Spotlight Vaktechnisch bulletin van PwC Accountants Jaargang uitgave 4

Transcriptie

1 Spotlight Vaktechnisch bulletin van PwC Accountants Jaargang uitgave 4

2 Bij PwC in Nederland werken ruim mensen met elkaar samen vanuit 12 vestigingen. PwC Nederland helpt organisaties en personen de waarde te creëren waarnaar zij op zoek zijn. Wij zijn lid van het PwC-netwerk van firma s in 158 landen met meer dan mensen. Wij zien het als onze taak om kwaliteit te leveren op het gebied van assurance-, belasting- en adviesdiensten. Vertel ons wat voor u belangrijk is. Meer informatie over ons vindt u op 2 Spotlight Jaargang uitgave 4

3 Inhoud Woord vooraf De ondernemingspecifieke controleverklaring 5 PwC pleit voor een uitgebalanceerd model van een ondernemingspecifieke controleverklaring voor beursgenoteerde bedrijven. Een model dat zo veel mogelijk in de pas loopt met de internationale ontwikkelingen. Een model waarmee het accountantsoordeel aan overtuigingskracht en reikwijdte wint en waarmee het maatschappelijke belang het best wordt gediend. Peter van Mierlo Internal Audit: cruciaal voor internal governance 6 Sinds de invoering van de Nederlandse corporate governance code in 2003 is het voor beursgenoteerde bedrijven verplicht om jaarlijks te evalueren of er behoefte is aan een internalauditfunctie. Nog niet alle beursgenoteerde bedrijven hebben zo n functie ingericht. Soms blijkt dat als er een internal-auditfunctie was geweest, het bestuur en de commissarissen eerder hadden kunnen ingrijpen. Jan Driessen Gebruikmaken van interne accountants bij de externe accountantscontrole: = 3 12 De internationale standaard over het gebruikmaken van de werkzaamheden van interne accountants (ISA 610) is herzien. Dit kan een boost betekenen voor de kwaliteit van de accountantscontrole. Er schuilt ook een gevaar. De accountant moet er alert op blijven dat de onafhankelijkheid en objectiviteit ongeschonden blijven. Frans de Groot Onderweg naar een informatieve en relevante controleverklaring: de eindbestemming in zicht 18 Iedereen is het erover eens: er moet een nieuwe controleverklaring komen. Een verklaring waarin de gebruiker centraal staat. Zowel de IAASB als de PCAOB heeft in aanloop naar deze controleverklaring van de toekomst ontwerpstandaarden gepubliceerd. Het is belangrijk dat accountants en hun klanten nu al gaan oefenen met de nieuwe controleverklaring op basis van de ontwerpstandaarden. Frans de Groot en Peter Eimers Eén nieuwe Europese Accounting Directive voor Boek 2 Titel 9 22 De Europese Unie heeft een nieuwe Europese Richtlijn voor de jaarlijkse financiële verslaggeving door ondernemingen gepubliceerd: de Accounting Directive. Het doel van deze Richtlijn is onder meer administratieve-lastenverlichting voor ondernemingen. De komende tijd zullen de landen van de EU zelf hun wetgeving aan de nieuwe Accounting Directive aanpassen. Jan Backhuijs Toelichtingen in de jaarrekening, relevanter, maar korter: de accountant aan zet? 28 De omvang van de jaarrekening is de laatste jaren fors toegenomen. Deze toename wordt voor een groot deel veroorzaakt door de toelichting. Wat zijn de oorzaken van de toename in de toelichting en welke acties moeten ondernomen worden om de toelichting relevanter te maken? Rik van Hal en Maarten Hartman Controle van de reële waarde van financiële instrumenten 34 Niet alleen het gebruik, maar ook de complexiteit van financiële instrumenten zijn de afgelopen jaren sterk toegenomen. Dit artikel gaat over de controle door de accountant van de reële waarde van deze instrumenten. Jesse IJspeert en Mathijs van Kouwen 10 jaar Transparant Prijs heeft belangrijke bijdrage geleverd aan professionalisering verslaggeving goededoelenorganisaties 40 Geloofwaardigheid en betrouwbaarheid in de communicatie van goede-doelenorganisaties is van essentieel belang. De Transparant Prijs draagt hieraan bij door geloofwaardige en betrouwbare verslaggeving als kernpunt te nemen. Al tien jaar lang. En met succes. Wim van Ginkel, Anne Kemeling en Jaap van Egmond De weg naar een data-gedreven (interne) beheersing 46 Gestandaardiseerde data-analysesoftware ondersteunt controles met succes, bijvoorbeeld in het uitvoeren van financiële analyses. Vaak kan bovendien een verdiepingsslag gemaakt worden naar de onderliggende primaire bedrijfsprocessen. Het gebruik van data-analysetools en -technieken heeft voordelen voor zowel de accountant als de onderneming. Marcel Smit

4 Materiality matters: de materialiteit van niet-financiële informatie 52 Het verschaffen van niet-financiële informatie door een organisatie in haar jaarverslag moet de norm worden in plaats van het niet-verschaffen ervan. Je moet wel weten welke nietfinanciële gegevens ertoe doen. Een paar bedrijven zijn inmiddels begonnen met een materialiteitsanalyse. Het is aan de accountant om daar een oordeel over te vellen. Anouk Wentink, Jurriaan Besorak en Robert van der Laan Duurzame verslaggeving in de praktijk: rapporteren over waar het écht om gaat 58 Belanghebbenden willen steeds meer informatie in de verslaggeving terugvinden die voor hén van belang is. Ook de onderneming zelf ziet de voordelen van een relevanter rapport. Het GRI biedt met haar nieuwe G4 een heel goed instrument om op deze manier te rapporteren. PwC paste deze richtlijnen met succes toe in haar jaarbericht Een praktijkervaring. Anouk Wentink en Astrid van der Werf De crisisheffing en de jaarverslaggeving 62 De crisisheffing is per 1 januari 2013 ingevoerd als éénmalige heffing over Op Prinsjesdag 2013 is bekend gemaakt dat de crisisheffing met een jaar verlengd wordt. Wat houdt deze crisisheffing in, voor welke heffingssystematiek is gekozen en hoe zou in de jaarverslaglegging met de crisisheffing omgegaan kunnen worden? Frank Werger Tien tips om 2014 fiscaal goed in te luiden 66 Het einde van 2013 nadert met rasse schreden. Voor iedereen hét moment om zich fiscaal op te maken voor het volgende jaar. In dit artikel tien gouden tips. Jessica Litjens en Mitra Tydeman-Yousef Kort nieuws 70 Verslaggeving Themaonderzoeken AFM en Eumedion Regelgeving Nieuwe editie Regulatory Update

