Een betrouwbaar datanetwerk is voor het management van veel organisaties van levensbelang. Veel bedrijfsprocessen bij middelgrote en grote organisaties zijn volledig afhankelijk van de permanente beschikbaarheid van een goed beveiligd netwerk. Zeker wanneer een bedrijf landelijk of internationaal opereert is het netwerk niet alleen van jezelf, maar wordt gebruikgemaakt van een netwerkserviceprovider. KPN opereert in Nederland als één van de grootste netwerkserviceproviders. Dit artikel gaat na op welke wijze het management van zowel de opdrachtgevende partij als de serviceproviderpartij een bijdrage kan leveren aan het vertrouwen in de kwaliteit van het netwerk. Speciﬁek wordt ingegaan op de rol van onafhankelijke kwaliteitstoetsing in de vorm van een TPM. Bij een third-partymededeling geeft een onafhankelijke (derde) auditinstantie een oordeel (TPM) over de kwaliteit van de beheerprocessen, de informatiebeveiliging en de daarmee gerelateerde besturing van de (netwerk)dienstverlening van KPN aan klantorganisaties.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Productcatalogus

Sinds het Amerikaanse AICPA in 1982 Statement on Auditing Standards No.44, Special-Purpose Reports on Internal Accounting Controls at Service Organizations uitbracht, zijn er door diverse beroepsregelgevende instanties en standaardisatielichamen regels en protocollen gepubliceerd voor de uitvoering van TPM-onderzoeken. Een aantal hiervan wordt in deze reeks artikelen behandeld.

Klik hier voor een inleiding op de reeks artikelen en een overzicht van de artikelen.

Inleiding

Na jarenlange voorbereiding is in september 2001 in Nederland de Wet bescherming persoonsgegevens (Wbp) officieel van kracht geworden. Na een overgangstermijn van een jaar moeten (vrijwel) alle organisaties in Nederland voldoen aan de eisen die de Wbp stelt ten aanzien van verwerkingen van persoonsgegevens. Persoonsgegevens zijn gegevens die betrekking hebben op natuurlijke en identificeerbare personen.

Naast de wettelijke sancties voor het zich niet houden aan de privacywet kan een organisatie ook bedrijfsschade oplopen in het geval zij niet voldoet aan de privacywetgeving. Misstappen op dit gebied kunnen voor een organisatie immers leiden tot negatieve publiciteit, geschonden vertrouwen, verlies van marktaandeel en civielrechtelijke schadeclaims.

Als gevolg van de toenemende mate van elektronische beschikbaarheid van een grote hoeveelheid persoonlijke gegevens en de toenemende technische mogelijkheden om op relatief eenvoudige wijze koppelingen tussen geautomatiseerde gegevensbestanden te realiseren is er begrijpelijkerwijs een maatschappelijke onrust over wat er met die persoonsgegevens allemaal achter de rug van de betrokkene om gebeurt. Door koppeling van gegevensbestanden worden de herkomst en het gebruik van gegevens nog moeilijker te traceren. Op deze wijze kunnen de persoonsgegevens die op het eerste oog relatief onschuldig zijn, een andere betekenis krijgen.

Daarom ontstaat er bij organisaties, waaronder zeker de overheid geschaard kan worden, soms de behoefte expliciet naar de markt toe duidelijk te maken dat zij in ieder geval goed omgaan met de bescherming van de bij hen aanwezige persoonsgegevens. Het kunnen overleggen van een ‘bewijs van goed gedrag’ zou daarbij zeer behulpzaam kunnen zijn.

C-2003-3-Oeveren-02

Tabel 1. Overzicht diepgang productenset.

