nimda

In 2010 vierde Microsoft de 25^e verjaardag van Excel. De eerste 10 jaar was Excel vooral een handige vervanger van de 14-kolomsvellen of de telmachine. Vanaf 1995 tot 2000 is Excel echter een stuk krachtiger geworden en de gebruikers hebben steeds meer IT-kennis gekregen. Hierdoor is een achterstand ontstaan in de interne beheersing rondom Excel spreadsheets en deze achterstand is nooit meer helemaal ingelopen, hoewel er met de hype rond SOx in de periode 2004-2006 veel meer aandacht is gekomen voor de risico’s van spreadsheets. Grote banken huurden zeer specialistische auditors in voor complexe rekenmodellen en de grote accountantskantoren begonnen over de risico’s te publiceren. Is uw organisatie nog niet doordrongen van de risico’s? Dan kunt u met de handvatten, die u in dit artikel aangereikt krijgt, een begin maken met het opzetten van Spreadsheet Risk Management (SRM) in uw bedrijf. Ik probeer een antwoord te geven op de basisvragen zoals:

• Welke rol spelen de verschillende afdelingen en functionarissen bij SRM?
• Hoe zet u SRM op?
• Hoe rapporteert u over SRM?

Rol van afdelingen en functionarissen bij SRM

SRM begint bovenaan in de organisatie bij de bestuurders. Een van de bestuurders moet het project “sponsoren”. De bestuurder moet de overige projectleden rugdekking geven als er weerstand is in de organisatie en het SRM-beleid vormgeven. Hierin wordt onder andere bepaald welk restrisico (risico dat overblijft na genomen maatregelen) de bestuurders acceptabel vinden en wat er van de organisatie wordt verwacht om dit restrisico te bereiken.

Projectteam
Vervolgens zal er een projectteam moeten worden opgezet. Afhankelijk van de grootte van de organisatie zullen daar waarschijnlijk de volgende functionarissen in opgenomen worden:

• IT (verantwoordelijke voor het IT-beheer).
• Eigenaren van de belangrijkste spreadsheets uit de business.
• Compliance officer.
• (Operational) Risk Manager.
• Internal Audit.
• Finance en Control (eindverantwoordelijke voor de managementrapportage).
• Bestuurder (sponsor).

Zij zullen de vragen van de bestuurders moeten beantwoorden. De bestuurders zullen onder meer willen weten waar ze risico’s lopen, waaruit de risico’s bestaan en of ze significant zijn.

Verantwoordelijkheden
Een lastig probleem bij spreadsheets is de vraag wie er verantwoordelijk is voor het spreadsheet en de bijbehorende risico’s. De IT-afdeling legt dit vaak bij de business neer, terwijl de business naar IT wijst. In elk geval zou IT verantwoordelijk moeten zijn voor de continuïteit van de operationele systemen, back-ups en veiligheid. Zij kunnen bijvoorbeeld enkele beveiligde mappen aanmaken waar bedrijfskritische spreadsheets opgeslagen kunnen worden. De business kan dan zijn verantwoording nemen voor de inhoud van het spreadsheet.

Eigenaren van spreadsheets zijn verantwoordelijk voor het identificeren en beoordelen van de risico’s die bestaan in hun spreadsheets. Zij moeten hiervoor de benodigde richtlijnen, tools en eventuele training ontvangen.

Compliance weet aan welke externe regelgeving de onderneming zich moet houden. Op basis daarvan adviseren zij hoe de risico’s op non-compliance verminderd kunnen worden.

De Risk Manager draagt er zorg voor dat de nieuwe beheersmaatregelen binnen het bestaande risicomanagement worden geïntegreerd zodat overlappende maatregelen worden voorkomen. Inmiddels zijn er diverse consultancybureaus en softwareleveranciers, die zich op het zogeheten GRC (Governance, Risk, Compliance) richten. Met hun technieken en tools kunnen organisaties in 1 keer compliance organiseren aan regelgeving van meerdere landen en op meerdere vakgebieden.

