Accountantsverslag Nieuwkoop 2021 - Baker Tilly - ONGETEKENDE VERSIE.pdf

Op grond van dit verslag zijn wij van mening dat wij in relatie tot uw organisatie, in overeenstemming met de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) en artikel 24a van de Wet toezicht accountantsorganisaties (Wta), onafhankelijk hebben gefunctioneerd en dat de objectiviteit van onze oordeelsvorming in het afgelopen jaar niet is aangetast.

35

Bijlage E - Bevindingen ITbeheersing

Bevindingen IT-beheersing Algemeen IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving en rapporteren daarover in deze management letter. Op basis van de door ons uitgevoerde werkzaamheden gedurende Q1 2022 hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Benodigd verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk

Onderwerp

Toegangsbeveiliging

Wijzigingsbeheer

Continuiteïtsmaatregelen en beveiliging

Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s zullen wij onze bevindingen rapporteren.

Adviespunten zonder directe impact

Onderwerp Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem. Bij het doorvoeren van wijzigingen in software-omgevingen kunnen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat er een vaste werkwijze is ingericht voor het doorvoeren van wijzigingen in de functionaliteiten van de applicatie. Daarnaast verwachten wij dat er gebruik wordt gemaakt van een test- en productie omgeving. Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang.

Hiernaast schatten wij uw beheersing van cyber risico’s in. Adviespunten zonder directe impact Gegeven de omvang van uw organisatie en de mate waarin de IT-beheersingsomgeving invloed heeft op de bedrijfsvoering binnen de organisatie, zijn wij met u overeengekomen dat wij over de volgende onderwerpen wel analyseren in kader van onze controle, maar niet rapporteren:  IT-beleid;  Verantwoordelijkheden en regiefunctie;  Procedure beheersing van incidenten;  Uitvoering procedures beheersingsmaatregelen IT (reproduceerbare beheersing van o.a. toegangsbeveiliging en wijzigingsbeheer) Overigens hebben wij omtrent deze onderwerpen geen bevindingen geconstateerd die significante impact hebben voor de jaarrekeningcontrole. 37

Bevindingen IT-beheersing Toegangsbeveiliging en wijzigingsbeheer De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Authenticatie Door middel van authenticatie wordt geborgd dat een gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp m.n. de wachtwoordvereisten. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken en aan u rapporteren als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Dit geldt voor zowel voor rechten op applicatie- als databaseniveau voor applicaties in scope van onze controle. Daarnaast is een effectieve vaste werkwijze voor het toekennen van rechten noodzakelijk om gedurende een periode te kunnen steunen op het feit dat rechten adequaat beperkt zijn. Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie.

Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden.

Authenticatie Autorisatie

Netwerk 2021

2020

Unit4 Financials 2021

2020

Wijzigingsbeheer

Omgeving

Authenticatie De ingestelde wachtwoordeisen van de Windows Active Directory zijn van voldoende niveau om de authenticatie van een gebruiker van een gebruikersaccount te borgen. Autorisatie De hoge rechten in de Windows Active Directory zijn beperkt tot de externe leverancier PQR. Hiermee zijn deze rechten belegd bij onafhankelijke functionarissen. Echter zijn er beperkt tot geen procedures om de adequate inrichting van rechten en rollen binnen de Active Directory gedurende de gehele controleperiode te borgen.

Authenticatie Gebruikers worden middels een vaste werkwijze aangemaakt in de applicatie. Er zijn echter wel generieke gebruikers in de applicatie aanwezig waarop ingelogd zou kunnen worden. De ingestelde wachtwoordinstellingen zijn van voldoende niveau om de authenticatie van een gebruiker van een gebruikersaccount te borgen. Autorisatie De hoge rechten in de applicatie Unit4 Financials zijn beperkt tot standaard accounts en service accounts waarop geen gebruikers kunnen inloggen. Hiermee zijn deze rechten belegd bij onafhankelijke functionarissen. Echter zijn er beperkt tot geen procedures om de adequate inrichting van rechten en rollen binnen de applicatie gedurende de gehele controleperiode te borgen. Wijzigingsbeheer Er zijn geen indicaties dat er gedurende 2021 wijzigingen in productie zijn genomen met impact op de betrouwbare gegevensverwerking van de applicatie.

