C2 Richtlijn Assurance-opdrachten door IT-auditors (3000)

Transcriptie

1 (3000) INHOUDSOPGAVE Artikel Inleiding 1 t/m 6 Kwaliteitsbeheersing 7 t/m 10 Uitvoering opdracht 11 t/m 26 Assurance-rapport 27 t/m 32 TOEPASSINGSGERICHTE EN OVERIGE VERKLARENDE TEKSTEN Paragraaf Inleiding A-1 t/m A-3 Kwaliteitsbeheersing A-4 t/m A-7 Uitvoering opdracht A-8 t/m A-38 Assurance-rapport A-39 t/m A-48 TOELICHTING Deze Richtlijn geeft aanwijzingen voor het uitvoeren van IT-audits. Daarbij worden de volgende begrippen gehanteerd ten aanzien van de assurance-opdrachten die de beroepsbeoefenaar mag uitvoeren: Opdracht tot het verkrijgen van een redelijke mate van zekerheid. De doelstelling van een opdracht tot het verkrijgen van een redelijke mate van zekerheid is het reduceren van het opdrachtrisico tot een aanvaardbaar laag niveau, rekening houdend met de omstandigheden van de opdracht, als basis voor een positief geformuleerde conclusie van de beroepsbeoefenaar. Opdracht tot het verkrijgen van een beperkte mate van zekerheid. De doelstelling van een opdracht tot het verkrijgen van een beperkte mate van zekerheid is het reduceren van het opdrachtrisico tot een niveau dat aanvaardbaar is, rekening houdend met de omstandigheden van de opdracht, maar waarbij het risico groter is dan voor een opdracht tot het verkrijgen van een redelijke mate van zekerheid, als basis voor een negatief geformuleerde conclusie van de beroepsbeoefenaar. De inhoud van deze richtlijn komt qua strekking over een met richtlijn 3000 Assurance-opdrachten anders dan opdrachten tot controle of beoordeling van historische financiële informatie die is opgenomen in de Handleiding Regelgeving Accountancy (HRA) van de Nederlandse Beroepsorganisatie van Accountants. C2 Richtlijn Assurance-opdrachten door IT-auditors INLEIDING Reikwijdte Richtlijn

2 1 Deze Richtlijn is van toepassing op alle IT-audits Ingangsdatum 2 Deze richtlijn is van toepassing op de opdrachten die zijn uitgevoerd na 1 januari 2008 Doelstelling 3 De doelstelling van deze Richtlijn voor Assurance-opdrachten is het vaststellen van algemene uitgangspunten en noodzakelijke werkzaamheden voor en het geven van aanwijzingen aan ITauditors, d.w.z. Register EDP-Auditors (RE s) ingeschreven in het register van de NOREA, voor de uitvoering van assurance-opdrachten. Definities 4 Zie definities onder paragraaf 6-A0 van dit hoofdstuk Randvoorwaarden 5 De beroepsbeoefenaar dient te voldoen aan deze Richtlijn en aan andere van toepassing zijnde Richtlijnen voor assurance-opdrachten bij de uitvoering van een assurance-opdracht. (Zie A-1 en A-2) Ethische normen 6 De beroepsbeoefenaar dient te voldoen aan de vereisten van het Reglement Gedragscode IT auditors (B1 Code of Ethics ). (Zie A-3) KWALITEITSBEHEERSING 7 De beroepsbeoefenaar dient kwaliteitsbeheersingsmaatregelen te implementeren die toegepast worden op iedere individuele opdracht. 8 De beroepsbeoefenaar dient een assurance-opdracht slechts te aanvaarden (of indien van toepassing voort te zetten) indien het object van onderzoek onder de verantwoordelijkheid valt van een andere partij dan de beoogde gebruikers of de beroepsbeoefenaar. (Zie A-4) 9 De beroepsbeoefenaar dient een assurance-opdracht slechts te aanvaarden (of indien van toepassing voort te zetten) indien er op basis van bij het voorbereidend onderzoek opgedane kennis omtrent de omstandigheden van de opdracht hem geen zaken ter kennis komen die er op wijzen dat niet aan het Reglement Gedragscode of aan de Richtlijnen voor assurance-opdrachten wordt voldaan. (Zie A-5 en A-6) 10 De beroepsbeoefenaar dient een assurance-opdracht slechts te aanvaarden (of indien van toepassing voort te zetten) indien hij er van overtuigd is dat degenen die de opdracht moeten uitvoe-

3 ren gezamenlijk beschikken over de noodzakelijke professionele bekwaamheden. (Zie A-7) UITVOERING OPDRACHT Overeenstemming opdrachtvoorwaarden 11 De IT-auditor dient de opdrachtvoorwaarden overeen te komen met de opdrachtgever. (Zie A-8) 12 Indien een beroepsbeoefenaar, voordat hij een assurance-opdracht heeft afgerond, een verzoek krijgt tot wijziging van een assurance-opdracht in een opdracht waarbij geen zekerheid wordt verkregen of van een wijziging van een opdracht tot het verkrijgen van een redelijke mate van zekerheid in een opdracht tot het verkrijgen van een beperkte mate van zekerheid, dient hij de aanvaardbaarheid van dit verzoek te beoordelen en dient hij daarmee zonder een redelijke rechtvaardiging niet in te stemmen. (Zie A-9) Planning en uitvoering opdracht 13 De beroepsbeoefenaar dient de opdracht zodanig te plannen dat deze op een doeltreffende manier zal worden uitgevoerd. (Zie A-10 en A-11) 14 De beroepsbeoefenaar dient een opdracht te plannen en uit te voeren met een professioneelkritische instelling waarbij hij zich realiseert dat er omstandigheden kunnen bestaan die er toe leiden dat het object van onderzoek onjuistheden van materieel belang bevat. (Zie A-12) 15 De beroepsbeoefenaar dient een zodanige kennis over het object van onderzoek en andere omstandigheden rond de opdracht te verkrijgen dat deze voldoende is om de risico s van onjuistheden van materieel belang in de informatie over het object van onderzoek te signaleren en te beoordelen en tevens voldoende is om verdere procedures voor het verzamelen van assuranceinformatie op te stellen en uit te voeren. (Zie A-13 en A-14)) Beoordelen aanvaardbaarheid object van onderzoek 16 De beroepsbeoefenaar dient de aanvaardbaarheid van het object van onderzoek te beoordelen. (Zie A-15) Beoordelen criteria op toepasbaarheid 17 De beroepsbeoefenaar dient de van toepassing zijnde criteria te beoordelen op toepasbaarheid ten behoeve van het evalueren of het toetsen van het object van onderzoek. (Zie A-16 t/m A-18)

