Assurancerapport importeurs ten behoeve van het aanleveren van CvO-gegevens

Maat: px

Weergave met pagina beginnen:

Download "Assurancerapport importeurs ten behoeve van het aanleveren van CvO-gegevens"

Fien Smit
7 jaren geleden
Aantal bezoeken:

1 Assurancerapport importeurs ten behoeve van het aanleveren van CvO-gegevens Eigenaar: RDW, Divisie R&I Versiebeheer: Internal Audit RDW Datum: 12 januari 2016 Versie: 1.3

2 Inhoudsopgave 1 INLEIDING ALGEMEEN ASSURANCERAPPORT ASSURANCERAPPORT VAN DE ONAFHANKELIJKE AUDITOR januari

3 1 Inleiding 1.1 Algemeen Op 1 januari 2016 wordt voertuigen inschrijven op basis van een digitaal Certificaat van Overeenstemming (CvO) de nieuwe standaard. Inschrijven op basis van typegoedkeuringen kan dan niet meer. Fabrikanten kunnen rechtstreeks digitale CvO s aanleveren bij de RDW. Het aanleveren van het digitale CvO is de start van de inschrijving van een nieuw voertuig. Een fabrikant is hier verantwoordelijk voor. Indien importeurs niet door de fabrikant digitaal getekende CvO s aanleveren bij de RDW dienen deze importeurs: 1. in het bezit te zijn van de erkenning versnelde regeling, 2. jaarlijks een assurancerapport op te leveren, zodat de RDW het toezicht op basis van de erkenning adequaat kan uitvoeren. 1.2 Assurancerapport De importeur verstrekt jaarlijks vóór 31 maart na het betreffende kalenderjaar een assurancerapport van een gecertificeerde auditor conform de richtlijn Assurance-opdrachten door IT-auditors (3000) van de Nederlandse Orde van Register EDP-auditors (NOREA) of een vergelijkbare (buitenlandse) standaard. De gecertificeerde auditor dient aangesloten te zijn bij de NOREA of een vergelijkbare (buitenlandse) beroepsorganisatie, die kennis en onafhankelijkheid van de auditor borgt. De tekst van de conclusie van het assurancerapport dient qua vorm en inhoud minimaal overeen te komen met het model in hoofdstuk 2. Het assurancerapport dient daarbij te zijn ondertekend en opgesteld in short form, waarbij slechts de basiselementen worden weergegeven. 12 januari

4 2 Assurancerapport van de onafhankelijke auditor Aan: <Importeur ABC> Reikwijdte Wij hebben opdracht gekregen om te rapporteren over de opzet en werking van interne beheersingsmaatregelen van <Importeur ABC > voor het waarborgen van de integriteit en vertrouwelijkheid van de CVO-gegevens die aan de RDW worden geleverd gedurende de verslagperiode van 1 januari <JJJJ> tot en met 31 december < JJJJ>. Verantwoordelijkheden <Importeur ABC> <Importeur ABC> is verantwoordelijk voor het opzetten, implementeren en effectief laten werken van interne beheersingsmaatregelen ter waarborging van de integriteit en vertrouwelijkheid van de CVO-gegevens die aan de RDW worden geleverd. Verantwoordelijkheden van de auditor van een importeur Onze verantwoordelijkheid is, op basis van onze werkzaamheden, het geven van een oordeel over de opzet en werking van interne beheersingsmaatregelen van <Importeur ABC> ter waarborging van de integriteit en vertrouwelijkheid van de CVO-gegevens die aan de RDW worden geleverd. Wij hebben onze werkzaamheden hierbij uitgevoerd in overeenstemming met de Richtlijn Assurance-opdrachten door IT-auditors (3000) van de NOREA. Dit vereist dat wij voldoen aan de voor ons geldende ethische voorschriften en onze werkzaamheden zodanig plannen en uitvoeren dat een redelijke mate van zekerheid wordt verkregen over de vraag of, in alle van materieel belang zijnde aspecten, de interne beheersingsmaatregelen op afdoende wijze zijn opgezet en effectief werken. De geselecteerde werkzaamheden zijn afhankelijk van de door de auditor van de importeur toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico s dat interne beheersingsmaatregelen niet op afdoende wijze zijn opgezet of effectief werken. Onze werkzaamheden bevatten het toetsen van de werking van die interne beheersingsmaatregelen die wij noodzakelijk achten bij het verschaffen van een redelijke mate van zekerheid dat de integriteit en vertrouwelijkheid van de CVO-gegevens die aan de RDW worden geleverd door <Importeur ABC> zijn gewaarborgd. Daarnaast is [geen] gebruik gemaakt van de bij de RDW op te vragen uitvallijst met CVO s gegevens die de RDW van de betreffende importeur heeft ontvangen en waarin de RDW onjuistheden heeft vastgesteld. Deze uitvallijst bevat onder andere CvO s waarvan de RDW heeft vastgesteld dat deze niet overeenkomen met de typegoedkeuring van het betreffende voertuig. Wij zijn van mening dat de door ons verkregen assurance-informatie voldoende en geschikt is om een onderbouwing voor ons oordeel te bieden. 12 januari

