College 10 – Steengoed – Kimberley van Maurik
Vraag 1 (30 punten)
In het kader van de jaarrekeningcontrole wil de accountant gebruik maken van de vastgoedtabel van
het ERP systeem. Hoe controleert de accountant de betrouwbaarheid van de stamgegevens in deze
vastgoedtabel?
Wet- en regelgeving:
Standaard 315 Risicoanalyse
Standaard 330 Inspelen door de acc op ingeschatte risico’s
Standaard 500 Controle-informatie
De kern van het ERP systeem wordt gevormd door een vastgoedtabel met daarin verschillende
stamgegevens opgenomen. Om de betrouwbaarheid van de stamgegevens in de vastgoedtabel vast
te stellen is het van belang dat de accountant voldoende en geschikte controle-informatie tot zijn
beschikking krijgt (Standaard 500.9).
Tendentie:
Steengoed betreft een beursgenoteerd vastgoedfonds en heeft de tendentie om het vastgoed zo
hoog mogelijk te waarderen.
Risicoanalyse (Standaard 315):
- Niet bestaan van de vastgoedbeleggingen
- Onnauwkeurige waardering van de vastgoedbeleggingen
IT
IT-afhankelijkheden IT-risico’s Relevante ITGC’s
Functiescheiding en beperkte Medewerkers verkrijgen te veel Toereikende
toegang: dit is van belang binnen toegangsrechten waardoor toegangsbeveiliging
de automatische functiescheidingen worden
gegevensverwerking tenietgedaan Toereikende change
management
Automatische berekeningen: van Te veel rechten kunnen ervoor
de stamgegevens zoals WOZ- zorgen dat medewerkers onjuiste
waarden, huurincentives, taxaties wijzigingen aanbrengen of ten
enzovoorts. onrechte gegevens verwijderen in
de vastgoedtabel
Rapporten: van de stamgegevens
zoals WOZ-waarden,
huurincentives, taxaties
enzovoorts.
Application controls: Medewerkers verkrijgen te veel Toereikende
invoercontroles ten aanzien van: toegangsrechten waardoor toegangsbeveiliging
o Energielabel (A-G) application controls worden
o WOZ waarde (min-max) omzeild Toereikende change
o Geen lege velden management
o Looptijd huur (niet
oneindig)
o Taxatiedata (niet in
toekomst)
, Interfaces: koppeling ERP en CRM Na het uitvoeren van updates in Toereikende change
een systeem verloopt de interface management
niet meer zoals zou moeten
Onnauwkeurige en onvolledige
data-overdracht
Systeemgericht:
- Inzicht verkrijgen in het proces omtrent de vastgoedtransacties, hieruit blijkt dat:
o Transacties < 5 mio door de directie zonder voorafgaande goedkeuring worden
aangegaan
o Transacties tussen 5 – 20 mio moeten worden goedgekeurd door ingestelde
vastgoedcommissie
o Transacties > 20 mio moeten worden goedgekeurd door de commissarissen
- Inzicht verkrijgen in intern rekenmodel om het verwachte rendement van een
vastgoedobject te bepalen
Ten aanzien van ITGC change management is het van belang om inzicht te verkrijgen in
onderstaande:
- Vaststellen dat sprake is van gescheiden testomgevingen en productieomgeving (OTAP)
- Vaststellen dat updates alleen na autorisaties worden geïmplementeerd
- Vaststellen of changes hebben plaatsgevonden
Ten aanzien van ITGC toegangsbeveiliging is het van belang om inzicht te verkrijgen in onderstaande:
- Vaststellen of sprake is van MFA
- Vaststellen of het wachtwoordbeleid voldoet aan best practices
- Vaststellen welke rechten en bevoegdheden de medewerkers hebben en wie de superusers
zijn indien sprake van een superuser dan bekijken of deze mutaties van deze persoon
middels logging gecontroleerd kunnen worden (Standaard 330.a29b)
- Vaststellen of periodiek de rechten van medewerkers worden beoordeeld en een proces ten
grondslag ligt voor het geven en verwijderen van rechten.
De ITGC continuïteit is in deze casus minder van belang, maar de accountant zal inzicht verkrijgen in
onderstaande:
- Vaststellen of periodiek back-ups worden uitgevoerd en recoverytesten plaatsvinden
- Vaststellen of sprake is van dubbele stroomvoorzieningen, voldoende uitwijkmogelijkheden,
fysieke beveiliging en wie toegang heeft tot deze servers, monitoren van inbreuken op de
beveiliging.
De application controls dienen getest te worden middels een test of one om zo vast te stellen of ze
effectief werken. Enkel dan kan hierop gesteund worden.
Gegevensgericht
Er vanuit gaande dat we wel steunen op de IT, worden onderstaande werkzaamheden uitgevoerd:
- Vastgoedtabel exporteren en parameters controleren
- Uitvallijsten = detailcontroles op WOZ beschikkingen, huur aansluiten op contracten,
aanschaf vastgoed controleren
- Verbandscontroles met betrekking tot de capaciteit totaal vastgoed = aantal verhuurde
objecten + leegstand
- Ongebruikelijke wijzigingen in stamtabellen controleren middels logging en hierbij inzoomen
op bijzondere mutaties (korte verwerkingstijd, weekend en feestdagen enzovoorts).