Internal Audit kan helpen bij het beoordelen van de beheersmaatregelen. Daarnaast kunnen zij analyseren wat er nog verbeterd dient te worden en er voor zorgen dat hier aandacht voor is van de directie.

Finance en Control is vaak als inhoudsdeskundige aanwezig. Hun rapportageproces bevat vaak de meest gevoelige informatie, waardoor fouten daar de grootste gevolgen hebben. Bijvoorbeeld een fout in de jaarrekening of de kwartaalrapportage. Ook kunnen zij verantwoordelijkheden van compliance, risk management en internal audit overnemen als het bedrijf te klein is om al deze functies afzonderlijk in huis te hebben.

De bestuurder is verantwoordelijk voor het creëren van draagvlak in de organisatie. Daarnaast moet hij het overzicht bewaren, zodat er geen papieren tijger ontstaat waar uiteindelijk niemand meer iets mee doet.

Hoe zet u SRM op?

Inventarisatie
Nadat duidelijk is wat de bestuurders verwachten kan worden begonnen met de inventarisatie van de aanwezige spreadsheets. Er zijn tools beschikbaar om bij dit proces te ondersteunen. Daarnaast kan aan de hand van procesbeschrijvingen en toelichting door gebruikers bepaald worden waar spreadsheets worden gebruikt in de organisatie. Probeer zo ook spreadsheets te vinden die niet op het netwerk staan, maar op harde schijven van PC’s en laptops of USB-sticks.

Impactanalyse
Per spreadsheet wordt bepaald wat de gevolgen zijn voor de organisatie. Organisaties willen dat het liefst kwantificeren in euro’s, maar dat lukt lang niet altijd. Daarom wordt er dan uitgeweken naar een kwalitatieve analyse, waarbij de spreadsheets zo goed mogelijk worden ingedeeld naar het gevolg dat een fout in een spreadsheet heeft voor de organisatie. Let op: Het gaat hierbij niet alleen om fouten in het spreadsheet, maar ook de gevolgen als een spreadsheet verloren gaat of niet tijdig kan worden opgesteld!

• Hoog: De continuïteit van de organisatie is in gevaar of wet- en regelgeving wordt overtreden.
• Middel: Er kan een behoorlijk verlies ontstaan of er kan gevoelige informatie openbaar komen.
• Laag: Er worden geen belangrijke beslissingen genomen op basis van deze spreadsheets, hoewel fouten wel vervelende gevolgen kunnen hebben.

Waarschijnlijkheidsanalyse
Zodra deze indeling is gemaakt, kan per spreadsheet worden gekeken naar de waarschijnlijkheid dat er fouten ontstaan in het spreadsheet of dat deze niet tijdig kan worden opgesteld. Met uw boerenverstand kunt u dit rijtje waarschijnlijk gemakkelijk opstellen, maar voor de volledigheid geef ik het toch even:

• Bestandsgrootte.
• Hoeveelheid data.
• Het aantal unieke formules dat is gebruikt en de complexiteit daarvan.
• Aantal links tussen onderdelen van het spreadsheet en spreadsheets onderling.
• Hoeveelheid VBA-code en macro’s.

Van een aantal van deze risicofactoren is wetenschappelijk vastgesteld door o.a. Panko dat er een directe link is tussen deze factoren en het voorkomen van fouten. Naast deze objectieve factoren zijn er nog een aantal meer subjectieve, waardoor de spreadsheets toch door het menselijk oog beoordeeld moeten worden. Een goede hulp is de checklist waarnaar in het vorige artikel is verwezen. Denk hierbij o.a. aan opzet en design van het spreadsheet. Als er veel spreadsheets zijn dan kunnen aan de hand van de mutatiedatum eerst de spreadsheets met de meest recente mutatiedatum gecontroleerd worden. Vergeet hierbij niet dat sommige bedrijfskritische spreadsheets maar één keer per jaar worden gebruikt.

