UURisicoanalyse in de Accountantscontrole

Transcriptie

1 UURisicoanalyse in de Accountantscontrole Naam: Gian-Philippe Gonsalves Jardin de Ponte Studentnummer:

2 FEE, Universiteit van Amsterdam Drs. A.T.A. Koet RA Afstudeerseminar Accountancy & Control Thesis 2 e Semester I Abstract De rol van de accountant is door diverse boekhoudschandalen als Enron in 2001 en Parmalat en Ahold in 2003 een maatschappelijk item geworden. In het maatschappelijk verkeer en bij de gebruikers van de jaarrekening is onduidelijkheid ontstaan wat expliciet van de accountant mag worden verwacht bij het uitvoeren van zijn controlewerkzaamheden. In het MAB (Maandblad voor Accountancy en Bedrijfseconomie) waren er in die tijd discussies gaande of de controle gebaseerd op de risicoanalyse wel effectief is. De aanpak via het Audit Risk Model, die gebaseerd is op de risicoanalyse, stond ter discussie. Dit concept, welke formeel is voorgeschreven in NV Cos in 2007, kent volgens critici enkele beperkingen. In dit literatuuronderzoek zal de vraag worden beantwoord of het controlemiddel risicoanalyse dat nu gebruikt wordt als instrument voor de inschatting van de risico s bij aanvang en tijdens een jaarrekeningcontrole toereikend is. De conclusie uit dit onderzoek is enerzijds dat dit niet volledig het geval is. Anderzijds moet het model gezien worden als een denkmodel: op basis van de onderkende risico s bepaalt de accountant een mix van controlemaatregelen, die effectief en efficiënt het auditrisico tot een aanvaardbaar niveau terugbrengen. Er is dus voldoende ruimte voor het professional judgement van de accountant, waarmee hij daar waar nodig de controlestandaarden kan wijzigen, vervangen of aanvullen om te komen tot een deugdelijke grondslag voor zijn verklaring. 1

3 II Inhoud Pag. I Abstract 1 II Inhoudsopgave 2 1. Inleiding 4 2. Wat is accountantscontrole, de doelstelling en taak van een accountant 5 en de plaats van risicoanalyse. 2.1 Accountantscontrole De accountant Historisch overzicht van het ontstaan en de ontwikkeling van de Accountantscontrole in Nederland Risicoanalyse en controlerisico 9 3. Het Audit Risk Model Introductie van het Audit Risk Model Het ontstaan van het Audit Risk Model De componenten van het Audit Risk Model Inherent Risico Interne beheersingsrisico Ontdekkingsrisico Het Audit Risk Model (ARM) in NV Cos Het uitgangspunt, NV Cos Identificatie risico s, NV Cos (300), 315 en Maatregelen van de cliënt om de risico s te mitigeren, NV Cos 240 en Werkzaamheden van de accountant: verzamelen van controle-informatie, NV Cos 330 en Evaluatie: genoeg comfort? NV Cos 330 en Afgeven accountantsverklaring, NV Cos

4 Pag. 4. Is de (huidige) risicoanalyse adequaat genoeg Introductie van de discussie over risicoanalyse in de accountantscontrole Literatuuronderzoek De effectiviteit van de systeemgerichte aanpak in de accountantscontrole, Prof. J.H. Blokdijk RA Probleemstelling Argumentatie en conclusie Beoordeling van de interne controle in het kader van de accountantscontrole, Prof. Dr. W.F. de Koning RA, RE Probleemstelling Argumentatie en conclusie Auditrisico, meer dan ooit een issue!, Prof. Dr. K.Y. Mollema Probleemstelling Argumentatie en conclusie in het eerste deel Argumentatie en conclusie in het tweede deel Risicoanalyse in auditing, De reactie van H.H.W. Kloosterman RA, RE op het artikel van Prof. Dr. K.Y. Mollema Probleemstelling Argumentatie en conclusie Conclusie 31 Bibliografie 33 3

5 1. Inleiding Het accountantsberoep heeft tijdens haar ontwikkeling steeds aandacht besteed aan de effectiviteit en efficiëntie van haar controlewerkzaamheden. Het kan doelmatiger zonder dat het controlerisico toeneemt. Accountants anticipeerden hierop door voor en tijdens de accountantscontrole eerst een adequate analyse van de risico s toe te passen, de risicoanalyse. Hierdoor krijg je een historische verschuiving van gegevensgerichte naar deels systeemgerichte controle. De verschuiving van gegevensgericht naar systeemgericht controleren is gebaseerd op de theorie van de risicoanalyse (onderzoek naar het bestaan en de werking van interne beheersingsmaatregelen) in de accountantscontrole. Tegenwoordig moet de accountant, bij het uitvoeren van de accountantscontrole, de regels zoals zijn opgenomen in de NV Cos naleven. Deze standaarden zijn weer gebaseerd op het Audit Risk Model (ARM). Mijn onderzoeksvraag luidt: Is het controlemiddel risicoanalyse dat nu gebruikt wordt als instrument voor de inschatting van de risico s bij aanvang en tijdens een jaarrekeningcontrole toereikend, effectief en doeltreffend? In het eerste hoofdstuk wordt ingegaan op het beantwoorden van de vragen: wat is accountantscontrole, hoe heeft de leer van de accountantscontrole zich ontwikkeld en wat houdt het controlemiddel risicoanalyse in. Vervolgens zal in deze scriptie het Audit Risk Model worden toegelicht. Verschillende elementen van dit model zullen worden weergegeven. Om de vraag te kunnen beantwoorden doe ik een literatuuronderzoek. Na dat literatuuronderzoek hoop ik een antwoord te kunnen vinden op de door mij gestelde onderzoeksvraag. 4

