Samenvatting de praktijk van auditing en assurance
Hoofdstuk 4: Opstellen controleprogramma
4.1 Doelstelling controleprogramma en soorten werkzaamheden
Op basis van de risico’s die in kaart zijn gebracht en de vastgestelde materialiteitsgrens stelt de
accountant een controleprogramma op met als doel voldoende en geschikte controle-informatie te
verkrijgen over de ingeschatte risico’s op een afwijking van materieel belang. Hierbij wordt gestreefd
naar een evenwichtige en zo efficiënt mogelijke mix van systeem- en gegevensgerichte
werkzaamheden.
In aanvulling op de werkzaamheden die zich richten op de ingeschatte risico’s voert de accountant
altijd controlewerkzaamheden uit om te evalueren of de presentatie van de financiële overzichten als
geheel, met inbegrip van de toelichtingen daarop, in overeenstemming is met het van toepassing
zijnde stelsel inzake financiële verslaggeving.
NV COS 330 stelt eisen m.b.t. de minimaal te verrichten systeem- en gegevensgerichte
werkzaamheden. Voort worden specifieke eisen gesteld aan de te verrichten werkzaamheden gericht
op de significante risico’s.
De systeemgerichte controlewerkzaamheden richten zich op de wijze waarop de (bron)gegevens in
de financiële administratie tot stand komen en op de interne controlehandelingen die worden
verricht om de kwaliteit en betrouwbaarheid van die gegevens te waarborgen. De gegevensgerichte
controlewerkzaamheden richten zich primair op de gegevens zelf, waarbij de resultaten vaak ook een
indruk geven van het systeem waarbinnen ze tot stand gekomen zijn. De gegevensgerichte
werkzaamheden bestaan uit detailcontroles en gegevensgerichte cijferanalyses.
4.2 Samenstelling van de controlemix en documentatie
Bij de samenstelling van de controlemix gaat het om de bepalingen van aard, omvang en timing van
controlewerkzaamheden. De aard van een controlemaatregel verwijst naar het doel (toetsing van de
interne beheersingsmaatregelen) alsmede naar het soort daarvan (bv. inspectie of waarneming). De
aard van de controlewerkzaamheden is van het grootste belang voor de wijze waarop de ingeschatte
risico’s worden ingespeeld. De omvang van een controleprogramma heeft betrekking op het aantal
elementen dat wordt gecontroleerd. De timing van een controlemaatregel verwijst naar het moment
waarop de maatregel wordt uitgevoerd, dan wel naar de periode of datum waarop de controle-
informatie betrekking heeft.
Bij het bepalen van de controlemix zijn de door de accountant ingeschatte risico’s leidend.
Zoals eerder gezegd zal er steeds sprake moeten zijn van een mix tussen systeem- en
gegevensgerichte controlewerkzaamheden. Hierbij gelden de volgende vuistregels:
- Als de accountant het risico op een afwijking van materieel belang hoger inschat, moet
overtuigender controle-informatie worden verkregen
- Als de accountant in sterkere mate wil steunen op de effectiviteit van een interne
beheersingsmaatregel moet overtuigendere controle-informatie worden verkregen o.b.v. de
toetsing van de maatregelen van interne beheersing dan wanneer de accountant slechts in
beperkte mate steunt op de interen beheersing.
Systeemgerichte controlewerkzaamheden
De accountant moet bepalen welke en hoeveel systeemgerichte werkzaamheden hij gaat uitvoeren.
