Lex van Almelo

Belangrijkste feiten

Een internationale transportgroep bestaat uit een holding met vier dochterondernemingen, twee minderheidsdeelnemingen en een 66 procent-deelneming in een onderneming ‘mbH’. Een registeraccountant controleert als groepsaccountant de jaarrekeningen van de dochters en de minderheidsdeelnemingen. Bij de jaarrekeningen over 2009 tot en met 2013 geeft hij een goedkeurende verklaring af. Voor de meerderheidsdeelneming heeft hij geen controleopdracht.

Begin 2015 wordt de accountant opgevolgd door een kantoorgenoot. Binnen de subadministratie crediteuren van de meerderheidsdeelneming blijken twee bedragen als betaling afgeboekt door middel van memoriaalboekingen, waarbij de crediteurenfacturen niet zijn ‘afgeletterd’. De opvolger stelt hierover vragen aan de holding en de meerderheidsdeelneming.

De controller van de holding geeft de opvolger een spreadsheet die volgens de opvolger frauduleus was. De laatste dringt aan op aanvullend onderzoek en komt in augustus 2015 met de ‘Rapportage HRA 240’. Uit dit rapport blijkt dat een medewerkster van de financiële administratie van de meerderheidsdeelneming jarenlang fraude heeft gepleegd. De medewerkster was sinds 1995 in dienst bij het bedrijf en genoot daar onvoorwaardelijk vertrouwen.

Van 2003 tot en met 2013 heeft de Mitarbeiterin in totaal 427.571 euro verduisterd door bedragen over te boeken naar haar eigen bankrekening of die van haar echtgenoot. Zij debiteerde deze bedragen op (omvangrijke) crediteuren van het bedrijf en schoof deze vervolgens via tussenrekeningen door op andere (omvangrijke) crediteuren. Om de fraude te verhullen, verwijderde zij journaalposten.

De holding en de meerderheidsdeelneming dienen een klacht tegen de controlerend accountant in bij de Accountantskamer.

Klacht

De accountant heeft:

I. bij de jaarrekeningcontrole de risico’s van een afwijking van materieel belang als gevolg van fraude niet juist ingeschat;

II. de gesignaleerde onvolkomenheden in de betalingsprocedure niet op adequate wijze vertaald in aangepaste controlewerkzaamheden, zodat de geconsolideerde jaarrekeningen van de holding over 2009 tot en met 2013 geen getrouw beeld geven en ten onrechte zijn voorzien van een goedkeurende controleverklaring.

Oordeel

De klacht is gegrond.

Toepasselijke standaarden en PKI

De opdrachtgever is en blijft primair verantwoordelijk voor het ontdekken van fraude.

Het enkele feit dat achteraf sprake blijkt van fraude betekent nog niet dat de controlerend accountant de beroeps- en gedragsregels heeft geschonden. Zo staat in NV COS 240 (en voorheen in RAC 240) dat vanwege “de inherente beperkingen van een controle een onvermijdelijk risico bestaat dat niet alle afwijkingen van materieel belang worden ontdekt, ook al is de controle adequaat opgezet en uitgevoerd conform de standaarden of richtlijnen”.

De groepsaccountant moet ervoor zorgen dat hij voldoende geschikte controle-informatie heeft om te kunnen concluderen dat de groepsjaarrekening vrij is van materiële afwijkingen die het gevolg zijn van fouten of fraude. Als hij niet steunt op het werk van andere accountants, zal hij - afhankelijk van het belang van de deelneming - moeten beslissen welke werkzaamheden hij uitvoert om de cijfers van die deelneming te bezien. Volgens NV COS 600 bepaalt de risico-inschatting van de accountant wat en hoeveel hij doet.

De accountant moet daarbij NV COS 315 volgen, waarin staat wanneer een risico significant is en wanneer de accountant bij de risico-inschatting géén rekening mag houden met de interne beheersingsmaatregelen die de organisatie heeft getroffen.

Het risico van een afwijking van materieel belang als gevolg van fraude is volgens NV COS 240 altijd een significant risico. Dat betekent dat een accountant - als bijvoorbeeld het betalingsproces bij de deelneming slecht is georganiseerd - bij de controle géén rekening kan houden met zijn kennis of inschatting van de risicobeperkende interne beheersingsmaatregelen op groepsniveau.

Anders gezegd: als de accountant een frauderisico identificeert, moet hij alles doen om zicht te krijgen op de risicobeperkende interne beheersingsmaatregelen bij de deelneming of groepsmaatschappij. Ook zal hij gegevensgerichte controles, waaronder detailcontroles, moeten uitvoeren die specifiek inspelen op dat risico en daarmee vaststellen of dat risico zich heeft gemanifesteerd.

Hij mag daarbij alleen steunen op de interne beheersing als hij met een test heeft vastgesteld dat de desbetreffende interne beheersingsmaatregelen over het betrokken boekjaar  daadwerkelijk effectief zijn.

