Beoordeling van een service auditor's rapport in het kader ... - Vurore

gekeken naar eventuele sub service organisaties en de impact van de uitbestede diensten op
uiteindelijk de jaarrekening van de user organisatie. Dit punt zien wij zoals aangegeven zowel bij
de RA als RE terugkomen.
4.4.2 Analyse met betrekking tot de rol van de IT auditor
Uit de resultaten van het onderzoek blijkt dat de IT auditor vaak wordt geraadpleegd bij de
beoordeling van een service auditor’s rapportage, en dan met name op het gebied van het
beoordelen van de ITGC scope en ITGC bevindingen. Echter meerdere respondenten geven aan
dat zij het inschakelen van de IT auditor laten afhangen van de complexiteit en materialiteit van
de service organisatie en niet van de mate van automatisering.
Wat ons bijvoorbeeld opvalt, samen met de RE’s uit het onderzoek van andere kantoren, is dat
wanneer de salarisverwerking uitbesteed is naar een service organisatie de gebruikers auditor
niet direct rekening houdt met de mate van automatisering. Omdat een dergelijk service auditor’s
rapport bol staat van de algemene IT maatregelen en andere geautomatiseerde maatregelen zou
de IT auditor een belangrijke rol moeten spelen bij het beoordelen van zo’n service auditor’s
rapportage. Hoewel de materialiteit zeker een belangrijke factor is als men een service auditor’s
rapportage beoordeelt in het kader van de jaarrekeningcontrole, zou onzes inziens de mate van
automatisering minimaal zo belangrijk moeten zijn.
Bovendien is het opvallend dat de wij als IT auditors ook vaak worden geraadpleegd voor meer
dan alleen de beoordeling van de algemene IT maatregelen of andere geautomatiseerde
controles. Dit wordt bevestigd door meerdere respondenten die aangaven dat de RE ook wordt
ingezet om bijvoorbeeld de vaktechnische aspecten van een service auditor’s rapport te
beoordelen. Het is dan wellicht ook niet vreemd om vanuit onze inventarisatie te constateren dat
de RE’s ook ‘beter scoren’ op dat onderdeel. Naar onze mening, zeker ook gezien onze
opmerkingen in hoofdstuk 2 ten aanzien van de onduidelijkheid van de ISAE 3402 standaard, zou
het goed zijn om een professional met specifieke kennis van service auditor’r rapport
standaarden te betrekken bij het beoordelen van een dergelijk rappport.
4.4.3 Analyse met betrekking tot de resultaten van de beoordeling door de audit professional
Alhoewel het niet direct onderdeel is van de scope van deze scriptie vinden wij het belangrijk om
ook stil te staan bij de vervolgstappen die de accountant (al dan niet geadviseerd door de IT
auditor) onderneemt nadat de service auditor’s rapport is beoordeeld.
Om te beginnen kunnen wij ons haast niet voorstellen dat het voorkomt dat er geen vragen of
onduidelijkheden bestaan na het beoordelen van een service auditor’s rapport. Het zou onzes
inziens dan ook (vrijwel) altijd noodzakelijk zijn om contact op te nemen met (in eerste instantie)
de service organisatie om deze vragen beantwoord te krijgen. In onze praktijk als service auditors
zien wij dat de service organisatie op haar beurt goed kan inschatten welke vragen ze zelf kan
beantwoorden en welke vragen via de service auditor moeten worden beantwoord. Het is wel
schokkend te constateren dat bij navraag onder ‘onze’ service organisaties blijkt dat er nauwelijks
vragen worden gesteld door gebruikers auditors.
Naast bovenstaande kan het natuurlijk voorkomen dat uit de beoordeling blijkt dat de reikwijdte
niet afdoende is of er bevindingen zijn geïdentificeerd (door de service auditor) die een impact
kunnen hebben op de werkzaamheden die de gebruikers auditor dient uit te voeren. In deze
gevallen zal de accountant, ook weer indien nodig in overleg met de IT auditor, moeten bepalen
welke aanvullende werkzaamheden er dienen te worden uitgevoerd. Gezien de reikwijdte van
deze scriptie voert het te ver om te behandelen welke aanvullende werkzaamheden die dan
zouden kunnen zijn. Wel kunnen wij in het algemeen opmerken dat deze werkzaamheden zowel
bij de service organisatie als bij de user organisatie kunnen plaatsvinden. Het is overigens erg
interessant om te constateren dat het in onze ervaring als service auditor voorkomt dat zelfs als
er geen significante bevindingen zijn geïdentificeerd, de gebruikers auditor het noodzakelijk acht
om een flink aantal controls toch nog zelf te testen bij de service organisatie. Dit gaat dan wel om
situaties waarbij grote delen van de operatie van een user organisatie zijn uitbesteed aan een
service organisatie.
4.5 Slotopmerkingen
24