Reconstructie van de controle
Kan een accountant aan de hand van het door u bewaarde bewijsmateriaal reconstrueren wat er is gebeurd?
Een audit is niet gebaseerd op herinneringen, maar op bewijsmateriaal. Wanneer de kwestie serieus wordt, moet de organisatie het brondocument, de procedure, de beoordeling, de conclusie en de verantwoordelijke persoon kunnen aantonen. Als die schakels ontbreken, kan het dossier nog zo volledig zijn, maar toch niet voldoen aan de eisen van de norm ‘reconstruction’.
Auditreconstructione is niet hetzelfde als auditgereedheid
Auditvoorbereiding zorgt ervoor dat de organisatie klaar is voor de controle. Bij auditreconstructione wordt nagegaan of aan de hand van het bewijsmateriaal achteraf de werkelijke volgorde van gebeurtenissen kan worden gereconstrueerd. Welke bronstukken waren er? Welke procedure is uitgevoerd? Welk bewijsmateriaal is verzameld? Welke conclusie is daaruit getrokken? Wie heeft dit gecontroleerd? Wanneer die keten zichtbaar is, spreekt het auditdossier voor zich, zonder dat er uitleg nodig is.
Een eindrapport kan er volledig uitzien, terwijl de bewijsketen die eraan ten grondslag ligt onmogelijk te volgen blijft.
Dat is waar veel dossiers tekortschieten. Ze bevatten resultaten, samenvattingen en goedkeuringen. Ze laten niet altijd zien hoe die resultaten zijn afgeleid uit het oorspronkelijke bewijsmateriaal. De auditor moet dan mensen vragen om het dossier toe te lichten. Dat is op zich al een tekortkoming.
Uit het bewijs moet de conclusie voortvloeien
Auditnormen zijn gericht op bewijsmateriaal, omdat conclusies een redelijke grondslag moeten hebben. Dat betekent niet dat het dossier omvangrijk moet zijn. Het betekent wel dat uit het dossier moet blijken welke werkzaamheden zijn verricht, welk bewijsmateriaal is verzameld en tot welke conclusie is gekomen. Omvang is niet hetzelfde als ‘reconstruction’.
Het gevaarlijke dossier is niet altijd leeg. Soms zit het vol. Het probleem is dat niemand het van het begin tot het oordeel kan doornemen zonder dat iemand uitlegt wat de gegevens betekenen.
Een reconstrueerbaar auditverslag legt het traject vast. Het geeft een overzicht van het oorspronkelijke materiaal, de toegepaste controle of procedure, het beoordeelde bewijsmateriaal, de in aanmerking genomen afwijking en de reden waarom een conclusie kon worden getrokken.
Vier koppelingen die een auditbestand moet bevatten
Bronrecord geïdentificeerd
Uit het bestand moet blijken welk origineel document, welke systeemexport, welk besluitdocument, welk logboek of welk bewijsstuk is gebruikt.
Gekoppelde procedure
Uit het dossier moet blijken wat er met dat bronrecord is gedaan en waarom de procedure relevant was.
Beoordeeld bewijsmateriaal
Uit het dossier moet blijken op basis van welk bewijsmateriaal de conclusie is getrokken en welke onzekerheden of uitzonderingen er nog waren.
Conclusie: traceerbaar
De uiteindelijke conclusie moet in verband blijven staan met het verrichte werk, het verkregen bewijsmateriaal en de verantwoordelijke beoordelaar.
Waar de film ‘audit reconstruction’ tekortschiet
Van auditmateriaal tot reconstrueerbaar bewijsmateriaal
Standaard - Basis voor gestructureerde dossiers
Standaarden helpen bij het ordenen van feiten, bewijsmateriaal, reikwijdte, verplichtingen en beslissingen, zodat het dossier een duidelijkere basis heeft voordat er sprake is van escalatie, beoordeling of auditdruk.
Pro - Laag voor bestuur en integriteit
Pro voegt beleidsdocumenten toe met betrekking tot de integriteit van bewijsmateriaal, verantwoordelijkheid voor besluitvorming, grenzen van toegangscontroles en corrigerende maatregelen.
Dossier Secure Enterprise wordt ontwikkeld als een ‘forensic governance’-infrastructuur. Het doel ervan is om gebeurtenissen, actoren, beleidsevaluaties, beslissingen, bewijsobjecten, outputs, hashes en audit trail’s met elkaar te verbinden tot een reconstrueerbare bewijsketen.
Uitleg over de audit-reconstruction
Wat is 'audit reconstruction'?
Auditreconstruction: het vermogen om aan de hand van bewaarde documenten te reconstrueren wat er is gebeurd: welk bewijsmateriaal er voorhanden was, welke procedure werd gevolgd, wie het heeft gecontroleerd, tot welke conclusie werd gekomen en of het document achteraf kan worden begrepen zonder dat men zich de gebeurtenis hoeft te herinneren of uitleg nodig heeft.
Waarin verschilt „audit reconstruction” van „audit readiness”?
Auditvoorbereiding zorgt ervoor dat de organisatie klaar is voor een audit. Bij de auditreconstructione wordt getoetst of het bewaarde bewijsmateriaal later kan aantonen wat er daadwerkelijk is gebeurd en waarom een bepaalde conclusie is getrokken.
Wat hebben auditors nodig om een besluit te reconstrueren?
Ze hebben een document nodig waarin het bronmateriaal, de procedure, het bewijsmateriaal, de beoordeling, de conclusie en de verantwoordelijkheid met elkaar in verband worden gebracht. Een eindrapport alleen is niet voldoende als de onderliggende keten niet kan worden nagegaan.
Wat gaat er mis bij de „audit reconstruction”?
De audit reconstruction mislukt wanneer het bewijsmateriaal versnipperd is, de versies onduidelijk zijn, de conclusies niet aan de bronstukken zijn gekoppeld, de verantwoordelijkheid vaag is of de organisatie afhankelijk is van uitleg van mensen over wat er niet uit het dossier blijkt.
Is Dossier Secure Enterprise nu volledig operationeel voor audit reconstruction?
Nr. Dossier Secure Enterprise wordt momenteel actief ontwikkeld en ontworpen als een ‘forensic governance’-infrastructuur. De versies Standard en Pro vormen de huidige basis voor gestructureerde dossiers.
Ga na of uw auditdossier kan worden gereconstrueerd
Als uit uw dossier niet blijkt dat het bronbewijs verband houdt met de procedure, de beoordeling en de conclusie, is het dossier nog niet verdedigbaar.