5 Woord vooraf De ondernemingspecifieke controleverklaring Het is toe te juichen dat beleggers en andere belanghebbenden meer eisen stellen aan de controleverklaringen bij jaarrekeningen van beursgenoteerde bedrijven. Dat past bij de huidige tijdgeest waarbij de maatschappij eist dat organisaties transparanter communiceren. De crisis heeft ons immers geleerd dat betere communicatie naar stakeholders nodig is. Die les geldt voor zowel bestuurders, commissarissen als accountants. PwC hecht aan een hoog niveau van transparantie in de jaarverslaggeving en in de rapportage van de accountant over die jaarverslaggeving. In de aandeelhoudersvergaderingen eerder dit jaar hebben wij hier al mondeling invulling aan gegeven. Onze accountants geven meer uitleg over de controleaanpak in de aandeelhoudersvergaderingen van Nederlandse beursfondsen. Beleggers en ondernemingen hebben hier positief op gereageerd. Wij zullen dit dan ook voortzetten in de aandeelhoudersvergaderingen die in 2014 zullen plaatsvinden. Een volgende logische stap is dat accountants meer informatie opnemen in de controleverklaring bij de jaarverslaggeving. De voornaamste kritiek is dat de huidige controleverklaring te weinig informatie bevat die significant is voor de governance van de gecontroleerde organisatie. Daarnaast verwacht de maatschappij van accountants dat ze explicieter zijn over de toekomst. Er zijn inmiddels meerdere concrete initiatieven in deze richting. Zo hebben de regelgevers in het Verenigd Koninkrijk een nieuwe controleverklaring voor beursgenoteerde ondernemingen verplicht gesteld. En ook de Amerikaanse toezichthouder op de accountancy (PCAOB) wil accountants verplichten meer informatie te geven over hun controle. Maar daar blijft het niet bij. De International Auditing and Assurance Standards Board (IAASB) publiceerde deze zomer een eigen ontwerp voor een meer informatieve, meer op de onderneming toegespitste controleverklaring. Een van de voorstellen van deze laatst genoemde internationale regelgever voor controlestandaarden is dat accountants aangeven wat de belangrijkste zaken zijn waar de lezer van de jaarrekening op moet letten. Ook daagt het IAASBontwerp de accountant uit nadrukkelijker iets te zeggen over de continuïteit van de onderneming. Verder dwingt de nieuwe controleverklaring de accountant informatiever te zijn over de wijze waarop de controle is opgezet. Voor standaardteksten kan worden verwezen naar de website. IAASB-voorzitter Arnold Schilder stelde bij de publicatie van het ontwerp dat de wijzigingen cruciaal zijn voor de veronderstelde waarde van de controleverklaring en dus voor de relevantie van het accountantsberoep. Wat opvalt, is dat iedereen het wiel lijkt te willen uitvinden. Want ook in Brussel en Den Haag circuleren intussen voorstellen om de controleverklaring uit te breiden. Daarin schuilt een gevaar. De grondslag van ons werk is bijdragen aan vertrouwen. Dan helpt het niet als het normenkader voor de controleverklaring per land of regio verschilt. Verder moet de accountant doen en blijven doen waar hij of zij goed in is, namelijk het controleren van de bestuurdersverantwoording. Het zijn de bestuurders en commissarissen die verantwoording afleggen en de accountant die daar een conclusie aan verbindt. Ik heb al vaker gepleit om de verantwoordelijkheid van de raad van commissarissen voor de jaarverslaggeving te verduidelijken. De IAASB heeft accountants opgeroepen op basis van haar voorstellen field testing uit te voeren. PwC heeft inmiddels een aanvang gemaakt met dergelijke testen bij een aantal Nederlands beursgenoteerde ondernemingen. We doen dat uiteraard in interactie met bestuurders en auditcommissies. De resultaten van onze testen worden gebruikt in onze evaluatie van de verschillende modellen. De uitkomst hiervan dient als input voor onze reactie naar de IAASB en de Nederlandse Beroepsorganisatie van Accountants (NBA). Het uiteindelijke doel is te komen tot een uitgebalanceerd model van een ondernemingspecifieke controleverklaring voor beursgenoteerde bedrijven. Een model dat zo veel mogelijk in de pas loopt met de internationale ontwikkelingen. Een model waarmee het accountantsoordeel aan overtuigingskracht en reikwijdte wint en waarmee het maatschappelijke belang het best wordt gediend. Peter van Mierlo, voorzitter raad van bestuur PwC Spotlight Jaargang uitgave 4 5

6 Internal Audit: cruciaal voor internal governance Sinds de invoering van de Nederlandse corporate governance code in 2003 is het voor beursgenoteerde bedrijven verplicht om jaarlijks te evalueren of er behoefte is aan een internal-auditfunctie. Echter, nog niet alle beursgenoteerde bedrijven hebben zo n functie ingericht. En soms gaat het mis in de bedrijfsvoering en blijkt dat als er een internal-auditfunctie was geweest, het bestuur en de commissarissen eerder hadden kunnen ingrijpen. Jan Driessen - Internal Audit Services, Assurance 1. Internal Audit is nog geen gemeengoed Eerder dit jaar was er commotie bij Fugro omdat een commissaris plotseling opstapte. In zijn rol als voorzitter van de auditcommissie wilde hij niet langer de verantwoordelijkheid dragen voor de cijfers van het bedrijf en de risico s die het bedrijf in zijn ogen liep. Hij vond bovendien dat de financiële afdeling ingrijpend moest veranderen en op het niveau moest worden gebracht dat past bij een sterk gegroeide onderneming. Daarbij was er ook behoefte aan een internalauditfunctie. Het hebben van een internal-auditfunctie is voor veel bedrijven in Nederland niet verplicht. Wel moet, volgens de Nederlandse corporate governance code die geldt voor beursgenoteerde ondernemingen, de auditcommissie jaarlijks evalueren of er behoefte is aan een internal-auditfunctie. Aan de hand van deze evaluatie doet de raad van commissarissen (rvc) een aanbeveling aan de raad van bestuur (rvb) en wordt deze aanbeveling opgenomen in het verslag van de rvc. Opvallend is dat, ondanks deze code, er nog steeds relatief veel beursgenoteerde bedrijven zijn die niet beschikken over een internal-auditfunctie. Natuurlijk speelt bij verschillende bedrijven de omvang mee. In de meeste gevallen is het pas vanaf ongeveer 250 medewerkers zinvol om een internal-auditrol te creëren. Maar ook bij grote bedrijven, bijvoorbeeld in de bouw- en vastgoedsector, is het hebben van een zelfstandige en onafhankelijk gepositioneerde internal-auditfunctie nog geen gemeengoed. Voor banken en verzekeraars, groot én klein, is het daarentegen verplicht om een internalauditfunctie te hebben. Vooral in het kader van Solvency-II zijn momenteel kleine en middelgrote verzekeraars aan het nadenken over hoe de internalauditfunctie op een efficiënte wijze kan worden vormgegeven. Opties daarbij zijn het in-house inrichten van een auditfunctie of (deels) outsourcen van deze functie aan een derde partij. 2. Internal Audit houdt bestuur bij de les Een belangrijke vraag is natuurlijk wat de toegevoegde waarde van een internalauditfunctie voor het bedrijf is. Om dat duidelijk te krijgen, maken we gebruik van het concept van de three lines of defence. Het lijnmanagement is verantwoordelijk voor het ondervangen van risico s In dat concept geldt dat, gegeven de strategie van de rvb, het lijnmanagement als eerste aan zet is om maatregelen te treffen die de risico s, die zich in de uitvoering van de dagelijkse activiteiten voordoen, adequaat mitigeren. Met andere woorden, primair is het lijnmanagement verantwoordelijk voor het inrichten en laten werken van maatregelen om risico s te ondervangen. Tweede line adviseert en ondersteunt het management Omdat de bedrijfsvoering soms specifieke 6 Spotlight Jaargang uitgave 4

