Voorwoord 3. 1 Inleiding Aanleiding Centrale onderzoeksvraag Scope Onderzoeksmethode Opzet en leeswijzer 7

Transcriptie

1 Afstudeerscriptie IT audit opleiding Elektronisch factureren en IT audit Van controleerbaarheid naar zekerheid Vrije Universiteit Amsterdam /FEWEB Drs. J.R.van Duijnen RA CISA R.A.L. Rits CISA Teamnummer 1001 Definitieve versie, maart 2010

2 Voorwoord 3 1 Inleiding Aanleiding Centrale onderzoeksvraag Scope Onderzoeksmethode Opzet en leeswijzer 7 2 Theorie elektronisch factureren Inleiding Betekenis van de elektronische handtekening Modellen elektronisch factureren 12 3 Beschrijving interviews en casestudy Inleiding Interviews met stakeholders Casestudies 18 4 Analyse Analyse van de bevindingen Overzicht van bevindingen Gevolgen voor de Belastingdienst 28 5 IT audit Inleiding Keuze voor IT audit methode Audit van de factuurketen 33 6 Samenvatting Conclusie Persoonlijke reflectie 37 Bijlage 1 Interviews 38 Bijlage 2 Literatuur 40 Elektronisch factureren en IT Audit pagina 2

3 Voorwoord Voor u ligt onze afstudeerscriptie ter afsluiting van de postgraduate IT-audit opleiding aan de Vrije Universiteit van Amsterdam. Deze scriptie is het resultaat van een zeer interessant onderzoek dat wij hebben uitgevoerd in de periode van mei 2009 tot en met maart Het besluit van de staatssecretaris van 12 februari 2009 over het vereenvoudigen van de regels voor elektronisch factureren veroorzaakte enige opschudding binnen en buiten de Belastingdienst. Vragen over waarborgen en controleerbaarheid doken op en waren voor ons aanleiding om de gevolgen van het besluit in kaart te brengen. Door het schrijven van deze scriptie hebben wij (in)gezien hoe ontwikkelingen met elkaar samenhangen. Het besluit staat niet op zichzelf, maar past binnen veel verdergaande ontwikkelingen op het gebied van IT. Wij hebben diverse gesprekken gevoerd met stakeholders binnen en buiten de Belastingdienst en hebben de samenhang van de verschillende visies geanalyseerd. Het schrijven van deze scriptie was niet mogelijk geweest zonder de hulp van: De Belastingdienst die ons in staat heeft gesteld de IT-audit opleiding aan de VU te volgen, overigens na een zeer strenge selectieprocedure. René Matthijsse die als VU begeleider veel interesse in dit onderwerp en de Belastingdienst heeft getoond. Wij danken hem voor de structuur die hij in onze scriptie heeft gebracht. Fred de Grunt die als interne begeleider onze versies heeft beoordeeld. Wij danken hem voor de inbreng van zijn kennis en ervaringen uit de praktijk. Geïnterviewden die in het kader van ons onderzoek tijd hebben willen vrijmaken om hierover met ons van gedachten te wisselen. Wij danken hen voor hun heldere kijk op ons onderwerp. Onze gezinnen die ons steunden om deze opleiding te volgen en rustig bleven als het schrijven van deze scriptie meer tijd en inspanning vergde dan gepland. Wij hebben deze scriptie geschreven op persoonlijke titel. Deze scriptie vertegenwoordigt niet het standpunt van de Belastingdienst. Maart 2010 Johan van Duijnen Rob Rits Elektronisch factureren en IT Audit pagina 3

4 1 Inleiding Elektronisch factureren en IT Audit. Van controleerbaarheid naar zekerheid. 1.1 Aanleiding In het begin van deze eeuw werd duidelijk dat elektronisch factureren zich ontwikkelde tot een soort tweekoppig monster. Aan de ene kant was iedereen het erover eens dat elektronisch factureren allerlei besparingen en andere voordelen kan realiseren. Aan de andere kant leek de regelgeving in Europa en in Nederland onvoldoende rechtszekerheid te bieden. Dit had onder meer te maken met de mogelijkheid voor Europese lidstaten om ieder een eigen menu aan wettelijke voorwaarden rondom elektronisch factureren samen te stellen. Verder werd (in Nederland door de Belastingdienst) voorgeschreven met welke technische methoden elektronisch factureren moest worden toegepast. In Nederland hebben we te maken met fiscale wetgeving die zich niet op de technische methoden richt, maar juist op de achterliggende principes, zoals controleerbaarheid en comply or explain. Hierdoor is er in Nederland nooit echt een goed gevoel van rechtszekerheid bij elektronisch factureren geweest. Daarbij was er de behoefte aan standaarden om de perceptie van complexiteit weg te nemen. Eind januari 2009 is de Europese Commissie met een voorstel gekomen om de VAT Directive 2006/112/EC te wijzigen en daarmee de regels rondom factureren en elektronisch factureren te vereenvoudigen, te moderniseren en te harmoniseren. Een gevolg hiervan is een verdere administratieve lastenverlichting. Met het besluit 1 van 12 februari 2009 van de staatssecretaris van Financiën zijn de regels voor elektronisch factureren sterk vereenvoudigd. Hierna geven wij kort de inhoud van het besluit voor elektronisch factureren weer: Opmaak en het versturen van de elektronische facturen tussen marktpartijen worden vorm- en middelvrij. Het Ministerie van Financiën keurt goed dat de vormgeving en implementatie van oplossingen voor elektronisch factureren volledig aan marktpartijen wordt overgelaten; Meldingsplicht aan de Belastingdienst bij het toepassen van elektronisch factureren vervalt; Aanvaarding door de afnemer van de elektronische factuur hoeft niet meer in de administratie van de leverancier te worden vastgelegd. Wel dient de afnemer elektronische facturen te aanvaarden; De elektronische en de papieren factuur zijn gelijkwaardig. Het doel van dit besluit is om het gevoel van rechtsonzekerheid rondom elektronisch factureren weg te nemen. Het besluit doet dit door elektronische facturen die op de meest laagdrempelige manier worden verzonden per als rechtsgeldig aan te merken. Daardoor geldt vrijwel automatisch dat geavanceerdere en veiligere vormen van elektronische facturen dan per ook rechtsgeldig zijn. De rechtszekerheid die hierdoor gecreëerd wordt, ontneemt vrijwel elke reden om elektronisch factureren tussen marktpartijen niet meteen toe te gaan passen. 1 Besluit van 12 februari 2009 nr. CPP2009/263M Elektronisch factureren en IT Audit pagina 4