Bewijs van goed gedrag

Aan zo’n bewijs van goed gedrag, een privacycertificaat, wordt nu hard gewerkt. Het Samenwerkingsverband Audit Aanpak, bestaande uit het College Bescherming Persoonsgegevens (CBP) en een aantal beroepsorganisaties van auditors[De volgende organisaties waren onder meer betrokken bij de ontwikkeling van privacy-assuranceproducten: NOREA, NIVRA, NovAA en ISACA.], heeft het Raamwerk Privacy Audit opgesteld op basis waarvan ‘geaccrediteerde certificeerders’ toetsen of een organisatie voldoet aan de (minimale) eisen die gesteld worden aan goed gedrag, dus in overeenstemming met de van toepassing zijnde wet- en regelgeving. De strekking van een privacycertificaat dient voor de maatschappelijke acceptatie helder en eenduidig geformuleerd te zijn. De wereld die achter een certificaat schuilgaat, is omvangrijk en complex. Het is daarom noodzakelijk eisen te formuleren over de betekenis en inhoud van het certificaat en eisen te formuleren over de deskundigheid van degene die het certificaat afgeeft. Het Samenwerkingsverband Audit Aanpak heeft daartoe een drietal producten ontwikkeld, die een gelaagde opbouw kennen en daardoor verschillen in reikwijdte en diepgang. Naar zwaarte gerangschikt zijn de volgende producten op het gebied van privacy beschikbaar: de Quickscan, de Wbp Zelfevaluatie en het Raamwerk Privacy Audit[Deze producten kunnen worden gedownload via de website van het CBP op www.cbpweb.nl.].

De Wbp Zelfevaluatie is een product dat ontwikkeld is ten behoeve van de leiding van een organisatie. De betreffende vragenlijst kan het beste in een soort van workshop worden ingevuld, waarbij de aanwezigen gezamenlijk kennis hebben van de bedrijfsprocessen waarin persoonsgegevens worden verwerkt, de veelal onderliggende automatisering en natuurlijk van de privacywet. De Wbp Zelfevaluatie is een methode om op systematische wijze tot een zelfstandig oordeel te komen over de mate van privacybescherming in de organisatie.

Zowel de Wbp Zelfevaluatie als het Raamwerk Privacy Audit is opgebouwd rondom negen aspecten die direct verband houden met de Wbp (zie tabel 2). In het Raamwerk Privacy Audit zijn verder nog eisen gesteld aan de ‘organisatie van de verwerking’, dus vrijwel de automatiseringsorganisatie, en het toezicht dat daarop wordt uitgeoefend (de ‘evaluatie van de verwerking’).

C-2003-3-Oeveren-03

Tabel 2. De negen aspecten van de Wbp. [Klik hier voor grotere afbeelding]

Op dit moment wordt nog hard gewerkt aan de zogenaamde accreditatie- en certificatieschema’s. Het accreditatieschema regelt wie privacycertificaten mogen afgeven en wie daarop toezicht zal houden. Door deze regelingen ontstaat een nationaal erkend privacycertificaat, waarvan verzekerd is dat het is afgegeven en wordt onderhouden op basis van een deugdelijk onderzoek. Hoe dat deugdelijk onderzoek precies moet verlopen, staat vervolgens in het certificatieschema; voor de volledigheid zij nogmaals aangegeven dat wat onderzocht moet worden reeds is vastgelegd in het Raamwerk Privacy Audit.

Op weg naar het certificaat

Veelal zal een certificaat niet voor alle verwerkingen van persoonsgegevens in een organisatie nuttig zijn. Het management zal dus moeten aangeven welke verwerkingen met name voor certificering in aanmerking komen. Daarbij kan eventueel worden aangesloten op het in tabel 3 gegeven schema, afkomstig uit AV23 ([Blar01]).

C-2003-3-Oeveren-04

Tabel 3. Schema voor het bepalen van de risicoklasse.

Voor deze processen zal het management, bijvoorbeeld via de zelfevaluatie of een gericht onderzoek van een privacydeskundige, zich eerst zelf willen vergewissen van de vraag of de organisatie inderdaad aan de vereiste wet- en regelgeving voldoet. Na eventuele correcties zal vervolgens de verantwoordelijke een verklaring van compliance afgeven, waarmee wordt aangegeven dat de organisatie gereed is voor de certificatie.

Privacycertificering

In Nederland is er nog geen organisatie die in het bezit is van een privacycertificaat afgegeven op basis van het Raamwerk Privacy Audit, maar dat zal niet lang meer op zich laten wachten, omdat het genoemde Samenwerkingsverband inmiddels vergevorderd is met het accreditatie- en certificatieprogramma.

