4.2 Opzet onderzoek naar de technische maatregelen IT General controls Specifieke technische normen van de Stichting

Transcriptie

1 Het afrekensysteem Onderzoek naar de organisatorische, procedurele en technische maatregelen ten behoeve van de betrouwbaarheid van een afrekensysteem Postgraduate Opleiding IT Audit, Compliance & Advisory aan de Faculteit der Economische Wetenschappen en Bedrijfskunde (FEWEB) aan de Vrije Universiteit Amsterdam Student : dhr. Hin Ting Li MSc Studentnummer : Scriptienummer : 2019 Scriptiebegeleider : dhr. Paul Harmzen RA RE Praktijkbegeleider : dhr. Jur de Vries RA RE

2 INHOUDSOPGAVE Inhoudsopgave... 1 Voorwoord... 3 Management samenvatting Inleiding Achtergrond/Aanleiding Probleemstelling en deelvragen Aanpak van het onderzoek Beoogde gebruik Beperkingen van het onderzoek Hoofstukindeling Afrekensysteem Definitie en doel van een afrekensysteem Definitie volgens Starreveld et al. (2004) Definitie volgens de Nederlandse en Belgische belastingdienst Definitie in dit onderzoek Type afrekensysteem Eenvoudig elektronisch kasregister Point-of-Salessysteem Volledig geïntegreerd Point-of-Salessysteem Internetoplossing door middel van een cloud-service Proces rondom een afrekensysteem Niet-elektronisch kasregister Elektronisch kasregister en afrekensysteem Samenvatting Risico s van en maatregelen voor afrekensystemen Risico s met betrekking tot gebruik van een afrekensysteem Risico s in The Real World Risico s in het afrekensysteem Organisatorische en procedurele maatregelen Kasprocedure Procedures rondom tot stand komen van transacties Retouren Goederenbeweging Technische maatregelen IT general controls Normen volgens de Stichting Betrouwbare Afrekensystemen Samenvatting Theoretische raamwerk Opzet onderzoek naar organisatorische en procedurele maatregelen

3 4.2 Opzet onderzoek naar de technische maatregelen IT General controls Specifieke technische normen van de Stichting Betrouwbare Afrekensystemen Samenvatting Praktijkonderzoek Inleiding Organisatorische en procedurele maatregelen Onbetrouwbare prijzen bij verkoop en onvolledige (prijs)informatie over artikelen Onttrekken van geld Onvolledige registratie van transacties Er worden meer artikelen weggegeven dan dat er aangeslagen zijn Retouren Technische maatregelen Niet alle gebeurtenissen worden geregistreerd De registraties zijn niet integer Niet alle registraties worden bewaard De rapportages zijn niet betrouwbaar Bevindingen uit onderzoek Conclusie en samenvatting Conclusie deelvragen Wat is een afrekensysteem? Welke risico s zijn er rondom het afrekensysteem gericht op betrouwbaarheid data en interne beheersing Organisatorische, procedurele en technische maatregelen Conclusie onderzoeksvraag Algemene maatregelen Maatregelen in The Real World Primaire registraties Secundaire registraties en controles op basis van subsidiaire registraties Beperkingen van het onderzoek en aanbevelingen voor toekomstige onderzoeken Literatuurlijst Bijlage I Schematische weergave geldontvangst volgens Starrveld et al. (1997) Bijlage II Beschrijving van organisaties

4 VOORWOORD Hierbij treft u mijn scriptie ter afronding van mijn Postgraduate Opleiding IT Audit, Compliance & Advisory aan de Faculteit der Economische Wetenschappen en Bedrijfskunde (FEWEB) van de Vrije Universiteit Amsterdam aan. Hierbij wil ik mij scriptiebegeleider dhr. Paul Harmzen bedanken voor zijn begeleiding, tijd, kritische blik en geduld tijdens het gehele scriptietraject. Ook wil ik dhr. Jur de Vries bedanken voor zijn input en hulp bij het kiezen van het onderwerp en de verdere uitvoering van het onderzoek. Via deze route wil ik ook de collega s bij BDO bedanken voor de tijd die ze beschikbaar hebben gesteld voor de interviews en het meedenken in het proces van het schrijven van de scriptie. Tot slot wil ik mijn vriendin Shuk Yee bedanken voor alle mentale steun en geduld tijdens het schrijven van deze scriptie. Zoals beloofd zal ik in de toekomst niet meer aan een studie beginnen waarvoor ik een scriptie zou moeten schrijven. 8 september 2014, Amsterdam 3

5 MANAGEMENT SAMENVATTING In deze scriptie staat het onderzoek naar organisatorische, procedurele en technische maatregelen rondom een afrekensysteem centraal. Dit onderzoek is relevant voor de praktijk naar aanleiding van het keurmerk dat wordt verstrekt door de Stichting Betrouwbare Afrekensystemen. Uit de praktijkervaringen is gebleken dat dit keurmerk enkel gebaseerd is op het voldoen aan technische normen, terwijl uit het onderzoek van Leurink (2011) is gebleken dat een raamwerk met enkel technische normen niet voldoende is om de betrouwbaarheid van een afrekensysteem te waarborgen. In dit onderzoek is op basis van de theorie en praktijkervaring een raamwerk ontwikkeld dat maatregelen bevat om de betrouwbaarheid van een afrekensysteem te waarborgen. Om tot een raamwerk te komen is een theoretisch onderzoek uitgevoerd naar de risico s van een afrekensysteem. De volgende risico s zijn op basis van de theorie onderkend: 1. Fraude van contant geld; 2. Onvolledige registratie van gegevens en transacties; 3. Onjuiste registratie van gegevens en transacties; 4. Onrechtmatig gebruik van de retourknop; 5. Onbeheerde wijzigingen van applicaties en infrastructuur; 6. Ongeautoriseerde toegang tot de systemen en applicaties; 7. Onvoldoende continuïteitsmaatregelen; 8. Niet alle gebeurtenissen worden geregistreerd; 9. De registraties zijn niet integer; 10. Niet alle registraties worden bewaard; 11. De rapportages zijn niet betrouwbaar. Om de plaats van het risico in een transactie te kunnen identificeren, is gebruik gemaakt van een specifiek transactiemodel waarin de fases, The Real World, primaire registraties en subsidiaire registraties worden weergegeven. Een transactie begint in de werkelijke wereld (The Real World) en wordt vastgelegd in de primaire registratie. De primaire registratie is afhankelijk van het type onderneming en het soort afrekensysteem. Het juist en volledig registreren vanuit de werkelijke wereld in een afrekensysteem is essentieel voor de betrouwbaarheid van de informatie die beschikbaar is. De output van de primaire registratie is de input voor de subsidiaire registratie. Subsidiaire registraties zijn gegevens die nodig zijn voor bijvoorbeeld de financiële verantwoording of ten behoeve van het uitvoeren van interne controles. Om deze risico s te mitigeren zijn een aantal organisatorische, procedurele en technische maatregelen nodig. Deze maatregelen zijn onderkend op basis van de theorie en praktijkonderzoek. Op hoofdlijnen zijn deze maatregelen als volgt: 1. Kasprocedures; 2. Procedures rondom tot stand komen van transacties; 3. Goederenbeweging; 4. Retouren; 5. IT-general controls 6. Het registreren van alle gebeurtenissen; 7. Integriteit van de geregistreerde gegevens; 8. Bewaren van registraties; 9. Betrouwbare rapportages. Uit het praktijkonderzoek is gebleken dat de procedurele, organisatorische en technische maatregelen elkaar aanvullen bij het mitigeren van risico s. Zo kan bijvoorbeeld gebruik worden gemaakt van rapportages voor controledoeleinden wanneer de technische maatregelen waarborgen dat de data integer is. Aan de hand van de onderzoeksresultaten is een raamwerk opgesteld welke gebruikt kan worden voor adviserings- of implementatietrajecten. Op basis van dit raamwerk kan eventueel ook een 4

