HANDBOEK ISA-DOCUMENTATIE VOOR DE AUDIT VAN KMO S

Transcriptie

1 HANDBOEK ISA-DOCUMENTATIE VOOR DE AUDIT VAN KMO S L. Acke, T. Delanghe, N. Deprez, T. Dupont, H. Geelen, N. Houyoux, L. Lapéral, J.-B. Ronse Decraene, D. Smets, J. Van Branbant, D. Van Cleemput, R. Verheyen, O. Vertessen Met de medewerking van een leescomité bestaande uit: D. Kroes, I. Saeys

2 Inhoudsopgave Inleiding Tabel controleproces en documentatie Fase A: Risico-inschatting Checklist A1: Checklist A2: Checklist A3: Checklist A4: Checklist A5: Checklist A6: Checklist A7: Checklist A8 Checklist A9: Checklist A10: Checklist A11: Checklist A12: Materialiteitsniveau Besprekingen met het controleteam Algehele controleaanpak Kennis van de entiteit en haar omgeving Risico-inschattingswerkzaamheden Register bedrijfsrisico s Register frauderisico s Risico van materieel belang - benadering Controleniveaus binnen de entiteit Algemene IT-controle (ITGC) Opzet en uitvoering van relevante interne beheersingsmaatregelen Inschatting van de risico s van een afwijking van materieel belang op het niveau van de financiële overzichten en van beweringe Fase B: Wijzen van inspelen op risico s Checklist B1: Checklist B2: Checklist B3: Checklist B4: Checklist B5: Checklist B6: Checklist B7: Checklist B8: Checklist B9: Checklist B10: Gedetailleerd controleplan voor de verkopen Gedetailleerd controleplan voor de aankopen Gedetailleerd controleplan voor de uitgaven als kapitaalinvesteringen (CAPEX) Gedetailleerd controleplan voor contant geld en banken Gedetailleerd controleplan voor de voorraden Gedetailleerd controleplan voor de schulden Gedetailleerd controleplan voor het eigen vermogen Gedetailleerd controleplan voor de loonlijsten Review van het dossier Verslaggeving van de tekortkomingen van materieel belang van de interne beheersing Fase C: Verslaggeving Checklist C1: Checklist C2: Checklist C3: Checklist C4: Checklist C5: Checklist C6: Checklist C7: Checklist C8: Checklist C9: Checklist C10: Checklist C11: Checklist C12: Voltooiing van de controle Toelichtingen over belangrijke beslissingen Bedrijfscontinuïteit Naleving van de wet- en regelgeving Schattingen Transacties tussen verbonden partijen Eventuele verplichtingen en verbintenissen Journaalposten Review van de gebeurtenissen na de einddatum van de verslagperiode Gebruikmaken van de werkzaamheden van een deskundige Gebruikmaken van de werkzaamheden van een serviceorganisatie Gebruikmaken van de werkzaamheden van een interne auditor Fase D: Bijkomende wettelijke vereisten Checklist D1: Checklist D2: Checklist D3: Controle van de bij de NBB neergelegde jaarrekening Controle van het jaarverslag Controle van de aan de ondernemingsraad meegedeelde financiële informatie

3 INLEIDING Deze manuel heeft tot doel de minimum vereiste werkzaamheden met betrekking tot de documentatie in het kader van de toepassing van de ISA s (International Standards on Auditing) duidelijk laten uit te komen voor de controle van kleine en middelgrote entiteiten, aan de hand van check-list. Deze manuel is echter niet opgesteld met de bedoeling de door de ISA s voorziene vereisten te vervangen. Teneinde de ISA s goed te begrijpen en correct toe te passen, is het noodzakelijk om het geheel van deze vereisten te lezen. Op dezelfde wijze zijn de check-list voorbeelden en ze moeten aan de specificiteit van de geauditeerd entiteit aangepast worden. Deze manuel kadert in het implementatieproces van de ISA s in België. Daartoe wordt verwezen naar de norm d.d. 10 november 2009 inzake de toepassing van de ISA s in België. De overwegingen van de norm verduidelijken dat de concrete toepassing van de ISA s moet worden aangepast aan de eigenschappen van elke aan een controle onderworpen entiteit, met name hun omvang, complexiteit of aard. De overwegingen voorzien bovendien dat de bedrijfsrevisor de timing en omvang van de uit te voeren controlewerkzaamheden mag aanpassen teneinde rekening te houden met: het klein aantal door de entiteit behandelde operaties en de eenvoudigheid ervan, de interne organisatie en de financieringswijzen van de entiteit, de rechtstreekse betrokkenheid van het management bij de interne controle van de entiteit en het beperkt aantal vennoten. De bedrijfsrevisor kan eveneens de aard en de omvang van zijn gegevensgerichte controles beperken, met name in functie van de beheersomgeving van de entiteit en de timing van zijn tussenkomst als deze hem toelaat de afloop van de geregistreerde verrichtingen in de jaarrekening vast te stellen. Zo stelt hij ook een document op dat is aangepast aan de omvang en de eigenschappen van de gecontroleerde entiteit en aan de complexiteit van de opdracht.

4 Tabel controleproces en documentatie Controlefase Werkzaamheid Doelstelling Documentatie Bronvermelding Opdrachtbrief (Cf. Handboek ISQC-1, ICCI) Beslissen of de opdracht wordt Werkzaamheden Uitvoeren van de aanvaard m.b.t. werkzaamheden cliëntaanvaarding en m.b.t. de voortzetting aanvaarding of Materialiteits Checklist A1 voortzetting van de niveau opdracht Besprekingen met Checklist A2 Planning van de Uitwerken van de het controleteam controle algehele Algehele controleaanpak Checklist A3 controleaanpak Kennis van de entiteit Checklist A4 en haar omgeving Risico-inschattingswerkzaamheden Checklist A5 Register Checklist A6 bedrijfsrisico s Register Checklist A7 frauderisico s Risico van materieel Checklist A8 Onderkennen en belang benadering inschatten van de Controleniveaus Checklist A9 risico s van een binnen de entiteit Uitvoeren van de afwijking van Algemene Checklist A10 risico-inschattingswerkzaamheden materieel belang IT-controle (ITGC) door middel van de kennisname van de Opzet en uitvoering van relevante interne Checklist A11 entiteit omgeving en haar beheersingsmaatregelen Inschatting van de Checklist A12 risico s van een afwijking van materieel belang op het niveau van de financiële overzichten en van beweringen FASE A: Risico-inschatting

