Hein Kloosterman

Marcel Pheijffer was helder: de big four-accountantskantoren weten goed in welke regio's en welke sectoren de risico's op steekpenningen en dergelijke groot zijn. Dat leidde hem tot de vraag - mijn vertaling - of die kantoren wel intensief genoeg controleren bij klanten die in risico-omgevingen werken.

Pheijffer verwees onder meer naar NVCOS 240. Daarin staat een aantal zinsneden die goed zijn om in het perspectief van statistical audit te plaatsen. Zoals: 'het onderkennen van de risico's van een afwijking van materieel belang die het gevolg is van fraude'. En de zinsnede 'het verkrijgen van voldoende en geschikte controle- informatie over de ingeschatte risico's van een afwijking van materieel belang die het gevolg is van fraude, door het opzetten en implementeren van passende maatregelen om op die risico's in te spelen'. En ten slotte: 'het op passende wijze inspelen op fraude of vermoede fraude die tijdens de controle wordt onderkend'.

Materialiteit: elke controleaanpak houdt rekening met materialiteit (die bij de audit van deze klant past).

Specifieke risico's: iedere controleaanpak houdt rekening met specifieke risico's. Er is dus geen 'paradigma shift' nodig om rekening te houden met het risico op het betalen van steekpenningen (of soortgelijke financiële smeerolie).

Focussend op gegevensgerichte controles: de hoeveelheid hiervan volgt normaliter uit controlerisico (5 procent), materialiteit en nul fouten in de steekproef. Het kan zijn dat de steekproefomvang groter wordt gekozen (men neemt de controletolerantie dan kleiner dan de materialiteit) om zo door heel kleine (relatieve) fouten niet direct naar 'af' te worden verwezen. De uitkomst is een 'brutosteekproefomvang'.

Als er risicoanalyse wordt toegepast komt men linksom of rechtsom tot een reductie op de 'brutosteekproefomvang'. Men gebruikt dan zogenoemde voorinformatie. Deze voorinformatie geeft dan aan dat er geen specifiek risico wordt verwacht, dan wel dat de AO/IB zo'n hoge kwaliteit heeft dat er vanuit mag worden gegaan dat een steekproef, van welke grootte dan ook, geen fouten zal laten zien.

Door middel van een query op de (details van de) verkopen kan men vaststellen of de desbetreffende cliënt opereert in een risicovolle regio. Als de cliënt (of een deel daarvan) handelt in en met een risicovolle regio betekent dat dat de accountant geen enkele reductie op de steekproef kan toepassen. Het betekent ook dat als de brutosteekproef geen foute elementen bevat, er toereikend bewijs is dat er geen sprake is van financiële smeerolie. De accountant mag dan overgaan 'tot de orde van de dag'.

Vindt de accountant daarentegen wel fouten in de steekproef en die fouten kunnen samenhangen met zulke financiële smeerolie, dan moet de accountant tenminste twee dingen doen.

In de eerste plaats schat hij wat het mogelijke financiële effect van de bevinding(en) is. Dat 'mogelijke' moeten we interpreteren als 'maximale, gegeven het audit risk'. Dat maximale effect kan door meerdere oorzaken onbepaald groot zijn. Men weet immers niet of er een boete volgt en ook niet hoe hoog die is. Ook reputatieschade is een element dat de potentiële - maximale - schade tot onbepaalde hoogten kan brengen. In dat geval zal al gauw de mogelijke fout (worst case) groter zijn dan de materialiteit.

In de tweede plaats moet de accountant de bevinding melden. Voor de ernst van dergelijke fouten gebruiken velen de term 'kwalitatieve materialiteit'. Ik zie de term 'kwalitatieve materialiteit' meer als een veiligheidsklep. In het algemeen is een kwantitatieve redenatie voldoende. Immers de term 'kwantitatieve materialiteit' houdt een bovengrens in, een worst case. En vaak is het maximale effect van 'gerommel' onbepaald hoog en dus is de worst case hoger dan de materialiteit.

Zo zien we dat als de accountant zijn werk doet en hij bijna uitglijdt over de financiële smeerolie, hij én iets te melden heeft bij de bedrijfsleiding en bij het Openbaar Ministerie.