7 expertise vereist, maar ook omdat het in sommige gevallen efficiënter is om bepaalde ondersteunende taken te bundelen in een aparte functie of afdeling (denk aan een afdeling Operational Risk Management of Compliance), wordt een tweede line of defence ingericht. Deze linie adviseert en ondersteunt het management bij de activiteiten en het ontwerpen, inrichten en laten werken van de beheersmaatregelen. Een afdeling Operational Risk Management kan bijvoorbeeld het management faciliteren tijdens de uitvoering van risk assessments om de bedrijfsrisico s inzichtelijk te maken, adviseren over de risicobereidheid (risk appetite), de strategieën om met die risico s om te gaan en het beheren van het risicoregister. Internal Audit geeft zekerheid over effectiviteit van risicomaatregelen De derde line of defence wordt gevormd door de afdeling Internal Audit. De internal-auditfunctie heeft als taak om de rvb te informeren over het functioneren van de risicobeheersings- en controlesystemen. Daarbij evalueert de afdeling Internal Audit onder andere de risico s en de maatregelen die het management heeft getroffen, of deze maatregelen efficiënt zijn en goed werken en of de maatregelen helpen om de strategie te realiseren. Het functioneren van de eerste en tweede line of defence valt ook binnen de reikwijdte van Internal Audit. Naast het beoordelen van risico s en maatregelen, levert de internal-auditfunctie ook een bijdrage aan het continue verbeterproces van de organisatie. Immers, Internal Audit geeft zekerheid aan het bestuur over het functioneren van de maatregelen die de belangrijkste risico s, bijvoorbeeld op het gebied van continuïteit, fraude of een groot IT-project, moeten mitigeren. Door het beoordelen van de risico s en maatregelen en het geven van gerichte adviezen, neemt niet alleen het bewustzijn van en de (gewenste) manier van handelen bij risico s bij alle medewerkers toe, maar zorgt Internal Audit er ook voor dat er een betere balans komt tussen de (kosten van de) maatregelen en de risico s die worden gelopen. Met andere woorden, Internal Audit geeft naast oordelen over het functioneren van de risicobeheersings- en controlesystemen ook aanbevelingen en verbeterpunten waarmee de kwaliteit van de interne bedrijfsvoering verder kan worden verbeterd. Internal Audit rapporteert direct aan het bestuur en heeft een functionele relatie naar de auditcommissie. Dat wil zeggen dat Internal Audit, in afstemming met het bestuur, regelmatig informatie deelt met de auditcommissie. 3. In vier stappen naar een internal-auditfunctie Er zijn vier stappen nodig om tot een internal-auditfunctie te komen: 1. besluit over internal-auditfunctie: in huis of uitbesteden; 2. creëren en borgen van de functie; 3. uitvoering van internal audits; 4. evaluatie van eerste internal audits. Figuur 1. Model van de three lines of defence Lijnmanagement Raad van commissarissen / Auditcommissie Raad van bestuur Risk, Control, Compliance, HR, Quality, Security,... Samenvatting Voor veel organisaties is het niet verplicht om een internalauditfunctie te hebben. Maar, met een onafhankelijk gepositioneerde internalauditfunctie zijn het bestuur en de auditcommissie in staat het internalgovernancesysteem te optimaliseren en te gebruiken om de strategie te realiseren. In dit artikel wordt eerst ingegaan op de rol en functie van de internal audit. Vervolgens wordt in vier stappen aangegeven hoe de functie kan worden ingericht. Ten slotte wordt nader ingegaan op de waarde die de internal-auditfunctie heeft in het internal-governancesysteem van de onderneming. Stap 1. Besluit over internal-auditfunctie: in huis of uitbesteden De eerste stap om te komen tot een internalauditfunctie moet worden gezet door het bestuur. Eerst moet namelijk worden Internal Audit First line of defence Second line of defence Third line of defence Spotlight Jaargang uitgave 4 7

8 besloten of de internal-auditfunctie in huis wordt ingericht of (deels) wordt uitbesteed aan een derde partij. Beide situaties hebben voor- en nadelen. De voordelen van (een gedeeltelijke) uitbesteding zijn onder andere: variabel maken van kosten; flexibel kunnen omgaan met verstoringen, zoals incidenten, ziekte en vacatures; frisse blik van buiten; beschikbaarheid van gekwalificeerde professionals; toegang tot methodieken, technologiemiddelen en benchmarkinformatie. Als de rvb besluit om de functie in huis op te bouwen, dan moet het bestuur ook besluiten welke aanpak of strategie de onderneming daarbij volgt. De mogelijke ontwikkelingsstrategieën kunnen in essentie worden teruggebracht tot de basiskeuze: evolutie of revolutie. De keuze tussen een evolutionair of revolutionair ontwikkelingsmodel klinkt extreem, maar geeft in essentie wel de keuze aan die het bestuur maakt. In het evolutionaire ontwikkelingsmodel wordt de afdeling Internal Audit in eerste instantie ondergebracht bij een bestaande afdeling, bijvoorbeeld Concern Control, waarbij het de bedoeling is dat de functie van daaruit geleidelijk uitgroeit tot een zelfstandige positie. De internal audits worden uitgevoerd door medewerkers die binnen de bestaande afdeling werken. De planning van de nieuwe audits wordt daarbij zo veel mogelijk geïntegreerd met de planning van de bestaande werkzaamheden. Na enige tijd, waarin ervaring met het uitvoeren van audits is opgedaan, krijgt de functie een meer zelfstandige positie met eigen medewerkers. In het revolutionaire ontwikkelingsmodel wordt de internal-auditfunctie direct bij aanvang gepositioneerd als een zelfstandige en onafhankelijke afdeling onder de rvb. Welke van de beide ontwikkelingsstrategieën de voorkeur heeft hangt af van de specifieke situatie. Het grootste risico van een evolutionaire ontwikkeling is dat de bestaande afdeling niet aan het uitvoeren van internal audits toekomt omdat de reguliere activiteiten prioriteit krijgen. De keuze voor een revolutionair model (al moet deze aanduiding niet al te letterlijk worden genomen) heeft de voorkeur als de auditfunctie snel van de grond moet komen. In sommige situaties wordt gekozen voor een synthese van beide strategieën. Het idee achter deze aanpak is dat een definitief besluit tot het inrichten van de functie pas wordt genomen als de toegevoegde waarde van internal audit door middel van een of enkele pilot-audits is onderzocht. Pas daarna wordt de functie geïmplementeerd. Stap 2. Creëren en borgen van de functie In de tweede stap wordt de internalauditfunctie formeel gecreëerd door het opstellen van verschillende documentatie. Vooral in de financiële sector geldt dat de toezichthouders niet alleen hebben vastgesteld welke documentatie er moet zijn, maar ook hebben aangegeven aan welke eisen die betreffende documentatie moet voldoen. Zo moet elke auditfunctie beschikken over een zogenaamd audit statuut. Hierin wordt onder andere ingegaan op de taak en de reikwijdte van de functie, hoe de onafhankelijkheid is geborgd en aan wie de internal-auditfunctie rapporteert en verantwoording aflegt. Ook is het zinvol om een handboek op te stellen waarin onder andere wordt aangegeven hoe risicoanalyses worden uitgevoerd, hoe de auditonderwerpen worden geselecteerd, ingepland en uitgevoerd, hoe een auditrapport eruit ziet en wie verantwoordelijk is voor de monitoring van de aanbevelingen en verbeteracties. Parallel aan de tweede stap wordt gewerkt aan het bewustzijn rondom internal audit. Omdat de functie nieuw is, is het belangrijk dat duidelijk wordt gemaakt aan de medewerkers, het management, het bestuur en de commissarissen wat de rol en (beoogde) waarde van de internalauditfunctie is. Dat kan bijvoorbeeld tijdens workshops met de betrokkenen. Tijdens zo n workshop wordt uitgelegd wat internal audit is, hoe de functie wordt ingericht en te werk gaat en wat deze functie verwacht van de betrokkenen. Overigens blijkt dat het gewenst is om niet eenmalig maar regelmatig te communiceren over de internalauditfunctie. Het verspreiden van een nieuwsbrief, het openen van een portal of het versturen van s kan dan helpen bij het verder vergroten van het draagvlak voor de afdeling Internal Audit. Stap 3. Uitvoering van internal audits In de derde stap staat het uitvoeren van enkele audits centraal. Onderwerpen kunnen liggen in het primaire proces, zoals het inkoop- of verkoopproces, maar de audits kunnen zich ook richten op bepaalde thema s, zoals websecurity, kostenbeheersing en innovatie of projecten (bijvoorbeeld een IT-project of value chain transformation). In eerste instantie is het doel van deze audits om de organisatie te laten kennismaken met internal audits en te laten ervaren wat de bijdrage van Internal Audit is in de besturing en beheersing van de onderneming. Een belangrijk ingrediënt daarbij is het audit (jaar)plan. In dat plan staat welke risico s de onderneming loopt en op welke gebieden audits worden uitgevoerd. Daarbij wordt ook aangegeven hoe de internal-auditfunctie, met andere assurance providers, zoals de externe accountant, samenwerkt om eventueel dubbel werk te voorkomen. Waar nodig kunnen aanvullende interviews (zie met betrekking tot deze samenwerking ook het artikel van Frans de Groot op pagina 12) met managers en proceseigenaren worden gehouden om de risico s meer inzichtelijk te krijgen. De auditonderwerpen worden uitgewerkt tot een auditplan. Dat wil zeggen dat per onderwerp de reikwijdte wordt gedefinieerd en de onderwerpen in de tijd worden uitgezet. Het concept auditplan wordt dan vervolgens aan het bestuur ter goedkeuring voorgelegd. 8 Spotlight Jaargang uitgave 4