4 Materieel belang en opdrachtrisico 18 De beroepsbeoefenaar dient bij de planning en de uitvoering van een assurance-opdracht rekening te houden met het materieel belang en het opdrachtrisico. (Zie A-19) 19 De beroepsbeoefenaar dient het opdrachtrisico te reduceren tot een aanvaardbaar laag niveau onder de omstandigheden rond de opdracht. (Zie A-20 en A-21) Gebruikmaken werkzaamheden deskundigen 20 Indien bij het verzamelen en het evalueren van assurance-informatie gebruik wordt gemaakt van de werkzaamheden van een deskundige dienen de beroepsbeoefenaar en de deskundige gezamenlijk te beschikken over adequate kennis en ervaring met betrekking tot het object van onderzoek en de criteria zodat de beroepsbeoefenaar kan vaststellen dat voldoende assuranceinformatie is verkregen. (Zie A-22 t/m A-24) 21 De beroepsbeoefenaar dient in een zodanige mate betrokken te zijn bij de opdracht en kennis te hebben van de werkzaamheden waarvoor gebruik is gemaakt van deskundigen dat deze voldoende is om de verantwoordelijkheid voor de conclusie omtrent de informatie over het object van onderzoek te kunnen aanvaarden. (Zie A-25 en A-26) 22 De beroepsbeoefenaar dient toereikende assurance-informatie te verkrijgen om te kunnen vaststellen dat de door de deskundige uit te voeren werkzaamheden toereikend zijn voor de doelstelling van de assurance-opdracht. (Zie A-27) Verkrijgen assurance-informatie 23 De beroepsbeoefenaar dient toereikende assurance-informatie te verkrijgen waarop zijn conclusie wordt gebaseerd. (Zie A-28 t/m A-32) Bevestiging door de verantwoordelijke partij 24 De beroepsbeoefenaar dient, indien dit van toepassing is, bevestigingen te ontvangen van de verantwoordelijke partij. (Zie A-33 t/m A-35) Beoordeling gebeurtenissen die optreden na periode of tijdstip waarop de opdracht betrekking heeft tot aan datum assurance-rapport 25 De beroepsbeoefenaar dient de invloed op de informatie over het object van onderzoek en op het assurance-rapport te beoordelen van gebeurtenissen die optreden na de periode of het tijdstip

5 waarop de opdracht betrekking heeft tot aan de datum van het assurance-rapport. (Zie A-36) Documentatie 26 De beroepsbeoefenaar dient in het dossier die zaken vast te leggen die van betekenis zijn voor de verschaffing van assurance-informatie ter onderbouwing van het assurance-rapport en waaruit blijkt dat de opdracht is uitgevoerd volgens de Richtlijnen voor assurance-opdrachten. (Zie A-37 en A-38) ASSURANCE-RAPPORT Opstellen assurance-rapport 27 De beroepsbeoefenaar dient vast te stellen of hij toereikende assurance-informatie heeft verkregen ter onderbouwing van zijn conclusie die in het assurance-rapport wordt verwoord. (Zie A-39) 28 Het assurance-rapport dient schriftelijk te zijn en dient een duidelijke formulering te bevatten van de conclusie van de beroepsbeoefenaar over de informatie omtrent het object van onderzoek. (Zie A-40 en A-41) Inhoud assurance-rapport 29 Het assurance-rapport dient ten minste de onder de Toepassingsgerichte en Overige Verklarende Teksten genoemde elementen te bevatten. (Zie A-42 t/m A-44) Conclusies met beperking, afkeurende conclusies en conclusies van oordeelonthouding 30 De IT-auditor dient geen goedkeurende conclusie te verstrekken indien de volgende situaties zich voordoen en de beroepsbeoefenaar van mening is dat het effect daarvan van materieel belang is of kan zijn: a. Er is een beperking in de reikwijdte van de werkzaamheden van de IT-auditor, dat wil zeggen dat de omstandigheden een belemmering vormen voor de beroepsbeoefenaar om de noodzakelijke assurance-informatie te verkrijgen die het opdrachtrisico tot gewenste niveau reduceert of dat de verantwoordelijke partij dan wel de opdrachtgever een beperking oplegt die dit belemmert. In dat geval dient de beroepsbeoefenaar een conclusie met beperking of een conclusie van oordeelhouding te verstrekken. b. In gevallen waarin de conclusie van de IT-auditor: is geformuleerd conform een bewering van de verantwoordelijke partij en deze bewering niet in alle van materieel belang zijnde opzichten in overeenstemming is met de werkelijkheid, of zodanig is geformuleerd dat deze direct betrekking heeft op het object van onderzoek en op de criteria en de informatie omtrent het object van onderzoek afwijkingen van materieel belang vertoont (direct reporting-opdracht),

6 dient de IT-auditor een conclusie met beperking of een afkeurende conclusie te verstrekken. c. Na de aanvaarding van de opdracht blijkt dat de criteria niet toepasbaar zijn of dat het object van onderzoek zich niet leent voor een assurance-opdracht. De beroepsbeoefenaar dient dan: (Zie A-45) Een conclusie met beperking of een afkeurende conclusie te verstrekken indien de niet toepasbare criteria of het oneigenlijke object van onderzoek naar alle waarschijnlijkheid misleidend zijn voor de beoogde gebruikers. In alle andere gevallen een conclusie met beperking of een conclusie van oordeelonthouding te verstrekken. 31 De beroepsbeoefenaar dient een conclusie met beperking te verstrekken indien het effect van een bepaalde zaak niet zodanig van materieel belang of van invloed is dat een afkeurende conclusie of een conclusie van oordeelonthouding is vereist. In een conclusie met beperking worden de woorden met uitzondering gebruikt voor het effect op datgene waarop de beperking betrekking heeft. (Zie A-46) Overige verantwoordelijkheden met betrekking tot rapportering 32 De beroepsbeoefenaar dient rekening te houden met overige verantwoordelijkheden voor de rapportering waaronder de noodzaak om informatie uit te wisselen met de organen die belast zijn met governance, over relevante zaken die van belang zijn voor governance en die uit de assuranceopdracht naar voren komen. (Zie A-47 en A-48) TOEPASSINGSGERICHTE EN OVERIGE VERKLARENDE TEKSTEN A-1 Deze Richtlijn moet worden gelezen binnen de context van het Raamwerk Assurance-opdrachten door IT-auditors (IFAC-Raamwerk), dat de elementen en de doelstellingen van een assuranceopdracht bepaalt en omschrijft, en vaststelt op welke opdrachten de Richtlijnen voor assuranceopdrachten van toepassing zijn. (Zie 5) A-2 Andere Richtlijnen voor assurance-opdrachten kunnen betrekking hebben op onderwerpen die van toepassing zijn op alle objecten van onderzoek of kunnen specifiek betrekking hebben op een bepaald object van onderzoek. (Zie 5) A-3 Het Reglement Gedragscode IT-auditors (B1) verschaft een kader van beginselen dat leden van opdrachtteams, IT- auditorspraktijken en netwerkorganisaties hanteren om bedreigingen voor hun onafhankelijkheid te onderkennen, de betekenis van deze bedreigingen te evalueren en, behalve wanneer ze nauwelijks enige betekenis hebben, deze bedreigingen te signaleren en waarborgen te treffen om ze te elimineren dan wel te reduceren tot een aanvaardbaar niveau zodat aan de onafhankelijkheid in wezen en in schijn geen afbreuk wordt gedaan.

