor het gegevensbeheer en het oplossen van klantspecifieke problemen ten behoeve van klanten. De administratie maakt periodiek de volgende aansluitingen: • aantal geregistreerde gebruikers per categorie = aantal feitelijke gebruikers volgens de inloglijsten; • aantal facturen = aantal feitelijke gebruikers volgens de inloglijsten -/- aantal geregistreerde gebruikers die een vast bedrag per jaar betalen; • aantal feitelijke gebruikers volgens de inloglijsten die een vast bedrag per jaar betalen * vast jaarbedrag + urengebruik * tarief per uur + Mb transport * tarief per Mb = totale opbrengsten. De inkopen van hardware ten behoeve van de hot zones worden gedaan door de afdeling inkoop. De automatiseringsafdeling ontwikkelt en beheert de hot zones. De administratie stelt periodiek vast dat de ingekochte hardware ook is geplaatst op de hot spots waarvoor deze bestemd is volgens planning. Tevens stelt de administratie

22



vast dat de geplaatste hardware is gefactureerd en is besteld conform de verkoopcontracten. De HRM-afdeling houdt alle personeelsgegevens bij. De administratie stelt periodiek vast dat de gewerkte uren van het personeel overeenkomen met de uren volgens de arbeidscontracten van het personeel. Tevens stelt de administratie vast dat de per periode betaalde salarissen overeenstemmen met de salarissen volgens de HRMafdeling. 4

Schrijf een notitie van ongeveer een pagina voor het management van Emco over hoe zij haar IT-strategie moet gaan vormgeven. Besteed daarbij zowel aandacht aan aspecten van strategieformulering als aspecten van strategie-implementatie, alsmede aan de afstemming hiertussen. (15 p.) NB. De studenten kunnen hier verschillende oplossingen aandragen. Het is van belang dat in elk geval een juiste definitie van IT-strategie wordt gevolgd en dat de afstemming tussen het IT-domein en het bedrijfsdomein wordt beschreven. Tevens moet aandacht worden besteed aan de implementatieaspecten van de genoemde strategie. IT-strategie kan worden gedefinieerd als: Dat deel van de organisatiestrategie dat richting geeft aan de ontwikkeling van een integere IT-infrastructuur in de organisatie. Het doel van een dergelijke strategie is concurrentievoordeel te behalen door toegang te geven tot de gewenste informatiebronnen en informatiediensten, communicatie te verbeteren en samenwerken te ondersteunen.


23


Appendix 1 Application service providing (ASP) An application service provider (ASP) is a company that offers individuals or enterprises access over the Internet to applications and related services that would otherwise have to be located in their own personal or enterprise computers. Sometimes referred to as ‘apps-on-tap’, ASP services are expected to become an important alternative, not only for smaller companies with low budgets for information technology, but also for larger companies as a form of outsourcing and for many services for individuals as well. Early applications include: • remote access serving for the users of an enterprise; • an off-premises local area network to which mobile users can be connected, with a common file server; • specialized applications that would be expensive to install and maintain within your own company or on your own computer. Hewlett-Packard, SAP, and Qwest have formed one of the first major alliances for providing ASP services. They plan to make SAPs popular R/3 applications available at ‘cyber centers’ that will serve the applications to other companies. Microsoft is allowing some companies to offer its BackOffice products, including SQL Server, Exchange and Windows NT Server on a rental, pay-as-you-use basis. While ASPs are forecast to provide applications and services to small enterprises and individuals on a pay-per-use or yearly license basis, larger corporations are essentially providing their own ASP service in-house, moving applications off personal computers and putting them on a special kind of application server that is designed to handle the stripped-down kind of thin client workstation. This allows an enterprise to reassert the central control over application cost and usage that corporations formerly had in the period prior to the advent of the PC. Microsoft’s terminal server product and Citrix's WinFrame products are leading thin-client application server products. Source: http://whatis.techtarget.com

