De praktijk van Auditing & Assurance
Majoor en Van Kollenburg
Hoofdstuk 4: Beoordeling van de interne beheersing
COSO is de Committee of Sponsoring Organisations. Zij hebben het rapport Internal
control-integrated framework geschreven. In dit rapport wordt interne beheersing
omschreven als: een proces dat wordt geëffectueerd door de directie, het management
en overig personeel en is ontworpen om een redelijke mate van zekerheid te verkrijgen
dat de doelstellingen in drie categorieën worden gehaald. Deze drie categorieën zijn:
- Effectiviteit en efficiency van de bedrijfsactiviteiten
- Betrouwbaarheid van financiële informatie
- Naleving van de van toepassing zijnde wet- en regelgeving
Beveiliging van activa is later als doelstelling toegevoegd.
De risicoanalyse is gericht op alle potentiële fouten die in het jaarverslaggevingtraject
kunnen optreden. Het onderzoek naar de interne beheersing heeft hierbij tot doel vast te
stellen in welke mate potentiële fouten reeds worden opgeheven door maatregelen van
interne beheersing.
In 1992 is het COSO-1 model gepresenteerd. In 2004
is dit raamwerk uitgebreid met Enterprise Risk
Management (ERM) en werd het het COSO-2 model
genoemd (zie hiernaast).
Het rechter vlak laat zien dat ERM op alle niveaus
binnen een organisatie kan worden toegepast.
Het bovenste vlak zijn de vier soorten doelstellingen,
namelijk:
× strategisch: doelstellingen verbonden met de
missie van de organisatie
× operationeel: effectief en efficiënt gebruikt van
middelen.
× rapportering: betrouwbaarheid van financiële rapportages .
× compliance: naleving van wet- en regelgeving.
De voorzijde bevat de acht componenten van het ERM-systeem, namelijk:
- internal environment: dit omvat de volgende elementen: de stijl van leidinggeven,
de toon aan de top inclusief waarden en normen, de risicohouding van het
management, de helderheid van de organisatorische structuur, de verdeling van
taken, bevoegdheden en verantwoordelijkheden in de organisatie, de wijze van
beleidsmatig handelen en hierbinnen de rol van begrotingen en de betrokkenheid
van interne toezichthouders/commissarissen.
- objective setting: het formuleren van doelstellingen in harmonie met de missie
van de organisatie en haar risicohouding als middel van sturing binnen de
organisatie.
- event identification: het identificeren van risico's op basis van interne en externe
factoren.
1
, - risk assessment: het inschatten van de waarschijnlijkheid en impact van risico's.
- risk response: de reactie op risico's in de vorm van hetzij vermijding, acceptatie,
reductie of overdracht van risico's.
- control activities: beheersingsmaatregelen bestaande uit richtlijnen en
procedures die er toe moeten bijdragen dat de gekozen risicobenadering wordt
uitgevoerd.
- information & communication: informatie en communicatie die zodanig zijn
opgezet dat relevante informatie wordt vastgelegd, bewerkt en verspreid, zodat
het personeel zijn taken tijdig en adequaat kan uitvoeren.
- monitoring: monitoring van alle ERM-activiteiten met het oog op de bewaking
van een goede en continue werking van het gehele risicobeheersingssyssteem.
Interne beheersing wordt omschreven als de beheersing die wordt uitgeoefend door of
namens de leiding van de te controleren huishouding. Externe controle strekt zich uit tot
controle ten behoeve van anderen dan de leiding.
De doelstelling van interne beheersing is de effectiviteit en efficiency van de
bedrijfsprocessen, de betrouwbaarheid van de verslaggeving en de naleving van de
wettelijke bepalingen.
Bij het beoordelen van de interne beheersing is sprake van drie stappen:
- Beoordeling opzet: kennisnemen, vastleggen en beoordelen van de opzet van de
interne beheersingsmaatregelen in relatie tot de onderkende risico's.
- Vaststellen bestaan: vaststellen dat de eerder beoordeelde opzet van de interne
beheersingsmaatregelen in werkelijkheid ook blijkt te bestaan.
