Jaarverslag 2010 - Dexia.com

Auditwerkzaamheden
De werkzaamheden van de interne audit berusten op beproefde
methodes die geïnspireerd zijn op internationale good practices
inzake audit. Zowel de geplande auditopdrachten als de risicoanalyse
in alle entiteiten van Dexia berusten op gemeenschappelijke
methodes. Die worden geregeld aangepast om zowel de
evolutie van de normen als de feedback van de ervaring op het
terrein en de evolutie van de structuren te weerspiegelen.
Zo werd in 2010 de methodologie voor de risico’s en voor de uitwerking
van het auditplan, dat in 2009 herzien was, verbeterd
en vereenvoudigd (vooral voor de dochterondernemingen), en
werden de voornaamste fasen ook geïnformatiseerd.
De methodologie bepaalt in de eerste plaats de doelstellingen
van de metiers en de ondersteunende processen, en kwantificeert
daarna de impact van de grote risico’s die nadelig zouden
kunnen zijn voor de verwezenlijking van die doelstellingen.
Vervolgens worden de auditopdrachten toegespitst op de meest
kritieke onderwerpen gemeten naar de impact ervan en naar de
kans dat ze zich voordoen. De gebruikte methodes structureren
de auditactiviteit ter ondersteuning van de corporate governance
gemeten naar de risicocontrole.
De globale aanpak van het risico-universum, de gemeenschappelijke
auditmethodologie, het uitvoeren van “transversale”
opdrachten indien nodig, zoniet van lokale en gemeenschappelijke
opdrachten afhankelijk van de behoeften, en de modaliteiten
op het gebied van de verslagen en de follow-up op het
niveau van de overkoepelende groepsstructuur, helpen nagaan
of Dexia over een geïntegreerd en efficiënt internecontrolesysteem
beschikt en om eventueel om verbeteringen te vragen.
1. Processen inzake risicoanalyse en planning van de auditopdrachten
en de werkmiddelen
De interne audit van Dexia NV oefent zijn functie uit op basis
van één enkel gemeenschappelijk auditplan voor de Groep
dat wordt uitgewerkt door het IAEC en goedgekeurd door het
directiecomité en vervolgens door het auditcomité en/of de raad
van bestuur.
Dat plan wordt uitgewerkt op basis van een jaarlijkse risicoanalyse
die onafhankelijk wordt gevoerd door de audit, conform de
best practices van het Instituut voor Interne Auditors. De voornaamste
fasen die de audit ertoe brengen om zijn auditplan uit
te werken, zijn:
• de identificatie van de potentiële kritieke risico’s die strijdig
zouden zijn met het verwezenlijken van de doelstellingen per
metier en de ondersteunende processen;
• de evaluatie van de kwetsbaarheid van Dexia NV t.a.v. die
kritieke risico’s, via een meting van de impact en van de kans dat
dit zich voordoet. Aan de hand van de resultaten van die evaluatie
kunnen de grootste risico’s worden geïdentificeerd;
• de identificatie van de auditunits van het audituniversum die
aan de oorsprong liggen van de risico’s of die er moeten op
anticiperen, wat leidt tot een risicoscore per auditentiteit, een
score waarvan een door de audit herziene frequentie wordt
afgetrokken;
• de inventarisatie van de opdrachten die in het verleden werden
uitgevoerd (voorbije drie jaar) op de auditentiteiten (back
testing);
• de selectie van de opdrachten in de risicovolle auditunits, rekening
houdend met de opdrachten die in het verleden werden
uitgevoerd en de eventuele reglementaire vereisten op het vlak
van de frequentie.
Vanuit een streven naar efficiëntie spitst het auditplan zich toe
op de auditunits die het grootste risico vertonen, namelijk die
units die via alle metiers en alle ondersteunende processen het
grootste aantal risico’s en/of sleutelcontroles inhouden voor de
verwezenlijking van de doelstellingen. De auditunits die geen
grote risico’s inhouden, worden op een vereenvoudigde manier
benaderd, waarbij wordt tegemoetgekomen aan de reglementaire
vereisten van het audituniversum.
Dankzij dat meerjarenplan kunnen de eventuele personeelsbehoeften
vanuit een kwantitatief en een kwalitatief oogpunt
en ook de opleidingsbehoeften worden bepaald.
Het auditplan maakt het onderscheid tussen diverse soorten
auditopdrachten:
• transversale opdrachten, die plaatsvinden in eenzelfde domein
in diverse entiteiten tegelijkertijd en voornamelijk betrekking hebben
op een van de processen met een relatief hoge integratie-
graad;
• gezamenlijke opdrachten, die worden uitgevoerd binnen een
entiteit door lokale auditteams (als die bestaan), met de medewerking
van een of meer auditors van een shared service center;
• lokale opdrachten, die maar op één entiteit betrekking
hebben.
2. Methode voor het uitvoeren van auditopdrachten
De methode voor het uitvoeren van auditopdrachten is dezelfde
in alle entiteiten van de groep Dexia. De diverse fasen van het
proces worden toegelicht in een procedure die de diverse fasen
beschrijft die moeten worden doorlopen om een interne-auditopdracht
uit te voeren (voorbereiding, uitvoering, auditverslag,
follow-up van de aanbevelingen ...), alsook het formaat van de
voor elke fase verwachte documenten. De procedure omschrijft
eveneens de rollen en verantwoordelijkheden en de modaliteiten
voor het controleren, goedkeuren en archiveren van de
documenten.
De auditmethodologie van Dexia omvat vier hoofdfasen:
• de voorbereidende fase: na een kennismaking met de geauditeerde
activiteitssector, waarbij het de bedoeling is alle beschikbare
informatie te vergaren en te analyseren die nuttig kan
blijken voor een goed begrip van de activiteiten, bereidt het
auditteam een werkprogramma voor met onder meer de processen,
de risico’s, de verwachte controles tot dekking van de
geïdentificeerde risico’s en de tests die moeten worden uitgevoerd
om een oordeel te kunnen vellen over het tot stand
brengen en de efficiëntie van de bestaande controles voor het
dekken van de geïdentificeerde risico’s. Aan de hand van een
opdrachtbrief kunnen de betrokken personen, alsook de leden
van de directiecomités van de betrokken entiteiten worden ingelicht
over de perimeter, de doelstellingen, en het programma van
de opdracht;
• de uitvoeringsfase: elke opdracht moet worden uitgevoerd op
basis van werkdocumenten die werden opgesteld volgens een
welbepaald schema en worden georganiseerd in de vorm van
auditdossiers. Ze zijn een duidelijke weergave van de uitgevoerde
werkzaamheden en de gebruikte technieken en werkmethodes
om te komen tot een onderbouwde oplossing. Het standpunt
van de audit over het vermogen van de uit te voeren controles
om te zorgen voor een afdoende dekking van de geïdentificeerde
risico's, wordt naar voren gebracht. Er vindt een causale
analyse plaats van de zwakke punten die aan het licht zijn gekomen,
en het residuele risico wordt beoordeeld;
• de fase van de conclusie: over elke opdracht wordt een schriftelijk
verslag uitgewerkt, dat tegensprekelijk wordt opgesteld
en bestemd is voor de geauditeerde personen en de directie.
Het verslag omvat een evaluatie van de afstemming van het
internecontrolesysteem voor het dekken van de risico’s (positieve
en negatieve punten), maar ook de aanbevelingen voor de
maatregelen waarmee het risiconiveau kan worden verbeterd.
Verklaring inzake corporate governance
Jaarverslag 2010 Dexia 53
Beheersverslag
Geconsolideerde
jaarrekening
Aanvullende inlichtingen Jaarrekening