Nadere voorschriften controle- en overige standaarden

Het is niet waarschijnlijk dat een algemene verwijzing in een rapportage in uitgebreide vorm (‘long form’) inzake het uitvoeren van de opdracht door afdoende bevoegd personeel, met inbegrip van deskundigen voor het onderzoeksobject en assurance-specialisten, verkeerd wordt geïnterpreteerd als verminderde verantwoordelijkheid. De kans op een misverstand is echter groter in het geval van rapportage in beknopte vorm (‘short form’) waarin de minimale contextuele informatie kan worden weergegeven of wanneer naar de door de accountant ingeschakelde deskundige bij naam wordt verwezen. Aanvullende bewoordingen kunnen derhalve in zulke gevallen nodig zijn om te voorkomen dat het assurance-rapport impliceert dat de verantwoordelijkheid van de accountant voor de tot uitdrukking gebrachte conclusie is verminderd vanwege de betrokkenheid van de deskundige.

(Zie Par. 74, 75, 76, 77 en Bijlage)

A189

De term ‘met een diepgaande invloed’ beschrijft de gevolgen van verschillen tussen het onderzoeksobject en de criteria of de mogelijke gevolgen van eventuele verschillen die niet zijn gedetecteerd als gevolg van de onmogelijkheid om voldoende en geschikte assurance-informatie te verkrijgen. Gevolgen met een diepgaande invloed zijn die welke op grond van de oordeelsvorming van de accountant:

A190

De aard van de aangelegenheid en de oordeelsvorming van de accountant inzake de mate waarin de gevolgen of mogelijke gevolgen van diepgaande invloed zijn op het onderzoeksobject, hebben invloed op het soort conclusie dat tot uitdrukking moet worden gebracht.

A191

Voorbeelden van conclusies met een beperking en afkeurende conclusies en een onthouding van een conclusie omvatten:

A192

Bij een compliance-opdracht kan de evalueerder bijvoorbeeld op correcte wijze de gevallen van het niet-naleven beschrijven. In dergelijke gevallen wordt op grond van paragraaf 76 van de accountant vereist dat hij de aandacht van de beoogde gebruikers richt op de beschrijving van de afwijking van materieel belang. Dit doet hij door een conclusie met beperking of een afkeurende conclusie tot uitdrukking te brengen of door de nadruk te leggen op de aangelegenheid door hier in het assurance-rapport specifiek naar te verwijzen.

(Zie Par. 78)

A193

Aangelegenheden die geschikt kunnen zijn om te communiceren met de verantwoordelijke partij, de opdrachtgever of anderen omvatten fraude of vermoede fraude en mogelijke tendentie ter zake van het onderzoeksobject.

A194

Relevante ethische voorschriften kunnen een vereiste omvatten om geïdentificeerde of vermoede niet-naleving van wet- en regelgeving aan het management op het passende verantwoordelijkheidsniveau of de met governance belaste personen te rapporteren. In bepaalde rechtsgebieden kan wet- of regelgeving de communicatie van de accountant van bepaalde aangelegenheden met de verantwoordelijke partij, het management of de met governance belaste personen beperken. Wet- of regelgeving kan specifiek communicatie, of andere actie, verbieden die een onderzoek door een bevoegde instantie naar een actuele of vermoede illegale handeling zou kunnen schaden, inclusief het hierop attenderen van de entiteit. Bijvoorbeeld wanneer van de accountant wordt vereist om de geïdentificeerde of vermoede niet-naleving te rapporteren aan een bevoegde instantie krachtens anti-witwas wetgeving. In deze omstandigheden kunnen de kwesties die worden overwogen door de accountant complex zijn en de accountant kan het passend achten juridisch advies in te winnen.

A195

Wet- en regelgeving of relevante ethische voorschriften kunnen:

A196

Het rapporteren van geïdentificeerde of vermoede niet-naleving van wet- en regelgeving aan een bevoegde instantie buiten de entiteit kan vereist worden of geschikt zijn in de omstandigheden omdat:

A197

Het rapporteren van geïdentificeerde of vermoede niet-naleving van wet- en regelgeving in overeenstemming met wet- en regelgeving of relevante ethische voorschriften kan niet-naleving van wet- en regelgeving omvatten die de accountant tegenkomt of waarvan hij zich bewust wordt wanneer hij de opdracht uitvoert, maar die geen invloed hoeven te hebben op de informatie over het onderzoeksobject. Onder deze Standaard wordt niet van de accountant verwacht dat hij een bepaald begrip van wet- en regelgeving heeft dat verder gaat dan hetgeen de informatie over het onderzoeksobject beïnvloedt. Echter, wet- en regelgeving of relevante ethische voorschriften kunnen van de accountant verwachten dat hij kennis, professionele oordeelsvorming en deskundigheid toepast bij het inspelen op dergelijke niet-naleving. De vraag of een handeling niet-naleving vormt, is uiteindelijk een zaak die door een rechtbank of andere bevoegde gerechtelijke instantie moet worden vastgesteld.

A198

In bepaalde omstandigheden kan het rapporteren van geïdentificeerde of vermoede gevallen van niet-naleving van wet- en regelgeving aan een bevoegde instantie buiten de entiteit worden uitgesloten door de geheimhoudingsplicht van de accountant uit hoofde van wet- en regelgeving of relevante ethische voorschriften. In andere gevallen zou het rapporteren van gevallen of vermoede gevallen van niet-naleving aan een bevoegde instantie buiten de entiteit niet worden beschouwd als een schending van de geheimhoudingsplicht uit hoofde van de relevante ethische voorschriften.957In de Nederlandse context wordt de accountant op grond van artikel 16 van de VGBA in een aantal situaties ontslagen van de geheimhoudingsplicht. Dit betreft onder meer de situatie dat de accountant bij wet verplicht of bevoegd is om vertrouwelijke informatie en gegevens te verstrekken aan een bevoegde instantie buiten de entiteit.

A199

De accountant kan overwegen om intern te consulteren (bijv. binnen de accountantseenheid of een netwerkonderdeel), juridisch advies in te winnen om de professionele of juridische implicaties van het ondernemen van een bepaalde actie te begrijpen of op een vertrouwelijke basis te consulteren met een regelgever of toezichthouder of beroepsorganisatie (tenzij dit op grond van wet- of regelgeving verboden is of de geheimhoudingsplicht zou schenden)958Zie VGBA artikel 16.

(Zie Par. 79, 80, 81, 82 en 83)

A200

Documentatie omvat een vastlegging van de redenatie van de accountant over alle significantie aangelegenheden die het toepassen van professionele oordeelsvorming vereisen alsmede daarmee verband houdende conclusies. Wanneer er sprake is van moeilijke vragen omtrent principes of professionele oordeelsvorming kan documentatie die de relevante feiten bevat die bij de accountant bekend waren op het tijdstip dat de conclusie werd getrokken helpen bij het aantonen van de kennis van de accountant.

A201

Het is noch noodzakelijk noch praktisch om tijdens een opdracht elke aangelegenheid die is overwogen of professionele oordeelsvorming die is gemaakt te documenteren. Verder is het voor de accountant niet nodig om het naleven van aangelegenheden waarvoor het naleven wordt aangetoond door documenten die zijn opgenomen in het opdrachtdossier apart te documenteren (zoals bij een checklist, bijvoorbeeld). Op soortgelijke wijze is het niet nodig dat de accountant achterhaalde versies van werkdocumenten, aantekeningen die een weergave zijn van een onvolledige of voorlopige gedachtegang, eerdere kopieën van documenten die zijn verbeterd op typefouten of andere fouten, en duplicaten van documenten in het opdrachtdossier opneemt.

A202

Bij het toepassen van professionele oordeelsvorming op het inschatten van de omvang van documentatie die moet worden opgesteld en bewaard kan de accountant overwegen wat noodzakelijk is om inzicht in het uitgevoerde werk en de basis van de voornaamste beslissingen die zijn genomen (maar niet de gedetailleerde aspecten van de opdracht) te verschaffen aan een andere accountant die geen eerdere ervaring met de opdracht heeft. Het kan zijn dat die andere accountant alleen in staat is om inzicht te verwerven in gedetailleerde aspecten van de opdracht door deze met de accountant te bespreken die de documentatie heeft opgesteld.

A203

Documentatie kan een vastlegging omvatten van bijvoorbeeld:

A204

Documentatie kan een vastlegging omvatten van bijvoorbeeld:

A205

In Nederland geldende wet- en regelgeving inzake kwaliteitsmanagement vereist dat accountantseenheden een kwaliteitssysteem vaststellen dat betrekking heeft op het tijdig samenstellen van opdrachtdocumentatie na de datum van de rapportage.959NVKM, artikel 4(2)(d). Een geschikt tijdbestek waarbinnen de samenstelling van het definitieve opdrachtdossier moet worden afgerond, is gewoonlijk niet meer dan 2 maanden na de datum van het assurance-rapport.960NVKM, artikel 12(2)(j).