5 FASE B: Wijze van inspelen op risico s Opzetten bijkomende controlewerkzaamheden Uitvoeren bijkomende controlewerkzaamheden van van Uitwerken van een gepaste reactie op de ingeschatte risico s Herleiden van de risico s tot een aanvaardbaar laag niveau Gedetailleerd controleplan voor de verkopen Gedetailleerd controleplan voor de aankopen Gedetailleerd controleplan voor de uitgaven als kapitaalinvesteringen (CAPEX) Gedetailleerd controleplan voor contant geld en banken Gedetailleerd controleplan voor de voorraden Gedetailleerd controleplan voor de schulden Gedetailleerd controleplan voor het eigen vermogen Gedetailleerd controleplan voor de loonlijsten Review van het dossier Verslaggeving van de tekortkomingen van materieel belang van de interne beheersing Checklist B1 Checklist B2 Checklist B3 Checklist B4 Checklist B5 Checklist B6 Checklist B7 Checklist B8 Checklist B9 Checklist B10

6 FASE C: Verslaggeving Evalueren verkregen controleinformatie van Voorbereiden van het commissarisver slag Bepalen of bijkomende controlewerkzaam heden nodig zijn Het tot uitdrukking brengen van een op de controlebevindingen gebaseerd oordeel Voltooiing van de controle Toelichtingen voor belangrijke beslissingen Bevestigingsbrief Bedrijfscontinuïteit Naleving van de wet- en regelgeving Schattingen Transacties tussen verbonden partijen Eventuele verplichtingen en verbintenissen Journaalposten Review van de gebeurtenissen na de einddatum van de verslagperiode Gebruikmaken van de werkzaamheden van een deskundige Gebruikmaken van de werkzaamheden van een serviceorganisatie Gebruikmaken van de werkzaamheden van een interne auditor Commissarisversla g Checklist C1 Checklist C2 Cf. ICCI Checklist C3 Checklist C4 Checklist C5 Checklist C6 Checklist C7 Checklist C8 Checklist C9 Checklist C10 Checklist C11 Checklist C12 Cf. ICCI

7 FASE D: Bijkomende wettelijke vereisten Onderzoeken van de bij de NBB openbaargesmaakte jaarrekening Nazien van de jaarrekening Nazien van de aan de ondernemingsraad te verstrekken financiële informatie Nazien van de naleving van de wettelijke openbaarmakingsverplichtingen Nazien of de vereiste elementen in het jaarverslag vermeld zijn en met de jaarrekening overeenkomen Nazien van de basisinformatie, evenals van de jaarlijkse, periodieke en occasionele informatie Controle van de bij de NBB neergelegde jaarrekening Controle van het jaarverslag Controle van de aan de ondernemingsraad meegedeelde financiële informatie Checklist D1 Checklist D2 Checklist D3

8 Check-list A1: materialiteit Naam cliënt Boekjaar Dossier nr. Onderwerp Voorbereid door Herlezen door MATERIALITEIT Datum Datum Doelstelling: toepassen van het begrip van materialiteit bij de planning en uitvoering van een controle. Het vaststellen van de materialiteit brengt het toepassen van professionele oordeelsvorming met zich mee. Er wordt vaak een percentage toegepast op een bepaalde referentiebedrag als een startpunt bij het vaststellen van de materialiteit voor de financiële overzichten als geheel. Een percentage van 5 % toegepast op winst vóór belasting kan passend zijn voor een entiteit met een winstoogmerk terwijl 1 % van totale opbrengsten of totale lasten passend kan zijn voor een entiteit zonder winstoogmerk. Hogere of lagere percentages kunnen echter als passend worden beschouwd afhankelijk van de omstandigheden. Voor een kleine entiteit waar een eigenaar veel van de winst vóór belastingen opneemt in de vorm van een beloning, is het mogelijk dat een referentiebedrag zoals winst vóór beloningen en belastingen meer relevant is. Uitvoeringsmaterialiteit is het bedrag of de bedragen die door de auditor op een lager materialiteitsniveau is/zijn vastgesteld om de waarschijnlijkheid dat het geheel van niet-gecorrigeerde en nietontdekte afwijkingen het materialiteitsniveau overstijgt, tot een passend laag niveau te reduceren. FASE 1 Opmerkingen Planningsmaterialiteit Documenteer de planningsmaterialiteit gekozen voor de financiële overzichten als geheel met opgave van de redenering. (ISA 320, 10) Uitvoeringsmaterialiteit Documenteer de uitvoeringsmaterialiteit in het kader van het inschatten van de risico s van een afwijking van materieel belang en het bepalen van de aard, timing en omvang van de verdere controlemaatregelen (bepaling vereist professionele oordeelsvorming en wordt beïnvloed door het verwerven van inzicht van de entiteit en de aard en de omvang van afwijkingen in eerdere controles. 75 % van de planningsmaterialiteit kan een passend cijfer zijn). (ISA 315, 11) Andere materialiteitsniveaus Specificeer of er sprake is van transactiestromen, rekeningsaldi of toelichtingen waarvoor een ander materialiteitsniveau of uitvoeringsmaterialiteit passend is en zo ja, documenteer het niveau op passende wijze. Bijvoorbeeld verschillende materialiteit voor de

9 belangrijkste financiële overzichten en verbonden partijen. (ISA 320, 10) Onbeduidend niveau Documenteer het onbeduidend niveau (gewoonlijk 5 % van de materialiteit) (ISA 450, 15a) Handtekening van de voor de opdracht verantwoordelijke partner Datum Herzien van de materialiteit Overweeg de noodzaak om bovengenoemde cijfers te herzien naarmate de controle vordert als gevolg van de ontvangst van de definitieve cijfers, een wijziging van de omstandigheden of met betrekking tot de risico-inschatting. (ISA 320, 12 en13) Documenteer de reden voor deze wijziging, evenals de herziene cijfers: Materialiteit Uitvoeringsmaterialiteit Materialiteit voor specifieke gebieden Onbeduidend niveau Indien de herziening leidt tot een lagere materialiteit, bepaal of de omvang van verdere controlewerkzaamheden zoals gedocumenteerd in de check-list C1 passend blijft. Handtekening van de voor de opdracht verantwoordelijke partner Datum

10 FASE 2 Identificeer de voornaamste gebruikers van de financiële overzichten Gebruikers a) b) c) d) e) Commentaar Beschrijf de aard en impact van kwalitatieve overwegingen (bijv. winstgevendheidstrends, regelgeving, bijzondere gevoeligheden, respecteren van leningsovereenkomsten, verwachtingen van de gebruikers, enz.) Aard a) b) c) d) Impact op het controleprogramma