5 Sinds de introductie van elektronische uitwisseling van factuurgegevens eind jaren 80 zijn hieraan voorwaarden gesteld. Deze voorwaarden, zowel technisch als organisatorisch, zijn opgenomen in de belastingwetgeving (beleidsbesluiten) en zijn gebaseerd op Europese richtlijnen. De ontwikkelingen op dit gebied gaan steeds sneller en worden veelzijdiger doordat derden die zijn gespecialiseerd in het versturen, ontvangen en verwerken van facturen dit domein betreden. De complexiteit van elektronisch factureren leidt er nu al toe dat een aantal dienstverleners er hun kerncompetentie van hebben gemaakt. Uit de onderzoeken van de Europese Unie blijkt dat het voorschrijven van op technologie gebaseerde eisen deze ontwikkelingen juist remt. Daarom hebben wij in dit onderzoek documentatie geraadpleegd over de elektronische handtekening en de authenticiteit van de factuur om te beoordelen of zij de keuze voor vorm- en middelvrij elektronisch factureren ondersteunen. 1.2 Centrale onderzoeksvraag Onze onderzoeksvraag is: Welke gevolgen heeft het vorm- en middelvrij elektronisch factureren ten opzichte van de bestaande vormen voor de zekerheid die de Belastingdienst kan ontlenen aan de aangifte Omzetbelasting. Toelichting: Het normenkader van de Belastingdienst om de elektronische facturen aan formele eisen te kunnen toetsen is verdwenen met uitzondering van de voorgeschreven factuurgegevens van artikel 35a Wet op de Omzetbelasting 1968 (OB) 2. De waarborgen voor authenticiteit en integriteit voor verzending en ontvangst, zoals toegepast worden bij EDI en de geavanceerde digitale handtekening (PKI), zijn niet langer expliciet in de wet OB opgenomen. Deze waarborgen zijn niet gewijzigd voor de elektronische opslag van facturen (artikel 35c lid 3 en 4 van de Wet OB). Het besluit heeft in het bijzonder betrekking op de andere methode van elektronische factuuruitwisseling dan EDI en PKI (zie hiervoor Hoofdstuk 2.1) waarvoor de Belastingdienst voorheen toestemming moest verlenen. Voor het beantwoorden van de onderzoeksvraag hebben wij de volgende deelvragen geformuleerd: 1. Wat houdt elektronisch factureren in en welke aspecten zijn daarbij van belang? 2. Wat betekent elektronisch factureren voor de processen en informatiesystemen van onderneming en de Belastingdienst naar aanleiding van het besluit? 3. Welke IT audit aanpak is het meest effectief om een oordeel te kunnen geven over de betrouwbaarheid van elektronisch factureren. 1.3 Scope Wij richten ons onderzoek op de verschillende vormen van factureren (object) die tussen organisaties onderling plaatsvinden. Het gaat om de verzending (output) en ontvangst (input) van facturen en de daaruit voortvloeiende aangifteverplichting (resultaat) voor de Omzetbelasting. Onder elektronisch factureren verstaan wij het op elektronische wijze uitwisselen (verzenden en ontvangen) van facturen. In deze definitie (scope) omvat elektronisch factureren niet elektronisch inkopen, elektronisch archiveren en elektronisch betalen, maar raakt zij deze objecten wel. Wij nemen deze raakvlakken in beschouwing voor zover zij van belang zijn voor de uitwerking van onze onderzoeksvraag. 2 Elektronisch factureren en IT Audit pagina 5

6 Ons onderzoek is beperkt tot de Nederlandse situatie, omdat de toepassing van het besluit alleen op Nederland betrekking heeft. Wij richten ons in het bijzonder op de gevolgen van het besluit voor de B2B facturering, de transacties die tussen ondernemingen plaatsvinden. Voor ons onderzoeksobject is vooral het aspect betrouwbaarheid, zoals geformuleerd in Norea geschrift 1 3 en Grondslagen IT auditing 4, van belang. Het aspect betrouwbaarheid omvat in Norea Geschrift 1 integriteit, exclusiviteit en continuïteit. Integriteit: de mate waarin het object (gegevens- en informatie-, technische- en processystemen) in overeenstemming is met de afgebeelde werkelijkheid (juistheid, volledigheid, tijdigheid). Exclusiviteit: de mate waarin uitsluitend geautoriseerde personen of apparatuur via geautoriseerde procedures en beperkte bevoegdheden gebruik maken van de IT-processen. Continuïteit: de mate waarin een object continu beschikbaar is en de gegevensverwerking ongestoord voortgang kan hebben (beschikbaarheid). Het criterium authenticiteit maakt deel uit van integriteit en heeft betrekking op de echtheid van de bron van de gegevens zoals deze door de wederpartij worden ontvangen. Tenslotte is voor de Belastingdienst de controleerbaarheid van het object van belang. Hieronder verstaat Norea de mate waarin het mogelijk is kennis te verkrijgen over de structurering (documentatie) en werking van een object en de mate waarin het mogelijk is vast te stellen dat de informatieverwerking, in overeenstemming met de eisen t.a.v. de overige kwaliteitsaspecten, is uitgevoerd. 1.4 Onderzoeksmethode De centrale vraagstelling richt zich op het verkrijgen van zekerheid over de vormen van elektronisch factureren en de totstandkoming van een betrouwbare aangifte Omzetbelasting Grondslagen IT auditing, Edo Roos Lindgreen, e.a.academic Service / 1e druk / 2005 Elektronisch factureren en IT Audit pagina 6

7 Wij hebben voor ons onderzoek verschillende methoden toegepast zoals literatuurstudie, interviews en casestudies. Meer specifiek is het onderzoek als volgt uitgevoerd: Wij hebben een verkennend onderzoek opgezet naar de gevolgen van het besluit van het Ministerie van Financiën over vorm- en middelvrij elektronisch factureren. Wij hebben de gelijkwaardigheid van de papieren en elektronische factuur, de waarde van de elektronische handtekening en de betekenis van authenticiteit verder onderzocht. Dit onderzoek heeft plaatsgevonden op basis van literatuur en internet. Wij hebben interviews gehouden met een beperkt aantal deskundigen binnen en buiten de Belastingdienst op basis van een aantal open vragen (zie bijlage 1). Hierna hebben we casestudies bij diverse organisaties uitgevoerd. Het doel is te onderzoeken of IT audit op de verschillende vormen van factureren voldoende zekerheid kan geven over de aangifte Omzetbelasting. Tenslotte hebben wij onderzocht of de Belastingdienst de gewenste zekerheid kan ontlenen aan een proces gerichte (factureringsproces) of een product gerichte (factuur) IT audit aanpak. Wij hebben alle bevindingen en conclusies gedocumenteerd in deze scriptie. 1.5 Opzet en leeswijzer Deze scriptie is opgebouwd uit verschillende hoofdstukken. Hoofdstuk 2 Theorie rondom elektronisch factureren, antwoord op deelvraag 1 Hoofdstuk 3 en 4 Beschrijving / analyse interviews en casestudy, antwoord op deelvraag 2 Hoofdstuk 5 Analyse produkt- en procesaudit, antwoord op deelvraag 3 Hoofdstuk 6 Conclusies en aanbevelingen In Hoofdstuk 2 beschrijven we de uitgangspunten voor elektronisch factureren en welke modellen worden onderscheiden. Op basis van literatuuronderzoek kijken wij naar de voor- en nadelen van de elektronische handtekening en de invulling hiervan vanuit de IT auditor. De beveiliging van de elektronische factuur door onder meer deze technische maatregel, die in de EU richtlijnen en belastingwetten van de lidstaten was voorgeschreven, is in Nederland vervallen. Hierdoor zijn andere methoden zonder voorafgaande toestemming van de Belastingdienst ook mogelijk geworden. Het gaat dan om het gebruik van , webpresentatie en andere vormen van transport van niet beveiligde documenten in PDF en gegevensuitwisseling in XML. Eerst hebben wij diverse betrokkenen binnen de Belastingdienst en marktpartijen geïnterviewd en hun meningen weergegeven. Hoewel zij van mening verschillen, hebben wij wel een oplossingsrichting kunnen bepalen. Wij werken in Hoofdstuk 3 en 4 de gevolgen van het besluit in een aantal casestudies uit en analyseren deze vervolgens. In Hoofdstuk 5 gaan wij na welke audit aanpak het beste past bij deze nieuwe ontwikkeling. In Hoofdstuk 6 formuleren wij onze conclusies en aanbevelingen. Elektronisch factureren en IT Audit pagina 7