6 werkprogramma worden opgesteld voor de beoordeling van de administratieve organisatie rondom een afrekensysteem. 1 INLEIDING 1.1 ACHTERGROND/AANLEIDING Een kassa- of afrekensysteem (hierna: afrekensysteem) wordt in diverse branches hoofdzakelijk gebruikt om verkooptransacties te registeren. Het aanbod van afrekensystemen varieert van een eenvoudige kasregistratie tot een volledig geautomatiseerd proces om de geld- en goederenbeweging te registreren. De registratie van de gegevens (van omzetgegevens tot aan gedetailleerde verkoop- en klantgegevens) in het afrekensysteem is in iedere organisatie met verkopen aan de eindconsument zeer belangrijk. Deze gegevens moeten betrouwbaar zijn en niet gemanipuleerd kunnen worden. De betrouwbaarheid van de informatie is niet enkel belangrijk voor de onderneming, maar ook voor een aantal externe partijen. Deze partijen zijn bijvoorbeeld de belastingdienst voor de belastingcontrole, de accountant voor de jaarrekening en de franchiseverstrekker voor het afrekenen van de franchise fee. Met name de belastingdienst constateert al jaren dat de data die afkomstig zijn uit afrekensystemen, regelmatig en soms ook stelselmatig gemanipuleerd worden. Om de mogelijkheid van het manipuleren van de data zoveel mogelijk te beperken, heeft de belastingdienst de Stichting Betrouwbare Afrekensystemen in het leven geroepen. Dit is een stichting waar leveranciers van afrekensystemen zich bij kunnen aansluiten en een keurmerk kunnen ontvangen voor de door hen geleverde afrekensystemen. Om de normen te bepalen voor het keurmerk, heeft de belastingdienst in samenwerking met ITauditors uit de praktijk een normenkader opgezet waar leveranciers aan moeten voldoen. Indien een afrekensysteem hieraan voldoet, valt de onderneming die het afrekensysteem gebruikt onder het horizontaal toezicht van de belastingdienst. Dit is opmerkelijk, omdat de belastingdienst niet de interne beheersingsmaatregelen van de onderneming die het afrekensysteem heeft afgenomen en geïmplementeerd, heeft beoordeeld. De keurmerk-vereisten beperken zich tot technische normen waaraan een afrekensysteem zou moeten voldoen. Echter, een afrekensysteem is net als andere systemen afhankelijk van zijn gebruikers. Om de betrouwbaarheid en de integriteit van de data uit een afrekensysteem te kunnen waarborgen, zijn daarom ook organisatorische en procedurele maatregelen nodig. Een onderzoek naar de technische normen in combinatie met de organisatorische en procedurele maatregelen spreekt mij aan, omdat ik hier regelmatig mee te maken heb in de praktijk bij het uitvoeren van IT-audits en jaarrekeningcontroles. Mijn onderzoek zal uiteindelijk moeten leiden tot een raamwerk dat de accountants-organisatie waar ik voor werk, kan inzetten bij adviseringstrajecten. Op basis van dit raamwerk kan aanvullend een werkprogramma opgesteld worden voor de beoordeling van de administratieve organisatie rondom een afrekensysteem. Het biedt uitgangspunten voor de jaarrekeningcontrole waarmee de betrouwbaarheid van het afrekensysteem getoetst kan worden. Daarnaast biedt het raamwerk naast uitgangspunten voor de jaarrekeningcontrole aanvullende maatregelen die specifiek relevant zijn voor de onderneming. Deze maatregelen zijn voor een jaarrekeningcontrole minder relevant. In deze scriptie zal het raamwerk worden opgesteld, dit betekent dat het opstellen van een werkprogramma niet in deze scriptie zal worden betrokken. 1.2 PROBLEEMSTELLING EN DEELVRAGEN Dit onderzoek is gericht op het verkrijgen van kennis en inzicht op het gebied van de interne beheersing rondom een afrekensysteem. De volgende probleemstelling staat centraal: Welke minimale organisatorische, procedurele en technische maatregelen zijn er nodig om de betrouwbaarheid van de afrekensystemen te kunnen waarborgen? Om deze hoofdvraag te kunnen beantwoorden, zijn de volgende deelvragen geformuleerd: 5

7 - Wat is een afrekensysteem? - Wat zijn de risico s in een afrekensysteem waardoor de betrouwbaarheid van de data beïnvloed kan worden? - Wat zijn de risico s rondom de interne beheersing in een verkoopproces waarbij het afrekensysteem centraal staat zonder rekening te houden met automatisering? - Welke minimale technische maatregelen zijn nodig om de betrouwbaarheid van het afrekensysteem te kunnen waarborgen? - Welke organisatorische en procedurele maatregelen zijn nodig om de betrouwbaarheid van het afrekensysteem te kunnen waarborgen? 1.3 AANPAK VAN HET ONDERZOEK Het onderzoek bestaat uit een theoretisch onderzoek en een praktijkonderzoek. Theoretisch onderzoek en risicoanalyse In het theoretisch onderzoek worden op basis van de literatuur, de risico s met betrekking tot een afrekensysteem onderkend. Daarbij gaat het zowel om risico s die voor het eerder genoemde keurmerk afgedekt moeten worden als de risico s die procedureel afgedekt zullen moeten worden. Op basis hiervan kan een theoretisch raamwerk opgesteld worden. Het technische gebied daarvan zal ingaan op de IT-vereisten rondom een afrekensysteem en het organisatorische gebied zal ingaan op de organisatorische en procedurele maatregelen. Technisch normenkader De Stichting Betrouwbare Afrekensystemen heeft een normenkader opgesteld, dat binnen dit onderzoek als leidraad gebruikt zal worden bij het onderkennen van de technische maatregelen rondom een afrekensysteem. Het normenkader is opgesteld op basis van de mogelijke risico s die aanwezig kunnen zijn in het afrekensysteem. Deze risico s zijn onder andere in de afstudeerscriptie van belastingdienstmedewerker Marlies Leurink (2011) beschreven. Haar scriptie was één van de aanleidingen voor de belastingdienst om het keurmerk in het leven te roepen. Bij het beschrijven van het technische normenkader is het van belang om de achterliggende gedachte van de normen te beschrijven, waardoor duidelijk wordt waarom deze belangrijk zijn. Organisatorische en procedurele maatregelen Starreveld et al. (1997, 2004) gaan in op organisatorische en procedurele maatregelen. Deze worden gebruikt voor het theoretisch kader. Starreveld et al. (1997, 2004) hebben voor alle mogelijke typen organisaties een beschrijving gemaakt van hoe een proces in een organisatie ingericht moet worden. Eén van deze beschrijvingen heeft betrekking op een verkooporganisatie in een detailhandel zonder en met gebruik van een afrekensysteem. Praktijkonderzoek Op basis van de theoretische studie wordt een raamwerk opgesteld. Dit raamwerk wordt aangepast aan de hand van mijn kennis en ervaring op het gebied van afrekensystemen en de praktische toepassing in een detailhandelsorganisatie. De detailhandel is namelijk een branche waar gesteund wordt op afrekensystemen. De kennis met betrekking tot de afrekensystemen is afkomstig van het beoordelen van selfassesments van leveranciers die het keurmerk hebben aangevraagd. Deze self-assesments zijn benodigd voor Stichting Betrouwbare Afrekensystemen om in aanmerking te komen voor een keurmerk. De kennis van de praktijktoepassing is opgedaan tijdens de jaarrekeningcontroles. Ook zijn deskundigen (accountants) betrokken die praktijkervaring hebben op het gebied van procedures in de detailhandelsbranche. Aan de materiedeskundigen zijn alle maatregelen uit het raamwerk voorgelegd en deze hebben aan de hand van hun kennis bij bestaande klanten de toepassing van de maatregelen in de praktijk vergeleken. 6