A206

De afronding van de samenstelling van het definitieve opdrachtdossier na de datum van het assurance-rapport is een administratief proces dat geen betrekking heeft op het uitvoeren van nieuwe werkzaamheden of het trekken van nieuwe conclusies. Er kunnen echter tijdens de fase van het voltooien van de samenstelling van het definitieve opdrachtdossier wijzigingen worden aangebracht in de documentatie als deze administratief van aard zijn. Tot de voorbeelden van dergelijke wijzigingen behoren:

A207

De NVKM vereist dat assurance-dossiers tenminste zeven jaar worden bewaard nadat zij zijn afgesloten 961 NVKM, artikel 25(1)(e)..

(Zie Par. 2, A8, A11, A36, A37 en A38)

A134

De volgende aangelegenheden kunnen relevant zijn bij het evalueren van de adequaatheid van de werkzaamheden van de door hem ingeschakelde deskundige voor de doeleinden van de accountant:

A135

1

Deze Standaard heeft ten doel grondslagen en essentiële werkzaamheden vast te stellen en aanwijzingen te geven inzake opdrachten voor het onderzoeken van en het rapporteren over toekomstgerichte financiële informatie. Dit omvat mede de werkzaamheden met betrekking tot het onderzoeken van veronderstellingen op basis van best mogelijke schattingen (verder aangeduid als schattingen) of op basis van hypotheses. Deze Standaard heeft geen betrekking op het onderzoeken van toekomstgerichte financiële informatie die in algemeen beschrijvende termen is gesteld, zoals die onder meer voorkomt in het jaarverslag, ofschoon veel van de hierna opgenomen procedures ook voor een dergelijk onderzoek van toepassing kunnen zijn.

2

In een opdracht tot onderzoek van toekomstgerichte financiële informatie dient de accountant toereikende informatie te verkrijgen teneinde vast te stellen dat:

3

Onder ‘toekomstgerichte financiële informatie’ wordt verstaan financiële informatie welke is gebaseerd op verwachtingen omtrent toekomstige gebeurtenissen en mogelijke acties van een entiteit. Deze informatie is naar zijn aard uiterst subjectief waarbij het maken van afwegingen een belangrijke rol speelt. Toekomstgerichte financiële informatie wordt onderscheiden in prognoses en projecties of een combinatie van beide; bijvoorbeeld prognoses voor de termijn van een jaar, aangevuld met een projectie over 5 jaar.

4

Onder ‘prognose’ wordt verstaan prognose als bedoeld in paragraaf 8, van Standaard 000N van de NV COS.

5

Onder ‘projectie’ wordt verstaan projectie als bedoeld in paragraaf 8, van Standaard 000N van de NV COS.

5A

De paragrafen 12 en 12A van Standaard 3000A zijn van overeenkomstige toepassing, voor zover in deze Standaard niet anders is bepaald.

6

Toekomstgerichte financiële informatie kan voorkomen in de vorm van financiële overzichten of een of meer elementen van financiële overzichten. De informatie kan zijn opgesteld:

7

Het bestuur van de entiteit is verantwoordelijk voor de opstelling en de presentatie van de toekomstgerichte financiële informatie, inclusief de beschrijving en toelichting van de daaraan ten grondslag liggende veronderstellingen. De accountant kan worden gevraagd de toekomstgerichte financiële informatie te onderzoeken en daarover te rapporteren, teneinde de geloofwaardigheid ten aanzien van de informatie te vergroten. Dit is onafhankelijk van de vraag of de toekomstgerichte financiële informatie bedoeld is voor gebruik door derden of voor intern gebruik.

8

Toekomstgerichte financiële informatie heeft betrekking op gebeurtenissen en acties die zich nog niet hebben voorgedaan en zich wellicht ook nooit zullen voordoen. Hoewel er wel gegevens aanwezig kunnen zijn ter onderbouwing van de veronderstellingen, waarop de toekomstgerichte financiële informatie is gebaseerd, zijn dergelijke gegevens in het algemeen eveneens toekomstgericht en derhalve speculatief van aard in tegenstelling tot de gegevens die normaliter beschikbaar zijn voor de controle van retrospectief gerichte financiële informatie. De accountant is daarom ook niet in staat een oordeel uit te spreken of de uitkomsten zoals weergegeven in de toekomstgerichte financiële informatie daadwerkelijk behaald zullen worden.

9

Verder zal het voor de accountant moeilijk zijn om, gegeven de aard van de gegevens die beschikbaar zijn, bij de beoordeling van de veronderstellingen waarop de toekomstgerichte financiële informatie is gebaseerd, zodanige zekerheid te verkrijgen dat een positief geformuleerd oordeel aangaande de veronderstellingen kan worden verstrekt. Dientengevolge verstrekt de accountant, indien hij in het kader van deze Standaard rapporteert over de aanvaardbaarheid van de door het bestuur van de entiteit opgestelde veronderstellingen, in het algemeen slechts een beperkte mate van zekerheid. Het staat de accountant echter vrij om, indien hij naar zijn oordeel voldoende mate van onderbouwing heeft verkregen, een positief geformuleerd oordeel aangaande de veronderstellingen te verstrekken.

10

De accountant zal bij zijn beslissing omtrent de aanvaardbaarheid van de opdracht tot onderzoek van toekomstgerichte financiële informatie de volgende overwegingen betrekken:

11

De accountant dient de opdracht niet te aanvaarden, of dient de opdracht terug te geven, indien de veronderstellingen op voorhand niet realistisch zijn of indien hij van mening is dat de toekomstgerichte financiële informatie niet geschikt is voor het beoogde gebruik.

12

De accountant en de opdrachtgever dienen overeenstemming te bereiken over de voorwaarden van de opdracht. Het is zowel in het belang van de entiteit als van de accountant dat laatstgenoemde aan de opdrachtgever een opdrachtbevestiging stuurt, ter voorkoming van eventuele misverstanden omtrent inhoud en uitvoering van de opdracht. De opdrachtbevestiging bevat de punten die zijn opgenomen onder paragraaf 10 van deze Standaard en stipuleert de verantwoordelijkheid van het bestuur van de entiteit voor de veronderstellingen en voor het verstrekken aan de accountant van alle relevante informatie en basisgegevens die aan de veronderstellingen ten grondslag liggen.

13

De accountant dient voldoende kennis van de bedrijfsactiviteiten te verwerven teneinde in staat te zijn te beoordelen of rekening is gehouden met alle relevante omstandigheden die voor het opstellen van de toekomstgerichte financiële informatie van belang zijn. De accountant zal ook inzicht moeten verkrijgen in het proces van totstandkoming van de toekomstgerichte financiële informatie bij de entiteit, bijvoorbeeld door de volgende aspecten te beoordelen:

14

De accountant dient te beoordelen in welke mate het steunen op de historische financiële informatie van de entiteit gerechtvaardigd is. De accountant zal kennis van de historische financiële informatie van de entiteit moeten bezitten om te beoordelen of de toekomstgerichte financiële informatie is opgesteld conform de grondslagen die bij de historische financiële informatie worden gebruikt en om als maatstaf te dienen bij de beoordeling van de door het bestuur van de entiteit gemaakte veronderstellingen. De accountant zal bijvoorbeeld nagaan of de historische financiële informatie is gecontroleerd of beoordeeld en of er bij de opstelling daarvan algemeen aanvaardbare grondslagen van waardering en resultaatbepaling zijn gebruikt.

15

Indien de bij de voorgaande historische financiële informatie verstrekte controleverklaring of de beoordelingsverklaring anders dan goedkeurend van aard was, of indien de entiteit zich in een aanloopfase bevindt, houdt de accountant rekening met deze factoren en het effect daarvan op het onderzoek van de toekomstgerichte financiële informatie.

16

De accountant dient de periode waarop de toekomstgerichte financiële informatie betrekking heeft te beoordelen. Aangezien de veronderstellingen meer speculatief worden als de lengte van de periode toeneemt, zal in dat geval het vermogen van het bestuur van de entiteit om betrouwbare schattingen te maken afnemen. De periode mag niet langer zijn dan de tijdsperiode waarvoor redelijkerwijze nog veronderstellingen kunnen worden geformuleerd. Het navolgende geeft een aantal factoren aan die voor de beoordeling door de accountant van de periode van de toekomstgerichte financiële informatie van belang zijn:

17

Bij het bepalen van de aard, de tijdsfasering en de omvang van de uit te voeren werkzaamheden, dient de accountant de volgende factoren in zijn overwegingen te betrekken:

18

De accountant beoordeelt de herkomst en de betrouwbaarheid van de gegevens die ten grondslag liggen aan de schattingen van het bestuur van de entiteit. Toereikende informatie over de onderbouwing van dergelijke veronderstellingen kan worden ontleend aan interne en/of externe bronnen, met inbegrip van een beoordeling van de veronderstellingen in het licht van historische gegevens. Tevens moet worden beoordeeld of de veronderstellingen zijn gebaseerd op plannen die passen binnen de mogelijkheden van de entiteit.