8 2 Theorie elektronisch factureren 2.1 Inleiding In dit hoofdstuk beschrijven wij de plaats en omgeving van elektronisch factureren en de richtlijnen van de Europese Unie. Bij elektronisch factureren zijn de begrippen authenticiteit en elektronische handtekening kernbegrippen. Deze begrippen worden hier in een theoretisch kader geplaatst. Wij belichten slechts één specifiek onderwerp uit het snijvlak van informatie technologie (IT) en regelgeving: het verzenden van factureren langs elektronische weg zoals opgenomen in de EU Richtlijn EC 2006/112 5 van Facturen zijn een essentieel onderdeel van het Omzetbelasting systeem en vormen het bewijs om transacties aan te tonen op basis waarvan de onderneming de in rekening gebrachte Omzetbelasting op zijn aangifte in mindering kan brengen. Elektronisch factureren is geen op zichzelf staand proces. Dit factureringsproces maakt onderdeel uit van het inkoopproces. Ook het inkoopproces kan elektronisch plaatsvinden zonder tussenkomst van mensen en papier. Het elektronische inkopen (e-procurement) maakt het mogelijk om het proces efficiënter te doen verlopen. In deze scriptie beperken we ons tot vormen van elektronisch factureren. Vóór het besluit van de staatssecretaris waren er 3 mogelijkheden om toestemming van de Belastingdienst 6 te krijgen om tussen leverancier en afnemer elektronische facturen te verzenden en ontvangen. 1. Door gebruik te maken van PKI; de (gekwalificeerde) geavanceerde digitale handtekening; 2. Door gebruik te maken van Electronic Data Interchange (EDI); 3. Door gebruik te maken van een andere methode waarvoor door de Belastingdienst toestemming is verleend. Processen en informatiesystemen moesten dusdanig zijn ingericht dat zij aan deze toestemmingseis voldeden. Hierdoor kwam de authenticiteit van de verzender van de elektronische factuur en de integriteit van de factuur data ondubbelzinnig vast te staan. Het besluit bepaalt dat de eisen, die gesteld waren aan de wijze waarop ondernemingen elektronische facturen verzenden, vervallen. Een elektronische factuur kan nu onbeveiligd via de worden verzonden zonder dat authenticiteit en integriteit zijn gegarandeerd, zoals bij gebruik van PKI en EDI juist wel gewaarborgd is. Het besluit heeft daarom in het bijzonder gevolgen voor de onder 3 genoemde andere methode. In deze scriptie gaan we de betrouwbaarheid van deze andere methoden onderzoeken De factuur Het handelsrecht en het fiscale recht spelen een grote rol bij de waarde van een factuur. De factuur is één van de belangrijkste en meest uitgewisselde documenten in het handelsverkeer. Naast de uitnodiging het bedrag dat op de factuur is vermeld te betalen, heeft de factuur de functie van bewijs niet alleen voor de aftrek van Omzetbelasting, maar ook voor de kostenaftrek. De factuur neemt in de fiscale wetgeving en de Omzetbelastingregelgeving een prominente plaats in. Dit geldt voor Nederland en de andere lidstaten van de Europese Unie (EU). De EU lidstaten hebben voor elektronisch factureren binnen de EU richtlijnen wel verschillende regels en eisen in hun Omzetbelastingwetgeving geïmplementeerd.. De Nederlandse wetgeving op dit gebied is altijd al ruim geweest Brochure Elektronisch factureren, Belastingdienst, november 2007 Elektronisch factureren en IT Audit pagina 8

9 De factureringsverplichting van art. 35 lid 1 Wet OB houdt in dat iedere onderneming op grond van de wet 7 verplicht is een factuur uit te reiken aan andere ondernemers of rechtspersonen (andere dan ondernemers) voor zijn prestaties. De Wet merkt alle bescheiden, die in het economische verkeer de functie van factuur hebben, aan als factuur. Het is niet relevant onder welke omschrijving (nota, declaratie, kwitantie of bon) de onderneming bescheiden uitreikt. De leverancier moet maatregelen treffen om facturen conform de wet- en regelgeving juist, volledig en tijdig uit te reiken. Artikel 35c Wet OB 8 bepaalt dat de onderneming de originele facturen, zoals deze zijn ontvangen, moet bewaren. De onderneming moet niet alleen het brongegeven bewaren, maar ook het bewijs om de validiteit van de brongegevens aannemelijk te maken. Zij heeft zelf de keuze hoe zij gegevens van elektronische facturen opslaat. Als algemene voorwaarde geldt dat de onderneming de opgeslagen factuurgegevens op verzoek van de inspecteur, binnen redelijke termijn, ter beschikking moet kunnen stellen. De bepalingen van de Algemene Wet Rijksbelastingen (AWR) 9 verplichten de onderneming op verzoek van de inspecteur bescheiden en (inhoud van) gegevensdragers te verstrekken Gelijkwaardigheid van papieren en digitale factuur 10 De factuur in schrift (papier) heeft binnen het transactieverkeer tussen ondernemingen altijd de functie van gegevensdrager vervuld. Het verleent voldoende vertrouwen op basis van een aantal aspecten: De overbrenging van gegevens is voor de tegenpartij eenvoudig herkenbaar; De mogelijkheid om zichtbaar en eenvoudig herkenbaar authenticiteitkenmerken aan te brengen; De duurzaamheid en leesbaarheid van de vastgelegde gegevens (presentatie); De fraudebestendigheid doordat tussentijdse wijzigingen over het algemeen zichtbaar zijn; De mogelijkheid om de informatie voor de mens snel en eenvoudig te verifiëren. 11 Er is geen verschil in civielrechtelijke zin tussen informatie op papier en in digitale vorm. Wat wel verandert is de vraag welke bewijsmiddelen in de digitale omgeving toegepast kunnen worden en welke bewijswaarde die hebben. Het begrip elektronische factuur heeft eerder betrekking op het meedelen en/of het bewaren van de factuur dan op het creëren ervan. Een elektronische factuur is dan een factuur die in de vorm van een elektronisch bestand aan de andere partij wordt meegedeeld en in die vorm wordt opgeslagen, bewaard en gepresenteerd en niet meer via een printer op papier afgedrukt. Het elektronisch bestand zelf wordt als de factuur beschouwd en alle verdere handelingen met betrekking tot de factuur worden verricht aan de hand van het elektronisch bestand. Daarom spreken de Europese richtlijnen niet van elektronische facturen maar van elektronisch verzonden en ter beschikking gestelde facturen of elektronische uitreiking van facturen. Een elektronische factuur kan bovendien in verschillende vormen circuleren waarbij de essentiële informatie (de eigenlijke factuurgegevens) dezelfde blijft maar het formaat van het bestand wisselt zodat het met andere programmatuur of met een andere versie van Prof.mr. H. Franken Recht en Computer, 5 e druk, Kluwer 11 Deel X van: G.L. BALLON & I. SAMOY, De factuur en verwante documenten, Brugge, Vandenbroele, 2008, p : Elektronisch factureren en IT Audit pagina 9