8 Dit praktijkonderzoek heeft als doel om de theorie aan de praktijk te toetsen; om vast te stellen of het raamwerk in de praktijk uitvoerbaar blijkt en welke maatregelen er derhalve nodig zijn om de betrouwbaarheid rondom een afrekensysteem te kunnen waarborgen. 1.4 BEOOGDE GEBRUIK Aan de hand van de onderzoeksresultaten zal een raamwerk opgesteld worden voor adviserings- of implementatietrajecten. Op basis van dit raamwerk kan eventueel ook een werkprogramma worden opgesteld voor de beoordeling van de administratieve organisatie rondom een afrekensysteem 1.5 BEPERKINGEN VAN HET ONDERZOEK Dit onderzoek kent een aantal beperkingen. De interne controle binnen een organisatie is betrouwbaar als er sprake is van een minimale administratieve organisatie en interne beheersing. Veelal wordt dit gekenmerkt door een minimale functiescheiding. Het onderzoek is daarom gericht op organisaties die deze minimale functiescheiding kunnen toepassen en niet op kleine organisaties met weinig medewerkers. De kosten zijn voor deze organisatie veelal hoger dan de baten. 1.6 HOOFSTUKINDELING In hoofdstuk één staan de aanleiding en de probleemstelling van dit onderzoek. Hoofdstuk twee gaat over wat een afrekensysteem is en hoe dit in beginsel functioneert. In hoofdstuk drie staat het theoretische kader rondom de organisatorische, procedurele en technische maatregelen, dat in hoofdstuk vier uitmondt in een raamwerk. Het raamwerk zal getoetst worden in het praktijkonderzoek in hoofdstuk vijf. In hoofdstuk zes staan de resultaten en de beperkingen van dit onderzoek, waarna aanbevelingen worden gegeven voor eventueel vervolgonderzoeken. 7

9 2 AFREKENSYSTEEM Dit hoofdstuk beschrijft de achtergrond van een afrekensysteem. Eerst zullen de definities en de typen afrekensystemen worden behandeld. Daarna zal de meest klassieke vorm van het verkoopproces in de detailhandel worden behandeld, zodat er een beeld ontstaat van wat een afrekensysteem minimaal zou moeten kunnen om te functioneren. 2.1 DEFINITIE EN DOEL VAN EEN AFREKENSYSTEEM In deze paragraaf wordt een aantal definities van een afrekensysteem behandeld. De definities volgens Starreveld et al. (2004), de Nederlandse belastingdienst en de Belgische belastingdienst worden hier vergeleken. Deze definities worden vergeleken omdat Starreveld et al. (2004) het hele proces rondom een afrekensysteem heeft beschreven in haar theorie. De definities van de Nederlandse en Belgische belastingdienst worden gebruikt omdat deze diverse onderzoeken hebben uitgevoerd op afrekensystemen naar aanleiding van de vele fraude gevallen Definitie volgens Starreveld et al. (2004) In de definitie van Starreveld et al. (2004) wordt de term kasregister gehanteerd. Volgens Starreveld et al. (2004) is een kasregister een officiële registratie van ontvangsten en uitgaven. Onder registratie wordt verstaan het vastleggen van handelingen die de controle op de bewaring van de in het afrekensysteem aanwezige geldmiddelen ten doel hebben. Starreveld et al. (2004) hebben het nadrukkelijk over contante transacties en niet over banktransacties. Na de publicaties van Starreveld et al. (2004) is de ontwikkeling op technologisch gebied in een stroomversnelling geraakt. Dit geldt ook voor de technologie met betrekking tot afrekensystemen. Een aantal handmatige handelingen is vervangen door geautomatiseerde handelingen. Hierdoor zal de definitie van een afrekensysteem volgens Starreveld et al. (2004) verder aangescherpt moeten worden Definitie volgens de Nederlandse en Belgische belastingdienst Volgens de belastingdienst is een afrekensysteem in de eerste plaats een instrument om de betaling van een verkoop gemakkelijk en goed af te kunnen wikkelen en bij te houden. De klant krijgt een kassabon als bewijs dat er is afgerekend tegen de overeengekomen voorwaarden. Voor een ondernemer heeft een kassa meer functies, zoals ondersteuning van het logistieke proces, kascontrole of opbouw van statistische gegevens. De meeste afrekensystemen leggen per transactie een aantal belangrijke gegevens vast, zoals artikelgegevens, aantal, prijs, tijdstip van de verkoop en de naam van de verkoper. De definitie van de belastingdienst wijkt af van de definitie volgens de Belgische wetgeving, waarin zoveel mogelijk ontwikkelingen op IT-gebied zijn meegenomen. Volgens de Belgische wetgeving is een afrekensysteem de terminal met kassasoftware, de computer met kassasoftware of welk ander gelijkwaardig apparaat, dat gebruikt wordt voor de registratie van uitgaande handelingen Definitie in dit onderzoek Voor de definitie van een afrekensysteem in dit onderzoek zullen de hiervoor beschreven definities worden gecombineerd: Het afrekensysteem is een elektronisch kasregister, de terminal met kassasoftware, de computer met kassasoftware of gelijk welk ander gelijkwaardig apparaat, waarbij de ontvangsten en uitgaven van verkooptransacties met de overeengekomen voorwaarden elektronisch worden geregistreerd. Deze gegevens kunnen worden gebruikt ten behoeve van logistieke processen, kascontroles of opbouw van statistieken. In dit onderzoek zal deze definitie voor een afrekensysteem gehanteerd worden. Indien deze definitie wordt ontleed, kan worden opgemaakt dat de primaire functie van een afrekensysteem het registreren van verkooptransacties is. De geregistreerde informatie kan worden gebruikt voor andere doeleinden (secundaire functies), namelijk: 8

