Nadere voorschriften controle- en overige standaarden

25

De accountant dient op basis van de uitgevoerde controlewerkzaamheden en de verkregen controle-informatie, voorafgaand aan de afronding van de controle, te evalueren of de inschatting van de risico's op een afwijking van materieel belang op het niveau van beweringen nog steeds geldt. (Zie Par. A60 en A61)

26

De accountant dient te concluderen of voldoende en geschikte controle-informatie is verkregen. Bij het vormen van zijn oordeel dient de accountant alle relevante controle-informatie te overwegen, ongeacht of die de in de financiële overzichten opgenomen beweringen ondersteunen of daarmee in tegenspraak lijken te zijn. (Zie Par. A62)

27

Indien de accountant geen voldoende en geschikte controle-informatie heeft verkregen met betrekking tot een relevante bewering met betrekking tot een transactiestroom, rekeningsaldo of toelichting, dient de accountant te proberen om verdere controle-informatie te verkrijgen. Indien de accountant niet in staat is voldoende en geschikte controle-informatie te verkrijgen, dient de accountant over de financiële overzichten een oordeel met beperking of een oordeelonthouding te formuleren.

28

De accountant dient het volgende in de controledocumentatie op te nemen:308Standaard 230, Controledocumentatie, paragraaf 8, 9, 10, 11 en A6.

29

Indien de accountant voornemens is gebruik te maken van bij vorige controles verkregen controle-informatie over de effectieve werking van interne beheersingsmaatregelen, dient hij de bereikte conclusies betreffende het steunen op dergelijke in het kader van een voorgaande controle getoetste maatregelen in de controledocumentatie op te nemen.

30

In de documentatie van de accountant dient duidelijk naar voren te komen dat informatie in de financiële overzichten in overeenstemming is met of aansluit op de onderliggende administratieve vastleggingen inclusief het aansluiten of afstemmen van toelichtingen ongeacht of dergelijke informatie is verkregen binnen of buiten het grootboek en subgrootboeken.

(Zie Par. 5)

A1

Algehele manieren om op de ingeschatte risico's op een afwijking van materieel belang op het niveau van de financiële overzichten in te spelen, kunnen het volgende inhouden:

A2

De inschatting van de risico's op een afwijking van materieel belang op het niveau van de financiële overzichten, en daarmee de algehele manieren van de accountant om op die risico's in te spelen, worden beïnvloed door zijn begrip van de interne beheersingsomgeving. Een effectieve interne beheersingsomgeving kan ertoe leiden dat de accountant meer vertrouwen stelt in de interne beheersing en in de betrouwbaarheid van de binnen de entiteit gegenereerde controle-informatie, alsmede dat de accountant bijvoorbeeld op een tussentijdse datum controlewerkzaamheden uitvoert in plaats van aan het einde van de verslagperiode. Tekortkomingen in de interne beheersingsomgeving hebben evenwel het tegenovergestelde effect; de accountant kan bijvoorbeeld op een niet effectieve interne beheersingsomgeving inspelen door:

A3

Dergelijke overwegingen zijn daarom in significante mate van invloed op de algehele benadering van de accountant, zoals de nadruk die wordt gelegd op gegevensgerichte controles (gegevensgerichte aanpak) of op een aanpak waarbij zowel systeemgerichte als gegevensgerichte controles worden uitgevoerd (gecombineerde aanpak).

(Zie Par. 6)

A4

De inschatting door de accountant van de geïdentificeerde risico’s op een afwijking van materieel belang op het niveau van beweringen vormt de basis voor het bepalen van de passende controleaanpak voor de opzet en uitvoering van verdere controlewerkzaamheden. De accountant kan bijvoorbeeld bepalen dat:

De accountant hoeft geen verdere controlewerkzaamheden op te zetten en uit te voeren waar de inschatting van het risico op een afwijking van materieel belang beneden het aanvaardbare lage niveau is. Zoals vereist op grond van paragraaf 18, zet de accountant, ongeacht de geselecteerde benadering en het ingeschatte risico op een afwijking van materieel belang, gegevensgerichte controles op en voert de accountant deze uit voor elk van de transactiestromen, rekeningsaldi en in de financiële overzichten opgenomen toelichtingen die van materieel belang zijn.

A5

De aard van een controlemaatregel verwijst naar het doel (namelijk toetsingen van de interne beheersingsmaatregelen dan wel gegevensgerichte controles) alsmede naar het soort daarvan (namelijk inspectie, waarneming, het verzoeken om inlichtingen, het verzoek tot externe bevestiging, de rekenkundige controle, het opnieuw uitvoeren of cijferanalyse). De aard van de controlewerkzaamheden is van het grootste belang voor de wijze waarop op de ingeschatte risico’s wordt ingespeeld.

A6

De timing van een controlemaatregel verwijst naar het moment waarop de maatregel wordt uitgevoerd, dan wel naar de periode of datum waarop de controle-informatie betrekking heeft.

A7

De omvang van een controlemaatregel heeft betrekking op het aantal elementen dat wordt gecontroleerd, bijvoorbeeld de steekproefomvang of het aantal uit te voeren waarnemingen van een interne beheersingsmaatregel.

A8

Door het opzetten en uitvoeren van verdere controlewerkzaamheden waarvan de aard, timing en omvang gebaseerd zijn op en die inspelen op de ingeschatte risico's op een afwijking van materieel belang op het niveau van beweringen wordt een duidelijk verband gelegd tussen de verdere controlewerkzaamheden en de risico-inschatting.

(Zie Par. 7(a))

A9

Standaard 315 vereist dat de inschatting van de risico's op een afwijking van materieel belang op het niveau van beweringen door de accountant wordt uitgevoerd door het inherente risico en het beheersingsrisico in te schatten. De accountant schat het inherente risico in door de waarschijnlijkheid en de orde van grootte van een afwijking in te schatten, rekening houdend met hoe en de mate waarin de inherente risicofactoren de vatbaarheid van relevante beweringen voor afwijkingen beïnvloeden.309Standaard 315, paragraaf 31 en 34.

De door de accountant ingeschatte risico’s inclusief de redenen voor die ingeschatte risico’s kunnen zowel van invloed zijn op beide soorten van controlewerkzaamheden die moeten worden uitgevoerd als op de combinatie daarvan. Wanneer bijvoorbeeld een risico hoog wordt ingeschat, kan de accountant de volledigheid van de contractvoorwaarden laten bevestigen door de tegenpartij, in aanvulling op het inspecteren van het document. Verder kunnen sommige controlewerkzaamheden meer geschikt zijn voor bepaalde beweringen dan voor andere. Met betrekking tot bijvoorbeeld opbrengsten is het mogelijk dat toetsingen van interne beheersingsmaatregelen het beste inspelen op het ingeschatte risico op een afwijking van materieel belang in de bewering ‘volledigheid’, terwijl gegevensgerichte controles het beste inspelen op het ingeschatte risico op een afwijking van materieel belang in de bewering ‘voorkomen’.

A10

De redenen die bij de inschatting van een risico worden gegeven, zijn van belang bij het bepalen van de aard van de controlewerkzaamheden. Indien bijvoorbeeld een risico lager wordt ingeschat vanwege de kenmerken van een bepaalde transactiestroom en los van de daarop betrekking hebbende interne beheersingsmaatregelen, kan de accountant bepalen dat het enkel uitvoeren van gegevensgerichte cijferanalyses voldoende en geschikte controle-informatie verschaft. Indien daarentegen een risico lager wordt ingeschat omdat de accountant van plan is de effectieve werking van de interne beheersingsmaatregelen te toetsen en de accountant voornemens is gegevensgerichte controles op te zetten uitgaande van deze inschatting als laag, voert de accountant toetsingen van interne beheersingsmaatregelen uit zoals op grond van paragraaf 8(a) is vereist. Dit kan bijvoorbeeld het geval zijn bij een transactiestroom met redelijk gelijksoortige, niet gecompliceerde kenmerken die routinematig wordt verwerkt en door het informatiesysteem van de entiteit intern wordt beheerst.

A11

De accountant kan toetsingen van interne beheersingsmaatregelen dan wel gegevensgerichte controles op een tussentijdse datum of aan het einde van de periode uitvoeren. Hoe groter het risico op een afwijking van materieel belang, des te groter is de waarschijnlijkheid dat de accountant besluit dat het effectiever is om gegevensgerichte controles op of rond de einddatum van de verslagperiode uit te voeren, veeleer dan op een daaraan voorafgaande datum, dan wel om controlewerkzaamheden onaangekondigd of op onverwachte momenten uit te voeren (bijvoorbeeld door onaangekondigd controlewerkzaamheden uit te voeren op specifiek uitgekozen locaties). Dit is in het bijzonder van belang bij het overwegen van de manier waarmee op de risico's op fraude kan worden ingespeeld. Zo is het mogelijk dat de accountant, wanneer de risico's op opzettelijke afwijkingen of op manipulatie zijn geïdentificeerd, tot het besluit komt dat het niet effectief zou zijn om controlewerkzaamheden uit te voeren teneinde de controlebevindingen van een tussentijdse datum door te trekken naar het einde van de verslagperiode.

A12

Daartegenover staat dat controlewerkzaamheden die voorafgaand aan de einddatum van de verslagperiode worden uitgevoerd, een hulpmiddel voor de accountant kunnen zijn om significante aangelegenheden in een vroeg stadium van de controle te identificeren, waarna hij deze met de hulp van het management kan oplossen, of voor dergelijke aangelegenheden een effectieve controlebenadering kan opzetten.

A13

Bovendien kunnen sommige controlewerkzaamheden alleen op of na de einddatum van de verslagperiode worden uitgevoerd, bijvoorbeeld:

A14

Verdere relevante factoren die van invloed zijn op de overweging van de accountant op welk moment hij controlewerkzaamheden uitvoert, zijn onder meer de volgende:

A15

De omvang van een controlemaatregel die noodzakelijk wordt geacht, wordt bepaald na het overwegen van de materialiteit, het ingeschatte risico en de mate van zekerheid die de accountant voornemens is te verkrijgen. Wanneer één bepaalde doelstelling wordt bereikt door middel van een combinatie van werkzaamheden, wordt de omvang van elk van deze werkzaamheden afzonderlijk overwogen. In het algemeen neemt de omvang van de werkzaamheden toe wanneer het risico op een afwijking van materieel belang groter is. Voor het inspelen op het ingeschatte risico op een afwijking van materieel belang die het gevolg is van fraude kan bijvoorbeeld een grotere steekproefomvang of het uitvoeren van gegevensgerichte cijferanalyses op een meer gedetailleerd niveau geschikt zijn. Het vergroten van de omvang van controlewerkzaamheden is echter enkel effectief indien de controlemaatregel zelf op het specifieke risico inspeelt.

A16

Het gebruik van auditsoftwaretoepassingen kan een meer uitgebreide toetsing van elektronische transacties en grootboekbestanden mogelijk maken, hetgeen nuttig kan zijn wanneer de accountant besluit om de omvang van het toetsen aan te passen, bijvoorbeeld om in te spelen op de risico's op een afwijking van materieel belang die het gevolg is van fraude. Dergelijke technieken kunnen worden gebruikt om een steekproef van transacties uit belangrijke elektronische bestanden te trekken, om transacties met specifieke kenmerken te sorteren dan wel om de gehele populatie te toetsen in plaats van enkel een selectie daaruit.

A17

Bij het uitvoeren van controles van entiteiten in de publieke sector kunnen het controlemandaat en andere specifieke controlevoorschriften van invloed zijn op de overwegingen van de accountant inzake de aard, timing en omvang van verdere controlewerkzaamheden.