19

Indien hypotheses worden gebruikt beoordeelt de accountant of er rekening is gehouden met alle belangrijke implicaties daarvan. Indien bijvoorbeeld wordt verwacht dat de omzet zal stijgen boven de huidige productiecapaciteit van de entiteit, moet in de toekomstgerichte financiële informatie ook aandacht worden besteed aan de noodzakelijke investering voor uitbreiding van de productiecapaciteit of de kosten van andere oplossingen om de beoogde verkopen te realiseren zoals bijvoorbeeld het uitbesteden van een deel van de productie.

20

Hoewel het niet beslist noodzakelijk is onderbouwing te verkrijgen van de hypotheses zal de accountant wel vaststellen, dat deze passen binnen de doelstelling van de toekomstgerichte financiële informatie en er geen reden is om aan te nemen dat deze duidelijk onrealistisch zijn.

21

De accountant overtuigt zich ervan dat de veronderstellingen van het bestuur van de entiteit op een juiste wijze in de toekomstgerichte financiële informatie zijn verwerkt, bijvoorbeeld door het opnieuw uitvoeren van berekeningen en het beoordelen van de interne consistentie van de informatie. Hieronder wordt verstaan het vaststellen dat de voorgenomen acties van het bestuur van de entiteit op elkaar aansluiten en dat de berekening van bedragen waarbij dezelfde gegevens worden gehanteerd, zoals rentepercentages, op een consistente wijze is geschied.

22

De accountant richt zijn aandacht op de vraag in welke mate onderdelen die bijzonder gevoelig zijn voor variaties, een effect van materieel belang hebben op de uitkomsten van de toekomstgerichte financiële informatie. Dit zal de omvang van de door de accountant te verrichten werkzaamheden beïnvloeden. Eveneens heeft dit effect op de beoordeling door de accountant van de aanvaardbaarheid en de toereikendheid van de toelichting bij de toekomstgerichte financiële informatie.

23

Als de accountant de opdracht heeft een of meer elementen van de toekomstgerichte financiële informatie te onderzoeken, bijvoorbeeld een afzonderlijk opgenomen deel van een financieel overzicht, is het van belang dat hij tevens de samenhang met het geheel beoordeelt.

24

Voor zover in de toekomstgerichte financiële informatie gegevens zijn opgenomen die betrekking hebben op een verstreken deel van de lopende verslagperiode, beoordeelt de accountant in welke mate er ten aanzien van de historische informatie werkzaamheden moeten worden verricht. Deze werkzaamheden zullen variëren afhankelijk van de omstandigheden, bijvoorbeeld de mate waarin de periode waarop de toekomstgerichte financiële informatie betrekking heeft inmiddels al is verstreken.

25

De accountant dient van het bestuur van de entiteit een schriftelijke bevestiging te verkrijgen aangaande het beoogde gebruik van de toekomstgerichte financiële informatie, de volledigheid van de belangrijkste veronderstellingen en het aanvaarden van de verantwoordelijkheid voor de inhoud van de toekomstgerichte financiële informatie.

26

Bij het beoordelen van de presentatie van en de toelichting op de toekomstgerichte financiële informatie zal de accountant, in aanvulling op de specifieke wettelijke bepalingen, andere voorschriften en professionele regelgeving, moeten vaststellen dat:

27

Het rapport inzake een onderzoek van toekomstgerichte financiële informatie dient de volgende elementen te bevatten:

28

Een dergelijk rapport bevat:

29

–

30

–

31

Indien de accountant van mening is dat de presentatie en toelichting van de toekomstgerichte financiële informatie niet toereikend zijn, dient de accountant al naar gelang de omstandigheden een onderzoeksrapport met beperking of een afkeurend onderzoeksrapport inzake de toekomstgerichte informatie te verstrekken of de opdracht terug te geven.

Een voorbeeld daarvan kan zijn een onvoldoende toelichting over de invloed van wijzigingen in de veronderstellingen die van grote betekenis zijn voor de uitkomsten.

32

Indien de accountant van mening is dat één of meer belangrijke veronderstellingen géén redelijke basis vormen voor de toekomstgerichte financiële informatie omdat deze niet adequaat zijn, of door de aard van de gehanteerde hypotheses, dient hij een afkeurend onderzoeksrapport inzake de toekomstgerichte informatie te geven of de opdracht terug te geven.

33

Indien het onderzoek wordt beïnvloed door omstandigheden die het uitvoeren van één of meer door de accountant noodzakelijk geachte procedures onmogelijk maken, dient de accountant of de opdracht terug te geven of zich van een oordeel te onthouden en te vermelden omtrent welke aangelegenheid onzekerheid bestaat en welke oorzaken en/of omstandigheden tot deze onzekerheid hebben geleid.

Een passende titel helpt bij het identificeren van de aard van het assurance-rapport en bij het onderscheiden van rapporten die door anderen worden uitgebracht, zoals degenen die niet dezelfde ethische voorschriften naleven als de accountant.

1

Deze Standaard behandelt de assurance-opdrachten die door een accountant962Standaard 3000, Assurance-opdrachten anders dan opdrachten tot controle of beoordeling van historische financiële informatie, paragraaf 12(r). worden uitgevoerd om voor gebruikersorganisaties en hun accountants een rapportage te verstrekken. Deze rapportage betreft de interne beheersingsmaatregelen van een serviceorganisatie die aan de gebruikersorganisaties een dienst verleent die waarschijnlijk relevant is voor de interne beheersing van de gebruikersorganisaties in relatie tot de financiële verslaggeving. Deze Standaard vult Standaard 402 aan zodat de rapportages opgesteld in overeenstemming met deze Standaard, geschikt zijn de onder Standaard 402963Standaard 402, Overwegingen met betrekking tot controles van entiteiten die gebruik maken van een serviceorganisatie. passende assurance-informatie te verschaffen. (Zie Par. A1)

2

In het Stramien voor Assurance-opdrachten (het Stramien) staat aangegeven dat een assurance-opdracht een opdracht met een ‘redelijke mate van zekerheid’ of een opdracht met een ‘beperkte mate van zekerheid’ kan zijn en, dat een assurance-opdracht een ‘attest’-opdracht of een ‘directe’-opdracht kan zijn.964Standaard 3000, paragraaf 12. In deze Standaard worden alleen attest-opdrachten met een redelijke mate van zekerheid behandeld.965Paragraaf 13 en 52(k) van deze Standaard.

3

Deze Standaard is alleen van toepassing wanneer de serviceorganisatie verantwoordelijk is voor, of anderszins in staat is om een vermelding te doen over de geschikte opzet van interne beheersingsmaatregelen. In deze Standaard worden niet de assurance-opdrachten behandeld:

Desalniettemin worden in deze Standaard enige leidraden verschaft voor dergelijke opdrachten die onder Standaard 3000 worden uitgevoerd. (Zie Par. A2)

4

Naast het uitbrengen van het assurance-rapport betreffende interne beheersingsmaatregelen kan een accountant van de serviceorganisatie ook ingehuurd zijn om rapporten te verschaffen, die niet in deze Standaard behandeld worden zoals de volgende:

5

Van de accountant van de serviceorganisatie is vereist Standaard 3000 en deze Standaard na te leven bij het uitvoeren van assurance-opdrachten voor interne beheersingsmaatregelen bij een serviceorganisatie. Deze Standaard vult Standaard 3000 aan, maar is hier geen vervanging voor en zet uiteen op welke wijze Standaard 3000 toegepast moet worden op een assurance-opdracht met een redelijke mate van zekerheid om over de interne beheersingsmaatregelen van een serviceorganisatie te rapporteren.

6

Het naleven van Standaard 3000 vereist onder andere naleving van de bepalingen van de Verordening gedrags- en beroepsregels accountants (VGBA) en de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) of – indien van toepassing- andere wettelijke of professionele vereisten die tenminste gelijkwaardig zijn.966Standaard 3000, Paragraaf 3(a), 20 en 34. Het vereist ook van de opdrachtpartner dat deze werkzaam is bij of verbonden is aan een accountantseenheid die onderworpen is aan de NVKM.

7

Voor de ingangsdatum wordt verwezen naar de slotbepalingen.

