INTERNATIONALE CONTROLESTANDAARD 402 IN OVERWEGING TE NEMEN FACTOREN BIJ DE CONTROLE VAN ENTITEITEN DIE GEBRUIKMAKEN VAN SERVICE-ORGANISATIES INHOUDSOPGAVE Paragrafen Inleiding... 1-3 Door de auditor in overweging te nemen factoren... 4-10 Rapporten uitgebracht door de auditor van de service-organisatie... 11-18 Internationale Controlestandaard (International Standaard on Auditing, ISA) 402 In overweging te nemen factoren bij de controle van entiteiten die gebruikmaken van serviceorganisaties dient te worden gelezen in de context van het Voorwoord tot de internationale standaarden voor kwaliteitsbeheersing, controle-, assurance-opdrachten en verwante diensten waarin het toepassen en de autoriteit van de ISA s worden bepaald. 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 1/8
Inleiding 1. Deze Internationale Controlestandaard (International Standard on Auditing, ISA) heeft ten doel grondbeginselen en essentiële werkzaamheden vast te stellen en aanwijzingen te geven aan de auditor in het geval de entiteit gebruikmaakt van een service-organisatie. In deze ISA zijn ook de soorten rapporten uitgebracht door de auditor van de service-organisatie beschreven, die de auditors van de entiteit in dit kader kunnen verkrijgen. 2. De auditor dient te beoordelen welke invloed het gebruikmaken van een serviceorganisatie door de entiteit heeft op de interne beheersing van de entiteit, om het risico van een afwijking van materieel belang te kunnen onderkennen en te kunnen inschatten en om verdere controlewerkzaamheden te kunnen opzetten en te kunnen uitvoeren. 3. Een opdrachtgever kan gebruikmaken van een service-organisatie die transacties uitvoert en de daarmee verbonden verantwoordelijkheid draagt of die transacties verwerkt en daaruit voortvloeiende gegevens behandelt (bijvoorbeeld een computerservicebureau). Indien de entiteit gebruikmaakt van de diensten van een service-organisatie, kunnen bepaalde voorschriften, procedures en vastleggingen bij de service-organisatie van belang zijn voor de controle van de financiële overzichten van de opdrachtgever. Door de auditor in overweging te nemen factoren 4. Het is mogelijk dat een service-organisatie beleidslijnen en -procedures bepaalt en uitvoert die van invloed zijn op de interne beheersing van de entiteit. Deze beleidslijnen en -procedures staan in fysiek en operationeel opzicht los van de entiteit. Indien de diensten van de service-organisatie beperkt zijn tot het vastleggen en verwerken van de transacties en de entiteit de autorisatie daartoe en de verantwoordelijkheid daarvoor blijft behouden, is het mogelijk dat de entiteit binnen haar eigen organisatie effectieve maatregelen treft. Als de service-organisatie de transacties van de entiteit uitvoert en daarvoor de verantwoordelijkheid draagt, kan de entiteit het noodzakelijk achten te steunen op de beleidslijnen en -procedures van de service-organisatie. 5. In het kader van het verkrijgen van kennis van de entiteit en haar omgeving dient de auditor de betekenis voor de entiteit van de activiteiten van de service-organisatie en de 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 2/8
relevantie daarvan voor de controle te bepalen. Daarbij verkrijgt de auditor inzicht in, voor zover van toepassing, de navolgende factoren: - De aard van de diensten die door de service-organisatie worden verricht. - De contractvoorwaarden en de relatie tussen de entiteit en de service-organisatie. - De omvang van de interactie tussen de interne beheersing van de entiteit en de systemen van de service-organisatie. - De interne beheersingsmaatregelen van de entiteit met betrekking tot de door de service-organisatie geleverde prestaties, zoals: o Die welke worden toegepast voor de door de service-organisatie verwerkte transactie. o Die waarmee de entiteit risico's met betrekking tot het gebruikmaken van de service-organisatie onderkent en beheerst. - Het competentievermogen en het financiële draagvlak van de service-organisatie, waaronder de mogelijke gevolgen voor de entiteit indien de service-organisatie in gebreke blijft. - Informatie over de service-organisatie zoals de informatie die in handleidingen voor gebruikers en in technische handboeken is weergegeven. - Beschikbare informatie inzake de beheersingsmaatregelen die van belang zijn voor de informatiesystemen van de service-organisatie zoals general controls en application controls ingebouwd in geïnformatiseerde informatiesystemen. 6. De auditor stelt vast of er rapporten voor derden beschikbaar zijn, uitgebracht door de auditors van de service-organisatie, door interne auditors of toezichthouders, die bruikbaar zijn voor het verkrijgen van informatie over de interne beheersing van de service-organisatie alsmede over de werking en de effectiviteit daarvan. Als de auditor voornemens is gebruik te 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 3/8