A18

Bij zeer kleine entiteiten kunnen mogelijk niet veel interne beheersingsmaatregelen door de accountant worden geïdentificeerd, of kan de door de entiteit vastgelegde documentatie daarvan beperkt zijn. Daarom kan het efficiënter zijn dat de accountant verdere controlewerkzaamheden uitvoert die hoofdzakelijk bestaan uit gegevensgerichte controles. In sommige zeldzame gevallen maakt het ontbreken van interne beheersingsmaatregelen of van componenten van het systeem van interne beheersing het onmogelijk om voldoende en geschikte controle-informatie te verkrijgen.

(Zie Par. 7(b))

A19

Wanneer overtuigender controle-informatie moet worden verkregen omdat het risico hoger wordt ingeschat, kan de accountant de hoeveelheid controle-informatie vergroten, dan wel controle-informatie verkrijgen die relevanter of betrouwbaarder is, bijvoorbeeld door meer nadruk te leggen op het verkrijgen van controle-informatie van derden of door het verkrijgen vanuit een aantal onafhankelijke bronnen van ondersteunende informatie.

(Zie Par. 8)

A20

Toetsingen van interne beheersingsmaatregelen worden alleen uitgevoerd voor die interne beheersingsmaatregelen waarvan de accountant heeft vastgesteld dat deze zodanig zijn opgezet dat ze een afwijking van materieel belang in een relevante bewering kunnen voorkomen, of detecteren en corrigeren en de accountant van plan is om deze interne beheersingsmaatregelen te toetsen. Indien op verschillende momenten van de gecontroleerde periode in belangrijke mate verschillende interne beheersingsmaatregelen werden gehanteerd, worden zij allemaal afzonderlijk overwogen.

A21

Het toetsen van de effectieve werking van interne beheersingsmaatregelen verschilt van het verwerven van inzicht bij het evalueren van de opzet en implementatie van interne beheersingsmaatregelen. Dezelfde soorten controlewerkzaamheden worden evenwel gehanteerd. Daarom kan de accountant beslissen dat het efficiënt is de effectieve werking van interne beheersingsmaatregelen op hetzelfde moment te toetsen als het evalueren van de opzet daarvan en het vaststellen dat die zijn geïmplementeerd.

A22

Bovendien, kunnen sommige werkzaamheden met betrekking tot het inschatten van risico’s, hoewel deze niet specifiek als toetsingen van interne beheersingsmaatregelen zijn opgezet, toch controle-informatie verschaffen over de effectieve werking van de interne beheersingsmaatregelen en daarom toch als toetsingen van interne beheersingsmaatregelen worden gebruikt. Zo kunnen de werkzaamheden voor de risico-inschatting van de accountant bestaan uit:

Deze controlewerkzaamheden verschaffen informatie met betrekking tot de opzet van de begrotingsprocedures van de entiteit en de vraag of deze zijn ingevoerd, maar kunnen ook controle-informatie opleveren over de effectiviteit van de werking van begrotingsprocedures bij het voorkomen of detecteren van afwijkingen van materieel belang in de rubricering van lasten.

A23

Daarnaast kan de accountant een toetsing van interne beheersingsmaatregelen opzetten die gelijktijdig wordt uitgevoerd met een detailcontrole voor dezelfde transactie. Hoewel het doel van een toetsing van interne beheersingsmaatregelen verschilt van het doel van een detailcontrole, kunnen beide gelijktijdig worden bereikt door het uitvoeren van een toetsing van interne beheersingsmaatregelen en een detailcontrole voor dezelfde transactie, ook wel bekend als de ‘dual-purpose test’. Zo kan de accountant een toetsing opzetten ten behoeve van het onderzoeken van een factuur alsmede de uitkomsten daarvan evalueren om vast te stellen of deze is goedgekeurd en om gegevensgerichte controle-informatie over de transactie te verkrijgen. Een ‘dual-purpose test’ wordt opgezet en geëvalueerd door elke doelstelling van de toetsing afzonderlijk in acht te nemen.

A24

De accountant kan in sommige gevallen tot de conclusie komen dat het onmogelijk is om effectieve gegevensgerichte controles op te zetten waarmee voldoende en geschikte controle-informatie op het niveau van beweringen kan worden verkregen.310Standaard 315, paragraaf 33. Dit kan zich voordoen wanneer de entiteit met een geautomatiseerd systeem werkt en van de transacties geen documentatie wordt vervaardigd of bewaard, anders dan via het geautomatiseerde systeem zelf. In dergelijke gevallen is op grond van paragraaf 8(b) vereist dat de accountant de interne beheersingsmaatregelen toetst die inspelen op de risico’s waarvoor gegevensgerichte werkzaamheden alleen niet voldoende en geschikte controle-informatie verschaffen.

(Zie Par. 9)

A25

Er kan naar een hoger betrouwbaarheidsniveau inzake de effectieve werking van interne beheersingsmaatregelen worden gestreefd wanneer de gekozen controlebenadering voornamelijk bestaat uit toetsingen van interne beheersingsmaatregelen, met name wanneer het niet mogelijk of wanneer het niet realiseerbaar is om uit alleen gegevensgerichte controles voldoende en geschikte controle-informatie te verkrijgen.

(Zie Par.10(a))

A26

Het verzoeken om inlichtingen alleen is niet voldoende om de effectieve werking van interne beheersingsmaatregelen te toetsen. Daarom worden in combinatie met het verzoeken om inlichtingen andere controlewerkzaamheden uitgevoerd. In dit opzicht zou het verzoeken om inlichtingen, in combinatie met inspectie of met het opnieuw uitvoeren, meer betrouwbaarheid kunnen verschaffen dan het verzoeken om inlichtingen samen met waarneming, omdat een waarneming slechts betrekking kan hebben op het moment dat deze wordt gedaan.

A27

De aard van een bepaalde interne beheersingsmaatregel heeft invloed op het soort controlewerkzaamheden die vereist zijn om controle-informatie over de effectieve werking van deze interne beheersingsmaatregel te verkrijgen. Indien de effectieve werking bijvoorbeeld blijkt uit documentatie, kan de accountant besluiten die documentatie te inspecteren om controle-informatie over de effectieve werking te verkrijgen. Voor andere interne beheersingsmaatregelen is er evenwel mogelijk geen documentatie aanwezig of is deze niet relevant. Zo is het mogelijk dat er over de werking van sommige onderdelen van de interne beheersingsomgeving geen documentatie beschikbaar is, zoals over de wijze waarop bevoegdheden en verantwoordelijkheden worden toegekend, of over sommige interne beheersingsmaatregelen, zoals geautomatiseerde interne beheersingsmaatregelen. In dergelijke omstandigheden kan mogelijk controle-informatie over de effectieve werking worden verkregen door het verzoeken om inlichtingen in combinatie met controlewerkzaamheden, zoals waarneming of het gebruikmaken van auditsoftwaretoepassingen.

A28

Wanneer overtuigender controle-informatie nodig is met betrekking tot de effectiviteit van een interne beheersingsmaatregel, kan het passend zijn de omvang van toetsingen van interne beheersingsmaatregelen te vergroten. Evenals ten aanzien van de mate waarin de accountant steunt op interne beheersingsmaatregelen, kan hij bij het bepalen van de omvang van de toetsingen van interne beheersingsmaatregelen onder meer het volgende in aanmerking nemen:

Standaard 530 311 Standaard 530, Het gebruiken van steekproeven bij een controle. bevat verdere leidraden voor de omvang van de toetsing.

A29

Vanwege de inherente consistentie van geautomatiseerde gegevensverwerking behoeft het wellicht niet noodzakelijk te zijn om de omvang van toetsingen van interne beheersingsmaatregelen betreffende een geautomatiseerde interne beheersingsmaatregel te vergroten. Van een geautomatiseerde interne beheersingsmaatregel kan worden verwacht dat deze consistent werkt tenzij in de IT applicatie (met inbegrip van tabellen, bestanden of andere permanente data die door de IT applicatie worden gebruikt) wijzigingen zijn geïmplementeerd. Nadat de accountant heeft vastgesteld dat de geautomatiseerde interne beheersingsmaatregel naar behoren werkt (hetgeen kan plaatsvinden op het moment dat deze interne beheersingsmaatregel voor het eerst is geïmplementeerd, of op elk ander moment), kan hij overwegen welke werkzaamheden moeten worden uitgevoerd om vast te stellen dat de interne beheersingsmaatregel effectief blijft werken. Dergelijke toetsingen kunnen onder meer het toetsen van de general IT-controls met betrekking tot de IT applicatie inhouden.

A29a

Evenzo kan de accountant toetsingen van interne beheersingsmaatregelen uitvoeren die inspelen op risico's op een afwijking van materieel belang in verband met de integriteit van de gegevens van de entiteit, de volledigheid en nauwkeurigheid van door het systeem van de entiteit gegenereerde rapporten of die inspelen op risico's op een afwijking van materieel belang waarvoor gegevensgerichte werkzaamheden alleen niet voldoende en geschikte controle-informatie kunnen verschaffen. Deze toetsingen van interne beheersingsmaatregelen kunnen toetsingen van general IT-controls omvatten die de aangelegenheden in paragraaf 10(a) behandelen. Wanneer dit het geval is, hoeft de accountant geen verdere toetsingen uit te voeren om controle-informatie over de aangelegenheden genoemd in paragraaf 10(a) te verkrijgen.

A29b

Wanneer de accountant vaststelt dat een general IT-control tekortschiet, kan de accountant de aard van het (de) gerelateerde risico('s) overwegen die voortkomen uit het gebruik van IT die zijn geïdentificeerd in overeenstemming met Standaard 315312Standaard 315, paragraaf 26(c)(i). om de basis te vormen voor de opzet van de aanvullende werkzaamheden van de accountant om in te spelen op het ingeschatte risico op een afwijking van materieel belang. Dergelijke werkzaamheden kunnen betrekking hebben op het bepalen of:

(Zie Par. 10(b))

A30

In sommige gevallen kan het noodzakelijk zijn controle-informatie te verkrijgen ter ondersteuning van de effectieve werking van indirecte beheersingsmaatregelen (b.v. general IT-controls). Zoals uitgelegd in de paragrafen A29 tot A29b, kunnen general IT-controls zijn geïdentificeerd in overeenstemming met Standaard 315 vanwege hun ondersteuning van de effectieve werking van geautomatiseerde interne beheersingsmaatregelen of vanwege hun ondersteuning bij het handhaven van de integriteit van de informatie die wordt gebruikt in de financiële verslaggeving van de entiteit inclusief door het systeem gegenereerde rapporten. De vereiste in paragraaf 10(b) erkent dat de accountant mogelijk al bepaalde indirecte interne beheersingsmaatregelen heeft getoetst om de aangelegenheden genoemd in paragraaf 10(a) te adresseren.

A31

–

(Zie Par. 11)

A32

Controle-informatie die alleen op een bepaald moment betrekking heeft, kan voldoende zijn voor het door de accountant beoogde doel, bijvoorbeeld het toetsen van de interne beheersingsmaatregelen betreffende de voorraadopname op de einddatum van de verslagperiode. Indien de accountant echter voornemens is gedurende een bepaalde periode op een interne beheersingsmaatregel te steunen, is het passender controles uit te voeren die het mogelijk maken controle-informatie te verschaffen die aantoont dat de interne beheersingsmaatregel op relevante momenten tijdens die periode effectief heeft gewerkt. Deze controles kunnen onder meer bestaan uit het toetsen van interne beheersingsmaatregelen in het proces van de entiteit om het systeem van interne beheersing te monitoren.

(Zie Par. 12(b))

A33

Relevante factoren bij het bepalen welke aanvullende controle-informatie moet worden verkregen over interne beheersingsmaatregelen die gedurende de periode na de tussentijdse periode hebben gewerkt, zijn onder meer:

A34

Aanvullende controle-informatie kan bijvoorbeeld worden verkregen door toetsingen van interne beheersingsmaatregelen uit te voeren voor het resterende deel van de periode, dan wel door te toetsen hoe de entiteit de interne beheersingsmaatregelen monitort.

