Beoordeling van een service auditor's rapport in het kader ... - Vurore

4.4 Analyse
De resultaten van de enquête zijn in de vorige paragraaf opgesomd en hieruit blijkt dat er divers
wordt omgegaan met de beoordeling van een service auditor’s rapport door de audit
professionals. In deze paragraaf voeren wij een analyse uit op de resultaten van het onderzoek
aan de hand van de NV COS 402 standaard en onze eigen praktijkervaring. De analyse verdelen
wij in de volgende categorieën:
• Analyse met betrekking tot de gehanteerde richtlijnen
• Analyse met betrekking tot de rol van de IT-auditor
• Analyse met betrekking tot de resultaten van de beoordeling door de audit professional
4.4.1 Analyse met betrekking tot de gehanteerde richtlijnen
In hoofdstuk 3 is duidelijk geworden dat er één standaard richtlijnen biedt ten aanzien van het
beoordelen van een service auditors rapportage, namelijk de NV COS 402. Uit de resultaten blijkt
dat meer dan de helft van de respondenten de standaard kent. Van deze respondenten geeft
vervolgens een aantal aan dat zij de richtlijnen niet actief gebruiken en veel meer gebruik maken
van de ervaring die zij inmiddels hebben opgebouwd. Ook is belangrijk te vermelden dan
meerdere respondenten aangaven interne richtlijnen te hanteren, welke waarschijnlijk gebaseerd
zijn op de NV COS 402. Alhoewel deze standaarden ongetwijfeld goed zijn ‘vertaald’ naar meer
specifieke interne richtlijnen, is het onzes inziens ook belangrijk de daadwerkelijke standaard te
kennen.
Deskundigheid en onafhankelijkheid van de service auditor
Afgezien van het feit dat bijna alle respondenten lieten weten dat zij controleerden of het service
auditor’s rapport ondertekend is door een RA of RE zijn wij van mening dat dit aspect uit de
richtlijn onvoldoende belicht is. Wel hebben twee van de respondenten aangegeven vast te
stellen welke organisatie het rapport heeft uitgebracht, en of de betreffende RA of RE is
ingeschreven bij het NIVRA of NOREA. Dit zijn inderdaad activiteiten die uitgevoerd kunnen
worden om een deel van de deskundigheid vast te stellen, maar uit de praktijk blijkt dat maar
weinig audit professionals deze activiteiten uitvoeren. Daarbij heeft slechts één van de
respondenten laten weten dat zij specifieke activiteiten uit voeren om de onafhankelijkheid en
deskundigheid van de service auditor vast te stellen. Het punt ten aanzien van de deskundigheid
van de service auditor is met name interessant omdat het vaak voorkomt dat bijvoorbeeld een
service auditor’s rapport met betrekking tot een IT service provider wordt getekend door een RA.
Ook komt het omgekeerde voor, waarbij een RE bijvoorbeeld een service auditor’s rapport met
betrekking tot vermogensbeheer tekent. Zeker in dit soort gevallen zijn wij van mening dat de
gebruikers auditor specifiek de deskundigheid van de service auditor dient vast te stellen.
De adequaatheid van de toepassing van de betreffende service auditor’s rapport standaard
Ten aanzien van dit aspect zien wij in de inventarisatie grote verschillen tussen de RA’s en RE’s.
De RA’s lijken te vergeten dat het ook belangrijk is om te beoordelen of de rapportage wel aan de
betreffende standaard voldoet.
Waaraan dit ligt is niet zeker, maar een aantal Big Four kantoren hebben speciale afdelingen of
competentie teams die gespecialiseerd zijn in derde partij mededelingen. De vaktechniek omtrent
service auditor’s rapportages is in deze organisaties vaak meer gecentraliseerd bij de IT auditors.
Wij zijn van mening dat dit een goede ontwikkeling is en dat het aanbeveling verdient om een
dergelijke afdeling in te schakelen ten aanzien van het beoordelen van een service auditor’s
rapport. Dit punt is onzes inziens extra van belang gezien de introductie van de ISAE 3402
standaard, welke toch weer andere vaktechnische vereisten introduceert.
Datum of periode passend voor de doeleinden
Uit de resultaten blijkt dat vrijwel elke respondent zowel de testperiode als het type van een
service auditor’s rapport meeneemt in zijn of haar beoordeling. Dit sluit aan met zowel het
onderzoek voor het Money Management Insitute uit de theorie als onze eigen ervaringen in de
praktijk waaruit blijkt dat deze karakteristieken van een service auditor’s rapport inmiddels goed
zijn ingeburgerd en om deze reden niet vergeten worden bij het beoordelen van een service
auditor’s rapport.
Geschiktheid en volledigheid van de verschafte informatie door het rapport
22