11 FASE 3 Inwinnen van informatie voor het bepalen van de algehele materialiteit Planning van de gegevens Voorziene verslagperio de Laatste verslagperiode (N-1) Voorafgaande verslagperiode (N-2) Verkopen/opbrengsten Kosten Brutowinst Inkomen na belasting Aanpassingen (na belasting) voor eenmalige posten, getransporteerde beëindigde activiteiten en afwijkingen Aangepast inkomen uit doorlopende activiteiten (na belasting) Totaal van de activa Voorgaande materialiteit FASE 4 Bepalen van de algehele kwalitatieve materialiteit Soort entiteit Basis Specifieke percentages Met winstoogmerk Non-profit Inkomen uit doorlopende activiteiten Tussen 3 en 7 % Bruto-opbrengsten 1 tot 3 % Andere (beschrijf) 1/2 tot 2 % Totale opbrengsten of kosten Andere (beschrijf) 1/2 tot 2% Toegepast percentage Mogelijke materialiteit Gespecialiseerde sectoren Op basis van bovenvermelde overwegingen, bedraagt de voorlopige algehele materialiteit. Vermeld hierna de redenen:

12 Opmerking: Wanneer een significant lager materialiteitsniveau dan in eerdere controles wordt gebruikt, overweeg de mate waarin een afwijking in beginsaldi kan voorkomen. Opgesteld door Naam Datum Beoordeeld door FASE 5 Definitieve materialiteit (na de voltooiing van het veldwerk) 1. Werd onze aandacht gevestigd op bijkomende informatie die beduidend verschilt van de informatie waarop de voorlopige materialiteit en het controleprogramma waren gebaseerd? JA NEEN Zo ja, verklaar hierna: 2. Ingeval van herziening van de materialiteit, verklaar de impact op de aard, omvang en timing van geplande controlewerkzaamheden (bijv. significante financiële verslaggeving rubriek, steekproefomvang, enz.). Definitieve algehele materialiteit (indien verschillend van de voorlopige materialiteit in fase 4 hierboven): Opgesteld door Initialen Datum Beoordeeld door

13 Check-list A3 : algehele controleaanpak Naam cliënt Dossier nr. Onderwerp Voorbereid door Herlezen door Boekjaar MEMORANDUM MET BETREKKING TOT DE ALGEHELE CONTROLEAANPAK Datum Datum Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 1. REIKWIJDTE VAN DE OPDRACHT 1.1. Aard van de entiteit Financiële sleutelgegevens: EUR N N-1 Balanstotaal (a) Eigen vermogen (b) (b) / (a) Omzet : Resultaat na belastingen Art. 633 (J/N)

14 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen 1.2. Welk stelsel inzake financiële verslaggeving werd toegepast (bijv. GAAP)? Risico ** De te controleren financiële informatie werd opgesteld op basis van de volgende stelsels inzake financiële verslaggeving: IFRS in het kader van de geconsolideerde jaarrekening; BGAAP in het kader van de wettelijke rekeningencontrole Reikwijdte van de uit te voeren controlewerkzaamheden Volledige audit Beoordeling Overeengekome n specifieke werkzaamheden Specifieke opdracht Audit in het kader van de geconsolideerde jaarrekening: tussentijdse controle; pré-audit eindcontrlole Audit in het kader van de jaarrekeningencont role : eindcontrole Audit van financiële informatie bestemd voor de ondernemingsraad Audit inzake verslaggevingverei sten voor specifieke sectoren: Valipac; Fost+.

15 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen 1.4. Uitbesteding/deskundigen (gebruik van een serviceorganisatie zoals bijv. voor de loonlijst) Risico ** De loonlijst wordt uitbesteed. De administratieve en fiscale dienstverlening wordt verzorgd door een externe accountant. Belastingadvies wordt verstrekt door 1.5. Vestigingen/groepsonderdelen (eventueel gecontroleerd door andere kantoren) De vennootschap heeft één/meerdere vestiging(en). De vennootschap bezit de volgende dochters (naam, % van aandelenbezit): De dochtervennootschappen worden gecontroleerd door: De vennootschap dient geconsolideerde financiële overzichten op te stellen. De vennootschap dient geen geconsolideerde financiële overzichten op te stellen aangezien: - zij niet voldoet aan de vastgestelde criteria;- de consolidatie plaats vindt op een hoger niveau en er niet werd geopteerd voor subconsolidatie. Bekrachtigen dat werd voldaan aan de voorwaarden voor deze keuze: beslissing van de algemene vergadering op tweejaarlijkse basis, goedkeuring door de ondernemingsraa d, openbaarmaking van de geconsolideerde financiële overzichten van de moedervennootsc hap aan de NBB. 2. VERSLAGGEVINGS-VEREISTEN, TIJDSFASERING EN MEDEDELINGEN Sleuteldata dienen met de cliënt te worden overeengekomen om zich te vergewissen van de beschikbaarheid van het personeel van de cliënt en van de ontvangst van de gegevens binnen de vereiste termijnen. Sleuteldata dienen in aanmerking te worden genomen in functie van de verwachte rapportering aan de leiding en het orgaan belast met deugdelijk bestuur met het oog op het bespreken van: de stand van zaken van de controlewerkzaamheden tijdens de opdracht; de aard, tijdsfasering en omvang van de controlewerkzaamheden; de verwachte resultaten die voortvloeien uit de controlewerkzaamheden

16 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** Verslaggevingsvereisten Tijdsfasering van de controlewerkzaamheden Verslaggevingstermijn Consolidatie: - tussentijdse controle; - pré-audit - eindcontrole. Wettelijke jaarrekeningencontr ole: - tussentijdse controle; eindcontrole Ondernemingsraad Orgaan belast met deugdelijk bestuur Andere Vergadering van het controleteam 3. BELANGRIJKE FACTOREN WAARMEE HET CONTROLE-TEAM REKENING DIENT TE HOUDEN 3.1. Lessen getrokken uit vroegere ervaringen en uit werkzaamheden m.b.t. cliëntaanvaarding en - voortzetting

17 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen 3.2. Identificatie van gebieden met een hoger risico op afwijkingen van materieel belang Risico ** 3.3. Voorafgaande identificatie van significante groepsonderdelen en rekeningsaldi 3.4. Betrokkenheid van de leiding m.b.t. het opzetten en uitvoeren van een degelijke interne controle, met inbegrip van de documentatie van deze interne controle Mogelijkheid voor de leiding om zijn bevoegdheid te overschrijden Evaluatie van de relevante beheersingsmaatregelen

