Samenvatting Artikel Blokdijk – Tests of controls in the audit risk model: effective? Efficient?
Het artikel gaat in op control testing. Aanleiding is dat uit andere onderzoeken niet is gebleken wat
de invloed van het audit risk model (ARM) op control testing is. Blokdijk gaat wel in op de invloed van
het ARM op testing of control.
ARM = IR x CR x DR (oude model wordt genoemd in het artikel!)
Interne controle risico is afhankelijk van de interne beheersing bij de organisatie. Auditors hebben
hier geen invloed op. Er moeten gegevensgerichte werkzaamheden worden verricht om het detectie
risico zo laag mogelijk te krijgen.
Blokdijk geeft aan dat alleen op de IB gesteund kan worden als de test of controls te reperformen
zijn. Redenen waarom de reperformance mogelijkheid niet altijd bestaat:
- De accountant heeft alleen niet altijd genoeg kennis/expertise van de business en de
bedrijfsactiviteiten van het bedrijf waardoor de accountant niet in staat is volledig zelfstandig
een conclusie te kunnen trekken over bepaalde controles door het gebrek aan die specifieke
kennis.
- Aanwezigheid; de accountant kan niet altijd aanwezig zijn om vast te stellen dat alles correct
verwerkt wordt in de administratie.
- Beperking van de toegestane onderzoekmethode; de accountant kan niet alle mogelijke
onderzoeksmethodes gebruiken om te garanderen dat het goed gaat die een overheidsdienst
wel heeft zoals afluisterapparatuur.
Ook al is een AO/IB maatregel niet reperfomable en is het niet bruikbaar voor de accountant, maar je
moet ze wel hebben als bedrijf. Ze zijn onmisbaar.
Relevante systemen
- Change controls; wie kunnen wijzigingen aanbrengen in het systeem
- Excess controls; wie en hoe hebben toegang tot het systeem
- Program controls;
- Hard controls en soft controls
- Users controls; wie hebben mogelijkheden om rapportages te genereren.
Conclusie Blokdijk:
Je kan een control toetsen op opzet en bestaan, maar niet op werking, het internal control risk blijft
hierdoor altijd wel hoog. Testen van controls is niet efficiënt, het levert weinig toegevoegde waarde.
Auditors mogen niet steunen op controls die niet te reperformen zijn. Daarmee geeft hij aan dat test
of controls afgeschaft moet worden als onderdeel van het risk assesment. Hij geeft aan dat er meer
systeem en data georiënteerde werkzaamheden uitgevoerd moeten worden zoals analytical
procedures.
Het artikel gaat in op control testing. Aanleiding is dat uit andere onderzoeken niet is gebleken wat
de invloed van het audit risk model (ARM) op control testing is. Blokdijk gaat wel in op de invloed van
het ARM op testing of control.
ARM = IR x CR x DR (oude model wordt genoemd in het artikel!)
Interne controle risico is afhankelijk van de interne beheersing bij de organisatie. Auditors hebben
hier geen invloed op. Er moeten gegevensgerichte werkzaamheden worden verricht om het detectie
risico zo laag mogelijk te krijgen.
Blokdijk geeft aan dat alleen op de IB gesteund kan worden als de test of controls te reperformen
zijn. Redenen waarom de reperformance mogelijkheid niet altijd bestaat:
- De accountant heeft alleen niet altijd genoeg kennis/expertise van de business en de
bedrijfsactiviteiten van het bedrijf waardoor de accountant niet in staat is volledig zelfstandig
een conclusie te kunnen trekken over bepaalde controles door het gebrek aan die specifieke
kennis.
- Aanwezigheid; de accountant kan niet altijd aanwezig zijn om vast te stellen dat alles correct
verwerkt wordt in de administratie.
- Beperking van de toegestane onderzoekmethode; de accountant kan niet alle mogelijke
onderzoeksmethodes gebruiken om te garanderen dat het goed gaat die een overheidsdienst
wel heeft zoals afluisterapparatuur.
Ook al is een AO/IB maatregel niet reperfomable en is het niet bruikbaar voor de accountant, maar je
moet ze wel hebben als bedrijf. Ze zijn onmisbaar.
Relevante systemen
- Change controls; wie kunnen wijzigingen aanbrengen in het systeem
- Excess controls; wie en hoe hebben toegang tot het systeem
- Program controls;
- Hard controls en soft controls
- Users controls; wie hebben mogelijkheden om rapportages te genereren.
Conclusie Blokdijk:
Je kan een control toetsen op opzet en bestaan, maar niet op werking, het internal control risk blijft
hierdoor altijd wel hoog. Testen van controls is niet efficiënt, het levert weinig toegevoegde waarde.
Auditors mogen niet steunen op controls die niet te reperformen zijn. Daarmee geeft hij aan dat test
of controls afgeschaft moet worden als onderdeel van het risk assesment. Hij geeft aan dat er meer
systeem en data georiënteerde werkzaamheden uitgevoerd moeten worden zoals analytical
procedures.
