Tests of control in the Audit Risk Model: Effective? Efficient?
J.H. Blokdijk
De afgelopen jaren is het Audit Risk Model vaak bekritiseerd. In dit artikel confronteert J.H. Blokdijk
het Audit Risk Model met situaties in het echte leven. Deze confrontatie laat de tekortkomingen in
het model zien. Het artikel analyseert het Audit Risk Model en komt uiteindelijk met een voorstel om
het audit proces te herstructureren. Het Audit Risk Model is gebaseerd op het idee dat het
detectierisico van de auditor wordt beïnvloed door het inherent risico en het controlerisico. De
auditor heeft geen invloed op het inherente risico en het controle risico.
Het controlerisico bestaat uit drie aspecten: de opzet, het bestaan en de werking van de controls. De
auditor moet de werking testen aan de hand van ‘tests of control’. De analyse in dit artikel focust op
deze ‘tests of control’. De interne controle wordt beoordeeld voor de drie fasen van de
voorbereiding van de jaarrekening:
A. Het voorkomen van gebeurtenissen en hun eerste opname in het boekhoudsysteem.
B. De gegevensverwerking, wat resulteert in een routineproduct, de proefbalans.
C. De proefbalans aanpassen om zo tot de balans en de resultatenrekening te komen.
Fase A bevat meestal veel interne controles, maar deze kunnen meestal niet overgedaan worden
door de auditor. De interne controles in fase B kunnen overgedaan worden door de auditor, maar
het is lastig om alle interne controles te testen. In fase C zijn weinig interne controles. Op basis
hiervan worden de volgende voorstellen gedaan:
1. Het afschaffen van de ‘tests of control’ als een element van het Audit Risk Model.
2. Het introduceren van een nieuw stadium in het auditproces, dat zowel systeemgerichte
procedures als data-georiënteerde procedures omvat die dienen voor substantiële tests op
items met relevante kenmerken. Er zijn twee typen van substantiële tests:
a. Selective: het traceren en testen van specifieke items die opvallen op basis van
bepaalde kenmerken.
b. Random: items selecteren en testen zonder aandacht te besteden aan de
kenmerken.
Zoals hierboven beschreven, zijn er interne controles die overgedaan kunnen worden. De meest
belangrijke interne controles kunnen vaak niet opnieuw uitgevoerd worden. De belangrijkste
redenen hiervoor:
1. Expertise: de auditor beschikt niet over voldoende kennis om uiteindelijk een conclusie te
vormen.
2. Aanwezigheid: de auditor kan niet altijd aanwezig zijn om te controleren.
3. Niet-ontvankelijkheid van onderzoekstechnieken: de auditor is niet gemachtigd om
onderzoekstechnieken te gebruiken die andere auditors wel kunnen gebruiken.
Het Audit Risk Model geeft geen realistische oplossing voor het missen van de onmisbare niet-
reproduceerbare interne controles. Deze niet-reproduceerbare interne controles moeten daarom
niet meegenomen worden in de risico analyse.
De interne controle in systemen moeten op zijn minst de general ICT controls en de application
controls bevatten. Deze general ICT controls bestaan uit:
- Change controls
Acces controls
De application controls bestaan uit:
Programmed controls, zowel hard- en software
User controls
, Conclusies
‘Tests of control’ kunnen effectief zijn om het bestaan van een systeem te controleren, maar een
doorlooptest is efficiënter.
‘Tests of control’ op gebeurtenissen en de eerste vastlegging (fase A) bestaan voornamelijk uit het
bepalen van de kwaliteit van het bewijs dat gebruikt moet worden in substantiële tests.
Niet-reproduceerbare interne controles spelen geen rol in een kwantitatieve risico analyse, deze
kunnen niet gecompenseerd worden door het werk van de auditor.
De effectiviteit van ‘tests of control’ op programmawijzigingen en op de parameters is twijfelachtig,
substantiële procedures zijn effectiever en efficiënter.
Tests op acces control en op niet-reproduceerbare interne controles in de computer
informatiesystemen kunnen effectief zijn, als ze gebruikt worden voor substantiële tests.
‘Tests of control’ op de input van data zijn niet efficiënt, top-down substantiële procedures zijn
effectiever en efficiënter.
Voorstel voor herstructurering van het auditproces
Volgens Blokdijk moet de audit uit de volgende fasen bestaan:
1. Kennis vergaren over de onderneming.
2. De analytische procedures toepassen die dienen om de auditor bij te staan bij het plannen
van de aard, timing en omvang van de andere audit procedures.
3. Uitvoeren van traceerprocedures, als basis voor selectieve substantiële procedures.
4. Substantiële procedures toepassen, inclusief de analytische procedures die effectiever of
efficiënter zijn dan substantiële tests.