18 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen 3.5. Impact van de informatietechnologie (beschikbaarheid van papieren sporen, enz.) op de controle Risico ** 4. BELANGRIJKE WIJZIGINGEN DIE EEN IMPACT KUNNEN HEBBEN OP DE CONTROLE AANPAK Een inleidende vergadering met de leiding vond plaats op../../... Deze vergadering had ten doel te onderzoeken of er sinds de laatste controle significante wijzigingen en/of ontwikkelingen werden vastgesteld die een impact kunnen hebben op de controle van de huidige verslagperiode Wijzigingen aan het stelsel inzake financiële verslaggeving, zoals standaarden voor waarderingsregels De waarderingsregels van de vennootschap werden/werden niet gewijzigd tijdens de verslagperiode. De waarderingsregels van de groep werden/werden niet gewijzigd tijdens de verslagperiode. Er dient rekening te worden gehouden met de volgende adviezen van de CBN: Er dient rekening te worden gehouden met de volgende IFRS-/IAS-wijzigingen of IFRIC-interpretaties:

19 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen 4.2. Ontwikkelingen eigen aan de entiteit of sector of andere ontwikkelingen Risico ** 4.3. Nieuwe producten of diensten De vennootschap heeft een nieuwe dienst uitgewerkt bestaande uit het aanbieden van een verkoopovereenkomst op lange termijn gebaseerd op een forfaitaire prijs. Dit nieuwe product dient te worden onderzocht met het oog op de beoordeling van de kwaliteit van de interne controlemaatregel en in het kader van het proces van toezicht op deze contracten, de erkenning van de opbrengsten en winstmarges, de identificatie, administratieve verwerking en verantwoording van mogelijke verliezen, alsook de schattingen inherent aan dit soort overeenkomsten.

20 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 4.4 Overnames, fusies en ontmantelingen 4.5. Wijzigingen op het vlak van het stafpersoneel 4.6. Wijzigingen op het vlak van de informatietechnologie en bedrijfsprocessen 5. INGEWIKKELDE OF ZORGWEKKENDE ASPECTEN 5.1. Vereisten specifiek voor de sector

21 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 5.2. Ingewikkelde schattingen of transacties 5.3. Ingewikkelde IT-omgeving (ITGC) 5.4. Gebruikmaken van serviceorganisaties 5.5. Ingewikkelde groepsstructuur 5.6. Door andere kantoren gecontroleerde vestigingen

22 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 6. BEPALING VAN PASSENDE MATERIALITEITSNIVEAUS 6.1. Materialiteitsniveau van de opdracht Materialiteitsniveau voor de verslaggeving over de groep zoals meegedeeld door de groepsauditor: Materialiteitsniveau voor de financiële overzichten als geheel: Het materialiteitsniveau voor de financiële overzichten als geheel werd vastgesteld op EUR. Dit bedrag is gebaseerd op 5 % van een geraamde winst vóór belasting ten belope van EUR, een bestendige basis gebruikt in eerdere audits. Lagere materialiteitsniveaus voor specifieke posten: Er werd een lager materialiteitsniveau vastgesteld voor de volgende transactiestromen, rekeningsaldi en inlichtingen die in de bijlagen moeten worden weergegeven: transacties verricht tussen de vennootschap en natuurlijke personen aandeelhouders (relevant voor de eigenaars die niet tot de familie behoren): EUR. Uitvoeringsmaterialiteit Bij het inschatten van het risico van een afwijking van materieel belang en het bepalen van de aard, tijdsfasering en omvang van verdere controlewerkzaamheden werd de uitvoeringsmaterialiteit vastgesteld op EUR (en EUR voor transacties tussen de vennootschap en natuurlijke personen aandeelhouders). Dit wordt voldoende geacht aangezien het op basis van vroegere controlefouten weinig waarschijnlijk is dat het geheel van nietgecorrigeerde en niet-ontdekte afwijkingen het materialiteitsniveau overstijgt voor de financiële overzichten als geheel.

23 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 7. VOORLOPIGE RISICO-INSCHATTING OP HET NIVEAU VAN DE FINANCIELE OVERZICHTEN 7.1. Inherent risico 7.2. Controlerisico 7.3. Risico van een afwijking van materieel belang

24 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** Bewering Inherent risico Controlerisico Gecombineerde risico s van materieel belang Commentaar Niveau van de financiële overzichten Alle Hoog Laag Middelmatig Inherent risico Aard van de bedrijfsactiviteit De bedrijfstak gaat achteruit en nieuwe technologieën zouden deze tendens kunnen versnellen. De activiteit bestaat uit ingewikkelde overeenkomsten op lange termijn. Kwaliteit van de staf Sleutelposities worden waargenomen door bekwame personen. Controlerisico Kwaliteit van de algemene interne beheersingsomgeving De algemene interne beheersingsomgeving is positief: niveau aan de top bevordert de naleving. Belangrijke interne beheersingsmaatregelen werden vastgesteld, beschreven en getoetst op regelmatige basis. Integriteit van de leiding De houding van de leiding ten aanzien van de interne beheersing is positief. Bereidheid van de leiding om risico s te tolereren Het antwoord van de leiding op onderkende risico s toont een grote bereidheid om risico s te tolereren. Kwaliteit van de interne beheersing Kwaliteit van IT-control (ITGC)

25 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 8. ALGEHELE CONTROLEAANPAK 8.1. Uit te voeren werkzaamheden met betrekking tot risico-inschatting Verzoeken om inlichtingen LEIDING EN PERSONEN VERANTWOORDELIJK VOOR DE FINANCIELE VERSLAGGEVING ondernemingsdoelstellingen; bedrijfstendensen; belangrijke wijzigingen op het niveau van de ondernemingsstructuur, de verrichtingen, het stafpersoneel en de interne beheersing; risicobeheersing; gevallen van vermoedelijke, verdachte of bestaande fraude; beloningsregeling voor de leiding; wijze waarop de leiding haar standpunten over de bedrijfspraktijken, de instemming met beleidslijnen en procedures en de beroepsethiek meedeelt aan het personeel. PERSONEEL MET SLEUTELPOSITIE ongebruikelijke of ingewikkelde transacties; wijzigingen in de grondslagen voor financiële verslaggeving; geschiktheid/toepassing van de gebruikte grondslagen voor financiële verslaggeving; verzoeken van de leiding om geen rekening te houden met de interne beheersingsmaatregelen; marktstrategieën; verkoopstendensen; beloningssysteem gebaseerd op verkoopprestaties; contractuele akkoorden met klanten; verkoopsvoorwaarden zoals garantieverplichtingen, volumekortingen en betalingsvoorwaarden; Rendementspercentages;