10 hetzelfde programma kan worden gelezen of verder verwerkt. In tegenstelling tot een papieren factuur moet bij een elektronische factuur een onderscheid gemaakt worden tussen de informatie die de factuur bevat en de computergegevens de bits waaruit een factuur bestaat. Een elektronische factuur kan uitgedrukt zijn in verschillende bitstromen. Het begrip elektronische factuur slaat dus op de informatie in het document, en niet op het fysieke document zelf. Het onderscheid tussen origineel en kopie valt daarom bij een elektronische factuur volledig weg. Dat komt omdat deze termen verwijzen naar de drager waarop de informatie is vastgelegd. Omdat bij een papieren drager de informatie, eens vastgelegd, niet meer van het papier kan worden losgemaakt, is de originaliteit van de drager een garantie voor de authenticiteit van de informatie. Bij een elektronisch bestand ligt dat volledig anders. Hetzelfde bestand kan op verschillende dragers worden vastgelegd en elke vastlegging is niet minder of meer origineel dan de vorige of de volgende. Door de mogelijkheden die (kleur)kopiëren, scannen en software bieden is het verschil in waarborgen tussen de papieren en de niet beveiligde elektronische factuur feitelijk weggevallen. Aan een op zichzelf staand brondocument kan geen zekerheid meer worden ontleend. Alleen met behulp van encryptie techniek (zoals PKI die openbare en privé sleutels toepast en message authentication code) kan wijziging van elektronische documenten voorkomen of ontdekt worden Richtlijnen van de Europese Unie In 2001 heeft de Europese Commissie (EC) de Richtlijn EC 2001/ aangenomen. Het doel van deze richtlijn is de voorwaarden voor elektronisch factureren in relatie tot de aangifte Omzetbelasting te vereenvoudigen, te moderniseren en te harmoniseren. Deze richtlijn houdt in dat binnen de Europese Unie dezelfde regels gelden voor de vermelding van gegevens op papieren en elektronische facturen. Het Ministerie van Financiën heeft op de richtlijn geanticipeerd met het besluit van 26 april 2001, nr. CPP2001/1104M 13. Hiermee werd een voorschot op de nieuwe wet OB (2004) genomen die elektronisch factureren mogelijk heeft gemaakt. De Europese Commissie heeft op 28 januari 2009 een voorstel aanvaard om de 14 OB Richtlijn EC 2006/112 te wijzigen met betrekking tot de factureringsregels. Op 20 oktober 2009 heeft de EC een definitief voorstel 15 (COM 2009/21) geformuleerd voor aanpassing van de OB richtlijn EC 2006/112. Het voorstel houdt in dat de belastingautoriteiten elektronische facturen onder dezelfde voorwaarden als papieren facturen voor wat betreft uitreiking, inhoud en archivering aanvaarden. Ook de wijze van verzending van elektronische en papieren facturen wordt gelijkwaardig behandeld. De Europese Commissie heeft daarom gekozen voor een technologie neutrale oplossing. De elektronische factuur zal door de belastingautoriteiten geaccepteerd moeten worden als zowel de verzender als de ontvanger in hun interne bedrijfsprocessen de integriteit van de inhoud en de leesbaarheid (legibility in plaats van authenticity) in alle stadia van het proces kunnen waarborgen. Zowel de verzender als ontvanger kan de integriteit van de inhoud van Elektronisch factureren en IT Audit pagina 10

11 een factuur nog steeds op basis van de geavanceerde elektronische handtekening of EDI garanderen. Onder de verplichte gegevens voor (elektronisch) factureren is sinds opgenomen dat het OB-ID nummer (VAT Identification Number) van de afnemer op de verkoopfactuur en in de administratie van de leverancier moet worden vermeld bij intracommunautaire leveringen, de toepassing van de verleggingsregeling en selfbilling. Deze bepaling is in het voorstel uitgebreid tot alle OB-plichtige afnemers. Organisaties kunnen nu zelf vaststellen of ze volledige (B2B) of vereenvoudigde (B2C: de klanten beschikken niet over een OB nummer) facturen uitreiken. Service providers hebben dan de beschikking over de unieke OB-ID nummers van de deelnemers bij uitwisseling van factuurgegevens. Tenslotte kunnen de Belastingdiensten effectiever beoordelen of de OB-ID nummers op de factuur (respectievelijk in de administratie) overeenkomen met de organisatie die de Omzetbelasting in aftrek op zijn aangifte brengt. 2.2 Betekenis van de elektronische handtekening 16 De Europese Unie (EU) heeft in 1999 Richtlijn EC 1999/93 betreffende elektronische handtekeningen aangenomen. De lidstaten hebben deze Richtlijn vervolgens in hun nationale wetgeving geïmplementeerd. De elektronische handtekening kan in de volgende vormen voorkomen: De elektronische handtekening kan iedere vorm van ondertekening zijn, bijvoorbeeld een gescande handtekening en opgeslagen als een afbeelding. Deze handtekening biedt geen enkele zekerheid over authenticiteit en integriteit. De geavanceerde elektronische handtekening wordt in Nederland door veel ondernemingen, de rechter en de Belastingdienst geaccepteerd om integriteit en authenticiteit aan te tonen. Deze handtekening is gemakkelijk aan te schaffen en zonder hoge kosten te gebruiken. Er zijn daarbij grote verschillen tussen de manier waarop Certification Authority (CA s) werken. Wanneer men bijvoorbeeld via Verisign een geavanceerde elektronische handtekening aanschaft, volstaat het aanmaken van een account en de verificatie van het adres. De gekwalificeerde geavanceerde elektronische handtekening waarborgt de integriteit van het document. Er is bij de uitgifte van het certificaat een extra inspanning gedaan om de ondertekenaar te identificeren. Hij moet zich legitimeren bij degene die het certificaat uitgeeft, de CA. Voordat hij de gekwalificeerde geavanceerde handtekening kan zetten moet hij zichzelf identificeren met een pas, USB-stick en/of wachtwoord. Het document kan daardoor alleen maar van een specifiek persoon afkomstig zijn. Sommige EU-landen, zoals Duitsland, eisen deze zwaardere vorm van beveiliging. Volgens EU Richtlijn EC 1999/93 moet de gekwalificeerde elektronische handtekening aan 4 criteria voldoen: op unieke wijze aan de ondertekenaar zijn verbonden; het mogelijk maken om de ondertekenaar te identificeren; tot stand zijn gekomen met middelen die de ondertekenaar onder zijn uitsluitende controle kan houden (de gebruiker moet aantonen dat hij is wie hij zegt te zijn); op dusdanige wijze zijn verbonden aan de gegevens waarop ze betrekking heeft dat elke wijziging achteraf kan worden opgespoord Elektronisch factureren en IT Audit pagina 11