Naar verwachting zal begin 2004 het eerste certificaat kunnen worden afgegeven. Daarbij zal het volgende model waarschijnlijk van toepassing zijn:

geldigheidstermijn van drie jaar, met enkele tussenliggende herhalingsaudits;
geen kritische non-conformaties en
gericht op negen V-normen uit tabel 1 en aanvullende zekerheid dat de standaard-beveiligingsmaatregelen rond de automatisering van de gegevensverwerking zijn gewaarborgd. Deze normen zijn ook opgenomen in het Raamwerk Privacy Audit.

ZekeRE Privacy

Op eigen initiatief heeft NOREA de Handleiding ZekeRE-privacy uitgegeven. Deze handleiding is gebaseerd op het Raamwerk Privacy Audit en bedoeld voor de IT-auditor die in opdracht van een cliënt de kwaliteit van de verwerking van persoonsgegevens beoordeelt. De beoordeling richt zich hoofdzakelijk op het stelsel van internecontrolemaatregelen ter bescherming van de privacy. Hiertoe behoren zowel organisatorische als technische controlemaatregelen.

In bijlage I van de Handleiding ZekeRE-privacy heeft NOREA een matrix opgenomen waarin voor de aspecten rondom de verwerking van persoonsgegevens, de aard en de diepgang van de werkzaamheden nader zijn beschreven. Per aspect wordt daarbij ingegaan op toleranties (deficiënties) en non-conformiteiten die tijdens de audit naar voren zouden kunnen komen. Bijlage II van de handleiding bevat een voorbeeld voor een eventueel af te geven ZekeRE Privacy-oordeel door de gekwalificeerde IT-auditor.

Literatuur

[Blar01] G.W. van Blarkom en drs. J.J. Borking, Beveiliging van persoonsgegevens, Registratiekamer, Achtergrondstudies en Verkenningen 23, april 2001.

[Gils01] H.G.Th. van Gils en J.P.M.J. Leerentveld, De rol van de auditor bij de implementatie van de Wbp, Compact 2001/4.

[NORE02] Nederlandse Orde van Register EDP-Auditors (NOREA), Handleiding ZekeRE-privacy, 2001/2002.

[SAAC01a] Samenwerkingsverband Audit Aanpak/Cbp, Raamwerk Privacy Audit, Den Haag 2001.

[SAAC01b] Samenwerkingsverband Audit Aanpak/Cbp, Wbp Zelfevaluatie, Den Haag 2001.

[SAAC01c] Samenwerkingsverband Audit Aanpak/Cbp, Quickscan, Den Haag 2001.

Productcatalogus

Klik hier voor een inleiding op de reeks artikelen en een overzicht van de artikelen.

Inleiding[Dit artikel is in hoge mate gebaseerd op de handleiding ZekeRE-Business van de NOREA ([NORE01]).]

Bij business-to-business handel via internet (e-B2B) is het vertrouwen in de elektronische handelspartner van groot belang, niet alleen qua organisatie, maar zeker ook qua techniek. Vertrouwen dient enerzijds te worden verdiend en anderzijds door waarborgen te zijn omgeven, waardoor dit vertrouwen gehandhaafd blijft. De NOREA, de beroepsorganisatie van gekwalificeerde IT-auditors in Nederland, heeft op deze behoefte aan vertrouwen ingespeeld door de ontwikkeling van het certificeringsproduct ZekeRE Business.

Dit product heeft als doel de gekwalificeerde IT-auditor en diens opdrachtgever een handvat te bieden om in een aantal stappen na te gaan of en zo ja, in welke mate het gebruik van internet in een bepaald bedrijfsproces als ‘veilig'[De NOREA verstaat onder het begrip veilig het ruime scala van kwaliteitsaspecten, zoals integriteit, exclusiviteit en continuïteit.] kan worden beschouwd dan wel kan worden gemaakt. ZekeRE Business is gericht op Nederland en tot op heden is slechts een beperkt aantal certificaten uitgereikt.

Betrokken partijen

ZekeRE Business beoogt een antwoord te zijn op een behoefte van managers aan steun en zekerheid wanneer zij internet gebruiken of willen gaan gebruiken in een bedrijfsproces dat is gericht op e-B2B (zowel handel als zakelijke dienstverlening). Bij de ontwikkeling van ZekeRE Business was het doel immers het verantwoordelijke management een goede ‘nachTrust’ te geven. De primaire gebruiker van ZekeRE Business en tevens opdrachtgever is dus het verantwoordelijke management van de e-B2B-toepassing.