Hierbij zijn drie aspecten relevant:
1. Aard en omvang van de werkzaamheden
Bij het toetsen van de werking van de interne beheersingsmaatregelen dient onder meer
rekening te worden gehouden met de volgende aspecten:
, - De objectiviteit en deskundige uitvoering van de beheersingsmaatregelen
- De voortdurende en consistente werking gedurende de controleperiode
- De analyse en afwerking van de reuslaten van de beheersingsmaatregel
Bij het bepalen van de omvang van de werkzaamheden neemt de accountant o.a. de
volgende punten in aanmerking:
- De frequentie waarmee de entiteit de interne beheersingsmaatregel gedurende de periode
heeft uitgevoerd;
- De tijdsduur tijdens de controleperiode waarin de accountant op de effectieve werking van
de interne beheersingsmaatregelen steunt;
- de graad van automatisering en de effectiviteit van de general IT controls
2. Timing van de controlewerkzaamheden
Het toetsen van en bepaalde maatregel van interne beheersing vindt vaak plaats tijdens de
interim controle. Als de accountant wilt steunen op een bepaalde maatregel van interne
beheersing dan is het noodzakelijk om controle-informatie te verkrijgen over significante
wijzigingen die zich na afloop van het moment van toetsen in deze interne
beheersingsmaatregelen hebben voorgedaan en te bepalen weke aanvullende controle-
informatie voor de resterende verslagperiode moet worden verkregen. De accountant kan
overwegen of het efficiënt is de effectieve werking van interne beheersingsmaatregelen op
hetzelfde moment te toetsen als het evalueren van de opzet daarvan en het vaststellen dat
die zijn geïmplementeerd. Ook kan de accountant de toetsing van de interne
beheersingsmaatregelen laten samenvallen met de uitvoering van een detailcontrole voor
dezelfde transactie (duel purpose test)
3. Gebruikmaken van controle-informatie die tijdens vorige controles is verkregen
Controle-informatie die tijdens vorig controle is verkregen over de effectieve werking van de
interne beheersing kan opnieuw worden gebruikt. Maar hieraan zitten wel een aantal
beperkingen en voorwaarden die moeten worden overwogen. Ten eerste is een vereiste dat
zich na afloop van de vorige controle geen significante wijzigingen in die interne
beheersingsmaatregelen hebben voorgedaan. Ten tweede dient de interne
beheersingsmaatregelen ten minste één keer per drie jaar worden getoetst. Hierbij geldt dat
elk jaar een deel van de interne beheersingsmaatregelen moet worden getoetst om te
voorkomen dat in een afzonderlijke controleperiode alle interne beheersingsmaatregelen
wordt getoetst zonder interne beheersingsmaatregelen te toetsen in de twee
daaropvolgende controleperioden.
Als de accountant constateert dat de interne beheersingsmaatregelen waarop de accountant
voornemens is te steunen niet in alle gevallen hebben gewerkt en dus sprake is van ‘deviaties’, dan
moet hij dit verder onderzoeken. De gedetecteerde mate waarin wordt afgeweken, met name in
vergelijking met de verwachte mate, kan een aanwijzing zijn dat niet kan worden gesteund op de
interne beheersingsmaatregel, om het risico op niveau van beweringen terug te brengen naar het
niveau dat door de accountant was ingeschat. Hiervoor vraagt hij specifieke inlichtingen om zijn
kennis over deze afwijkingen te vergoten en inzicht te krijgen in de potentiële gevolgen daarvan.
Gegevensgerichte controlewerkzaamheden
Bij elke controle worden gegevensgerichte controles uitgevoerd voor elke van de transactiestromen,
rekeningsaldi en in de financiële overzichten opgenomen toelichtingen die van materieel belang zijn.
Zoals eerder aangegeven is het voor de accountant niet mogelijk om de voortdurende werking van
de interne beheersingsmaatregelen vast te stellen. Dat is een belangrijke reden waarom ook altijd
een gegevensgerichte controle plaats moet vinden op de ‘uitkomsten’ van het systeem. Daarnaast
zijn er minimumeisen gesteld aan de gegevensgerichte controlewerkzaamheden m.b.t. het proces
van het opstellen van de jaarrekening:
- Het aansluiten van de jaarrekening met de onderliggende administratieve vastleggingen
, - Het toetsen van de journaalposten van materieel belang en andere aanpassingen die tijdens
het opstellen van de financiële overzichten zijn gemaakt.
De aard van het risico en van de bewering is van belang voor de inlichting van de detailcontroles.
Het is belangrijk om controle-informatie te verkrijgen op basis waarvan de accountant een oordeel
kan vormen die de gehele verslagperiode bestrijkt. Daarom overweegt de accountant op welke wijze
hij voor de gehele verslagperiode voldoende en geschikte controle-informatie verkrijgt door:
a. Het uitvoeren van gegevensgerichte controles in combinatie met toetsingen van interne
beheersingsmaatregelen voor de resterende periode; of
b. Indien de accountant bepaalt dat dit voldoende is, het slechts uitvoeren van verdere
gegevensgerichte controles die een redelijke basis verschaffen voor het doortrekken van zijn
conclusies van de tussentijdse datum naar de einddatum van de verslagperiode.
Het uitvoeren van tussentijdse gegevensgerichte controlewerkzaamheden zonder het uitvoeren van
aanvullende controlewerkzaamheden op een later tijdstip verhoogt het risico dat eventuele
afwijkingen die op de einddatum van de verslagperiode bestaan, niet door de accountant worden
gedetecteerd.