6 2. Wat is accountantscontrole, de doelstelling en taak van een accountant en de plaats van risicoanalyse. 2.1 Accountantscontrole Volgens het boek de Leer van de Accountantscontrole (Limperg en Groeneveld, 1976, p, 15) is accountantscontrole een noodzakelijk element wanneer differentiatie ontstaat tussen de leiding en eigendom van een bedrijf. Er ontstaat dan behoefte aan een externe controlefunctie: wat is het verantwoordingsverslag van de bestuurders waard. De uitkomst van de controle wordt opgenomen in de jaarrekening via de verklaring. De jaarrekening is het jaarlijkse financiële overzicht van de uitkomsten van de bedrijfsvoering van een onderneming. De jaarrekening bestaat uit de balans, winst- en verliesrekening, de toelichting op beide, een accountantsverklaring en voor grote bedrijven ook een kasstroomoverzicht. Het bestuur van het bedrijf legt verantwoording af middels de jaarrekening, die door de onafhankelijke accountant wordt gecontroleerd. De accountant controleert de in de verantwoording opgenomen informatie en geeft daar een oordeel over. De accountant rapporteert de uitkomsten van zijn werkzaamheden in de accountantsverklaring. Daardoor weet het maatschappelijk verkeer wat de informatie in de verantwoording waard is. De accountantscontrole richt zich dus op het verschaffen van zekerheid. Deze zekerheid betreft de juistheid en volledigheid van de in de verantwoording opgenomen financiële gegevens van bestuurders/de leiding van een bedrijf (Klijnsmit, Sodekamp en Wallage, 2003, p. 190). De verklaring van de accountant dat de verantwoording voldoende inzicht geeft, moet gebaseerd zijn op een deugdelijke grondslag. Dat houdt in dat er voldoende werkzaamheden moeten zijn verricht om tot een redelijke mate van zekerheid te komen en een getrouw beeld te geven in de jaarrekening. 2.2 De accountant De deskundige die de controle uitvoert is de accountant. De functie van de accountant wordt in de Leer van de Accountancy (Limperg en Groeneveld, 1976, p. 21) omschreven als: ( ) de functie van de controlerende accountant als die van een vertrouwensman van het maatschappelijk verkeer. Zijn taak, zijn arbeidstaak, moet de technische verwerkelijking van zijn functie zijn. Omvang en inhoud van de taak vloeien dus voort uit de rationele eisen, welke de functie stelt voor haar vervulling. Een accountant moet voldoende bewijsstukken verzamelen om tot dat oordeel te kunnen komen. Als er voldoende bewijsstukken zijn gevonden om de beweringen in de verantwoording te staven, dan kan een accountant een 5

7 verklaring afgeven. Veelal is dit een goedkeurende verklaring. Deze verklaring betreft de in de opgestelde jaarrekening opgenomen informatie. Het is de taak van een accountant een sluitend geheel van controlemiddelen te ontwikkelen om daarmee het getrouwe beeld van de jaarrekening te bevestigen jegens derden. Slaagt de accountant daar niet in dan kan dat zelfs leiden tot een afkeurende verklaring. De accountant dient deskundig en onafhankelijk tot een juist oordeel te komen. Met zijn deskundigheid bepaalt de accountant een controlestrategie die bestaat uit een gegevens- en systeemgerichte controles (Blokdijk, 2001, p. 71). Aan de hand van de uitkomsten van die controles komt de accountant tot een oordeel. Door de onafhankelijke positie van de accountant blijft dit oordeel objectief. Hij is verantwoordelijk om met een redelijke mate van zekerheid een goedkeurende verklaring af te geven. De jaarrekening mag namelijk geen afwijkingen van materieel belang bevatten. Desalniettemin is natuurlijk de kans aanwezig dat de accountant een onjuist oordeel afgeeft. Volledige zekerheid kan de accountant nooit verstrekken. In de accountantsverklaring van de accountant staat daarom vermeld: onze controle zodanig te plannen en uit te voeren dat een redelijke mate van zekerheid wordt verkregen dat de jaarrekening geen afwijkingen van materieel belang bevat. Een afwijking, die niet materieel is en binnen bepaalde materialiteitsgrenzen valt, wordt dus over het algemeen geaccepteerd. Hierbij valt te denken aan bijv. de rekeningpost inkopen etenswaar van een hotel. Wanneer het totaal bedrag over de betreffende periode van deze kosten ,- bedraagt, dan zullen er geen consequenties zijn wanneer deze post 10,- (0.01%) afwijkt van de werkelijke situatie. Deze afwijking zal in het algemeen worden geaccepteerd. Echter bij een afwijking van 1.000,- (1%) zal het getrouwe beeld van de inkopen al meer onder druk komen te staan. De jaarrekening dient een getrouw beeld te geven van de grootte en de samenstelling van het vermogen en van het resultaat van het gecontroleerde bedrijf (NV Cos 700 paragraaf 42). Deze weergave is uiteindelijk van belang voor gebruikers van de jaarrekening, daarbij valt te denken aan banken en aandeelhouders. Degene die verantwoordelijk is en de vraag moet beantwoorden of hij voldoende gedaan heeft om tot een verklaring te komen, is de accountant. 2.3 Historisch overzicht van het ontstaan en de ontwikkeling van de accountantscontrole in Nederland De accountantscontrole heeft zich in de afgelopen eeuw ontwikkeld. Voor een inzicht in de ontwikkeling van de leer van de accountantscontrole volgt hierna een korte weergave van de historie van de accountantscontrole in Nederland. 6

8 Ruim 100 jaar geleden is het beroep accountant ontstaan. Rond het jaar 1900 bestond de accountantscontrole uit fragmentarische controle en administratieve bijstand. De fragmentarische controle houdt in dat losstaande elementen worden gecontroleerd en niet de verantwoording in zijn geheel. In de betreffende periode werd het beroep uitgeoefend door hoog administratief geschoolden, die kennis hadden van fiscaal recht. In die tijd stelden deze specialisten de jaarrekening geheel zelf op door alle beschikbare gegevens opnieuw te journaliseren en de saldibalans op te stellen. Vervolgens werd de kolommenbalans en de jaarrekening verder uitgewerkt en uiteindelijk vergeleken met die van de onderneming (Bac e.a., 2003, pp ). Het kwam er op neer dat het werk dubbel werd gedaan. De specialisten voerden het werk van de onderneming opnieuw uit om de resultaten van hun eigen werk te kunnen vergelijken met dat van de organisatie. In 1924 kwam de heer A. Sternheim in zijn Leerboek der Accountancy met de volledige controle: de accountant moet alles hebben gezien om tot een redelijke mate van zekerheid te komen in zijn oordeel, de bottom-up benadering (Groeneveld, 2008, p. 17). De volledige controle houdt in dat de accountant van elke mutatie in de boekhouding alle bewijsstukken controleert en volgt: elke factuur en elk bonnetje wil hij zien. De accountant baseert zijn oordeel op eigen waarnemingen van alle bewijsstukken. Later introduceerde hoogleraar T. Limperg van de Universiteit van Amsterdam in 1930 de volkomen controle. De eis van volkomenheid was volgens Limperg: er mag niets aan ontbreken, dat essentieel is (Limperg en Groeneveld, 1976, p. 69). De volkomen controle was gebaseerd op omspannende verbandcontroles, waardoor het vaststellen van de volledigheid van de in de verantwoording opgenomen financiële informatie wordt bereikt. Het essentiële verschil met volledige controle is dat de aan de verbanden ten grondslag liggende mutaties niet allemaal gecontroleerd hoeven te worden: maar wel bijvoorbeeld voorraadopnames moeten worden verricht en de inkoopfacturen moeten worden gecontroleerd. Het is de verbandlegging van meerdere mutatiestromen. Zoals later door prof. R.W. Starreveld zal worden aangeduid als de samenhang van toestand en gebeuren en het rationeel verband van opgeofferde en verkregen waarde. Een voorbeeld is Beginvoorraad (te controleren) + Inkopen (te controleren) Eindvoorraad (te controleren) = dat gene wat verkocht moet zijn (soll-positie) = Verkopen (isst-positie). Rond 1950 begon het begrip interne controle centraler te staan. De discussie toentertijd was of de accountant wel eenvoudigweg mocht steunen op de interne controle van een bedrijf (Bac e.a., pp. 11). Velen zullen bij de accountantscontrole van de jaarrekening denken aan het controleren van gegevens. De gegevens die zijn verwerkt aan de hand van diverse bonnen 7