24



Appendix 2 ]Denial of service On the Internet, a denial of service (DoS) attack is an incident in which a user or organization is deprived of the services of a resource they would normally expect to have. Typically, the loss of service is the inability of a particular network service, such as e-mail, to be available or the temporary loss of all network connectivity and services. In the worst cases, for example, a Web site accessed by millions of people can occasionally be forced to temporarily cease operation. A denial of service attack can also destroy programming and files in a computer system. Although usually intentional and malicious, a denial of service attack can sometimes happen accidentally. A denial of service attack is a type of security breach to a computer system that does not usually result in the theft of information or other security loss. However, these attacks can cost the target person or company a great deal of time and money. Common forms of denial of service attacks are: • buffer overflow attacks; • SYN attacks; • teardrop attack; • smurf attack; • viruses; • physical infrastructure attacks. Buffer overflow attacks The most common kind of DoS attack is simply to send more traffic to a network address than the programmers who planned its data buffers anticipated someone might send. The attacker may be aware that the target system has a weakness that can be exploited or the attacker may simply try the attack in case it might work. A few of the better-known attacks based on the buffer characteristics of a program or system include: • sending e-mail messages that have attachments with 256-character file names to Netscape and Microsoft mail programs; • sending oversized Internet Control Message Protocol (ICMP) packets (this is also known as the Packet Internet or Inter-Network Groper (ping) of death); • sending to a user of the Pine e-mail program a message with a ‘From’ address larger than 256 characters. SYN attacks When a session is initiated between the Transport Control Program (TCP) client and server in a network, a very small buffer space exists to handle the usually rapid ‘handshaking’ exchange of messages that sets up the session. The session-establishing packets include a SYN field that identifies the sequence in the message exchange. An attacker can send a number of connection requests very rapidly and then fail to respond to the reply. This leaves the first packet in the buffer so that other, legitimate connection requests can't be accommodated. Although the packet in the buffer is dropped after a certain period of time without a reply, the effect of many of these bogus connection requests is to make it difficult for legitimate requests for a session to get established. In general, this problem depends on the operating system providing correct settings or allowing the network administrator to tune the size of the buffer and the timeout period. Teardrop attacks This type of denial of service attack exploits the way that the Internet Protocol (IP) requires a packet that is too large for the next router to handle be divided into fragments. The fragment packet identifies an offset to the beginning of the first packet that enables the entire packet to be reassembled by the receiving system. In the teardrop attack, the attacker's IP puts a confusing offset value in the second or later


25


fragment. If the receiving operating system does not have a plan for this situation, it can cause the system to crash. Smurf attack In this attack, the perpetrator sends an IP ping (or ‘echo my message back to me’) request to a receiving site. The ping packet specifies that it be broadcast to a number of hosts within the receiving site's local network. The packet also indicates that the request is from another site, the target site that is to receive the denial of service. (Sending a packet with someone else's return address in it is called spoofing the return address.) The result will be lots of ping replies flooding back to the innocent, spoofed host. If the flood is great enough, the spoofed host will no longer be able to receive or distinguish real traffic. Viruses Computer viruses, which replicate across a network in various ways, can be viewed as denial of service attacks where the victim is not usually specifically targeted but simply a host unlucky enough to get the virus. Depending on the particular virus, the denial of service can be hardly noticeable ranging all the way through disastrous. Physical infrastructure attacks Here, someone may simply snip a fiber optic cable. This kind of attack is usually mitigated by the fact that traffic can sometimes quickly be rerouted. Source: http://whatis.techtarget.com

26



5.11 1

Flyday Cargo Hoe kan Cargosys bijdragen aan een verbeterde naleving van internationale IATAregels? (15 p.) Antwoordindicatie: Vrachten traceren, via systeem vaststellen wat wordt vervoerd, controleurs wereldwijd op pad sturen om te verifiëren of de werkelijke vracht overeenstemt met de geregistreerde vracht. • IATA-regelgeving als geprogrammeerde procedures in Cargosys opnemen; bij elke invoer stelt een geprogrammeerde procedure dan vast dat de invoer in overeenstemming is met de betreffende regels. • Doordat Cargosys gedetailleerde informatie bijhoudt over vrachten, kunnen verantwoordingsverslagen voor de IATA of voor controleurs op efficiënte wijze worden opgeleverd. •

2

Hoe kan FC’s VPN worden beveiligd opdat data-integriteit, datavertrouwelijkheid, en systeembeschikbaarheid in redelijke mate zijn gewaarborgd? (15 p.) Antwoordindicatie: Neem tabel Vaassen (p. 160) als uitgangspunt. Het is verder essentieel dat de toegang tot het VPN goed is afgeschermd met user ID’s en wachtwoorden, slechts één toegangspoort, en dat er een continue monitoring plaatsvindt op het verkeer van en naar het VPN (software voor logging, virusdetectie, spyware, adware, en dergelijke). Bij de systeemontwikkeling moet ervoor worden gezorgd dat programmeurs geen achterdeurtjes inbouwen die hen later toegang tot de operationele systemen kunnen geven. Dit moet bij de acceptatietests worden vastgesteld.