10 - Het ondersteunen van bedrijfsprocessen; - Het ondersteunen van de interne controle; - Het verzamelen van stuurinformatie; - Het vormen van een grondslag voor de financiële verantwoording. Deze secundaire functies van een afrekensysteem zijn onderscheidende aspecten van een afrekensysteem. Deze functies zijn additionele functionaliteiten die een afrekensysteem kan bevatten of waarvan gebruik kan worden gemaakt. Deze functionaliteiten zijn gericht op het gebruik van de registraties in het afrekensysteem voor ondernemingsdoeleinden. 2.2 TYPE AFREKENSYSTEEM Zoals in de vorige paragraaf is beschreven, kan een afrekensysteem variëren van een eenvoudig kasregister tot een volledige proces ondersteunende, geautomatiseerde oplossing. In deze paragraaf zal worden beschreven welke type afrekensystemen er zijn: - Eenvoudig elektronisch kasregister; - Point-of-Salessysteem; - Volledig geïntegreerd Point-of-Salessysteem; - Internetoplossing door middel van een cloud-service Eenvoudig elektronisch kasregister Een eenvoudig elektronisch kasregister is een standalone kassa waarmee verkooptransacties berekend en geregistreerd worden. Een eenvoudig elektronisch kasregister bevat een bonnenprinter en een geldlade waarin het wisselgeld en de contante geldontvangsten bewaard worden. Afhankelijk van het systeem kan dit uitgebreid worden met barcode-scanners, printterminals, weegschalen, geheugen, etc. Daarnaast bestaat de mogelijkheid om het systeem te voorzien van een stambestand waarin alle artikelen, prijzen en kortingen worden vastgelegd. In dit onderzoek wordt met een eenvoudig kasregister een afrekensysteem met een elektronisch geheugen bedoeld, waar alle transacties digitaal worden opgeslagen Point-of-Salessysteem Een Point-of-Salessysteem is een afrekensysteem dat te vergelijken is met een elektronisch kasregister. Het verschil zit in het feit dat aan een Point-of-Salessysteem meerdere elektronische kasregisters omvat, die zijn verbonden door middel van een netwerkverbinding. Alle elektronische kasregisters hangen aan een server. Een Point-of-Salessysteem heeft een front- en backoffice, waarbij een frontoffice het elektronische kasregister is en een backoffice de server waarop de stamgegevens, transacties en rapportages worden beheerd. De registraties zijn, afhankelijk van het systeem, centraal of decentraal opgeslagen. Hiervoor kan gebruik worden gemaakt van eigen hardware of hardware van de leverancier Volledig geïntegreerd Point-of-Salessysteem Een volledig geïntegreerd Point-of-Salessysteem is geïntegreerd met andere bedrijfsprocessen, zoals het personeelsurensysteem en het logistiek systeem. Het Point-of-Salessysteem zorgt ervoor dat bij elke transactie de voorraadadministratie wordt bijgewerkt. Door middel van deze technologie kan de onderneming real-time zijn voorraadpositie monitoren. Door het afrekensysteem te integreren met het personeelsurensysteem, biedt dit de onderneming de mogelijkheid om de geklokte uren van de medewerkers te registreren. Het registeren van de uren gebeurt op basis van authenticatie en identificatie. Het Point-of-Salessysteem registreert de benodigde gegevens voor de urenadministratie. Uren van de medewerkers kunnen sneller worden verwerkt ten behoeve van interne rapportages of uitbetalingen van de gewerkte uren Internetoplossing door middel van een cloud-service Door de huidige technologische ontwikkelingen zijn er ook online oplossingen waarbij de data in de cloud wordt opgeslagen. De werking van dit afrekensysteem is vergelijkbaar met een Point-of- Salessysteem. Enige verschil zit in het feit dat de backoffice en de frontoffice via een webinterface of specifieke software toegankelijk wordt gemaakt. De registraties worden op een externe locatie in een data-center opgeslagen. Door middel van deze toepassing is de investering van een onderneming in hardware of specifieke apparatuur minder groot ten opzichte van een Point-of- Salessysteem. 9

11 De verschillen tussen deze afrekensystemen zullen in de volgende paragraaf met behulp van het proces rondom een afrekensysteem worden beschreven. 2.3 PROCES RONDOM EEN AFREKENSYSTEEM In deze paragraaf wordt de klassieke werking van een afrekensysteem beschreven. Om het principe van een afrekensysteem te begrijpen, wordt eerst ingegaan op het verkoopproces in de detailhandel en op de werking van een eenvoudig elektronisch kasregister. Ook zal de werking van de verschillende typen afrekensystemen worden vergeleken Niet-elektronisch kasregister Nadat de klant een keuze heeft gemaakt voor de aanschaf van een product, zal deze het product aanbieden bij de caissière. De caissière schrijft aan de hand van de door de klant af te nemen producten een doorlopend voorgenummerde ontvangstbevestiging of kwijting uit; dit bewijs wordt nog niet ondertekend. Dit bewijsstuk registreert de caissière in een kwitantieregister. De kwijting wordt door een daartoe bevoegde functionaris ondertekend nadat hij heeft vastgesteld dat de gegevens op de kwijting juist en volledig zijn. Na ondertekening door de bevoegde functionaris, neemt de caissière het geld in ontvangst en verstrekt de producten en de kwijting aan de klant. Na ontvangst van het geld boekt de caissière dit in de kasverantwoording. Met behulp van het kwitantieregister boekt de administratie de ontvangsten in het kasboek. Het kasboek wordt periodiek vergeleken met de kasverantwoording. Hierbij wordt specifiek aandacht gegeven aan de volledigheid van de verantwoording. Een schematische weergave van dit proces is opgenomen in de bijlage Elektronisch kasregister en afrekensysteem Starreveld et al (1997) hebben naast het klassieke verkoopproces in de detailhandel ook het gebruik van het elektronisch kasregister behandeld. Het kasregister wordt door Starreveld et al (1997) het offline-kasregister genoemd. In dit kasregister is een aantal maatregelen geautomatiseerd. Indien er gebruik wordt gemaakt van een elektronisch kasregister, dan zal het proces verlopen zoals beschreven in de vorige paragraaf. Echter, de volgende maatregelen zullen geautomatiseerd zijn: - De doornummering van de kwitanties; - De controle door een bevoegde functionaris is niet nodig doordat er sprake is van voorgeprogrammeerde gegevens, zoals datum, prijs en artikelen; - De gehele transactie zal worden afgedrukt op een bon; - De verkooptransactie zal direct worden geregistreerd, waardoor een kwitantieregister overbodig wordt; - De aansluiting tussen het ontvangen contant geld(ist-positie) en de te ontvangen geld(sollpositie) zal automatisch worden gemaakt op het moment van kasafsluiting nadat de caissière de kastelling handmatig heeft uitgevoerd. Indien deze maatregelen gekoppeld worden aan de vier verschillende afrekensystemen, dan bevatten deze de volgende maatregelen: Eenvoudige elektronische Point-of- Salessysteem Geïntegreerde Point-of-Sales Internetoplossing middels cloud kasregister Doorlopende Ja Ja Ja Ja nummering Standaard Ja/Nee Ja Ja Ja artikelbeheer Afdrukken op een Ja Ja Ja Ja bon Automatisch Ja Ja Ja Ja kwitantieregister Automatisch aansluiting tussen geteld kasgeld en geregistreerde Nee Ja Ja Ja 10

