IT-audits voor accountantskantoren

AudITvision is de expert in het ondersteunen van accountantskantoren op het gebied van IT-audits. Onze professionele en enthousiaste collega’s hebben een verleden bij verschillende accountantskantoren, waar ze ruime ervaring hebben opgedaan met het uitvoeren van IT-audit werkzaamheden in het kader van de jaarrekeningcontrole. Hierdoor is de planning, uitvoering en afstemming van IT-audit werkzaamheden gestroomlijnd en kunnen wij direct mee in de rapportagestructuur van uw kantoor. Wij beschikken over meerdere IT-auditoren die zijn geregistreerd bij de NOREA als RE. Wij zijn een onafhankelijk IT auditkantoor waar kwaliteit, flexibiliteit, pragmatiek en goede communicatie centraal staan. Wij kunnen de brug slaan tussen IT en de jaarrekening en kunnen u helpen bij het inschatten van de reële risico’s op de jaarrekening. Wij spreken de taal van uw klanten, de IT’ers en die van de accountant. Bij ons geen ingewikkelde technische gesprekken, maar heldere beschrijvingen en toelichtingen.

Contact opnemen

Ontvang onze gratis whitepaper

Vraag onze gratis whitepaper aan en ontdek hoe u eenvoudig kunt starten met een compliance-traject en waar u rekening mee moet houden.

Whitepaper ontvangen

Standaard 315 richt zich op het identificeren en inschatten van risico’s op een materiële afwijking in de jaarrekening. Een belangrijk aspect hierbij is het verkrijgen van inzicht in de organisatie en haar interne beheersing, waarbij IT een steeds grotere rol speelt. Met de toenemende digitalisering is IT niet langer slechts een ondersteunende functie, maar een kernonderdeel van de financiële processen. Daardoor moet u bij de risicoanalyse specifiek aandacht besteden aan IT gerelateerde risico’s zoals:

Vergaande en geïntegreerde automatisering van financiële processen: ERP-systemen en andere software automatiseren transacties, wat zowel kansen als risico’s creëert. Met name de koppelingen zijn risicovol.
Beveiliging van IT-systemen: onvoldoende beveiliging kan leiden tot ongeautoriseerde wijzigingen in financiële gegevens.
Data-integriteit en continuïteit: fouten of manipulaties in geautomatiseerde processen kunnen materiële afwijkingen veroorzaken.
Cyberdreigingen: hacks, datalekken of ransomware-aanvallen kunnen financiële informatie beïnvloeden en bedrijfscontinuïteit in gevaar brengen.

Toenemend belang van de rol van IT-audit bij de jaarrekening

Een grondig inzicht in de IT-omgeving van een organisatie wordt steeds belangrijker. Dit omvat onder andere:

Het beoordelen van de IT-governance: hoe wordt IT beheerd en welke interne controles zijn aanwezig?
Het analyseren van IT-afhankelijkheden: welke IT-systemen ondersteunen de financiële rapportage en hoe betrouwbaar zijn deze?
Het testen van IT-controles: zijn er effectieve toegangscontroles, change management procedures en monitoringmechanismen?
Het toepassen van data-analyse: door middel van geavanceerde auditsoftware kunnen grote datasets worden geanalyseerd om patronen of afwijkingen te identificeren.

Engineer overseeing data center, making routine improvements

Expertise met verschillende omgevingen: complexe of niet complexe IT

De controleaanpak moet worden afgestemd op de complexiteit van de IT-omgeving. In complexe IT-omgevingen moeten accountants diepgaande IT-audits uitvoeren en geautomatiseerde controles testen, terwijl in niet complexe omgevingen de nadruk ligt op handmatige procedures en de betrouwbaarheid van standaard software. Dit zorgt ervoor dat de controle efficiënt en proportioneel blijft, zonder onnodige lasten voor organisaties.

Niet complexe IT-omgevingen

Bij kleinere organisaties of bedrijven met een eenvoudige IT-infrastructuur is de afhankelijkheid van IT minder ingrijpend, maar niet afwezig.

Kenmerken van een niet complexe IT-omgeving:

Gebruik van standaard boekhoudsoftware of eenvoudige financiële systemen.
Weinig of geen geïntegreerde systemen of maatwerksoftware.
Beperkte automatisering, met handmatige controles en processen.
Weinig IT-gebruikers en eenvoudige toegangsrechten.

Impact op de controle:

IT-controles zijn minder uitgebreid, maar basis- controles blijven vereist.
Focus op handmatige controlemaatregelen en reconciliaties.
Beoordeling of standaard software voldoende betrouwbaar is.
Minder noodzaak voor gespecialiseerde IT-auditors, tenzij er specifieke risico’s zijn.