(Zie Par. 13)

A35

In sommige omstandigheden kan controle-informatie die bij vorige controles is verkregen controle-informatie verschaften wanneer de accountant controlewerkzaamheden uitvoert om de blijvende relevantie en betrouwbaarheid daarvan vast te stellen. Zo kan de accountant tijdens het uitvoeren van een vorige controle hebben vastgesteld dat een geautomatiseerde interne beheersingsmaatregel naar behoren werkte. De accountant kan vervolgens controle-informatie verkrijgen om vast te stellen of er in de geautomatiseerde interne beheersingsmaatregel wijzigingen zijn aangebracht die van invloed zijn op de doorlopende effectieve werking, bijvoorbeeld door het verzoeken om inlichtingen bij het management alsmede door logboeken te inspecteren teneinde vast te stellen welke interne beheersingsmaatregelen werden gewijzigd. Het overwegen van de controle-informatie over deze wijzigingen kan leiden tot een toe- of afname van de in de lopende periode te verkrijgen controle-informatie over de effectieve werking van de interne beheersingsmaatregelen.

(Zie Par. 14(a))

A36

Wijzigingen kunnen de relevantie en betrouwbaarheid van de bij vorige controles verkregen controle-informatie aantasten zodat hierop niet langer kan worden gesteund. Zo hebben wijzigingen in een systeem die een entiteit in staat stellen een nieuw verslag uit dit systeem te verkrijgen, waarschijnlijk geen invloed op de relevantie van de bij een vorige controle verkregen controle-informatie; een wijziging waardoor data op een andere manier worden gegroepeerd of berekend heeft hierop echter wel een invloed.

(Zie Par. 14(b))

A37

De beslissing van de accountant om al dan niet te steunen op de controle-informatie die bij vorige controles is verkregen voor interne beheersingsmaatregelen die:

A38

In het algemeen geldt dat hoe groter het risico op een afwijking van materieel belang is, of hoe meer wordt gesteund op de interne beheersingsmaatregelen, des te korter naar alle waarschijnlijkheid de periode zal zijn, voor zover bestaande, die is verstreken sinds het moment van de laatste toetsing. Factoren die deze periode kunnen verkorten, of die ertoe leiden dat in het geheel niet wordt gesteund op de bij vorige controles verkregen controle-informatie, zijn onder meer:

A39

Indien de accountant voornemens is voor een aantal interne beheersingsmaatregelen op de bij vorige controles verkregen controle-informatie te steunen, verschaft het toetsen van een aantal van deze interne beheersingsmaatregelen gedurende elke controleperiode bevestigende informatie over de blijvende effectieve werking van de interne beheersingsomgeving. Dit levert een bijdrage aan de beslissing van de accountant of het passend is te steunen op de bij vorige controles verkregen controle-informatie.

(Zie Par. 16 en 17)

A40

Een afwijking van materieel belang die door de werkzaamheden van de accountant wordt gedetecteerd, is een sterke aanwijzing van het bestaan van een significante tekortkoming in de interne beheersing.

A41

Het begrip effectiviteit van de werking van interne beheersingsmaatregelen erkent dat er enige deviaties kunnen optreden in de wijze waarop de interne beheersingsmaatregelen door de entiteit worden toegepast. Deviaties ten opzichte van de voorgeschreven interne beheersingsmaatregelen kunnen worden veroorzaakt door factoren als wijzigingen in de personeelsbezetting van belangrijke functies, significante seizoensgebonden fluctuaties in het aantal transacties en menselijke fouten. De gedetecteerde mate waarin wordt afgeweken, met name in vergelijking met de verwachte mate, kan een aanwijzing zijn dat niet kan worden gesteund op de interne beheersingsmaatregel, om het risico op het niveau van beweringen terug te brengen naar het niveau dat door de accountant was ingeschat.

(Zie Par. 18)

A42

Op grond van paragraaf 18 wordt vereist dat de accountant gegevensgerichte controles opzet en uitvoert voor elk van de van materieel belang zijnde transactiestromen, rekeningsaldi en toelichtingen. Voor significante transactiestromen, rekeningsaldi en toelichtingen zijn mogelijk al gegevensgerichte werkzaamheden uitgevoerd, omdat paragraaf 6 van de accountant vereist dat de accountant verdere controlewerkzaamheden opzet en uitvoert die inspelen op de ingeschatte risico's op een afwijking van materieel belang op het niveau van beweringen. Dienovereenkomstig moeten gegevensgerichte werkzaamheden worden opgezet en uitgevoerd in overeenstemming met paragraaf 18:

A42a

Niet alle beweringen binnen een materiële transactiestroom, rekeningsaldo of toelichting moeten worden getoetst. Bij het opzetten van de uit te voeren gegevensgerichte werkzaamheden kan de overweging van de accountant van de bewering(en) waarin, indien een afwijking zou voorkomen, een redelijke mogelijkheid bestaat dat de afwijking van materieel belang is, helpen bij het identificeren van de passende aard, timing en omvang van de uit te voeren werkzaamheden.

A43

Afhankelijk van de omstandigheden kan de accountant besluiten dat:

A44

In het algemeen kunnen gegevensgerichte cijferanalyses beter worden gebruikt ten aanzien van grote aantallen transacties die min of meer voorspelbaar zijn in de tijd. Standaard 520314Standaard 520, Cijferanalyses. stelt vereisten vast en verschaft leidraden voor de uitvoering van cijferanalyses tijdens een controle.

A45

De inschatting van het risico of de aard van de bewering is van belang voor het opzetten van detailcontroles. Detailcontroles betreffende de beweringen ‘bestaan’ en ‘voorkomen’ zouden kunnen inhouden dat een selectie wordt gemaakt uit elementen die in een in de financiële overzichten opgenomen bedrag zijn begrepen en dat de daarop betrekking hebbende controle-informatie wordt verkregen. Aan de andere kant kunnen detailcontroles betreffende de bewering ‘volledigheid’ inhouden dat een selectie wordt gemaakt uit elementen waarvan wordt verwacht dat zij in het desbetreffende in de financiële overzichten opgenomen bedrag zijn begrepen en dat wordt onderzocht of dit inderdaad het geval is.

A46

Omdat bij de inschatting van het risico op een afwijking van materieel belang rekening wordt gehouden met de interne beheersingsmaatregelen die de accountant van plan is om te toetsen, moet de omvang van de gegevensgerichte controles mogelijk worden vergroot wanneer de uitkomsten uit de toetsingen van interne beheersingsmaatregelen onbevredigend zijn. Het vergroten van de omvang van een controlemaatregel is echter alleen passend als deze controlemaatregel zelf relevant is voor het specifieke risico.

A47

Bij het opzetten van detailcontroles wordt de omvang van de te toetsen elementen gewoonlijk uitgedrukt in termen van de steekproefomvang. Andere aangelegenheden zijn daarbij echter ook relevant, waaronder de vraag of het effectiever is andere selectiemethoden gericht op toetsing te hanteren. Standaard 500 verschaft hierover aanvullende leidraden.315Standaard 500, Controle-informatie, paragraaf 10.

(Zie Par. 19)

A48

Werkzaamheden inzake externe bevestiging zijn veelal relevant bij beweringen geassocieerd met rekeningsaldi en de elementen daarvan, maar behoeven niet tot deze elementen te worden beperkt. Zo is het mogelijk dat de accountant verzoekt om externe bevestiging van de voorwaarden van overeenkomsten, contracten of transacties afgesloten tussen een entiteit en andere partijen. Werkzaamheden inzake externe bevestiging kunnen tevens worden uitgevoerd om controle-informatie te verkrijgen over het niet vervuld zijn van bepaalde voorwaarden. Zo kan een verzoek specifiek de bevestiging nastreven dat er geen nevenovereenkomsten bestaan die relevant kunnen zijn voor de afgrenzingsbewering voor de opbrengsten van een entiteit. Andere situaties waarin werkzaamheden inzake externe bevestigingen relevante controle-informatie kunnen verschaffen bij het inspelen op ingeschatte risico's op een afwijking van materieel belang zijn onder meer:

A49

Hoewel externe bevestigingen relevante controle-informatie voor bepaalde beweringen kunnen verschaffen, bestaan er beweringen waarvoor externe bevestigingen minder relevante controle-informatie verschaffen. Zo verschaffen externe bevestigingen minder relevante controle-informatie met betrekking tot de inbaarheid van rekeningsaldi van handelsvorderingen dan voor het bestaan daarvan.

A50

De accountant kan vaststellen dat werkzaamheden inzake externe bevestigingen die met een bepaald doel zijn uitgevoerd, de gelegenheid bieden om controle-informatie over andere aangelegenheden te verkrijgen. Zo omvatten bevestigingsverzoeken voor bankrekeningsaldi vaak verzoeken om informatie die relevant is voor andere beweringen in de financiële overzichten. Dergelijke overwegingen kunnen een invloed uitoefenen op de beslissing van de accountant over de vraag of werkzaamheden inzake externe bevestigingen zullen worden uitgevoerd.

A51

Factoren die een hulpmiddel kunnen vormen voor de accountant bij het bepalen of werkzaamheden inzake externe bevestigingen als gegevensgerichte controlewerkzaamheden moeten worden uitgevoerd, zijn onder meer:

In dergelijke situaties is het mogelijk dat bevestigende partijen geen antwoord verstrekken, op informele wijze antwoorden of het gebruik dat van het antwoord wordt gemaakt, trachten te beperken.

(Zie Par. 20)

A52

De aard en ook de omvang van de gegevensgerichte werkzaamheden van de accountant met betrekking tot het proces van het opstellen van de financiële overzichten zijn afhankelijk van de aard en complexiteit van het proces van financiële verslaggeving van de entiteit en de daarmee samenhangende risico's op een afwijking van materieel belang.

(Zie Par. 21)

A53

Paragraaf 21 van deze Standaard vereist van de accountant dat deze gegevensgerichte controles uitvoert die specifiek inspelen op de risico’s die hij als significant heeft aangemerkt. Controle-informatie in de vorm van externe bevestigingen die rechtstreeks door de accountant van passende bevestigende partijen wordt verkregen, vormt voor de accountant een hulpmiddel bij het verkrijgen van controle-informatie met het betrouwbaarheidsniveau dat de accountant nodig heeft om in te spelen op significante risico's op een afwijking van materieel belang die het gevolg is van fraude of van fouten. Indien de accountant bijvoorbeeld constateert dat het management onder druk staat om aan winstverwachtingen te voldoen, kan er een risico zijn dat het management het opnemen van opbrengsten te hoog voorstelt door ten onrechte reeds winst op te nemen uit hoofde van verkoopovereenkomsten met voorwaarden die slechts een latere winstopname toestaan, dan wel door te factureren voorafgaand aan de verzending. In deze omstandigheden kan de accountant bijvoorbeeld werkzaamheden inzake externe bevestigingen opzetten, niet alleen om de openstaande saldi te bevestigen, maar ook om de details van de verkoopovereenkomsten, met inbegrip van de datum, de mogelijkheden van retourneren en de leveringsvoorwaarden te bevestigen. Bovendien kan de accountant het nuttig achten om dergelijke werkzaamheden inzake externe bevestigingen aan te vullen met het verzoeken om inlichtingen over wijzigingen in de verkoopovereenkomsten en de leveringsvoorwaarden bij personeelsleden binnen de entiteit die niet bij de financiële activiteiten zijn betrokken. Gegevensgerichte controles met betrekking tot significante risico's worden meestal zodanig opgezet dat zij zeer betrouwbare controle-informatie opleveren.