12 ontvangsten Zoals uit de tabel blijkt, bestaat er weinig onderscheid in de traditionele functionaliteiten tussen Point-of-Sales, geïntegreerde Point-of-Sales en internetoplossing middels de cloud. De andere soorten functionaliteiten zitten met name in de techniek en de verdere toepassingen in de organisatie zoals beschreven in paragraaf 2.2. In dit onderzoek wordt geen onderscheid gemaakt tussen de verschillende systemen, tenzij dit nodig is. 2.4 SAMENVATTING In dit hoofdstuk zijn de definities van een afrekensysteem van Starreveld et al (2004), de Nederlandse en Belgische belastingdienst vergeleken. De combinatie van deze definities luidt als volgt: Het afrekensysteem is een elektronisch kasregister, de terminal met kassasoftware, de computer met kassasoftware of gelijk welk ander gelijkwaardig apparaat, waarbij de ontvangsten en uitgaven van verkooptransacties met de overeengekomen voorwaarden elektronisch worden geregistreerd. Deze gegevens kunnen worden gebruikt ten behoeve van logistieke processen, kascontroles of opbouw van statistieken. Indien de definities worden vergeleken, kan worden geconcludeerd dat de primaire functie van een afrekensysteem het registreren van verkooptransacties is. De geregistreerde informatie kan worden gebruikt voor andere doeleinden (secundaire functies), namelijk: - Het ondersteunen van bedrijfsprocessen; - Het ondersteunen van de interne controle; - Het verzamelen van stuurinformatie; - Het vormen van een grondslag voor de financiële verantwoording; De werking van een afrekensysteem is daarnaast gebaseerd op de klassieke beschrijving van Starreveld et al. (2004). De volgende maatregelen in het proces zijn in een afrekensysteem geautomatiseerd: - De doornummering van de kwitanties; - De controle door een bevoegde functionaris is niet nodig doordat er sprake is van voorgeprogrammeerde gegevens, zoals datum, prijs, artikelen; - De gehele transactie zal worden afgedrukt op een bon; - De verkooptransactie zal direct worden geregistreerd waardoor een kwitantieregister overbodig wordt; - De aansluiting tussen het ontvangen contant geld(ist-positie) en de te ontvangen geld(sollpositie) zal automatisch worden gemaakt op het moment van kasafsluiting nadat de caissière de kastelling handmatig heeft uitgevoerd. In een vergelijking met de verschillende typen afrekensystemen is gebleken dat er weinig onderscheid is in de traditionele functionaliteiten tussen Point-of-Sales, geïntegreerde Point-of- Sales en internetoplossing middels de cloud. De verschillende functionaliteiten zitten met name in de techniek en de verdere toepassingen in de organisatie. 11

13 3 RISICO S VAN EN MAATREGELEN VOOR AFREKENSYSTEMEN In het vorige hoofdstuk is beschreven wat een afrekensysteem is en welke basismaatregelen in een afrekensysteem aanwezig zijn. Daarnaast is beschreven dat er verschillende types afrekensystemen zijn, maar de werking van deze afrekensystemen niet significant van elkaar verschilt. In dit hoofdstuk wordt het theoretische kader rondom een afrekensysteem beschreven. Eerst zal worden beschreven welke risico s er zijn met betrekking tot het gebruik van een afrekensysteem. Daarna zal worden ingegaan op de maatregelen die de benoemde risico s mitigeren. 3.1 RISICO S MET BETREKKING TOT GEBRUIK VAN EEN AFREKENSYSTEEM In deze paragraaf worden de risico s met betrekking tot een afrekensysteem beschreven. Om de risico s in kaart te brengen zal gebruik worden gemaakt van beschrijvingen van Starreveld et al (2004), Leurink (2011), het normenkader van de Stichting Betrouwbare Afrekensystemen en de general IT-controls (hierna: ITGC). Om de risico s gestructureerd in kaart te kunnen brengen, zal gebruik worden gemaakt van het transactiemodel van de belastingdienst (Leurink 2011). Leurink (2011) heeft een onderzoek uitgevoerd naar de maatregelen ter voorkoming en bestrijding van datamanipulatie in afrekensystemen op integriteit en controleerbaarheid van de data. In haar onderzoek wordt een transactiemodel gebruikt dat de verwerking van transacties in het afrekensysteem aangeeft. In dit model worden drie fases onderkend, namelijk: - The Real World; - Primaire registraties; - Subsidiaire registraties. Een transactie begint in de werkelijke wereld (The Real World) en wordt vastgelegd in de primaire registratie. De primaire registratie is afhankelijk van het type onderneming en het soort afrekensysteem. Het juist en volledig registreren vanuit de werkelijke wereld in een afrekensysteem is essentieel voor de betrouwbaarheid van de informatie die beschikbaar is. De output van de primaire registratie is de input voor de subsidiaire registratie. Subsidiaire registraties zijn gegevens die nodig zijn voor bijvoorbeeld de financiële verantwoording of ten behoeve van het uitvoeren van interne controles. De risico s zullen in deze paragraaf in twee categorieën worden verdeeld: de risico s in The Real World en de risico s met betrekking tot het afrekensysteem (primaire en subsidiaire registraties). Starreveld et al (2004) hebben met name risico s onderkend in The Real World. Hoewel Leurink (2011) dat ook doet, focust zij tevens op de primaire en subsidiaire registraties. Haar onderzoek heeft de basis gelegd voor het normenkader dat opgesteld is door de Stichting Betrouwbare Afrekensystemen Risico s in The Real World In hoofdstuk twee is op hoofdlijnen beschreven hoe een verkoopproces in een detailhandelsonderneming ingericht wordt. Op basis van de beschrijving zijn volgens Starreveld et al. (2004) een aantal risico s te onderkennen. Deze risico s zijn: - Fraude met contant geld; - Onvolledige registratie van gegevens en transacties; - Onjuiste registratie van gegevens en transacties. Met name de risico s met betrekking tot de juistheid en de volledigheid van de gegevens en de transacties kunnen verder in detail worden uitgewerkt. Deze risico s bevinden zich niet alleen in The Real World, maar kunnen ook worden onderkend in de primaire registraties en de subsidiaire registraties. Hierop zal in deze paragraaf worden ingegaan. Starreveld et al. (2004) hebben in aanvulling op deze risico s een aantal additionele risico s onderkend met betrekking tot een afrekensysteem: 12