4.3 Evaluatie en documentatie van de uitgevoerde controlewerkzaamheden
Evaluatie van de uitkomsten van de controlewerkzaamheden
De accountant dient o.b.v. de uitgevoerde controlewerkzaamheden en de verkregen controle-
informatie, voorafgaand aan de afronding van de controle, twee aspecten te evalueren:
1. Of de inschatting van de risico’s op een afwijking van materieel belang op het niveau van
bewerkingen nog steeds geldt
2. Of voldoende en geschikte controle-informatie is verkregen
Als er sprake is van een significant verschil tussen de informatie die onder de aandacht van
accountant komt en de informatie waarop zijn risico-inschatting is gebaseerd, moet de accountant
zijn controlewerkzaamheden heroverwegen en zijn risicobepaling aanpassen. Dit heeft ook als gevolg
dat hij zijn controleprogramma zal moeten bijstellen.
Op basis van de verkregen controle-informatie trekt de accountant de conclusie of hij van oordeel is
dat hij voldoende en geschikte controle-informatie heeft verkregen m.b.t. elke van materieel belang
zijnde en in de financiële overzichten opgenomen bewering. Indien dit voor een of meerdere
beweringen nier het geval is, probeert hij om verder controle-informatie te verkrijgen. Indien de
accountant niet in staat is voldoende en geschikte controle-informatie te verkrijgen, dient hij over de
financiële overzichten een oordeel met beperking of een oordeelsonthouding te formuleren.
Documentatie
In het controledossier dienen met betrekking tot de totstandkoming van het controleprogramma
onder meer de volgende zaken gedocumenteerd te worden:
- De methodiek waarmee op de ingeschatte risico’s wordt ingespeeld, alsmede de aard, timing
en omvang van de controlewerkzaamheden die zijn uitgevoerd.
- De samenhang tussen de werkzaamheden en de ingeschatte risico’s per post van de
jaarrekening
- De uitkomsten van de controlewerkzaamheden en de verkregen controle-informatie
- De evaluatie of voldoende en geschikte control-informatie is verkregen en de conclusies
daarover
- De aansluiting tussen de jaarrekening en de onderliggende administratieve vastleggingen.
4.4 Communicatie over tekortkomingen in de interne beheersing
Bij het verkrijgen van inzicht in de IB en bij het uitvoeren van systeemgerichte werkzaamheden kan
de accountant tekortkomingen in de interne beheersing op het spoor komen. Indiende de
Hoofdstuk 4: Opstellen controleprogramma
4.1 Doelstelling controleprogramma en soorten werkzaamheden
Op basis van de risico’s die in kaart zijn gebracht en de vastgestelde materialiteitsgrens stelt de
accountant een controleprogramma op met als doel voldoende en geschikte controle-informatie te
verkrijgen over de ingeschatte risico’s op een afwijking van materieel belang. Hierbij wordt gestreefd
naar een evenwichtige en zo efficiënt mogelijke mix van systeem- en gegevensgerichte
werkzaamheden.
In aanvulling op de werkzaamheden die zich richten op de ingeschatte risico’s voert de accountant
altijd controlewerkzaamheden uit om te evalueren of de presentatie van de financiële overzichten als
geheel, met inbegrip van de toelichtingen daarop, in overeenstemming is met het van toepassing
zijnde stelsel inzake financiële verslaggeving.
NV COS 330 stelt eisen m.b.t. de minimaal te verrichten systeem- en gegevensgerichte
werkzaamheden. Voort worden specifieke eisen gesteld aan de te verrichten werkzaamheden gericht
op de significante risico’s.
De systeemgerichte controlewerkzaamheden richten zich op de wijze waarop de (bron)gegevens in
de financiële administratie tot stand komen en op de interne controlehandelingen die worden
verricht om de kwaliteit en betrouwbaarheid van die gegevens te waarborgen. De gegevensgerichte
controlewerkzaamheden richten zich primair op de gegevens zelf, waarbij de resultaten vaak ook een
indruk geven van het systeem waarbinnen ze tot stand gekomen zijn. De gegevensgerichte
werkzaamheden bestaan uit detailcontroles en gegevensgerichte cijferanalyses.
4.2 Samenstelling van de controlemix en documentatie
Bij de samenstelling van de controlemix gaat het om de bepalingen van aard, omvang en timing van
controlewerkzaamheden. De aard van een controlemaatregel verwijst naar het doel (toetsing van de
interne beheersingsmaatregelen) alsmede naar het soort daarvan (bv. inspectie of waarneming). De
aard van de controlewerkzaamheden is van het grootste belang voor de wijze waarop de ingeschatte
risico’s worden ingespeeld. De omvang van een controleprogramma heeft betrekking op het aantal
elementen dat wordt gecontroleerd. De timing van een controlemaatregel verwijst naar het moment
waarop de maatregel wordt uitgevoerd, dan wel naar de periode of datum waarop de controle-
informatie betrekking heeft.