maken van de interne auditwerkzaamheden kan hij ISA 610 Het in aanmerking nemen van de interne auditwerkzaamheden raadplegen, waarin aanwijzingen worden gegeven voor het evalueren van het adequaat zijn van de interne auditwerkzaamheden in het kader van de controle. 6a. Door de verkregen kennis kan de auditor tot de conclusie komen dat de inschatting van het intern beheersingsrisico van een afwijking van materieel belang niet zal worden beïnvloed door de interne beheersingsmaatregelen van de service-organisatie. Indien dit het geval is, behoeft deze ISA niet verder in acht te worden genomen. 7. Indien de auditor tot de conclusie komt dat de door de service-organisatie geleverde prestaties belangrijk zijn voor de entiteit en relevant voor de controle, dient de auditor voldoende kennis te verkrijgen van de entiteit en haar omgeving, alsmede van haar interne beheersing, om het risico van een afwijking van materieel belang te kunnen onderkennen en te kunnen inschatten en om verdere controlewerkzaamheden te kunnen opzetten gericht op het ingeschatte risico. De auditor schat het risico van een afwijking van materieel belang in op het niveau van de financiële overzichten en op beweringniveau voor transactiestromen, rekeningsaldi en in de financiële overzichten opgenomen toelichtingen. 8. Indien de verkregen kennis niet voldoende is, overweegt de auditor om de serviceorganisatie haar auditor te laten verzoeken werkzaamheden met betrekking tot risicoinschatting te verrichten zodanig dat in de benodigde informatie wordt voorzien, dan wel om aan de service-organisatie een bezoek te brengen om deze informatie te verkrijgen. Als de auditor het gewenst acht aan de service-organisatie een bezoek te brengen kan hij de opdrachtgever vragen om de service-organisatie te verzoeken de auditor de toegang tot de benodigde informatie te verschaffen. 9. De auditor kan onder omstandigheden door het lezen van het rapport van de auditor van de service-organisatie voldoende kennis verkrijgen van de interne beheersing van laatstgenoemde. Ter aanvulling daarop is het mogelijk dat de auditor bij het inschatten van het risico van een afwijking van materieel belang inzake beweringen die worden beïnvloed door de beheersingsmaatregelen aanwezig in de systemen van de service-organisatie, tevens gebruik maakt van het rapport van de auditor van de service-organisatie. Indien de auditor gebruik maakt van het rapport van de auditor van de service-organisatie, dient hij te 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 4/8
overwegen om te informeren naar de vakbekwaamheid van die auditor, in relatie tot de specifieke opdracht die hij in opdracht van de service-organisatie heeft uitgevoerd. 10. De auditor verkrijgt controle-informatie over de effectiviteit van de werking van de interne beheersingsmaatregelen in het geval dat onder zijn risico-inschatting mede de verwachting omtrent de effectiviteit van de werking van de interne beheersingsmaatregelen van de service-organisatie wordt begrepen, of als gegevensgerichte controles geen voldoende en geschikte controle-informatie op beweringniveau opleveren. De auditor kan ook besluiten dat het efficiënt is om controle-informatie te verkrijgen door middel van systeemgerichte controles. Controle-informatie over de effectieve werking van de interne beheersingsmaatregelen kan worden verkregen door: - Het toetsen van de werking van de interne beheersingsmaatregelen van de entiteit betreffende de diensten die door de service-organisatie worden verleend. - Het verkrijgen van een rapport van de auditor van de service-organisatie waarin een oordeel tot uitdrukking is gebracht omtrent de effectieve werking van de interne beheersing van de service-organisatie met betrekking tot die activiteiten van de service-organisatie die voor de controle relevant zijn. - Het bezoeken van de service-organisatie en het uitvoeren van systeemgerichte werkzaamheden. Rapporten van de auditor van de service-organisatie 11. Als de auditor gebruik wil maken van een rapport van de auditor van de serviceorganisatie, dient hij de aard en de inhoud van dat rapport te onderzoeken. 12. In het algemeen zijn de twee verschijningsvormen van het rapport van de auditor van de service-organisatie: A - Rapport inzake de opzet en implementatie van de interne beheersing 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 5/8