3

Leg uit hoe het proces van omzetten van de verschillende statuscodes betreffende de vrachtbrieven werkt. Besteed vooral aandacht aan controletechnische functiescheiding als aanvulling op de procedurebeschrijving. (20 p.) Antwoordindicatie: De kern van dit proces vormt een competentietabel waarin user ID’s zijn gekoppeld aan bevoegdheden om bepaalde statuscodes om te zetten van 0 naar 1 van niet uitgevoerd (0) naar wél uitgevoerd (1). De bevoegdheden zijn als volgt: • status 1: boeking gemaakt – Reserveringen; • status 2: vrachtbrief gemaakt – Financiën en Accounting; • status 3: vracht ontvangen bij expeditie – Expeditie; • status 4: vracht geladen – Expeditie; • status 5: vlucht vertrokken – Planning & Logistiek; • status 6: vlucht gearriveerd op bestemmingsluchthaven – Planning & logistiek; • status 7: vracht afgeleverd – Expeditie. De procedure is als volgt: Een klant maakt een boeking via internet. Deze komt binnen bij de afdeling Reserveringen die status 1 omzet (van 0 naar 1). Via een geprogrammeerde procedure worden de vrachtgegevens naar de afdeling Financiën en Administratie gestuurd om de papieren vrachtbrief te maken. F&A stuurt de vrachtbrief naar Expeditie waarna status 2 wordt omgezet. Als de vracht bij Expeditie arriveert, wordt status 3 omgezet. Als de vracht wordt geladen wordt status 4 omgezet. De afdeling P&L krijgt via de vluchtleiding (toegang tot vertrekschema’s) bericht als de betreffende vlucht is vertrokken, waarna zij status 5 omzet. Bij aankomst van de vlucht krijgt de afdeling P&L via de aankomstschema’s melding dat de betreffende vlucht is gearriveerd, waarna zij status 6 omzet. Bij overdracht van de vracht door de lokale (op aankomstvliegveld) expeditiemedewerker stuurt deze een bericht naar de afdeling Expeditie die status 7 omzet.


27


Via geprogrammeerde procedures wordt steeds geregeld (terugmeldingen op het scherm bij afwijkingen) dat een voorgaande statuscode is omgezet alvorens de volgende statuscode kan worden omgezet. 4

Schets een (vrij formaat) schema waarin de relaties tussen FC’s database, Vodafone’s sms-center, en het EFT-systeem van de opdrachtgeversbank zijn weergegeven. Leg uit wat de verschillende onderdelen van dit schema betekenen. (15 p.) Antwoordindicatie: Zie Bijlage. Toelichting: De opdrachtgever plaatst een bestelling via het elektronische bestelformulier op de internetsite van FC. Via een geprogrammeerde procedure (let op firewall tussen de website en Cargosys) wordt de database van Cargosys bijgewerkt. In deze database is een code opgenomen voor sms gewenst door de klant. Als sms is gewenst, dan wordt bij elke verandering van statuscode in de database van Cargosys via een geprogrammeerde procedure een link gelegd naar het sms-center van Vodafone (inloggen en inhoud bericht doorgeven). Als de opdrachtgever betaalt, logt hij in via de internetpagina van zijn bank en geeft de betalingsgegevens door (inclusief het ordernummer zoals via de website van FC bevestigd bij het plaatsen van de bestelling). De bank boekt deze betaling over naar de bank van FC die via zijn bankafschriften (papier en elektronisch) de ontvangstmelding krijgt en de vordering afboekt op de desbetreffende order (en dus automatisch op de debiteur omdat de order de debiteurencode/klantcode omvat).

5

Welke gegevens moeten worden opgenomen in de database van FC om RFID-tags (zie Appendix 5) te ondersteunen? Leg uit hoe deze data worden gebruikt bij het lokaliseren van vrachten. (15 p.) Antwoordindicatie: Elke RFID-tag heeft een unieke code. Deze code moet in de database van FC (Cargosys) worden opgenomen. Aan deze code zijn de frequentiegegevens gekoppeld waarmee de RFID-zend- en ontvangstapparatuur de chip kan lokaliseren via GPRS of een geavanceerdere techniek. De tagcode moet zijn gekoppeld aan de vrachtbriefcode waardoor er een unieke relatie bestaat tussen tagcode, vrachtbrief en de te vervoeren vracht.