9 Naast de (bedrijfs)risico s kunnen in deze fase ook andere redenen gelden om bepaalde onderwerpen te selecteren voor zo n eerste audit. Overwegingen kunnen zijn: Zijn er zinvolle verbetermogelijkheden? In welke mate is het onderwerp representatief voor toekomstige audits? Kan het onderwerp in een relatief korte doorlooptijd worden uitgevoerd om ook op korte termijn resultaten te kunnen laten zien? In hoeverre staat de manager of proceseigenaar positief kritisch ten opzichte van internal audit? Tijdens de interviews met managers en proceseigenaren kan tevens worden geïnventariseerd welke verwachtingen de onderneming heeft ten aanzien van de toegevoegde waarde van de internalauditfunctie en welke (concrete) resultaten men verwacht van de uit te voeren audits. De uiteindelijke resultaten van de uitgevoerde audits kunnen dan in een later stadium met deze ex-ante verwachtingen worden vergeleken. Door deze interviews neemt de betrokkenheid en acceptatie van lijnmanagement bij de internal audits toe. Ook kan het in deze fase nodig zijn om de internal auditors van de benodigde basiskennis over internal audit te voorzien. Afhankelijk van het ervaringsniveau kan de training relatief kort zijn omdat na de training de opgedane kennis direct in de praktijk wordt omgezet. Eventueel kan externe ondersteuning worden ingeroepen bij het trainen en coachen van het internalauditteam. Stap 4. Evaluatie van eerste audits De vierde stap behelst de evaluatie van de eerste audits. Om de juiste keuzes te kunnen maken voor het vervolgtraject is het namelijk van belang dat goed wordt nagegaan hoe de uitvoering van de audits is gevallen bij de auditors, het management en het bestuur. Tijdens de evaluaties worden de (ex ante) verwachtingen van het management en het bestuur en de leerdoelen van de internal auditors vergeleken met de resultaten van de audits. Van eventuele gebleken problemen wordt nagegaan hoe deze in de toekomst kunnen worden voorkomen. 4. Naar een betere internal governance met Internal Audit We onderkennen vier ambitieniveaus voor Internal Audit. 1. beoordelen bestaande governance, risicomanagement en interne beheersing; 2. beoordelen toekomstige governance, risicomanagement en interne beheersing; 3. organisatie- en procesverbetering; 4. strategische implicaties. Ambitieniveau 1. Beoordelen bestaande governance, risicomanagement en interne beheersing Eerder in dit artikel is gesteld dat de internal-auditfunctie zekerheid geeft aan het bestuur en management door vast te stellen dat de huidige maatregelen adequaat zijn opgezet en als zodanig functioneren dat de belangrijkste risico s worden gemitigeerd en dat de managementinformatie die voortkomt uit de processen en systemen betrouwbaar is. Het beoordelen van de bestaande risicobeheersings- en controlesystemen is de basistaak voor Internal Audit. Ambitieniveau 2. Beoordelen toekomstige governance, risicomanagement en interne beheersing Ook is aangegeven dat de waarde van de internal-auditfunctie ligt op het leveren van een bijdrage aan het continue verbeterproces. Dat wil zeggen dat Internal Audit actief de opvolging monitort van de verbetervoorstellen die voortvloeien uit de audits en het bestuur informeert over de kwaliteit en tijdigheid van de realisatie van de voorgestelde verbeteringen. Daarmee geeft Internal Audit invulling aan een tweede ambitieniveau, namelijk het verbeteren van de kwaliteit van het toekomstige internal-governancesysteem. Ambitieniveau 3. Organisatie- en procesverbetering Een bijna natuurlijke managementreactie op een fout of een plotseling opkomend risico is het definiëren en implementeren van extra verbetermaatregelen. Meer is echter niet altijd beter. Het is dan ook de taak van Internal Audit om de kosten van een maatregel te beoordelen in het licht van de kosten van een risico (kans van optreden x gebeurtenis). Met andere woorden, wegen de kosten van een maatregel op tegen de kosten die veroorzaakt worden door de gevolgen van een gebeurtenis? Denk bij kosten van maatregelen onder andere aan de arbeidskosten (uren gemoeid met het laten werken van een maatregel), systeemkosten (kosten gemoeid met het onderhouden van een IT-systeem) en monitoringkosten (uren van management om de naleving van maatregelen te beoordelen). Op deze manier kan Internal Audit een bijdrage leveren aan het verbeteren van de prestaties van het bedrijf. Ambitieniveau 4. Strategische implicaties Het vierde ambitieniveau van Internal Audit is om een bijdrage te leveren aan de realisatie en actualisering van de strategie. Immers, via de planning & control -cyclus zijn de strategische doelen vertaald naar operationele activiteiten. Voor Internal Audit betekent dit dat wordt nagegaan hoe het management de risico s beheerst die samenhangen met die operationele activiteiten. Uit de resultaten van de uitgevoerde audits worden vervolgens de overkoepelende trends en thema s geïdentificeerd en geanalyseerd in het licht van de strategie van de onderneming. De informatie die daaruit komt, wordt door Internal Audit teruggekoppeld aan het bestuur en de auditcommissie. Op deze manier kan de control-cyclus worden gesloten. In figuur 2 zijn deze vier ambitieniveaus voor Internal Audit weergegeven. Spotlight Jaargang uitgave 4 9

10 Figuur 2. Vier ambitieniveaus voor Internal Audit Waardebescherming Waardecreatie Strategische implicaties Organisatie- en procesverbetering Beoordelen toekomstige governance, risicomanagement en interne beheersing 5. Conclusie Met een onafhankelijk gepositioneerde internal-auditfunctie zijn het bestuur en de auditcommissie van elke onderneming in staat het internal-governancesysteem te optimaliseren en in te zetten bij het realiseren van de strategie. De auditfunctie verstrekt namelijk zekerheid over de mate waarin de risico s worden afgedekt, welke maatregelen (kosten)efficiënt zijn en welke niet. Door het definiëren en analyseren van overkoepelende trends en thema s kan de link worden gelegd tussen de strategie en de uitvoering ervan. Op die manier is het bestuur en de auditcommissie in staat de control-cyclus te sluiten. Beoordelen bestaande governance, risicomanagement en interne beheersing 10 Spotlight Jaargang uitgave 4