38

Bevindingen IT-beheersing Toegangsbeveiliging en wijzigingsbeheer De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Authenticatie Door middel van authenticatie wordt geborgd dat een gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp m.n. de wachtwoordvereisten. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken en aan u rapporteren als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Dit geldt voor zowel voor rechten op applicatie- als databaseniveau voor applicaties in scope van onze controle. Daarnaast is een effectieve vaste werkwijze voor het toekennen van rechten noodzakelijk om gedurende een periode te kunnen steunen op het feit dat rechten adequaat beperkt zijn. Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie.

Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden.

Authenticatie Autorisatie

ZorgNed 2021

2020

Wijzigingsbeheer

Omgeving

Authenticatie Gebruikers worden middels een vaste werkwijze aangemaakt in de applicatie. Er zijn echter wel generieke gebruikers in de applicatie aanwezig waarop ingelogd zou kunnen worden. De ingestelde wachtwoordinstellingen zijn van voldoende niveau om de authenticatie van een gebruiker van een gebruikersaccount te borgen. Autorisatie De hoge rechten in de applicatie ZorgNed zijn beperkt tot standaard accounts en service accounts waarop geen gebruikers kunnen inloggen. Hiermee zijn deze rechten belegd bij onafhankelijke functionarissen. Echter zijn er beperkt tot geen procedures om de adequate inrichting van rechten en rollen binnen de applicatie gedurende de gehele controleperiode te borgen. Wijzigingsbeheer Ten aanzien van wijzigingsbeheer zijn door ons geen werkzaamheden uitgevoerd.

39

Bevindingen IT-beheersing Regiefunctie, continuiteïtsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.

Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Back-ups: ten aanzien van de kantooromgeving worden periodiek back-ups gemaakt door de externe IT dienstverlener.

Fysieke beveiliging: De ruimtes waar zich IT gerelateerde faciliteiten bevinden zijn niet toegankelijk voor onbevoegden.

Verantwoordelijkheden en regiefunctie Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering op het gebied van IT. We hebben waargenomen dat dit het geval is. Uitbesteding van IT-diensten houdt in dat er regie moet worden gevoerd over de wijze waarop uitbesteding door de externe IT-dienstverlener. U hebt aangegeven invulling te geven aan de regiefunctie door wekelijkse en tweewekelijkse afspraken met uw belangrijkste leverancier te voeren. Deze gesprekken voert u onder andere aan de hand van service level reports.

Beveiliging

Remote access: Voor het vanaf een externe locatie inloggen op het netwerk of in de applicaties is een extra beveiligingsmaatregel in de vorm van twofactor authenticatie actief. Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden. Recovery: Ten aanzien van recovery zijn afspraken overeengekomen met de externe IT dienstverlener.

Preventie: Een firewall en virusscanner is aanwezig en wordt actief beheerd door uw leverancier. Monitoring: Er is vernomen dat de afgelopen periode stappen zijn gezet ten aanzien van monitoring en detectie. Zo is er een Siem/SOC dienst afgenomen.

Uitwijk: Ten aanzien van uitwijk zijn afspraken overeengekomen met de externe IT dienstverlener. Er is echter geen proces ingericht om deze afspraken, als onderdeel van de regiefunctie, periodiek te beoordelen.

40

Contactgegevens J.M.A. (John) Drost RA Partner Audit +31 (0)20 – 644 2840 j.drost@bakertilly.nl R.P. (Ronald) Hoogeveen MSc. RA Senior Manager Audit +31 (0)20 – 644 2840 r.hoogeveen@bakertilly.nl M.P.M. (Marc) Wijdoogen MSc. RA Manager Audit +31 (0)20 – 644 2840 m.wijdoogen@bakertilly.nl

Kantoorgegevens: Baker Tilly (Netherlands) N.V. Entrada 303 Postbus 85745 1114AA Amsterdam +31 (0)20 – 644 2840 41