8

De doelstellingen van de accountant van de serviceorganisatie zijn:

9

In het kader van deze Standaard hebben de volgende termen de hierna weergegeven betekenissen:

9A

De paragrafen 12 en 12A van Standaard 3000A zijn van overeenkomstige toepassing, voor zover in deze Standaard niet anders is bepaald.

10

De accountant van de serviceorganisatie dient niet aan te geven conform deze Standaard te hebben gewerkt, tenzij de accountant van de serviceorganisatie de vereisten van deze Standaard en Standaard 3000 heeft nageleefd.

11

De accountant van de serviceorganisatie dient de Verordening gedrags- en beroepsregels accountants (VGBA) en de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) na te leven of -indien van toepassing- andere wettelijke of professionele vereisten, die ten minste gelijkwaardig zijn. (Zie Par. A5)

12

Waar op grond van deze Standaard van de accountant van de serviceorganisatie vereist wordt dat hij verzoekt om inlichtingen van, of bevestigingen verzoekt bij, communiceert met, of anderszins in interactie staat met de serviceorganisatie, dient de accountant van de serviceorganisatie de juiste persoon of personen binnen het management van de serviceorganisatie of governancestructuur met wie die interactie plaatsvindt te bepalen. Dit dient onder meer in te houden het beschouwen van welke persoon of personen de geschikte verantwoordelijkheden voor en kennis van de betrokken aangelegenheden hebben. (Zie Par. A6)

13

Alvorens de accountant van de serviceorganisatie een opdracht aanvaardt of continueert, dient hij:

14

Indien de serviceorganisatie voor de afronding van de opdracht verzoekt om een wijziging in de reikwijdte van de opdracht, dient de accountant van de serviceorganisatie zich ervan te vergewissen dat er een redelijke rechtvaardiging bestaat voor die wijziging. (Zie Par. A11 en A12)

15

De accountant van de serviceorganisatie dient te bepalen of de serviceorganisatie geschikte criteria heeft gehanteerd bij het opstellen van de beschrijving van haar systeem, bij het evalueren of de interne beheersingsmaatregelen op afdoende wijze zijn opgezet en, in het geval van een type 2 rapport, bij het evalueren of de interne beheersings-maatregelen effectief werken.

16

Bij het bepalen van de geschiktheid van de criteria, om de beschrijving van de serviceorganisatie van haar systeem te evalueren, dient de accountant van de serviceorganisatie te bepalen of de criteria ten minste het volgende bevatten:

17

Bij het bepalen van de geschiktheid van de criteria om de opzet van de interne beheersingsmaatregelen te evalueren, dient de accountant van de serviceorganisatie te bepalen of de criteria ten minste de vraag bevatten of:

18

Bij het bepalen van de geschiktheid van de criteria om de werking van interne beheersingsmaatregelen te evalueren bij het verschaffen van een redelijke mate van zekerheid dat de vermelde interne beheersingsdoelstellingen die in de beschrijving zijn geïdentificeerd bereikt zullen worden, dient de accountant van de serviceorganisatie te bepalen of de criteria ten minste de vraag bevatten of de interne beheersingsmaatregelen gedurende de gespecificeerde verslagperiode consistent zijn toegepast. Dit houdt onder meer in of er handmatige interne beheersingsmaatregelen zijn toegepast door personen die de geschikte competentie en bevoegdheid hebben. (Zie Par. A13, A14 en A15)

19

Bij het plannen en het uitvoeren van de opdracht dient de accountant van de serviceorganisatie de materialiteit met betrekking tot de getrouwe weergave van de beschrijving, de geschiktheid van de opzet van de interne beheersingsmaatregelen en, in het geval van een type 2 rapport, de werking van interne beheersingsmaatregelen in aanmerking te nemen. (Zie Par. A16, A17 en A18)

20

De accountant van de serviceorganisatie dient inzicht in het systeem van de serviceorganisatie te verkrijgen, met inbegrip van interne beheersingsmaatregelen die bij de reikwijdte van de opdracht zijn inbegrepen. (Zie Par. A19 en A20)

21

De accountant van de serviceorganisatie dient de beschrijving van de serviceorganisatie van haar systeem te verkrijgen en te lezen en dient te evalueren of die aspecten van de beschrijving die bij de reikwijdte van de opdracht zijn inbegrepen getrouw zijn weergegeven, met inbegrip van de vraag of: (Zie Par. A21 en A22)

22

De accountant van de serviceorganisatie dient middels overige werkzaamheden in combinatie met verzoeken om inlichtingen te bepalen of het systeem van de serviceorganisatie is geïmplementeerd. Die overige werkzaamheden dienen observatie en inspectie van vastleggingen en overige documentatie te bevatten van de manier waarop het systeem van de serviceorganisatie werkt en interne beheersingsmaatregelen zijn toegepast. (Zie Par. A24)

23

De accountant van de serviceorganisatie dient te bepalen welke van de interne beheersingsmaatregelen van de serviceorganisatie noodzakelijk zijn om de interne beheersingsdoelstellingen die in de beschrijving van de serviceorganisatie van haar systeem staan vermeld te bereiken en dient te beoordelen of die interne beheersingsmaatregelen op afdoende wijze zijn opgezet. De bepaling hiervan dient het volgende te bevatten: (Zie Par. A25, A26 en A27)

24

Wanneer een type 2 rapport wordt verstrekt dient de accountant van de serviceorganisatie die interne beheersingsmaatregelen te toetsen waarvan de accountant van de serviceorganisatie heeft bepaald dat zij noodzakelijk zijn om de interne beheersingsdoelstellingen die in de beschrijving van de serviceorganisatie van haar systeem staan vermeld te bereiken, en dient hij hun werking gedurende de verslagperiode vast te stellen. De assurance-informatie die in eerdere opdrachten is verkregen over de toereikende werking van interne beheersingsmaatregelen in eerdere verslagperiodes verschaft geen basis voor een vermindering van het toetsen, zelfs niet wanneer die is aangevuld met assurance-informatie die tijdens de lopende verslagperiode is verkregen. (Zie Par. A28, A29, A30, A31 en A32)

25

Bij het opzetten en het uitvoeren van de toetsing van interne beheersingsmaatregelen dient de accountant van de serviceorganisatie:

26

Bij het bepalen van de omvang van de toetsing van interne beheersingsmaatregelen dient de accountant van de serviceorganisatie aangelegenheden, met inbegrip van de kenmerken van de te toetsen populatie te overwegen, hetgeen omvat de aard van de interne beheersingsmaatregelen, de frequentie van hun toepassing (bijvoorbeeld maandelijks, dagelijks, een aantal keren per dag) en de verwachte mate van deviatie.

27

Wanneer de accountant van de serviceorganisatie gebruik maakt van steekproeven dient de accountant van de serviceorganisatie: (Zie Par. A35 en A36)

28

De accountant van de serviceorganisatie dient de aard en de oorzaak van de geïdentificeerde deviaties te onderzoeken en dient te bepalen of:

29

In de zeer zeldzame gevallen waar de accountant van de serviceorganisatie overweegt dat een ontdekte deviatie in een steekproef een a-typische fout is en er geen enkele andere interne beheersingsmaatregelen zijn geïdentificeerd die het voor de accountant van de serviceorganisatie mogelijk maken te concluderen dat de relevante interne beheersingsdoelstelling gedurende de gespecificeerde verslagperiode wordt behaald, dient de accountant van de serviceorganisatie een hoge mate van zekerheid te verkrijgen dat een dergelijk deviatie niet representatief is voor de populatie. De accountant van de serviceorganisatie dient deze mate van zekerheid te verkrijgen door aanvullende werkzaamheden uit te voeren om voldoende en geschikte assurance-informatie te verkrijgen dat de deviatie geen invloed heeft op het resterende deel van de populatie.

30

Indien de serviceorganisatie een interne auditfunctie heeft, dient de accountant van de serviceorganisatie een inzicht in de aard van de verantwoordelijkheden van de interne auditfunctie te verwerven alsmede in de werkzaamheden die worden uitgevoerd om te bepalen of het waarschijnlijk is dat de interne auditfunctie relevant is voor de opdracht. (Zie Par. A37) 967In deze Standaard worden geen gevallen behandeld waarbij de interne auditors directe ondersteuning verlenen aan de accountant van de serviceorganisatie bij het uitvoeren van controlewerkzaamheden.