Ik heb zelf deze analyse voor een bouwbedrijf gedaan, de uitkomsten zijn te zien in grafiek1. De x-as geeft de impact weer en de y-as de waarschijnlijkheid. De spreadsheets waar het meeste aandacht naar uit zou moeten gaan, staan in de rechterbovenhoek (blauw omcirkeld).

Issuelijst
De huidige situatie is nu als een soort nulmeting vastgelegd. Omdat ook bekend is waar de bestuurders naar toe willen kun je een zogeheten gap-analyse doen. Waar zitten de verschillen tussen het uiteindelijke doel en de huidige stand van zaken. Door beheersmaatregelen zal dit gat uiteindelijk verdwijnen. Per beheersmaatregel moet de afweging worden gemaakt tussen kosten en resultaten. Ook moet de natuurlijke vrijheid, die aan het gebruik van spreadsheets is verbonden, nooit te veel ingeperkt worden. Zo ontstaat een issuelijst die de basis is van de periodieke rapportage om de bestuurders op de hoogte te houden van de voortgang van het project. Er komt nu een soort cyclus opgang zoals te zien is in afbeelding1. Tip: spreadsheetmanagementtools kunnen de belangrijkste risico’s snel reduceren door o.a. versiebeheer, toegangscontrole (soms zelfs tot delen van een spreadsheet) en een audittrail aan te bieden.

Afbeelding 1:

Spreadsheets met ineffectieve beheersmaatregelen
Als uit de issuelijst blijkt dat een bepaalde bedrijfskritische spreadsheet omgeven is door ineffectieve beheersmaatregelen dan kan rapportage op basis van deze spreadsheet niet worden vertrouwd. Het verdient dan aanbeveling om het spreadsheet uitgebreid te testen zodat toch zekerheid kan worden verkregen omtrent de juiste werking van het spreadsheet. Dit testen kan gebeuren door specialisten, al dan niet met de hulp van tools. Internal audit zal de beheersmaatregelen periodiek blijven testen, maar SRM blijft de verantwoordelijkheid van de afdelingsmanager. Let op: een test waarbij alle beheersmaatregelen effectief blijken te zijn betekent niet dat u het spreadsheet 100% kunt vertrouwen, maar wel dat het risico op fouten significant verlaagd is!

Risicomanagement is mensenwerk
Als SRM niet gaat leven bij uw personeel dan zal het niet lukken om een acceptabel restrisico te behalen. Daarom is het nodig om de invoering van SRM te omgeven met trainingen en workshops om zo de bewustwording te verhogen. Vooral managers hebben vaak veel andere verantwoordelijkheden en het is belangrijk om SRM bij hen op de radar te krijgen. Ook de spreadsheetgebruikers zelf moeten weten welk effect ze zelf kunnen hebben op de risico’s. Dit kan onder andere door self assessments, waarbij ze zelf de risico’s, de beheersmaatregelen en het restrisico van hun eigen spreadsheet periodiek beoordelen en ondertekend rapporteren. Deze self assessments zijn een ideale methode om de kosten van SRM binnen de perken te houden. Als SRM voor uw organisatie van essentieel belang is dan kan ook worden overwogen om het mee te laten wegen bij de evaluatie van het personeel.

Aansluiten bij een industriestandaard
Voor grotere organisaties kan het lonen om aan te sluiten bij een industriestandaard. Aangezien spreadsheetontwikkeling erg op applicatieontwikkeling lijkt, verdient het aanbeveling om te kijken naar overlap met frameworks zoals CobiT (www.isaca.org). Dergelijke frameworks hebben standaard oplossingen voor diverse onderdelen van SRM, van toegangsbeheer tot versiebeheer en van het beheersen van het ontwikkelproces tot onafhankelijk testen van spreadsheets.

