Beoordeling van een service auditor's rapport in het kader ... - Vurore

More documents

Recommendations

Info

. Voorwoord Toen we ruim vier jaar geleden begonnen aan de post-doctorale IT-audit opleiding hadden we niet verwacht in 2011 nog bezig te zijn met onze scriptie. Het theoretische deel was niet het probleem; dat hebben we nominaal kunnen afronden. Het afronden van de scriptie is een ander verhaal gebleken. Deels werd dit veroorzaakt door de niet geringe werkdruk die een Big Four organisatie kent. We gebruiken het woord deels hier bewust; andere studenten is het immers toch gelukt om nominaal af te studeren terwijl ze werkzaam zijn bij een Big Four organisatie. Echter wij liepen anderhalf jaar lang steeds in dezelfde val: “ja” zeggen tegen een nieuwe klus of vraag die bij ons terecht kwam. Inmiddels hebben we geleerd dat dit wellicht goed is geweest voor onze carrière, maar niet voor onze studievoortgang. Toen we een paar maanden geleden dan eindelijk met elkaar afspraken om onze scriptie te gaan afronden, zijn we ook echt aan de slag gegaan. Bijna vanzelfsprekend ( in ons geval dan) haalden we onze interne deadlines lang niet altijd, maar we hebben wel geleerd echt tijd te maken voor de scriptie. Hier en daar een uurtje bleek niet te werken, in onze ervaring moet je echt structureel tijd maken om er serieus mee aan de slag te kunnen gaan. Mede ook dankzij de begeleiding en flexibiliteit van Dr. Abbas Shahim RE ligt het resultaat van dit alles nu voor u. ii
Management samenvatting Aanleiding en onderzoeksvraag Al jaren neemt het uitbesteden van bedrijfsprocessen die niet tot de kerncompetentie van een organisatie horen toe. Bij zowel de organisaties die de diensten uitbesteden (gebruikers organisatie) als bij de auditors van deze organisaties (gebruikers auditor) ontstaat daarmee de behoefte om zekerheid te verkrijgen over de beheersing van deze uitbestede processen, aangezien de uitbestede processen vaak van materieel belang zijn voor de jaarrekening van de gebruikers organisatie. Een service auditor’s rapport is een middel om deze zekerheid te verkrijgen. Er bestaan verschillende typen service auditor’s rapporten, waarvan de bekendste de Amerikaanse SAS70 standaard is. Inmiddels is buiten de Verenigde Staten de SAS70 standaard vervangen door de internationale standaard ISAE 3402. In de praktijk merken wij dat de beoordeling van een service auditor’s rapport in het kader van de jaarrekening controle vaak divers wordt aangepakt door de gebruikersauditor. Met deze scriptie geven wij een antwoord op de vraag hoe een service auditor’s rapport dient te worden beoordeeld in het kader van een jaarrekening controle. Mede omdat een service auditor’s rapport vrijwel altijd een grote hoeveelheid IT beheersmaatregelen bevat, en aangezien IT auditors vaak betrokken zijn bij service auditor rapport trajecten, besteden wij expliciete aandacht aan de rol van de IT auditor bij de beoordeling. Onderzoeksaanpak Naar aanleiding van het probleem hebben wij een plan opgesteld hoe een theoretisch en praktijkgericht antwoord te krijgen op de bovenstaande vraagstelling. Aan de hand van een literatuurstudie hebben wij ons verdiept in de standaarden van service auditor’s rapportages en de richtlijnen die aanwezig zijn voor accountants in het kader van de jaarrekeningcontrole. Het praktijk onderzoek is in enquêtevorm uitgevoerd. Omdat er een zekere mate van vaktechnische kennis omtrent dit onderwerp nodig is, hebben wij deze enquête verspreid onder een geselecteerd aantal audit professionals. Deze selecte groep Register Accountants (RA’s) en Register EDP-auditors (RE’s) zijn allen regelmatig betrokken bij het beoordelen van een service auditor’s rapport in het kader van een jaarrekeningcontrole. Vervolgens zijn de resultaten van de enquête geanalyseerd aan de hand van de in hoofdstuk 3 geïdentificeerde standaard NV COS 402 en onze eigen ervaring. Hierbij behandelen wij ook de verschillen tussen de aanpak van de RA’s en RE’s. Uiteindelijk hebben wij concrete aanbevelingen opgesteld om de beoordeling van een service auditor’s rapport te verbeteren. Resultaten Uit onze theoretische inventarisatie blijkt dat op dit moment de internationale ISAE 3402 standaard de meest relevante standaard is in de Nederlandse praktijk. Daarnaast is uit ons onderzoek gebleken dat er met de NV COS 402 duidelijke richtlijnen beschikbaar zijn voor de gebruikers auditor ten aanzien van het beoordelen van een service auditor’s rapport. Deze richtlijn is in lijn gebracht met de ISAE 3402 standaard. Ten aanzien van de rol van de IT auditor blijkt echter dat er geen duidelijke richtlijnen zijn; het wordt feitelijk aan het professional judgment van de gebruikersauditor overgelaten om te bepalen of een IT auditor dient te worden ingeschakeld. Uit ons praktijkonderzoek is naar voren gekomen dat de beoordeling van een service auditor’s rapport in grote lijnen conform de NV COS 402 standaard wordt uitgevoerd, maar dat de standaard lang niet bij iedereen bekend is. Wel constateren we dat de beoordeling door de audit professionals met verschillende diepgang wordt uitgevoerd, en dat er daarmee wel een aantal verbeteringen kunnen worden doorgevoerd ten aanzien van de wijze van beoordelen. Ten aanzien van bovenstaande valt bijvoorbeeld op dat de IT auditors meer aandacht hebben voor vaktechnische aspecten rondom de gebruikte standaard. Daarnaast constateren we dat de aandacht voor sub-service organisaties en user control considerations vrij beperkt is. Een ander opvallend punt is dat er slechts summier aandacht wordt besteed aan het vaststellen van de deskundigheid van de service auditor. De rol die de IT auditor heeft bij het beoordelen van een service auditor rapport is in de meeste gevallen conform onze verwachtingen. De IT auditor wordt vaak geraadpleegd voor het iii
Page 1: Beoordeling van een service auditor
Page 6 and 7: Inhoudsopgave 1. Inleiding 1 1.1 In
Page 8: 2. Welke richtlijnen zijn er beschi
Page 11 and 12: 2. Het Service Auditor’s Rapport
Page 13 and 14: onderzoek van Deloitte voor het Mon
Page 15 and 16: organisatie zelf procedures hanteer
Page 17 and 18: Het advies van Gaskin is door de Au
Page 19 and 20: 3 Richtlijnen voor het beoordelen v
Page 21 and 22: • Wanneer de accountant van de ge
Page 23 and 24: Naar onze mening is dit een gemiste
Page 25 and 26: 4.3.1 Resultaten met betrekking tot
Page 27 and 28: evindingen op beheersmaatregel nive
Page 29 and 30: Uit de inventarisatie blijkt dat vr
Page 31 and 32: In dit hoofdstuk hebben wij een ond
Page 33 and 34: eoordelen aspecten waarmee de diepg
Page 35 and 36: Vervolgens moeten wij opmerken dat
Page 37: [NIVRA11.03] Koninklijk Nederlands

Beoordeling van een service auditor's rapport in het kader ... - Vurore

Create successful ePaper yourself

Delete template?

Save as template?