31

De accountant van de serviceorganisatie dient te bepalen:

32

Bij het bepalen of de werkzaamheden van de interne auditors waarschijnlijk adequaat zijn voor de doeleinden van de opdracht, dient de accountant van de serviceorganisatie het volgende te evalueren:

33

Bij het bepalen van de geplande invloed van de werkzaamheden van de interne auditors op de aard, timing of omvang van de werkzaamheden van de accountant van de serviceorganisatie, dient de accountant van de serviceorganisatie te overwegen: (Zie Par. A38)

34

Om gebruik te maken van specifieke werkzaamheden van de interne auditors, dient de accountant van de serviceorganisatie die werkzaamheden te evalueren en daarop werkzaamheden uit te voeren om te bepalen of zij adequaat zijn voor de doeleinden van de accountant van de serviceorganisatie. (Zie Par. A39)

35

Om het adequaat zijn van specifieke werkzaamheden die door de interne auditors zijn uitgevoerd voor de doeleinden van de accountant van de serviceorganisatie te bepalen, dient de accountant van de serviceorganisatie te evalueren of:

36

Indien er gebruik is gemaakt van de werkzaamheden van de interne auditfunctie dient de accountant van de serviceorganisatie in de sectie van het assurance-rapport dat zijn oordeel bevat niet te verwijzen naar die werkzaamheden. (Zie Par. A40)

37

In het geval van een type 2 rapport, indien er gebruik is gemaakt van de werkzaamheden van de interne auditfunctie bij het toetsen van interne beheersingsmaatregelen, dient het onderdeel van het assurance-rapport van de accountant van de serviceorganisatie, dat de toetsing door de accountant van de serviceorganisatie van de interne beheersingsmaatregelen en de resultaten daarvan beschrijft, een beschrijving van het werk van de interne auditor en van de werkzaamheden van de accountant van de serviceorganisatie met betrekking tot die werkzaamheden te bevatten. (Zie Par. A41)

38

De accountant van de serviceorganisatie dient de serviceorganisatie te verzoeken om schriftelijke bevestigingen te verschaffen die: (Zie Par. A42)

39

De schriftelijke bevestigingen dienen in de vorm van een bevestigingsbrief geadresseerd aan de accountant van de serviceorganisatie te zijn. De datum van de schriftelijke bevestigingen dient zo dicht als praktisch uitvoerbaar is bij, maar niet na, de datum van het assurance-rapport van de accountant van de serviceorganisatie te liggen.

40

Indien, na de aangelegenheid met de accountant van de serviceorganisatie te hebben besproken, de serviceorganisatie niet één of meerdere schriftelijke bevestigingen verschaft die in overeenstemming met paragraaf 38(a) en (b) van deze Standaard zijn verzocht, dient de accountant van de serviceorganisatie een oordeelonthouding te formuleren. (Zie Par. A43)

41

De accountant van de serviceorganisatie dient de eventuele overige informatie te lezen die is inbegrepen bij een document dat de beschrijving van de serviceorganisatie van haar systeem en het assurance-rapport van de accountant van de serviceorganisatie bevat, om eventuele met die beschrijving van materieel belang zijnde inconsistenties te identificeren. De accountant van de serviceorganisatie kan tijdens het lezen van de overige informatie met als doel de van materieel belang zijnde inconsistenties te identificeren, kennis krijgen van een duidelijke afwijking van de feiten in die overige informatie.

42

Indien de accountant van de serviceorganisatie een van materieel belang zijnde inconsistentie identificeert of zich bewust wordt van een duidelijke afwijking van de feiten, dient de accountant van de serviceorganisatie de aangelegenheid met de serviceorganisatie te bespreken. Indien de accountant van de serviceorganisatie concludeert dat er in de overige informatie een van materieel belang zijnde inconsistentie of een afwijking van de feiten bestaat waarvan de serviceorganisatie weigert deze te corrigeren, dient de accountant van de serviceorganisatie verder passende actie te ondernemen. (Zie Par. A44 en A45)

43

De accountant van de serviceorganisatie dient te verzoeken om inlichtingen of de serviceorganisatie op de hoogte is van gebeurtenissen na de einddatum van de verslagperiode die door de beschrijving van de serviceorganisatie van haar systeem is omvat tot aan de datum van het assurance-rapport van de accountant van de serviceorganisatie die ertoe zouden kunnen leiden dat de accountant van de serviceorganisatie het assurance-rapport aanpast. Indien de accountant van de serviceorganisatie kennis heeft van een dergelijke gebeurtenis, en informatie over die gebeurtenis niet door de serviceorganisatie is toegelicht, dient de accountant van de serviceorganisatie het in het assurance-rapport van de accountant van de serviceorganisatie toe te lichten.

44

De accountant van de serviceorganisatie heeft geen verplichting om werkzaamheden uit te voeren met betrekking tot de beschrijving van het systeem van de serviceorganisatie, of de geschiktheid van de opzet of de werking van de interne beheersingsmaatregelen, na de datum van het assurance-rapport van de accountant van de serviceorganisatie.

45

De accountant van de serviceorganisatie dient tijdig opdrachtdocumentatie op te stellen die een vastlegging verschaft van de basis voor het assurance-rapport die voldoende en geschikt is om een ervaren accountant van een serviceorganisatie die voorheen niet bij de opdracht betrokken was, in staat te stellen inzicht te verwerven in:

46

Bij het documenteren van de aard, timing en omvang van de uitgevoerde werkzaamheden dient de accountant het volgende vast te leggen:

47

Indien de accountant van de serviceorganisatie gebruik maakt van de werkzaamheden van de interne auditors, dient de accountant van de serviceorganisatie de conclusies die getrokken zijn met betrekking tot de evaluatie van het adequaat zijn van de werkzaamheden van de interne auditors, en de door de accountant van de serviceorganisaties uitgevoerde werkzaamheden met betrekking tot die werkzaamheden, te documenteren.

48

De accountant van de serviceorganisatie dient de besprekingen met de serviceorganisatie en overige over significante aangelegenheden te documenteren met inbegrip van de aard van de besproken significante aangelegenheden en wanneer en met wie deze besprekingen plaatsvonden.

49

Indien de accountant van de serviceorganisatie informatie heeft geïdentificeerd die inconsistent is met de uiteindelijke conclusie van de accountant van de serviceorganisatie met betrekking tot een significante aangelegenheid, dient de accountant van de serviceorganisatie te documenteren op welke wijze de accountant van de serviceorganisatie de inconsistentie heeft behandeld.

50

De accountant van de serviceorganisatie dient de documentatie in een opdrachtdossier samen te stellen en het administratieve proces van samenstelling van het definitieve dossier tijdig na de datum van zijn assurance-rapport te voltooien968Een geschikt tijdsbestek waarbinnen de samenstelling van het definitieve opdrachtdossier moet worden afgerond, is gewoonlijk niet meer dan 2 maanden na de datum van het assurance-rapport (gelijk aan de periode die geldt voor controledossiers. (Zie Standaard 230, paragraaf A21))..

51

Nadat het samenstellen van het definitieve opdrachtdossier is voltooid, dient de accountant van de serviceorganisatie geen documentatie te vernietigen of te verwijderen voordat de bewaarperiode is afgelopen. (Zie Par. A46)

52

Indien de accountant van de serviceorganisatie het noodzakelijk acht om bestaande opdrachtdocumentatie aan te passen of nieuwe documentatie nadat de samenstelling van het definitieve opdrachtdossier is voltooid, toe te voegen en die documentatie geen invloed heeft op de rapportage van de accountant van de serviceorganisatie, dient de accountant van de serviceorganisatie, ongeacht de aard van de aanpassingen of de toevoegingen, het volgende te documenteren:

53

Het assurance-rapport van de accountant van de serviceorganisatie dient minstens de volgende basiselementen te bevatten: (Zie Par. A47)

54

3000–3999. Assurance-opdrachten anders dan opdrachten tot controle of beoordeling vanhistorische financiële informatie

3400–3999 Standaarden met betrekking tot specifiek onderwerp

3400. Onderzoek van toekomstgerichte financiële informatie

dient het oordeel van de accountant van de serviceorganisatie te worden aangepast en dient het assurance-rapport van de accountant van de serviceorganisatie een sectie te omvatten met een duidelijke beschrijving van alle redenen voor die aanpassing.