5. Beslissen over het auditadvies: overall review en rapportage.
J.H. Blokdijk
De afgelopen jaren is het Audit Risk Model vaak bekritiseerd. In dit artikel confronteert J.H. Blokdijk
het Audit Risk Model met situaties in het echte leven. Deze confrontatie laat de tekortkomingen in
het model zien. Het artikel analyseert het Audit Risk Model en komt uiteindelijk met een voorstel om
het audit proces te herstructureren. Het Audit Risk Model is gebaseerd op het idee dat het
detectierisico van de auditor wordt beïnvloed door het inherent risico en het controlerisico. De
auditor heeft geen invloed op het inherente risico en het controle risico.
Het controlerisico bestaat uit drie aspecten: de opzet, het bestaan en de werking van de controls. De
auditor moet de werking testen aan de hand van ‘tests of control’. De analyse in dit artikel focust op
deze ‘tests of control’. De interne controle wordt beoordeeld voor de drie fasen van de
voorbereiding van de jaarrekening:
A. Het voorkomen van gebeurtenissen en hun eerste opname in het boekhoudsysteem.
B. De gegevensverwerking, wat resulteert in een routineproduct, de proefbalans.
C. De proefbalans aanpassen om zo tot de balans en de resultatenrekening te komen.
Fase A bevat meestal veel interne controles, maar deze kunnen meestal niet overgedaan worden
door de auditor. De interne controles in fase B kunnen overgedaan worden door de auditor, maar
het is lastig om alle interne controles te testen. In fase C zijn weinig interne controles. Op basis
hiervan worden de volgende voorstellen gedaan:
1. Het afschaffen van de ‘tests of control’ als een element van het Audit Risk Model.
2. Het introduceren van een nieuw stadium in het auditproces, dat zowel systeemgerichte
procedures als data-georiënteerde procedures omvat die dienen voor substantiële tests op
items met relevante kenmerken. Er zijn twee typen van substantiële tests:
a. Selective: het traceren en testen van specifieke items die opvallen op basis van
bepaalde kenmerken.
b. Random: items selecteren en testen zonder aandacht te besteden aan de
kenmerken.
Zoals hierboven beschreven, zijn er interne controles die overgedaan kunnen worden. De meest
belangrijke interne controles kunnen vaak niet opnieuw uitgevoerd worden. De belangrijkste
redenen hiervoor:
1. Expertise: de auditor beschikt niet over voldoende kennis om uiteindelijk een conclusie te
vormen.
2. Aanwezigheid: de auditor kan niet altijd aanwezig zijn om te controleren.
3. Niet-ontvankelijkheid van onderzoekstechnieken: de auditor is niet gemachtigd om
onderzoekstechnieken te gebruiken die andere auditors wel kunnen gebruiken.
Het Audit Risk Model geeft geen realistische oplossing voor het missen van de onmisbare niet-
reproduceerbare interne controles. Deze niet-reproduceerbare interne controles moeten daarom
niet meegenomen worden in de risico analyse.
De interne controle in systemen moeten op zijn minst de general ICT controls en de application
controls bevatten. Deze general ICT controls bestaan uit:
- Change controls
Acces controls
De application controls bestaan uit:
Programmed controls, zowel hard- en software
User controls
, Conclusies
‘Tests of control’ kunnen effectief zijn om het bestaan van een systeem te controleren, maar een
doorlooptest is efficiënter.
‘Tests of control’ op gebeurtenissen en de eerste vastlegging (fase A) bestaan voornamelijk uit het
bepalen van de kwaliteit van het bewijs dat gebruikt moet worden in substantiële tests.
Niet-reproduceerbare interne controles spelen geen rol in een kwantitatieve risico analyse, deze
kunnen niet gecompenseerd worden door het werk van de auditor.
De effectiviteit van ‘tests of control’ op programmawijzigingen en op de parameters is twijfelachtig,
substantiële procedures zijn effectiever en efficiënter.
Tests op acces control en op niet-reproduceerbare interne controles in de computer
informatiesystemen kunnen effectief zijn, als ze gebruikt worden voor substantiële tests.
‘Tests of control’ op de input van data zijn niet efficiënt, top-down substantiële procedures zijn
effectiever en efficiënter.
Voorstel voor herstructurering van het auditproces
Volgens Blokdijk moet de audit uit de volgende fasen bestaan:
1. Kennis vergaren over de onderneming.
2. De analytische procedures toepassen die dienen om de auditor bij te staan bij het plannen
van de aard, timing en omvang van de andere audit procedures.
3. Uitvoeren van traceerprocedures, als basis voor selectieve substantiële procedures.
4. Substantiële procedures toepassen, inclusief de analytische procedures die effectiever of
efficiënter zijn dan substantiële tests.
5. Beslissen over het auditadvies: overall review en rapportage.