7 (Zie 6) A-4 Zoals is aangegeven in C1 onder 19 van het Raamwerk voor assurance-opdrachten kan de verantwoordelijke partij wel één van de beoogde gebruikers zijn maar niet de enige. Bevestiging daarvan door de verantwoordelijke partij geeft duidelijkheid over het bestaan van de juiste relatie en legt een basis voor een eensluidende opvatting van de verantwoordelijkheid van elke partij. Een schriftelijke bevestiging is de meest geschikte vorm om het standpunt van de verantwoordelijke partij vast te leggen. Bij het ontbreken van een bevestiging van de verantwoordelijkheid overweegt de beroepsbeoefenaar: a. Of het juist is de opdracht te aanvaarden. Het kan juist zijn de opdracht te aanvaarden indien bijvoorbeeld andere bronnen, zoals wetgeving of een contract, de verantwoordelijkheid aangeven. b. Indien de opdracht wordt aanvaard, deze omstandigheden in het assurance-rapport toe te lichten. (Zie 8) A-5 De IT-auditor houdt rekening met het genoemde in C1 onder 8 van het Raamwerk voor assurance-opdrachten en aanvaardt de opdracht niet tenzij deze alle kenmerken vertoont die in die paragraaf als eis worden gesteld. Daarnaast houdt de beroepsbeoefenaar, indien de partij die hem de opdracht verstrekt (de opdrachtgever) niet dezelfde is als de verantwoordelijke partij, rekening met de gevolgen die dit heeft voor zijn toegang tot registraties, documentatie en overige informatie die hij nodig kan hebben voor de afronding van de opdracht. (Zie 9) A-6 Onder de omstandigheden van de opdracht worden begrepen de opdrachtaanvaarding, waaronder de vaststelling of het een opdracht betreft tot het verkrijgen van een redelijke mate van zekerheid dan wel een opdracht betreft tot het verkrijgen van een beperkte mate van zekerheid, de kenmerken van het object van onderzoek, de te hanteren criteria, de behoeften van de beoogde gebruikers, relevante kenmerken van de verantwoordelijke partij en zijn omgeving, en overige zaken zoals gebeurtenissen, transacties, voorwaarden en gebruiken die invloed van betekenis kunnen hebben op de opdracht. (Zie 9) A-7 Een beroepsbeoefenaar kan worden gevraagd assurance-opdrachten uit te voeren ten aanzien van een breed scala van onderwerpen. Sommige onderwerpen kunnen specialistische kennis en ervaring vereisen die uitgaan boven datgene wat in het algemeen van de individuele beroepsbeoefenaar kan worden verwacht (zie A-20 t/m A-22 en P-22 t/m P-27 van deze richtlijn). (Zie 10) A-8 Om misverstanden te voorkomen worden de overeengekomen voorwaarden vastgelegd in een opdrachtbevestiging of een andere geschikte vorm van een overeenkomst. Indien de opdrachtgever niet dezelfde is als de verantwoordelijke partij kunnen de aard en inhoud van een opdrachtbrief of een overeenkomst variëren. Het bestaan van een wettelijk voorschrift kan al betekenen dat aan de eis van het overeenkomen van de opdrachtvoorwaarden is voldaan. Zelfs in die gevallen kan een opdrachtbrief zowel voor de beroepsbeoefenaar als voor de opdrachtgever nuttig zijn. (Zie 11)

8 A-9 Een verandering in de omstandigheden die van invloed is op de informatiebehoeften van de beoogde gebruikers of een misverstand met betrekking tot de aard van de opdracht zullen in het algemeen een verzoek tot wijziging van de opdracht rechtvaardigen. Indien een dergelijke wijziging tot stand komt zal de beroepsbeoefenaar de assurance-informatie die hij voorafgaand aan die wijziging heeft verkregen niet buiten beschouwing laten (Zie 12) A-10 Planning omvat het ontwikkelen van een algehele strategie voor de reikwijdte, de diepgang, het tijdschema en de uitvoering van de opdracht, en het ontwikkelen van de detailplanning van de opdracht, bestaande uit een gedetailleerde aanpak voor aard, tijdsfasering en omvang van de procedures die moeten worden uitgevoerd om assurance-informatie te verzamelen en de onderbouwing voor de keuze daarvan. Een adequate planning draagt er aan bij de juiste aandacht te besteden aan belangrijke gebieden binnen de opdracht, mogelijke problemen tijdig te onderkennen en de opdracht op de juiste manier te organiseren en te leiden zodat deze op een doeltreffende en doelmatige wijze wordt uitgevoerd. Een adequate planning ondersteunt de beroepsbeoefenaar eveneens in het juist toewijzen van werkzaamheden aan de leden van het opdrachtteam en geeft mogelijkheden voor het geven van leiding aan en het houden van toezicht op de leden van het opdrachtteam en voor het beoordelen van hun werkzaamheden. Daarnaast draagt de planning in voorkomende gevallen bij tot de afstemming van het werk dat wordt uitgevoerd door andere beroepsbeoefenaren en deskundigen. De aard en omvang van de planningsactiviteiten zullen afhankelijk zijn van de voor de opdracht geldende omstandigheden zoals de omvang en de complexiteit van de entiteit en van eerdere ervaringen die de beroepsbeoefenaar daarmee heeft. Voorbeelden van de belangrijkste zaken waarmee rekening moet worden gehouden zijn onder andere: De opdrachtvoorwaarden. De kenmerken van het object van onderzoek en de vastgestelde criteria. Het verloop van de opdracht en de mogelijke bronnen van assurance-informatie. De kennis die de beroepsbeoefenaar heeft omtrent de entiteit en haar omgeving waaronder de risico s dat de informatie over het object van onderzoek onjuistheden van materieel belang vertoont. Het vaststellen van de beoogde gebruikers en hun behoeften alsmede de afwegingen met betrekking tot het materieel belang en de componenten van het opdrachtrisico. De behoefte aan personeel en ervaring, waaronder de aard en omvang van de betrokkenheid van deskundigen. (Zie 13) A-11 De planning is geen afgebakende fase maar meer een doorlopend en zich herhalend proces gedurende de opdracht. Ten gevolge van onverwachte gebeurtenissen, van wijzigingen in omstandigheden of van assurance-informatie die is verkregen uit de procedures voor het verzamelen van assurance-informatie, kan het nodig zijn dat de beroepsbeoefenaar de algehele strategie en de detailplanning van de opdracht herziet en op grond daarvan ook de geplande aard, tijdsfasering en omvang van de verdere procedures (Zie 13) A-12 Een professioneel-kritische instelling houdt in dat de beroepsbeoefenaar de deugdelijkheid van de verkregen assurance-informatie aan een kritische beoordeling onderwerpt en daarop niet blindelings vertrouwt en dat hij alert is op assurance-informatie die in tegenspraak is met de betrouw-