11 Spotlight Jaargang uitgave 4 11

12 Gebruikmaken van interne accountants bij de externe accountantscontrole: = 3 De internationale standaard over het gebruikmaken van de werkzaamheden van interne accountants (ISA 610) is herzien. Dit kan een boost betekenen voor de kwaliteit van de accountantscontrole. Er schuilt ook een gevaar. De accountant moet er alert op blijven dat de onafhankelijkheid en objectiviteit ongeschonden blijven. Frans de Groot - Vaktechnisch bureau (National Office), Assurance 1. De praktijk Bij vele controleopdrachten werken externe accountants samen met interne accountants. De toegevoegde waarde van de interne accountants voor de accountantscontrole is belangrijk. Immers, zij hebben veel kennis van de organisatie, de bedrijfsprocessen, IT-systemen en van de interne beheersing van hun organisatie. Zij kunnen dus bij uitstek een belangrijke bijdrage leveren aan een effectieve en efficiënte controle. Tegelijkertijd zijn de interne accountants nooit volledig onafhankelijk van de organisatie waarin zij werkzaam zijn. Ongeacht de positionering en professionalisering van de interne-accountantsfunctie zal de externe accountant dit altijd moeten meewegen in zijn controleaanpak. Daar komt bij dat alleen de externe accountant de ongedeelde eindverantwoordelijkheid draagt voor de accountantscontrole en het daarop gebaseerde (externe) oordeel. Hij moet dus in staat zijn om deze eindverantwoordelijkheid te kunnen dragen. Dit betekent dat hij altijd de kapitein van het schip is en over het kompas van de controle beschikt. De genoemde aspecten zijn essentiële waarden in de samenwerking en onderlinge verantwoordelijkheden van de externe en interne accountants. Want over de objectiviteit, integriteit, de onafhankelijkheid en de ongedeelde eigen verantwoordelijkheid van de externe accountant mag geen enkele twijfel bestaan. Deze essentiële waarden zijn in de gewijzigde internationale controlestandaard daarom explicieter en strikter weergegeven dan in de oude standaard. 2. Aanpassingen aan de internationale controlestandaard De International Auditing and Assurance Standards Board (IAASB) heeft de internationale standaard over het gebruikmaken van de werkzaamheden van interne accountants (ISA 610) herzien. De gewijzigde standaard is van toepassing voor controles over periodes die eindigen op of na 15 december De wijzigingen zijn dus al van toepassing op controles van jaarrekeningen over ISA 610 geeft criteria waaraan een interne-accountantsfunctie moet worden getoetst wil de externe accountant van de werkzaamheden van deze functie gebruikmaken. Ook stelt de standaard eisen aan de mate waarin de accountant van de interne-accountantsfunctie gebruik kan maken. In aanvulling daarop heeft de IAASB wijzigingen in de ISA 610 gepubliceerd die eerst van toepassing zijn op controles van jaarrekeningen over Deze wijzigingen gaan over direct assistance, waarbij personen van de interneaccountantsfunctie deel uitmaken van het externe controleteam. In de volgende paragrafen ga ik in op de belangrijkste wijzigingen van de standaard. Dat zijn de criteria waaraan de externe accountant de 12 Spotlight Jaargang uitgave 4

13 Tabel 1. Standaard Van toepassing op Belangrijkste wijzigingen ISA 610 (herzien) ISA 610 (herzien 2013) interne-accountantsfunctie toetst, de werkzaamheden die de externe accountant zelf moet uitvoeren en de communicatie tussen interne en externe accountants. Daarna ga ik kort in op direct assistance. Ik sluit af met een conclusie over de betekenis van de nieuwe standaard. 3. Interne-accountantsfunctie moet aan drie criteria worden getoetst De externe accountant kan slechts gebruik maken van de werkzaamheden van de interne-accountantsfunctie als deze functie aan alle criteria voldoet die in ISA 610 worden genoemd: objectiviteit; deskundigheid; het hebben van een 'systematische en gedisciplineerde aanpak' waaronder het toepassen van een systeem van kwaliteitsbeheersing. De criteria objectiviteit en deskundigheid werden ook al in de oude standaard genoemd. Het derde criterium, de 'systematische en gedisciplineerde aanpak waaronder het toepassen van een systeem van kwaliteitsbeheersing is nieuw. Indien niet aan deze drie criteria wordt Periodes eindigend op of na 15 december 2013 Periodes eindigend op of na 15 december 2014 Stelt eisen aan de interne accountants-functie indien de externe accountant de werkzaamheden van deze functie wil gebruiken en aan de werkzaamheden waarvan de externe accountant wel/ niet gebruik kan maken afhankelijk van de niveaus van (subjectieve) oordeelsvorming en van het risico op materiële fouten Stelt gedetailleerde eisen aan en geeft handreikingen over de zogenoemde direct assistance voldaan, worden de werkzaamheden van de functie niet aangemerkt als interne-accountantswerkzaamheden onder ISA 610. De accountant kan nog nagaan of de betreffende werkzaamheden kunnen worden gezien als een internebeheersingsmaatregel. De accountant kan eventueel besluiten deze internebeheersingsmaatregel te testen. Hij moet daarnaast voldoende eigen gegevensgerichte werkzaamheden uitvoeren. Dit zal doorgaans leiden tot meer eigen werkzaamheden dan wanneer de werkzaamheden aangemerkt worden als interne-accountantswerkzaamheden onder ISA 610. Tabel 2. Gebruik van de interne-accountantsfunctie die voldoet aan de criteria van ISA 610 Gebruik van een functie die niet voldoet aan de criteria van ISA 610 Samenvatting Wanneer je gebruik maakt van de werkzaamheden van een interne accountant, dan heb je te maken met bepaalde eisen. Deze eisen zijn aangescherpt. Niet omdat interne accountants niet deskundig of professioneel genoeg zijn. En ook niet om de externe accountant meer werk te verschaffen. Maar wel om de externe accountant zijn of haar eindverantwoordelijkheid voor de controle te kunnen laten dragen en om te kunnen waarborgen dat de externe controle op een objectieve, onafhankelijke en deskundige wijze wordt uitgevoerd in overeenstemming met de hoge kwaliteitseisen die daaraan worden gesteld. Als bestuur, interne accountants en externe accountant hun verantwoordelijkheid nemen kan de samenwerking met interne accountants een boost betekenen voor de kwaliteit van de accountantscontrole. Maar, er zijn ook gevaren van het weglekken van onafhankelijkheid en objectiviteit. Daar moet de accountant alert op zijn en blijven. Dit artikel gaat in op de wijzigingen in de internationale standaard 610 over het gebruikmaken van de werkzaamheden van interne accountants. Controls test Ja Nee, mogelijk wel als internebeheersingsmaatregel Gegevensgerichte test Ja Nee, mogelijk wel als internebeheersingsmaatregel Spotlight Jaargang uitgave 4 13

