Accountantscontrole en misbruik van de ‘minimaal gegevensgerichte werkzaamheden’

Hoeveel tijd en aandacht moet u in het kader van een jaarrekeningcontrole besteden aan posten waar u geen risico voor heeft gedefinieerd? In recente discussies constateren we dat COS 330.18 wordt misbruikt voor het afwerken van een standaard rijtje van simpele controlewerkzaamheden. Terwijl de minimale, gegevensgerichte werkzaamheden zijn bedoeld voor de onderbouwing van de juistheid en volledigheid van de risico-analyse. John Kuijn legt uit.

Veel accountants en hun assistenten zijn onzeker over de vraag hoeveel werkzaamheden er moeten worden uitgevoerd aan posten waarvoor geen risico’s zijn gedefinieerd? Een van de richtingen die we bij dossierreviews en trainingen zien is dat er dan misbruik van de ‘minimale gegevensgerichte werkzaamheden’ wordt gemaakt om gegevensgerichte werkzaamheden uit te voeren om maar iets gedaan te hebben aan de betreffende post. Toetsers eisen dat in sommige gevallen ook, terwijl dat niet noodzakelijk is. Ook zien we assistenten die standaard voor hen bekende werkzaamheden uitvoeren, veelal dezelfde als voorgaand jaar, terwijl die werkzaamheden niks toevoegen aan het dossier. Deze invullingen door assistenten zijn inefficiënt, ineffectief en leiden tot terechte discussies bij toetsingen. De controle vereist immers dat een controlestrategie worden opgesteld. Uit het dossier moet niet blijken dat de het controleteam ‘zomaar iets heeft gedaan’. Daarnaast leidt dit af van de belangrijke werkzaamheden ten aanzien van risico’s die dan veelal niet meer met de juiste diepgang worden uitgevoerd. Dit is een gevaarlijke trend.
De juiste minimale gegevens gerichte werkzaamheden moeten gericht zijn op het vaststellen van de juiste risico-inschatting van de accountant (COS 330.A42a). Tijdens trainingen benoem ik altijd dat de minimale gegevensgerichte werkzaamheden niet gericht moeten zijn op het vinden van controleverschillen, maar op de juistheid en volledigheid van de risico inschatting. De minimale gegevensgerichte werkzaamheden leiden nooit tot een controleverschil, daar zouden de werkzaamheden niet op gericht moeten zijn. Voor de risico’s die kunnen leiden tot een controleverschil dient de accountant detailcontroles op te nemen die aan die risico’s zijn gekoppeld.
De minimale gegevensgerichte werkzaamheden moeten gericht zijn op het identificeren van ontwikkelingen bij de klant die niet zich na de risicoanalyse hebben voorgedaan. Dit kan door middel van data-analyses, maar bij veel posten is dat zelfs niet nodig. Een aantal voorbeelden:

Materiële Vaste Activa

Bij de Materiële Vaste Activa zouden de minimale gegevensgerichte werkzaamheden gericht moeten zijn op het identificeren van aanvullende aanwijzingen voor bijzondere waardeverminderingen. Dus is de bezettingsgraad van een machine gedaald ten opzichte van de tijdens de planning bekende percentages. Of is de leegstand bij het beleggingspand toegenomen door faillissement van een van de huurders. Of signaleer je dat er 2^de hands vrachtwagens sinds een half jaar tegen significant lager boekwaardes onderhands aan Afrikaanse afnemers worden verkocht dan pas je je risico inschatting aan[1].
In de praktijk zien we dat assistenten bij de Materiële Vaste Activa veelal de activastaat ‘doorlopen’ en de afschrijvingslasten narekenen. Dat zijn naar ons idee geen minimale gegevensgerichte werkzaamheden zoals deze in COS 330.18 zijn bedoeld. Het materieel niet of onjuist boeken van de afschrijvingen valt direct op bij de afsluitende cijferbeoordeling en zal ook niet de meest voor de hand liggende manier zijn waarop de fraudeur de cijfers mooier probeert te maken.