(a) een beschrijving van de interne beheersing die in het algemeen door de leiding van de service-organisatie is opgesteld; en (b) een oordeel van de auditor van de service-organisatie over de vraag of: (i) de bovengenoemde beschrijving absoluut juist is; (ii) de interne beheersing op passende wijze is opgezet om de door de leiding geformuleerde doelstellingen te bereiken; en (iii) de intere beheersingsmaatregelen zijn ingevoerd. B - Rapport inzake de toereikendheid van de opzet en de effectiviteit van de werking (a) een beschrijving van de interne beheersing die in het algemeen door de leiding van de service-organisatie is opgesteld; en (b) een oordeel van de auditor van de service-organisatie over de vraag of: (i) de bovengenoemde beschrijving absoluut juist is; (ii) de interne beheersing op passende wijze is opgezet om de door de leiding geformuleerde doelstellingen te bereiken; (iii) de interne beheersingsmaatregelen zijn geïmplementeerd; en (iv) de interne beheersingsmaatregelen op een effectieve wijze werken hetgeen vastgesteld is door het uitvoeren van systeemgerichte controles. Als aanvulling op het oordeel over de effectieve werking geeft de auditor van de service-organisatie een specificatie van de uitgevoerde systeemgerichte controles en van de resultaten daarvan. Het rapport van de auditor van de service-organisatie bevat in het algemeen restricties ten aanzien van het gebruikmaken daarvan (dit is in het algemeen beperkt tot de leiding, de service-organisatie en haar cliënten en de auditors van de entiteit). 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 6/8
13. De auditor dient de reikwijdte van de door de auditor van de service-organisatie verrichte werkzaamheden en de bruikbaarheid en de geschiktheid van het door de auditor van de service-organisatie verstrekte rapport te evalueren. 14. Hoewel rapporten van het soort A voor de auditor nuttig zijn voor het verkrijgen van kennis van de interne beheersing, is het niet mogelijk dat de auditor dergelijke rapporten gebruikt als controle-informatie met betrekking tot de effectiviteit van de werking van de interne beheersingsmaatregelen. 15. Daarentegen kunnen rapporten van het soort B wel dergelijke controle-informatie verschaffen omdat systeemgerichte werkzaamheden zijn uitgevoerd. Als een rapport van het soort B als controle-informatie met betrekking tot de effectiviteit van de werking van interne beheersingsmaatregelen wordt gebruikt, bepaalt de auditor of de interne beheersingsmaatregelen die door de auditor van de service-organisatie zijn getest, relevant zijn voor de transacties, rekeningsaldi en in de financiële overzichten opgenomen toelichtingen en daarmee verband houdende beweringen, alsook of de door de auditor van de service-organisatie uitgevoerde systeemgerichte werkzaamheden en de resultaten daarvan adequaat zijn. Met betrekking tot de laatstgenoemde aspecten moet worden rekening gehouden met twee essentiële factoren namelijk de lengte van de periode die met de toetsing door de auditor van de service-organisatie is afgedekt en de tijd die is verlopen sinds de uitvoering van deze toetsing. 16. De auditor dient ten aanzien van de relevante systeemgerichte werkzaamheden en resultaten daarvan te bepalen of de aard, tijdsfasering en omvang van dergelijke toetsen voldoende en geschikte controle-informatie verschaffen over de effectieve werking van de interne beheersing ter onderbouwing van de inschatting door de auditor van het risico van een afwijking van materieel belang. 17. De auditor van de service-organisatie kan worden gevraagd om gegevensgerichte werkzaamheden uit te voeren ten behoeve van de auditor van de entiteit. Dergelijke opdrachten kunnen betrekking hebben op de uitvoering van overeengekomen specifieke werkzaamheden tussen de entiteit en de auditor en tussen de service-organisatie en haar auditor. 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 7/8
18. Als de auditor gebruik maakt van een rapport van de auditor van de serviceorganisatie, dient hij daarvan geen melding in zijn controleverklaring te maken. 402 NIVRA-IBR/HV-DSCH-RK/acs-fb/Versie 29 juni 2006 8/8