(Zie Par. 22 en 23)

A54

In de meeste gevallen verschaft controle-informatie uit gegevensgerichte controles die in het kader van vorige controles zijn verricht, weinig of geen controle-informatie voor de lopende periode. Er zijn echter uitzonderingen. Zo is het mogelijk dat een in het kader van een voorgaande controle verkregen standpunt van een juridisch raadgever met betrekking tot de structuur van een securitisatie waarin geen wijzigingen zijn opgetreden, relevant is voor de lopende periode. In dergelijke gevallen kan het passend zijn controle-informatie uit gegevensgerichte controles die in het kader van een vorige controle zijn verricht, te gebruiken indien die controle-informatie en het object van onderzoek niet wezenlijk zijn gewijzigd en indien controlewerkzaamheden worden uitgevoerd om de blijvende relevantie gedurende de lopende periode vast te stellen.

(Zie Par. 22)

A55

In sommige situaties kan de accountant bepalen dat het effectief is op een tussentijdse datum gegevensgerichte controlewerkzaamheden uit te voeren, en informatie inzake het saldo aan het einde van de verslagperiode te vergelijken met en af te stemmen op de vergelijkbare informatie met betrekking tot de tussentijdse datum, teneinde:

A56

Het uitvoeren van tussentijdse gegevensgerichte controlewerkzaamheden zonder het uitvoeren van aanvullende controlewerkzaamheden op een later tijdstip verhoogt het risico dat eventuele afwijkingen die op de einddatum van de verslagperiode bestaan, niet door de accountant worden gedetecteerd. Dit risico wordt groter naarmate het resterende deel van de periode langer is. Factoren zoals hieronder vermeld kunnen van invloed zijn op de beslissing om al dan niet gegevensgerichte controles op een tussentijdse datum uit te voeren:

A57

Onderstaande factoren kunnen van invloed zijn op het al dan niet uitvoeren van gegevensgerichte cijferanalyses met betrekking tot de periode tussen de tussentijdse datum en de einddatum van de verslagperiode:

(Zie Par. 23)

A58

Wanneer de accountant besluit dat de geplande aard, timing en omvang van de gegevensgerichte controlewerkzaamheden die op het resterende gedeelte van de verslagperiode betrekking hebben, moeten worden aangepast als gevolg van onverwachte afwijkingen die op een tussentijdse datum zijn gedetecteerd, kunnen dergelijke aanpassingen een uitbreiding of een herhaling aan het einde van de verslagperiode inhouden van de werkzaamheden die op de tussentijdse datum zijn uitgevoerd.

(Zie Par. 24)

A59

Het evalueren van de juiste presentatie, rangschikking en inhoud van de financiële overzichten omvat bijvoorbeeld overwegingen van de gebruikte terminologie zoals vereist door het van toepassing zijnde stelsel inzake financiële verslaggeving, de mate van verstrekte detaillering samenvoeging en opsplitsing van bedragen alsmede de grondslagen van de gepresenteerde bedragen.

(Zie Par. 25, 26 en 27)

A60

Een controle van de financiële overzichten is een cumulatief en iteratief proces. Tijdens de uitvoering van de geplande controlewerkzaamheden kan de verkregen controle-informatie de accountant ertoe brengen de aard, timing of omvang van andere geplande werkzaamheden aan te passen. Er kan informatie onder zijn aandacht komen die significant verschilt van de informatie waarop de risico-inschatting was gebaseerd. Bijvoorbeeld:

In dergelijke omstandigheden kan de accountant genoodzaakt zijn de geplande controlewerkzaamheden te heroverwegen, op grond van het opnieuw bestuderen van de ingeschatte risico’s op een afwijking van materieel belang en het effect op de significante transactiestromen, rekeningsaldi, toelichtingen en daarmee verband houdende relevante beweringen. Standaard 315 bevat verdere leidraden voor het herzien door de accountant van de risico-inschatting.316Standaard 315, paragraaf 53.

A61

De accountant kan er niet van uitgaan dat een geval van fraude of van een fout een geïsoleerde gebeurtenis is. Daarom is de afweging van de wijze waarop het detecteren van een afwijking invloed heeft op de ingeschatte risico's op een afwijking van materieel belang, belangrijk voor de vraag of de inschatting nog steeds van toepassing is.

A62

De oordeelsvorming van de accountant ten aanzien van het voldoende en geschikt zijn van de controle-informatie wordt onder meer beïnvloed door de volgende factoren:

(Zie Par. 28)

A63

De vorm en omvang van controledocumentatie is een kwestie van professionele oordeelsvorming en wordt mede bepaald door de aard, omvang en complexiteit van de entiteit en haar systeem van interne beheersing, de informatie die vanuit de entiteit ter beschikking staat, en de controlemethodologie en -technieken die bij de controle zijn gehanteerd.

402. Overwegingen met betrekking tot controles van entiteiten die gebruikmaken van een serviceorganisatie

1

Deze Standaard behandelt de verantwoordelijkheid van de accountant van de gebruiker voor het verkrijgen van voldoende en geschikte controle-informatie wanneer een gebruikende entiteit gebruik maakt van de diensten van één of meer serviceorganisaties. Het weidt in het bijzonder uit over hoe de accountant van de gebruiker Standaard 315317Standaard 315, Risico’s op een afwijking van materieel belang identificeren en inschatten. en Standaard 330318Standaard 330, Inspelen door de accountant op ingeschatte risico’s. toepast bij het verwerven van een inzicht in de gebruikende entiteit, met inbegrip van het systeem van interne beheersing van de entiteit dat relevant is voor het opstellen van de financiële overzichten, dat voldoende is voor het onderkennen en inschatten van de risico’s van een afwijking van materieel belang en voor het opzetten en uitvoeren van verdere controlewerkzaamheden die op die risico’s inspelen, op te zetten en uit te voeren.

2

Veel entiteiten besteden aspecten van hun bedrijfsvoering uit aan organisaties die diensten verlenen variërend van de uitvoering van een specifieke taak onder de leiding van de entiteit tot de vervanging van volledige bedrijfsonderdelen of bedrijfsfuncties van de entiteit, zoals de fiscale compliance functie. Veel van de diensten die door dergelijke organisaties worden verleend, vormen een integrerend onderdeel van de bedrijfsactiviteiten van de entiteit; niet al deze diensten zijn echter relevant voor de controle.

3

Diensten die door een serviceorganisatie worden verleend, zijn relevant voor de controle van de financiële overzichten van een gebruikersorganisatie wanneer die diensten, en de desbetreffende interne beheersingsmaatregelen, deel uitmaken van het informatiesysteem van de gebruikersorganisatie dat relevant is voor het opstellen van de financiële overzichten. De meeste interne beheersingsmaatregelen bij de serviceorganisatie zijn waarschijnlijk onderdeel van het informatiesysteem van de entiteit dat relevant is voor het opstellen van de financiële overzichten, of andere daarop betrekking hebbende interne beheersingsmaatregelen zoals de interne beheersingsmaatregelen met betrekking tot de bescherming van activa. De diensten van een serviceorganisatie maken deel uit van het informatiesysteem van een gebruikersorganisatie, indien zij invloed hebben op een of meer van de volgende aspecten:

4

De aard en de omvang van de werkzaamheden die de accountant van de gebruikersorganisatie moet uitvoeren met betrekking tot de door een serviceorganisatie verleende diensten, zijn afhankelijk van de aard en de significantie van die diensten voor de gebruikersorganisatie en van de relevantie van die diensten voor de controle.

5

Deze Standaard is niet van toepassing op diensten van financiële instellingen die beperkt blijven tot het verwerken, op een bij die financiële instelling door de entiteit aangehouden rekening, van transacties die specifiek door de entiteit worden geautoriseerd, zoals het verwerken van transacties op de lopende rekening door een bank of het verwerken van effectentransacties door een effectenmakelaar. Deze Standaard is ook niet van toepassing op de controle van transacties die voortvloeien uit eigendomsbelangen in andere entiteiten zoals maatschappen, vennootschappen en joint ventures, wanneer de eigendomsbelangen administratief zijn verwerkt en aan de belanghebbenden zijn gemeld.

6

Voor de ingangsdatum wordt verwezen naar de slotbepalingen.

7

De doelstellingen van de accountant van de gebruikersorganisatie, wanneer die gebruikersorganisatie gebruikmaakt van de diensten van een serviceorganisatie zijn:

8

Voor de toepassing van de Standaarden hebben onderstaande termen de volgende betekenis:

9

Bij het verwerven van inzicht in de gebruikersorganisatie overeenkomstig Standaard 315319Standaard 315, paragraaf 11. dient de accountant van de gebruikersorganisatie inzicht te verwerven in de wijze waarop die organisatie bij haar activiteiten gebruikmaakt van de diensten van een serviceorganisatie, waaronder: (Zie Par. A1, A2)

10

Bij het verwerven van inzicht in het systeem van interne beheersing van de entiteit overeenkomstig Standaard 315 dient de accountant van de gebruikersorganisatie interne beheersingsmaatregelen in de component ‘interne beheersingsactiviteiten’320Standaard 315, paragraaf 26(a). te identificeren bij de gebruikersorganisatie vanuit degenen die betrekking hebben op de door de serviceorganisatie verleende diensten, met inbegrip van de maatregelen die worden toegepast op de door de serviceorganisatie verwerkte transacties, hun opzet te evalueren en te bepalen of ze geïmplementeerd zijn.321Standaard 315, paragraaf 26(d). (Zie Par. A12, A13 en A14)

11

De accountant van de gebruikersorganisatie dient te bepalen of er een toereikend inzicht is verworven in de aard en significantie van de door de serviceorganisatie verleende diensten en het effect ervan op het systeem van interne beheersing van de gebruikersorganisatie, dat een geschikte basis biedt om de risico’s op een afwijking van materieel belang te identificeren en in te schatten.

12

Wanneer de accountant van de gebruikersorganisatie geen toereikend inzicht kan verwerven via de gebruikersorganisatie, dient hij dit inzicht te verwerven via een of meer van de volgende werkzaamheden:

13

Bij het bepalen of de controle-informatie in een type 1- of type 2-rapport voldoende en geschikt is, dient de accountant van de gebruikersorganisatie ervan overtuigd te zijn dat:

14

Wanneer de accountant van de gebruiker van plan is om een type 1- of type 2-rapport te gebruiken als controle-informatie teneinde het inzicht van de accountant in de opzet en het bestaan van interne beheersingsmaatregelen van de serviceorganisatie te ondersteunen, dient hij:

15

Bij het inspelen op ingeschatte risico’s overeenkomstig Standaard 330 dient de accountant van de gebruikersorganisatie:

16

Wanneer de accountant van de gebruikersorganisatie in zijn risico-inschatting de verwachting uitspreekt dat de interne beheersingsmaatregelen bij de serviceorganisatie effectief werken, dient hij controle-informatie over de effectieve werking van die interne beheersingsmaatregelen te verkrijgen via een of meer van de volgende werkzaamheden:

17

Indien de accountant van de gebruikersorganisatie overeenkomstig paragraaf 16(a) van plan is een type 2-rapport te gebruiken als controle-informatie voor de effectieve werking van de interne beheersingsmaatregelen bij de serviceorganisatie, dient hij na te gaan of het rapport van de accountant van de serviceorganisatie voldoende en geschikte controle-informatie verschaft over de effectiviteit van de interne beheersingsmaatregelen om zijn risico-inschatting te ondersteunen, door:

18

Indien de accountant van de gebruikersorganisatie van plan is gebruik te maken van een type 1- of type 2-rapport waarin de diensten van een subserviceorganisatie worden uitgesloten en die diensten zijn relevant voor de controle van de financiële overzichten van de gebruikersorganisatie, dient hij de vereisten van deze Standaard toe te passen met betrekking tot de door de subserviceorganisatie verleende diensten. (Zie Par. A40)

19

De accountant van de gebruikersorganisatie dient bij het management van deze organisatie inlichtingen in te winnen over de vraag of de serviceorganisatie haar melding heeft gedaan, dan wel of zij anderszins kennis heeft, van fraude, niet-naleving van wet- en regelgeving of niet-gecorrigeerde afwijkingen die op de financiële overzichten van de gebruikersorganisatie van invloed zijn. De accountant van de gebruikersorganisatie dient te evalueren op welke wijze dergelijke aangelegenheden invloed hebben op de aard, timing en omvang van zijn verdere controlewerkzaamheden, met inbegrip van het effect op zijn conclusies en op zijn controleverklaring. (Zie Par. A41)

