Zeggen hoe het is - Windesheim

22
Zeggen hoe het is
De controle van de automatisering
Allereerst dient de accountant, in lijn met NV COS 315, een inschatting te maken
van de mogelijke risico’s op een afwijking van materieel belang in de te controleren
verantwoording. Een belangrijk onderdeel daarvan wordt gevormd door de interne
beheersing. In bijlage A van NV COS 315 wordt vervolgens ingegaan op onder meer
de automatisering: ‘Informatieverwerking. De twee grote groepen van interne
beheersingsactiviteiten betreffende informatiesystemen bestaan uit interne
beheersingsmaatregelen op het niveau van de applicatie (application controls),
die van toepassing zijn op de verwerking van individuele applicaties, en algemene
beheersingsmaatregelen met betrekking tot IT (general IT controls), die de beleidslijnen
en procedures vormen die een groot aantal toepassingen betreffen en die de doeltreffende
werking van interne beheersingsmaatregelen op het niveau van de applicatie (application
controls) ondersteunen door een bijdrage te leveren aan het zeker stellen van een continue
goede werking van informatiesystemen’ (NV COS 315, bijlage 1 paragraaf 9).
Rudimentair worden vervolgens enkele wenken gegeven hoe de fysieke beveiliging
rondom systemen er uit zou moeten zien, evenals de toegangsbeveiliging van data. Juist
door de snelle technologische ontwikkeling is de controle van de automatisering een
kerndomein geworden om tot een verantwoord oordeel te komen. We zagen immers
dat sprake is van een steeds verdergaande integratie van bedrijfsprocessen in de
automatisering en een toenemende digitalisering van gegevens. Zonder een focus op de
automatisering is de controle feitelijk niet meer mogelijk. Deze controle richt zich
– zoals de NV COS al stelt – op de general controls, waarmee de totale beheersing van de
automatisering als geheel beoordeeld wordt. Binnen systemen wordt op application
controls ingezoomd. Om een voorbeeld te geven: veel facturen werden door accountants
in het verleden beoordeeld op autorisatie door een bevoegd persoon. De papieren factuur
werd daarbij als uitgangspunt genomen. Veel facturen zijn tegenwoordig niet meer in
een papieren versie beschikbaar. In het systeem zelf worden de controles (al dan niet
geautomatiseerd) uitgevoerd. Het is dan ook van groot belang om enerzijds vast te stellen
dat de automatisering als geheel werkt: is de toegangsbeveiliging tot bijvoorbeeld de
facturen adequaat geregeld? Voorts stelt de accountant vast of in het systeem de juiste
controles hebben plaatsgehad en de juiste functionaris heeft geautoriseerd. Kortweg: de
automatisering van de klant is verworden tot de kern van de controle: daar vinden immers
veel interne beheersingsmaatregelen plaats waar de accountant kennis van wil nemen.
2.2 De geautomatiseerde controle
Naast de totaal veranderde wereld van de klant, is ook het landschap van de accountant zelf
totaal veranderd: voor zowel het controleren als het samenstellen gaat de automatisering
de komende jaren voor een enorme aardverschuiving zorgen in de accountantswereld.
Met de slimme inzet van automatisering is het bijvoorbeeld mogelijk om op basis
van data-analyse tot een veel beter onderbouwd oordeel te komen: in plaats van een