12 17 De handtekening moet daarom uniek zijn, de identiteit weergeven, veilig en integer zijn. Het gebruik van digitale handtekeningen hangt niet alleen af van technische eisen aan sleutels, maar ook van de beveiliging van de geautomatiseerde omgeving van ontvanger en verzender. De digitale handtekening gaat verder dan het verifiëren van de authenticiteit van het bericht en het garanderen van de integriteit van de inhoud. Het identificeert niet alleen de persoon aan wie de handtekening is verbonden, maar ook servers, websites, computerapplicaties en data. De digitale handtekening heeft daarom een grotere reikwijdte Waarde van de elektronische handtekening De authenticiteit en de integriteit van een factuurbericht kan door middel van de digitale handtekening worden gewaarborgd. De integriteit kan worden vastgesteld doordat wijzigingen van het bericht na tekening direct zichtbaar worden (de hashwaarde wijkt af). De identificerende functie (authenticiteit) van de digitale handtekening is nooit met absolute zekerheid vast te stellen. De digitale handtekening van een onderneming is in veel gevallen niet aan één persoon voorbehouden. Het gebruik van een onafhankelijke partij zoals een CA kan een bepaalde zekerheid geven op het moment van de uitgifte van de publieke sleutel. De CA zal de persoonsgegevens niet alleen op afstand moeten controleren. De CA kan echter nooit met zekerheid garanderen dat de handtekeninggebruiker zeker degene is die hij pretendeert te zijn. Een maatregel om dit te ondervangen is het tussenschakelen van een Trusted Third Party (TTP) tussen de verzender en ontvanger. 2.3 Modellen elektronisch factureren De relatie tussen ontvanger en verzender van elektronische facturen kan in een aantal modellen 18 worden weergegeven. Seller direct Bij het seller direct model is de leverancier en dus de verzender de dominante partij en stelt een elektronische factuur op voor zijn klanten. Hij draagt in eerste instantie de investering om over te gaan op elektronisch factureren en haalt er ook de meeste voordelen uit een elektronische factuur, bijvoorbeeld door de oplossing ook te gebruiken voor marketingdoeleinden. De koper en ontvanger van de elektronische factuur maakt weinig of geen kosten, maar moet wel met verschillende systemen en formaten kunnen werken, waardoor bijvoorbeeld de factuur niet direct in zijn informatiesysteem kan worden ingelezen. Het seller-direct model is een gangbaar bij ondernemingen die veel facturen verzenden, zoals bij telecom-, nutsvoorzieningen-, gezondheidszorgbedrijven en financiële dienstverleners. Buyer direct In dit model is de ontvanger van elektronische facturen de dominante partij en legt elektronische facturatie op aan zijn leveranciers. Dit model vindt stilaan ingang bij grote inkopers die veel facturen binnenkrijgen. De koper draagt de meeste kosten maar heeft ook het grootste voordeel. De verkoper kan niettemin het verzenden van elektronische facturen aangrijpen om de relatie met zijn koper te verstevigen. Hij maakt minder kosten maar dient wel met verschillende systemen te kunnen werken. Hieronder valt ook direct processing (uitwisselen van gestructureerd dataverkeer, EDI). Consolidator In dit model werken verzender en ontvanger via een tussenliggend platform. Deze aanpak wint aan populariteit vanwege de complexiteit van de twee voorgaande 17 B.P. Aalberts & S. van der Hof, Digital Signature Blindness, Analysis of legislative approaches toward electronic authentication, November E-factureren voor accountants- en administratiekantoren, Fou-Khan Tsang en Tonny Dirkx, 2009, blz 24 ev Elektronisch factureren en IT Audit pagina 12

13 modellen. Hij is bovendien in zijn meest ideale situatie geschikt voor elk soort verzender of ontvanger. Het systeem biedt verzenders en ontvangers minder extra voordelen, maar zij hoeven ieder slechts één keer te integreren met een extern platform. Four corner Het four corner model is een variant op het consolidator model. Bij het four corner model spelen de banken een centrale rol. De factuur wordt nu naar de bank van de verzender gezonden en niet meer direct naar de ontvanger. De banken routeren de factuurinformatie onderling en de bank van de betaler presenteert de factuur in de online omgeving van de ontvanger. De klant kan in de online bankomgeving van zijn eigen bank ontvangen elektronische facturen accorderen en betaalbaar stellen, maar ook parkeren, archiveren, printen en importeren. Direct processing Direct processing is het model waarbij partijen factuurgegevens en andere gegevens door middel van gestructureerd dataverkeer (EDIfact) uitwisselen. Elektronisch factureren en IT Audit pagina 13