- Vaststellen effectieve werking: beoordelen of de geselecteerde
beheersingsmaatregelen die relevant worden geacht voor het reduceren van
gesignaleerde risico's voor de financiële verslaggeving van de entiteit ook
effectief blijken te werken.
Ad 1: beoordelen van de opzet van de interne beheersing.
De accountant gaat na of een beheersingsmaatregel, afzonderlijk of samen met andere
beheersingsmaatregelen, een afwijking van materieel belang effectief kan voorkomen, of
deze kan ontdekken en herstellen. Bij het beoordelen wordt een top-down structuur
aangehouden: eerst komen de hoofdzaken aan bod, en vervolgens de meer gedetaillerde
beheersingsmaatregelen.
Hierna wordt het verslaggevingtraject (omgekeerd/backward flow) in kaart gebracht.
Dit ziet er als volgt uit;
Externe jaarrekening
Correcties / reclassificaties
Interne jaarrekening
Afsluitposten
Grootboek
(financieel informatiesysteem)
Functionele informatiesystemen
Brongegevens
2
, Bij het in beeld brengen van de functionele informatiesystemen kan gebruik gemaakt
worden van output-inputschema's. De uitvoer, bewerkingen en invoer worden dan
vastgelegd. Dit schema kan worden uitgebreid met de controles van deze drie trajecten.
Voorbeelden van gebieden waarop interne beheersingsmaatregelen van toepassing
kunnen zijn: autorisatie, prestatiebeoordeling, informatieverwerking, fysieke interne
beheersingsmaatregelen en functiescheiding.
Ad 2: vaststellen van het bestaan van interne beheersingsmaatregelen.
De accountant verricht een aantal waarnemingen, ook wel proceduretests genoemd. Een
lijncontrole (ook wel cradle tot grave-test of walk through-test) is een bijzondere vorm
hiervan. Hierbij wordt een bepaalde bedrijfstransactie gekozen en nagegaan of alle
daaruit voortvloeiende bedrijfshandelingen in overeenstemming met de
bedrijfsbeschrijving zijn verricht. Deze controle wordt vaak op regressieve wijze
verricht.
Ad 3: vaststellen van de werking van interne beheersingsmaatregelen.
Systeemgerichte werkzaamheden kunnen omvatten:
Onderzoek van documenten die ten grondslag liggen aan bepaalde transacties of
andere gebeurtenissen om controle-informatie te verkrijgen waaruit blijkt dat de
maatregelen van interne beheersing juist hebben gewerkt; bijvoorbeeld nagaan
dat een transactie is geautoriseerd.
Informeren naar en waarnemen van bepaalde maatregelen van interne
beheersing die niet leiden tot een controleerbare vastlegging; bijvoorbeeld
vaststellen wie feitelijk de maatregel uitvoert en niet wie geacht wordt dit te
doen.
Opnieuw uitvoeren van maatregelen van interne beheersing; bijvoorbeeld het
afstemmen van bankrekeningen om vast te stellen dat deze afstemming op een
juiste wijze door de huishouding is uitgevoerd.
De accountant beoordeelt op welke wijze de interne beheersingsmaatregelen zijn
uitgevoerd, de consistente toepassing hiervan en door wie ze zijn uitgevoerd.
Wanneer systeemgerichte en gegevensgerichte controlehandelingen worden
gecombineerd, wordt gesproken over dual purpose tests.
Geautomatiseerde gegevensverwerking stelt de organisatie in staat om:
- Vooraf bepaalde regels voor de bedrijfsvoering op consistente wijze toe te passen
alsmede ingewikkelde bewerkingen uit te voeren bij het verwerken van grote
hoeveelheden transacties of gegevens.
- De tijdigheid, beschikbaarheid en nauwkeurigheid van informatie te verbeteren.
- Aanvullende analyses van informatie mogelijk te maken.
- Beter toezicht uit te oefenen op de uitvoering van de bedrijfsactiviteiten en de
gedragslijnen en procedures.
- Het risico dat beheersingsmaatregelen worden ontdoken te verkleinen.
- De mogelijkheid te vergroten om effectieve functiescheidingen aan te brengen
door beveiligingsmaatregelen in toepassingsprogramma's, databases en
besturingssystemen te implementeren.