9 en facturen. Echter daar horen ook de inventarisatie van goederen, geldstromen en waardepapieren bij. Dit worden de gegevensgerichte werkzaamheden genoemd, waar de accountant gedetailleerd controleert en de cijfers analyseert (Blokdijk, 2001, p. 71). Naderhand is de focus meer gevallen op het doelmatiger en efficiënter te werk gaan. Als de accountant kan vaststellen dat een administratief systeem betrouwbaar en nauwkeurig gegevens verwerkt, dan is het niet nodig om die gegevens allemaal te controleren. Accountants streven ernaar om net als een ondernemer met zo min mogelijk controlewerk tot een hogere opbrengst te komen. Hierin heeft de ontwikkeling en het gebruik van informatiesystemen een grote rol in gespeeld. Een betrouwbaar accounting information system (AIS) behoort gegevens betrouwbaar en juist te verwerken tot informatie en de gebruiker daardoor tot een goede besluitvorming te laten komen. De accountant kan het systeem (dat meer is dan het geautomatiseerde gegevensverwerkende systeem, de gegevens moeten wel juist, tijdig en volledig in het systeem verwerkt worden) op betrouwbaarheid beoordelen. Dit is de systeemgerichte aanpak in de accountantscontrole (Blokdijk, 2001, p. 71). In het jaar 1978 kwam de heer L.A. van Hulsentop met de analytische controle aanpak. Belangrijke elementen van deze aanpak waren de cijferbeoordeling (het beoordelen van balansposten en stroomgegevens, ook met betrekking tot voorgaande jaren) en het steunen op interne controle, de top-down benadering. De accountants begonnen gerichter naar de opzet en werking van de interne organisatie, administratieve organisatie en de maatregelen van interne controle die daarmee samenhangen te kijken (Bac e.a., pp ). Bij een positieve beoordeling nemen de gegevensgerichte controlewerkzaamheden af ten gunste van het systeemgericht controleren (Blokdijk, 2001, p. 71). Rond 1988 kwam de controle gebaseerd op risicoanalyse op gang. Het doel van deze aanpak is de aandacht van de accountant te richten op die posten en stromen in de jaarrekening waar het grootste risico bestaat op een materiële fout (Bac e.a., 2003, pp ). De accountant is streeft daardoor dus meer efficiëntie na door te analyseren waar de grote risico s verscholen liggen en controlediepgang noodzakelijk is. Hij beperkt daarmee het risico van het en onrechte afgeven van een goedkeurende verklaring. Al geruime tijd is de op risicoanalyse gerichte controle (het Audit Risk Model) internationaal algemeen aanvaard en hanteren de grote accountantskantoren deze aanpak als basis voor hun controle (Klijnsmit, Sodekamp en Wallage, 2003, p. 190). De vraag is of deze drang naar efficiëntie van de controlewerkzaamheden niet te ver is doorgeschoten. Wordt er nog wel voldoende gegevensgericht gecontroleerd en zo ja, waar en wanneer en in welke mate. 8

10 2.4 Risicoanalyse en controlerisico Een accountant moet zijn oordeel kunnen onderbouwen, ook wanneer hij steunt op de interne controle van een bedrijf. Hij moet kunnen aangeven waarom hij een goedkeurende verklaring heeft afgegeven. De accountant zal zodoende rekening moeten houden met risico s in en rondom de posten in de jaarrekening (Kloosterman, 2004, pag. 571). Volgens Klijnsmit, Sodekamp en Wallage (2003, p. 190) is audit risk, oftewel controlerisico, een vaktechnisch risico. De beheersing van dit risico behoort dus tot een onderdeel van het accountantsberoep, Controlerisico houdt in: de mogelijkheid dat de jaarrekening incorrect is en dat daar ten onrechte een goedkeurende verklaring bij is gegeven (Bloomfield, 1995, p. 71). Het controlemiddel risicoanalyse in de accountantscontrole is in feite het inzichtelijk maken van de risico s. Dit moet leiden tot een gemotiveerde beperking van de controlewerkzaamheden. De accountant behoort dus, met behulp van deze risicoanalyse te bepalen welke balansposten en transactiestromen het waard zijn om intensiever te controleren. Een goede risicoanalyse beperkt de hoeveelheid gegevensgerichte controles (Blokdijk, 2001, p. 71). De accountant onderzoekt van te voren wat de meeste aandacht vereist en in hoeverre hij kan steunen op de interne beheersingsmaatregelen. Een en ander is opgenomen in de regelgeving van de International Standard on Auditing 400 (ISA 400) Risk Assessment and Internal Control, die in Nederland eerst was overgenomen in de Richtlijnen voor de Accountantscontrole (RAC 200), en vanaf 1 juli 2007 te vinden is in Nadere voorschriften Controle- en overige standaarden NV Cos (Handleiding regelgeving accountancy deel 1, HRA). In Standaard NV Cos 315 wordt de regelgeving rond de risicoanalyse in de accountantscontrole weergegeven. In NV COS 315 gaat het om het verwerven van kennis over de betreffende organisatie en de omgeving en het inschatten van het risico van een afwijking van materieel belang. In Standaard 200 van NV Cos wordt ingegaan op de doelstelling en algemene uitgangspunten van de controle van financiële overzichten. Hierin staat het uitgangspunt van de risicoanalyse. In dit artikel wordt ingegaan op het controlerisico. Dit is het risico dat een onjuiste accountantsverklaring wordt afgegeven, indien de financiële overzichten een afwijking van materieel belang bevatten. Controlerisico bestaat uit drie verschillende onderdelen: inherent risico, interne beheersingsrisico en ontdekkingsrisico. In Standaard 200 van de NV Cos worden deze risico s omschreven. 9

11 Controlerisico is volgens NV Cos 200 paragraaf 23: het risico dat een accountant een onjuiste accountantsverklaring afgeeft indien de financiële overzichten een afwijking van materieel belang bevatten. Inherent risico is volgens NV Cos 200 paragraaf 29: de gevoeligheid van een bewering voor een afwijking die afzonderlijk of samen met andere afwijkingen van materieel belang kan zijn, in de veronderstelling dat er geen interne beheersingsmaatregelen zijn met betrekking tot deze bewering., Intern beheersingsrisico is volgens NV Cos 200 paragraaf 29: het risico dat een afwijking die voorkomt in een bewering en die, afzonderlijk of samen met andere afwijkingen, van materieel belang kan zijn, niet wordt voorkomen of tijdig ontdekt en gecorrigeerd door de interne beheersingsmaatregelen van de entiteit. Ontdekkingsrisico is volgens NV Cos 200 paragraaf 31: het risico dat de accountant een afwijking in een bewering niet ontdekt, die afzonderlijk of samen met andere afwijkingen van materieel belang kan zijn. Het risico dat de accountant geen onjuistheden ontdekt, het ontdekkingsrisico, hangt af van het inherente risico en interne beheersingsrisico. Dit zijn de drie belangrijke componenten van risicoanalyse. Hierover zal verder worden ingegaan in paragraaf 3 over het Audit Risk Model. De samenhang tussen deze drie componenten speelt een belangrijke rol in de discussie over de toepassing van risicoanalyse in de accountantscontrole 10