Onder voorwaarden kan ook een openbaar certificaat worden afgegeven om op de internetsite van de e-B2B-toepassing te plaatsen. Hierdoor kan ook vertrouwen worden gegeven aan de e-B2B-handelspartners van de opdrachtgever. Een certificaat kan worden afgegeven door iedere organisatie, indien de eindverantwoordelijkheid voor het certificeringstraject bij een gekwalificeerde IT-auditor (RE) ligt.

In feite kan worden gesteld dat, indien de ZekeRE Business-mededeling niet aan derden wordt verstrekt en er geen openbaar certificaat wordt afgegeven, dit onderzoek is te classificeren als een adviesopdracht. Immers, voor een assuranceopdracht zijn drie partijen een vereiste, te weten de serviceprovider (in dit geval de opdrachtgever), de auditor en de gebruiker van de mededeling (zijnde niet de serviceprovider zelf). In het artikel van Van Langen elders in deze Compact, dat mede is gebaseerd op het auditframework ‘International Standard on Auditing 100’ van de International Federation of Accountants ([IFAC00]), wordt deze zienswijze verder toegelicht.

Onderzoek

De scope van ZekeRE Business beslaat alle beheermaatregelen die in het kader van het te auditen e-businessproces (zullen) zijn getroffen. Hiertoe behoren alle technologische en organisatorische maatregelen die invloed hebben op de veilige werking van het e-businessproces en dus op de zekerheid die de opdrachtgever aan zijn businesspartners kan bieden. Indien procesonderdelen zijn uitbesteed aan andere organisaties, dan behoren ook deze subprocessen tot de scope van de audit. De door de IT-auditor uit te voeren audit heeft onder andere betrekking op:

het e-businessproces en de daarbijbehorende informatiesystemen;
de relatie met de internetserviceprovider, inclusief het communicatietraject.

Aan de opdrachtgever wordt voorafgaand aan de ZekeRE Business-audit een beleidsdocument gevraagd waarin ten minste de volgende zes aandachtsgebieden dienen te zijn uitgewerkt: contentmanagement, infrastructuur, berichtenverkeer, transacties, logistieke organisatie en financiële organisatie.

Vervolgens wordt in samenspraak met de opdrachtgever het e-businessprofiel vastgesteld. Deze classificatie beoogt een kader te scheppen voor de beoordeling van de specifieke risico’s en het gewenste veiligheidsniveau dat is afgestemd op de aard van de onderneming. De e-businessprofielen die worden onderscheiden, zijn:

Aanvullend. E-business is een aanvulling op of uitbreiding van de dienstverlening. Beveiliging en inperking van risico’s zijn impliciet wettelijk vereist. De opdrachtgever treedt op als goed huisvader.
Belangrijk. E-business is van strategisch belang. Het beveiligingsniveau zal dus aan strengere eisen moeten voldoen.
Essentieel. E-business van de organisatie heeft maatschappelijke impact. Schending van de beveiliging heeft dan ook maatschappelijke gevolgen.

Zoals in de Handleiding ZekeRE-business is beschreven, geeft goed huisvaderschap de ondergrens aan van de zorgvuldigheidsnorm: er kan pas sprake zijn van goed huisvaderschap als aan de wettelijke eisen is voldaan, zoals de Wet bescherming persoonsgegevens (Wbp). De meeste organisaties vallen dus in de categorie ‘Aanvullend’. Slechts een beperkt aantal organisaties valt in de categorie ‘Belangrijk’. Dit betreft organisaties die geen alternatieven hebben voor het gebruik van internet in hun bedrijfsproces. Hierbij kan worden gedacht aan webwinkels en pure internetbanken. In de categorie ‘Essentieel’ zijn slechts zeer weinig organisaties te classificeren. Immers, de maatschappelijke gevolgen van schending van de beveiliging zijn voor vrijwel alle organisaties beperkt. Een voorbeeld van een (in Nederland nog niet bestaande) organisatie waarbij die gevolgen wel zijn voor te stellen, is de (overheids)organisatie die het stemmen via internet exploiteert.