14 Interne-accountantsfunctie moet voldoende scoren op objectiviteit en deskundigheid De scores op de criteria objectiviteit en deskundigheid zijn geen absolute waarden. Zij kunnen als een continuüm worden gezien. De standaard geeft een aantal voorbeelden waarmee de accountant de score op het continuüm kan bepalen. Voor objectiviteit zijn dat onder meer de (onafhankelijke) positionering van de afdeling binnen de organisatie, het aanwezig zijn van beleidslijnen en procedures, de besluitvorming over arbeidscontracten door de toezichthoudende organen en het vrij van beperkingen kunnen opereren en rapporteren aan de toezichthoudende organen. Voor deskundigheid zijn dat onder meer het aanwezig zijn van adequate procedures voor het aannemen, adequate kennis en ervaring op het gebied van controle en financiële verslaggeving, het hebben van voldoende resources voor het te verrichten werk en het lidmaatschap van een professionele beroepsgroep waardoor verplicht professionele standaarden moeten worden toegepast en nageleefd. Op beide criteria afzonderlijk moet de interneaccountantsfunctie voldoende scoren. Een gebrek aan objectiviteit kan niet worden gecompenseerd door een hoge mate van deskundigheid. Geen minimumeisen voor de systematische en gedisciplineerde aanpak Ook dit criterium heeft geen absolute waarde en de standaard geeft geen minimumeisen waaraan het criterium moet voldoen. Je zou dit echter kunnen spiegelen aan de eisen die de beroepsorganisatie van interne accountants hiervoor heeft uitgevaardigd. ISA 610 ( herzien ) geeft handreikingen die behulpzaam kunnen zijn voor het toepassen van dit criterium. Het gaat daarbij onder meer om een cultuur die kwaliteit erkent en committeert aan ethische principes en professionele standaarden, het onderworpen zijn aan continue ontwikkeling en training, een systeem van performance-evaluatie, een formeel systeem van supervisie en review, en een systeem van kwaliteitsreviews. En de functionaris die verantwoordelijk is voor kwaliteitsbeheersing heeft voldoende ervaring, autoriteit en mogelijkheden om die rol goed te vervullen. 4. Gevolgen voor het uitvoeren van de accountantscontrole Als de accountant heeft vastgesteld dat de interne-accountantsfunctie voldoet aan de criteria dan kan hij gebruik maken van de werkzaamheden van deze functie. Kan hij nu ongelimiteerd controlewerkzaamheden uitbesteden aan de interne-accountantsfunctie? Het antwoord is nee! De standaard stelt duidelijke grenzen aan wat de accountant wel en niet kan overlaten aan de interne-accountantsfunctie. Volgens de standaard mag de accountant geen gebruik maken van de interneaccountantsfunctie op gebieden die om significante oordeelsvorming vragen. Alle belangrijke beslissingen moeten door de externe accountant worden genomen. De onderliggende werkzaamheden die daarmee verband houden moeten door hem zelf worden uitgevoerd. In gebieden met significante risico s kan de accountant gebruikmaken van de werkzaamheden van interne accountants mits daar niet meer dan een beperkte oordeelsvorming aan te pas komt. Bij meer dan beperkte oordeelsvorming moet de externe accountant zelf aan de bak. Voor het overige zal de accountant op basis van zijn professionele oordeelsvorming moeten bepalen in welke mate hij gebruik kan maken van de interneaccountantsfunctie. Dat zal afhangen van zijn evaluatie van de objectiviteit, deskundigheid en kwaliteitsbeheersing van de functie. Maar ook van het risico op materiële fouten en de mate van oordeelsvorming die er in de werkzaamheden aan te pas komen. Tabel 1 laat zien hoe dit uitpakt voor de mate waarin de accountant gebruik kan maken van de werkzaamheden van de interne-accountantsfunctie. De accountant zal in alle gevallen zelf aan het roer moeten blijven bij het uitzetten en uitvoeren van de controlestrategie en het controleplan. Voorbeelden van gebieden met significante oordeelsvorming zijn: het uitvoeren van risicoanalyses en het bepalen van de controlestrategie; de controle van veronderstellingen en onderbouwingen voor significante schattingen (bijvoorbeeld impairments); het testen van complexe internebeheersingsmaatregelen ten aanzien van significante schattingen; het testen van de juistheid van opbrengstenverantwoording van complexe transacties; het verrichten van werkzaamheden op geïdentificeerde frauderisico s; het uitvoeren van gegevensgerichte cijferanalyses; de controle van posten of toelichtingen die een grote mate van schattingsonzekerheid in zich hebben (bijvoorbeeld reëlewaardeschattingen). Indien de accountant steunt op de interne-accountantsfunctie moet hij verplicht evalueren en documenteren of hij zelf nog voldoende betrokken is geweest bij de controle gegeven de eindverantwoordelijkheid voor de accountantscontrole. Daarnaast moet de accountant vaststellen dat de interne accountants de werkzaamheden op een juiste wijze hebben uitgevoerd. Dat is niet gewijzigd ten opzichte van de oude standaard. Wel geldt nu de verplichting om de rapporten van de interneaccountantsfunctie te lezen en een deel van de werkzaamheden van de interne accountants te herhalen ( reperformance ) en om ook eigen waarnemingen te doen. Het werkprogramma en de methodologie (omvang deelwaarnemingen, controleaanpak) van de interneaccountantsfunctie moet voldoen aan de eisen van de externe controle. 14 Spotlight Jaargang uitgave 4

15 Figuur 1. Gebruik maken van werk interne accountants En: In mindere mate Oordeel over objectiviteit, deskundigheid en kwaliteitsbeheersing is net voldoende. Hoge mate van oordeelsvorming. Significant risico op materiële fouten. Werkzaamheden van interne accountants zijn minder relevant voor de externe accountantscontrole. 5. Ook wijzigingen inzake communicatie tussen externe en interne accountants Als er een interne-accountantsfunctie is moet de externe accountant, tijdens de planningsfase van de controle, altijd inlichtingen inwinnen bij de interneaccountantsfunctie, ongeacht of hij van de werkzaamheden van deze functie gebruik maakt of niet. Hiertoe is standaard 315 over het verkrijgen van inzicht in de organisatie en het inschatten van risico s tegelijk met ISA 610 gewijzigd. De accountant moet vervolgens het toezichthoudende orgaan (commissarissen, auditcommissie) informeren over de plannen om (al dan niet) gebruik te maken van de werkzaamheden van deze functie en op welke wijze dat is gepland. 6. Direct assistance wel of niet? Direct assistance, het gebruiken van medewerkers van de interneaccountantsfunctie als onderdeel van het externe controleteam onder de directe verantwoordelijkheid van de externe accountant, is ook aan strikte voorwaarden gebonden: In meerdere mate Oordeel over objectiviteit, deskundigheid en kwaliteitsbeheersing is goed. Lage mate van oordeelsvorming. Normaal risico op materiële fouten. Werkzaamheden van interne accountants zijn relevant voor de externe accountantscontrole. Het mag uitsluitend indien de interneaccountantsfunctie voldoet aan de criteria van de standaard (zie paragraaf 3). De accountant moet het bestaan en belang van bedreigingen van objectiviteit en deskundigheid evalueren bij significante dreiging geen direct assistance. Er moet een schriftelijke overeenkomst met de entiteit worden opgesteld waarin is opgenomen dat de interne accountants wordt toegestaan om de instructies van de externe accountant op te volgen en dat de entiteit zich niet zal bemoeien met de interne accountants. Tabel 3. Direct assistance interneaccountantsfunctie of equivalente functie die voldoet aan de criteria van ISA 610 Direct assistance - interneaccountantsfunctie of equivalente functie die niet voldoet aan de criteria van ISA 610 Er moet een schriftelijke overeenkomst worden opgesteld met de medewerkers van de interne-accountantsfunctie die betrokken zijn bij de externe controle dat zij specifieke aangelegenheden die zijn gecommuniceerd geheimhouden en bedreigingen voor hun objectiviteit direct zullen melden. Medewerkers van de interneaccountantsfunctie mogen niet worden ingezet op de volgende gebieden: - gebieden waar significante oordeelsvorming voor nodig is; - gebieden met hoger risico met een meer dan beperkte mate van oordeelsvorming; - werk waarbij de interneaccountantsfunctie betrokken is geweest; - beslissingen over het gebruik van de werkzaamheden van interne accountants en direct assistance. In sommige landen, waaronder het Verenigd Koninkrijk, is direct assistance verboden. Dat houdt vooral verband met de schijn van afhankelijkheid van het controleteam. Daar zitten dan immers medewerkers van de klant in die per definitie niet onafhankelijk zijn. Ook de toezichthouders op het accountantsberoep, waaronder de AFM, lijken grote aarzelingen te hebben om in Nederland direct assistance toe te staan. Het is dus zaak om de ontwikkelingen in Nederland op dit punt goed in de gaten te houden. Controls test Ja Nee Gegevensgerichte test Ja Nee Spotlight Jaargang uitgave 4 15