56

Indien de accountant van de serviceorganisatie kennis krijgt van het niet-naleven van wet- en regelgeving, fraude of niet-gecorrigeerde fouten die toe te schrijven zijn aan de serviceorganisatie en die niet duidelijk triviaal zijn en een of meerdere gebruikersorganisaties kunnen beïnvloeden, dient de accountant van de serviceorganisatie te bepalen of de aangelegenheid op de geschikte wijze is gecommuniceerd aan de getroffen gebruikersorganisaties. Indien de aangelegenheid niet op die manier is besproken en de serviceorganisatie niet bereid is om dat te doen, dient de accountant van de serviceorganisatie passende actie te ondernemen. (Zie Par. A53)

(Zie Par. 1 en 3)

A1

Interne beheersing is een proces dat is opgezet om een redelijke mate van zekerheid te verschaffen betreffende het bereiken van de doelstellingen die verband houden met de betrouwbaarheid van de financiële verslaggeving, de effectiviteit en efficiency van activiteiten en het naleven van toepasselijke wet- en regelgeving. Interne beheersingsmaatregelen met betrekking tot doelstellingen met betrekking tot de activiteiten en het naleven van wet- en regelgeving van een serviceorganisatie kunnen relevant zijn voor de interne beheersing van een gebruikersorganisatie in relatie tot de financiële verslaggeving. Dergelijke interne beheersingsmaatregelen maken deel uit van de beweringen betreffende de presentatie en toelichting met betrekking tot saldi, transactiestromen of toelichtingen, of zij maken deel uit van assurance-informatie die de gebruikende accountant evalueert of hier gebruik van maakt bij het toepassen van de controlewerkzaamheden. De interne beheersingsmaatregelen, bijvoorbeeld, van een serviceorganisatie die de loonkosten verwerkt, die betrekking hebben op het tijdig afdragen van de wettelijke inhoudingen op het loon aan overheidsautoriteiten zijn mogelijk relevant voor een gebruikersorganisatie aangezien late afdrachten op rente en boetes kunnen uitlopen die voor een gebruikersorganisatie zouden resulteren in een schuld.

Op vergelijkbare wijze worden de interne beheersingsmaatregelen betreffende de aanvaardbaarheid van investeringstransacties vanuit een regelgevend perspectief mogelijk gezien als relevant voor de presentatie en toelichting van de transacties en rekeningsaldi van een gebruikersorganisaties in haar financiële overzichten. De bepaling of de interne beheersingsmaatregelen bij een serviceorganisatie die verband houden met activiteiten en naleving waarschijnlijk relevant zijn voor de interne beheersing van gebruikersorganisaties in relatie tot de financiële verslaggeving is een aangelegenheid van professionele oordeelsvorming, waarbij de interne beheersingsdoelstellingen die door de serviceorganisatie zijn opgezet en de geschiktheid van de criteria in acht moeten worden genomen.

A2

De serviceorganisatie kan niet in staat zijn om te beweren dat het systeem op afdoende wijze is opgezet wanneer, bijvoorbeeld de serviceorganisatie met een systeem werkt dat door een gebruikersorganisatie is opgezet of in een contract tussen de gebruikersorganisatie en de serviceorganisatie is vastgelegd. Vanwege de onlosmakelijke verbinding tussen de geschikte opzet van de interne beheersings-maatregelen en hun werking, zal het ontbreken van een vermelding met betrekking tot de geschiktheid van de opzet de accountant van de serviceorganisatie waarschijnlijk beletten te concluderen dat de interne beheersingsmaatregelen een redelijke mate van zekerheid verschaffen dat de interne beheersingsdoelstellingen zijn bereikt en bijgevolg de accountant van de serviceorganisatie beletten te oordelen over de werking van interne beheersingsmaatregelen. Als andere mogelijkheid kan de accountant ervoor kiezen een opdracht tot het verrichten van overeengekomen specifieke werkzaamheden te aanvaarden om de toetsingen van interne beheersingsmaatregelen of een assurance-opdracht op basis van Standaard 3000 uit te voeren om te kunnen concluderen of, op basis van toetsingen van interne beheersingsmaatregelen, de interne beheersingsmaatregelen werken zoals staat beschreven.

(Zie Par. 9(d) en 9(g))

A3

De definitie van ‘interne beheersingsmaatregelen bij een serviceorganisatie’ omvat aspecten van informatiesystemen van gebruikersorganisaties die door de serviceorganisatie zijn onderhouden en kunnen ook aspecten van een of meer van de componenten van interne beheersing van een serviceorganisatie bevatten. Het kan bijvoorbeeld aspecten bevatten van de beheersingsomgeving, het monitoren en beheersingsactiviteiten van een serviceorganisatie wanneer deze verband houden met de verleende diensten. Het bevat echter geen interne beheersingsmaatregelen van een serviceorganisatie die geen verband houden met het bereiken van de beheersingsdoelstellingen die in de beschrijving van de serviceorganisatie van haar systeem staan vermeld, zoals interne beheersingsmaatregelen die verband houden met het opstellen van de financiële overzichten van de serviceorganisatie zelf.

A4

Wanneer er van de opname methode (inclusive methode) gebruik wordt gemaakt, zijn de vereisten in deze Standaard ook van toepassing op de diensten die door de subserviceorganisatie worden verleend, met inbegrip van het verkrijgen van overeenstemming met betrekking tot de aangelegenheden in Par. 13 (b)(i)–(v) zoals die op de subserviceorganisatie in plaats van de serviceorganisatie zijn toegepast. Het uitvoeren van werkzaamheden bij de subserviceorganisatie leidt tot coördinatie en communicatie tussen de serviceorganisatie, de subserviceorganisatie en de accountant van de serviceorganisatie. De opname methode (inclusive methode) is doorgaans alleen haalbaar indien de serviceorganisatie en de subserviceorganisatie met elkaar zijn verbonden of als het contract tussen de serviceorganisatie en de subserviceorganisatie hierin voorziet.

(Zie Par. 11)

A5

De accountant van de serviceorganisatie is onderhevig aan de relevante onafhankelijkheidsvereisten die gewoonlijk bestaan uit de Verordening gedrags- en beroepsregels accountantsen deVerordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO). Bij het uitvoeren van een opdracht overeenkomstig deze Standaard wordt op grond van de Verordening gedrags- en beroepsregels accountants niet van de accountant van de serviceorganisatie vereist dat deze onafhankelijk is van elke gebruikersorganisatie.

(Zie Par. 12)

A6

De beheers- en governance-structuren lopen per rechtsgebied en per entiteit uiteen, waardoor ze invloeden zoals verschillende culturele en juridische achtergronden en kenmerken van grootte en eigendom weerspiegelen. Een dergelijke verscheidenheid houdt in dat het voor deze Standaard niet mogelijk is om voor alle opdrachten de personen te specificeren met wie de accountant van de serviceorganisatie in interactie moet staan met betrekking tot bepaalde aangelegenheden. De serviceorganisatie kan bijvoorbeeld een segment zijn van een derde organisatie en geen gescheiden juridische entiteit. In dergelijke gevallen is het mogelijk dat voor het identificeren van geschikt managementpersoneel of de met governance belaste personen bij wie de schriftelijke bevestigingen moeten worden verzocht, het toepassen van professionele oordeelsvorming is vereist.

(Zie Par. 13(a)(i))

A7

Relevante capaciteiten en competentie om de opdracht uit te voeren bevatten onder meer de volgende aangelegenheden:

(Zie Par. 13(b)(i))

A8

De weigering door een serviceorganisatie om een schriftelijke vermelding te verschaffen, volgende op een overeenkomst van de accountant van de serviceorganisatie om een opdracht te aanvaarden of te continueren, geeft een beperking in reikwijdte aan die ertoe leidt dat de accountant van de serviceorganisatie de opdracht teruggeeft. Indien wet- of regelgeving de accountant van de serviceorganisatie niet toestaat de opdracht terug te geven, formuleert de accountant van de serviceorganisatie een oordeelonthouding.

(Zie Par. 13(b)(ii))

A9

In het geval van een ‘type 2 rapport’, houdt de vermelding van de serviceorganisatie onder meer een vermelding in dat de interne beheersingsmaatregelen die in de beschrijving van de serviceorganisatie van haar systeem staan vermeld gedurende de gespecificeerde verslagperiode effectief werkten. Deze vermelding kan gebaseerd zijn op de monitoringactiviteiten van de serviceorganisatie. Het monitoren van interne beheersingsmaatregelen is een proces om de effectiviteit van interne beheersingsmaatregelen in de loop van de tijd vast te stellen. Het houdt onder meer het tijdig bepalen van de effectiviteit van de interne beheersingsmaatregelen in, het identificeren en rapporteren van tekortkomingen aan geschikte personen binnen de serviceorganisatie en het nemen van de noodzakelijke corrigerende acties. De serviceorganisatie brengt het monitoren van interne beheersingsmaatregelen tot stand middels voortdurende activiteiten, separate evaluaties of een combinatie van beiden. Hoe groter de mate van effectiviteit van voortdurende monitoringactiviteiten, des te kleiner de behoefte aan separate evaluaties. Voortdurende monitoringactiviteiten zijn vaak opgenomen in de normale terugkerende activiteiten van een serviceorganisatie en bevatten regelmatige leidinggevende en toezichthoudende activiteiten.

