controledoelstellingen

Controledoelstellingen zijn concrete doelen die organisaties formuleren om te bepalen welke controles noodzakelijk zijn om risico’s te beheersen en bedrijfsdoelstellingen te ondersteunen. Ze vertalen kansen en dreigingen in vereisten voor beheersmaatregelen en geven richting aan wat secure, betrouwbare en conforme bedrijfsvoering moet opleveren.

Deze doelstellingen worden afgeleid uit een combinatie van risicobeoordelingen, wettelijke en regelgevende eisen, en strategische ambities. Ze kunnen op meerdere niveaus bestaan, van organisatiebreed tot per proces of IT-systeem, en zijn vaak onderverdeeld naar operationele, nalevings- en rapportage- of veiligheidstoepassingen. Controledoelstellingen kunnen vereist gedrag en resultaten specificeren, zoals tijdigheid, juistheid, integriteit, vertrouwelijkheid en beschikbaarheid.

In practijk worden controledoelstellingen vaak gebruikt in combinatie met controleactiviteiten. Ze dienen als basis voor het ontwerp, de implementatie en de evaluatie van beheersmaatregelen en kunnen worden gekoppeld aan framewerken zoals COSO, COBIT of ISO-standaarden, waardoor een samenhangend raamwerk ontstaat voor governance en assurance. Het verschil tussen controledoelstellingen en controles is dat doelstellingen aangeven wat bereikt moet worden, terwijl controles de specifieke acties of mechanisms zijn die dat bereiken.

Voorbeelden zijn: voor een inkoopproces een controledoelstelling zoals tijdige en correcte betaling en anti-fraudemaatregelen; voor IT-omgevingen een doelstelling rondom vertrouwelijkheid en integriteit van data met passende toegangs- en beveiligingscontroles. Periodieke evaluatie en auditing bepalen of de controledoelstellingen nog aansluiten bij de risicoprofiel en regelgeving, en leiden tot aanpassing van controles waar nodig.