De NOREA stelt in de ZekeRE Business-productbeschrijving een doelstellingenmatrix beschikbaar, bestaande uit enerzijds normen onderverdeeld in de genoemde zes aandachtsgebieden en anderzijds per norm de veiligheidscriteria die relevant zijn (exclusiviteit, integriteit, authenticiteit, onweerlegbaarheid, continuïteit en controleerbaarheid). Op basis van deze doelstellingenmatrix en het vastgestelde e-businessprofiel stelt de IT-auditor samen met de opdrachtgever de ZekeRE Business-normen vast waaraan het e-businessproces moet voldoen. Vervolgens voert de IT-auditor de audit uit en bepaalt op basis van professional judgement of het samenstel van getroffen beheermaatregelen gedurende de verslagperiode in opzet, bestaan en werking heeft voldaan aan de vastgestelde ZekeRE Business-normen.

Uitkomsten

Ter afsluiting van de ZekeRE Business-audit[In de ZekeRE Business-productbeschrijving, die op de NOREA-website beschikbaar is gesteld, is de aanpak uitgebreid beschreven. In deze beschrijving is ook informatie opgenomen over het certificaat en de administratiekosten die hierover aan de NOREA verschuldigd zijn.] zal aan de opdrachtgever worden gerapporteerd. Deze rapportage bevat de gehanteerde normen, de bevindingen en – met een redelijke mate van zekerheid – het oordeel over de mate waarin opzet, bestaan en werking van de getroffen beheermaatregelen met betrekking tot het e-businessproces gedurende de verslagperiode hebben voldaan aan de vastgestelde ZekeRE Business-normen.

C-2003-3-Oeveren-01

Indien de opdrachtgever dat wil, kan onder voorwaarden een ZekeRE Business-certificaat worden afgegeven. Dit certificaat is openbaar en wordt door de NOREA geregistreerd. De NOREA kent aan het certificaat een geldigheidsduur toe en heeft die gesteld op zes maanden vanaf het einde van de verslagperiode. Organisaties en de stand van de techniek zijn immers continu aan verandering onderhevig, waardoor herhaling van de audit elke zes maanden noodzakelijk is.

Literatuur

[ISAC03] Information Systems Audit and Control Association & Foundation (ISACA), IS Auditing Guideline Reporting 070.010, oktober 2002.

[NORE01] Nederlandse Orde van Register EDP-auditors (NOREA), Handleiding ZekeRE-business, januari 2001.

De TPM in de VBTB-arena

Dit artikel heeft als doel een overzicht te geven van de ontwikkelingen binnen de rijksoverheid ten aanzien van het gebruik van een derdenmededeling door de auditdiensten en het lijnmanagement. Ingegaan wordt op de vraag wat er verandert in de werkzaamheden van de IT-auditor bij de implementatie van de regeringsnota ‘Van Beleidsbegroting Tot Beleidsverantwoording’ (VBTB). De bedoeling is dat het management zich zal moeten verantwoorden voor de door hem verrichte werkzaamheden, terwijl de auditdiensten van de respectievelijke departementen zich meer en meer zullen richten op de review van deze verantwoording.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Third-partymededelingen: de ervaringen van de gebruikersorganisaties

Het begrip third-partymededeling (TPM) is onder IT-auditors inmiddels een redelijk ingeburgerd begrip. In deze kringen heeft iedereen wel een idee wat een TPM inhoudt en welk doel zij dient, alhoewel nog wel verschillen van inzicht bestaan omtrent de ﬁnities, mate van zekerheid en wijze van rapportage. Buiten IT-auditingland begint de bekendheid van het begrip TPM te groeien, zowel onder IT-serviceproviders als hun klanten (gebruikersorganisaties). Deze laatste groep kan – samen met hun externe accountant – worden beschouwd als de primaire doelgroep van een TPM. Omdat het voor zowel IT-serviceproviders als IT-auditors interessant is te weten hoe gebruikersorganisaties een TPM ervaren en in hoeverre een TPM voor hen een toegevoegde waarde heeft, is een aantal gebruikersorganisaties over dit onderwerp geïnterviewd. De resultaten van deze interviews zijn verwerkt in dit artikel.