6

Welke IT-controls moeten worden ingezet om redelijke zekerheid te krijgen dat het RFID-systeem naar behoren werkt? (20 p.) Antwoordindicatie: De RFID-tagcode moet in de vrachtbrief zijn opgenomen en op de tag zelf zijn vermeld om visuele controle mogelijk te maken tijdens het transport. Verder moet de tag zodanig beveiligd zijn dat hackers de code niet kunnen veranderen (de eerste gevallen hiervan zijn al bekend). Als onderdeel van de procedure moet ook een uitwijkfaciliteit zijn geregeld, mocht de tag geen signaal afgeven en de goederen toch getraceerd moeten worden. Het oude systeem van statuscodes blijft dus niet slechts in gebruik om het proces te bepalen waarin de vracht zich bevindt, maar ook als back-up voor de uitval van het RFID-systeem. Er moeten procedures zijn voor het aanbrengen van de tag op de vracht. Dit wordt gedaan door Expeditie samen met de vrachtbrief (nieuwe statuscode: 2a: aanbrengen RFID-tag). De tag wordt door de afdeling F&A aangemaakt en geadministreerd waarna deze naar Expeditie gaat.

28



Overige IT-controls: • Bewaren van de blanco tags in afgesloten ruimte; bewaring niet door F&A maar door IT; afgifte aan F&A slechts tegen kwijting en alleen als er een order is binnengekomen waarvoor de tag moet worden gecreëerd. • F&A houdt creatieregister bij van de tags. Afstemming tags op geheel afgehandelde vrachten en gecreëerde tags door F&A. • Logfile van alle handelingen in Cargosys die met het RFID-systeem te maken hebben. • Verder de reguliere informatiebeveiligingsmaatregelen.


29


Opdrachtgever

Internetsite FC

Cargosys en database FC

VPN

Vodafone sms-center

Betalingsopdracht via EFT

Internetsite bank van opdrachtgever

Bank van opdrachtgever

Betalingsbericht

Betaling


Bank van FC

30


5.12

T-Consultancy

1

Welke IT-gerelateerde risico’s loopt TC als het bureau besluit het voorgestelde systeem van telewerken te implementeren? Maak bij het beantwoorden van deze vraag een indeling van risico’s naar de volgende kwaliteitscriteria van IT: beschikbaarheid, vertrouwelijkheid en integriteit van data en informatie. Licht je antwoord toe met een voorbeeld per geïdentificeerd risico. (25 p.)

2

Welke beheersingsmaatregelen kunnen worden getroffen om deze risico’s op te vangen? Geef zo concreet mogelijk aan hoe deze beheersingsmaatregelen bijdragen aan het opvangen van de genoemde risico’s. (25 p.) Antwoordindicatie: Risico (vraag 1) Beschikbaarheid • laptop (hardware) • WiFi (netwerk) • portal (netwerk en applicatie) • functionaliteit programma’s (applicatie)

Control (vraag 2) Hardware/netwerk controls • bewaking van overbelasting netwerk (speciale software) • hardware en software back-up & recovery Data controls • opslaan van data (back-up & recovery van data, tussentijds opslaan tijdens werken) • terughalen (beschikbaar zijn van data voor medewerkers in geval van bijvoorbeeld crash)

Vertrouwelijkheid • toegang tot klantgegevens • toegang tot gegevens TC • toegang tot gegevens in laptop/werkplek

Hardware/netwerk controls • toegang tot netwerk van klanten en TC via firewall Data controls • digitale handtekening bij berichtenverkeer via WiFi • user ID en password voor toegang tot data

Voorbeeld (vraag 1) • Uitvallen van de internetverbindingen waarmee data worden gecommuniceerd • De ISP komt contractuele afspraken niet of onvoldoende na • Consultants en staf die onvoldoende vaardig zijn in het werken met elektronische datacommunicatie • Laptops werken niet naar behoren, wat kostbare capaciteit van consultants kan kosten (uren) • Verstoring van draadloze signalen door bijvoorbeeld oude, lekkende magnetrons (dezelfde frequentie als WiFi) • Groter aantal gebruikers van netwerk of WiFi, wat lagere performance/bandbreedte betekent • Informatie van klanten komt terecht bij derden doordat deze zich ongeoorloofd toegang verschaffen tot de gegevensverzamelingen en de elektronische datacommunicatielijnen. • Derden doen zich bij elektronische datacommunicatie richting klanten voor als consultants van TC • Videoconferenties worden afgeluisterd omdat WiFi uit de lucht te plukken is