3
Majoor en Van Kollenburg
Hoofdstuk 4: Beoordeling van de interne beheersing
COSO is de Committee of Sponsoring Organisations. Zij hebben het rapport Internal
control-integrated framework geschreven. In dit rapport wordt interne beheersing
omschreven als: een proces dat wordt geëffectueerd door de directie, het management
en overig personeel en is ontworpen om een redelijke mate van zekerheid te verkrijgen
dat de doelstellingen in drie categorieën worden gehaald. Deze drie categorieën zijn:
- Effectiviteit en efficiency van de bedrijfsactiviteiten
- Betrouwbaarheid van financiële informatie
- Naleving van de van toepassing zijnde wet- en regelgeving
Beveiliging van activa is later als doelstelling toegevoegd.
De risicoanalyse is gericht op alle potentiële fouten die in het jaarverslaggevingtraject
kunnen optreden. Het onderzoek naar de interne beheersing heeft hierbij tot doel vast te
stellen in welke mate potentiële fouten reeds worden opgeheven door maatregelen van
interne beheersing.
In 1992 is het COSO-1 model gepresenteerd. In 2004
is dit raamwerk uitgebreid met Enterprise Risk
Management (ERM) en werd het het COSO-2 model
genoemd (zie hiernaast).
Het rechter vlak laat zien dat ERM op alle niveaus
binnen een organisatie kan worden toegepast.
Het bovenste vlak zijn de vier soorten doelstellingen,
namelijk:
× strategisch: doelstellingen verbonden met de
missie van de organisatie
× operationeel: effectief en efficiënt gebruikt van
middelen.
× rapportering: betrouwbaarheid van financiële rapportages .
× compliance: naleving van wet- en regelgeving.
De voorzijde bevat de acht componenten van het ERM-systeem, namelijk:
- internal environment: dit omvat de volgende elementen: de stijl van leidinggeven,
de toon aan de top inclusief waarden en normen, de risicohouding van het
management, de helderheid van de organisatorische structuur, de verdeling van
taken, bevoegdheden en verantwoordelijkheden in de organisatie, de wijze van
beleidsmatig handelen en hierbinnen de rol van begrotingen en de betrokkenheid
van interne toezichthouders/commissarissen.
- objective setting: het formuleren van doelstellingen in harmonie met de missie
van de organisatie en haar risicohouding als middel van sturing binnen de
organisatie.
- event identification: het identificeren van risico's op basis van interne en externe
factoren.
1
, - risk assessment: het inschatten van de waarschijnlijkheid en impact van risico's.
- risk response: de reactie op risico's in de vorm van hetzij vermijding, acceptatie,
reductie of overdracht van risico's.
- control activities: beheersingsmaatregelen bestaande uit richtlijnen en
procedures die er toe moeten bijdragen dat de gekozen risicobenadering wordt
uitgevoerd.
- information & communication: informatie en communicatie die zodanig zijn
opgezet dat relevante informatie wordt vastgelegd, bewerkt en verspreid, zodat
het personeel zijn taken tijdig en adequaat kan uitvoeren.
- monitoring: monitoring van alle ERM-activiteiten met het oog op de bewaking
van een goede en continue werking van het gehele risicobeheersingssyssteem.
Interne beheersing wordt omschreven als de beheersing die wordt uitgeoefend door of
namens de leiding van de te controleren huishouding. Externe controle strekt zich uit tot
controle ten behoeve van anderen dan de leiding.
De doelstelling van interne beheersing is de effectiviteit en efficiency van de
bedrijfsprocessen, de betrouwbaarheid van de verslaggeving en de naleving van de
wettelijke bepalingen.
Bij het beoordelen van de interne beheersing is sprake van drie stappen:
- Beoordeling opzet: kennisnemen, vastleggen en beoordelen van de opzet van de
interne beheersingsmaatregelen in relatie tot de onderkende risico's.
- Vaststellen bestaan: vaststellen dat de eerder beoordeelde opzet van de interne
beheersingsmaatregelen in werkelijkheid ook blijkt te bestaan.