Klik op het pdf-symbool om het volledige artikel te bekijken.

SOX 404-implementatie in de praktijk: het proces van ‘trust me’ naar ‘prove me’

Tot nu toe wordt vooral veel over de Sarbanes-Oxley regelgeving geschreven en gesproken. Maar zodra wordt nagedacht over de vertaling van de regelgeving naar de praktijk en de wijze waarop een structureel effectief stelsel van interne beheersingsmaatregelen dient te worden geïmplementeerd, ontstaan nog veel vragen. In dit artikel wordt ingegaan op de praktijk van de SOX 404-implementatie. Over de vraagstukken, de randvoorwaarden, de keuzen, de aanpak en de hulpmiddelen.

Inleiding

In het artikel van Van Kuijck en Bogtstra in deze Compact is uiteengezet wat met name de SOX 302- en 404-regelgeving behelst. In dit artikel wordt verder ingegaan op de praktische implementatie van SOX 404. SOX 404 gaat over de structurele verantwoording van het management over de interne controle met betrekking tot de ‘financial statements’, wat tevens expliciet bewezen moet kunnen worden aan de buitenwereld via een verklaring van de onafhankelijk accountant. Hierin zit nu net het praktische ‘probleem’ van de 404-verklaring. Veel organisaties zijn immers al langer bezig met het periodiek verstrekken van ‘letters of representation’ of ‘statement on business controls’-verklaringen door leidinggevenden. In veel gevallen is dan weliswaar een algemeen raamwerk aanwezig waaraan wordt gerefereerd, maar ontbreekt vaak een mechanisme waarmee de leidinggevende structureel kan vaststellen dat inderdaad binnen de business group/divisie/unit wordt gewerkt conform dit raamwerk. Om in accountantstermen te spreken: de opzet is aanwezig, maar het ontbreekt aan een mechanisme waarmee structureel bestaan en werking worden vastgesteld, dat vervolgens ook nog eens door een accountant wordt geattesteerd. Juist ten aanzien van het structureel kunnen aantonen van het bestaan en de werking is SOX 404 afwijkend te noemen.

Ook de Nederlandse Concept Code Corporate Governance stipt dit thema op onderdelen aan: er moet een goed intern risicobeheersings- en controlesysteem zijn, het bestuur moet een onderbouwde verklaring over de adequate werking daarvan opstellen, en moet het thema met de commissarissen bespreken. Duidelijke handvatten ontbreken echter. Zo is bijvoorbeeld niet duidelijk aan welke normen/standaarden, zoals het in de Verenigde Staten gebruikte COSO-framwork, de interne controle moet worden getoetst. Ook worden geen aanwijzingen gegeven hoe het management moet vaststellen of de interne controle en beheersing op een adequaat niveau is. SOX 404 vereist daarentegen expliciet dat het stelsel van interne beheersing van de financiële verantwoordingsinformatie aantoonbaar effectief dient te zijn. Dit is het verschil tussen ‘trust me’ en ‘prove me’.

SOX 404 betekent in de praktijk dat het management dient te beschikken over een internecontrolestructuur die voldoet aan specifieke eisen. Zo moet bij een SOX 404-implementatie rekening worden gehouden met het feit dat de scope van de implementatie direct moet zijn gekoppeld aan de financiële verantwoording (gedocumenteerde relatie tussen jaarrekening en processen (figuur 1)). Tevens vereist SOX 404 dat de internecontroleactiviteiten worden gedocumenteerd en voldoen aan een algemeen geaccepteerd normenkader, bijvoorbeeld het COSO-raamwerk (figuur 3). Daarnaast dient periodiek de werking van de internecontroleactiviteiten te worden vastgesteld door het management en dient daarover structureel verantwoording te worden afgelegd.

C-2003-3-Brouwers-01

Figuur 1. Mededeling interne beheersing in de praktijk (SOX 404).