26 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** wijzigingen in termijnen overeengekomen met kernleveranciers; wijzigingen in winstdelingsregelingen op lange en korte termijn; adequaat zijn van de verzekeringsdekking; effectiviteit van de interne beheersingssystemen; kennis van fraude; kennis van niet-naleving van wet- en regelgeving. Waarneming en inspectie Het identificeren, verkrijgen en lezen van belangrijke stukken zoals: bedrijfsplannen; begrotingen; meest recente financiële overzichten; resultaten van een internetonderzoek; verslagen van consultant; briefwisseling met de bank betreffende wijzigingen in overschrijdingskredieten of overeenkomsten; bijzonderheden betreffende een lopende of dreigende rechtszaken; belangrijke contracten of overeenkomsten die werden ondertekend in de loop van de verslagperiode; Beoordeling van fiscale situatie. Cijferanalyses verkrijgen van een afschrift van de recente bedrijfsresultaten en identificeren van aannemelijke verbanden tussen alle beschikbare informatiesoorten. Rekening houden met zowel financiële als nietfinanciële informatie vergelijken van de verwachte bedragen met de geboekte bedragen of verhoudingscijfers uitgewerkt op basis van de bedragen van vorig jaar; identificeren van ongebruikelijke of onverwachte verbanden. Verkrijgen van een verklaring van de leiding en inschatten van de ontstane risico s van afwijkingen van materieel belang

27 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen 8.2. Essentiële aangelegenheden die uit de vergadering van het controleteam naar voren kwamen. Samenvatten van de wijze van inspelen van de controle op essentiële aangelegenheden die naar voren kwamen, zoals mogelijke fraude Risico ** Datum van de teamvergadering:... De voor de opdracht verantwoordelijke partner heeft tijdens de teamvergadering de aandacht van de leden van het opdrachtteam gevestigd op de noodzaak om een kritische ingesteldheid en professioneel scepticisme aan te nemen bij het verzamelen en evalueren van controle-informatie. Essentiële aangelegenheden die uit de vergadering van het controleteam naar voren kwamen Wijze van Inspelen op de controle 8.3. Controleaanpak Voorgestelde controleaanpak als antwoord op de voorlopige risico-inschatting op het niveau van de financiële overzichten. Deze beoordeling was: hoog/middelmatig/laag.

28 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** Controlewerkzaamheden - aard Cijferbeoordellingstechnieken Identificatie en toetsing voor essentiële controleprocedures Substantiële controles Controlewerkzaamheden - tijdsfasering Tussentijdse controle Pré-audit Eindcontrole Staf ervaring Staf ervaring Gebruik van de werkzaamheden van een deskundige (deskundigen) Controleaanpak om in te spelen op bevoegdheidsoverschrijding van de leiding, alsook op andere fraude-indicatoren. Rekening houden met het gebruik van onvoorspelbare controlewerkzaamheden

29 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 9. PERSONEELSBHEERSPLAN 9.1. Vereiste vaardigheden en samenstelling van het team Nominatief kader controle IFRS referentie stelsel Belgisch referentie stelsel A. Ingewikkeldheid: laag/middelmatig/ hoog B. Spécifieke onderwerpen C. Teamdeskundigh eid in verhouding tot de ingewikkeldheid D. Vereiste diploma s

30 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 9.2. Tijdsbesteding Junior Senior Bestuurder Verantwoordeli jke partner Planning controleaanpak Instrueren controleteam Controlewerkza amheden Beoordeling en afronding Mededelingen Finale debriefing van het controleteam

31 Commentaar en controleaanpak Voor het controleprogramma vereiste wijzigingen of bijwerkingen Risico ** 9.3. Samenstelling van het controleteam Wij verwijzen naar de taakbeschrijving van de personeelsafdeling voor de taken en verantwoordelijkheden van de teamleden Naam Specifieke toezichtsen beoordelingsverantwoordelijkheden Opdrachtpartner: Bestuurder: Senior 1: Senior 2: Lid 1 van het opdrachtteam: Lid 2 van het opdrachtteam: Deskundigen: Opdrachtgerichte kwaliteitsreview: Naam Date Commentaar Oorspronkelijk opgesteld door Beoordeeld door Bijgewerkt door Definitief beoordeeld door

32 Check-list A4: Kennis van de entiteit en haar omgeving Naam cliënt Dossier nr. Onderwerp Voorbereid door Herlezen door Boekjaar DE ENTITEIT EN HAAR OMGEVING Datum Datum Doelstelling: Deze Checklist heeft ten doel het verwerven of bijwerken en documenteren van inzicht in de entiteit en haar omgeving om een redelijke basis te verkrijgen voor het onderkennen en inschatten van risico s van een afwijking van materieel belang op het niveau van het financieel overzicht en op het niveau van beweringen, waarbij een basis wordt opgeleverd voor het opzetten en implementeren van wijzen van inspelen op de ingeschatte risico s van een afwijking van materieel belang. Inzicht relevant voor de controle dient, zoals passend, te worden gedocumenteerd via deze checklist of, desgevallend, via vervolgbladen. Risico-inschattingswerkzaamheden dienen het volgende te omvatten (cf. ISA 315, 6) a) het verzoeken om inlichtingen bij het management en bij anderen binnen de entiteit die beschikken over informatie die waarschijnlijk een hulpmiddel kan zijn bij het onderkennen van risico s van een afwijking van materieel belang die het gevolg is van fraude of van fouten; b) cijferanalyses; c) observatie en inspectie. Ingeval gebruik wordt gemaakt van informatie uit vroegere ervaringen met de entiteit of resulterend uit controlewerkzaamheden van eerdere controles, vaststellen of zich veranderingen hebben voorgedaan na de laatste controle die een effect kunnen hebben op de relevantie van deze informatie voor de huidige controle. (cf. ISA 315, 9 ) Nagaan of de hierna vermelde aangelegenheden relevant zijn en, zo ja, specificeer of verwijs naar een ander document.