- Vaststellen effectieve werking: beoordelen of de geselecteerde
beheersingsmaatregelen die relevant worden geacht voor het reduceren van
gesignaleerde risico's voor de financiële verslaggeving van de entiteit ook
effectief blijken te werken.
Ad 1: beoordelen van de opzet van de interne beheersing.
De accountant gaat na of een beheersingsmaatregel, afzonderlijk of samen met andere
beheersingsmaatregelen, een afwijking van materieel belang effectief kan voorkomen, of
deze kan ontdekken en herstellen. Bij het beoordelen wordt een top-down structuur
aangehouden: eerst komen de hoofdzaken aan bod, en vervolgens de meer gedetaillerde
beheersingsmaatregelen.
Hierna wordt het verslaggevingtraject (omgekeerd/backward flow) in kaart gebracht.
Dit ziet er als volgt uit;
Externe jaarrekening
Correcties / reclassificaties
Interne jaarrekening
Afsluitposten
Grootboek
(financieel informatiesysteem)
Functionele informatiesystemen
Brongegevens
2
, Bij het in beeld brengen van de functionele informatiesystemen kan gebruik gemaakt
worden van output-inputschema's. De uitvoer, bewerkingen en invoer worden dan
vastgelegd. Dit schema kan worden uitgebreid met de controles van deze drie trajecten.
Voorbeelden van gebieden waarop interne beheersingsmaatregelen van toepassing
kunnen zijn: autorisatie, prestatiebeoordeling, informatieverwerking, fysieke interne
beheersingsmaatregelen en functiescheiding.
Ad 2: vaststellen van het bestaan van interne beheersingsmaatregelen.
De accountant verricht een aantal waarnemingen, ook wel proceduretests genoemd. Een
lijncontrole (ook wel cradle tot grave-test of walk through-test) is een bijzondere vorm
hiervan. Hierbij wordt een bepaalde bedrijfstransactie gekozen en nagegaan of alle
daaruit voortvloeiende bedrijfshandelingen in overeenstemming met de
bedrijfsbeschrijving zijn verricht. Deze controle wordt vaak op regressieve wijze
verricht.
Ad 3: vaststellen van de werking van interne beheersingsmaatregelen.
Systeemgerichte werkzaamheden kunnen omvatten:
Onderzoek van documenten die ten grondslag liggen aan bepaalde transacties of
andere gebeurtenissen om controle-informatie te verkrijgen waaruit blijkt dat de
maatregelen van interne beheersing juist hebben gewerkt; bijvoorbeeld nagaan
dat een transactie is geautoriseerd.
Informeren naar en waarnemen van bepaalde maatregelen van interne
beheersing die niet leiden tot een controleerbare vastlegging; bijvoorbeeld
vaststellen wie feitelijk de maatregel uitvoert en niet wie geacht wordt dit te
doen.
Opnieuw uitvoeren van maatregelen van interne beheersing; bijvoorbeeld het
afstemmen van bankrekeningen om vast te stellen dat deze afstemming op een
juiste wijze door de huishouding is uitgevoerd.
De accountant beoordeelt op welke wijze de interne beheersingsmaatregelen zijn
uitgevoerd, de consistente toepassing hiervan en door wie ze zijn uitgevoerd.
Wanneer systeemgerichte en gegevensgerichte controlehandelingen worden
gecombineerd, wordt gesproken over dual purpose tests.
Geautomatiseerde gegevensverwerking stelt de organisatie in staat om:
- Vooraf bepaalde regels voor de bedrijfsvoering op consistente wijze toe te passen
alsmede ingewikkelde bewerkingen uit te voeren bij het verwerken van grote
hoeveelheden transacties of gegevens.
- De tijdigheid, beschikbaarheid en nauwkeurigheid van informatie te verbeteren.
- Aanvullende analyses van informatie mogelijk te maken.
- Beter toezicht uit te oefenen op de uitvoering van de bedrijfsactiviteiten en de
gedragslijnen en procedures.
- Het risico dat beheersingsmaatregelen worden ontdoken te verkleinen.
- De mogelijkheid te vergroten om effectieve functiescheidingen aan te brengen
door beveiligingsmaatregelen in toepassingsprogramma's, databases en
besturingssystemen te implementeren.
3