14 3 Beschrijving interviews en casestudy 3.1 Inleiding Wij hebben in de interviews de visie van de diverse stakeholders op de gevolgen van het besluit voor processen en informatiesystemen geïnventariseerd. In bijlage 1 is een overzicht opgenomen met de geïnterviewden en de vragen die tijdens de interviews aan de orde zijn geweest. Verder hebben wij bij diverse ondernemingen een casestudy uitgevoerd. Hier hebben wij in beeld gebracht hoe deze ondernemingen omgaan met elektronische facturen die niet via EDI of PKI zijn verzonden en ontvangen. 3.2 Interviews met stakeholders Uit de interviews blijkt dat geïnterviewden verschillende definities van elektronisch factureren hanteren. Zij gaan uit van de beperkte definitie, het verzenden en ontvangen van elektronisch facturen, tot de uitgebreide, die ook de creatie en verwerking van facturen in de systemen van de deelnemers omvat. Men ziet de factuur als brondocument en bewijsmiddel voor de wet OB, het civiel recht en de accountantscontrole. De presentatievorm van de elektronische factuur kan gestructureerd (EDI, XML, UBL) of ongestructureerd (PDF, Word, Excel) zijn. Er kunnen zich nu meerdere formaten naast elkaar ontwikkelen, wat standaardisatie en interoperabiliteit kan bemoeilijken. Eén van de geïnterviewden is van mening dat standaarden niet relevant zijn, maar juist de uniformering van de betekenis van factuurgegevens. Er bestaat vrijwel geen verschil van mening over de gelijkwaardigheid van de papieren en elektronisch factuur. De geïnterviewden zijn van mening dat aan de elektronische factuur meer waarde kan worden toegekend, omdat de audit trail, toegang tot relevante systemen, autorisaties ed. beter kan worden gewaarborgd. De papieren factuur kan ook de print van een image zijn en geeft dan schijnzekerheid. Beheersing van elektronisch factureren kan op basis van best practices plaatsvinden; verschillende oplossingen voor verschillende wijze van factureren (zie hiervoor de modellen in hoofdstuk 2.3). De risico s van de methoden verschillen. De Belastingdienst is van mening dat de aangifte Omzetbelasting die op transacties (weergegeven in facturen als brondocumenten) is gebaseerd, moet voldoen aan de wet OB en geen materiële fouten mag bevatten. Het NIVRA ziet meer in een principle based benadering; de totstandkoming van de aangifte Omzetbelasting moet voldoen aan de eisen. Nu ligt de nadruk teveel op de jaarrekening en rapportages. Met de steeds verdergaande toepassing van XBRL-GL zullen transacties worden gemerkt ( tagged ) en uiteindelijk geaggregeerd in verantwoordingen worden opgenomen. Elektronisch factureren kan hierdoor beter voldoen aan eisen van rubricering, tijdigheid, compliant zijn en betrouwbaarheid. Voor de controleaanpak pleiten de geïnterviewden om meer nadruk te leggen op systeemgerichte controles van bedrijfsinformatiesystemen. Dit houdt hier in het beoordelen van de audit trail van de elektronische factuur, want factuurgegevens kunnen niet meer op zichzelf worden gecontroleerd. Men hanteert hierbij wel een aantal veronderstellingen zoals Elektronisch factureren en IT Audit pagina 14

15 een betrouwbare administratie met betrouwbare software en goed ingerichte beveiligingsmaatregelen (toegang en autorisaties). Voor de controle op de juistheid van de berekende Omzetbelasting hoeven authenticiteit en integriteit van de factuurgegevens niet vastgesteld te worden. Het probleem voor de aangifte Omzetbelasting is dat de betrouwbaarheid van de factuur niet meer los van in- en output buiten de informatiesystemen vastgesteld kan worden. Papieren facturen van kleinere ondernemingen waren voorheen ook al niet op zichzelf controleerbaar. Daarom pleit men binnen de Belastingdienst om de voorwaarden voor elektronisch factureren juist nu goed te regelen. Ten eerste zijn de kosten van toepassing van een elektronische handtekening nu al lager. Ten tweede willen grotere ondernemingen alleen facturen met voldoende waarborgen naar klanten sturen om hen te beschermen tegen interne fraude en om waarborgen te geven bij controle van de Belastingdienst. De integriteit van de elektronische factuur bekijken de geïnterviewden zowel vanuit de verzender als de ontvanger: Bij aanmaak van de factuur en archivering na verzending (verzender) Bij verzending (verzender) Bij ontvangst en verwerking van de factuur (ontvanger) Bij archivering van de factuur (ontvanger) Het vaststellen van de authenticiteit is voor de transactie alleen relevant bij verzending en ontvangst. Achteraf dienen authenticiteit en integriteit ook vastgesteld te kunnen worden, bijvoorbeeld met technische oplossingen zoals indexering en het berekenen van een checksum per factuur. De onderneming dient bovendien beveiligingsmaatregelen te treffen voor toegang tot en autorisaties voor gearchiveerde opgeslagen factuurgegevens. De onderneming moet bij elektronisch factureren meer gegevens ( , logbestanden) opslaan dan bij papieren facturen en maatregelen treffen voor digitale archivering. De Belastingdienst is inmiddels ook in gesprek met softwareontwikkelaars voor de ontwikkeling van standaarden voor gegevensuitwisseling. De softwareleveranciers richten zich op het implementeren van systeemgerichte controls in hun applicaties. Hierna geven wij in hoofdlijnen de gevolgen van het besluit voor de marktpartijen en de Belastingdienst weer Softwareleveranciers en ontwikkelaars De grote aanbieders van financiële software melden dat zij in staat zijn om facturen elektronisch te laten verzenden via hun software. De softwareleverancier garandeert een betrouwbare verwerking van factuurgegevens als de ontvangende partij hetzelfde softwarepakket gebruikt. Verder is er een ontwikkeling gaande tussen enkele grote softwareleveranciers van financiële pakketten om standaarden te ontwikkelen die mogelijk maken dat de factureringsmodules van ondernemingen gekoppeld worden (interoperabiliteit). De softwareleveranciers komen met aangepaste informatiesystemen die het proces elektronisch factureren gaan ondersteunen. De Belastingdienst treedt in overleg met softwareontwikkelaars om na te gaan in hoeverre application controls in de informatiesystemen opgenomen kunnen worden. Voor elektronisch factureren houdt dit in dat achteraf de authenticiteit en integriteit van de factuur vastgesteld Elektronisch factureren en IT Audit pagina 15

16 kunnen worden. Ook hier geldt dat dit vorm- en middelvrij kan plaatsvinden. Hierbij denken wij aan de zogenaamde 3-way match en het beveiligen van data na invoer / verwerking. Een andere mogelijkheid is om via assessments met de SPICE 19 methode (Software Process Improvement and Capability determination) het SPICE 20 capability level te bepalen. SPICE zet het huidige level tegenover het gewenste level. Dit is de basis voor technische aanpassingen aan de software BSP Wij zien Billing Service Providers (BSP s) tot de markt toetreden. Deze dienstverleners verzorgen het traject van elektronisch verzenden en ontvangen van facturen. Zij voorzien in het uit handen nemen van het proces elektronisch factureren bij de onderneming met informatiesystemen (en geavanceerde digitale handtekening). Processen en informatiesystemen bij de onderneming zelf hoeven niet aangepast te worden. Wij zien dat ook aanbieders van internetboekhouding deze service (als verlengstuk van hun SAAS diensten) gaan aanbieden. Dit model wordt ook wel 21 Consolidator model genoemd Electronic banking De moderne vorm van Electronic banking is een service die de bank aanbiedt naast de al bestaande webomgeving om online zaken te kunnen doen. Het is in opzet een bijzondere vorm van uitbesteding aan een BSP. Door een samenspel tussen de bank en service providers wordt de elektronische factuur via mijn bank.nl gevalideerd, betaald en verwerkt in de financiële administratie. Een voorbeeld is hieronder toegelicht. 1. De leverancier levert de factuurgegevens aan de (billing) service provider 2. Deze provider zet de betalingsgegevens klaar in de internetomgeving waar de afnemer bankiert, Mijn bank.nl 3. De afnemer logt in op Mijn bank.nl en ziet de elektronische factuur klaar staan voor betaling. Hij bevestigt de juistheid van de factuur 4. Deze bevestiging wordt doorgegeven aan de service provider 5. De service provider zendt de factuurgegevens elektronisch door (via Mijn bank.nl) aan de inkoopmodule van het pakket van de afnemer 19 Modellen die werken, kwaliteit in bedrijf en informatievoorziening 2008, Derksen en Noordam 20 De SPICE maturity levels komen nagenoeg overeen met de levels van CMMI 21 Zie paragraaf 2.3 Elektronisch factureren en IT Audit pagina 16