33 BASIS INFORMATIE Risico 1 *Commentaar Historiek van de cliënt datum van oprichting wijzigingen in de activiteiten/markt structuur inzake eigendom en bestuur significante investeringen/splitsingen andere significante gebeurtenissen Overzicht per sector algemene nationale en locale economische conjunctuur technologische veranderingen mogelijke toekomstige ontwikkelingen en evolutie wet-of regelgevende wijzigingen concurrentiefactoren sectoriële en andere externe factoren Cliëntstrategie huidige doelstellingen en strategieën alsook de bedrijfsrisico s die hiermee samenhangen en die kunnen leiden tot risico s van materieel belang verkoop, producten, winstgevendheid, leiding, uitrusting/machines,panden, investeringen/splitsingen strategie voor het bereiken van de doelstellingen oorsprong van de concurentiële voordelen / projecten om deze te behouden of te ontwikkelen Groepsstructuur ORGANISATIE Aandeelhouders, bestuurders en personeelsleden Namen van de aandeelhouders, functies en percentage van aandelenbezit controlerende partij reële begunstigde namen van de bestuurders, functies en in voorkomend geval, percentage van kapitaalbezit namen en taken van de directie personeelsleden: aantal, verloop, vergoeding, opleiding, enz. Risico 1 Commentaar Beroepsadviseurs 1 Het is mogelijk dat in deze fase risico's worden geïdentificeerd. Deze risico's moeten overgedragen worden naar de bedrijfs- en frauderisico registers (check-list A6 en A7).

34 naam en contactgegevens van beroepsadviseurs zoals juridische adviseurs van de cliënt indien van toepassing. Deskundigen en bijzondere behoeften overwegen om gebruik te maken van deskundigen, bv. hoofdzakelijk in andere domeinen dan boekhouding of audit zoals schatters en actuarissen; Indien het aangewezen is zich te baseren op de deskundigheid van de expert, dient de check-list C10 te worden ingevuld teneinde zich te vergewissen van de inschatting door de deskundigen en van het adequaat karakter van hun werkzaamheden. Interne audit (ISA 315, 23) indien van toepassing de aard van de verantwoordelijkheden van de interne auditfunctie en de wijze waarop de interne auditfunctie binnen de organisatorische structuur van de entiteit past; en de door de interne auditafdeling uitgevoerde, of uit te voeren activiteiten; in het licht van bovenstaande elementen, bepalen in welke mate de interne auditfunctie relevant zal zijn voor de controle. Indien dit het geval is, check-list C12 invullen. ACTIVITEITEN Producten en processen de producten of diensten die de cliënt verkoopt of verleent, de afnemers, de marketing en prijsstrategie; de wijze waarop de producten of diensten zijn gemaakt of geleverd (u dient de grondstoffen en de bronnen van de voorraden in beschouwing nemen, alsook de productie- of vervaardigingprocessen van begin tot einde). Markt leveranciers; afnemers; concurrenten; informatie met betrekking tot de sector. Materieële vast activa significante punten met betrekking tot materiële vaste activa (installaties, machines en uitrusting) Risico 1 Commentaar FINANCIELE INFORMATIE EN FINANCIELE VERSLAGGEVING Kasstroom en financiering de wijze waarop de entiteit wordt gestructureerd en de manier waarop ze wordt gefinancierd (bankrekeningen, toegelaten bankschulden en andere kredietfaciliteiten) Risico 1 Commentaar

35 belangrijke punten met betrekking tot vorderingen, exploitatieschulden, voorraden en leasing Investeringen het soort investeringen dat de entiteit doet en overweegt te doen BTW op verkooptransacties toepasselijk BTW-stelsel overzicht van de specifieke transacties dat de tussenkomst van een BTW-specialist vereist. Pensioenstelsel specifieke pensioenverplichtingen / belangrijke financiële gegevens en boekhoudkundige verwerking Grondslagen voor financiële verslaggeving verkrijg kennis van de door de entiteit toegepaste grondslagen voor financiële verslaggeving, met inbegrip van de redenen voor wijzigingen van deze grondslagen identificeer de grondslagen voor financiële verslaggeving in kerngebieden (bv. inzake boeking van opbrengsten) evalueer of de door de entiteit toegepaste grondslagen voor financiële verslaggeving geschikt zijn voor de bedrijfsactiviteiten van de entiteit en in overeenstemming zijn met zowel het van toepassing zijnde boekhoudkundig referentiekader als met de grondslagen die in de desbetreffende activiteitensector worden gebruikt. Prestatie en review indicatoren 2 Andere inzicht verwerven over de wijze waarop de prestaties van de cliënt worden gemeten en gereviewd, bv. sleutelratios en statistieken inzake de activiteiten, belangrijke prestatie-indicatoren, maatstaven voor personeelsprestaties en beleidslijnen inzake op incentives gebaseerde beloningen, trends, gebruik van prognoses, budgetten en analyses van verschillen, rapportages van analisten en rapportages van kredietbeoordelaars, analyse van de concurrentie, enz belangrijke rubrieken waarop aangelegenheden die het toepassen van oordeelsvorming vereisen een invloed hebben op de financiële overzichten te verwachten niet gestandaardiseerde boekingen die een significante invloed kunnen hebben op de financiële overzichten overlopende rekeningen die voorkomen in het grootboek of in de proef- en saldibalans Risico 1 Commentaar 1 Het is mogelijk dat in deze fase risico's worden geïdentificeerd. Deze risico's moeten overgedragen naar de bedrijfs- en frauderisico registers (check-list A6 en A7). 2 kleinere entiteiten hebben dikwijls geen procedures om over te gaan tot de meting en review van de financiële overzichten. Het verzoeken om inlichtingen bij het management kan aan het licht brengen dat zij steunt op bepaalde kernindicatoren voor het evalueren van financiële prestaties en voor het ondernemen van passende acties. Indien het verzoeken om dergelijke inlichtingen een aanwijzing geeft voor het ontbreken van dergelijke meting en review kan er een verhoogd risico bestaan van het niet ontdekken en het niet corrigeren van afwijkingen.