Complexe IT-omgevingen

Bij organisaties met een complexe IT-infrastructuur is de financiële verslaglegging sterk afhankelijk van geavanceerde geautomatiseerde systemen. Dit brengt zowel voordelen als risico’s met zich mee.

Kenmerken van een complexe IT-omgeving:

Gebruik van ERP-systemen en geautomatiseerde financiële software.
Geïntegreerde IT-systemen met meerdere databronnen en interfaces.
Hoge mate van automatisering in transactieverwerking en rapportage.
Complexe toegangsrechten en autorisatiestructuren.
Hoge mate van afhankelijkheid van externe IT-dienst verleners en cloud oplossingen.

Impact op de controle:

Meer nadruk op General IT-controles, zoals change management, toegangsbeheer, systeembeveiliging, back-up en recovery en logging.
Gebruik van data-analyse en geautomatiseerde audittechnieken noodzakelijk om grote hoeveelheden transacties te onderzoeken.
Accountants moeten IT-specialisten inschakelen bij technische IT-controles om verantwoord uitspraken te doen over de financiële verwerking.

Processen relevant voor de jaarrekeningcontrole

In standaard 315 wordt beschreven dat de relevante processen voor de jaarrekeningcontrole (indien er niet gesteund wordt op de IT-controls) bestaan uit de IT General Controls (ITGC’s) omtrent de applicaties in scope. Deze processen omvatten het volgende:

Toegangsbeheer (incl. authenticatie).

Vereisten ten aanzien van verkrijgen van toegang tot relevante IT-systemen.

Wijzigingenbeheer (incl. IT-leveranciers).

Vereisten ten aanzien van wijzigingen die worden doorgevoerd in de IT-systemen

IT-operatie en back-up beheer.

Vereisten ten aanzien van het onderhouden van de back-ups, infrastructuur en disaster recovery management.

Veelal zijn bovenstaande beheersprocessen niet generiek voor de gehele IT-omgeving. Er kan bijvoorbeeld een verschil zitten in het toegangsbeheer voor de databases en voor de applicaties. Wij zullen de ITGC’s altijd tot in detail in kaart brengen voor de gehele relevante IT-omgeving.

Indien u steunt op specifieke (geautomatiseerde) IT-controls voor de jaarrekeningcontrole voegen wij deze controls toe aan het controleraamwerk.

Contact opnemen

Onze Aanpak

Op basis van onze ruime ervaring hebben wij een gestandaardiseerde aanpak gecreëerd voor de IT-audit in het kader van de jaarrekeningcontrole. We onderkennen drie varianten voor het uitvoeren van de IT-audit. De keuze is gebaseerd op de complexiteit en opzet van de beheersmaatregelen bij de audittee.

1. Niet complexe IT-omgeving

Voor niet complexe IT-omgevingen zullen we over het algemeen een minder prominente rol vervullen. Vaak fungeren we hier als vraagbaak voor de accountant, maar uiteraard kunnen we ook de begripsvorming van de IT uitwerken voor u.

2. Semi complexe IT-omgeving

Onze rol bij semi complexe IT-omgevingen wordt vooral bepaald door de accountant en in hoeverre hij de IT in kaart wil brengen en de bijbehorende risico’s. Wij delen onze standaard vragenlijsten met u of uw klant en vullen deze samen in. Indien gewenst kunnen wij als IT-auditor ondersteuning bieden in de vorm van het voeren van interviews en het uitwerken van technische aspecten van IT-systemen waar de u dit benodigd acht.

3. Complexe IT-omgevingen

Bij complexe IT-omgevingen nemen wij als IT-auditor de lead in de IT-audit. Wij rapporteren hierbij gezamenlijk met u over de bevindingen in de management letter of het accountantsverslag. Wij toetsen de IT-beheers- maatregelen in opzet en bestaan. Indien u wenst te steunen op IT-controls toetsen wij naast de opzet en het bestaan ook de werking van de beheersmaat- regelen. Onze aanpak stemmen we uiteraard vooraf met u af en bevestigen wij in een IT-audit werkplan. Op die manier is onze aanpak en scope duidelijk beschreven.

Toetsen van het bestaan van beheersmaatregelen

Indien wij hebben vastgesteld dat IT-beheersprocessen in opzet effectief zijn kunnen we in overleg ervoor kiezen om deze beheersprocessen in bestaan te toetsen. Hierdoor bereiden we een organisatie voor op de eisen die worden gesteld als u op de IT-systemen wilt gaan steunen voor de jaarrekeningcontrole. Zodra het bestaan van de beheersmaatregelen effectief is bevonden kunnen wij samen met u een plan maken om de organisatie voor te bereiden voor een volledig IT-gedreven jaarrekeningcontrole.