12 3. Audit Risk Model 3.1 Introductie van het Audit Risk Model Het Audit Risk Model, ook wel genoemd als het Audit Assurance Model, is een internationaal erkend accountantsinstrument. Het doel van de accountantscontrole is het verschaffen van een redelijke mate van zekerheid. Het proces dat de accountant hiervoor moet volgen is gebaseerd op dit model. Daarom wordt het Audit Risk Model ook wel gezien als een denkmodel die de rode draad in de controle aangeeft. Audit risk is het risico van het ten onrechte afgeven van een goedkeurende verklaring bij de jaarrekening, het controlerisico. Het Audit Risk Model is een systeemgerichte aanpak, die gebaseerd is op de risicoanalyse in de accountantscontrole (Blokdijk, 2001, p. 71). Bij de aanvang van de jaarrekeningcontrole worden bij het gecontroleerde bedrijf, met behulp van het Audit Risk Model (ARM), de risico s ingeschat. Het gaat om het inschatten van het risico dat de jaarrekening afwijkingen bevat van materieel belang. Door deze inschatting wordt vastgesteld hoeveel gegevensgerichte werkzaamheden de accountant tijdens zijn controle moet uitvoeren. Het doel is het controlerisico te beperken. In de praktijk kan dit niveau variëren van 1% tot aan 5% kans dat een goedkeurende verklaring wordt gegeven met een materiële onjuistheid (Klijnsmit, Sodekamp en Wallage, 2003, p. 191). De beschrijving van het model is te vinden in de International Standard on Accounting 400 (ISA 400). In Nederland is het model te vinden in NV Cos 200, 240, 315, 330, 500 en Het ontstaan van het Audit Risk Model Het ARM is ontstaan in jaren zeventig en tachtig van de vorige eeuw. Het is ontstaan door wiskunde toe te voegen aan de accountantscontrole en steekproeven uit te voeren (2004, Kloosterman, p 572). De steekproeven zijn gebaseerd op Bayesiaanse statistiek. Dit is een theorie van de Engelse wetenschapper T. Bayes uit de 18 e eeuw. Deze methode houdt kortweg in dat de accountant inschat waar de bovengrens van een fout ligt in de populatie (bijv. een rekeningpost), waarvan hij zeker weet dat die grens niet wordt overschreden. Het bedrag dat de accountant vaststelt voor deze grens is de input voor zijn rekenwerk, waaruit leidt dat de hoeveelheid gegevensgerichte werkzaamheden afneemt. De statistische methode van de steekproeven wordt gebruikt om het bedrag te kunnen beoordelen van een onjuistheid, die voor kan komen bij een rekeningpost in de jaarrekening. Kloosterman (2004, pp ) geeft als voorbeeld: Door het kunnen toepassen van geldsteekproeven kan een financiële verantwoording worden beschouwd als een bak met geld die moet worden gecontroleerd 11

13 (bijvoorbeeld de jaarrekening als geheel). Voor zo ver over een of meer van deze componenten een afzonderlijk oordeel nodig is, kunnen die afzonderlijke componenten weer zelf als een bak met geld worden beschouwd. Door de ontwikkeling van deze Monetary Unit Sampling heeft het ARM een duw in de rug gekregen (Kloosterman, 2004, p. 412). 3.3 De componenten van het Audit Risk Model Zoals in paragraaf 2 is aangegeven bestaat het ARM uit 3 componenten: inherent risico, interne beheersingsrisico en ontdekkingsrisico. Het ontdekkingsrisico wordt ook weleens gesplitst weergegeven als het cijferanalyse risico plus het steekproefrisico. Er heerst een discussie hoe het ARM moet worden gezien. Sommige zien het als een rekenmodel en anderen als een denkmodel. De (wiskundige) formule van het rekenmodel zou als volgt kunnen zijn: Controlerisico = inherent risico interne beheersingsrisico ontdekkingsrisico. Echter het ARM kan dus ook worden gezien als een denkmodel, waarin de componenten niet geheel onafhankelijk van elkaar zijn. Het ARM is dan een conceptueel raamwerk: Aanvaardbaar Audit Risk = functie van (inherent risico, interne beheersingsrisico, ontdekkingsrisico). Het Aanvaardbare Audit Risk is het vooraf vastgestelde risico dat de accountant bereid is te nemen. Dit is het risico dat ten onrechte een goedkeurende verklaring is afgegeven, (Klijnsmit, Sodekamp en Wallage, 2003, p. 192). In paragraaf 2 zijn de drie componenten van het model al vertaald, zoals het staat weergegeven in de regelgeving voor de accountant in NV Cos. Ik zal de begrippen nog nader toelichten Inherent risico Inherent risico is kortweg de kans dat materiële fouten ontstaan in de veronderstelling dat er geen interne beheersingsmaatregelen daarmee verband houden (Messier, 2000, p. 120). Bij dit risico dient de zekerheid voornamelijk te worden ontleend aan ervaringsgegevens en professional judgement met betrekking tot het onderkennen en inschatten van risico s. Het inherent risico wordt grotendeels vastgesteld door de activiteiten van het gecontroleerde bedrijf en wordt beïnvloed door externe factoren. Een externe factor die het inherente risico 12