Risicorapportage SRM

Het doel van deze risicorapportage is: het verkrijgen van inzicht in de risico’s die de organisatie loopt op verschillende deelgebieden van SRM. Essentieel is dat hierbij detailinformatie per afdeling kan worden getoond, zodat de verantwoordelijke afdelingsmanagers ook inzicht hebben in hun risico’s en daardoor verantwoording kunnen nemen. Meestal wordt de rapportage gevuld met zogeheten Key Risk Indicators (KRI), maar hiervoor is nog geen best practice ontwikkeld. Daarom een aantal handreikingen voor een goede rapportage. Het is belangrijk dat de KRI’s een plekje krijgen op het dashboard van de afdelingsmanagers omdat hiermee wordt aangegeven dat het net zo belangrijk is als andere stuurinformatie. Meestal worden enkele KRI’s getoond, voorbeelden zijn:

• Aantal spreadsheets waarbij fouten grote gevolgen hebben voor de organisatie.
• Aantal spreadsheets waarbij de kans op fouten groot is.
• Aantal actieplannen.
• Aantal actieplannen dat niet tijdig is afgerond.
• Totale risico van alle spreadsheets opgeteld.
• Totale restrisico van alle spreadsheets opgeteld.

Bij toenemende risico’s op een bepaalde afdeling kan de betreffende manager worden gevraagd om extra beheersmaatregelen te nemen om de risico’s weer binnen de acceptabele bandbreedte te krijgen.

Toegift: 6 aanwijzingen dat een spreadsheet beter vervangen kan worden door een applicatie:

1.       Het spreadsheet bevat vooral data, die weer in andere spreadsheets wordt gebruikt.
2.       Er is heel veel VBA (macro’s) nodig om het doel te bereiken.
3.       Er zijn veel (gelijktijdige) gebruikers.
4.       Er is maar 1 spreadsheetgoeroe die alle spreadsheets beheert.
5.       Het spreadsheet loopt vaak vast of is erg traag met berekeningen.
6.       Het spreadsheet wordt gebruikt als een koppeling tussen 2 systemen.

Spreadsheets zijn overal. Als je eens een zoekopdracht doet op je netwerk dan vind je er vaak vele duizenden. Spreadsheets worden veel gebruikt in rapportageprocessen, maar soms groeien ze uit tot bedrijfskritische applicaties en daar zijn ze nooit voor gemaakt. Daarvoor zijn er andere applicaties, maar die zijn vaak te duur of het duurt te lang voordat ze geïmplementeerd zijn. Soms vereist de hevige concurrentie dat u niet kunt wachten op een nieuw systeem. Deze en nog vele andere redenen zorgen ervoor dat spreadsheets nooit zullen verdwijnen.
Doordat ze steeds meer mogelijkheden bieden en de gebruikers die mogelijkheden ook steeds beter weten te benutten worden de risico’s echter steeds groter. Daarom klinkt de roep om Spreadsheet Risk Management. In dit artikel worden een aantal oplossingen besproken voor typische problemen bij het gebruik van spreadsheets.

Versiebeheer

Stel u mailt uw spreadsheet naar 10 anderen. Heeft u er dan weleens bij stil gestaan dat er dan ook 10 versies zijn ontstaan? Het kan voorkomen dat verschillende ontvangers de spreadsheet aanpassen, waardoor het heel erg moeilijk wordt om alle wijzigingen weer in 1 spreadsheet te verwerken. Maar dat is niet het enige: het kan ook gebeuren dat er plotseling weer een oude versie opduikt die wordt gebruikt voor belangrijke beslissingen.
Als een spreadsheet wordt afgedrukt ontstaat er weer een versie. Vandaar dat het afdrukken van de bestandsnaam en de afdrukdatum en –tijd zo belangrijk zijn. Zo kun je altijd achterhalen waar de gegevens op gebaseerd waren.
Onder dit kopje wil ik ook het archiveringsbeleid noemen. In de organisaties waar ik geweest ben komt het heel vaak voor dat de rapportage van de vorige maand wordt gebruikt als basis voor de rapportage van de huidige maand. Dan gebeurt het nog weleens dat per ongeluk de rapportage van de vorige maand wordt overschreven. Veel rapportages moeten uit het oogpunt van compliance (o.a. Belastingdienst) vaak lang worden bewaard. Het overschrijven of verwijderen van rapportages zorgt voor non-compliance en levert problemen op. Als u met Excel werkt loont het de moeite om eens naar Sharepoint te kijken. Een eenvoudige versie is gratis te downloaden (WSS 3.0).