16 7. ISA 610 wordt opgenomen in Nederlandse controlestandaard Het is goed gebruik dat de internationale standaarden, zonder majeure aanpassingen, worden opgenomen in de Nederlandse controlestandaarden. Dit geldt ook voor ISA 610. De Nederlandse Beroepsorganisatie van Accountants (NBA) heeft besloten dat de Nederlandse standaard een jaar later in werking zal treden dan de internationale standaard. Dat betekent dat de Nederlandse standaard eerst van toepassing zal zijn op controles van jaarrekeningen over Dat betekent overigens niet dat de Nederlandse accountants, voor de controles over 2013, zich niets hoeven aan te trekken van de wijzigingen in de standaard. 8. Afsluiting en conclusie: kwaliteit in het kwadraat! Waarom zijn de eisen aan het (kunnen) gebruikmaken van de werkzaamheden van interne accountants aangescherpt? Niet omdat interne accountants niet deskundig of professioneel genoeg zijn. Ook niet om de externe accountant meer werk te verschaffen. De wijzigingen zijn vooral gericht op het kunnen dragen van de eindverantwoordelijkheid voor de controle door de externe accountant en het kunnen waarborgen dat de externe controle op een objectieve, onafhankelijke en deskundige wijze wordt uitgevoerd in overeenstemming met de hoge kwaliteitseisen die daaraan worden gesteld. En dat zijn principes die ook gelden onder de huidige Nederlandse standaard. Accountants realiseren zich steeds vaker dat het leveren van uitstekende kwaliteit, die gebruikers van hen eisen, niet uitsluitend kan worden bereikt door hun eigen werkzaamheden. Gezien de omvang en complexiteit van organisaties zal de accountant moeten steunen op de interne beheersing van de organisatie. Daarbij geldt dat een matige interne beheersing nooit geheel door alleen accountantswerkzaamheden kan worden gerepareerd. Anders gezegd, van een twee of een drie kun je hooguit een zesje maken maar nooit een acht, negen of tien. De communicatie hierover met bestuur en toezichthoudende organen, gericht op het verbeteren van de interne beheersing, is daarbij zeer wezenlijk. Bij een perfecte interne organisatie is de absolute kans veel kleiner dat de jaarrekening materiële fouten bevat. Natuurlijk zal de accountant nimmer uitsluitend op de interne beheersing alleen kunnen vertrouwen. Daarom zal hij altijd zelf ook gegevensgerichte werkzaamheden blijven uitvoeren. Een uitsluitend gegevensgerichte controle past echter minder bij de moderne accountantscontrole. Je besteedt dan immers geen aandacht aan de kwaliteit van de interne beheersing en weegt deze dan ook niet mee in de kwaliteitsperceptie die gebruikers hebben van de accountantscontrole. En daarmee is de stap gezet naar de interne-accountantsfunctie. Een goed functionerende, objectieve en professioneel opgezette functie is van meerwaarde voor de accountantscontrole. De externe accountant kan samen met de interne accountants bijdragen aan het optimaliseren van de puzzelstukjes die samen zorgen voor een accountantscontrole van uitstekende kwaliteit: een goede interne beheersing en een gedegen controleprogramma waarmee interne accountants en externe accountants samen zorgen voor een hoogwaardige kwaliteit. Kwaliteit + kwaliteit = kwaliteit in het kwadraat, ofwel = 3! Dat er eisen worden gesteld aan deze samenwerking is zowel logisch als noodzakelijk. De externe accountant loopt het risico dat door het gebruikmaken van interne accountants onafhankelijkheid en objectiviteit weglekt of dat de interne accountants in feite de controle overnemen. Dat kan natuurlijk niet want de externe accountant is en blijft eindverantwoordelijk en moet dus aan het roer blijven. De externe accountant doet er goed aan om de interne-accountantsfunctie opnieuw te evalueren tegen de criteria van de standaard. Dit geldt ook voor de geplande eigen werkzaamheden aangezien mogelijk aanvullende werkzaamheden nodig zijn om te voldoen aan de eisen van de standaard. Tijdige communicatie hierover met bestuurders, toezichthoudende organen en de interne accountants is noodzakelijk om de gevolgen voor de externe controle en de door de organisatie eventueel te nemen noodzakelijke stappen te kunnen overzien en te kunnen beheersen. Laat deze bespreking niet alleen leiden door de formele eisen van de standaard maar vooral door het uiteindelijke doel dat wordt nagestreefd: een accountantscontrole van hoge kwaliteit. Zowel de interneaccountantsfunctie als de externe accountantscontrole wordt hierbij steeds opnieuw geëvalueerd. Alleen zo wordt één plus één drie. PwC past de herziene standaard dan ook al toe voor controles over Spotlight Jaargang uitgave 4

17 Spotlight Jaargang uitgave 4 17

18 Onderweg naar een informatieve en relevante controleverklaring de eindbestemming in zicht Iedereen is het erover eens: er moet een nieuwe controleverklaring komen. Een verklaring waarin de gebruiker centraal staat. Zowel de IAASB als de PCAOB heeft in aanloop naar deze controleverklaring van de toekomst ontwerpstandaarden gepubliceerd. Het is belangrijk dat accountants en hun klanten nu al gaan oefenen met de nieuwe controleverklaring op basis van de ontwerpstandaarden. Frans de Groot - Vaktechnisch bureau (National Office), Assurance Peter Eimers - Vaktechnisch bureau (National Office), Assurance 1. Ontwikkelingen rond auditor s reporting gaan razend snel In juli en augustus 2013 heeft zowel de International Auditing and Assurance Standards Board (IAASB) als de Public Company Accounting Oversight Board (PCAOB) ontwerpstandaarden gepubliceerd over de toekomstige controleverklaring van de accountant. De voorstellen beogen de huidige controleverklaring met veel standaardteksten om te buigen naar een verklaring die relevanter en transparanter is en daardoor aan de belanghebbenden meer inzicht geeft in de controle en de controlebevindingen. Kortom: meer relevante informatie, minder standaard, boilerplate, teksten. Uitgaande van een definitieve standaard medio 2014 zullen de wijzigingen naar verwachting eerst van toepassing zijn op controles van jaarrekeningen over De IAASB heeft nadrukkelijk een optie opgenomen om de nieuwe standaard al voor controles van jaarrekeningen over 2015 van toepassing te verklaren. Dit lijkt ver weg, maar de roep om een nieuwe controleverklaring wordt steeds luider. Vooral aandeelhouders en belanghebbenden willen dat accountants de voorstellen van IAASB en PCAOB al eerder dan 2015 of 2016 toepassen. In Nederland hebben Eumedion en de politiek zich al volop in deze discussie gemengd. Er wordt druk uitgeoefend op de Nederlandse politiek om al eerder met wetgeving te komen. De Nederlandse Beroepsorganisatie van Accountants (NBA) heeft al aangegeven zeer waarschijnlijk met voorschriften te komen voor vervroegde toepassing in Nederland voor controles van Organisaties van Openbaar belang (OOB s) op jaarrekeningen over Daarnaast worden accountantskantoren ook informeel gevraagd om al eerder (2014 of zelfs 2013) de principes van de ontwerpstandaarden toe te passen. Dat deze druk snel tot realiteit kan leiden bewijst het Verenigd Koninklijk (VK) waar de Financial Reporting Council (FRC) een standaard heeft gepubliceerd die al op controles over 2013 van toepassing is. 18 Spotlight Jaargang uitgave 4