Debiteuren

Ten aanzien van de debiteuren kun je tijdens de risico analyse prima beredeneren dat het risico op een materiele fout acceptabel laag is als blijkt dat de gemiddelde openstaande positie per debiteur klein (lager dan X% Uitvoerings Materialiteit) is, de ouderdom van de debiteuren op dat moment acceptabel (niet ouder dan X dagen) is en uit de afloop van de schatting van vorig jaar blijkt dat er niet veel afnemers failliet gaan. De minimale gegevensgerichte werkzaamheden zouden dan moeten bestaan uit het vaststellen dat de individuele positie per debiteur en ouderdom niet zijn toegenomen ten opzichte van de inschatting tijdens de planning.
In de praktijk zien wij in vrijwel alle dossiers dat afloopcontroles worden uitgevoerd of dat deze werkzaamheden door toetsers worden geëist. Met vaak als excuus, het kost niet zoveel tijd en het is nu eenmaal een grote post waar je ‘minimaal iets’ aan moet doen. Dat ‘iets’ is dus zoals hierboven beschreven het vaststellen dat je risico inschatting goed is geweest, het argument dat je in dezelfde tijd ook de afloop al kunt vaststellen is niet juist. Die stelling is alleen juist als je de debiteurenlijst met het bankboek door middel van data-analyse aflettert, echter zijn die dossiers waar deze data analyse op deze wijze wordt toegepast op een hand te tellen en de klanten met dermate schone gegevensverzamelingen dat dit in één handeling kan ook.

Omzet

Het onderbouwen van de juistheid van de risicoanalyse met minimale gegevensgerichte werkzaamheden is bij de omzet voor veel assistenten lastig. Veel vervallen in de oude gewoonte om veel werkzaamheden te doen aan een rondrekening en een marge analyse met verklaring voor de geconstateerde afwijkingen. Echter beide werkzaamheden zijn geen minimale gegevensgerichte werkzaamheden die gericht zijn om vast te stellen dat de risicoanalyse juist is geweest. Immers zegt een sluitende goederenbeweging iets over de juistheid van de risico-inschatting ten aanzien van de opbrengstverantwoording?
Uit ervaringen met data-analyse ten aanzien van de omzetverantwoording blijkt in de praktijk dat de risico inschatting van de accountant regelmatig niet juist is. Het uitvoeren van een min/max prijs analyse of het koppelen van de gehanteerde verkoopprijzen aan bekende marktprijzen en dat in een grafische tabel weergeven leidt vrijwel altijd tot inzichten die bij de planning nog niet bekend waren. De uitkomsten leiden lang niet altijd tot aanpassing van de risicoanalyse, maar onderbouwen in veel gevallen de juistheid van de risico analyse en geven de accountant en de ondernemer hele concreet informatie over de omzetverantwoording.

Conclusie

Juiste invulling van de minimale gegevensgerichte werkzaamheden zorgt ervoor dat we de juistheid en volledigheid van de risicoanalyse onderbouwen. De tijd die we dan overhouden is dan beschikbaar om de echte gegevensgerichte werkzaamheden die aan de geïdentificeerde risico’s zijn gekoppeld met voldoende tijd en aandacht uit te voeren. Laten we COS 330.18 niet misbruiken voor het afwerken van een standaard rijtje van simpele werkzaamheden waar een assistent lekker mee bezig kan.

[1] Om na constatering van afwijkingen in de risico inschatting een nieuw risico en bijbehorende gegevensgerichte werkzaamheden aan te maken is nodig omdat je dan gedwongen wordt om na te denken over de selectiegrens die je gaat hanteren en welk controlebewijs je voldoende vindt om tot een oordeel te kunnen komen.

John Kuijn is (mede)eigenaar van ThinkVision en richt zich op het geven van trainingen aan accountants en accountantskantoren, advies en interim management.