20

De accountant van de gebruikersorganisatie dient het oordeel in zijn controleverklaring overeenkomstig Standaard 705322Standaard 705, Aanpassingen van het oordeel in de controleverklaring van de onafhankelijke accountant, paragraaf 6. aan te passen indien hij niet in staat is om voldoende en geschikte controle-informatie te verkrijgen over de diensten die door de serviceorganisatie worden verleend en die relevant zijn voor de controle van de financiële overzichten van de gebruikersorganisatie. (Zie Par. A42)

21

De accountant van de gebruikersorganisatie dient in zijn controleverklaring waarin een goedkeurend oordeel is opgenomen, niet naar de door een accountant van een serviceorganisatie uitgevoerde werkzaamheden te verwijzen, tenzij dit wordt vereist door wet- of regelgeving. Wanneer een dergelijke verwijzing door wet- en regelgeving wordt vereist, dient de accountant van de gebruikersorganisatie in zijn controleverklaring te vermelden dat die verwijzing niets afdoet aan zijn verantwoordelijkheid voor zijn controleoordeel. (Zie Par. A43)

22

Wanneer een verwijzing naar de door een accountant van een serviceorganisatie uitgevoerde werkzaamheden relevant is voor een inzicht in een aanpassing van het oordeel van de accountant van de gebruikersorganisatie, dient de accountant van de gebruikersorganisatie in zijn controleverklaring te vermelden dat die verwijzing niets afdoet aan zijn verantwoordelijkheid voor dat oordeel. (Zie Par. A44)

(Zie Par. 9)

A1

Informatie over de aard van de door een serviceorganisatie verleende diensten kan uit een breed scala aan bronnen worden verkregen, zoals:

A2

Kennis verkregen uit de ervaring die de accountant van de gebruikersorganisatie met de serviceorganisatie heeft, bijvoorbeeld via andere controleopdrachten, kan ook nuttig zijn om inzicht te verwerven in de aard van de door de serviceorganisatie verleende diensten. Dit kan met name nuttig zijn als de diensten en de desbetreffende interne beheersingsmaatregelen bij de serviceorganisatie in hoge mate gestandaardiseerd zijn.

(Zie Par. 9(a))

A3

Een gebruikersorganisatie kan gebruikmaken van een serviceorganisatie zoals een organisatie die transacties verwerkt en de daarmee verband houdende verantwoordingsplicht handhaaft of die transacties vastlegt en daaraan gerelateerde gegevens verwerkt. Onder serviceorganisaties die dergelijke diensten verlenen, vallen bijvoorbeeld trustafdelingen van banken die activa voor beloningsregelingen voor het personeel of voor anderen beleggen en beheren, hypotheekbankiers die hypotheken voor anderen beheren, en application service providers die softwarepakketten en een technische infrastructuur ter beschikking stellen zodat cliënten financiële en operationele transacties kunnen verwerken.

A4

Voorbeelden van voor de controle relevante diensten van een serviceorganisatie zijn:

A5

Kleinere entiteiten kunnen gebruikmaken van externe boekhoudkundige diensten variërend van het verwerken van bepaalde transacties (bijvoorbeeld de betaling van loonbelasting) en het bijhouden van de administratieve vastleggingen tot het opstellen van financiële overzichten. Wanneer een kleinere entiteit gebruikmaakt van een dergelijke serviceorganisatie om haar financiële overzichten op te stellen, ontheft dit haar management en, in voorkomend geval, de met governance belaste personen niet van hun verantwoordelijkheden voor de financiële overzichten.323Standaard 200, Algehele doelstellingen van de onafhankelijke accountant, alsmede het uitvoeren van een controle overeenkomstig de Standaarden, paragraaf 4, A2 en A3.

(Zie Par. 9(b))

A6

Een serviceorganisatie kan beleidslijnen en procedures vaststellen die van invloed zijn op de interne beheersing van de gebruikersorganisatie. Deze beleidslijnen en procedures staan ten minste gedeeltelijk fysiek en operationeel apart van de gebruikersorganisatie. De significantie van de interne beheersingsmaatregelen van de serviceorganisatie voor die van de gebruikersorganisatie hangt af van de aard van de door de serviceorganisatie verleende diensten, met inbegrip van de aard en de materialiteit van de transacties die zij voor de gebruikersorganisatie verwerkt. In bepaalde situaties kunnen de door de serviceorganisatie verwerkte transacties en de daardoor beïnvloede rekeningen niet van materieel belang lijken te zijn voor de financiële overzichten van de gebruikersorganisatie, maar de aard van de verwerkte transacties kan significant zijn en de accountant van de gebruikersorganisatie kan bepalen dat inzicht in die interne beheersingsmaatregelen in de omstandigheden noodzakelijk is.

(Zie Par. 9(c))

A7

De significantie van de interne beheersingsmaatregelen van de serviceorganisatie voor die van de gebruikersorganisatie hangt ook af van de mate van interactie tussen de activiteiten van beide organisaties. De mate van interactie verwijst naar in hoeverre de gebruikersorganisatie effectieve interne beheersingsmaatregelen voor de door de serviceorganisatie uitgevoerde verwerking kan toepassen en daadwerkelijk implementeert. Zo bestaat er een hoge mate van interactie tussen de activiteiten van de gebruikersorganisatie en die van de serviceorganisatie wanneer de gebruikersorganisatie transacties autoriseert en de serviceorganisatie die transacties verwerkt en de administratieve verwerking ervan verzorgt. In deze omstandigheden kan het voor de gebruikersorganisatie praktisch uitvoerbaar zijn om effectieve interne beheersingsmaatregelen te implementeren voor die transacties. Wanneer de serviceorganisatie daarentegen transacties voor de gebruikersorganisatie tot stand brengt, of die transacties aanvankelijk vastlegt, verwerkt en de administratieve verwerking ervan verzorgt, is er een kleinere mate van interactie tussen de twee organisaties. In deze omstandigheden kan de gebruikersorganisatie niet in staat zijn om binnen de eigen organisatie effectieve interne beheersingsmaatregelen toe te passen voor deze transacties, of kan zij ervoor kiezen dit niet te doen, en kan zij steunen op interne beheersingsmaatregelen bij de serviceorganisatie.

(Zie Par. 9(d))

A8

Het contract of de servicelevel-agreement tussen de gebruikersorganisatie en de serviceorganisatie kan aangelegenheden regelen zoals:

A9

Er bestaat een directe relatie tussen de serviceorganisatie en de gebruikersorganisatie en tussen de serviceorganisatie en de accountant van de serviceorganisatie. Deze relaties creëren niet noodzakelijk een directe relatie tussen de accountant van de gebruikersorganisatie en de accountant van de serviceorganisatie. Wanneer er geen directe relatie tussen de accountant van de gebruikersorganisatie en de accountant van de serviceorganisatie bestaat, verloopt de communicatie tussen de accountant van de gebruikersorganisatie en de accountant van de serviceorganisatie gewoonlijk via de gebruikersorganisatie en de serviceorganisatie. Er kan ook een directe relatie worden gecreëerd tussen een accountant van een gebruikersorganisatie en een accountant van een serviceorganisatie, met inachtneming van de toepasselijke ethische en geheimhoudingsoverwegingen. Een accountant van een gebruikersorganisatie kan bijvoorbeeld gebruikmaken van een accountant van een serviceorganisatie om namens hem werkzaamheden uit te voeren zoals:

A10

Accountants in de publieke sector hebben over het algemeen ruime toegangsrechten die bij wet zijn vastgesteld. Er kunnen zich echter situaties voordoen waarin van dergelijke toegangsrechten geen gebruik kan worden gemaakt, bijvoorbeeld wanneer de serviceorganisatie in een ander rechtsgebied is gevestigd. In dergelijke gevallen kan een accountant in de publieke sector het noodzakelijk vinden om inzicht te verwerven in de wetgeving die van toepassing is in het andere rechtsgebied om na te gaan of passende toegangsrechten kunnen worden verkregen. Een accountant in de publieke sector kan ook toegangsrechten verkrijgen krachtens, of aan de gebruikersorganisatie vragen om deze op te nemen in, een contractuele overeenkomst tussen de gebruikersorganisatie en de serviceorganisatie.

A11

Accountants in de publieke sector kunnen ook gebruikmaken van een andere accountant om toetsingen van interne beheersingsmaatregelen of gegevensgerichte controles te laten uitvoeren die betrekking hebben op de naleving van wet- en regelgeving of andere van kracht zijnde voorschriften.

(Zie Par. 10)

A12

De gebruikersorganisatie kan interne beheersingsmaatregelen voor diensten van de serviceorganisatie vaststellen die door de accountant van de gebruikersorganisatie kunnen worden getoetst, zodat deze kan concluderen dat de interne beheersingsmaatregelen van de gebruikersorganisatie effectief werken voor sommige of alle daarmee verband houdende beweringen, ongeacht de bij de serviceorganisatie bestaande interne beheersingsmaatregelen. Wanneer een gebruikersorganisatie bijvoorbeeld gebruikmaakt van een serviceorganisatie om haar loontransacties te verwerken, kan zij interne beheersingsmaatregelen met betrekking tot de verzending en ontvangst van looninformatie vaststellen die afwijkingen van materieel belang kunnen voorkomen of detecteren. Onder deze interne beheersingsmaatregelen vallen:

A13

In deze situatie kan de accountant van de gebruikersorganisatie toetsingen van de interne beheersingsmaatregelen van de gebruikersorganisatie met betrekking tot de loonadministratie verrichten zodat hij kan concluderen dat de interne beheersingsmaatregelen van de gebruikersorganisatie effectief werken voor de beweringen die betrekking hebben op de loontransacties.

A14

Zoals uiteengezet in Standaard 315324Standaard 315, paragraaf 30., kan de accountant van de gebruikersorganisatie bij sommige risico’s van oordeel zijn dat het niet mogelijk of praktisch uitvoerbaar is om voldoende en geschikte controle-informatie te verkrijgen door middel van gegevensgerichte controles alleen. Dergelijke risico’s kunnen verband houden met de onnauwkeurige en onvolledige vastlegging van routinematige en significante transactiestromen of rekeningsaldi, waarvan de kenmerken vaak een hoge mate van geautomatiseerde gegevensverwerking met weinig of geen handmatige interventie mogelijk maken. Er kan met name sprake zijn van dergelijke geautomatiseerde verwerking wanneer de gebruikersorganisatie gebruikmaakt van serviceorganisaties. In dergelijke gevallen zijn de interne beheersingsmaatregelen van de gebruikersorganisatie die op dergelijke risico's betrekking hebben, relevant voor de controle en wordt van de accountant van de gebruikersorganisatie vereist dat hij inzicht verwerft in en een beoordeling verricht van dergelijke interne beheersingsmaatregelen overeenkomstig de paragrafen 9 en 10 van deze Standaard.

(Zie Par. 12)

A15

De beslissing van de accountant van de gebruikersorganisatie over het controlemiddel dat hij, afzonderlijk of in combinatie, in het geval van paragraaf 12 zal inzetten om de noodzakelijke informatie te verkrijgen op basis waarvan hij de risico’s op een afwijking van materieel belang kan identificeren en inschatten die betrekking heeft op het feit dat de gebruikersorganisatie gebruikmaakt van een serviceorganisatie, kan worden beïnvloed door aangelegenheden zoals:

A16

Een serviceorganisatie kan een accountant de opdracht geven een rapport op te stellen over de beschrijving en de opzet van haar interne beheersingsmaatregelen (type 1-rapport) of over de beschrijving en de opzet alsook de effectieve werking van haar interne beheersingsmaatregelen (type 2-rapport). Type 1- of type 2-rapporten kunnen worden uitgebracht overeenkomstig Standaard 3402325Standaard 3402, Assurance-rapporten betreffende interne beheersingsmaatregelen bij een serviceorganisatie. dan wel overeenkomstig standaarden die zijn vastgesteld door een daartoe bevoegde of erkende organisatie (die een andere naam kan gebruiken, zoals type A- of type B-rapporten).