19 2. De belangrijkste veranderingen betreffen de Key Audit Matters De belangrijkste wijziging is dat de accountant in een aparte sectie van de controleverklaring zogenoemde Key Audit Matters (KAM) (IAASB) of Critical Audit Matters (CAM)(PCAOB) opneemt. Deze sectie gaat in op aangelegenheden die het meest significant zijn geweest tijdens de controle en/of die van de accountant veel aandacht hebben gevraagd. Dit kunnen significante risico s zijn, gebieden die veel aandacht van de accountant hebben gevraagd of wijzigingen van aanpak gedurende de controle bijvoorbeeld als gevolg van significante leemten in de interne beheersing. Het is belangrijk om te constateren dat dit een zeer significante wijziging betreft waar accountants zeer zorgvuldig mee om moeten gaan. Accountants moeten oog hebben voor mogelijk onbedoelde effecten die het vermelden van KAM kunnen hebben. Denk bijvoorbeeld aan onderwerpen als vermoedens van fraude, close calls betreffende continuïteit en leemtes in de interne beheersing. Dit zijn uiterst sensitieve onderwerpen die door het publiek mogelijk verkeerd geïnterpreteerd kunnen worden indien dit niet goed uiteen wordt gezet. De huidige conceptstandaard geeft hiervoor nog onvoldoende handreikingen. Meer duidelijkheid hierover is naar onze mening absoluut noodzakelijk. Daarnaast geeft de accountant in de nieuwe controleverklaring specifieke conclusies over de continuïteitsveronderstelling (alleen IAASB), over de consistentie van de overige informatie met de jaarrekening en over zijn onafhankelijkheid. Ook de indeling van de verklaring, met eerst het oordeel, en de teksten die de controle beschrijven zijn aangepast. Dit laatste geldt niet voor de PCAOB die vooralsnog het oude stramien blijft hanteren. In de verklaring van de PCAOB wordt ook het aantal jaren vermeld dat het accountantskantoor als accountant van de organisatie optreedt. Het principe van KAM/CAM zie je ook in het VK terug. De accountant in het VK neemt een beschrijving in de verklaring op van de risico s die de grootste impact hebben gehad op de controle. Ook daar zie je een verschuiving van standaard, boilerplate, teksten naar meer specifieke, relevantere passages. Specifiek voor het VK is dat ook toelichtingen moeten worden gegeven over de toepassing van materialiteit en over hoe de gesignaleerde risico s in de controle zijn opgevolgd. Andere belangrijke veranderingen zijn weergegeven in tabel 1. De gewijzigde controlestandaard gaat in het VK gepaard met aangepaste eisen in de UK Corporate Governance Code over de rapportering door bestuurders en commissarissen van de belangrijkste issues met betrekking tot de jaarrekening en kwesties die besproken zijn met de accountant. Dit is belangrijk omdat de kwesties die de accountant in zijn verklaring zal rapporteren al vooraf gedegen met het bestuur en de commissarissen zijn besproken en ook in de rapportage van de auditcommissie naar voren komen. De accountant kan in zijn verklaring kort en bondig zijn onder verwijzing naar het issue in de rapportage van de auditcommissie. Hiermee wordt voorkomen dat de accountant zelf de primaire informatieverschaffer wordt en zullen de kwesties duidelijker naar voren komen waardoor de gebruiker meer inzicht hierover krijgt. 3. Voor wie gelden deze veranderingen? De IAASB-voorstellen zijn, voor wat betreft de KAM, uitsluitend verplicht voor controles van organisaties met een beursnotering. Andere organisaties kunnen ervoor kiezen om vrijwillig de KAM te rapporteren. De andere voorstellen zijn voor alle controles van toepassing. De voorstellen van de PCAOB zijn uitsluitend van toepassing op controles van organisaties met beursnotering die op Samenvatting De contouren van de nieuwe controleverklaring worden steeds beter zichtbaar. De ontwerpstandaarden van IAASB en PCAOB hebben veel gemeenschappelijk. Helaas zijn er ook verschillen te constateren. De belangrijkste verandering in beide voorstellen is het concept van Key Audit Matters (KAM). De accountant moet meer inzicht geven in de belangrijkste aandachtspunten voor de controle. Volgens de planning van de IAASB en PCAOB zal de nieuwe controleverklaring eerst in 2016 of op zijn vroegst 2015 worden toegepast. Er is echter een grote roep van onder meer de politiek en investeerders om de nieuwe principes al eerder toe te passen. De Nederlandse Beroepsorganisatie van Accountants (NBA) heeft aangekondigd te overwegen om al voor accountantscontroles over 2014 de nieuwe regels te implementeren. Reden voor accountants en hun klanten om nu al droog te oefenen. basis van de PCAOB-standaarden worden uitgevoerd. De al van toepassing zijnde standaard in het VK is verplicht voor controles van organisaties die moeten rapporteren onder de UK Corporate Governance Code. Dit zijn de beursgenoteerde organisaties. De standaard mag ook op vrijwillige basis worden toegepast. 4. Belangrijk om nu al ervaring op te doen Controleteams die de accountantscontrole uitvoeren op basis van IAASB- of PCAOBstandaarden zullen kennis moeten nemen van de ontwerpstandaarden. Zij zullen nu al met de bestuurders en commissarissen hierover de dialoog moeten aangaan. Mogelijk kan over 2013 al droog worden geoefend door naast de officiële verklaring Spotlight Jaargang uitgave 4 19

20 Tabel 1. Voorgestelde veranderingen Onderdeel van de verklaring IAASB PCAOB UK FRC Prominente plaats van het oordeel en andere organisatie-specifieke informatie Risico s / key audit matters / critical audit matters Belangrijkste oordeelsvorming over materialiteit en groep-scoping Conclusies over de continuïteitsveronderstelling Conclusies over de overige informatie in het jaarrapport Bevestiging van de onafhankelijkheid van de accountant Vermelding van het jaar waarin het kantoor de accountant van de organisatie werd Vermelding van de naam van de externe accountant Optioneel Niet verplicht, maar kan optioneel worden toegevoegd Wordt vermeld in het verslag van de auditcommissie Wordt geadresseerd in een afzonderlijk project ook de controleverklaring op basis van de ontwerpstandaarden te maken en deze met de klant te bespreken. Kantoren zijn al bezig om over de controles 2012 met klanten te bespreken hoe de nieuwe controleverklaring eruit had kunnen zien. Dat is echt nodig om alvast ervaring op te doen over het selecteren en rapporteren van KAM/CAMs. Hierdoor kunnen tijdig de problemen en gevoeligheden worden gesignaleerd en geadresseerd. Voor controleteams die moeten rapporteren op basis van UK standaarden, al dan niet op basis van groepsinstructies, gelden de nieuwe rapporteringseisen mogelijk al voor het huidige controlejaar Het is belangrijk dat zij hierover goed communiceren met de groepsaccountant. 5. Nieuwe regels leiden echt tot betere controleverklaring Op termijn leiden de nieuwe regels zonder meer tot een betere controleverklaring! Er is een goede aanzet gegeven. Er zal echter nog wel enige oefening en discussie nodig zijn om de specifieke teksten voor gebruikers leesbaar en echt relevant te maken. Ook het feit dat er geen standaardopzet en minder standaardteksten zijn zal even wennen zijn. Het zal voorlopig noodzakelijk zijn om het nieuwe format steeds te blijven evalueren op zijn waarde voor de gebruikers. Er is dus zeker behoefte aan pioniers om de benodigde ervaring nu al op te doen. Wij kunnen daarbij natuurlijk al profiteren van de ervaringen die in het VK zullen worden opgedaan met de rapportages over Ook het eerder genoemde droogoefenen kan waardevolle informatie opleveren. Het is jammer dat de regels van IAASB, PCAOB en FRC niet volledig gelijk zijn met betrekking tot het rapporteren over materialiteit, continuïteit en reikwijdte van de controle. Dat is niet goed voor de consistentie en uitstraling van de controleverklaring op internationaal niveau. Het is belangrijk dat er regelgeving komt over de rapportering van management en commissarissen over belangrijke issues en risico s bij het opstellen van de jaarrekening. Dit voorkomt dat de accountant aspecten moet rapporteren die niet door de organisatie zelf als zodanig zijn herkend en/of gerapporteerd. Dit kan strijdigheid opleveren met zijn functie als controleur en dilemma s opleveren in het kader van zijn geheimhoudingsplicht. Ook ten aanzien van de jaarverslaggeving zullen belangrijke slagen moeten worden gemaakt. Deze zal zodanig moeten worden opgezet dat gebruikers daaruit snel de voor hen relevante informatie kunnen halen. Uiteindelijk zal de jaarverslaggeving van de organisatie het echte verhaal van de organisatie moeten vertellen, inclusief het verdienmodel en het waardecreatieproces en de daaraan verbonden onzekerheden en gevoeligheden. De accountant zal in zijn controleverklaring over deze relevante verslaggeving een oordeel moeten geven. Hij zal daarbij inzicht moeten geven in zijn aanpak en zijn bevindingen ( the story of the audit ) en de gebruikers het vertrouwen geven in zijn objectieve en deskundige oordeel. Zo komen de kwaliteit van verslaggeving en van accountantscontrole bij elkaar. Dat heeft uiteindelijk uitstraling op het werk van de accountant en zijn oordeel. Want een goede controleverklaring is een verklaring die het vertrouwen verdient en krijgt. 20 Spotlight Jaargang uitgave 4