Bovenstaande eisen van SOX 404 kunnen leiden tot basale, maar complexe vraagstukken. Hoe moet nu precies de scope worden bepaald? Welke business units en afdelingen moeten worden meegenomen in de scope? Welke internecontroleaspecten zijn van belang en wat is het niveau van diepgang dat moet worden bereikt? In hoeverre betekent de implementatie een continuering, aanvulling of wijziging van de bestaande interne controle? Welke (geautomatiseerde) hulpmiddelen kunnen/moeten ondersteunen? Wat is een effectieve en efficiënte aanpak om te komen tot een implementatie?

Aan de hand van de SOX 404-implementatieaanpak zoals KPMG die voorstaat wordt in dit artikel praktijkgericht ingegaan op de bovengenoemde vraagstukken.

Implementatie in zes stappen

Een effectieve en efficiënte aanpak voor de SOX 404-implementatie dient rekening te houden met de overwegingen ten aanzien van scope en diepgang, alsmede met de bestaande interne controlestructuur van de organisatie. Als voorbeeld voor een implementatieaanpak wordt in dit artikel de aanpak van KPMG besproken.

KPMG hanteert een zesstappenmodel voor de implementatie van SOX 404. De stappen zijn (zie figuur 2):

planning en scope van de evaluatie;
documenteer controleactiviteiten;
beoordeel opzet en goede werking;
identificeer en herstel gebreken en leemtes;
rapporteer over interne beheersing;
onafhankelijke internal control audit.

C-2003-3-Brouwers-02

Figuur 2. Naar een oordeel over interne beheersing in zes stappen.

Hieronder wordt de implementatieaanpak verder uiteengezet met praktijkvoorbeelden en voorbeelden van geautomatiseerde ondersteuning.

Stap 1. Planning en scope van de evaluatie

In een SOX 404-implementatie moet rekening worden gehouden met de specifieke aspecten die de regelgeving met zich meebrengt. Een SOX 404-implementatie wordt bijvoorbeeld gekenmerkt doordat deze betrekking heeft op de hele organisatie, multidisciplinaire kennis en ervaring vereist (van bijvoorbeeld de interne controle, financiële rapportage en bedrijfsrisico’s, en de kritieke bedrijfsprocessen en organisatieonderdelen), en de bestaande interne controle als uitgangspunt neemt. Tevens moet rekening worden gehouden met de norm en randvoorwaarden voor interne controle, zoals de SEC suggereert in de uitvoeringsregeling (de SEC noemt COSO als voor de hand liggend raamwerk). In de planning en scope-fase van het project zal het management daarom fundamentele beslissingen moeten nemen over onder andere:

organisatie, planning en resources;
scope;
norm/diepgang;
bestaande interne controle;
inrichting van het evaluatieproces;
toewijzing verantwoordelijkheden;
geautomatiseerde hulpmiddelen.

Organisatie, planning en resources

Het management zal bij het opzetten van de projectorganisatie en planning, rekening houdend met de karakteristieken van een SOX 404-implementatie, een aantal fundamentele overwegingen moeten maken. Voorbeelden zijn:

Op welke wijze zal het project waarborgen dat alle relevante organisatieonderdelen en bedrijfsprocessen voldoende aandacht krijgen? Wordt bijvoorbeeld een pilot/roll-out-aanpak gehanteerd, of wordt het project per onderdeel gedelegeerd?
Wat zullen de mijlpaalproducten zijn en welke tijdsplanning is realistisch?
Welke resources worden ingezet en hoe worden deze toegewezen/vrijgemaakt? Worden bij het project specialisten betrokken op gebied van bijvoorbeeld de branche, forensisch onderzoek, IT-audit en fiscaliteit/belasting?

Scope

Eén van de eerste vraagstukken waarmee een organisatie wordt geconfronteerd bij de SOX 404-implementatie is het vaststellen van de scope. Bepaald moet worden over welke bedrijfsonderdelen en bedrijfsprocessen in het kader van SOX 404 verantwoording moet worden afgelegd. De relatieve financiële invloed van een organisatieonderdeel op de financiële verantwoording speelt derhalve een centrale rol in het bepalen van de scope van de SOX 404-implementatie.