14 kan beïnvloeden is de technologische ontwikkeling. Bij de technische ontwikkeling valt bijvoorbeeld te denken aan de incourantheid van een bepaald product, waardoor de voorraad mogelijkerwijs overgewaardeerd wordt. Andere externe factoren die het risico kunnen beïnvloeden zijn bijvoorbeeld de economische situatie in het algemeen (Chang, 2008, p. 1054). Gezien deze factoren heeft de accountant geen invloed op dit inherente risico en kan hij het enkel beoordelen (Blokdijk, 2004, p. 187). Het is daarom heel moeilijk voor de accountant om dit risico te reduceren en kan zelfs prijzig zijn om dit na te streven. Ondanks de moeilijkheidsfactor behoort de accountant dit toch te analyseren. Inherent risico staat in verband met de effectiviteit en de efficiency van de accountantscontrole. Wanneer de accountant aan het begin van zijn werkzaamheden dit risico te hoog stelt, dan verricht hij meer werkzaamheden dan eigenlijk noodzakelijk was. Dit leidt dan tot een minder efficiënte controleaanpak. In het omgekeerde geval wanneer het inherente risico te laag is vastgesteld, dan kan de controle niet effectief uitpakken. Essentieel is het dus voor de accountant om met zijn deskundigheid het niveau van het inherente risico juist vast te stellen voor zijn werkzaamheden (Colbert, 1988, pp ) Interne beheersingsrisico Het interne beheersingsrisico houdt volgens Blokdijk (2001, p. 71) in: de kans dat fouten niet door de gecontroleerde zelf voorkómen dan wel tijdig ontdekt worden. Een fout van materieel belang kan dus niet gelijk worden opgespoord of ontdekt door de interne beheersingsmaatregelen van de entiteit, het gecontroleerde bedrijf. Net als het inherente risico kan het interne beheersingsrisico alleen maar worden vergroot door de interne beheersingmaatregelen van het gecontroleerde bedrijf. ISA 400 paragraaf 47 stelt: hoe hoger de beoordeling is op inherent en interne beheersingsrisico, hoe meer controlebewijs de accountant moet zien te verkrijgen door gegevensgerichte controles (Blokdijk, 2004, p. 187). De accountant zelf heeft in principe, net als op het inherente risico, ook geen directe invloed op het interne beheersingsrisico. Anderzijds kan hij wel indirect invloed uitoefenen door te adviseren waar interne beheersingsmaatregelen zouden kunnen worden uitgevoerd binnenin het bedrijf. Daarom worden het inherent en interne beheersingsrisico ook wel het auditee risk (risico van het gecontroleerde bedrijf) of occurence risk (risico dat iets voorvalt) genoemd. Waar het inherent risico wordt beïnvloed door externe factoren, gaat het bij interne beheersingsrisico om de interne factoren. Factoren die de beoordeling van dit risico beïnvloeden zijn bijvoorbeeld: de organisatie en het personeel op de boekhoudafdeling van 13

15 het gecontroleerde bedrijf, de betrouwbaarheid van een Electronic Data Processing system (EDP systeem) of de verkregen managementinformatie om na te gaan wat de bedrijfsactiviteiten van het bedrijf zijn. (Chang, 2008, p. 1054). Het interne beheersingsrisico steunt vanzelfsprekend op de uitgevoerde besluiten van het bestuur op het gebied van interne beheersingsmaatregelen, maar het is evenzeer van belang in hoeverre het personeel overeenkomstig de interne wet- en regelgeving te werk gaat (ISA 400 paragraaf 2). De accountant steunt bij een systeemgerichte controle op de interne beheersingsmaatregelen van het bedrijf. Van belang is dan zeker dat hij de entiteit moet kennen. Hij moet ook te weten komen of de boekhouding en de interne systemen adequaat werken bij de entiteit. Pas als hij een goed inzicht heeft in de opzet en de werking van de interne beheersingsmaatregelen inclusief de vastgestelde procedures van een entiteit en een goed overzicht heeft van de totstandkoming van de producten en/of de geleverde diensten, dan kan hij zijn controle uitstippelen en een goede controle benadering kiezen Ontdekkingsrisico De derde component van het Audit Risk Model is het ontdekkingsrisico. Ontdekkingsrisico is het risico dat de accountant een materiële onjuistheid in de jaarrekening over het hoofd ziet en niet ontdekt (Blokdijk, 2004, p. 187). De accountantscontrole heeft de fout met behulp van cijferanalyse en steekproeven niet ontdekt. In tegenstelling tot de andere twee componenten heeft de accountant hier dus wel invloed op. Het ontdekkingsrisico staat in verband met de effectiviteit van de controlewerkzaamheden van de accountant (NV Cos 200 paragraaf 31). Hoe meer controles (gegevensgericht) worden uitgevoerd des te meer zal het risico worden teruggebracht. Het is uiteindelijk aan de accountant de eigen werkzaamheden te bepalen om tot een juist oordeel te komen. Factoren die dit risico kunnen beïnvloeden zijn bijvoorbeeld: het kiezen van een onjuiste controleaanpak, misvatting van de controleresultaten en de toepassing van het gebruik van waarnemingen, al of niet steekproefsgewijs (Chang, 2008, p. 1054). Uitgaande van het ontdekkingsrisico wordt het ARM in het Statement on Auditing Standards No. 47 (SAS 47) ook wel gepresenteerd als: Ontdekkingsrisico = Aanvaardbaar Audit Risk. Inherent risico Int. beh. risico 14

16 Wil de accountant het ontdekkingsrisico laag hebben dan zal hij meer gegevens moeten verzamelen. Samengevat bestaat volgens het Audit Risk Model het controlerisico dus uit drie componenten: inherent risico, interne beheersingsrisico en ontdekkingsrisico. Het gaat erom dat als één van deze componenten door de accountant wordt gereduceerd, hij het controlerisico beperkt. De accountant zal streven naar een controlerisico van 5% of minder waarbinnen mag worden afgeweken in materieel belang. Wordt de grens overschreden, dan zal ten onrechte een goedkeurende verklaring zijn afgegeven. Het onderstaande plaatje (figuur 1) geeft duidelijk weer, hoe bij toepassing van het Audit Risk Model tot een onjuist oordeel kan worden gekomen en ten onrechte een goedkeurende verklaring wordt afgegeven. Figuur 1, De wiskundige formule van het Audit Risk Model: Zijn er materiële fouten aanwezig in de jaarrekening? Zo ja, zijn die dan ontdekt door de interne beheersingsmaatregelen van het bedrijf? Zo nee, heeft de accountantscontrole deze fouten kunnen ontdekken? Is het antwoord daarop nee, dan is er een onjuist oordeel afgegeven. 3.4 Het Audit Risk Model (ARM) in NV Cos Het ARM staat beschreven in de Handleiding Regelgeving Accountancy in Nadere voorschriften Controle- en overige standaarden (NV Cos). Onlangs zijn er weer nieuwe controlestandaarden aangekondigd die voortkomen uit het Clarityproject van het International Auditing and Assurance Standards Board (IAASB) van de International Federation of Accountants (IFAC), die aanvulling moeten geven aan de NV Cos. Hierop zal niet worden 15