Toetsen van werking van beheersmaatregelen

Door het toetsen van de werking van de IT-beheersmaatregelen wordt het mogelijk gemaakt voor u als accountant om te steunen op de IT-systemen (indien effectief bevonden). Dit maakt uw werk een stuk minder arbeidsintensief, waardoor u zich kan focussen op belangrijkere zaken bij uw klant. Indien de opzet en bestaan van de beheersmaatregelen zijn getoetst en de processen in opzet en bestaan de risico’s met betrekking tot de IT-omgeving voldoende mitigeren, kunnen wij de IT-beheersmaatregelen in werking gaan beoordelen.

Tijdens het toetsen van de werking van de beheersmaatregelen hanteren wij een methode waarbij wij altijd terugkijken op de geïdentificeerde risico’s voor de jaarrekeningcontrole. Hierdoor wordt het voor u en uw klant direct duidelijk wat de impact is van bevindingen in de IT-omgeving.

Stappenplan van onze aanpak

1. Begrip van de business krijgen

Bij iedere ondersteuning beginnen we altijd met het krijgen van ‘begrip van de business’. Op die manier kunnen de risico’s goed inschatten van de IT en de relatie met de jaarrekening.

2. Beschrijving opstellen

We brengen op hoofdlijnen de processen in kaart en maken inzichtelijk welke applicaties worden gebruikt die betrekking hebben op de financiële verslaglegging.

3. Vaststellen van de scope

Samen met de accountant stellen we de scope van de IT-audit vast.

4. Vaststellen complexiteit en de rol van de IT-auditor

Op basis van de voorgaande stappen en de wens van de accountant kunnen we vaststellen met welke complexiteit we te maken krijgen en welke aanpakwe moeten hanteren.

5. Uitvoering van de IT-audit

Afhankelijk van de keuze van de accountant of gesteund wordt op de IT beoordelen we de opzet en/of bestaan en/of de werking.

Voordelen van de aanpak van AudITvision

De IT-auditors van AudITvision hebben allemaal ruime ervaring met het uitvoeren van IT-audits in het kader van de jaarrekeningcontrole. Met onze gestandaardi- seerde aanpak ondersteunen wij u en uw klant effectief en efficiënt. Daarnaast kunnen wij door onze ervaring gerichte aanbevelingen doen voor de management- letter of het accountantsverslag.

Onze gestandaardiseerde aanpak is klaar om direct geïmplementeerd te worden naar de eisen van uw organisatie. Zijn er specifieke zaken waar uw accountantskantoor zich op focust? Dan kunnen wij dit zonder moeite toevoegen aan onze aanpak om volledigheid van de vastlegging te waarborgen.

Aangezien AudITvision ruime ervaring heeft met het uitvoeren en rapporteren over IT-beheersmaat-regelen in het kader van de jaarrekeningcontrole, is het voor ons geen probleem om input te leveren voor het accountantsverslag. Wij ontvangen graag uw rapportagetemplates, en zorgen ervoor dat de IT-stukken in de rapportage naadloos aansluit bij de rest van het accountantsverslag.

De kosten

Wij hanteren een uurtarief van €150,- euro per uur voor onze IT-audits. Op basis van scope van de IT-audit maken wij samen met u een inschatting van de benodigde inzet. Hierbij hanteren wij een fixed price op basis van de schatting die wij samen met u maken. Bij AudITvision maken we graag prestatieafspraken op basis van een fixed price. Daardoor heeft u geen verrassingen gedurende de audit. Grove inschatting van onze uren op basis van ervaring bij middelgrote bedrijven:

Contact opnemen

Dennis Huiskens RA.

Auditboetiek

+31 (0)6 1321 6403.

dennis@auditboetiek.nl

‘Wij hebben onlangs een IT-auditor van AudITvision ingeschakeld voor de jaarrekening en zijn zeer tevreden. Vooral het meedenken over risico’s en het snel kunnen schakelen waren grote pluspunten. De auditor gaf waardevolle inzichten in IT-risico’s die van invloed konden zijn op de jaarrekening, wat ons heeft geholpen om de juiste maatregelen te nemen. De samenwerking was vlot, professioneel en efficiënt. Ik kan AudITvision zeker aanbevelen voor wie behoefte heeft aan een proactieve en deskundige IT-audit.’

Coen Boschman RA.

Langedijk&Partners

0226-451617

c.boschman@langedijkenpartners.nl

‘Als accountantskantoor hebben we recent een IT-auditor van AudITvision ingehuurd voor de jaarrekening van mijn klant en ben zeer tevreden. De audit was grondig, de communicatie helder en de aanbevelingen praktisch en goed onderbouwd. AudITvision heeft uitstekend werk geleverd, waardoor ik nu met vertrouwen de IT-aspecten van de jaarrekening kan afsluiten. Een aanrader voor iedereen die een betrouwbare IT-audit nodig heeft.’

‘Ik kan nu met vertrouwen de IT-aspecten jaarrekening afsluiten. Dankzij AudITvision’

IT-audits voor accountantskantoren