17 6. De betalingsgegevens worden geautomatiseerd ingelezen in de financiële administratie van de afnemer 7. Via Mijn bank.nl wordt de factuur betaald aan de leverancier Dit model wordt ook wel het 22 four corner model genoemd. De informatiesystemen van verzender en ontvanger nemen via het four corner model factuur- en betalingsgegevens over. Het four corner model richt zich dus op het betalingsproces: het versturen van betaalopdrachten en het verwerken van betalingen en ontvangsten Samenwerkende en branchespecifieke oplossingen Koepelorganisaties, samenwerkende organisaties en brancheverenigingen gaan op zoek naar standaarden om binnen de brancheketen geautomatiseerd te kunnen factureren. Bedrijven werken steeds meer met volledig geautomatiseerde systemen. Computers helpen de bedrijven om de kosten in de keten te verlagen, maar vragen om duidelijke afspraken over de gegevens, zoals orders en pakbonnen. Eenduidige informatie voor alle betrokkenen is de basis voor een goede besturing van de processen in de keten. De ervaring leert dat de ontwikkeling en implementatie van standaarden in een stroomversnelling komen wanneer dat als keten wordt opgepakt. Standaarden kunnen voor de bedrijven ketenwinst opleveren. In de bouwwereld wordt veel gebruik gemaakt van GS1 23, een standaard op basis van Electronic Data Interchange (EDI). Het elektronisch uitwisselen van gegevens gebeurt met elektronische berichten. Deze berichten worden via internet of andere telecommunicatienetwerken, ongeacht afstand en grenzen, vrijwel zonder tijdverlies bij de geadresseerde bezorgd. Door de berichten en de daarin opgenomen gegevens te standaardiseren kunnen bedrijven eenvoudig applicaties bouwen die deze berichten aanmaken en verwerken. Handmatige invoer van gegevens wordt dan overbodig en informatie over transacties kan snel en foutloos worden uitgewisseld De accountant (NIVRA) In de ogen van de accountants kunnen zij zekerheid (gaan) verschaffen over de betrouwbaarheid en beheersbaarheid van het proces elektronisch factureren. Vanuit het perspectief van de verslaglegging kunnen ondernemingen in hoofdlijnen worden geclassificeerd in: I Ondernemingen die, gelet op de criteria van het Burgerlijk Wetboek, Boek 2, Titel 9, jaarlijks een (goedkeurende) accountantsverklaring bij de jaarrekening dienen te overleggen. II Ondernemingen die de accountantskantoren een samenstellingsopdracht verstrekken. III Het midden- en kleinbedrijf. Voor mogelijkheid I nemen wij aan dat de accountant voldoende zekerheid over de betrouwbaarheid van het proces elektronisch factureren kan geven op grond van zijn onderzoek naar de getrouwheid van de jaarrekening. Van belang zijn hier de totstandkoming van de financiële informatie uit de processen van inkoop tot en met aangifte Omzetbelasting. De beoordeling omvat de volgende processen: Ontvangst inkoopfactuur Verwerking inkoopfactuur in inkoopadministratie (denk hierbij aan functiescheiding tussen bewarende functie en registrerende functie) Verwerken in de financiële administratie Proces van financiële administratie naar jaarrekening 22 Zie paragraaf Elektronisch factureren en IT Audit pagina 17

18 Proces van financiële administratie naar aangifte Omzetbelasting Bij mogelijkheid II kan de accountant over de hierboven genoemde processen geen zekerheid geven. Wel kan de accountant bij het samenstellen van de jaarrekening, het accountantsrapport en de publicatiestukken op basis van een gestructureerd werkprogramma voor een bepaald kwaliteitsniveau zorgen. Wij zijn van mening dat de onderneming een afzonderlijke opdracht aan de accountant zou moeten verstrekken om de betrouwbaarheid van elektronisch factureren te beoordelen. De controlerende instantie (bv. de Belastingdienst) kan met de beoordeling van de processen van de accountant aannemen dat de gegevens van de facturen integer zijn en het transport van de elektronische facturen op een correcte wijze zijn verlopen. Wij achten deze aanvullende controlemogelijkheid niet waarschijnlijk omdat hier geen wettelijke voorschriften voor bestaan. Wij hebben deze mogelijkheid daarom niet verder uitgewerkt. Bij mogelijkheid III is meestal sprake van een geautomatiseerde omgeving van (relatief) kleine omvang. Ook is er door de grootte van de organisatie geen optimale functiescheiding te verwachten. De betrouwbaarheid van processen is in een kleine (automatiserings) omgeving met zeer beperkte functiescheiding moeilijk vast te stellen. Wij zien in het gebruikmaken van de diensten van een Billing Service Provider hier een aanvaardbaar alternatief. Deze service providers spelen in op de vraag uit de markt van vooral kleine organisaties (eenmansbedrijven, de zogenaamde ZZP ers) Belastingdienst Door het besluit is het elektronisch factureren tussen ondernemingen onderling vrijgelaten. Het dataverkeer tussen ondernemingen en de digitale overheid, ic het aangifteproces, (via OTP, overheid transactie poort) wijzigt niet. Voor de afdelingen Informatiemanagement van de Belastingdienst en ICT Regie en Architectuur van het Ministerie van Financiën is er daarom geen reden om intern in de informatieketen of automatiseringssystemen wijzigingen aan te brengen. Het controleproces bij de Belastingdienst zal wel wijzigen. Integriteit en authenticiteit zijn niet meer automatisch vastgesteld door het gekozen transportmedium. Via een IT audit (proces audit) moet de Belastingdienst vaststellen dat de technische en organisatorische maatregelen zodanig zijn ingericht dat de authenticiteit van de verzender van de elektronische factuur en integriteit van de factuurregels gewaarborgd zijn. Nu facturen naast op papier ook digitaal bij de ondernemingen beschikbaar zijn, kan de Belastingdienst massaal (digitale) factuurgegevens ter beschikking krijgen om de fiscale toets van aftrekbaarheid of zakelijkheid van kosten te beoordelen. 3.3 Casestudies De vragen voor de casestudy zijn opgesteld op basis van de probleemstelling, object, scope en kwaliteitsaspecten die wij willen onderzoeken. 1. Business en IT strategie Past elektronisch factureren binnen de ICT strategie van de onderneming? (informatie/automatiseringsbeleid respectievelijk plan) Wie is verantwoordelijk voor de implementatie van elektronisch factureren? Welke IT risico s onderkent de organisatie tussen de papieren en elektronische factuur? In hoeverre wijken de procedures/maatregelen voor papieren facturen af van elektronische facturen? Is het nivo van complexiteit van applicaties/bedrijfsprocessen door elektronisch factureren toegenomen? Elektronisch factureren en IT Audit pagina 18