31


Integriteit • data bij klanten • data bij TC • data bij consultant

Hardware/netwerk control indringer identificatiesysteem bij TC

•

Applicatie controls • ontwerp, test en productie in gescheiden omgeving • test op volledigheid en juistheid van proces van gegevensverwerking • inrichting functiescheiding in applicatie

•

•

•

Informatie wordt veranderd door derden die inbreken op de elektronische datacommunicatielijnen Virussen, adware, spyware e.d. komen via de thuiswerkplek op de laptops terecht en daarmee in het systeem van TC Consultants en overige medewerkers van TC kunnen bij alle data van alle klanten, zonder dat zij dat voor hun dagelijks werk nodig hebben

Data controls • vercijferd transport van data over internet • afscherming toegang tot data met autorisatiematrix • (tijdsindicatie bij mutaties van data) 3

Wat zijn de taken van de aan te stellen informatiemanager en van de aan te stellen security officer bij TC? (10 p.) (achtergrondinformatie voor correctie) Algemene beschrijving van de taken van de informatiemanager gemaakt voor het Basisboek I&C: De informatiemanager speelt vooral een rol in de managementaspecten van de informatieverzorging binnen en door organisaties. Oorspronkelijk werd van de informatiemanager vooral een technologische inbreng verwacht en bestond zijn rol voornamelijk uit het garanderen van de goede werking van de aanwezige technologie en het uitvoeren van investeringen in nieuwe technologieën die nuttig konden zijn voor de bedrijfsvoering. Maar gaandeweg nam het gebruik van IT in organisaties zodanige vormen aan dat de behoefte ontstond de IT-toepassingen beter op elkaar af te stemmen. Daardoor heeft de informatiemanager de taak erbij gekregen de toepassing van IT te plannen en te zorgen voor een infrastructuur waarbij de basistechnologieën zoals het gebruikte netwerk op een effectieve manier door de hele organisatie kunnen worden ingezet. De nadruk is ook meer komen te liggen op de goede werking van de gezamenlijke informatiesystemen in plaats van op de goede werking van elke systeem apart. Deze onderlinge afstemming is van groot belang voor de informatievoorziening van de organisatie, om te voorkomen dat verschillende informatiesystemen tegenstrijdige informatie opleveren. In het kader van het gebruiken van IT om de organisatie succesvoller te maken heeft de informatiemanager er opnieuw een aantal taken bij gekregen waaronder het formuleren van de IT-strategie. Als de informatiemanager op het niveau van strategieformulering werkt, is hij vaak lid van het managementteam waarin het topmanagement de bedrijfsstrategie en de IT-strategie op elkaar afstemt. Als hij lid is van het topmanagement, spreken we vaak niet meer over de informatiemanager maar over de chief information officer (CIO).

32



Antwoordindicatie: Taken informatiemanager • opstellen informatiebeleid, inclusief beveiligingsaspecten; • uitvoeren risicoanalyse en risicomanagement; • inrichten informatievoorziening; • monitoren proces van informatievoorziening, mede in relatie tot beleid; • specifiek voor TC: regels opstellen voor beveiligde communicatie, zowel technisch als de menselijke component (vestigingen, telewerken, draadloze verbindingen, portal, infosystemen klanten, data klanten, videoconferencing, virussen enz.). Taken security officer • Input leveren voor beleid rond informatiebeveiliging aan informatiemanager • Monitoren naleving informatiebeveiliging, met name logische beveiliging (van data dus) • Monitoren toegangsbeveiliging, ingrijpen bij afwijkingen van regels • Specifiek voor TC: − monitoren toegangsbeveiliging netwerk en informatie door verschillende partijen conform regels informatiemanager (zie boven); − gebruik user-ID/password; − instructies personeel; − encryptie; − ingebouwde beveiligingsmogelijkheden activeren/bevriezen/ontdooien; − logging; − wijzigingen in autorisaties en gebruik ervan enz. 4