9 baarheid van de documentatie of van de voorstelling van zaken van de verantwoordelijke partij of die daarover vragen oproept. (Zie 14) A-13 Het verkrijgen van kennis over het object van onderzoek en andere omstandigheden rond de opdracht vormt een wezenlijk onderdeel van de planning en uitvoering van de assurance-opdracht. Deze kennis geeft de beroepsbeoefenaar een referentiekader voor het toepassen van zijn deskundige oordeelsvorming gedurende de opdracht, bijvoorbeeld bij: het beoordelen van de kenmerken van het object van onderzoek; het beoordelen van de toepasbaarheid van de criteria; het onderkennen van situaties waarin speciale overwegingen noodzakelijk zouden zijn, bijvoorbeeld als er aanwijzingen zijn voor fraude, en wanneer er specialistische ervaring of werkzaamheden van een deskundige vereist zijn; het vaststellen en evalueren van de juistheid van de grenzen voor het kwantitatieve materieel belang (indien van toepassing) en het afwegen van de factoren voor het kwalitatieve materieel belang; het ontwikkelen van de verwachte uitkomsten die gehanteerd worden indien analyses worden uitgevoerd; het instellen en uitvoeren van verdere procedures voor het verzamelen van assuranceinformatie om het opdrachtrisico terug te brengen tot een aanvaardbaar niveau; het evalueren van de assurance-informatie, waaronder is begrepen de redelijkheid van de mondelinge en schriftelijke voorstelling van zaken door de verantwoordelijke partij. (Zie 15) A-14 De beroepsbeoefenaar maakt gebruik van zijn deskundige oordeelsvorming om te bepalen wat de omvang is van de kennis die vereist is met betrekking tot het object van onderzoek en andere omstandigheden rond de opdracht. De beroepsbeoefenaar beoordeelt of deze kennis voldoende is om een inschatting te maken van de risico s dat de informatie over het object van onderzoek onjuistheden van materieel belang vertoont. De beroepsbeoefenaar heeft gewoonlijk een minder diepgaande kennis dan de verantwoordelijke partij. (Zie 15) A-15 Een aanvaardbaar object van onderzoek vertoont de kenmerken die zijn opgesomd C1 onder A- 22 van het Raamwerk voor assurance-opdrachten. Daarnaast stelt de IT-auditor de kenmerken van het object van onderzoek vast die van bijzondere betekenis zijn voor de beoogde gebruikers en die in het assurance-rapport moeten worden omschreven. Zoals aangegeven in C1 onder 8 van het Raamwerk zal een beroepsbeoefenaar een assurance-opdracht slechts aanvaarden indien bij het voorbereidend onderzoek opgedane kennis omtrent de omstandigheden rond de opdracht er op wijst dat het object van onderzoek aanvaardbaar is. Indien de beroepsbeoefenaar na de aanvaarding van de opdracht echter tot de conclusie komt dat het object van onderzoek niet aan de te stellen eisen voldoet zal hij dit tot uitdrukking brengen door middel van een conclusie met beperking, een afkeurende conclusie of een conclusie van oordeelonthouding. (Zie 16) A-16 Toepasbare criteria vertonen kenmerken die zijn opgesomd in C1 onder 23 van het Raamwerk

10 voor assurance-opdrachten. Zoals aangegeven in C1 onder 8 van het Raamwerk zal een beroepsbeoefenaar een assurance-opdracht slechts aanvaarden indien zijn voorlopige kennis omtrent de omstandigheden rond de opdracht er op wijst dat de te hanteren criteria toepasbaar zijn. Indien de beroepsbeoefenaar na de aanvaarding van de opdracht echter tot de conclusie komt dat de criteria niet toepasbaar zijn zal hij dit tot uitdrukking brengen door middel van een conclusie met beperking, een afkeurende conclusie of een conclusie van oordeelonthouding. In sommige gevallen overweegt de beroepsbeoefenaar de opdracht terug te geven. (Zie 17) A-17 C1 onder 25 en A-25 van het Raamwerk voor assurance-opdrachten geven aan dat criteria of generiek zijn of dat zij specifiek zijn ontwikkeld. Generieke criteria zijn gewoonlijk toepasbaar indien zij in overeenstemming zijn met de behoeften van de beoogde gebruikers. Als er generieke criteria bestaan voor een object van onderzoek kunnen bepaalde gebruikers andere criteria overeenkomen ten behoeve van hun specifieke doelstellingen. Zo kunnen er bijvoorbeeld verschillende kaders als generieke criteria worden gehanteerd bij het evalueren van de effectiviteit van interne beheersingsmaatregelen. Bepaalde gebruikers kunnen echter een meer gedetailleerd pakket van criteria ontwikkelen dat tegemoet komt aan hun specifieke behoeften met betrekking tot bijvoorbeeld weloverwogen toezicht. In die gevallen zal het assurance-rapport: a. Indien dat van belang is voor de omstandigheden rond de opdracht, toelichten dat de criteria geen onderdeel uitmaken van wet- en regelgeving en niet zijn uitgevaardigd door gezaghebbende of erkende instanties van deskundigen die werken volgens een inzichtelijk proces van totstandkoming. b. Vermelden dat deze criteria alleen gelden ten behoeve van de bepaalde gebruikers en hun doelstellingen. (Zie 17) A-18 Voor sommige objecten van onderzoek ligt het voor de hand dat er geen generieke criteria bestaan. In die gevallen worden specifieke criteria ontwikkeld. De beroepsbeoefenaar beoordeelt of specifiek ontwikkelde criteria kunnen leiden tot een assurance-rapport dat misleidend is voor de beoogde gebruikers. De beroepsbeoefenaar zal proberen een bevestiging te krijgen van de beoogde gebruikers of van de opdrachtgever dat de specifiek ontwikkelde criteria toepasbaar zijn voor de doelstellingen van de beoogde gebruikers. De beroepsbeoefenaar overweegt welke invloed het ontbreken van een dergelijke bevestiging heeft op de wijze waarop de toepasbaarheid van de vastgestelde criteria moet worden beoordeeld en op de informatie die omtrent de criteria in het assurance-rapport wordt verstrekt (Zie 17) A-19 De beroepsbeoefenaar houdt rekening met het materieel belang bij het bepalen van de aard, de tijdsfasering en de omvang van de procedures voor het verzamelen van assurance-informatie en bij het afwegen of de informatie omtrent het object van onderzoek geen onjuistheden bevat. Het overwegen van het materieel belang vereist van de beroepsbeoefenaar dat hij weet en kan inschatten welke factoren de beslissingen van de beoogde gebruikers zouden kunnen beïnvloeden. Indien bijvoorbeeld de vastgestelde criteria de mogelijkheid bieden om de informatie over het object van onderzoek op verschillende manieren weer te geven, beoordeelt de beroepsbeoefenaar op welke wijze de gekozen weergave de beslissingen van de beoogde gebruikers zou kunnen beinvloeden. Het materieel belang wordt beoordeeld binnen de context van kwantitatieve en kwalitatieve facto-