14 1. De verkoper slaat bij niet-automatische prijsregistraties andere bedragen aan. 2. De verkoper slaat het bedrag volledig niet aan. 3. De verkoper slaat minder aan dan dat er daadwerkelijk verkocht wordt. Leurink (2011) geeft aan dat er risico s bestaan op het niet volledig registreren van transacties. Deze risico s hebben te maken met de mate waarin het object in overeenstemming is met de afgebeelde werkelijkheid en dus de integriteit van de data. De transacties moeten namelijk juist en volledig worden ingevoerd in het afrekensysteem, zodat deze ook juist worden opgeslagen en dus de werkelijkheid kunnen afbeelden. In aanvulling op deze risico s blijkt uit een onderzoek van de belastingdienst dat er door supermarktketens op grote schaal gefraudeerd wordt door middel van retouren. De ondernemers verlaagden hun omzet door het gebruik van de retourenfunctie. De ondernemers sloegen retouren aan waar geen verkopen tegenover stonden. Door retouren te registreren wordt immers de omzet verlaagd. Hierdoor kan kasgeld uit de kassa worden onttrokken en wordt er minder omzet verantwoord. Dit risico wordt tevens door Starreveld et al (1997) en door Will Reijnders (2012, Column) onderkend en is dus een risico dat samenhangt met een afrekensysteem in The Real World Risico s in het afrekensysteem In de vorige paragraaf is beschreven welke risico s in The Real World aanwezig zijn. In deze paragraaf zullen de risico s met betrekking tot het afrekensysteem centraal staan. Voordat er specifiek ingegaan kan worden op de risico s rondde primaire en subsidiaire registraties, zal eerst worden ingegaan op de risico s met betrekking tot de ITGC. General IT-risico s General IT Controls zijn de algemene beheersmaatregelen die van belang zijn om de betrouwbaarheid van de geautomatiseerde gegevensverwerking(dus ook een afrekensysteem) te kunnen waarborgen. De maatregelen hebben o.a. betrekking op de continuïteit, beveiliging, capaciteits- en performance management, change management en ondersteuning. Over deze controls zijn al vele theorieën en raamwerken ontwikkeld. Daarin wordt onder andere ingegaan op de risico s die te maken hebben met de General IT-Controls: - Onbeheerde wijzigingen van applicaties en infrastructuur; - Ongeautoriseerde toegang tot de systemen en applicaties; - Onvoldoende continuïteitsmaatregelen. Deze risico s zijn zowel bij de leverancier als bij de gebruiker van het afrekensysteem aanwezig. Wanneer er onbeheerde wijzigingen worden gemaakt in de applicatie of infrastructuur van een afrekensysteem, zal dit leiden tot niet-integere registraties. Immers, de betrouwbare werking van het afrekensysteem kan niet gewaarborgd worden. Het risico met betrekking tot ongeautoriseerde toegang tot de systemen hangt samen met het feit dat er onrechtmatig toegang tot een systeem verkregen wordt. Dit kan bijvoorbeeld zijn op het moment dat een wachtwoord bij derden bekend is. Daarnaast kunnen personen toegang hebben tot systemen of applicaties waar zij geen toegang toe zouden mogen hebben. Indien hier sprake van is, kan dit leiden tot niet-integere registraties waardoor de werkelijkheid niet meer gereconstrueerd kan worden. Indien er onvoldoende continuïteitsmaatregelen zijn getroffen, bestaat het risico dat data en rapportages niet meer beschikbaar zijn, bijvoorbeeld door storingen. Wanneer er geen data beschikbaar zijn, kan de werkelijkheid niet meer gecontroleerd worden. Om inzicht te geven waar de genoemde risico s binnen het proces plaatsvinden, zal gebruik worden gemaakt van een specifiek transactiemodel. Het transactiemodel is een verdere uitwerking van het transactiemodel van Leurink (2011). Dit model is wederom afkomstig van de belastingdienst. In dit model wordt de primaire en subsidiaire registraties verder uitgesplitst met kassasoftware, het geheugen, opslag en rapportages. Het model ziet er als volgt uit: 13

15 Figuur 1 - Specifiek transactiemodel Door middel van dit specifieke transactiemodel kan aangetoond worden waar de risico s met betrekking tot de ITGC zich bevinden: Ongeautoriseerde toegang tot de systemen en applicaties; Onbeheerde wijzigingen Onvoldoende continuïteitsmaatregelen Figuur 2 - specifiek transactiemodel met general IT risico's In het model is zichtbaar dat onbeheerde wijzigingen een risico vormen in de software. Hoewel dit risico zich afspeelt in de software, betekent dit niet dat dit geen invloed heeft op de data en de rapportages. Immers, de software is bepalend voor de kwaliteit van de data en de rapportages. De continuïteitsmaatregelen spelen zich juist af in de data en hebben invloed op de beschikbaarheid van de data en rapportages. Het risico van ongeautoriseerde toegang tot het systeem vindt overal plaats. Immers, de gebruiker kan ongeautoriseerd toegang hebben tot het systeem en functionaliteiten om handelingen uit te voeren die invloed hebben op de integriteit van de data, of de gebruiker kan direct in de data of rapportages om deze te manipuleren. Risico s volgens Leurink (2011) en Stichting Betrouwbare Afrekensystemen Leurink (2011) heeft in haar risicoanalyse gebruik gemaakt van het transactiemodel van de belastingdienst. De risico s die Leurink (2011) benoemt, hebben te maken met datamanipulatie en bevinden zich in de primaire en subsidiaire registraties. Doordat het onderzoek van Leurink (2011) de eerste aanleiding is voor het normenkader van de Stichting Betrouwbare Afrekensystemen, 14

16 komen de risico s op hoofdlijnen met elkaar overeen. Om de risico s volgens de Stichting Betrouwbare Afrekensystemen beter te kunnen begrijpen, worden hieronder eerst de risico s volgens Leurink (2011) behandeld en daarna de risico s volgens de Stichting Betrouwbare Afrekensystemen. In de primaire registraties zijn er risico s met betrekking tot het manipuleren van data waardoor kwaliteitsaspecten als integriteit, continuïteit en controleerbaarheid ter sprake komen. - Integriteit is de mate waarin het object overeenstemming heeft met de afgebeelde werkelijkheid; - Continuïteit is de mate waarin een object continu beschikbaar is en de gegevensverwerking ongestoord voortgang kan hebben (ook wel beschikbaarheid genoemd); - Controleerbaarheid is de mate waarin het mogelijk is kennis te verkrijgen over de structurering en werking van een object. Met behulp van Zappers of Phantomware kunnen deze kwaliteitsaspecten gemanipuleerd worden. Volgens Leurink (2011) is Phantomware programmatuur die ontworpen is voor een afrekensysteem. Deze functie is niet zichtbaar in de menustructuur. Met deze optie kunnen verkopen selectief worden gewist zonder dat hiervan een audittrail wordt vastgelegd. Deze optie kan alleen geactiveerd worden door in het afrekensysteem een bepaalde handeling uit te voeren, waardoor een verborgen menu wordt aangeroepen waarmee afgeroomd kan worden. Volgens Leurink (2011) zijn Zappers geavanceerde Phantomware. Het zijn programma s die gekoppeld kunnen worden aan het afrekensysteem waarmee records gewist of gewijzigd kunnen worden. In het verleden werden de zappers door leveranciers van afrekensystemen ontwikkeld als aanvullende dienst. Mede dankzij sancties en veroordelingen worden deze niet meer ontwikkeld door de leveraciers. Echter, tegenwoordig worden Zappers ontwikkeld door derde partijen op basis van de architectuur van de software. In de subsidiaire registraties zijn er risico s aanwezig met betrekking tot het manipuleren van subsidiaire registraties, zoals rapportages aanslaan als trainingen (waardoor dit niet officieel als omzet aangegeven hoeft te worden) en het zelf kunnen configureren van rapportages. Hierdoor zijn de rapportages onjuist. De kwaliteitsaspecten integriteit, controleerbaarheid en continuïteit zullen in het geding komen. In het model van Leurink (2011) is de omvang van de organisatie bepalend voor de kans op het voordoen van een risico: - Risico s op manipulatie van data bij midden- en kleinbedrijven spelen zich af in The Real World; - Risico s op manipulatie van data bij middelgrote ondernemingen spelen zich af bij de primaire registraties; - Risico s op manipulatie van data bij zeer grote ondernemingen spelen zich af bij de subsidiaire registraties. De Stichting Betrouwbare Afrekensystemen heeft vier risico s onderkend. Hiervan komen er drie overeen met die van Leurink (2011) in de primaire registraties. Dit zijn: 1. Niet alle gebeurtenissen worden geregistreerd; 2. De registraties zijn niet integer; 3. Niet alle registraties worden bewaard; Het laatste risico van de Stichting Betrouwbare Afrekensystemen is dat rapportages niet betrouwbaar zijn; dit is in principe hetzelfde als het risico dat subsidiaire registraties niet betrouwbaar zijn. Wanneer alle risico s van Starreveld et al. (2004), Leurink (2011) en Stichting Betrouwbare Afrekensystemen worden gerelateerd aan het specifieke transactiemodel, dan vinden de risico s in de volgende fases plaats. 15

