ICT is meer dan een complex auditobject
Jules Muis ziet ‘informatietechneuten’ slechts als technische hulpjes van de accountant, en voor Rick Mulders en Bob van Kuijck is ICT gewoon één van de beoordelingsobjecten. Ze vergissen zich, meent Kor Mollema. ‘Een accountant zonder ICT-kennis mist een cruciaal deel van het audittraject.’
Dit artikel is verschenen in de Accountant nr. 5, 2006
Bekijk alle artikelen uit dit nummer
Kor Mollema
De in ‘de Accountant’ gepubliceerde artikelenserie over trends in accountancy is gebundeld gevoegd bij het decembernummer. Handig en overzichtelijk. Als aanstichter van de serie wil ik graag het nieuwe jaar ingaan met enkele kritische kanttekeningen.
Collega Jules Muis vergelijkt de accountant met een wielrenner in het parcours en de informatietechneuten - onder wie edp-auditors - met de technische support aan de kant van de weg, en pleit ervoor deze rollen niet te vermengen. Collegae Rick Mulders en Bob van Kuijck noemen de beoordeling van de IT-systemen als één in de rij van beoordelingsvraagstukken, naast fraudeabsentie, compliance, complexe taxaties en dergelijke.
Deze drie collega’s vergissen zich. Bij de certificering van de jaarrekening zijn er altijd complexe auditobjecten geweest waarbij de accountant soms de hulp van specialisten nodig heeft. Verzekeringscontracten, financiële derivaten en oliereserves zijn er voorbeelden van. Op zich is dat niets nieuws. De accountant heeft nooit geclaimd op alle technische terreinen thuis te zijn.
De benadering van deze problematiek in brede zin door Mulders en Van Kuijck lijkt me werkbaar. De ICT is echter niet zomaar één uit het rijtje. De financiële audit doet een uitspraak over de kwaliteit van verantwoordingsinformatie. Deze informatie wordt geproduceerd door ICT. De audittrail ligt in de ICT. De controls daaromheen zitten in de ICT verankerd. De primaire vastleggingen zijn ook in de ICT gedaan, soms rechtstreeks vanuit gerobotiseerde productieprocessen. De functiescheidingen en autorisaties zijn in de ICT verankerd. De communicatie tussen organisaties gaat steeds meer papierloos en steeds meer van computer tot computer. De huidige vorderingen op het gebied van EDI, XBRL, E-banking illustreren dit.
Het beoordelen van de kwaliteit van verantwoordingsinformatie heeft twee kanten: de inhoudelijke, economische kant en de procedurele. Beide zijn even belangrijk voor de uiteindelijk af te geven verklaring. De procedurele kant richt zich met name op de betrouwbaarheid van de informatie. Zij is alleen nog te beoordelen door diepgaand in de ICT te duiken, want daar komt haar eerste vastlegging tot stand en daar wordt zij veredeld tot ingedikte verantwoordingsinformatie. En ook de bescherming tegen manipulatie kan, behoudens het laatste managementtraject, alleen effectief plaatsvinden door uitgebreide ICT-security-maatregelen.
Een accountant die geen kennis heeft van ICT kan dus een materieel deel van het audittraject niet beoordelen en diskwalificeert zichzelf daarmee. Om in de vergelijking van Muis te blijven: het is de racefiets zelf die in vijftig jaar is getransformeerd van een lomp mechanisch vehikel tot een supermoderne bike. Arme wielrenner die deze evolutie in zijn fiets heeft gemist. Hij is gedoemd bij de eerste de beste afdaling uit de bocht te vliegen.
In 1982 ben ik begonnen binnen het NIVRA oor te vinden voor het belang van de ICT voor de accountant. Twee NIVRA-geschriften, een speciaal aan het onderwerp gewijde conferentie, mondelinge en schriftelijke pleidooien bij de Commissie Vaktechniek: zij waren aan dovemansoren gericht. Nu ruim twintig jaar, met de hete adem van SOx en Tabaksblat in de nek, heeft de beroepsorganisatie erkend dat men hier een steek heeft laten vallen. De accountantsopleidingen zijn of worden er op aangepast. Aan de Erasmus School of Accounting & Assurance bestaat het voornemen in februari 2006 een kopcursus edp-auditing voor accountants te starten.
In ‘de Accountant’ van januari 1995 schreef ik over de accountancy in het toekomstige millenium: ‘Aan de lopende band zijn bedrijven failliet gegaan, netjes voorzien van een goedkeurende verklaring … De wetgever heeft intussen de zinloosheid ingezien van een verklaring bij de jaarrekening. Een verklaring van betrouwbaarheid van de informatievoorziening is op Europees niveau ingevoerd.’
We zijn aardig in die buurt uitgekomen. Eindelijk is doorgedrongen dat je de getrouwheid van een verantwoording niet los kunt zien van de betrouwbaarheid van de informatievoorziening. De interne beheersing heeft erkenning gekregen in de financiële verslaggeving en in de assurance daarover. En de erkenning dat de interne beheersing zich grotendeels afspeelt in het ICT-traject is er ook. Alleen collega Muis moet hiervan nog overtuigd worden. En bij de collegae Mulder en Van Kuijck moet de ICT nog een beetje worden opgewaardeerd van lastig auditobject tot inherente auditcomplexiteit.
Tot slot: Collega Muis voorspelt dat het voorspellend vermogen van een nieuwe generatie dat van hemzelf en mij zal overtreffen. Daarmee valt te leven, mits de voorspellingen van die nieuwe generatie positiever zullen zijn voor het beroep. Collegae Mulders en Van Kuijk wanen mij spoedig met collega Dassen op de boulevard van Mars en blijven zelf graag down to earth. Deze collega’s moet ik erop wijzen dat te dicht bij de grond een overzicht van de grote lijnen in de weg staat, lijnen die wellicht vanaf Mars wel zichtbaar zijn ...
Noot
Kor Mollema is hoogleraar edp-auditing aan de Erasmus Universiteit Rotterdam.