11 ren zoals het relatieve belang, de aard en de omvang van het effect van deze factoren op de evaluatie of de toetsing van het object van onderzoek, en van de belangen van de beoogde gebruikers. De inschatting van het materieel belang en het relatieve belang van kwantitatieve en kwalitatieve factoren zijn bij een specifieke opdracht ter beoordeling van de beroepsbeoefenaar. (Zie 18) A-20 Bij een opdracht tot het verkrijgen van een redelijke mate van zekerheid reduceert de beroepsbeoefenaar het opdrachtrisico tot een aanvaardbaar laag niveau onder de omstandigheden rond een dergelijke opdracht als basis voor een positief geformuleerde conclusie van de beroepsbeoefenaar. De doelstelling van een opdracht tot het verkrijgen van een beperkte mate van zekerheid is het reduceren van het opdrachtrisico tot een niveau dat aanvaardbaar is onder de omstandigheden van de opdracht, maar waarbij het risico groter is dan voor een opdracht tot het verkrijgen van een redelijke mate van zekerheid, als basis voor een negatief geformuleerde conclusie van de beroepsbeoefenaar. Het niveau van het opdrachtrisico van een assurance-opdracht ligt voor een opdracht tot het verkrijgen van een beperkte mate van zekerheid hoger dan voor een opdracht tot het verkrijgen van een redelijke mate van zekerheid op grond van verschillen in aard, tijdsfasering en omvang van de procedures voor het verzamelen van assurance-informatie. Bij een opdracht tot het verkrijgen van een beperkte mate van zekerheid is het samenstel van aard, tijdsfasering en omvang van de procedures voor het verzamelen van assurance-informatie voor de beroepsbeoefenaar echter ten minste voldoende om een zinvol niveau van zekerheid te verkrijgen als basis voor een negatief geformuleerde conclusie. Om zinvol te zijn moet het verkregen niveau van zekerheid geacht worden het vertrouwen van de beoogde gebruikers in de informatie over het object van onderzoek in duidelijke mate te versterken (Zie 19) A-21 C1 onder A-39 van het Raamwerk voor assurance-opdrachten geeft aan dat in het algemeen het opdrachtrisico bestaat uit inherent risico, intern beheersingsrisico en ontdekkingsrisico. De mate waarin de beroepsbeoefenaar aandacht besteedt aan elk van deze onderdelen wordt beïnvloed door de omstandigheden rond de opdracht, in het bijzonder door de aard van het object van onderzoek, en door de vraag of een opdracht tot het verkrijgen van een redelijke mate van zekerheid dan wel een opdracht tot het verkrijgen van een beperkte mate van zekerheid moet worden uitgevoerd. (Zie 19) A-22 Het object van onderzoek en de desbetreffende criteria van sommige assurance-opdrachten kunnen aspecten inhouden die specialistische kennis en vaardigheden vereisen bij het verzamelen en evalueren van assurance-informatie. In die gevallen kan de beroepsbeoefenaar besluiten gebruik te maken van personen uit andere beroepsgroepen, aangeduid als deskundigen, die beschikken over de vereiste kennis en vaardigheden. Deze Richtlijn geeft geen aanwijzingen voor het gebruikmaken van de werkzaamheden van een deskundige indien sprake is van gedeelde verantwoordelijkheid en van gezamenlijke rapportering door een beroepsbeoefenaar en één of meer deskundigen. (Zie 20)

12 A-23 Zorgvuldigheid is een noodzakelijke professionele hoedanigheid voor alle personen, waaronder de deskundigen, die bij een assurance-opdracht zijn betrokken. Aan degenen die zijn betrokken bij assurance-opdrachten zullen verschillende verantwoordelijkheden zijn toegewezen. De mate van bekwaamheid die is vereist voor de uitvoering van deze opdrachten zal afhangen van de aard van hun verantwoordelijkheden. Omdat de deskundigen niet noodzakelijkerwijs beschikken over dezelfde bekwaamheid als de beroepsbeoefenaar met betrekking tot het uitvoeren van alle aspecten van een assurance-opdracht stelt de beroepsbeoefenaar vast dat de deskundigen in voldoende mate op de hoogte zijn van de Richtlijnen voor assurance-opdrachten om de werkzaamheden die aan hen zijn toegewezen te kunnen plaatsen binnen de doelstelling van de opdracht. (Zie 20) A-24 De beroepsbeoefenaar hanteert procedures voor kwaliteitsbeheersing die gericht zijn op de verantwoordelijkheid van allen die de assurance-opdracht uitvoeren, waaronder ook de werkzaamheden van alle deskundigen die geen IT auditor zijn, om te waarborgen dat binnen de context van hun verantwoordelijkheden wordt voldaan aan deze Richtlijn en aan andere van toepassing zijnde Richtlijnen voor assurance-opdrachten. (Zie 20) A-25 De beroepsbeoefenaar beoordeelt in hoeverre het redelijk is gebruik te maken van deskundigen bij het formuleren van zijn conclusie. (Zie 21) A-26 Van de beroepsbeoefenaar wordt niet verwacht dat hij beschikt over dezelfde specialistische kennis en bekwaamheden als de deskundige. Hij heeft echter wel voldoende bekwaamheid en kennis om: a. De doelstellingen van de toegewezen werkzaamheden vast te stellen en aan te geven op welke wijze deze werkzaamheden betrekking hebben op de doelstelling van de opdracht. b. De redelijkheid te beoordelen van de veronderstellingen, de werkwijze en de bronnen die door de deskundige worden gehanteerd. c. de redelijkheid van de bevindingen van de deskundige te beoordelen met betrekking tot de omstandigheden rond de opdracht en de conclusie van de beroepsbeoefenaar. (Zie 21) A-27 Om te beoordelen of de assurance-informatie die door de deskundige wordt verschaft toereikend is evalueert de IT-auditor: a. De vakkundige bekwaamheid, waaronder ook de ervaring, en de onpartijdigheid van de deskundige. b. De redelijkheid van de veronderstellingen, de werkwijze en de bronnen die door de deskundige worden gehanteerd. c. De redelijkheid en de betekenis van de bevindingen van de deskundige met betrekking tot de omstandigheden rond de opdracht en de conclusie van de beroepsbeoefenaar. (Zie 22) A-28 Het begrip toereikend heeft twee verschillende aspecten, namelijk voldoende en geschikt. Het aspect voldoende geeft de hoeveelheid assurance-informatie aan. Het aspect geschikt geeft de kwa-

