Beoordeling van een service auditor's rapport in het kader ... - Vurore

In de praktijk verwachten wij overigens, mede op basis van feedback van onze klanten, dat
service organisaties de introductie van de ISAE 3402 standaard zullen gebruiken om de reikwijdte
van hun huidige SAS70 rapportage te beperken tot processen die daadwerkelijk impact hebben
op de financiële verslaggeving, ook al was het formeel onder de SAS70 standaard ook niet
geoorloofd om andersoortige processen op te nemen.
Richtlijnen ten aanzien van reikwijdte en diepgang
Een ander punt ten aanzien van de reikwijdte van de ISAE 3402 standaard is dat de standaard zelf
geen richtlijnen (guidance) bevat ten aanzien van de welke processen dan impact hebben op de
financiële verslaggeving, of met welke diepgang deze processen dienen te worden meegenomen
in het interne beheersingsraamwerk van de service organisatie. Het is daarmee feitelijk aan de
service organisatie, al dan niet in overleg met de service auditor, gebruikers organisatie en
wellicht ook de gebruikers auditor, om te bepalen welke processen in scope zouden moeten zijn
en met welke diepgang de beheersmaatregelen worden gedefinieerd. Voor de gebruikers auditor
blijft het daarmee van uitermate groot belang om de reikwijdte en diepgang van een service
auditor’s rapport te beoordelen, en niet aan te nemen dat de reikwijdte voldoende is.
Typen rapporten
In de ISAE3402 standaard en feitelijk conform de SAS70 standaard, zijn er twee typen rapporten
te onderscheiden, namelijk:
• Type I rapport – in dit rapport geeft de service auditor in haar mededeling een redelijke
mate van zekerheid over de opzet en het bestaan van de interne beheersing van de service
organisatie op een bepaalde datum. De mededeling die de service auditor afgeeft omvat
dat de beschrijving van het ‘systeem’ van de service organisatie een getrouw beeld geeft en
dat de interne interne beheersingsmaatregelen die betrekking hebben op de interne
beheersingsdoelstellingen die in de beschrijving van de serviceorganisatie van haar systeem
vermeld staat, op de gespecificeerde datum op afdoende wijze zijn opgezet [IFAC09.01].
• Type II rapport – In dit rapport geeft de service auditor in haar mededeling naast de opzet
en bestaan ook een redelijke mate van zekerheid over dat de interne beheersmaatregelen
2) Zie http://www.ifac.org voor meer informatie
hebben gewerkt over een bepaalde periode. [IFAC09.01]
In de praktijk wordt het type I rapport gebruikt als ‘opstap’ naar een type II rapport. Een type I
rapport is in het kader van de jaarrekeningcontrole van weinig waarde aangezien de
gebruikersauditor zich alleen een beeld kan vormen van de interne beheersing bij de service
organisatie, maar niet over de werking van deze interne beheersing. Het zal dan vaak nodig zijn
om zelf werkzaamheden uit te voeren om de effectieve werking van geïmplementeerde
beheersmaatregelen vast te stellen.
Management verklaring
Onder de SAS 70 standaard gaf de service auditor in haar mededeling een opinie af over de opzet,
het bestaan en, indien het een Type II rapport betrof, de werking van de interne
beheersmaatregelen van de service organisatie. Bij de ISAE 3402 standaard is, naast deze opinie
die afgegeven wordt door de service auditor, ook het management van de service organisatie
verplicht een getekende verklaring af te geven. Middels deze verklaring dient de service
organisatie te verklaren dat, in alle van materieel belang zijnde opzichten, en op basis van
geschikte criteria:
a. de beschrijving het systeem van de serviceorganisatie getrouw weergeeft zoals dit is
opgezet en geïmplementeerd op de gespecificeerde datum;
b. de interne beheersingsmaatregelen die verband houden met interne
beheersingsdoelstellingen zoals die in de beschrijving van de serviceorganisatie van haar systeem
op de gespecificeerde datum staan vermeld, op afdoende wijze zijn opgezet;
c. de interne beheersingsmaatregelen die verband houden met de interne
beheersingsdoelstellingen zoals die in de beschrijving van de serviceorganisatie van haar systeem
staan vermeld, gedurende de gespecificeerde verslagperiode effectief werkten (NB: alleen van
toepassing bij een type II rapport.) [IFAC09.01]
Uit de toelichting in de ISAE 3402 standaard wordt aangegeven: “Het feit dat de accountant van
de serviceorganisatie over de werking van interne beheersingsmaatregelen zal rapporteren, is
geen vervanging voor de processen van de serviceorganisatie zelf om een redelijke basis voor
haar bewering te verschaffen.” Dit betekent dat de ISAE 3402 standaard vereist dat de service
8