Vraag 1 (30 punten)
In het kader van de jaarrekeningcontrole wil de accountant gebruik maken van de vastgoedtabel van
het ERP systeem. Hoe controleert de accountant de betrouwbaarheid van de stamgegevens in deze
vastgoedtabel?
Wet- en regelgeving:
Standaard 315 Risicoanalyse
Standaard 330 Inspelen door de acc op ingeschatte risico’s
Standaard 500 Controle-informatie
De kern van het ERP systeem wordt gevormd door een vastgoedtabel met daarin verschillende
stamgegevens opgenomen. Om de betrouwbaarheid van de stamgegevens in de vastgoedtabel vast
te stellen is het van belang dat de accountant voldoende en geschikte controle-informatie tot zijn
beschikking krijgt (Standaard 500.9).
Tendentie:
Steengoed betreft een beursgenoteerd vastgoedfonds en heeft de tendentie om het vastgoed zo
hoog mogelijk te waarderen.
Risicoanalyse (Standaard 315):
- Niet bestaan van de vastgoedbeleggingen
- Onnauwkeurige waardering van de vastgoedbeleggingen
IT
IT-afhankelijkheden IT-risico’s Relevante ITGC’s
Functiescheiding en beperkte Medewerkers verkrijgen te veel Toereikende
toegang: dit is van belang binnen toegangsrechten waardoor toegangsbeveiliging
de automatische functiescheidingen worden
gegevensverwerking tenietgedaan Toereikende change
management
Automatische berekeningen: van Te veel rechten kunnen ervoor
de stamgegevens zoals WOZ- zorgen dat medewerkers onjuiste
waarden, huurincentives, taxaties wijzigingen aanbrengen of ten
enzovoorts. onrechte gegevens verwijderen in
de vastgoedtabel
Rapporten: van de stamgegevens
zoals WOZ-waarden,
huurincentives, taxaties
enzovoorts.
Application controls: Medewerkers verkrijgen te veel Toereikende
invoercontroles ten aanzien van: toegangsrechten waardoor toegangsbeveiliging
o Energielabel (A-G) application controls worden
o WOZ waarde (min-max) omzeild Toereikende change
o Geen lege velden management
o Looptijd huur (niet
oneindig)
o Taxatiedata (niet in
toekomst)
, Interfaces: koppeling ERP en CRM Na het uitvoeren van updates in Toereikende change
een systeem verloopt de interface management
niet meer zoals zou moeten
Onnauwkeurige en onvolledige
data-overdracht
Systeemgericht:
- Inzicht verkrijgen in het proces omtrent de vastgoedtransacties, hieruit blijkt dat:
o Transacties < 5 mio door de directie zonder voorafgaande goedkeuring worden
aangegaan
o Transacties tussen 5 – 20 mio moeten worden goedgekeurd door ingestelde
vastgoedcommissie
o Transacties > 20 mio moeten worden goedgekeurd door de commissarissen
- Inzicht verkrijgen in intern rekenmodel om het verwachte rendement van een
vastgoedobject te bepalen
Ten aanzien van ITGC change management is het van belang om inzicht te verkrijgen in
onderstaande:
- Vaststellen dat sprake is van gescheiden testomgevingen en productieomgeving (OTAP)
- Vaststellen dat updates alleen na autorisaties worden geïmplementeerd
- Vaststellen of changes hebben plaatsgevonden
Ten aanzien van ITGC toegangsbeveiliging is het van belang om inzicht te verkrijgen in onderstaande:
- Vaststellen of sprake is van MFA
- Vaststellen of het wachtwoordbeleid voldoet aan best practices
- Vaststellen welke rechten en bevoegdheden de medewerkers hebben en wie de superusers
zijn indien sprake van een superuser dan bekijken of deze mutaties van deze persoon
middels logging gecontroleerd kunnen worden (Standaard 330.a29b)
- Vaststellen of periodiek de rechten van medewerkers worden beoordeeld en een proces ten
grondslag ligt voor het geven en verwijderen van rechten.
De ITGC continuïteit is in deze casus minder van belang, maar de accountant zal inzicht verkrijgen in
onderstaande:
- Vaststellen of periodiek back-ups worden uitgevoerd en recoverytesten plaatsvinden
- Vaststellen of sprake is van dubbele stroomvoorzieningen, voldoende uitwijkmogelijkheden,
fysieke beveiliging en wie toegang heeft tot deze servers, monitoren van inbreuken op de
beveiliging.
De application controls dienen getest te worden middels een test of one om zo vast te stellen of ze
effectief werken. Enkel dan kan hierop gesteund worden.
Gegevensgericht
Er vanuit gaande dat we wel steunen op de IT, worden onderstaande werkzaamheden uitgevoerd:
- Vastgoedtabel exporteren en parameters controleren
- Uitvallijsten = detailcontroles op WOZ beschikkingen, huur aansluiten op contracten,
aanschaf vastgoed controleren
- Verbandscontroles met betrekking tot de capaciteit totaal vastgoed = aantal verhuurde
objecten + leegstand
- Ongebruikelijke wijzigingen in stamtabellen controleren middels logging en hierbij inzoomen
op bijzondere mutaties (korte verwerkingstijd, weekend en feestdagen enzovoorts).