13 liteit van de assurance-informatie aan, dat wil zeggen de relevantie en de betrouwbaarheid. De IT-auditor maakt een afweging tussen de kosten voor het verkrijgen van assurance-informatie en het nut van de verkregen informatie. De moeilijkheidsgraad of de kostenoverwegingen mogen echter geen reden op zichzelf zijn om een procedure achterwege te laten ter verkrijging van assurance-informatie waarvoor geen alternatieven bestaan. De IT-auditor maakt gebruik van zijn vakkundige oordeelsvorming en heeft een professioneelkritische instelling indien hij de kwantiteit en de kwaliteit van de assurance-informatie en de toereikendheid daarvan beoordeelt ter onderbouwing van zijn assurance-rapport. (Zie 23) A-29 Een assurance-opdracht omvat vrijwel nooit de vaststelling van de authenticiteit van de onderliggende stukken en de beroepsbeoefenaar is ook niet opgeleid om deze echtheid vast te stellen; dit wordt ook niet van hem verwacht. De IT-auditor beoordeelt echter wel betrouwbaarheid van de informatie die als bewijsmateriaal wordt gehanteerd zoals fotokopieën, faxen, films, digitale of andere digitale informatie, waaronder als dat van belang is ook de beheersingsmaatregelen bij de totstandkoming en het onderhoud daarvan. (Zie 23) A-30 Bij een opdracht tot het verkrijgen van een redelijke mate van zekerheid wordt de toereikende assurance-informatie verkregen als onderdeel van een zich herhalend systematisch proces waarin zijn begrepen: a. Het verkrijgen van kennis omtrent het object van onderzoek en andere omstandigheden rond de opdracht waaronder, afhankelijk van het object van onderzoek, het verkrijgen van kennis omtrent de interne beheersingsmaatregelen. b. Het op basis van deze kennis inschatten van de risico s dat de informatie over het object van onderzoek onjuistheden van materieel belang vertoont. c. Het reageren op de ingeschatte risico s, waaronder het ontwikkelen van een algehele aanpak, en het bepalen van de aard, de tijdsfasering en de omvang van verdere procedures. d. Het uitvoeren van verdere procedures die duidelijk zijn gekoppeld aan de gesignaleerde risico s, waarbij gebruik wordt gemaakt van een combinatie van verificatie, waarnemingen ter plaatse, bevestiging, herberekening, opnieuw uitvoeren, analyse en inwinnen van inlichtingen. Deze verdere procedures omvatten gegevensgerichte werkzaamheden, waaronder het verkrijgen van bevestigende informatie vanuit bronnen die onafhankelijk zijn van de entiteit en, afhankelijk van de aard van het object van onderzoek, het testen van de daadwerkelijke doeltreffendheid van de beheersingsmaatregelen. e. Het evalueren van de toereikendheid van de assurance-informatie (Zie 23) A-31 Redelijke mate van zekerheid is minder dan absolute zekerheid. Het is vrijwel nooit realiseerbaar of uit kostenoverwegingen nuttig het opdrachtrisico tot nul reduceren als gevolg van bijvoorbeeld de volgende factoren: Het gebruikmaken van deelwaarnemingen. De inherente beperkingen van de interne beheersingsmaatregelen. Het feit dat veel van de assurance-informatie waarover de IT-auditor kan beschikken, eerder

14 iets aannemelijk maakt dan dat dit sluitend bewijsmateriaal verschaft. Het gebruikmaken van afwegingen bij het verzamelen en evalueren van de assuranceinformatie het bij het trekken van conclusies die of die informatie zijn gebaseerd. In sommige gevallen de kenmerken van het object van onderzoek. (Zie 23) A-32 Zowel bij opdrachten tot het verkrijgen van een redelijke mate van zekerheid als bij opdrachten tot het verkrijgen van een beperkte mate van zekerheid moet gebruik worden gemaakt van assurancevaardigheden en -technieken en van het verzamelen van toereikende assurance-informatie als een onderdeel van een zich herhalend systematisch proces dat onder meer bestaat uit het verkrijgen van kennis over het object van onderzoek en over andere omstandigheden rond de opdracht. Bij een opdracht tot het verkrijgen van een beperkte mate van zekerheid zijn aard, tijdsfasering en omvang van procedures voor het verzamelen van toereikende assurance-informatie echter met opzet beperkt ten opzichte van een opdracht tot het verkrijgen van een redelijke mate van zekerheid. Voor sommige objecten van onderzoek kunnen er specifieke Richtlijnen voor assuranceopdrachten bestaan (zoals bijv. de Richtlijn Assurance-opdrachten met betrekking tot de bescherming van persoonsgegevens) die aanwijzingen geven voor procedures voor het verzamelen van toereikende assurance-informatie voor een opdracht tot het verkrijgen van een beperkte mate van zekerheid. Als er geen specifieke richtlijn voor assurance-opdrachten bestaat zullen de procedures voor het verzamelen van toereikende assurance-informatie afhangen van de omstandigheden rond de opdracht waaronder met name van het object van onderzoek en de behoeften van de beoogde gebruikers en de opdrachtgever, alsmede de beperkingen die worden opgelegd door de beschikbare tijd en middelen. Zowel bij opdrachten tot het verkrijgen van een redelijke mate van zekerheid als bij opdrachten tot het verkrijgen van een beperkte mate van zekerheid onderzoekt de IT-auditor, indien hij iets ontdekt op grond waarvan hij zich afvraagt of een aanpassing van materieel belang in desbetreffende informatie dient te worden aangebracht, deze zaak door het uitvoeren van aanvullende werkzaamheden met een zodanige diepgang dat hij in staat is daarover te rapporteren. (Zie 23) A-33 Een schriftelijke bevestiging of een mondelinge voorstelling van zaken verlaagt de kans op misverstanden tussen de beroepsbeoefenaar en de verantwoordelijke partij. Met name vraagt de beroepsbeoefenaar aan de verantwoordelijke partij om een schriftelijke bevestiging waarin het object van onderzoek wordt geëvalueerd en wordt aangegeven in hoeverre het beantwoordt aan de vastgestelde criteria, waarbij deze bevestiging al dan niet als een bewering ter beschikking wordt gesteld aan de beoogde gebruikers. Het niet ontvangen van een schriftelijke bevestiging kan leiden tot een conclusie met beperking of een conclusie van oordeelonthouding op grond van een beperking in de reikwijdte van de opdracht. De beroepsbeoefenaar kan ook een beperking opleggen in het gebruik van het assurance-rapport. (Zie 24) A-34 Tijdens de assurance-opdracht kan de verantwoordelijke partij ongevraagd of in antwoord op een specifiek verzoek om inlichtingen mededelingen doen aan de beroepsbeoefenaar. Indien deze mededelingen betrekking hebben op zaken die van materiële betekenis zijn voor de evaluatie of