Welke informatie heeft het management nodig om de kosten van het telewerkproject te kunnen beheersen? Presenteer de benodigde informatie in een logische onderlinge samenhang. (10 p.) Antwoordindicatie: Fasering van kosten in tijd: • projectkosten voor de implementatie; • uitvoering/‘live’ situatie. Kostencategorieën waarover gerapporteerd moet worden, zijn vooral: a personeelskosten van IT-deskundigen die het systeem ontwikkelen en het beveiligingsplan maken en implementeren; b kosten van hardware (laptops, bekabeling, modems, servers); c kosten van software (vooral beveiligingssoftware, ervan uitgaande dat de telewerkplekken (lees: licenties) onder Windows professional draaien, dat waarschijnlijk al aanwezig is in de organisatie); d kosten van consultants die het implementatietraject begeleiden; e opleiding en training consultants en staf. (In feite is hier sprake van een system development life cycle (SDLC). Per fase zullen andere kosten een groter aandeel vormen. De logische onderlinge samenhang in de gerapporteerde kosten komt tot uitdrukking in het volgen van de SDLC (andere modellen zijn mogelijk, maar niet zo voor de hand liggen, per geval bekijken). Dus: Fase 1: systeemanalyse, vooral kosten van leden van de projectgroep (informatieanalisten) en de consultant. Fase 2: conceptueel ontwerp, vooral kosten van leden van de projectgroep (systeemontwikkelaars) en de consultant. Fase 3: fysiek ontwerp, vooral kosten van programmeurs, beveiligingsspecialisten en de consultant. Fase 4: implementatie en conversie, vooral kosten van werkgroepen die zich bezighouden met de feitelijke implementatie (inclusief het conversieplan), het gereedmaken van de laptops voor thuisgebruik en het thuis installeren door een


33


monteur van de benodigde hardware en bekabeling, opleidingskosten, en het testen van de telewerkplekken voor acceptatie. Fase 5: ingebruikname en onderhoud, vooral kosten van IT beheerders (helpdesk, reparaties e.d.). 5

Welke risico’s zagen de afnemers van DBG volgens jou in het elektronisch naar thuiswerkplekken sturen van hun gegevens? (10 p.) Antwoordindicatie: De klanten zijn vermoedelijk vooral bang dat vertrouwelijke informatie naar buiten komt doordat de thuiswerkplekken veel minder veilig zijn dan de kantoorwerkplekken waar een professionele automatiseringsafdeling zit die de pc’s beheert en ervoor zorgt dat er geen virussen, adware en spyware op de pc’s komen. Bij thuiswerkplekken, en zeker bij gebruik van laptops die op allerlei netwerken kunnen worden ingeplugd (soms bij toeval op draadloze, niet beveiligde netwerken), is het risico groot dat via peer-to-peer netwerken bestanden en daarin verstopte virussen/wormen op de pc’s en daarmee in de datafiles terechtkomen. Bijvoorbeeld de kinderen van de consultant maken op een onbewaakt moment gebruik van de laptop en downloaden een bestand of bezoeken een onveilige website waardoor de laptop besmet raakt. Kortom, het beheer van thuiswerkplekken is vele malen complexer dan het beheer van kantoorwerkplekken.

6

Waarom is het feit dat de consultant van TC aan zijn klant wil adviseren om een Hosted CRM-systeem te gaan opzetten, een ‘vervelende bijkomstigheid’? Wat kan de consultant eraan doen om dit probleem te verhelpen? (10 p.) Antwoordindicatie: Hosted CRM maakt gebruik van een ASP waarbij gegevens elektronisch worden gecommuniceerd tussen de gebruiker en de ASP. Er ontstaan hier vergelijkbare risico’s als bij telewerken. Het advies om met Hosted CRM te gaan werken zal dus waarschijnlijk niet zo goed vallen bij de afnemers van DBG. De consultant moet dit oplossen door een waterdicht informatiebeveiligingsplan te ontwerpen. Dit plan omvat onder andere: • doelstellingen van informatiebeveiliging: − vertrouwelijkheid − integriteit − beschikbaarheid (zie risico’s van vraag 1) en − authenticiteit; • regels en richtlijnen zoals vastgelegd in een code voor informatiebeveiliging en andere normen: − waaronder COBIT en ITIL; • heldere procedures over hoe met de telewerkplekken door de telewerker wordt omgegaan: − onderhoud en beheer − steekproefsgewijze controle daarop door security manager − sanctionering bij niet naleving door de telewerker; • mate waarin de gestelde normen op het terrein van informatiebeveiliging en IT zullen worden gehaald en de wijze waarop TC dat wil gaan realiseren; • zaken die in de SLA met de application service provider geregeld moeten zijn: − in de vorm van een SLA • bevat afspraken prestatieniveaus • bevat kwaliteitsdefinities voor geleverde diensten • juridische aspecten, zoals toepasselijk recht, voorwaarden, enz. − periodieke controle op levering van prestaties van ASP: • hetzij door TC zelf, hetzij door onafhankelijke partij/afspraken omtrent deze meting • financiële consequenties bij niet / onvoldoende levering.