17 ingegaan in dit literatuuronderzoek, omdat deze nog in de kinderschoenen staan. De rode draad van het ARM wordt weergegeven in de Standaarden NV Cos 200, 240, 300, 315, 330, 500 en 700. Eimers (2006, p. 79) geeft mooi in hoofdlijnen aan hoe het ARM werkt. The story of the audit loopt door de standaarden NV Cos 240, 315, 330, 500 en 700. a) Identificatie risico s (NV Cos 315, 240) b) Maatregelen van de cliënt om de risico s te mitigeren (NV Cos 240, 330) c) Werkzaamheden van de accountant: verzamelen van controle-informatie (NV Cos 330, 500), zowel systeemgerichte als gegevensgerichte elementen d) Evaluatie: genoeg comfort? (NV Cos 330, 500) e) Afgeven accountantsverklaring (NV Cos 700) Het uitgangspunt, NV Cos 200 In NV Cos 200 is de regelgeving opgenomen met betrekking tot de doelstelling en algemene uitgangspunten van de controle van financiële overzichten. In de inleiding van deze Standaard staat omschreven dat deze Standaard ten doel heeft: grondslagen en essentiële werkzaamheden te formuleren en aanwijzingen te geven omtrent de doelstelling en de algemene uitgangspunten van de controle van financiële overzichten. In deze Standaard wordt onder andere een uitleg gegeven van verschillende begrippen. Er wordt aangegeven, wat wordt bedoeld met het geven van een redelijke mate van zekerheid en wat het materieel belang inhoudt. Na de uitleg van de begrippen worden, zoals in de vorige paragraaf is aangegeven, de drie componenten van het ARM uitgelegd. NV Cos 200 is dus het begin van de rode draad van risicoanalyse waar het fundament wordt weergegeven (Eimers, 2006, p. 79) Identificatie risico s, NV Cos (300), 315 en 240 In NV Cos 300 zijn regels opgenomen ten aanzien van de planningswerkzaamheden van de accountant ter voorbereiding van de controle van financiële overzichten. Hier gaat het om het 16

18 opstellen van de gehele controleaanpak en het identificeren van risico s. Bij de identificatie van risico s is het verschil tussen significant risico en de overige risico s van belang. Significant risico is het risico dat een verhoogde kans geeft op een materiële fout op het totaalniveau van de jaarrekening en dus vraagt om extra aandacht (Eimers, 2006, p. 80). Volgens paragraaf 110 NV Cos 315 ontstaat dit risico vaak bij niet-routinematige uitzonderlijke transacties. Een ander aspect, dat staat beschreven in deze Standaard, is dat de accountant over een zekere bedrijfskennis moet beschikken. Hij moet de interne beheersing kennen van het gecontroleerde bedrijf en weten welke omgevingsfactoren van invloed zijn op het bedrijf. In NV Cos 240 wordt de verantwoordelijkheid van de accountant bij fraude beschreven. Hierin staat hoe de accountant moet omgaan bij de identificatie van risico s met een afwijking van materieel belang als gevolg van fraude. Ook wordt aangegeven hoe met de standaarden en aanwijzingen in NV Cos 315 en 330 moet worden omgegaan (Eimers, 2006, p. 81) Maatregelen van de cliënt om de risico s te mitigeren, NV Cos 240 en 330 In NV Cos 240 en 330 wordt aangegeven dat gekeken moet worden wat het gecontroleerde bedrijf precies doet om de mate van risico s te beperken en fraude te voorkomen. NV Cos 240 geeft aan wat de verantwoordelijkheid van de accountant hier in is en wat van hem wordt verwacht bij het identificeren van risico s. De accountant kan een fraudegeval niet zien als een afzonderlijke gebeurtenis, maar moet wel vaststellen wat de impact daarvan op het beeld in de verantwoording is. NV Cos 330 is het vervolg op de risico-inschattingen van Standaard 315. In deze Standaard wordt ingegaan op de controlewerkzaamheden van de accountant. De werkzaamheden, naar aanleiding van de gemaakte risico-inschattingen, kunnen systeem- of gegevengerichte werkzaamheden zijn of een combinatie van beiden. Aan de hand van het risico worden dus de aard, tijdsfasering en omvang van beide soorten werkzaamheden bepaald. Verder is aangegeven dat het belangrijk is om goede vastleggingen te maken, dossiervorming. Het hele proces, de werkzaamheden en de uitkomsten van de controles moeten nauwgezet gedocumenteerd worden. (Eimers, 2006, p. 81) Werkzaamheden van de accountant: verzamelen van controle-informatie, NV Cos 330 en 500 De accountant heeft in zijn controleplan (vooraf) bepaald welke werkzaamheden hij gaat uitvoeren en op welk niveau hij dit gaat doen. Dit kan een gegevens- en/of systeemgerichte 17

19 controle zijn op het niveau van het financieel overzicht in zijn geheel of op beweringniveau. Het beweringniveau kan een enkele rekeningpost zijn of een transactiestroom. Hij zal zijn werkzaamheden opzetten en uitvoeren met als doel om voldoende controle-informatie te verkrijgen of de bewering juist is. In standaard NV Cos 500 staat deze controle-informatie centraal. De accountant heeft als doel om toereikende controle-informatie te vergaren om onderbouwde conclusies te trekken. De controle-informatie zal toerijkend zijn, wanneer de accountant met een redelijke mate van zekerheid zijn accountantsoordeel kan baseren op deze conclusies. Dit is ook het doel van zijn controle Evaluatie: genoeg comfort? NV Cos 330 en 500 Nadat de benodigde gegevens zijn verzameld, zal de accountant gaan analyseren en beoordelen of dit toereikend is. In NV Cos 330 o.a. paragraaf 66 wordt op basis van de uitgevoerde controlewerkzaamheden en de verkregen controle-informatie aangegeven, of de inschatting van het risico van een afwijking van materieel belang op beweringniveau juist blijft. Dit beweringniveau kan een rekeningpost zijn, een transactiestroom of een onderdeel van de toelichting. De accountant bepaalt dan aan de hand van zijn controledocumentatie of hij een afdoende oordeel kan vellen. Indien de accountant geen toereikende controleinformatie heeft verkregen, dient hij volgens paragraaf 72 een accountantsverklaring met beperking of van oordeelonthouding af te geven. Vanzelfsprekend is dat wanneer de controleinformatie wel toereikend is, de accountant een goed oordeel kan vormen Afgeven accountantsverklaring, NV Cos 700 Tenslotte staat in NV Cos 700: De accountantsverklaring bij een volledige set van financiële overzichten voor algemene doeleinden. Het oordeel van de accountant komt tot uiting in de accountantsverklaring. Deze accountantsverklaring wordt opgenomen in de jaarrekening, die onderworpen is aan de accountantscontrole. Deze jaarrekening moet zijn opgesteld op basis van een algemeen aanvaard stelsel voor financiële verslaggeving ter informatie van een brede groep gebruikers. Een stelsel dat algemeen aanvaard is, behoort gebruik te maken van regelgeving als: Boek 2 Burgerlijk Wetboek titel 9 (BW 2: 9) waar de algemene bepalingen en voorschriften staan voor de jaarrekening en het jaarverslag, de Richtlijnen voor de Jaarverslaggeving, IFRS en US-GAAP. De jaarrekening moet dus een getrouw beeld geven van het vermogen en resultaat van het bedrijf. Dit moet duidelijk zijn weergegeven voor de gebruikers hiervan zoals aandeelhouders, banken en verbonden partijen. 18