Autorisatie

Een van de lastigste uitdagingen in Excel is het beheren van de toegang tot het document. Om te voorkomen dat gegevens zonder toestemming ingezien of gewijzigd worden zal het spreadsheet een toegangsbeveiliging moeten hebben. De werkblad- en macrobeveiliging zijn echter eenvoudig te kraken. Daarom zouden alle spreadsheets met gevoelige informatie gecompileerd moeten worden. Met een applicatie, die relatief goedkoop via internet verkrijgbaar is, wordt de spreadsheet omgezet in een uitvoerbaar (.EXE) bestand. De toegangsbeveiliging is ineens een stuk moeilijker te kraken en de formules en macro’s in de spreadsheet zijn niet meer te lezen. Ook dat laatste kan voor sommige bedrijven erg belangrijk zijn: onlangs hoorde ik nog over een conflict tussen 2 partijen omdat de ene partij enkele tonnen had geïnvesteerd in een geavanceerd Excelprogramma, dat onmiddellijk werd gekraakt door de eerste partij waar het geïmplementeerd werd. U kunt bijvoorbeeld ook denken aan het bewaren van bedrijfsgeheimen zoals een receptuur. Zoiets wilt u liever niet met de concurrent delen, toch?

Projectmanagement

Ik ben een aantal keren ingehuurd om een spreadsheet op maat te maken voor een organisatie. Ik verbaasde me elke keer weer over het feit dat er geen afweging was gemaakt tussen bestaande software en het zelf ontwikkelen van een spreadsheet. Eigenlijk is deze afweging niets minder dan een make- or buybeslissing. Toch gingen de meeste organisaties zonder nadenken voor een spreadsheet vanwege de flexibiliteit, waarbij ze de nadelen eigenlijk vrij gemakkelijk terzijde schoven.
Het wordt nog erger als een interne medewerker wordt gevraagd om een spreadsheet te bouwen. In de meeste organisaties worden de loonkosten van deze medewerker gezien als kosten die toch al  gemaakt worden. Daarom wegen ze minder zwaar dan zogeheten out-of-pocket kosten bij de inhuur van een derde partij. Het gevolg is dat de interne medewerker een vrijwel onbeperkt budget heeft om het gevraagde spreadsheet te maken en bij te schaven, terwijl een Excelexpert waarschijnlijk een betere spreadsheet oplevert tegen lagere kosten.

Bovengenoemde zaken kunnen worden voorkomen door onderscheid te maken tussen een prototype, een spreadsheet voor eigen gebruik en een spreadsheet voor gebruik door meerdere medewerkers.

• prototype: Excel wordt gebruikt om te beoordelen of de gevraagde functionaliteit in een spreadsheet gebouwd kan worden. Er wordt een klein urenbudget beschikbaar gesteld en het resultaat wordt beoordeeld door de eindgebruikers, ondersteund door een technisch expert. Afhankelijk van het resultaat kan er nu ook gekozen worden om te investeren in een bestaande applicatie.
• eigen gebruik: Spreadsheets voor eigen gebruik kunnen buiten het projectmanagement vallen. Op het moment dat meer gebruikers interesse tonen moet de spreadsheet worden beoordeeld door de verwachte eindgebruikers. Bij complexe spreadsheets verdient het ook aanbeveling om deze te laten controleren door een expert. Bij bedrijfskritische spreadsheets is een audit aan te raden. Dit wordt besproken onder het kopje ‘Testen’.
• spreadsheet voor gebruik door meerdere medewerkers: Voor een dergelijke spreadsheet gelden veel hogere eisen. Een van de zwaktes van Excel is juist het (gelijktijdig) gebruik van het spreadsheet door meerdere medewerkers. Let hier dus goed op bij de keuze voor Excel. Behandel dit traject als een project met een urenbudget, testfases tussendoor en een evaluatie achteraf. Raadpleeg de checklist om bekende risico’s te vermijden.