19 Zijn kwetsbaarheden en bedreigingen voor IT en bedrijfsproces gewijzigd door elektronisch factureren? Is elektronisch factureren geïntegreerd in de bedrijfsprocessen en de applicaties die dit ondersteunen? 2. Betrouwbaarheid applicaties voor elektronisch factureren Zijn de invoer-, verwerkings- en uitvoercontroles gewijzigd door de invoering van elektronisch factureren? Zo ja, zijn er ook compenserende maatregelen geïmplementeerd? Zijn de beschikbaarheid en leesbaarheid van elektronische facturen gewijzigd t.o.v. bestaande (papieren) situatie? 3. Integriteit masterdata Worden aanvullende gegevens van handelspartners vastgelegd bij elektronisch factureren? En zo ja, welke? Hoe wordt de toegang tot deze masterdata beveiligd? Hoe wordt omgegaan met wijzigen van masterdata? 4. Integriteit transactiedata Wat is het digitale brondocument voor de elektronische factuur? Hoe wordt de elektronische verkoopfactuur aangemaakt? Hoe wordt de ontvangen elektronische factuur ingevoerd in de administratie? Hoe is de integriteit van de factuurdata gewaarborgd? Blijven bij elektronisch factureren de bestaande functiescheidingen in de organisatie gehandhaafd? Wij hebben voor de beantwoording van deze vragen en analyse van de resultaten drie casestudies beoordeeld, namelijk: Case 1: Elektronisch factureren door met bijgevoegde PDF Case 2: Elektronisch factureren door gebruik van een Webportal Case 3: Elektronisch factureren door middel van Webaccess Case 1 met bijgevoegde PDF Deze onderneming is middelgroot 24 en importeert fruitsappen vanuit Brazilië, slaat deze op in silo s en levert deze uit op verzoek van de afnemers. Het proces van lossen van het schip en voorraad bepalen, opslag in silo s, meten, mengen, overpompen in vrachtauto s en afleveren wordt geheel ondersteund door applicaties. Het bedrijf is voor vastlegging van het primaire proces afhankelijk van IT. Business en IT strategie In opdracht van de directie heeft het hoofd IT onderzocht of elektronisch factureren een kostenbesparing kon opleveren. Dit past binnen het automatiseringsbeleid en plan, die hoog in het vaandel staan bij de directie en hoofd IT. Door de veelheid van afnemers met verschillend niveau van automatisering kwam EDI niet in aanmerking als oplossing voor elektronische facturen. In de businesscase kwamen de directie en Hoofd IT tot de volgende conclusies: Implementatie van PDF facturen, verzonden via heeft een kleine impact op de organisatie en is goed ontvangen bij de gevraagde afnemers; Extra risico s bij het aanmaken, controleren en verzenden van elektronische facturen ten opzichte van de huidige papieren facturen zijn niet onderkend; Applicaties voor de core business hoeven niet aangepast te worden. 24 Criteria van Burgerlijk Wetboek, Boek 2, Titel 9, artikel 397, (netto omzet tot 35 miljoen, minder dan 250 fte s en verkrijgingsprijs activa lager dan 17,5 miljoen) Elektronisch factureren en IT Audit pagina 19

20 Aan de hand van een uitgevoerde risicoanalyse is een plan van aanpak PDF factuur gemaakt. Dit document heeft als leidraad gediend bij aanpassing van processen en applicaties en is aan alle betrokken uitgereikt en toegelicht. Als best practice is gekozen voor het aanmaken van de verkoopfactuur als PDF voor de afnemer en print op papier voor de eigen administratie. Feitelijk wordt de factuur driemaal bewaard, op papier, als PDF en in de E- mailbox. Betrouwbaarheid applicaties voor elektronisch factureren Er zijn slechts enkele applicaties betrokken bij het proces elektronisch factureren. Er is een programma aangekocht om facturen niet alleen naar de printer te kunnen sturen maar ook naar een PDF bestand. Deze printoptie is beschikbaar in de printerinstellingen en vereist geen verdere maatregelen. Het opslaan van de PDF bestanden gebeurt in een apart aangemaakte klantdirectory op de centrale server. De dagelijkse back-up procedure is aangepast en de inhoud van de klantdirectory wordt in de back-up procedure meegenomen. Er is een apart account aangemaakt op de mailserver. Vanuit dit account worden de PDF bestanden opgehaald van de centrale server en als bijlage per aan de afnemer verzonden. De afnemer heeft een speciaal account aangemaakt waarop de en bijlage binnenkomen. De wordt verzonden via het SMTP protocol, dus zonder enige vorm van encryptie. Zowel de afnemer als de handelsonderneming gaan er van uit dat de PDF factuur tijdens het transport niet gewijzigd kan worden en beschouwen dit formaat als veilig. Dat anderen de en PDF tijdens het transport via internet kunnen lezen zien zij niet als een probleem, dit kon vroeger ook toen het met de post werd verstuurd. De handelsonderneming heeft naast de PDF ook een (kopie-verkoop)factuur op papier geprint. Deze papieren factuur wordt in de administratie bewaard, zoals de andere papieren facturen. Hier is niets veranderd. Om aan de bewaarverplichting te voldoen, wordt er regelmatig een back-up gemaakt van het Outlook bestand (PST). Deze back-up zal gedurende 7 jaar worden bewaard op de archief-server, waar ook back-ups van de Exact administraties worden bewaard. Exact omgeving WMS leverancier interface stambestand prijzen debiteuren module factuurmodule pdf en papier fysieke levering goederen general ledger papier pdf mailserver opdracht tot leveren Afnemer mail server mail + pdf factuur Integriteit masterdata en transactiedata Binnen de stamtabel klantgegevens zijn een aantal extra gegevens opgenomen. Er staat een code in de tabel die aangeeft of de afnemer facturen op papier of via /pdf wenst te ontvangen. Het wijzigen van deze tabel is via een eigen account voorbehouden aan het hoofd Elektronisch factureren en IT Audit pagina 20