15 de vaststelling van het object van onderzoek zal de IT-auditor: a. Een evaluatie maken van de redelijkheid ervan en van de samenhang met andere assurance-informatie die hij heeft verkregen, waaronder andere mededelingen. b. Nagaan of van degenen die deze mededelingen hebben verstrekt, verwacht mag worden dat zij op de hoogte zijn van de desbetreffende zaken. c. Overtuigende assurance-informatie verkrijgen in geval van een opdracht tot het verkrijgen van een redelijke mate van zekerheid. Ook bij een opdracht tot het verkrijgen van een beperkte mate van zekerheid zal de beroepsbeoefenaar proberen overtuigende assuranceinformatie te verkrijgen. (Zie 24) A-35 Bevestigingen door de verantwoordelijke partij kunnen niet in de plaats komen van andere assurance-informatie waarvan de beroepsbeoefenaar redelijkerwijs mag verwachten dat deze beschikbaar is. Indien het niet mogelijk is toereikende assurance-informatie te verkrijgen over een zaak die invloed van materieel belang heeft of zou kunnen hebben op de evaluatie of de toetsing van het object van onderzoek, terwijl deze assurance-informatie normaliter wel beschikbaar zou moeten zijn, vormt dit, zelfs indien hierover een bevestiging van de verantwoordelijke partij is verkregen, een beperking in de reikwijdte van de opdracht. (Zie 24) A-36 De mate waarin de gebeurtenissen na de periode of het tijdstip waarop de opdracht betrekking heeft tot aan de datum van het assurance-rapport in aanmerking genomen dienen te worden hangt af van de invloed die deze gebeurtenissen kunnen hebben op de informatie over het object van onderzoek en op de juistheid van de conclusies van de beroepsbeoefenaar. Voor bepaalde assurance-opdrachten is een beoordeling van deze gebeurtenissen vanwege de aard van het object van onderzoek niet relevant. Indien de opdracht bijvoorbeeld vereist dat een conclusie moet worden getrokken over de juistheid van een statistische opgave op een bepaald tijdstip zullen gebeurtenissen die optreden tussen dat tijdstip en de rapporteringsdatum de conclusie niet beïnvloeden en ook niet behoeven te worden toegelicht in de opgave of in het assurance-rapport. (Zie 25) A-37 Het dossier bevat een vastlegging van de overwegingen van de IT-auditor aangaande alle aspecten die een vakkundige oordeelsvorming vereisen en van de conclusies die hij daaruit heeft getrokken. Wanneer er moeilijke kwesties bestaan met betrekking tot uitgangspunten of oordeelsvorming is het noodzakelijk dat de relevante feiten worden vastgelegd die de beroepsbeoefenaar bekend waren op het moment waarop de conclusies zijn getrokken. (Zie 26) A-38 Het is niet nodig en evenmin praktisch uitvoerbaar om alle zaken vast te leggen die de IT-auditor in aanmerking neemt. Door gebruik te maken van zijn vakkundige oordeelsvorming zal de beroepsbeoefenaar bij het bepalen van de hoeveelheid documentatie die moet worden opgesteld en bewaard overwegen wat noodzakelijk is om aan een andere beroepsbeoefenaar, die niet betrokken was bij de opdracht, inzicht te verschaffen in de werkzaamheden die zijn uitgevoerd en in de grondslagen voor de belangrijkste beslissingen (zonder alle gedetailleerde aspecten van de opdracht te vermelden). Deze andere beroepsbeoefenaar zal die aspecten alleen kunnen begrijpen wanneer hij ze bespreekt met de IT auditor die de documentatie heeft opgesteld.

16 (Zie 26) A-39 Bij de totstandkoming van zijn conclusie houdt de beroepsbeoefenaar rekening met alle relevante assurance-informatie die hij heeft verkregen, ongeacht of deze de informatie omtrent het object van onderzoek bevestigt dan wel daarmee in tegenspraak is. (Zie 27) A-40 Zonder een onderliggend schriftelijk rapport kunnen conclusies die mondeling of in een andere uitdrukkingsvorm worden weergegeven tot misverstanden leiden. Daarom zal de IT-auditor niet mondeling of met gebruikmaking van symbolen rapporteren zonder daarnaast een definitief schriftelijk assurance-rapport uit te brengen dat direct beschikbaar is zodra er mondeling wordt gerapporteerd of een symbool wordt gebruikt. Een symbool kan bijvoorbeeld worden gekoppeld aan een schriftelijk rapport op Internet. (Zie 28) A-41 Deze Richtlijn schrijft ten aanzien van de rapportering geen standaardvorm voor die voor alle assurance-opdrachten moet worden toegepast. In plaats daarvan worden onder A-42 van deze Richtlijn de basiselementen genoemd die het assurance-rapport moet bevatten. Assurance-rapporten zijn toegesneden op de specifieke omstandigheden rond de opdracht. De beroepsbeoefenaar kiest een short-form of een long-form manier van rapporteren om een effectieve communicatie met de beoogde gebruikers mogelijk te maken. Een rapportering in short-form bestaat gewoonlijk alleen uit de basiselementen. Een rapportering in long-form bevat naast de basiselementen veelal een gedetailleerde beschrijving van de opdrachtvoorwaarden, van de criteria die zijn gehanteerd, van de bevindingen met betrekking tot bepaalde aspecten van de opdracht en in sommige gevallen ook van de aanbevelingen. Bevindingen en aanbevelingen worden duidelijk onderscheiden van de conclusie die de beroepsbeoefenaar heeft getrokken omtrent de informatie over het object van onderzoek en uit de formulering blijkt duidelijk dat zij niet bedoeld zijn om afbreuk te doen aan zijn conclusie. De beroepsbeoefenaar kan gebruik maken van opschriften, paragraafnummers, lettertypes zoals vetgedrukte gedeelten van de tekst en andere technieken om de duidelijkheid en de leesbaarheid van het assurance-rapport te vergroten. (Zie 28) A-42 Het assurance-rapport dient de volgende basiselementen te bevatten: a. Een opschrift dat duidelijk aangeeft dat het rapport een assurance-rapport is: een dergelijk opschrift dient er voor om de aard van het assurance-rapport duidelijk te maken en het te onderscheiden van rapporteringen van anderen, zoals degenen die niet gebonden zijn aan dezelfde ethische normen als de IT-auditor. b. De geadresseerde: uit de geadresseerde blijkt aan wie het assurance-rapport is gericht. Indien dit praktisch uitvoerbaar is wordt het rapport gericht aan alle beoogde gebruikers. c. Een aanduiding en een beschrijving van de informatie omtrent het object van onderzoek en, waar van toepassing, van het object zelf. Hieronder valt bijvoorbeeld: het moment of de periode waarop de evaluatie of toetsing van het object van onderzoek