20 Toch worden accountants maatschappelijk bekritiseerd over hun accountantsverklaring en hebben enkele professoren in de accountancywereld hun twijfels over de toepassing en het concept van het ARM. De vragen die zich opdringen zijn: of via dit concept de risicoanalyse wel adequaat genoeg is en/of deze niet onderhevig is aan verbetering. Zelfs zal moeten worden gedacht aan een eventueel alternatieve aanpak. Om een beeld te krijgen van deze interessante vragen zal in de volgende paragraaf worden ingegaan op de discussies die hebben plaatsgevonden in het Maandbad voor Accountancy en Bedrijfseconomie (MAB). 19

21 4. Is de (huidige) risicoanalyse adequaat genoeg 4.1 Introductie van de discussie over risicoanalyse in de accountantscontrole De accountant behoort volgens de Handleiding Regelgeving Accountancy risico s te beheersen. Hij zal niet streven naar het verschaffen van volledige zekerheid met zijn controle, waar enig risico is uitgesloten. Dit komt nauwelijks voor en is bovendien een inefficiënt streven. Dit betekent dat we terug zouden moeten gaan naar het begin van de vorige eeuw met de fragmentarische en volledige controle. De accountant is de specialist en stelt dan weer in zijn geheel de jaarrekening zelf op. Bovendien wil hij elk bonnetje en elke factuur zelf hebben gezien om dit te kunnen beoordelen. Dit zal naar alle waarschijnlijk niet gebeuren. In de huidige moderne samenleving zijn er multinationals ontstaan met een gigantische omvang en is de technische ontwikkeling bij producten, diensten en systemen razendsnel gegroeid. Het gevolg is dat met behulp van een volledige accountantscontrole het inefficiënt en lastiger is geworden om een oordeel af te geven over de financiële verslaggeving van deze bedrijven. De accountant zal risico s moeten onderkennen. Dit komt tot uitdrukking in het Audit Risk Model voor het uitvoeren van zijn werkzaamheden. Volgens NV Cos 315 moet de accountant risico s identificeren in zijn controle en deze zien terug te brengen naar een algemeen geaccepteerd aanvaardbaar niveau. In de regelgeving wordt dus de controleaanpak weergegeven volgens de methode van het ARM. Is deze methode wel adequaat of is er toch kritiek. Ik geef in het kort enkele artikelen weer van auteurs uit het Maandblad voor Accountancy en Bedrijfseconomie (MAB), die weergeven hoe er in het begin van deze eeuw werd aangekeken tegen het ARM en welke polemiek er heerste. Ten slotte kom ik dan tot een conclusie. 4.2 Literatuuronderzoek De effectiviteit van de systeemgerichte aanpak in de accountantscontrole, Prof. J.H. Blokdijk RA Probleemstelling Prof. J.H. Blokdijk RA is emeritus hoogleraar accountancy aan de Vrije Universiteit en de Universiteit Nyenrode. Hij is thans werkzaam als adviseur van accountants en advocaten. In het maartnummer 2001 van het Maandblad voor Accountancy en Bedrijfseconomie stelt de heer Blokdijk het Audit Risk Model ter discussie. De kernvraag die wordt geformuleerd in zijn bijdrage luidt: of het audit risk model en de systeemgerichte aanpak een deugdelijke grondslag voor de accountantsverklaring leveren. Blokdijk (2001, p. 72) zegt dat men moet 20

22 inzien dat fouten in een verantwoording alleen worden ontdekt door de uitvoering van gegevensgerichte werkzaamheden. Bij systeemgerichte werkzaamheden, uitgevoerd volgens het ARM, kan de accountant wel tot de ontdekking komen van mogelijke fouten, en zelfs tot aanwijzingen voor het bestaan van fouten, maar niet tot de ontdekking van de fouten zelf Argumentatie en conclusie Ter beantwoording van de kernvraag behandelt Blokdijk in het MAB een zevental onderwerpen die betrekking hebben op het vaststellen van het bestaan en de werking van de administratieve organisatie (AO) en de interne controle (IC) in een geautomatiseerde omgeving. Ten aanzien van het onderzoek naar de opzet van de AO/IC heeft Blokdijk geen bedenkingen. Zijn bijdrage is gericht op het onderzoek naar het bestaan en naar de werking. Dit onderzoek dient volgens ISA 400 (Risk Assessment and Internal Control) uitgevoerd te worden door toepassing van tests of control (controle met documenten en heruitvoering van interne controlemaatregelen) oftewel lijncontroles genoemd. ISA 400 noemt in paragraaf 30 als voorbeelden van tests of control de volgende maatregelen: Onderzoek van documenten die ten grondslag liggen aan bepaalde transacties of andere gebeurtenissen om vast te stellen dat de maatregelen van interne controle juist hebben gewerkt, bijvoorbeeld nagaan dat een transactie is geautoriseerd ( inspection of documents ) Informeren naar en waarnemen van bepaalde maatregelen van interne controle die niet leiden tot een controleerbare vastlegging, bijvoorbeeld het vaststellen wie feitelijk de maatregel uitvoert, niet slechts wie geacht wordt dit te doen ( inquiry and observation ) Opnieuw uitvoeren van maatregelen van interne controle, bijvoorbeeld het afstemmen van bankrekeningen om vast te stellen dat deze afstemming op een juiste wijze door de gecontroleerde is uitgevoerd ( reperformance ) Het ARM is volgens hem een verbrokkeld systeem. Voor wat betreft het beoordelen van de opzet en de vaststelling van het bestaan van de AO/IC is het systeem in orde. Het beoordelen van de werking van interne controle kan volgens Blokdijk alleen op indirecte wijze worden uitgevoerd. Je zult de resultaten van de interne controle, de cijfers, aan een onderzoek moeten onderwerpen. Tot dusverre wordt tests of control in de Nederlandse regelgeving als systeemgerichte werkzaamheden omschreven. Blokdijk (2001, p. 78) pleit er voor om de tests of control als element van de risicoanalyse af te schaffen en deze een plaats 21

