Financial Auditing
Casus college 9: Steengoed
1. In het kader van de jaarrekeningcontrole wil de accountant
gebruik maken van de vastgoedtabel van het ERP systeem. Hoe
controleert de accountant de betrouwbaarheid van de
stamgegevens in deze vastgoedtabel?
Wet- en regelgeving
- Standaard 330
- Standaard 500
De accountant wil de betrouwbaarheid van de stamgegevens van de vastgoedtabel vaststellen. De
accountant gaat dus de juistheid en volledigheid hiervan beoordelen. In onderstaande tabel zijn de
risico’s, de beoordeling van het risico en de uit te voeren werkzaamheden beschreven:
Risico
Risico op onnauwkeurigheid en onvolledigheid van de stamgegevens door ineffectiviteit van de
security controls die ongeautoriseerde wijzigingen mogelijk maakt (logische toegangsbeveiliging).
Security controls zijn de controles die worden toegepast om de beveiliging van de applicatie en de
gegevens te waarborgen. Hieronder vallen onder andere toegangscontroles en monitoring van de
gebruikersactiviteiten. In 2020 heeft een herziening van de autorisaties plaatsgevonden en is de
beveiliging van de data in de cloudoplossingen extra beveiligd. Wanneer dit heeft plaatsgevonden is
niet bekend. De kans op ongeautoriseerde toegang is hiermee wel verminderd. De impact van dit risico
is niet van tevoren in te schatten. De impact kan groot zijn. Dit hangt van het soort stamgegeven dat is
aangepast, hoe vaak, door wie en met welke reden. Denk hierbij bijvoorbeeld aan het aanpassen van
de taxatiewaarde i.v.m. de loan-to-value ratio.
Controlewerkzaamheden
- De accountant verzoekt om inlichtingen bij het management/met governance belaste personen
wat de impact van het nieuwe CRM en Data Warehouseoplossing is geweest op de
autorisaties. Denk hierbij aan de nieuwe autorisaties, maar ook of er een andere reden was
voor een algehele herziening van de autorisaties.
- De accountant inspecteert de vastgelegde procedures omtrent het toekennen, wijzigen en
intrekken van autorisaties. Denk hierbij aan of de toe te kennen autorisaties gekoppeld zijn aan
functieprofielen, het loggen van wijzigingen, onmiddellijk intrekken van autorisatie bij ontslag
en functieverandering. De accountant moet vaststellen dat alleen de systeembeheerder de
autorisaties toe kan kennen en dat de afdeling assetmanagement als enige bevoegd is de
stamgegevens aan te passen. De accountant voert interviews uit om de opzet en bestaan van de
interne beheersingsmaatregelen vast te stellen.
- De accountant stelt vast of de procedures ook werken:
o De accountant gaat na of gebruik wordt gemaakt van logging (welke niet tussentijds
uitgezet is) en of deze ook worden bekeken door Steengoed.
o De accountant gaat na of de autorisaties passen bij de functie. De stamgegevens
mogen alleen gewijzigd worden door medewerkers van de afdeling assetmanagement.
Hiertoe heeft de accountant de autorisatietabel nodig.
o De accountant gaat na of bij een voorgevallen ontslag en functiewijziging bij een
medewerker die bevoegd was de stamgegevens te wijzigen tijdig zijn ingetrokken.
Casus college 9: Steengoed
1. In het kader van de jaarrekeningcontrole wil de accountant
gebruik maken van de vastgoedtabel van het ERP systeem. Hoe
controleert de accountant de betrouwbaarheid van de
stamgegevens in deze vastgoedtabel?
Wet- en regelgeving
- Standaard 330
- Standaard 500
De accountant wil de betrouwbaarheid van de stamgegevens van de vastgoedtabel vaststellen. De
accountant gaat dus de juistheid en volledigheid hiervan beoordelen. In onderstaande tabel zijn de
risico’s, de beoordeling van het risico en de uit te voeren werkzaamheden beschreven:
Risico
Risico op onnauwkeurigheid en onvolledigheid van de stamgegevens door ineffectiviteit van de
security controls die ongeautoriseerde wijzigingen mogelijk maakt (logische toegangsbeveiliging).
Security controls zijn de controles die worden toegepast om de beveiliging van de applicatie en de
gegevens te waarborgen. Hieronder vallen onder andere toegangscontroles en monitoring van de
gebruikersactiviteiten. In 2020 heeft een herziening van de autorisaties plaatsgevonden en is de
beveiliging van de data in de cloudoplossingen extra beveiligd. Wanneer dit heeft plaatsgevonden is
niet bekend. De kans op ongeautoriseerde toegang is hiermee wel verminderd. De impact van dit risico
is niet van tevoren in te schatten. De impact kan groot zijn. Dit hangt van het soort stamgegeven dat is
aangepast, hoe vaak, door wie en met welke reden. Denk hierbij bijvoorbeeld aan het aanpassen van
de taxatiewaarde i.v.m. de loan-to-value ratio.
Controlewerkzaamheden
- De accountant verzoekt om inlichtingen bij het management/met governance belaste personen
wat de impact van het nieuwe CRM en Data Warehouseoplossing is geweest op de
autorisaties. Denk hierbij aan de nieuwe autorisaties, maar ook of er een andere reden was
voor een algehele herziening van de autorisaties.
- De accountant inspecteert de vastgelegde procedures omtrent het toekennen, wijzigen en
intrekken van autorisaties. Denk hierbij aan of de toe te kennen autorisaties gekoppeld zijn aan
functieprofielen, het loggen van wijzigingen, onmiddellijk intrekken van autorisatie bij ontslag
en functieverandering. De accountant moet vaststellen dat alleen de systeembeheerder de
autorisaties toe kan kennen en dat de afdeling assetmanagement als enige bevoegd is de
stamgegevens aan te passen. De accountant voert interviews uit om de opzet en bestaan van de
interne beheersingsmaatregelen vast te stellen.
- De accountant stelt vast of de procedures ook werken:
o De accountant gaat na of gebruik wordt gemaakt van logging (welke niet tussentijds
uitgezet is) en of deze ook worden bekeken door Steengoed.
o De accountant gaat na of de autorisaties passen bij de functie. De stamgegevens
mogen alleen gewijzigd worden door medewerkers van de afdeling assetmanagement.
Hiertoe heeft de accountant de autorisatietabel nodig.
o De accountant gaat na of bij een voorgevallen ontslag en functiewijziging bij een
medewerker die bevoegd was de stamgegevens te wijzigen tijdig zijn ingetrokken.