17 betrekking heeft; indien van toepassing de naam van de entiteit of van het onderdeel daarvan waarop het object van onderzoek betrekking heeft; een uiteenzetting van de kenmerken van het object van onderzoek of de informatie daarover die de beoogde gebruikers moeten weten en van de manier waarop deze kenmerken de nauwkeurigheid van de evaluatie of de vaststelling ten opzichte van de vastgestelde criteria kunnen beïnvloeden of van de overtuigingskracht van de beschikbare assuranceinformatie. Als voorbeeld kunnen worden genoemd: o de mate waarin de informatie omtrent het object van onderzoek wordt gezien als kwalitatief dan wel kwantitatief, objectief dan wel subjectief of historisch dan wel toekomstgericht; o wijzigingen in het object van onderzoek of andere omstandigheden rond de opdracht die afbreuk doen aan de vergelijkbaarheid van de informatie omtrent het object van onderzoek in opeenvolgende perioden. Als de conclusie van de beroepsbeoefenaar is verwoord in de terminologie van de bewering van de verantwoordelijke partij, wordt deze bewering aan het assurance-rapport gehecht of geciteerd in het assurance-rapport of wordt in het assurance-rapport verwezen naar een voor de doelgroep van gebruikers toegankelijke bron. d. Een vermelding van de criteria: in het assurance-rapport worden de criteria vermeld ten opzichte waarvan het object van onderzoek is geëvalueerd of getoetst zodat de beoogde gebruikers kunnen weten op grond van welke criteria de beroepsbeoefenaar zijn conclusie heeft getrokken. De criteria kunnen in het assurance-rapport worden opgenomen of er kan naar worden verwezen indien ze zijn opgenomen in een bewering die door de verantwoordelijke partij is opgesteld en die beschikbaar is voor de beoogde gebruikers of indien zij op een andere plaats direct toegankelijk zijn. De beroepsbeoefenaar overweegt of het onder de gegeven omstandigheden van belang is een toelichting op te nemen over: de herkomst van de criteria en of zij al dan niet zijn vastgelegd in wet- en regelgeving dan wel zijn uitgevaardigd door gezaghebbende of erkende instanties van deskundigen die werken volgens een inzichtelijk proces van totstandkoming, dat wil zeggen of het generieke criteria zijn binnen de context van het object van onderzoek (en indien dat niet zo is, een beschrijving van de reden waarom ze als toepasbaar worden gezien); de methoden van onderzoek indien de criteria de mogelijkheid bieden tot een keuze uit een aantal methoden; alle van belang zijn de interpretaties die zijn gebruikt bij de toepassing van de criteria tijdens de uitvoering van de opdracht; eventuele wijzigingen in de gehanteerde methoden van onderzoek. e. Een omschrijving van elke inherente beperking, indien deze zich heeft voorgedaan, met betrekking tot het evalueren of toetsen van het object van onderzoek ten opzichte van de criteria: hoewel in bepaalde gevallen verwacht mag worden dat inherente beperkingen duidelijk zijn voor de lezers van een assurance-rapport kan het in andere gevallen beter zijn om hierop in het assurance-rapport uitdrukkelijk te wijzen. Indien een assurance-rapport bijvoorbeeld gericht is op de effectiviteit van interne beheersingsmaatregelen kan het nuttig zijn er op te wij-

18 zen dat de evaluatie van de effectiviteit tot nu toe geen betrekking heeft op toekomstige perioden omdat de maatregelen van interne beheersing ontoereikend kunnen worden als gevolg van gewijzigde omstandigheden of dat de mate waarin gedragslijnen of procedures worden nageleefd kan verslechteren. f. Een vermelding dat het gebruik van het assurance-rapport is beperkt tot deze beoogde gebruikers of tot die specifieke doelstelling indien de gehanteerde criteria voor het evalueren of toetsen van het object van onderzoek alleen beschikbaar zijn voor bepaalde beoogde gebruikers of alleen relevant zijn voor een specifieke doelstelling: de beroepsbeoefenaar overweegt in het assurance-rapport er melding van te maken dat dit rapport alleen bestemd is voor bepaalde beoogde gebruikers of voor een specifieke doelstelling. Dit maakt de lezers erop attent dat het rapport alleen bedoeld is voor bepaalde gebruikers of voor een specifieke doelstelling. g. Een vermelding waarin duidelijk wordt gemaakt wie de verantwoordelijke partij is en waarin de verantwoordelijkheden van de verantwoordelijke partij en van de beroepsbeoefenaar worden omschreven: hiermee wordt in geval van een direct reporting-opdracht aan de beoogde gebruikers medegedeeld dat de verantwoordelijke partij verantwoordelijk is voor het object van onderzoek en in geval van een assertion based-opdracht voor de informatie daarover en dat de beroepsbeoefenaar verantwoordelijk is voor het onafhankelijk verstrekken van een conclusie omtrent de informatie over het object van onderzoek. h. Een vermelding dat de opdracht is uitgevoerd volgens de Richtlijnen voor assuranceopdrachten: indien er een specifieke richtlijn bestaat voor het object van onderzoek kan in deze richtlijn de eis zijn opgenomen dat er specifiek naar wordt verwezen. Indien er geen specifieke richtlijn voor assurance-opdrachten bestaat die aanwijzingen geeft voor procedures ten behoeve van het verzamelen van informatie omtrent een bepaald object van onderzoek zal in deze samenvatting een meer gedetailleerde omschrijving van de uitgevoerde werkzaamheden zijn opgenomen. Omdat bij een opdracht tot het verkrijgen van een beperkte mate van zekerheid een goed begrip van de aard, de tijdsfasering en omvang van procedures die zijn uitgevoerd voor het verzamelen van assurance-informatie wezenlijk is voor het onderkennen van de zekerheid die wordt gegeven in negatief geformuleerde bewoordingen zal de samenvatting van de uitgevoerde werkzaamheden: gewoonlijk gedetailleerder zijn dan bij een opdracht tot het verkrijgen van een redelijke mate van zekerheid en de beperkingen vermelden voor de aard, de tijdsfasering en omvang van procedures die zijn uitgevoerd voor het verzamelen van assurance-informatie. Het kan zinvol zijn aan te geven welke procedures niet zijn uitgevoerd die gewoonlijk wel worden uitgevoerd bij een opdracht tot het verkrijgen van een redelijke mate van zekerheid; vermelden dat de procedures die zijn uitgevoerd voor het verzamelen van assuranceinformatie beperkter zijn dan bij een opdracht tot het verkrijgen van een redelijke mate van zekerheid en dat ten gevolge daarvan er minder zekerheid wordt verkregen dan bij een dergelijke opdracht. i. De conclusie van de IT-auditor: indien de informatie over het object van onderzoek betrekking heeft op een aantal aspecten