23 te geven in de analytical procedures. Deze procedures dienen namelijk om richting te geven aan de gegevensgerichte controles zoals cijferbeoordeling en verbandcontroles. Het informeren naar en het waarnemen van de uitvoering van maatregelen van interne controle levert niet voldoende bewijskracht op voor de werking van interne controle gedurende de gehele periode. Ook het opnieuw uitvoeren van maatregelen van interne controle is volgens hem niet mogelijk voor onvervangbare maatregelen van interne controle. De accountant kan slechts de uiterlijke kentekenen van interne controle (zoals parafen en stempels) waarnemen, maar niet de eventuele slechte uitvoering repareren. Een voorbeeld is wanneer de accountant vaststelt dat de inkoopfacturen niet naar behoren zijn verwerkt bij het gecontroleerde bedrijf. Met behulp van tests of control rondt de accountant zijn risicoanalyse met betrekking tot de inkopen af. Hij zal, wanneer de interne controle minder functioneert, meer moeten doen om tot een redelijke mate van zekerheid te komen dat alle inkopen juist en volledig zijn verantwoord. De inkoopgebeurtenissen in dit geval hebben al plaatsgevonden, dus per definitie is het meerdere wat de accountant kan doen niet te bewerkstelligen. Hij kan niet zorgen dat de procedure bij alle inkoopfacturen weer opnieuw wordt gedaan met bijvoorbeeld een betere functiescheiding. De accountant kan slechts beoordelen hoe deze procedure heeft plaatsgevonden. Daarom kan volgens Blokdijk de onvervangbare interne controle ook in het geheel niet worden meegewogen in de kwantitatieve risicoanalyse (Blokdijk, 2001, p. 73). De rol van de tests of control is dus beperkt. De conclusie is dus volgens Blokdijk dat het ARM niet het gehele traject van totstandkoming tot het routine product afdekt. De officiële theorie levert dus geen sluitend geheel van controle maatregelen en daardoor geen deugdelijke grondslag op. Aan de hand van voorbeelden geeft hij aan dat sommige tests of control niet altijd zinvol zijn. Dit is alleen zinvol wanneer het leidt tot het richting geven aan de gegevensgerichte werkzaamheden van de accountant. Het ARM is op dit punt niet in overeenstemming met de werkelijkheid van accountantscontrole. De tests of control dienen in het model om een finale oordeel over het interne controlerisico te onderbouwen, op grond waarvan de omvang van de gegevensgerichte werkzaamheden wordt bepaald. Dit is volgens Blokdijk niet zo. Je hebt pas een finaal oordeel na het uitvoeren van de gegevensgerichte werkzaamheden. Schaf dus de tests of control als element van de risicoanalyse af en geef deze een plaats in de analytical procedures of ook wel genoemd richtinggevende procedures. Uiteindelijk stelt Blokdijk een ander logisch sluitend stelsel voor, welke uitgaat van het eigenlijke controle proces: 22

24 Het onderzoek van de bedrijfsactiviteiten en (het bestaan van) de AO/IC, en de beoordeling van de opzet De richtinggevende procedures: onontbeerlijke en nuttige systeemgerichte werkzaamheden en cijferanalyse De eigenlijke (gegevensgerichte) verificatiewerkzaamheden De kernvraag wordt door Blokdijk dus ontkennend beantwoord. Hij komt aan het einde van zijn artikel tot de conclusie: De theorie die ten grondslag ligt aan ISA 400 levert geen sluitend geheel van controlemaatregelen, en dus geen deugdelijke grondslag voor de accountantsverklaring. De kritiek van Blokdijk raakt naar mijn mening de kern van het ARM en heeft ook verscheidene reacties in de accountancywereld uitgelokt Beoordeling van de interne controle in het kader van de accountantscontrole, Prof. Dr. W.F. de Koning RA, RE Probleemstelling Prof. Dr. W.F. de Koning RA, RE is professor in Accounting Information Systems bij de Nyenrode School of Accountancy & Controlling. In dit artikel wordt door de heer De Koning stelling genomen tegen de kritiek op het Audit Risk Model (ARM). Hij verschilt van mening met Blokdijk dat er terug moet worden gegaan naar de gegevensgerichte werkzaamheden. Zoals hiervoor is aangegeven zegt Blokdijk dat de tests of control als onderdeel van de risicoanalyse moeten worden afgeschaft. Het belang van het ARM ligt volgens De Koning (2002, p. 272) vooral in het steunen op de interne controle. Ter ondersteuning van zijn conclusie gaat De Koning, in zijn beschouwing, in op de kritiek die de laatste jaren op het ARM is geuit Argumentatie en conclusie In 1999 sprak toenmalig voorzitter A. Levitt van de Security and Exchange Commission (SEC) voor het onderzoek van het Panel on Audit Effectiveness zijn twijfels uit of het ARM voldoende effectief was. In an era that calls for greater risk management, the industry has migrated to what they call the riskbased model. It sounds right on target. Because of the challenges of executing these new standards well, I wonder if the public interest is better served. We cannot permit thorough audits to be sacrificed for re-engineered approaches that 23

25 are marginally more efficient, but significantly less effective. De SEC is het Amerikaanse toezichthoudende orgaan van de verschillende effectenbeurzen, die is te vergelijken met de Nederlandse Autoriteit Financiële Markten (AFM). De Koning (2002, p. 27) vindt dat de bevindingen van het Panel on Audit Effectiveness (een onafhankelijke instelling, die wordt gefinancierd door accountantskantoren) een belangrijke ondersteuning voor het ARM betekent en dat accountants het model serieuzer moeten volgen. Voorop stelt het Panel dat het ARM een goed fundament is voor een effectieve accountantscontrole. Echter geeft het Panel wel aan dat het ARM zal moeten worden uitgebreid en ook beter worden geïmplementeerd met betrekking tot het risico van cliëntacceptatie en opdrachtcontinuering. Met behulp van geautomatiseerde systemen zal dit risico moeten worden bepaald. Accountants behoren meer kennis te hebben van automatisering en EDP-auditors dienen te worden ingeschakeld. Het Panel heeft de controle bij 126 beursgenoteerde ondernemingen beoordeeld. Dit heeft tot een positieve conclusie geleid over de wijze waarop de controles zijn uitgevoerd. De Koning geeft ook commentaar op een artikel van maart 2002 in het MAB van Prof. Dr. O.C. van Leeuwen en Prof. Dr. Ph. Wallage, Moderne controlebenaderingen steunen op interne beheersing. Met de opvatting van Van Leeuwen en Walage om het inherente risico in het ARM te vervangen door het ruimere bedrijfsrisico, vindt hij onvoldoende onderbouwd (De Koning, 2002, p. 274). Een bedrijfsrisico betekent feitelijk dat een gebeurtenis intern of extern bij het bedrijf, de doelstelling of het beleid belemmert. Dit kan bijvoorbeeld gebeuren bij producten waar de vraag plotseling drastisch daalt en de omzetdoelstelling onder druk komt te staan of wanneer onverwachts het bedrijf of product negatief in de media verschijnt en een claim boven het hoofd hangt. De Koning reageert dat het gevaarlijk is om de aandacht nu al te richten op strategische risico s, omdat dan de aandacht voor procesbeheersingrisico s vermindert. Het gevaar bestaat ook dat te weinig aandacht aan de opzet en werking van de interne controle wordt besteed. Vervanging vindt hij dan ook in strijd met de uitkomsten van het onderzoek van het Panel, die verwijst naar uitbreiding van de basis (De Koning, 2002, p ). In tegenstelling tot de opvatting van Blokdijk vindt De Koning het feit dat het toetsen van de werking van de interne controle lastig is, nog geen reden om deze uit het model te verwijderen en te vervangen. Als de accountant tekortkomingen ziet, dan kan hij toch adviseren deze aan te vullen. Ook in een geautomatiseerde omgeving kun je met behulp van de computer testen (geprogrammeerde controles) laten uitvoeren om zo de werking van de interne controle te toetsen. De Koning voert bij de bespreking van de verschillende controlemiddelen het controlemiddel productie library op waarmee programmawijzigingen, bevoegd of 24