36 BOEKHOUDKUNDIGE RAMINGEN/SCHATTINGEN 3 Verwerven van inzicht in: de voor de schattingen relevant zijnde vereisten van het van toepassing zijnde stelsel inzake financiële verslaggeving, met inbegrip van de daarmee verband houdende toelichtingen (cf. ISA 540, 8) de wijze waarop het management die transacties, gebeurtenissen en omstandigheden identificeert die aanleiding kunnen geven tot de noodzaak om schattingen op te nemen of toe te lichten in de financiële overzichten. Bij het verkrijgen van dit inzicht dient de auditor bij het management om inlichtingen te verzoeken over wijzigingen in omstandigheden die aanleiding kunnen geven tot nieuwe schattingen of tot de noodzaak om bestaande schattingen te herzien (cf. ISA 540, 8) de wijze waarop het management de schattingen maakt, alsmede inzicht in de gegevens waarop deze zijn gebaseerd, met inbegrip van: (cf. ISA 540, 8) (i) de methode, met inbegrip van het model voor zover van toepassing, die werd gehanteerd bij het maken van de schatting (ii) de daarop betrekking hebben controles (iii) de vraag of het management gebruik heeft gemaakt van een deskundige (iv) de hypotheses die aan de schattingen ten grondslag liggen (v) de vraag of er een verandering ten opzichte van de voorgaande verslagperiode is geweest, dan wel had moeten zijn, in de methoden voor het maken van schattingen en zo ja, waarom; en (vi) de vraag of, en zo ja, op welke wijze, het management een inschatting heeft gemaakt van het effect van schattingsonzekerheid. 4 Risico 1 Commentaar Reviewen van de uitkomsten van schattingen die zijn Risico 1 Commentaar bijgevoegd in de financiële overzichten over de voorgaande verslagperiode dan wel, voor zover van toepassing, de herziene schatting die voor het doel van de huidige verslagperiode naderhand gemaakt is. De aard en omvang van deze review houdt rekening met de aard van de schattingen en met de vraag of de uit de review verkregen informatie relevant zou zijn voor het identificeren en inschatten van risico s van een afwijking van materieel belang in schattingen die zijn gemaakt in de financiële overzichten over de huidige verslagperiode. Deze beoordeling is echter niet bedoeld om de in voorgaande verslagperioden ingenomen oordelen, die waren gebaseerd op informatie die op dat moment beschikbaar was, ter discussie te stellen. (cf. ISA 540, 9) 1 Het is mogelijk dat in deze fase risico's worden geïdentificeerd. Deze risico's moeten overgedragen naar de bedrijfs- en frauderisico registers (check-list A6 en A7). 3 Het verkrijgen van dit inzicht voor kleinere entiteiten is dikwijls minder complex omdat hun bedrijfsactiviteiten beperkt en minder gecompliceerd zijn. Bovendien onderkent vaak één enkele persoon (zoals de eigenaar-bestuurder) de noodzaak tot het maken van schattingen waardoor de auditor meer gericht om inlichtingen kan verzoeken. 4 In kleinere entiteiten zijn de omstandigheden dikwijls van dien aard dat de eigenaar-bestuurder in staat is de vereiste puntschattingen te maken. In sommige gevallen zal echter een deskundige nodig zijn. Bespreking met de eigenaar-bestuurder in een vroegtijdig stadium van de controle over de aard van eventuele schattingen, de volledigheid van de vereiste schattingen alsmede de adequaatheid van het schattingsproces kan de eigenaar-bestuurder behulpzaam zijn bij het bepalen of het nodig is gebruik te maken van een deskundige.

37 ANDERE Risico 1 Commentaar Wet- en regelgeving algemeen kennis verkrijgen van het wettelijk en regelgevend kader dat van toepassing is op de entiteit en de branche of sector waarbinnen de entiteit opereert en de manier waarop de entiteit dat kader naleeft; (cf. ISA 250, 12) verkrijgen van voldoende en geschikte controle-informatie omtrent het naleven van de wettelijke en regelgevende bepalingen die gewoonlijk worden beschouwd als zijnde van directe invloed op de vaststelling van significante bedragen opgenomen in de financiële overzichten en de hierin opgenomen toelichtingen; (cf. ISA 250, 13) uitvoeren van de volgende controlewerkzaamheden teneinde een hulpmiddel te vormen bij het identificeren van gevallen van niet-naleving van andere wetgevende en regelgevende teksten die een invloed van materieel belang kunnen hebben op de financiële overzichten: (cf. ISA 250, 14) (a) bij het management en, desgevallend, bij degenen belast met governance, navragen of de entiteit dergelijke wet- en regelgeving naleeft; en (b) indien aanwezig, het inspecteren van correspondentie met de desbetreffende exploitatievergunningverlenende of toezichthoudende instanties; gedurende de controle alert blijven op de mogelijkheid dat andere controlewerkzaamheden die worden uitgevoerd, gevallen van het niet-naleven of vermoedens van het nietnaleven van wet- en regelgeving onder de aandacht kunnen brengen; Milieuaangelegenheden houding/beleid van de cliënt: houding ten opzichte van milieuaangelegenheden,meegedeelde, beleidslijnen/verklaringen, externe percepties; beleidslijnen, procedures en bedrijfsverleden; problemen: specifieke wet- en regelgeving, gekende probleemgebieden, verwachte toekomstige problemen, relaties met afnemers/leveranciers; nadelige reclame. Andere kennisgebieden 1 Het is mogelijk dat in deze fase risico's worden geïdentificeerd. Deze risico's moeten overgedragen naar de bedrijfs- en frauderisico registers (check-list A6 en A7).

38 Check-list A6: register bedrijfsrisico's Naam cliënt Dossier nr. Onderwerp Voorbereid door Herlezen door Boekjaar REGISTER BEDRIJFSRISICO S Datum Datum Controlewerkzaamheden: 1 Aan de hand van de procedures gericht op risicobeoordeling risico's identificeren. 2 Bepalen van de waarschijnlijkheid en impact (in functie van een schaal van 1 tot 5) van mogelijke fouten in de financiële staten (op assertie-niveau) ten gevolge van deze risico's. 3 Bespreken van het risicoregister met de bedrijfsleiding teneinde volledigheid en pertinentie van de inschatting te valideren. Risico nr Beschrijvin g risico Wat kan er fout gaan? Fianciële staten (VABW *) Risico-inschatting Significa nt risico (J/N)? ** A P RR Toelichting Waarschijnlijkheid (1-5) (a) Impact (1-5) (b) Gecombineerde risico (a) x (b) * VABW betreffen de asserties: V=volledigheid;A= accuratesse; B=bestaan; W=waardering ** Risico's met een gecombineerd risico dat gelijk is aan 20 of meer bedraagt, kwalificeren als significante risico's.