Bij het bepalen van de controlemix zijn de door de accountant ingeschatte risico’s leidend.
Zoals eerder gezegd zal er steeds sprake moeten zijn van een mix tussen systeem- en
gegevensgerichte controlewerkzaamheden. Hierbij gelden de volgende vuistregels:
- Als de accountant het risico op een afwijking van materieel belang hoger inschat, moet
overtuigender controle-informatie worden verkregen
- Als de accountant in sterkere mate wil steunen op de effectiviteit van een interne
beheersingsmaatregel moet overtuigendere controle-informatie worden verkregen o.b.v. de
toetsing van de maatregelen van interne beheersing dan wanneer de accountant slechts in
beperkte mate steunt op de interen beheersing.
Systeemgerichte controlewerkzaamheden
De accountant moet bepalen welke en hoeveel systeemgerichte werkzaamheden hij gaat uitvoeren.
Hierbij zijn drie aspecten relevant:
1. Aard en omvang van de werkzaamheden
Bij het toetsen van de werking van de interne beheersingsmaatregelen dient onder meer
rekening te worden gehouden met de volgende aspecten:
, - De objectiviteit en deskundige uitvoering van de beheersingsmaatregelen
- De voortdurende en consistente werking gedurende de controleperiode
- De analyse en afwerking van de reuslaten van de beheersingsmaatregel
Bij het bepalen van de omvang van de werkzaamheden neemt de accountant o.a. de
volgende punten in aanmerking:
- De frequentie waarmee de entiteit de interne beheersingsmaatregel gedurende de periode
heeft uitgevoerd;
- De tijdsduur tijdens de controleperiode waarin de accountant op de effectieve werking van
de interne beheersingsmaatregelen steunt;
- de graad van automatisering en de effectiviteit van de general IT controls
2. Timing van de controlewerkzaamheden
Het toetsen van en bepaalde maatregel van interne beheersing vindt vaak plaats tijdens de
interim controle. Als de accountant wilt steunen op een bepaalde maatregel van interne
beheersing dan is het noodzakelijk om controle-informatie te verkrijgen over significante
wijzigingen die zich na afloop van het moment van toetsen in deze interne
beheersingsmaatregelen hebben voorgedaan en te bepalen weke aanvullende controle-
informatie voor de resterende verslagperiode moet worden verkregen. De accountant kan
overwegen of het efficiënt is de effectieve werking van interne beheersingsmaatregelen op
hetzelfde moment te toetsen als het evalueren van de opzet daarvan en het vaststellen dat
die zijn geïmplementeerd. Ook kan de accountant de toetsing van de interne
beheersingsmaatregelen laten samenvallen met de uitvoering van een detailcontrole voor
dezelfde transactie (duel purpose test)
3. Gebruikmaken van controle-informatie die tijdens vorige controles is verkregen
Controle-informatie die tijdens vorig controle is verkregen over de effectieve werking van de
interne beheersing kan opnieuw worden gebruikt. Maar hieraan zitten wel een aantal
beperkingen en voorwaarden die moeten worden overwogen. Ten eerste is een vereiste dat
zich na afloop van de vorige controle geen significante wijzigingen in die interne
beheersingsmaatregelen hebben voorgedaan. Ten tweede dient de interne
beheersingsmaatregelen ten minste één keer per drie jaar worden getoetst. Hierbij geldt dat
elk jaar een deel van de interne beheersingsmaatregelen moet worden getoetst om te
voorkomen dat in een afzonderlijke controleperiode alle interne beheersingsmaatregelen
wordt getoetst zonder interne beheersingsmaatregelen te toetsen in de twee
daaropvolgende controleperioden.
Als de accountant constateert dat de interne beheersingsmaatregelen waarop de accountant
voornemens is te steunen niet in alle gevallen hebben gewerkt en dus sprake is van ‘deviaties’, dan
moet hij dit verder onderzoeken. De gedetecteerde mate waarin wordt afgeweken, met name in
vergelijking met de verwachte mate, kan een aanwijzing zijn dat niet kan worden gesteund op de
interne beheersingsmaatregel, om het risico op niveau van beweringen terug te brengen naar het
niveau dat door de accountant was ingeschat. Hiervoor vraagt hij specifieke inlichtingen om zijn
kennis over deze afwijkingen te vergoten en inzicht te krijgen in de potentiële gevolgen daarvan.