A17

Of er een type 1-of type 2-rapport beschikbaar is, zal over het algemeen afhangen van de vraag of het contract tussen een serviceorganisatie en een gebruikersorganisatie voorziet in de opstelling van een dergelijk rapport door de serviceorganisatie. Een serviceorganisatie kan er, om praktische redenen, ook voor kiezen een type 1- of type-2 rapport beschikbaar te stellen aan haar gebruikersorganisaties. Het is echter mogelijk dat in sommige gevallen geen type 1- of type 2-rapport beschikbaar is voor gebruikersorganisaties.

A18

In sommige omstandigheden kan een gebruikersorganisatie een of meer significante bedrijfsonderdelen of bedrijfsfuncties, zoals haar volledige fiscale planning- en compliancefuncties, haar financiële beheer en administratie of de controllerfunctie, aan een of meer serviceorganisaties uitbesteden. Omdat er in deze omstandigheden mogelijk geen rapport over de interne beheersingsmaatregelen bij de serviceorganisatie beschikbaar is, kan de meest effectieve methode voor de accountant van de gebruikersorganisatie om inzicht te verwerven in de interne beheersingsmaatregelen bij de serviceorganisatie, erin bestaan de serviceorganisatie te bezoeken, omdat het aannemelijk is dat er een directe interactie bestaat tussen het management van de gebruikersorganisatie en dat van de serviceorganisatie.

A19

Er kan van een andere accountant gebruik worden gemaakt om werkzaamheden te laten verrichten die de noodzakelijke informatie over de relevante interne beheersingsmaatregelen bij de serviceorganisatie verschaffen die betrekking hebben op de diensten geleverd aan de gebruikersorganisatie. Wanneer een type 1-of type 2-rapport is uitgebracht, kan de accountant van de gebruikersorganisatie gebruikmaken van de accountant van de serviceorganisatie om deze werkzaamheden uit te voeren omdat de accountant van de serviceorganisatie een bestaande relatie heeft met de serviceorganisatie. Indien de accountant van de gebruikersorganisatie zich op de werkzaamheden van een andere accountant baseert, kunnen de leidraden in Standaard 220326Standaard 220, Kwaliteitsmanagement voor een controle van financiële overzichten nuttig zijn, aangezien deze verband houden met het vaststellen van de competentie en capaciteiten van de andere accountant (met inbegrip van de onafhankelijkheid van die accountant) en de aansturing van en het toezicht op de andere accountant, aard, omvang en timing van de werkzaamheden toegewezen aan de andere accountant en het evalueren van het voldoende en geschikt zijn van de verkregen controle-informatie.

A20

Een gebruikersorganisatie kan gebruikmaken van een serviceorganisatie, die op haar beurt gebruikmaakt van een subserviceorganisatie voor het verlenen van sommige aan de gebruikersorganisatie verleende diensten die deel uitmaken van het voor de financiële verslaggeving relevante informatiesysteem. De subserviceorganisatie kan een entiteit zijn die losstaat van dan wel verbonden is met de serviceorganisatie. Een accountant van de gebruikersorganisatie kan het noodzakelijk vinden de interne beheersingsmaatregelen van de subserviceorganisatie te beschouwen. In omstandigheden waarbij er van een of meer subserviceorganisaties gebruik wordt gemaakt, wordt de interactie tussen de activiteiten van de gebruikersorganisatie en die van de serviceorganisatie uitgebreid tot de interactie tussen de gebruikersorganisatie, de serviceorganisatie en de subserviceorganisaties. De mate van interactie alsmede de aard en materialiteit van de door de serviceorganisatie en de subserviceorganisaties verwerkte transacties zijn de belangrijkste factoren die de accountant van de gebruikersorganisatie moet overwegen om de significantie van de interne beheersingsmaatregelen van de serviceorganisatie en de subserviceorganisatie voor de interne beheersingsmaatregelen van de gebruikersorganisatie te bepalen.

(Zie Par. en 14)

A21

De accountant van de gebruikersorganisatie kan verzoeken om inlichtingen over de accountant van de serviceorganisatie bij diens beroepsorganisatie of bij andere beroepsbeoefenaren en verzoeken om inlichtingen over de vraag of de accountant van de serviceorganisatie aan toezicht onderworpen is. De accountant van de serviceorganisatie kan werkzaam zijn in een rechtsgebied waar andere standaarden worden gevolgd met betrekking tot rapportages over interne beheersingsmaatregelen bij een serviceorganisatie, en de accountant van de gebruikersorganisatie kan informatie over de door de accountant van de serviceorganisatie gebruikte standaarden verkrijgen bij de organisatie die deze standaarden vaststelt.

A22

Een type 1- of type 2-rapport kan, samen met informatie over de gebruikersorganisatie, de accountant van de gebruikersorganisatie inzicht helpen verwerven in:

Een type 1- of type 2-rapport kan de accountant van de gebruikersorganisatie helpen voldoende inzicht te verwerven om de risico’s op een afwijking van materieel belang te identificeren en in te schatten. Een type 1-rapport verstrekt echter geen controle-informatie over de effectieve werking van de interne beheersingsmaatregelen.

A23

Een type 1- of type 2-rapport dat van een datum is dan wel voor een periode geldt die buiten de verslagperiode van een gebruikersorganisatie valt, kan de accountant van de gebruikersorganisatie een voorlopig inzicht helpen verwerven in de interne beheersingsmaatregelen die geïmplementeerd zijn bij de serviceorganisatie, indien het rapport aangevuld is met aanvullende actuele informatie uit andere bronnen. Indien de beschrijving van interne beheersingsmaatregelen van de serviceorganisatie van een datum is dan wel voor een periode geldt die voorafgaat aan het begin van de verslagperiode waarop de controle betrekking heeft, kan de accountant van de gebruikersorganisatie werkzaamheden uitvoeren om de informatie in een type 1- of type 2-rapport te actualiseren, zoals:

(Zie Par. 15)

A24

Of het gebruikmaken van een serviceorganisatie het risico op afwijkingen van materieel belang bij een gebruikersorganisatie vergroot, is afhankelijk van de aard van de verleende diensten en de interne beheersingsmaatregelen voor deze diensten; in sommige gevallen kan het gebruikmaken van een serviceorganisatie het risico op een afwijking van materieel belang bij een gebruikersorganisatie verkleinen, met name wanneer de gebruikersorganisatie zelf niet de noodzakelijke deskundigheid bezit om bepaalde activiteiten te verrichten, zoals het tot stand brengen, verwerken en vastleggen van transacties, of niet over de adequate middelen beschikt (bijvoorbeeld een IT-systeem).

A25

Wanneer de serviceorganisatie van materieel belang zijnde elementen van de administratieve vastleggingen van de gebruikersorganisatie beheert, is het mogelijk dat de accountant van de gebruikersorganisatie directe toegang tot die vastleggingen moet hebben om voldoende en geschikte controle-informatie te kunnen verkrijgen met betrekking tot de werking van de interne beheersingsmaatregelen voor de vastleggingen of om de daarin vastgelegde transacties en saldi te kunnen onderbouwen, of beide. Een dergelijke toegang kan mede inhouden dat een fysieke inspectie van de vastleggingen wordt verricht in de kantoren van de serviceorganisatie of dat de elektronisch beheerde vastleggingen worden onderzocht vanuit de gebruikersorganisatie of vanuit een andere locatie, of beide. Wanneer de directe toegang langs elektronische weg is verkregen, kan de accountant van de gebruikersorganisatie controle-informatie verkrijgen over de geschiktheid van de door de serviceorganisatie toegepaste interne beheersingsmaatregelen met betrekking tot de volledigheid en de integriteit van de gegevens van de gebruikersorganisatie waarvoor de serviceorganisatie verantwoordelijk is.

A26

Bij het bepalen van de aard en de omvang van de controle-informatie die moet worden verkregen met betrekking tot de saldi die activa of transacties vertegenwoordigen die door een serviceorganisatie namens de gebruikersorganisatie worden gehouden respectievelijk zijn uitgevoerd, kan de accountant van de gebruikersorganisatie overwegen de volgende werkzaamheden uit te voeren:

A27

Een andere accountant kan werkzaamheden die gegevensgericht van aard zijn, uitvoeren ten behoeve van een accountant van een gebruikersorganisatie. Een dergelijke opdracht kan inhouden dat die andere accountant werkzaamheden uitvoert die door de gebruikersorganisatie en haar accountant en door de serviceorganisatie en haar accountant zijn overeengekomen. De bevindingen van de door de andere accountant uitgevoerde werkzaamheden worden door de accountant van de gebruikersorganisatie beoordeeld om te bepalen of zij voldoende en geschikte controle-informatie vormen. Voorts kunnen er door de overheid of door contractuele overeenkomsten vereisten worden opgelegd waarbij een accountant van de serviceorganisatie aangewezen werkzaamheden uitvoert die gegevensgericht van aard zijn. De resultaten van deze vereiste werkzaamheden met betrekking tot saldi en transacties die door de serviceorganisatie zijn verwerkt, kunnen door accountants van gebruikersorganisaties worden gebruikt als deel van de noodzakelijke informatie ter onderbouwing van hun controleoordeel. In deze omstandigheden kan het zinvol zijn dat de accountant van de gebruikersorganisatie en de accountant van de serviceorganisatie, vóór het uitvoeren van de werkzaamheden, afspraken maken over de controledocumentatie of de toegang tot de controledocumentatie die aan de accountant van de gebruikersorganisatie zal worden verstrekt.

A28

In bepaalde omstandigheden, met name wanneer een gebruikersorganisatie haar financiële functie gedeeltelijk of volledig aan een serviceorganisatie uitbesteedt, kan de accountant van de gebruikersorganisatie geconfronteerd worden met een situatie waarbij een significant gedeelte van de controle-informatie bij de serviceorganisatie aanwezig is. Het is mogelijk dat de accountant van de gebruikersorganisatie of een andere accountant namens hem gegevensgerichte controles bij de serviceorganisatie moet uitvoeren. Een accountant van de serviceorganisatie kan een type 1- of type 2-rapport uitbrengen en daarnaast ook gegevensgerichte controles uitvoeren namens de accountant van de gebruikersorganisatie. De betrokkenheid van een andere accountant doet niets af aan de verantwoordelijkheid van de accountant van de gebruikersorganisatie om voldoende en geschikte controle-informatie te verkrijgen dat hem een redelijke basis verschaft om zijn oordeel te ondersteunen. Wanneer de accountant van de gebruikersorganisatie overweegt of er voldoende en geschikte controle-informatie is verkregen en of hij verdere gegevensgerichte controles dient uit te voeren, houdt hij derhalve rekening met zijn eigen betrokkenheid bij, of controle-informatie voor, de aansturing van, het toezicht op en de uitvoering van door een andere accountant uitgevoerde gegevensgerichte controles.