Interne auditors of personeelsleden die vergelijkbare functies bekleden kunnen een bijdrage leveren aan het monitoren van de activiteiten van de serviceorganisatie. Monitoringactiviteiten kunnen ook het gebruik maken van informatie die door externe partijen wordt gecommuniceerd, inhouden, zoals klachten van cliënten en commentaar van regelgevers of toezichthouders die mogelijk op problemen wijzen of de nadruk leggen op gebieden die behoefte hebben aan verbetering. Het feit dat de accountant van de serviceorganisatie over de werking van interne beheersingsmaatregelen zal rapporteren, is geen vervanging voor de processen van de serviceorganisatie zelf om een redelijke basis voor haar vermelding te verschaffen.

(Zie Par. 13(b)(iv))

A10

Zoals staat vermeld in paragraaf 9(c), houden interne beheersingsdoelstellingen verband met risico’s waar de interne beheersingsmaatregelen ernaar streven deze te mitigeren. Het risico dat een transactie bijvoorbeeld op het verkeerde bedrag of in de verkeerde verslagperiode wordt vastgelegd kan als een interne beheersingsdoelstelling tot uitdrukking worden gebracht dat transacties op het juiste bedrag en in de juiste verslagperiode worden vastgelegd. De serviceorganisatie is verantwoordelijk voor het identificeren van de risico’s die het bereiken van de interne beheersingsdoelstellingen die in de beschrijving van haar systeem staan vermeld in gevaar brengen. De serviceorganisatie kan een formeel of informeel proces hebben om relevante risico’s te identificeren. Een formeel proces kan het inschatten van de significantie van geïdentificeerde risico’s inhouden, het inschatten van de waarschijnlijkheid dat zij zullen voorkomen en het besluiten welke acties moeten worden ondernomen om op die risico’s in te spelen. Daar de interne beheersingsdoelstellingen echter verband houden met risico’s waar interne beheersingsmaatregelen naar streven deze te mitigeren, kan weldoordachte identificatie van interne beheersingsdoelstellingen bij het opzetten en implementeren het systeem van de serviceorganisatie zelf bestaan uit een informeel proces voor het identificeren van relevante risico’s.

(Zie Par. 14)

A11

Een verzoek tot het wijzigen van de reikwijdte van de opdracht heeft mogelijk geen redelijke rechtvaardiging wanneer het verzoek bijvoorbeeld is gedaan om bepaalde interne beheersingsdoelstellingen uit te sluiten van de reikwijdte van de opdracht vanwege de waarschijnlijkheid dat het oordeel van de accountant van de serviceorganisatie aangepast zou worden; of de serviceorganisatie zal de accountant geen schriftelijke vermelding verschaffen en het verzoek wordt gedaan om de opdracht onder Standaard 3000 uit te voeren.

A12

Een verzoek tot het wijzigen van de reikwijdte van de opdracht kan een redelijke rechtvaardiging hebben wanneer het verzoek bijvoorbeeld is gedaan om een subserviceorganisatie van de opdracht uit te sluiten wanneer de serviceorganisatie geen toegang voor de accountant van de serviceorganisatie kan regelen, en de methode waarvan gebruik wordt gemaakt bij het behandelen van de diensten die door die subserviceorganisatie worden verleend is gewijzigd van de opname methode (inclusive methode) naar de uitsluitingmethode (carve-out methode).

(Zie Par. 15, 16, 17 en 18)

A13

Het is nodig dat criteria voor de beoogde gebruikers beschikbaar zijn om het hen mogelijk te maken inzicht te verkrijgen in de basis voor de vermelding van de serviceorganisatie betreffende de getrouwe weergave van haar systeem, de geschiktheid van het opzetten van interne beheersingsmaatregelen en, in het geval van een type 2 rapport, de werking van interne beheersingsmaatregelen die verband houden met de interne beheersingsdoelstellingen.

A14

Op grond van Standaard 3000 wordt er van de accountant vereist dat hij, onder andere, bepaalt of de criteria die gebruikt worden geschikt zijn en de toepasselijkheid van het object van onderzoek bepaalt969Standaard 3000, paragraaf 24(b) en 41.. Het object van onderzoek is de onderliggende conditie van belang voor de beoogde gebruikers van een assurance-rapport. De volgende tabel identificeert het object van onderzoek en minimale criteria voor elk van de oordelen in ‘type 1’ en ‘type 2 rapporten’.

1 De informatie over het object van onderzoek is de uitkomst van de evaluatie of meting van het object van onderzoek dat het resultaat is van het toepassen van de criteria op het object van onderzoek.)

2 De beheersingsdoelstellingen, die in de beschrijving van het systeem van de serviceorganisatie staan vermeld, zijn onderdeel van de criteria voor de oordelen. De vermelde beheersingsdoelstellingen verschillen per opdracht. Indien, bij het vormen van het oordeel over de beschrijving, de accountant van de serviceorganisatie concludeert dat de beheersingsdoelstellingen niet getrouw zijn weergegeven, zijn deze niet geschikt als criterium voor het vormen van een oordeel over de opzet of de doeltreffende werking van interne beheersingsmaatregelen.

A15

Paragraaf 16(a) identificeert een aantal elementen die in voorkomend geval bij de beschrijving van de serviceorganisatie van haar systeem zijn inbegrepen. Deze elementen kunnen niet geschikt zijn indien het beschreven systeem geen systeem is dat transacties verwerkt, indien het systeem bijvoorbeeld verband houdt met algemene interne beheersingsmaatregelen (general controls) met betrekking tot de hosting van een IT-applicatie, maar niet met de interne beheersingsmaatregelen die in de applicatie zelf zijn verankerd.

(Zie Par. 19 en 54)

A16

Bij een opdracht om verslag uit te brengen over de interne beheersingsmaatregelen bij een serviceorganisatie houdt het begrip materialiteit verband met het systeem waarover gerapporteerd wordt, niet met de financiële overzichten van gebruikersorganisaties. De accountant van de serviceorganisatie plant werkzaamheden en voert deze uit om te bepalen of de beschrijving van de serviceorganisatie van haar systeem in alle van materieel belang zijnde opzichten getrouw is weergegeven, of de interne beheersingsmaatregelen bij de serviceorganisatie op afdoende wijze en in alle van materieel belang zijnde opzichten zijn opgezet en, in het geval van een type 2 rapport, of de interne beheersingsmaatregelen in alle van materieel belang zijnde opzichten effectief werken. Het begrip materialiteit houdt rekening met het feit dat het assurance-rapport van de accountant van de serviceorganisatie informatie over het systeem van de serviceorganisatie verschaft om aan de algemene informatiebehoefte van een brede groep gebruikersorganisaties en hun accountants te voldoen die inzicht hebben in de manier waarop er gebruik is gemaakt van dat systeem.

A17

Materialiteit met betrekking tot de getrouwe weergave van de beschrijving van de serviceorganisatie van haar systeem, en met betrekking tot de opzet van interne beheersingsmaatregelen, houdt voornamelijk het in overweging nemen van kwalitatieve factoren in, bijvoorbeeld: of de beschrijving de significante aspecten van het verwerken van significante transacties omvat; of de beschrijving relevante informatie weglaat of verkeerd voorstelt; en het vermogen van interne beheersingsmaatregelen, zoals ze zijn opgezet, om een redelijke mate van zekerheid te verschaffen dat interne beheersingsdoelstellingen zouden worden bereikt. Materialiteit met betrekking tot het oordeel van de accountant van de serviceorganisatie over de werking van interne beheersingsmaatregelen houdt het in overweging nemen van zowel kwantitatieve als kwalitatieve factoren in, bijvoorbeeld: de toelaatbare mate en waargenomen mate waarin wordt afgeweken (een kwantitatieve aangelegenheid) en de aard en oorzaak van een waargenomen deviatie (een kwalitatieve aangelegenheid).

A18

Het begrip materialiteit wordt niet toegepast bij het, in de beschrijving van de toetsingen van interne beheersingsmaatregelen, openbaar maken van de resultaten van die toetsingen wanneer deviaties zijn geïdentificeerd. Dit is zo omdat, in de bijzondere omstandigheden van een specifieke gebruikersorganisatie of accountant van de gebruiker, de deviatie significantie kan hebben naast het feit dat zij, naar het oordeel van de accountant van de serviceorganisatie, voorkomt dat een interne beheersingsmaatregel effectief werkt. De interne beheersingsmaatregel waarmee de deviatie verband houdt, kan bijvoorbeeld bijzonder significant zijn bij het voorkomen dat een bepaald soort fout die mogelijk in bepaalde omstandigheden in de omstandigheden van de financiële overzichten van een gebruikersorganisatie van materieel belang zou kunnen zijn.