39 Check-list A7: register frauderisico's Naam cliënt Dossier nr. Onderwerp Voorbereid door Herlezen door Boekjaar REGISTER FRAUDERISICO S Datum Datum Controlewerkzaamheden: 1 Aan de hand van de procedures gericht op risicobeoordeling risico's identificeren. 2 Bepalen van de waarschijnlijkheid en impact (in functie van een schaal van 1 tot 5) van mogelijke fouten in de financiële staten (op assertie-niveau) ten gevolge van deze risico's. 3 Bespreken van het risicoregister met de bedrijfsleiding teneinde volledigheid en pertinentie van de inschatting te valideren. Ri si co nr Beschrijvin g risico Wat kan er fout gaan? A Fianciële staten (VABW *) Risico-inschatting Significant risico (J/N)? **/*** P RR Toelichting Waarschijnlijkheid (1-5) (a) Impact (1-5) (b) Gecombineerde risico (a) x (b) * VABW betreffen de asserties: V=volledigheid;A= accuratesse; B=bestaan; W=waardering ** Risico's met een gecombineerd risico dat gelijk is aan 20 of meer bedraagt, kwalificeren als significante risico's. *** Opbrengsterkenning wordt steeds verondersteld een significant risico in te houden.

40 Check-list A8 : risico's van materieel belang benadering Naam cliënt Dossier nr. Boekjaar Onderwerp Voorbereid door Herlezen door RISICO S VAN MATERIEEL BELANG BENADERING Datum Datum Risico Nr Beschrijving van het risico van Wat kan er fout gaan? materieel belang 1 Overnemen uit risico matrix Overnemen uit risico matrix Interne beheersing Heeft het management interne beheersing uitgewerkt en geïmplementeerd met als doel het risico van materieel belang te beperken? Het ontbreken van een adequate interne beheersing zal waarschijnlijk dienen gemeld aan het toezichtsorgaan. Beschrijving key controles die gericht zijn op het risico van materieel belang. Controlebenadering Interne beheersing testing Is het de bedoeling de controlebenadering mede te baseren op een test van de operationele effectiviteit van de interne beheersing, zich niet baseren op de resultaten van de testen uitgevoerd in vroegere rapporteringsperiodes. Of anders gesteld, nieuwe testen zijn vereist. Bepaling van de key controles die zullen getest worden & timing en uitgebreidheid van de test. Specifieke substantieve testen en specifieke analytische procedures Substantieve analytische procedures zijn op zichzelf niet voldoende om een gepast antwoord te vormen voor een signficant risico. Analytische procedures zijn derhalve slechts afdoend in combinatie met interne beheersing testing en/of substantieve testen. Beschrijving van de uit te voeren substantieve testen, hun uitgebreidheid en timing. Beschrijving van de toe te passen analytische procedures.

41 Risico Nr Beschrijving van het risico van Wat kan er fout gaan? materieel belang 2 Overnemen uit risico matrix Overnemen uit risico matrix Interne beheersing Heeft het management interne beheersing uitgewerkt en geïmplementeerd met als doel het risico van materieel belang te beperken? Het ontbreken van een adequate interne beheersing zal waarschijnlijk dienen gemeld aan het toezichtsorgaan. Beschrijving key controles die gericht zijn op het risico van materieel belang. Controlebenadering Interne beheersing testing Is het de bedoeling de controlebenadering mede te baseren op een test van de operationele effectiviteit van de interne controle, zich niet baseren op de resultaten van de testen uitgevoerd in vroegere rapporteringsperiodes. Of anders gesteld, nieuwe testen zijn vereist. Bepaling van de key controles die zullen getest worden & timing en uitgebreidheid van de test. Specifieke substantieve testen en specifieke analytische procedures Substantieve analytische procedures zijn op zichzelf niet voldoende om een gepast antwoord te vormen voor een signficant risico. Analytische procedures zijn derhalve slechts afdoend in combinatie met interne beheersing testing en/of substantieve testen. Beschrijving van de uit te voeren substantieve testen, hun uitgebreidheid en timing. Beschrijving van de toe te passen analytische procedures.

42 Check-list A10: IT General controls Naam cliënt Boekjaar Dossier nr. Onderwerp Voorbereid door Herlezen door IT GENERAL CONTROLS (ITGC) Datum Datum Controlewerk zaamheden: 1. Aan de hand van interviews de ITGC check-list beantwoorden. 2. In functie van de ontvangen antwoorden, een algemene beoordeling uitvoeren van de ITCG en gebeurlijke punten identificeren die dienen gerapporteerd aan de bedrijfsleiding. Nr Attentiepunt Initiaal Datum Commentaar Working papers Nr 1. CONFIGURATION 1.1. Describe the IT configuration (hardware, software, ) Describe the IT department (people, roles, responsibilities, budget, ) 1.3. The organization monitors compliance with intellectual property rights (software licenses). Only authorized software is permitted for use by employees using company IT assets.

43 2. IMPORTANCE OF IT 2.1. The organization relies heavily on IT. 24x7x365 availability is required. Operations are IT driven New technologies (e.g. E- business) are important for the organization. 3. IT MANAGEMENT 3.1. Management maintains a comprehensiv e annual technology plan that guides how the organization aligns itself to the business A detailed budget has been established to guide purchase decisions throughout the year. The budget is reviewed and updated Procedures have been established to help the organization identify, prioritize and decide (e.g. Make or buy decisions) The entity has developed a disaster recovery plan. The plan addresses business continuity and data security. It is tested periodically and updated

44 as required. 4. HUMAN RESOURCES 4.1. The entity has established procedures for identifying and documenting the training needs of all personnel using IT systems IT management provides on going training programs that include ethical conduct, system security practices, confidentiality standards, integrity standards and security responsibilitie s of all staff. 5. ACCESS RIGHTS 5.1. A control process exists and is followed to periodically review and confirm access rights.

45 System infrastructure is properly configured to prevent unauthorized access. Where network connectivity is used, appropriate controls, including firewalls, intrusion detection and vulnerability assessments exist and are used to prevent unauthorized access. Passwords are complex and are changed regularly Controls relating to appropriate segregation of duties over requesting and granting access to systems and data exist and are followed. 6. PHYSICAL ACCESS 6.1. Access to facilities is restricted to authorized personnel Access to facilities requires appropriate identification and authentication. 7. USER-DEVELOPED SYSTEMS

46 7.1 End-user. computing, including spreadsheets and other userdeveloped programs, are documented and regularly reviewed for processing integrity, including their ability to sort, summarize and report accurately. 7.2 Userdeveloped. systems and data are regularly backed up and stored in a secure area. 7.3 Userdeveloped. systems, such as spreadsheets and other enduser programs, are secured from unauthorized use. 8. BACK-UP PROCEDURES 8.1. Retention periods and storage terms are defined for documents, data, programs, reports and messages (incoming and outgoing), as well as the data (keys, certificates) used for their encryption and authentication.