(Zie Par. 16)

A29

Krachtens Standaard 330327Standaard 330, paragraaf 8. wordt van de accountant van de gebruikersorganisatie vereist om in bepaalde omstandigheden toetsingen van de interne beheersingsmaatregelen op te zetten en uit te voeren om voldoende en geschikte controle-informatie te verkrijgen over de effectieve werking van interne beheersingsmaatregelen. In de context van een serviceorganisatie is dit vereiste van toepassing wanneer:

A30

Indien er geen type 2-rapport beschikbaar is, kan een accountant van een gebruikersorganisatie via die organisatie contact opnemen met de serviceorganisatie met het verzoek dat de serviceorganisatie een accountant de opdracht geeft om een type 2-rapport af te geven dat toetsingen van de effectieve werking van de interne beheersingsmaatregelen omvat, of kan de accountant van de gebruikersorganisatie gebruikmaken van een andere accountant om werkzaamheden bij de serviceorganisatie te laten uitvoeren die de effectieve werking van die interne beheersingsmaatregelen toetsen. Een accountant van een gebruikersorganisatie kan de serviceorganisatie ook bezoeken en toetsingen van interne beheersingsmaatregelen verrichten indien de serviceorganisatie daarmee instemt. De accountant van de gebruikersorganisatie baseert zijn risico-inschattingen op de combinatie van de controle-informatie die wordt verkregen uit de werkzaamheden van een andere accountant en uit zijn eigen werkzaamheden.

(Zie Par. 17)

A31

Een type 2-rapport kan bedoeld zijn om aan de behoeften van accountants van verschillende gebruikersorganisaties te voldoen; daarom is het mogelijk dat toetsingen van interne beheersingsmaatregelen en resultaten die beschreven zijn in het rapport van de accountant van de serviceorganisatie, niet relevant zijn voor beweringen die significant zijn in de financiële overzichten van de gebruikersorganisatie. De relevante toetsingen van interne beheersingsmaatregelen en resultaten worden geëvalueerd om te bepalen of het rapport van de accountant van de serviceorganisatie voldoende en geschikte controle-informatie verschaft over de effectiviteit van de interne beheersingsmaatregelen om de risico-inschatting van de accountant van de gebruikersorganisatie te ondersteunen. Daarbij kan de accountant van de gebruikersorganisatie de volgende factoren in overweging nemen:

A32

Voor bepaalde beweringen geldt dat des te korter de periode waarop een specifieke toetsing betrekking heeft en des te langer de tijd die is verstreken sinds het verrichten van de toetsing, des te minder controle-informatie de toetsing zal verstrekken. Door de periode waarop het type 2-rapport betrekking heeft, te vergelijken met de financiële verslaggevingsperiode van de gebruikersorganisatie, kan de accountant van de gebruikersorganisatie concluderen dat het type 2-rapport minder controle-informatie biedt indien er weinig overlap bestaat tussen de periode waarop het type 2-rapport betrekking heeft, en de periode waarvoor de accountant voornemens is op het rapport te steunen. Wanneer dit het geval is, kan een type 2-rapport dat op een eerdere of een latere periode betrekking heeft, aanvullende controle-informatie verstrekken. In andere gevallen kan de accountant van de gebruikersorganisatie bepalen dat het noodzakelijk is om toetsingen van interne beheersingsmaatregelen bij de serviceorganisatie te verrichten, dan wel door een andere accountant te laten verrichten, om voldoende en geschikte controle-informatie over de effectieve werking van die interne beheersingsmaatregelen te verkrijgen.

A33

Het kan ook noodzakelijk zijn dat de accountant van de gebruikersorganisatie aanvullende controle-informatie verkrijgt over significante wijzigingen van de interne beheersingsmaatregelen bij de serviceorganisatie buiten de periode waarop het type 2-rapport betrekking heeft, of dat hij uit te voeren aanvullende controlewerkzaamheden bepaalt. Relevante factoren bij het bepalen welke aanvullende controle-informatie moet worden verkregen over de interne beheersingsmaatregelen bij de serviceorganisatie die werden toegepast buiten de periode waarop het rapport van de accountant van de serviceorganisatie betrekking heeft, zijn onder meer:

A34

Aanvullende controle-informatie kan bijvoorbeeld worden verkregen door de toetsingen van de interne beheersingsmaatregelen uit te breiden tot de resterende periode of door het proces van de gebruikersorganisatie om het systeem van interne beheersing te monitoren, te toetsen.

A35

Indien de toetsingsperiode van de accountant van de serviceorganisatie volledig buiten de financiële verslaggevingsperiode van de gebruikersorganisatie valt, zal de accountant van de gebruikersorganisatie niet op dergelijke toetsingen kunnen steunen om te concluderen dat de interne beheersingsmaatregelen bij de gebruikersorganisatie effectief werken omdat zij voor de lopende controleperiode geen actuele controle-informatie voor de effectiviteit van de interne beheersingsmaatregelen verstrekken, tenzij er andere werkzaamheden worden uitgevoerd.

A36

In bepaalde omstandigheden kan een door de serviceorganisatie verleende dienst zijn opgezet in de veronderstelling dat bepaalde interne beheersingsmaatregelen door de gebruikersorganisatie zullen worden geïmplementeerd. De dienst kan bijvoorbeeld zijn opgezet in de veronderstelling dat de gebruikersorganisatie interne beheersingsmaatregelen zal hebben voor het autoriseren van transacties voordat zij voor verwerking naar de serviceorganisatie worden gestuurd. In een dergelijke situatie kan de beschrijving van de interne beheersingsmaatregelen bij de serviceorganisatie een beschrijving van die aanvullende interne beheersingsmaatregelen bij de gebruikersorganisatie omvatten. De accountant van de gebruikersorganisatie overweegt of de aanvullende interne beheersingsmaatregelen bij de gebruikersorganisatie relevant zijn voor de aan de gebruikersorganisatie verleende dienst.

A37

Indien de accountant van de gebruikersorganisatie van mening is dat het rapport van de accountant van de serviceorganisatie geen voldoende en geschikte controle-informatie verstrekt, bijvoorbeeld indien een rapport van de accountant van de serviceorganisatie geen beschrijving van de door hem verrichte toetsingen van de interne beheersingsmaatregelen en de resultaten daarvan bevat, dan kan de accountant van de gebruikersorganisatie het inzicht in de werkzaamheden en de conclusies van de accountant van de serviceorganisatie aanvullen door via de gebruikersorganisatie contact op te nemen met de serviceorganisatie met het verzoek om een gesprek met de accountant van de serviceorganisatie over de reikwijdte en de resultaten van diens werkzaamheden. De accountant van de gebruikersorganisatie kan ook, indien hij van mening is dat dit noodzakelijk is, via de gebruikersorganisatie contact opnemen met de serviceorganisatie met het verzoek dat de accountant van de serviceorganisatie werkzaamheden uitvoert bij de serviceorganisatie. Een andere mogelijkheid bestaat erin dat de accountant van de gebruikersorganisatie deze werkzaamheden zelf uitvoert, of door een andere accountant namens hem laat uitvoeren.

A38

Het type 2-rapport van de accountant van de serviceorganisatie bevat de resultaten van de toetsingen, met inbegrip van uitzonderingen en andere informatie die invloed zou kunnen hebben op de conclusies van de accountant van de gebruikersorganisatie. Wanneer de de accountant van de serviceorganisatie in zijn type-2 rapport melding heeft gemaakt van uitzonderingen of een aangepast oordeel heeft opgenomen, betekent dit niet automatisch dat dit type 2-rapport niet nuttig is voor de controle van de financiële overzichten van de gebruikersorganisatie wanneer de risico’s op een afwijking van materieel belang worden ingeschat. De accountant van de gebruikersorganisatie neemt de uitzonderingen en de aangelegenheden die tot een aangepast oordeel in het type 2-rapport van de accountant van de serviceorganisatie hebben geleid, in overweging wanneer hij de toetsingen van de interne beheersingsmaatregelen door de accountant van de serviceorganisatie inschat. Wanneer hij de uitzonderingen en aangelegenheden die tot een aangepast oordeel hebben geleid, in overweging neemt, kan de accountant van de gebruikersorganisatie die aangelegenheden met de accountant van de serviceorganisatie bespreken. Dergelijke communicatie kan slechts plaatsvinden indien de gebruikersorganisatie contact opneemt met de serviceorganisatie en de serviceorganisatie toestemming voor de communicatie verleent.

A39

Van de accountant van de gebruikersorganisatie wordt vereist dat hij significante tekortkomingen die hij tijdens de controle heeft vastgesteld, tijdig schriftelijk aan het management en de met governance belaste personen meedeelt.328Standaard 265, Meedelen van tekortkomingen in de interne beheersing aan de met governance belaste personen en het management, paragraaf 9 en 10. Van de accountant van de gebruikersorganisatie wordt ook vereist dat hij andere tekortkomingen in de interne beheersing, die hij tijdens de controle heeft vastgesteld en die op grond van zijn professionele oordeelsvorming voldoende belangrijk zijn om de aandacht van het management te verdienen, tijdig aan het management op het passende niveau meedeelt.329Standaard 265, paragraaf 10. Aangelegenheden die de accountant van de gebruikersorganisatie tijdens de controle kan vaststellen en aan het management en de met governance belaste personen kan meedelen, kunnen onder meer betrekking hebben op:

(Zie Par. 18)

A40

Indien een serviceorganisatie gebruikmaakt van een subserviceorganisatie, kan de accountant van de serviceorganisatie in zijn rapport de relevante interne beheersingsdoelstellingen van de subserviceorganisatie en de daarmee verband houdende interne beheersingsmaatregelen opnemen in de beschrijving van het systeem van de serviceorganisatie en in de reikwijdte van zijn opdracht dan wel deze uitsluiten. Deze twee rapportagemethoden staan bekend als de inclusive methode en de carve-out methode. Indien het type 1- of type 2-rapport de interne beheersingsmaatregelen bij een subserviceorganisatie uitsluit en de door de subserviceorganisatie verleende diensten relevant zijn voor de controle van de financiële overzichten van de gebruikersorganisatie, wordt van de accountant van de gebruikersorganisatie vereist dat hij de vereisten van deze Standaard op de subserviceorganisatie toepast. De aard en de omvang van de door de accountant van de gebruikersorganisatie uit te voeren werkzaamheden met betrekking tot de door een subserviceorganisatie verleende diensten zijn afhankelijk van de aard en de significantie van die diensten voor de gebruikersorganisatie en de relevantie van die diensten voor de controle. De toepassing van het vereiste van paragraaf 9 kan de accountant van de gebruikersorganisatie het effect van de subserviceorganisatie en van de aard en de omvang van de uit te voeren werkzaamheden helpen bepalen.

(Zie Par. 19)

A41

Op grond van de contractuele voorwaarden met haar gebruikersorganisaties kan een serviceorganisatie ertoe gehouden zijn om de betrokken gebruikersorganisaties in kennis te stellen van alle gevallen van fraude, niet-naleving van wet- en regelgeving of ongecorrigeerde afwijkingen die aan haar management of werknemers zijn toe te schrijven. Overeenkomstig paragraaf 19 moet de accountant van de gebruikersorganisatie bij het management van die organisatie navragen of de serviceorganisatie dergelijke aangelegenheden heeft gerapporteerd en evalueert hij of eventuele door de serviceorganisatie gerapporteerde aangelegenheden de aard, timing en omvang van zijn verdere controlewerkzaamheden beïnvloeden. In bepaalde omstandigheden kan de accountant van de gebruikersorganisatie aanvullende informatie nodig hebben om deze evaluatie te verrichten en hij kan de gebruikersorganisatie vragen contact op te nemen met de serviceorganisatie om de noodzakelijke informatie te verkrijgen.

(Zie Par. 20)

A42

Wanneer een accountant van een gebruikersorganisatie niet in staat is voldoende en geschikte controle-informatie te verkrijgen over de door de serviceorganisatie verleende diensten die relevant zijn voor de controle van de financiële overzichten van de gebruikersorganisatie, vormt dit een beperking voor de reikwijdte van de controle. Dit kan het geval zijn wanneer:

Of de accountant van de gebruikersorganisatie een oordeel met beperking tot uitdrukking brengt dan wel een oordeelonthouding formuleert, is afhankelijk van zijn conclusie of de mogelijke effecten op de financiële overzichten van materieel belang of van diepgaande invloed zijn.