(Zie Par. 20)

A19

Het verwerven van inzicht in het systeem van de serviceorganisatie, met inbegrip van interne beheersingsmaatregelen die bij de reikwijdte van de opdracht zijn opgenomen, ondersteunt de accountant van de serviceorganisatie bij:

A20

De werkzaamheden van de accountant van de serviceorganisatie om dit inzicht te verkrijgen kunnen omvatten:

(Zie Par. 21 en 22)

A21

Het in overweging nemen van de volgende vragen kan de accountant van de serviceorganisatie ondersteunen bij het bepalen of die aspecten van de beschrijving die bij de reikwijdte van de opdracht zijn inbegrepen in alle van materieel belang zijnde opzichten getrouw zijn weergegeven:

A22

De werkzaamheden van de accountant van de serviceorganisatie om de getrouwe weergave van de beschrijving te evalueren, kunnen omvatten:

A23

Op grond van paragraaf 21(a) wordt er van de accountant van de serviceorganisatie vereist dat hij evalueert of de interne beheersingsdoelstellingen die in de beschrijving van de serviceorganisatie van haar systeem staan vermeld, redelijk zijn in de omstandigheden. Het in overweging nemen van de volgende vragen kan de accountant van de serviceorganisatie ondersteunen bij deze evaluatie:

A24

De werkzaamheden van de accountant van de serviceorganisatie om te bepalen of het systeem van de serviceorganisatie geïmplementeerd is, kan gelijk zijn aan, en uitgevoerd worden in samenhang met, werkzaamheden om een inzicht in dat systeem te verwerven. Zij kunnen ook het traceren van elementen door het systeem van de serviceorganisatie inhouden en, in het geval van een type 2 rapport, specifieke verzoeken om inlichtingen over de wijzigingen in interne beheersingsmaatregelen die gedurende die verslagperiode zijn geïmplementeerd. Wijzigingen die significant zijn voor gebruikersorganisaties of hun accountants zijn bij de beschrijving van de serviceorganisatie van haar systeem inbegrepen.

(Zie Par. 23 en 28(b))

3402. Assurance-rapporten betreffende interne beheersingsmaatregelen bij een serviceorganisatie

Vanuit het oogpunt van een gebruikersorganisatie of een accountant van de gebruiker is een interne beheersingsmaatregel op afdoende wijze opgezet indien zij, individueel of in combinatie met overige interne beheersingsmaatregelen, wanneer zij naar tevredenheid wordt nageleefd, een redelijke mate van zekerheid zou verschaffen dat afwijkingen van materieel belang worden voorkomen of zijn gedetecteerd of gecorrigeerd. Een serviceorganisatie of een accountant van de serviceorganisatie is echter niet op de hoogte van de omstandigheden bij individuele gebruikersorganisaties die zouden bepalen of een afwijking van het materieel belang die het gevolg is van een deviatie van een interne beheersingsmaatregel voor die gebruikersorganisaties van materieel belang is. Derhalve is, vanuit het oogpunt van een accountant van de serviceorganisatie, een interne beheersingsmaatregel op afdoende wijze opgezet, indien zij, individueel of in combinatie van overige interne beheersingsmaatregelen, wanneer zij naar tevredenheid wordt nageleefd, een redelijke mate van zekerheid zou verschaffen dat de interne beheersingsdoelstellingen die in de beschrijving van de serviceorganisatie van haar systeem staan vermeld, worden bereikt.

A26

Een accountant van de serviceorganisatie kan overwegen gebruik te maken van stroomschema’s, vragenlijsten of beslissingstabellen om het inzicht in de opzet van interne beheersingsmaatregelen te bevorderen.

A27

Interne beheersingsmaatregelen kunnen uit een aantal activiteiten bestaan die bedoeld zijn om een interne beheersingsdoelstelling te bereiken. Derhalve is het mogelijk dat, indien de accountant van de serviceorganisatie bepaalde activiteiten niet effectief acht voor het bereiken van een bepaalde interne beheersingsdoelstelling, het bestaan van overige activiteiten het voor de accountant van de serviceorganisatie mogelijk maakt dat hij concludeert dat de interne beheersingsmaatregelen die verband houden met de interne beheersingsdoelstelling op afdoende wijze zijn opgezet.

(Zie Par. 24)

A28

Vanuit het oogpunt van een gebruikersorganisatie of een accountant van de gebruiker werkt een interne beheersingsmaatregel effectief indien, individueel of in combinatie met overige interne beheersings-maatregelen, zij een redelijke mate van zekerheid verschaft dat de afwijkingen van materieel belang, als gevolg van fraude of van fouten, worden voorkomen, of gedetecteerd en gecorrigeerd. Een serviceorganisatie of een accountant van de serviceorganisatie, is echter niet op de hoogte van de omstandigheden bij individuele entiteiten die zouden bepalen of een afwijking die het gevolg is van een deviatie van een interne beheersingsmaatregel is voorgekomen en, zo ja, of deze van materieel belang is. Daarom werkt, vanuit het oogpunt van de accountant van de serviceorganisatie een interne beheersingsmaatregel effectief indien, individueel of in combinatie met overige interne beheersings-maatregelen, zij een redelijke mate van zekerheid verschaft dat de interne beheersingsdoelstellingen die in de beschrijving van de serviceorganisatie van haar systeem staan vermeld, worden bereikt. Op vergelijkbare wijze bevindt een serviceorganisatie of een accountant van de serviceorganisatie zich niet in een positie om te bepalen of een waargenomen deviatie van een interne beheersingsmaatregel zou resulteren in een afwijking van materieel belang vanuit het oogpunt van een individuele gebruikersorganisatie.

A29

Het verkrijgen van inzicht in interne beheersingsmaatregelen dat voldoende is om een oordeel te vormen over de geschiktheid van hun opzet is niet voldoende assurance-informatie met betrekking tot hun werking, tenzij er een bepaald automatisme bestaat dat zorgt voor de consistente werking van de interne beheersingsmaatregelen zoals deze zijn opgezet en geïmplementeerd. Het verkrijgen van informatie over bijvoorbeeld het implementeren van een handmatige interne beheersingsmaatregel op een gegeven tijdstip verschaft geen assurance-informatie over de werking van interne beheersingsmaatregelen op andere tijdstippen. Vanwege de inherente consistentie van geautomatiseerde gegevensverwerking, kan het uitvoeren van werkzaamheden om de opzet van een geautomatiseerd interne beheersingsmaatregel te bepalen, en of deze geïmplementeerd is, mogelijk als assurance-informatie dienen die de werking van de interne beheersingsmaatregelen aantoont, afhankelijk van de beoordeling en toetsing van overige interne beheersingsmaatregelen zoals die over de wijzigingen in programma’s.

A30

Om nuttig te zijn voor de accountant van de gebruiker, omvat een ‘type 2 rapport’ doorgaans een minimale verslagperiode van zes maanden. Indien die verslagperiode korter is dan zes maanden, kan de accountant van de serviceorganisatie het gepast achten om de redenen voor die kortere verslagperiode in het assurance-rapport van de accountant van de serviceorganisatie te beschrijven. Bij de omstandigheden die kunnen resulteren in een rapportage die een verslagperiode van minder dan zes maanden omvat, zijn onder meer inbegrepen wanneer (a) de accountant van de serviceorganisatie tot dicht bij de datum waarop de rapportage over de interne beheersingsmaatregelen wordt uitgebracht een opdracht heeft; (b) de serviceorganisatie (of een bepaald systeem of toepassing) minder dan zes maanden heeft gewerkt; of (c) wanneer er significante wijzigingen in de interne beheersingsmaatregelen hebben plaatsgevonden en het niet praktisch uitvoerbaar is om zes maanden te wachten voordat de rapportage wordt uitgebracht of een rapportage uit te brengen die zowel de verslagperiodes voor als na de wijzigingen omvat.

A31

Bepaalde interne beheersingsmaatregelen kunnen geen assurance-informatie achterlaten over hun werking die op een latere datum kan worden getoetst en derhalve kan de accountant van de service-organisatie het noodzakelijk achten om op verschillende tijdstippen gedurende de verslagperiode de werking van dergelijke interne beheersingsmaatregelen te toetsen.

A32

De accountant van de serviceorganisatie verschaft een oordeel over de werking van interne beheersingsmaatregelen gedurende iedere verslagperiode en daarom is er voldoende geschikte assurance-informatie over de werking van interne beheersingsmaatregelen gedurende de lopende verslagperiode vereist, zodat de accountant van de serviceorganisatie dat oordeel kan verschaffen. Kennis van deviaties die in eerdere opdrachten zijn waargenomen kan er echter toe leiden dat de accountant van de serviceorganisatie de omvang van het toetsen gedurende de lopende verslagperiode vergroot.

(Zie Par. 25(b))

A33