Beoordeling van een service auditor's rapport in het kader ... - Vurore

5.3 Aanbevelingen
Zoals wij in paragraaf 5.2 hebben aangegeven blijven er in de praktijk een aantal aspecten
onderbelicht bij de beoordeling van service auditor’s rapport in het kader van de jaarrekening
controle. In deze paragraaf zullen wij een aantal concrete aanbevelingen behandelen die ervoor
kunnen zorgen dat de beoordeling van een service auditor’s rapport in de toekomst verbetert.
Het vaststellen van de deskundigheid van de service auditor
Minimaal zou moeten worden vastgesteld dat de service auditor is ingeschreven bij NIVRA of
NOREA. Daarnaast dient te worden vastgesteld dat de service auditor voldoende kennis van de
uitbestede processen heeft om een oordeel te kunnen geven over de effectieve werking van
beheersmaatregelen met betrekking tot deze processen. Dit punt is onzes inziens extra van
belang wanneer een RE een service auditor’s rapport afgeeft over uitbestede bedrijfsprocessen
en wanneer een RA een service auditor’s rapport afgeeft over uitbestede IT processen, iets wat in
de praktijk regelmatig gebeurt.
Het vaststellen van de adequaatheid van de betreffende service auditor’s rapport standaard
Gezien de specifieke vereisten van de ISAE 3402 standaard en de vrijheden die sommige service
auditors zich in de praktijk permitteren is het belangrijk dat bij het beoordelen van een service
auditor’s rapport ook de vaktechnische aspecten worden beoordeeld. Aangezien dit alleen kan
gebeuren door professionals met kennnis van de betreffende standaard bevelen wij aan altijd een
service auditor’s rapport expert bij de beoordeling te betrekken. Bij de meeste Big Four kantoren
zijn deze professionals veelal IT auditors.
Het vaststellen dat de user control considerations zijn geïmplementeerd bij de
gebruikersorganisatie
Wij adviseren gebruikers auditors altijd vast te stellen dat de user control considerations zijn
geïmplementeerd bij de gebruikers organisatie aangezien deze vereist zijn om een redelijke mate
van zekerheid te verkrijgen over de uitbestede processen. Daarnaast wordt duidelijkheid over dit
aspect belangrijker naar gelang er in de praktijk steeds meer constructies ontstaan waar er sprake
is van sub-serviceorganisaties. Dit leidt ertoe dat de auditor van de gebruikersorganisatie ook zal
moeten evalueren of de user control considerations van de sub-service organisatie
geïmplementeerd zijn bij de service organisatie. Zie hiervoor ook de volgende aanbeveling.
Voldoende aandacht voor sub service organisaties
Gezien de tendens van organisaties om niet-kern activiteiten uit te besteden, en het feit dat de
ISAE 3402 standaard meer eisen stelt aan het volgen van de inclusive methode, zal het steeds
vaker voorkomen dat er sprake is van sub-service organisaties of zelfs sub sub-service
organisaties. Wij adviseren gebruikers auditors minimaal te inventariseren of de sub-service
organisatie een significante impact heeft op de financiële verslaglegging van de gebruikers
organisatie. Indien dit het geval is, adviseren wij om altijd een service auditor’s rapport van de
sub service organisatie op te vragen en deze ook te beoordelen.
De rol van de IT auditor
Wij adviseren de gebruikers auditor om altijd een IT auditor te betrekken bij het beoordelen van
een service auditor’s rapport indien er sprake is van een geautomatiseerde omgeving. Minimaal
kan de IT auditor de toereikendheid van de ITGC scope en de impact van IT bevindingen
vaststellen. Daarnaast adviseren wij de IT auditor met kennis van de service auditor’s rapport
standard te betrekken om de vaktechnische beoordeling van de service auditor’s rapport uit te
voeren, aangezien uit ons onderzoek blijkt dat de IT auditor over het algemeen meer kennis van
de vaktechnische aspecten van een service auditor’s rapport heeft dan de accountant.
5.4 Beperkingen
We hebben dit onderzoek uitgevoerd onder een beperkte groep Register Accountants en Register
IT Auditors. Dit betekent dat resultaten niet representatief hoeven te zijn voor de totale
populatie. Wij hebben de impact van deze beperking zoveel mogelijk proberen te mitigeren door
audit professionals van alle Big Four kantoren mee te nemen in ons onderzoek.
28