(Zie Par. 21 en 22)

A43

In sommige gevallen kan van de accountant van de gebruikersorganisatie uit hoofde van wet- of regelgeving een verwijzing naar de werkzaamheden van een accountant van een serviceorganisatie vereist worden in zijn controleverklaring op te nemen, bijvoorbeeld omwille van de transparantie in de publieke sector. In dergelijke omstandigheden kan hij voor die verwijzing de voorafgaande toestemming van de accountant van de serviceorganisatie nodig hebben.

A44

Wanneer een gebruikersorganisatie gebruikmaakt van een serviceorganisatie, doet dit niets af aan de verantwoordelijkheid die de accountant van de gebruikersorganisatie uit hoofde van de Standaarden heeft om voldoende en geschikte controle-informatie te verkrijgen zodat hij over een redelijke basis beschikt om zijn oordeel te ondersteunen. Om die reden verwijst de accountant van de gebruikersorganisatie niet naar de rapportage van de accountant van de serviceorganisatie als basis, al dan niet gedeeltelijk, voor zijn oordeel over de financiële overzichten van de gebruikersorganisatie. Wanneer de accountant van de gebruikersorganisatie echter een aangepast oordeel tot uitdrukking brengt op grond van een aangepast oordeel in een rapport van de accountant van de serviceorganisatie, vormt dit geen beletsel voor hem om te verwijzen naar het rapport van de accountant van de serviceorganisatie wanneer die verwijzing zijn aangepaste oordeel mede motiveert. In dergelijke omstandigheden kan hij voor die verwijzing de voorafgaande toestemming van de accountant van de serviceorganisatie nodig hebben.

450. Evaluatie van tijdens de controle geïdentificeerde afwijkingen

1

Deze Standaard behandelt de verantwoordelijkheid van de accountant met betrekking tot de evaluatie van de invloed van geïdentificeerde afwijkingen op de controle en van eventuele niet-gecorrigeerde afwijkingen op de financiële overzichten. Standaard 700 behandelt de verantwoordelijkheid van de accountant, wanneer hij zich een oordeel vormt over de financiële overzichten, om tot de conclusie te komen of er een redelijke mate van zekerheid is verkregen over de vraag of de financiële overzichten als geheel geen afwijking van materieel belang bevatten. De accountant houdt in de conclusie die hij op grond van Standaard 700 moet trekken, rekening met zijn evaluatie van eventuele niet-gecorrigeerde afwijkingen in de financiële overzichten overeenkomstig deze Standaard.330Standaard 700, Het vormen van een oordeel en het rapporteren over financiële overzichten, paragraaf 10 en 11.Standaard 320331Standaard 320, Materialiteit bij de planning en uitvoering van een controle. behandelt de verantwoordelijkheid van de accountant met betrekking tot het op passende wijze toepassen van het begrip materialiteit bij de planning en de uitvoering van een controle van financiële overzichten.

2

Voor de ingangsdatum wordt verwezen naar de slotbepalingen.

3

De doelstelling van de accountant is het evalueren van:

4

Voor de toepassing van de Standaarden hebben onderstaande termen de volgende betekenis:

5

De accountant dient tijdens de controle geïdentificeerde afwijkingen te accumuleren, met uitzondering van afwijkingen die duidelijk triviaal zijn. (Zie Par. A2, A3, A4, A5 en A6)

6

De accountant dient te bepalen of de algehele controleaanpak en het controleprogramma moeten worden herzien indien:

7

Indien het management op verzoek van de accountant een transactiestroom, een rekeningsaldo of een in de financiële overzichten opgenomen toelichting heeft onderzocht en gedetecteerde afwijkingen heeft gecorrigeerd, dient de accountant aanvullende controlewerkzaamheden te verrichten om te bepalen of er nog afwijkingen resteren. (Zie Par. A9)

8

De accountant dient, tenzij dit op grond van wet- of regelgeving verboden is, alle afwijkingen die tijdens de controle zijn geaccumuleerd, tijdig aan het management op het passende niveau mee te delen.332Standaard 260, Communicatie met de met governance belaste personen, paragraaf 7. De accountant dient het management te verzoeken deze afwijkingen te corrigeren. (Zie Par. A10, A11 en A12)

9

Indien het management weigert om sommige of alle door de accountant meegedeelde afwijkingen te corrigeren, dient de accountant inzicht te verwerven in de redenen van het management om de correcties niet uit voeren, en dient hij met dat inzicht rekening te houden bij het evalueren of de financiële overzichten als geheel geen afwijking van materieel belang bevatten. (Zie Par. A13)

10

Voordat hij de invloed van niet-gecorrigeerde afwijkingen evalueert, dient de accountant de overeenkomstig Standaard 320 bepaalde materialiteit opnieuw te beoordelen om zich ervan te vergewissen dat deze passend blijft in de context van de feitelijke financiële resultaten van de entiteit. (Zie Par. A14 en A15)

11

De accountant dient te bepalen of niet-gecorrigeerde afwijkingen, afzonderlijk of gezamenlijk, van materieel belang zijn. Hierbij dient hij het volgende te overwegen:

12

De accountant dient niet-gecorrigeerde afwijkingen alsmede de invloed die deze, afzonderlijk of gezamenlijk, op zijn oordeel in de controleverklaring kunnen hebben,aan de met governance belaste personen mee te delen, tenzij dit op grond van wet- of regelgeving333Zie voetnoot bij paragraaf 8. verboden is. In deze mededeling dient de accountant niet-gecorrigeerde afwijkingen die van materieel belang zijn, afzonderlijk te vermelden. De accountant dient te verzoeken om de niet-gecorrigeerde afwijkingen te corrigeren. (Zie Par. A26, A27 en A28)

13

De accountant dient ook de invloed van niet-gecorrigeerde afwijkingen die verband houden met voorgaande verslagperioden, op de relevante transactiestromen, rekeningsaldi of toelichtingen en de financiële overzichten als geheel aan de met governance belaste personen mee te delen.

14

De accountant dient bij het management en, in voorkomend geval, bij de met governance belaste personen om een schriftelijke bevestiging te verzoeken dat zij van oordeel zijn dat de invloed van niet-gecorrigeerde afwijkingen, afzonderlijk of gezamenlijk, niet van materieel belang is voor de financiële overzichten als geheel. Een overzicht van deze elementen dient te worden opgenomen in of toegevoegd aan de schriftelijke bevestiging. (Zie Par. A29)

15

De accountant dient in de controledocumentatie op te nemen:334Standaard 230, Controledocumentatie, paragraaf 8, 9, 10, 11 en A6. (Zie Par. A30)

(Zie Par. 4(a))

A1

Afwijkingen kunnen het gevolg zijn van:

Voorbeelden van afwijkingen die het gevolg zijn van fraude, worden gegeven in Standaard 240.337Standaard 240, Verantwoordelijkheden van de accountant met betrekking tot fraude in het kader van een controle van financiële overzichten, paragraaf A1, A2, A3, A4, A5 en A6.

(Zie Par. 5)

A2

Paragraaf 5 van deze Standaard vereist van de accountant om afwijkingen die tijdens de controle zijn geïdentificeerd, te accumuleren, met uitzondering van die welke duidelijk triviaal zijn. ‘Duidelijk triviaal’ is niet een andere wijze om ‘niet van materieel belang’ tot uitdrukking te brengen. Duidelijk triviale afwijkingen zijn van een geheel andere (kleinere) orde van grootte of van een heel andere aard dan de afwijkingen die als van materieel belang bepaald zouden worden en zijn afwijkingen die duidelijk onbeduidend zijn, ongeacht of ze afzonderlijk dan wel gezamenlijk in overweging worden genomen, en ongeacht of ze naar omvang, aard of omstandigheden worden beoordeeld. Wanneer er enige onzekerheid bestaat over de vraag of een of meerdere elementen duidelijk triviaal zijn, wordt de afwijking niet als duidelijk triviaal beschouwd.

A3

De accountant kan een bedrag vaststellen waaronder afwijkingen van bedragen in de individuele overzichten duidelijk triviaal zijn en niet hoeven te worden geaccumuleerd omdat hij verwacht dat het accumuleren van zulke bedragen duidelijk geen invloed van materieel belang zal hebben op de financiële overzichten. Echter, afwijkingen van de bedragen die boven het vastgestelde bedrag zijn, worden geaccumuleerd zoals vereist in paragraaf 5 van deze Standaard. Bovendien kunnen afwijkingen met betrekking tot bedragen niet duidelijk triviaal zijn wanneer ze beoordeeld worden op de criteria van aard of omstandigheden, en zo niet, worden geaccumuleerd zoals vereist in paragraaf 5 van deze Standaard.

A4

Afwijkingen in toelichtingen kunnen ook duidelijk triviaal zijn, ongeacht of ze individueel of gezamenlijk in overweging worden genomen en ongeacht of ze naar omvang, aard of omstandigheden worden beoordeeld. Afwijkingen in toelichtingen die niet duidelijk triviaal zijn, worden ook geaccumuleerd om de accountant te helpen bij het evalueren van het effect van dergelijke afwijkingen op de relevante toelichtingen en de financiële overzichten als geheel. Paragraaf A17 van deze Standaard geeft voorbeelden van waar de afwijkingen in kwalitatieve toelichtingen van materieel belang kunnen zijn.

A5

Afwijkingen door aard of omstandigheden, geaccumuleerd zoals beschreven in de paragrafen A3–A4, kunnen niet bij elkaar worden opgeteld zoals dat mogelijk is in het geval van afwijkingen van bedragen. Toch is van de accountant vereist op grond van paragraaf 11 van deze Standaard die afwijkingen afzonderlijk en gezamenlijk te evalueren (dat wil zeggen, samen met andere afwijkingen) om te bepalen of ze van materieel belang zijn.

A6

Als hulp voor de accountant bij het evalueren van de invloed van tijdens de controle geaccumuleerde afwijkingen en bij het meedelen van afwijkingen aan het management en aan de met governance belaste personen kan het zinvol zijn een onderscheid te maken tussen feitelijke afwijkingen, inschattingsafwijkingen en geprojecteerde afwijkingen:

(Zie Par. 6 en 7)

A7

Een afwijking is niet noodzakelijk een op zichzelf staande gebeurtenis. Wanneer de accountant bijvoorbeeld vaststelt dat een afwijking het gevolg was van het niet meer functioneren van de interne beheersing of van niet passende veronderstellingen of waarderingsmethoden die breed door de entiteit zijn toegepast, kan dit mogelijkerwijs op het bestaan van andere afwijkingen wijzen.

A8

Indien de tijdens de controle geaccumuleerde afwijkingen gezamenlijk de overeenkomstig Standaard 320 bepaalde materialiteit benaderen, kan er sprake zijn van een groter dan aanvaardbaar laag risiconiveau dat mogelijkerwijs niet-gedetecteerde afwijkingen, indien samengevoegd bij alle tijdens de controle geaccumuleerde afwijkingen, de materialiteit overschrijden. Het steekproefrisico en het uitvoeringsrisico339Standaard 530, paragraaf 5(c) en (d). kunnen tot gevolg hebben dat er niet-gedetecteerde afwijkingen voorkomen.

A9

De accountant kan het management verzoeken om een transactiestroom, rekeningsaldo of in de financiële overzichten opgenomen toelichting te onderzoeken opdat het inzicht zou verwerven in de oorzaak van een door hem geïdentificeerde afwijking, om werkzaamheden te verrichten om het bedrag van de feitelijke afwijking in de transactiestroom, het rekeningsaldo of de in de financiële overzichten opgenomen toelichting te bepalen, alsmede om passende aanpassingen in de financiële overzichten aan te brengen. Een dergelijk verzoek kan bijvoorbeeld worden gedaan op basis van een door de accountant verrichte projectie van in een controlesteekproef geïdentificeerde afwijkingen op de gehele populatie waaruit de steekproef werd getrokken.

(Zie Par. 8 en 9)

A10