17 Risico s van Starreveld et al (2004) Niet alle gebeurtenissen worden geregistreerd Registraties zijn niet integer Rapportages zijn niet betrouwbaar Niet alle registraties worden bewaard Figuur 3 - specifiek transactiemodel met alle risico's 3.2 ORGANISATORISCHE EN PROCEDURELE MAATREGELEN In de vorige paragraaf zijn de risico s beschreven ten aanzien van een afrekensysteem. In deze paragraaf wordt verder ingegaan op het beheren van deze risico s door middel van organisatorische en procedurele maatregelen. Samengevat zijn de risico s als volgt: - Fraude met contant geld; - Onvolledige registratie van gegevens en transacties; - Onjuiste registratie van gegevens en transacties; - Onvolledige omzetverantwoording door het aanslaan van retouren. Starreveld et al (1997) hebben de processen bij een detailhandel gedetailleerd uitgewerkt en hiervoor minimale eisen benoemd in het verkoopproces. De procedurebeschrijving in deze paragraaf wijkt af ten opzichte van de beschrijving in hoofdstuk twee. De beschrijving in dit hoofdstuk gaat namelijk specifiek in op de controlemaatregelen rondom een afrekensysteem. Deze maatregelen bestaan uit procedures rondom een afrekensysteem en bepaalde minimale functionaliteiten daarin. De procedures die behandeld zullen gaan worden, zijn de kasprocedure, procedures rondom het registeren van een verkooptransactie, de procedure rondom retouren en de geld- en goederenbeweging Kasprocedure Starreveld et al. (1997) beschreven een eenvoudig elektronisch afrekensysteem waar weinig gebruik gemaakt wordt van automatisering, databaseopslag en het internet. Het proces rondom het afrekensysteem wordt door Starreveld et al (1997) behandeld als de kasprocedure in de detailhandel. Hierin zijn maatregelen opgenomen tegen fraude met contant geld en tegen onvolledige en onjuiste registraties van transacties. In deze procedure kan onderscheid gemaakt worden in functionaliteiten in een afrekensysteem. Deze functionaliteiten kunnen worden gezien als minimale eisen in een afrekensysteem om procedures en maatregelen toe te kunnen passen. Starreveld et al. (1997) onderkenden de volgende functionaliteiten: - Controlestrook; - Nulbonnen; - X-afslag; - Z-afslag. 16

18 Controlestrook Een afrekensysteem moet zijn voorzien van een controlestrook die achter slot en grendel zit. Deze kan alleen worden vervangen door de bedrijfsleider. Op de controlestrook worden alle gegevens afgedrukt die op de kassabon worden weergegeven. De caissière kan eventueel alleen aantekeningen maken op de controlestrook. Dit gebeurt bij bijzonderheden zoals nulbonnen (zie hieronder) en retouren. Deze aantekeningen worden door een daartoe aangewezen functionaris nauwlettend gevolgd. Hij gaat onder meer na of op een eerder onjuist aangeslagen bedrag het juiste volgt. Nulbonnen Nulbonnen registeren het aantal keren dat een kassalade open is geweest zonder dat een verkooptransactie heeft plaatsgevonden. Op de controlestrook kan worden nagegaan dat de kassalade open was. Als er te vaak nulbonnen worden gedraaid, dan moet dit verder worden geanalyseerd en verklaard worden door de bedrijfsleider. X-afslag De bedrijfsleider maakt periodiek met een specifieke sleutel een zogeheten X-afslag. Daarop worden de omzetcijfers van de afgelopen periode weergegeven. De X-tellers worden automatisch weer op nul gezet. De stroken worden op de administratie aangeleverd. Z-afslag De bedrijfsleider maakt met een speciale sleutel een Z-afslag. Dit wordt één keer per jaar gedaan. Op de Z-afslag worden de omzetcijfers over het afgelopen jaar weergegeven. In aanvulling op de hierboven genoemde functionaliteiten hebben Starreveld et al. (1997) procedures beschreven die samenhangen met de genoemde functionaliteiten: - Kassa opstarten; - Kassa afsluiten; - Aansluiting verkopen volgens kasregister en afgedragen geld. Kassa opstarten s Morgens wordt door de caissière nagegaan of er sinds de afsluitende nulbon van de vorige dag geen kashandelingen hebben plaatsgevonden. De caissière stelt vast dat de afsluitende nulbon inclusief streep door het controlevenster aanwezig is. Ten tweede controleert zij of de controlestrook blanco is en de tijd en datum juist zijn. Vervolgens kan het wisselgeld in de lade worden bewaard. Kassa afsluiten Aan het eind van de dag draait de caissière een nulbon uit en zet een streep en een paraaf op de controlestrook. Vervolgens telt zij haar geld en legt het bedrag vast op een kasopmaakformulier. Het geld levert ze in op kantoor bij de geldtelkamer tegen een kwijting op de duplicaat van het kasopmaakformulier. Het natellen van het geld wordt de volgende dag op basis van het vier-ogenprincipe gedaan. Eventuele tekorten dienen door beide medewerkers gelijktijdig te worden vastgesteld. De geldtelkamer verzorgt de afdracht van het geld aan de bank. Aansluiting verkopen volgens kasregister en afgedragen geld Er dient periodiek een vergelijking gemaakt te worden tussen ontvangen geld volgens de geldtelkamer met de verkopen volgens de kassa. Dit vindt plaats aan de hand van de X-afslag. Het totaal van kasontvangsten volgens de controlestroken (SOLL-positie) wordt vergeleken met de geldafdrachten (IST-positie). Kasverschillen mogen alleen worden afgeboekt na autorisatie door een onafhankelijke en daartoe bevoegde functionaris. Zoals uit de beschrijving hierboven kan worden geconcludeerd, zijn een aantal procedures rondom de kassa zeer belangrijk om de onderkende risico s te mitigeren. Deze zijn: - Registratie van nulbonnen en het vastleggen van de reden; - Het vergelijken van de omzet met de X-afslagen en het ontvangen geld; - Procedures voor het tellen van geld, door middel van het vier-ogen-principe. 17