Cumulatief effect

In NV COS 240 staat ook dat het bij (met name) werknemersfraude vaak gaat om kleine bedragen. In andere standaarden, zoals NV COS 530, staat dat de accountant moet onderzoeken wat de aard en oorzaak van de afwijkingen zijn en of er sprake is van een fout dan wel van opzet. Omdat de fraude een aantal jaren kan hebben geduurd, is het niet voldoende om bij het inschatten van het risico alleen te kijken naar de mogelijke fraudeomvang op jaarbasis.

De vereiste professioneel-kritische instelling dwingt de accountant om ook het mogelijke cumulatieve effect van de fraude op het eigen vermogen van de entiteit in aanmerking te nemen. Dit effect kan immers een veelvoud zijn van een mogelijke fraude-omvang die op jaarbasis niet materieel is, maar in een bepaald jaar cumulatief wel degelijk van materieel belang is.

Volgens NV COS 320 kunnen de omstandigheden de accountant er bovendien toe nopen ook niet-materiële afwijkingen te evalueren als hij kijkt naar het effect op de financiële overzichten. Daarbij moet hij zowel de omvang als de aard van niet-gecorrigeerde afwijkingen in aanmerking nemen, net als de specifieke omstandigheden waaronder die zich voordoen.

Ad I

Volgens de accountant werd de controle bij de geconsolideerde jaarrekening voor 70 tot 80 procent gedekt door de statutaire controles van de dochtervennootschappen. Alleen het 66,66 procent-belang in de meerderheidsdeelneming moest nog worden gecontroleerd en daarvoor hanteerde de accountant een materialiteitsgrens van 1.160.000 euro.

Met een professioneel-kritische instelling had de accountant echter moeten vaststellen dat er een significant risico bestond van een materiële afwijking als gevolg van fraude. De meerderheidsdeelneming is namelijk een relatief kleine organisatie, waarin de betalingen nog handmatig werden gedaan, terwijl het elektronisch betalingsverkeer “ook in Duitsland” al lang gebruikelijk was. De accountant had dus:

• moeten begrijpen dat het frauderisico hier, juist ook vanwege het cumulatief effect, significant was;
• de meerderheidsdeelneming daarom moeten controleren volgens de paragrafen 26 en 27 van NV COS 600.

Een extra reden om een controle uit te voeren bij de meerderheidsdeelneming – ook al was dat contractueel niet nodig - was dat de meerderheidsdeelneming zelf de jaarrekening had opgesteld. De accountant had dus de interne beheersingsmaatregelen ten aanzien van de fraude moeten testen en gegevens- en risicogerichte controles moeten uitvoeren.

De accountant heeft echter alleen een beperkte steekproef gedaan bij de inkoopfacturen, betalingen en reisdossiers. En die was voornamelijk gericht op autorisatie. Deze steekproef leverde volstrekt onvoldoende controle-informatie op om het frauderisico tot een aanvaardbaar niveau te brengen.

De accountant heeft weliswaar systeemgerichte controlewerkzaamheden uitgevoerd. Maar gezien de aard van de transactiestromen, de interne beheersingsmaatregelen en de omzet van ongeveer twintig miljoen euro waren die te gering. De extra controlewerkzaamheden die de accountant naar eigen zeggen heeft uitgevoerd, waren niet specifiek gericht op eerdergenoemd frauderisico en waren onvoldoende.

Conclusie

De controlemaatregelen waren dus onvoldoende om goedkeurende controleverklaringen af te geven. Gezien het cumulatierisico was de fraude niet zo gering dat die de getrouwheid van de geconsolideerde jaarrekening niet beïnvloedde. Ook kan een accountant zich in dit geval niet verschuilen achter het ontbreken van een controle-opdracht.

De accountant heeft (de paragrafen 26 en 27 van) NV COS 600 niet toegepast, is onvoldoende professioneel-kritisch geweest en heeft daardoor in strijd gehandeld met het deskundigheids- en zorgvuldigheids- c.q. het vakbekwaamheids- en zorgvuldigheidsbeginsel. Op basis van de gebrekkige controle had hij geen (goedkeurend) oordeel mogen afgeven.

Dat NV COS 600 nog niet van toepassing was in het boekjaar 2009 maakt niet uit. Ook toen had de accountant het frauderisico professioneel-kritisch en met de nodige diepgang moeten onderzoeken.

Ad II

Of de jaarrekening door de nalatigheid nog wel een getrouw beeld gaf, kan de tuchtrechter niet beoordelen.

Maatregel

Berisping.

Annotatie Lex van Almelo

De Accountantskamer legt omstandig uit in hoeverre een groepsaccountant zich moet verdiepen in de risico’s van een meerderheidsdeelneming uit de groep. Ook als hij die deelneming volgens de contracten niet hoeft te controleren, moet de accountant extra controlewerkzaamheden uitvoeren als het risico van fraude materieel kan zijn of op den duur kan worden. Voor de inschatting van die risico’s moet hij - simpel gezegd - de effectiviteit testen van de fraudegerelateerde interne beheersingsmaatregelen bij de deelneming.

In de aangehaalde standaarden wordt een en ander uitgewerkt, maar het komt er eigenlijk gewoon op neer dat hij een professioneel-kritische instelling moet hebben, ook als de controle bij een groepsonderdeel niet is afgesproken. De kantoorgenoot en opvolger legde die instelling wel aan de dag, waarvoor hulde.