Gegevensgerichte controlewerkzaamheden
Bij elke controle worden gegevensgerichte controles uitgevoerd voor elke van de transactiestromen,
rekeningsaldi en in de financiële overzichten opgenomen toelichtingen die van materieel belang zijn.
Zoals eerder aangegeven is het voor de accountant niet mogelijk om de voortdurende werking van
de interne beheersingsmaatregelen vast te stellen. Dat is een belangrijke reden waarom ook altijd
een gegevensgerichte controle plaats moet vinden op de ‘uitkomsten’ van het systeem. Daarnaast
zijn er minimumeisen gesteld aan de gegevensgerichte controlewerkzaamheden m.b.t. het proces
van het opstellen van de jaarrekening:
- Het aansluiten van de jaarrekening met de onderliggende administratieve vastleggingen
, - Het toetsen van de journaalposten van materieel belang en andere aanpassingen die tijdens
het opstellen van de financiële overzichten zijn gemaakt.
De aard van het risico en van de bewering is van belang voor de inlichting van de detailcontroles.
Het is belangrijk om controle-informatie te verkrijgen op basis waarvan de accountant een oordeel
kan vormen die de gehele verslagperiode bestrijkt. Daarom overweegt de accountant op welke wijze
hij voor de gehele verslagperiode voldoende en geschikte controle-informatie verkrijgt door:
a. Het uitvoeren van gegevensgerichte controles in combinatie met toetsingen van interne
beheersingsmaatregelen voor de resterende periode; of
b. Indien de accountant bepaalt dat dit voldoende is, het slechts uitvoeren van verdere
gegevensgerichte controles die een redelijke basis verschaffen voor het doortrekken van zijn
conclusies van de tussentijdse datum naar de einddatum van de verslagperiode.
Het uitvoeren van tussentijdse gegevensgerichte controlewerkzaamheden zonder het uitvoeren van
aanvullende controlewerkzaamheden op een later tijdstip verhoogt het risico dat eventuele
afwijkingen die op de einddatum van de verslagperiode bestaan, niet door de accountant worden
gedetecteerd.
4.3 Evaluatie en documentatie van de uitgevoerde controlewerkzaamheden
Evaluatie van de uitkomsten van de controlewerkzaamheden
De accountant dient o.b.v. de uitgevoerde controlewerkzaamheden en de verkregen controle-
informatie, voorafgaand aan de afronding van de controle, twee aspecten te evalueren:
1. Of de inschatting van de risico’s op een afwijking van materieel belang op het niveau van
bewerkingen nog steeds geldt
2. Of voldoende en geschikte controle-informatie is verkregen
Als er sprake is van een significant verschil tussen de informatie die onder de aandacht van
accountant komt en de informatie waarop zijn risico-inschatting is gebaseerd, moet de accountant
zijn controlewerkzaamheden heroverwegen en zijn risicobepaling aanpassen. Dit heeft ook als gevolg
dat hij zijn controleprogramma zal moeten bijstellen.
Op basis van de verkregen controle-informatie trekt de accountant de conclusie of hij van oordeel is
dat hij voldoende en geschikte controle-informatie heeft verkregen m.b.t. elke van materieel belang
zijnde en in de financiële overzichten opgenomen bewering. Indien dit voor een of meerdere
beweringen nier het geval is, probeert hij om verder controle-informatie te verkrijgen. Indien de
accountant niet in staat is voldoende en geschikte controle-informatie te verkrijgen, dient hij over de
financiële overzichten een oordeel met beperking of een oordeelsonthouding te formuleren.
Documentatie
In het controledossier dienen met betrekking tot de totstandkoming van het controleprogramma
onder meer de volgende zaken gedocumenteerd te worden:
- De methodiek waarmee op de ingeschatte risico’s wordt ingespeeld, alsmede de aard, timing
en omvang van de controlewerkzaamheden die zijn uitgevoerd.
- De samenhang tussen de werkzaamheden en de ingeschatte risico’s per post van de
jaarrekening
- De uitkomsten van de controlewerkzaamheden en de verkregen controle-informatie
- De evaluatie of voldoende en geschikte control-informatie is verkregen en de conclusies
daarover
- De aansluiting tussen de jaarrekening en de onderliggende administratieve vastleggingen.
4.4 Communicatie over tekortkomingen in de interne beheersing
Bij het verkrijgen van inzicht in de IB en bij het uitvoeren van systeemgerichte werkzaamheden kan
de accountant tekortkomingen in de interne beheersing op het spoor komen. Indiende de