19 3.2.2 Procedures rondom tot stand komen van transacties Een geregistreerde verkooptransactie bestaat uit prijs, artikelen en het totaal te ontvangen saldo. Deze transacties worden geregistreerd in het afrekensysteem. Volgens Starreveld et al (2004) bestaat er een risico wanneer prijzen gewijzigd worden. De reden voor prijswijzigingen kan variëren van bijvoorbeeld de prijs is onjuist ingevoerd tot er is geen prijs ingevoerd. Echter, volgens Starreveld et al (2004) dienen alle prijswijzigingen geautoriseerd te worden door een functionaris die hiervoor bevoegd is voordat deze daadwerkelijk doorgevoerd mogen worden. Volgens Starreveld et al (2004) kunnen controles met name uitgevoerd worden door richtlijnen op te stellen en door middel van scherp oogtoezicht van de bedrijfsleider. Daarnaast kan gebruik worden gemaakt van winkeldetectives en test-buyers. Dit zijn mensen die namens een organisatie aankopen doen in de winkel en hierbij specifiek beoordelen op het naleven van de algemene procedures, waaronder de procedure rondom het afrekenen van producten en aannemen van retouren. Hierover worden rapportages opgesteld, die worden verstrekt aan een centrale afdeling of een daartoe bevoegde functionaris Retouren Zoals in de risico s is beschreven, blijkt uit onderzoek van de belastingdienst dat er fraude wordt gepleegd door gebruikers van afrekensystemen met behulp van de retourenfunctie. Hoe dit risico beheerst moet worden, wordt niet gedetailleerd behandeld door Starreveld et al (1997). Zij onderkennen het proces rondom retouren als een apart proces waarbij met name de volgende maatregelen zijn benoemd: - Functiescheiding door middel van een retouren/klantenservice; - Ruilen is enkel toegestaan op vertoon van een originele kassabon. In aanvulling hierop controleert een interne controleur of het geruilde artikel daadwerkelijk aanwezig is en de geldafgifte overeenkomt met de kassabon. Deze maatregelen zijn volgens Starreveld et al (1997) niet volledig toereikend om het risico te mitigeren. Dit risico kan volgens Will Reijnders (2002, Column) achteraf gemitigeerd worden door middel van analyses van de transacties. Hiermee wordt een randvoorwaarde gecreëerd dat de transacties juist en volledig geregistreerd moeten zijn. De technische maatregelen moeten zorgen voor de integriteit(en dus de juistheid en de volledigheid) van de registraties. Ook zullen er procedurele maatregelen aanwezig moeten zijn, gericht op het analyseren van de retouren op basis van rapportages en het analyseren van de verstoringen in de goederenbeweging. Op die goederenbeweging wordt in de volgende paragraaf ingegaan Goederenbeweging Naast het feit dat er maatregelen moeten zijn om de juistheid en volledigheid van registraties te controleren met de geldstromen, zal een organisatie ook maatregelen kunnen treffen om de registraties te controleren met de goederenstroom. Deze goederenstroom wordt door Starreveld et al. (2004) aangeduid als de goederenbeweging. Volgens Starreveld et al. (2004) wordt onder een goederenbeweging verstaan: het economische proces dat de goederen ondergaan binnen een huishouding op hun weg van inkoopmarkt naar de verkoopmarkt. Deze goederenbeweging vindt in overwegende mate haar neerslag in de voorraadadministratie. Zoals uit de definitie van een afrekensysteem blijkt, registreert het afrekensysteem de uitgaande goederen, waardoor het afrekensysteem een belangrijke plaats kan krijgen in de goederenbeweging. De goederenbeweging is een belangrijk onderdeel in de waardenkringloop van Starreveld et al. (1997). De waardekringloop van Starreveld et al. (1997) bestaat uit een geld- en goederenbeweging. Door deze twee stromen met elkaar in verband te brengen ontstaat een krachtig instrument om de volledigheid van de opbrengsten en de juistheid van de kosten vast te stellen. Starreveld et al. (2004) hebben voor de voorraden een wet van de samenhang tussen toestand en gebeuren als volgt beschreven: Bw Ew + Tw Aw = 0 18

20 Bw = Beginwaren (beginvoorraad) Ew = Eindwaren (eindvoorraad) Tw = Toegevoegde waren (inkopen) Aw = Afgenomen waren (verkopen) Indien deze wet aangepast wordt, waarbij de uitkomst gericht is op de verkochte goederen, dan zou de formule als volgt luiden: BW-EW+TW = AW Om de afgenomen waren betrouwbaar te kunnen berekenen, moeten de beginvoorraad, eindvoorraad en inkopen juist en volledig zijn. Hiermee kan de SOLL-positie van de verkopen bepaald worden. Indien een verband wordt gelegd tussen de registratie van de uitgaande goederen volgens het afrekensysteem, dan kan een controle worden uitgevoerd op de volledigheid van de registraties. Bij de verkopen gaat het om een gesaldeerde positie, dit houdt in dat retouren hierop in mindering gebracht zijn. Het verschil tussen de IST-positie en de SOLL-positie dient daarom ook verder geanalyseerd te worden. De uitkomst van de hierboven beschreven goederenbeweging gaat enkel in op artikelenaantal. Om dit in waarden te kunnen uitdrukken, dient het aantal vermenigvuldigd te worden met de kostprijs. Indien dit doorgetrokken wordt naar waarden van de verkopen, dan zou de uitkomst van de aantallen van de SOLL-positie met betrekking tot de verkopen vermenigvuldigd moeten worden met geldende verkoopprijzen. Op basis hiervan kan de SOLL-positie berekend worden voor de geldontvangsten. Hierbij dient bijvoorbeeld rekening gehouden te worden met analyses op verschafte kortingen en prijswijzigingen. Deze analyses worden ook wel de margeanalyse genoemd. 3.3 TECHNISCHE MAATREGELEN In de vorige paragraaf zijn de procedurele maatregelen beschreven; daaruit is gebleken dat enkele organisatorische en procedurele maatregelen gebruik maken van de technische maatregelen gericht op de registratie van data. De procedurele maatregelen die gebruik maken van de technische maatregelen zijn met name gericht op de subsidiaire registraties. De controles die uitgevoerd worden, steunen met name op de subsidiaire registraties, zoals rapportages met betrekking tot retouren en het aansluiten van ontvangen geld met registreerde ontvangsten. Hieruit kan geconcludeerd worden dat een technische maatregel en de procedurele maatregelen elkaar aanvullen. Voor de technische normen zal gebruik worden gemaakt van twee normenkaders, namelijk de ITGC en het normenkader van de Stichting Betrouwbare Afrekensystemen IT general controls Volgens van Praat en Suerink (2004) zijn de ITGC een set algemeen geaccepteerde maatregelen die minimaal aanwezig moeten zijn om de betrouwbaarheid van een systeem te kunnen waarborgen. In dit onderzoek zal niet de gehele ITGC worden beschreven. De ITGC die worden behandeld, richten zich met name op het operationele beheer en continuïteit. Voor het operationele beheer zijn maatregelen nodig op het gebied van logische toegangsbeveiliging en wijzigingsbeheer. Hoewel de ITGC suggereert dat er sprake is van technische maatregelen, zijn hier ook enkele organisatorische en procedurele maatregelen opgenomen. Logische toegangsbeveiliging Logische toegangsbeveiliging heeft betrekking op de beveiliging van de besturingssystemen. Het betreft het inrichten van de besturingssystemen op zodanige wijze dat gebruikers uitsluitend toegang hebben tot daartoe geautoriseerde applicaties en data om hun functie te kunnen vervullen. Een belangrijk doel is dat de gebruikers niet teveel maar ook niet te weinig bevoegdheden moeten krijgen in de applicatie. Hoewel er verschillende mogelijkheden zijn om toegangsbeveiliging te kunnen implementeren, kan een aantal algemene eisen geformuleerd worden waaraan elk systeem van toegangsbeveiliging moet voldoen. De eisen hebben betrekking op: - Identificatie; 19