Testen

De meeste financiële medewerkers zijn al gauw de ‘Excelgoeroe’ binnen hun onderneming. Dat komt omdat het erg moeilijk is om te bepalen op welk niveau iemand werkt binnen Excel. Bij een bekend Amerikaans consultancybureau waren de consultants erg overtuigd van hun eigen kunnen in Excel. Daarom werd hen gevraagd om een examen (Microsoft Certified Application Specialist) af te leggen. De meeste consultants dachten dat varkentje wel even te wassen en groot was dan ook de teleurstelling toen bleek dat nog niet de helft van hen het examen had gehaald! De reden is vaak dat Excelkennis on the job wordt opgebouwd en dus scheef is. Van het ene onderwerp weet men veel en van het andere niet (zie grafiek 1). Wees dan ook altijd kritisch als iemand zichzelf expert noemt, dit leidt namelijk tot overmoedigheid. Ik hoorde pas nog iemand zeggen: “Ik test mijn spreadsheets nooit, ik weet gewoon dat ik kwaliteit lever”. Des te meer een reden om te testen dus! Hoe test je een spreadsheet nu?

• waarschijnlijkheidscontroles: beoordeel de resultaten van het spreadsheet aan de hand van het verwachte resultaat;
• testen van de gebruikte intelligentie: zowel voor de besturing van het spreadsheet als voor de berekeningen is intelligentie nodig. De intelligentie voor de besturing kan worden vastgesteld door alle functies een aantal keren te testen. Bij berekeningen dient de complete berekening van broncel tot doelcellen te worden nagelopen. Daarnaast verdient het aanbeveling om alle gebruikte formules te identificeren en onder elkaar te zetten met daarachter het aantal keren dat ze gebruikt worden. Uit onderzoek van Panko, een expert op het gebied van menselijke fouten, is namelijk gebleken dat er een verband bestaat tussen het aantal unieke formules en het aantal fouten dat wordt aangetroffen;
• vaststellen of het design het inzicht ten goede komt: voor het begrip van de gebruiker is het belangrijk dat duidelijk is welk doel elke cel dient. Ook is het handig als hij van linksboven naar rechtsonder kan werken en als cellen met hetzelfde doel (input-verwerking-output) gegroepeerd worden;
• regressietest: na elke aanpassing van het spreadsheet moet worden gecontroleerd of alle functies nog steeds naar behoren werken. Hiermee wordt voorkomen dat een aanpassing, die op zich goed werkt, verderop problemen veroorzaakt;
• afhankelijkheden in kaart brengen: per spreadsheet moet duidelijk zijn hoe de cellen afhankelijk zijn van elkaar. Breng vooral ook de relatie met andere spreadsheets in kaart;
• aansluiten met het bronsysteem: probeer een aansluiting te maken met het bronsysteem. Dit kan achteraf, maar ook door met controletotalen te werken bij een export. Zo kan worden vastgesteld dat de data uit het bronsysteem volledig en juist is overgenomen;
• als laatste een hulpje bij al dit werk: een spreadsheet audit tool. Deze zijn vaak relatief goedkoop en gemakkelijk onder de knie te krijgen. Ze kunnen verschillende bovengenoemde taken automatiseren, maar bijvoorbeeld ook alle spreadsheets op het netwerk in kaart brengen. Sommige tools kunnen daarbij zelfs verschillende versies van hetzelfde spreadsheet vinden.

Wat kan Nimda voor u doen?

Bent u na het lezen van dit artikel onder de indruk geraakt van de risico’s die Excel binnen uw onderneming kan veroorzaken? Neem dan contact op met Nimda om de risico’s binnen uw onderneming in kaart te brengen en te verhelpen.

Hier vind u  de checklist, behorende bij de artikelen in Tijdschrift Administratie en Tijdschrift Controlling.
Checklist spreadsheetrisico
Wilt u graag informatie blijven ontvangen over dit onderwerp dan kunt u dit in een e-mail aan info@nimda.nl laten weten.