5 Beperkingen van interne beheersingsmaatregelen bij een importeur De beschrijving van <Importeur ABC> is opgezet om aan de behoeftes van de RDW en haar auditor te voldoen en kan daarom niet ieder aspect bevatten dat iedere individuele betrokken partij in diens eigen bijzondere omgeving belangrijk kan achten. Bovendien kunnen interne beheersingsmaatregelen bij een importeur, vanwege hun aard, niet alle fouten of omissies bij het verwerken of rapporteren van transacties voorkomen of ontdekken. Bovendien is de projectie van een eventuele evaluatie van de effectiviteit naar toekomstige verslagperiodes onderhevig aan het risico dat interne beheersingsmaatregelen bij de importeur inadequaat kunnen worden of falen. Oordeel Ons oordeel is gevormd op basis van de aangelegenheden die in deze rapportage zijn uiteengezet. Wij hebben hierbij gebruik gemaakt van de door de RDW gestelde vereisten ten aanzien van het stelsel van interne beheersingsmaatregelen. Naar ons oordeel, in alle van materieel belang zijnde aspecten: a) zijn de interne beheersingsmaatregelen gedurende de verslagperiode van 1 januari <JJJJ> tot en met 31 december <JJJJ> op afdoende wijze opgezet; b) werkten de getoetste interne beheersingsmaatregelen, die noodzakelijk waren om een redelijke mate van zekerheid te verschaffen dat de integriteit en vertrouwelijkheid van de gegevensverwerking met betrekking tot het kentekenregister van RDW door <Importeur ABC> zijn gewaarborgd gedurende de verslagperiode van 1 januari <JJJJ> tot en met 31 december <JJJJ> effectief. Normen Als uitgangpunt geldt dat de fabrikanten eindverantwoordelijk zijn en daarom een zorgplicht hebben om CVO gegevens juist en volledig bij de RDW aan te leveren. Dit ongeacht of het aanleveren van CVO gegevens via derden zoals importeurs verloopt. Daar waar importeurs namens fabrikanten CVO-gegevens bij de RDW aanleveren gelden onderstaande normen waar de interne beheersingsmaatregelen van die importeurs aan dienen te voldoen. 1. Indien <Importeur ABC> van fabrikanten CVO-gegevens op papier ontvangt en deze invoert in een systeem waarmee de CVO-gegevens digitaal bij de RDW worden aangeleverd, heeft de <Importeur ABC> - met uitzondering van het bepaalde in norm 3 - adequate controlemaatregelen geïmplementeerd die borgen dat bij de RDW aangeleverde digitale CVO s overeen komen met de papieren CVO s. 2. Indien <Importeur ABC> van een fabrikant naast de CVO-gegevens op papier dezelfde CVO-gegevens ook in digitale vorm ontvangt, heeft <Importeur ABC> - met uitzondering van het bepaalde in norm 3 - adequate maatregelen geïmplementeerd die waarborgen dat de in digitale vorm ontvangen CVO-gegevens ongewijzigd aan de RDW worden doorgegeven 1. 1 Hierbij mag worden aangenomen dat de fabrikant waarborgt dat de CVO-gegevens op papier overeenkomen met de digitaal aangeleverde CVO-gegevens. 12 januari

6 3. <Importeur ABC> zal de van een fabrikant ontvangen CVO-gegevens alleen wijzigingen met het doel te voldoen aan het bepaalde in het IVI-berichtenboek en <Importeur ABC> deze gewijzigde CVO-gegevens zoals die aan de RDW zijn/worden aangeleverd terugkoppelt aan betreffende fabrikant. 4. De in punt 3 genoemde terugkoppeling kan achterwege blijven indien de importeur maatregelen heeft geïmplementeerd die borgen dat de importeur uitsluitend met de fabrikant schriftelijk overeengekomen wijzigingen in de van de fabrikant ontvangen CVO s worden doorgevoerd. Bij het geautomatiseerd wijzigen van CVO s betreft dit bijvoorbeeld een change managementproces (inclusief testen) en bij handmatig aangebrachte wijzigingen bijvoorbeeld uitgevoerde interne controles. 5. <Importeur ABC> heeft adequate maatregelen geïmplementeerd waarmee de digitale CVO s zijn beschermd tegen ongeautoriseerde wijzigingen (integriteit) en kennisname (vertrouwelijkheid). 6. Indien <Importeur ABC> via een door de RDW aangewezen applicatieprovider de CVO s aanlevert, heeft <Importeur ABC> via afspraken en controles geborgd dat: a. voldaan wordt aan de hiervoor genoemde normen en b. dat de betreffende provider de identiteit van <Importeur ABC> in het bericht met CVO gegevens opneemt en doorgeeft aan de RDW. Beoogde gebruikers en doel Deze rapportage is alleen bedoeld voor de RDW en haar auditor die voldoende inzicht hebben om het in aanmerking te nemen bij het inschatten van de risico s op afwijkingen van materieel belang, tezamen met overige informatie met inbegrip van informatie over interne beheersingsmaatregelen die door de RDW zelf worden uitgevoerd. Plaats en datum, [Naam verantwoordelijke organisatie] [Naam en handtekening Register EDP-auditor] 12 januari

Vergelijkbare documenten

Gemeente Veenendaal. ICT-beveiligingsassessment. Suwinet Inkijk Ten behoeve van gemeenten Rhenen en Renswoude. Audit Services

Gemeente Veenendaal. ICT-beveiligingsassessment. Suwinet Inkijk Ten behoeve van gemeenten Rhenen en Renswoude. Audit Services Gemeente Veenendaal ICT-beveiligingsassessment Suwinet Inkijk Ten behoeve van gemeenten Rhenen en Renswoude Datum rapport: 6 april 2018 Rapportnummer: AAS2018-254 Dit rapport heeft 13 pagina s Inhoudsopgave