34



7

Welke informatie zou je van de afnemers van DBG willen verzamelen in het CRMsysteem? Geef aan hoe DBG gebruik kan maken van deze informatie. (10 p.) Antwoordindicatie: Benodigde CRM informatie • naam, adres, telefoon, fax, e-mail, enzovoort; • aankoopgedrag naar producten en bestede sommen geld; • locaties van aankopen; • frequentie van aankopen; • bijzondere kenmerken per klant; • historie van contacten per klant; • DBG-contactpersonen per klant; • reacties op bijzondere aanbiedingen en attenties vanuit DBG, enzovoort. Door deze informatie te verzamelen kan DBG o.a. • minder ervaren medewerkers de klanten te woord laten staan; • beter inspelen op specifieke wensen van klanten ten aanzien van producten, service, levertijden, prijzen enzovoort; • assortimentsbeslissingen beter onderbouwen; • strategische veranderingen initiëren; • doelgroep klanten beter afbakenen; • informatie op efficiëntere wijze door de organisatie verspreiden waardoor de bedrijfsvoering efficiënter kan verlopen.

5.13 1

Office Centre Welke interne controlerisico’s loopt Office Centre bij deze actie? Er zijn twee interne controlerisico’s: 1 verkopers geven op 12 september 2006 korting vóór 17.00 uur en na 21.00 uur of op andere dagen dan 12 september 2006; dit leidt tot omzetderving; 2 verkopers geven op 12 september 2006 geen korting tussen 17.00 uur en 21.00 uur; dit leidt tot het benadelen van klanten, waarbij de verkopers het kortingsbedrag in eigen zak kunnen steken.

2

Hoe kan Office Centre dit risico opvangen als er geen geautomatiseerd POS-systeem is? Zonder geautomatiseerd POS-systeem is er een mechanisch kasregister waarin geen tijd wordt geregistreerd en dat niet is gekoppeld aan welk ander systeem ook in de organisatie. Dit betekent dat de betreffende risico’s slechts kunnen worden opgevangen door controletechnische functiescheiding aan te brengen en verbandscontroles uit te laten voeren door het hoofd van de administratie. Een oplossing voor risico a is dat de kas om 17.00 uur wordt opgemaakt door de kassier (bewarende functie) en dat het hoofd van de administratie de kastelling aansluit met de totaaltelling van de kassabonnen die dag (controlerende functie). Om 21.00 uur wordt precies hetzelfde gedaan. Een oplossing voor risico b is om de klanten bij de kassa altijd het volle bedrag te laten betalen en hen aldaar tussen 17.00 en 21.00 uur een waardebon uit te reiken (i.c. beschikken) die bij de afdeling klantenservice (i.c. bewaren van geld) kan worden verzilverd. Hierdoor hebben de verkopers geen voordeel van het niet geven van korting waar dit wel zou moeten. Tevens sluit het hoofd van de administratie het totale verkoopbedrag aan met het totaal ontvangen bedrag.


35


3

Hoe kan Office Centre dit risico opvangen als er wel een geautomatiseerd POSsysteem is? Met een geautomatiseerd POS-systeem wordt het tijdstip van elke verkooptransactie vastgelegd in het verkoopboek en op de kassabon. Als dit tijdstip tussen 17.00 uur en 21.00 uur ligt op 12 september, dan zorgt een geprogrammeerde controle ervoor dat 25 procent korting wordt gegeven. Een oplossing voor risico a is dat de dagomzet door middel van een geprogrammeerde procedure wordt gesplitst naar verkopen met en verkopen zonder korting en dat deze bedragen door het hoofd van de administratie worden aangesloten met de kastelling die aan het eind van de dag wordt gedaan door de kassier. Een oplossing voor risico b is hiermee ook meteen gegeven.

36


Uitwerkingen cases hoofdstuk 5

Recommend Documents