Beoordeling van een service auditor's rapport in het kader ... - Vurore

Ad c) Datum of periode passend voor de doeleinden
9 van de 10 respondenten gaven aan te bepalen of de testperiode en het type van het service
auditor’s rapport (type I of type II) aansluiten met de behoefte vanuit de jaarrekeningcontrole.
Ad d) Geschiktheid en volledigheid van de verschafte informatie door het rapport
Bij deze categorie betrekken wij uit de theorie het beoordelen van de reikwijdte van het rapport
en of de interne controle maatregelen van de service organisatie betrekking hebben op de
jaarrekeningcontrole van de gebruikersorganisatie en het beoordelen van de resultaten van de
uitgevoerde testwerkzaamheden door de service auditor.
Alle respondenten behandelen de scope van een service auditor’s rapport. Wel bestaan er grote
verschillen in de mate waarin de scope door de respondent wordt behandeld. Vrijwel iedereen
begint met het bepalen van de scope van uitbestede diensten, vervolgens wordt gekeken of de
beschrijving van de scope van het service auditor’s rapport wel aansluit met deze ‘benodigde’
scope. Wel geven meerdere respondenten aan dat een en ander wel afhangt van de complexiteit
en materialiteit van de uitbestede diensten. Naarmate de uitbestede dienst meer materieel of
complex is wordt er meer aandacht besteed aan de scope van het service auditor’s rapport. Zo
werd meerdere malen het voorbeeld van salarisverwerking genoemd. Daarvan gaven sommigen
aan dat men nauwelijks aandacht besteed aan zo’n service auditor’s rapport, vanwege het feit
dat dat een gestandaardiseerde scope zou zijn. Sommigen gaven aan dat het soms lastig kan zijn
om te bepalen of de scope van een service auditor’s rapport toereikend is aangezien de
beschrijving van de scope (meestal van de hand van de service organisatie) niet altijd even
duidelijk geformuleerd is.
Als de beschrijving van de scope is beoordeeld, geven ruim de helft van de respondenten aan dat
men dan kijkt of de scope van de getoetste beheersmaatregelen ook de beschrijving van de scope
afdekt. Men begint dan eerst met het bepalen of de beheersdoelstellingen de risico’s in de scope
afdekken, soms ook door andere service auditor’s rapport’s van vergelijkbare service organisaties
te benchmarken. Daarna wordt dan ook nog bepaald of de beheersmaatregelen de
beheersdoelstellingen in voldoende mate afdekken. Opvallend is dat de RE in het algemeen
verder de diepte ingaat dan de RA. Door een aantal respondenten (met name RE’s) wordt ook
specifiek aangegeven dat bepaald wordt of de scope van de ITGC voldoende is. Er wordt
aangegeven dat dit ook vaak aan de hand van benchmarking met de ‘eigen’ ITGC scope gebeurt.
Eén van de respondenten gaf aan voorafgaand aan de jaarrekeningcontrole en via de user
organisatie afspraken te (willen) maken met de service auditor met betrekking tot de scope van
een service auditor’s rapport. Alhoewel dit punt geen onderdeel is van het beoordelen van een
service auditor’s rapport, en de service organisatie de scope bepaalt, komen wij nog wel op dit
punt terug in hoofdstuk 5.
Ad e) Implementatie van aanvullende interne beheersingsmaatregelen van de gebruikende
entiteit die door de serviceorganisatie zijn onderkend
3 van de 10 respondenten gaf aan dat men vaststelt dat de aanvullende interne
beheersingsmaatregelen van de gebruikende entiteit die door de serviceorganisatie zijn
onderkend ook daadwerkelijk geïmplementeerd zijn bij de gebruikersorganisatie.
Het gebruiken van een type 2 rapport als controle-informatie dat de interne
beheersingsmaatregelen bij de serviceorganisatie effectief werken:
f. De resultaten van de uitgevoerde toetsingen en de relevantie tot de financiële overzichten
van de gebruikende entiteit
Ad f) De resultaten van de uitgevoerde toetsingen en de relevantie tot de financiële overzichten
van de gebruikende entiteit
Alle respondenten geven aan te bepalen welke impact eventuele bevindingen hebben op zijn of
haar controle aanpak in het kader van de jaarrekening controle. De meeste respondenten geven
daarbij aan dat er aandacht wordt besteed aan de bevindingen op beheersdoelstelling niveau (bij
de meeste service auditor’s rapporten: de bevindingen die in de mededeling van de service
auditor worden genoemd). Opvallend is dat alle respondenten aangeven (soms zelf met name)
aandacht te besteden aan de detailbevindingen. 7 van de 10 respondenten gaven ook aan
aandacht te besteden aan de afweging van de service auditor met betrekking tot de vraag of
20