Om tot een gefundeerde scope te komen dient de organisatie een (strategische) analyse uit te voeren van de totale organisatie. Hierbij moet er naast de materialiteit in relatie tot de financiële verantwoording, aandacht zijn voor externe en interne factoren, kritieke bedrijfsprocessen, de mate van homogeniteit tussen organisatieonderdelen en de mate van (de)centralisatie. Belangrijk is ook het management van de bedrijfsonderdelen hierin te betrekken. Dit management kent immers de specifieke ontwikkelingen en risicofactoren van de bedrijfsonderdelen (zoals ontwikkeling van nieuwe business of de implementatie van een nieuw ERP-systeem). Andere aandachtspunten die van belang zijn in de scope zijn wet- en regelgeving en fraudegevoeligheid.

Vervolgens is het van belang dat de uiteindelijke beslissing over de scope wordt vastgelegd en in voldoende mate wordt onderbouwd. De externe accountant zal namelijk (de onderbouwing van) de scope moeten beoordelen om die als uitgangspunt te kunnen hanteren voor een beoordeling van de totale SOX 404 interne controle.

Norm/diepgang

Naast de scope wordt het management geconfronteerd met het vraagstuk omtrent de norm die moet worden gehanteerd bij de SOX 404-implementatie. De SEC noemt het COSO-raamwerk voor interne beheersing als mogelijk te hanteren raamwerk. COSO[Onlangs is een conceptversie van een vernieuwd COSO Enterprise Risk Management-raamwerk uitgebracht (www.erm.coso.org). Het nieuwe (concept) raamwerk hanteert acht componenten in plaats van de huidige vijf. Hierin wordt ook de betrouwbaarheid van de financiële rapportage als één van de categoriën onderkend. In dit artikel is het huidige COSO-raamwerk gepresenteerd.] definieert interne controle als een proces (dat wordt uitgevoerd door de Raad van Bestuur, het management en ander personeel) dat is ontworpen om redelijke zekerheid te verschaffen omtrent het behalen van doelstellingen. COSO deelt de genoemde doelstellingen in categorieën in. Dit betreft:

betrouwbaarheid van de financiële rapportage;
effectiviteit en efficiëntie van de bedrijfsvoering;
wet- en regelgeving.

C-2003-3-Brouwers-03

Figuur 3. COSO-raamwerk.

SOX 404 is gericht op de eerste doelstelling: de betrouwbaarheid van de financiële rapportage. COSO deelt vervolgens de interne controle van een organisatie in vijf componenten in. Dit betreft:

Controleomgeving. De controleomgeving bepaalt de wijze waarop de organisatie omgaat met interne controle en de mate waarin de medewerkers controlebewust zijn.
Risicobeoordeling. De interne en externe risico’s van een organisatie dienen te worden vastgesteld op organisatie-, (hoofd/sub)proces- en transactie/activiteit-niveau.
Beheersingsactiviteiten. De beheersingsactiviteiten zijn de beleidslijnen en procedures die waarborgen dat de bedrijfsdoelstellingen en richtlijnen van het management worden behaald/nageleefd.
Informatie & Communicatie. Relevante informatie dient te worden geïdentificeerd, vastgelegd en gecommuniceerd in zodanige vorm en tijdspanne dat zij de andere controleaspecten effectief ondersteunt.
Monitoring. De werking van de interne controle dient periodiek te worden geëvalueerd en de uitkomsten hiervan dienen te worden vastgelegd en gerapporteerd.

Voor een meer gedetailleerde beschrijving verwijzen wij naar COSO.

Bestaande interne controle

Organisaties beschikken over een bestaande internecontrolestructuur. Het ligt daarom voor de hand om de bestaande internecontrolestructuur als uitgangspunt te nemen. Ten behoeve van de projectinrichting en -planning zal het management daarom moeten nagaan wat de huidige kwaliteit is van interne controle en de mate waarin deze is gedocumenteerd.

Inrichting evaluatieproces

Het management zal moeten nadenken over de wijze waarop het evaluatieproces voor interne controle zal worden ingericht en vooral ook over de wijze waarop het testproces aantoonbaar wordt gemaakt. Hiertoe dient het management richtlijnen te ontwikkelen voor het uitvoeren van controleactiviteiten en het vastleggen van bewijsmateriaal uit de controleactiviteiten.

Vraagstukken die naar voren komen bij het inrichten van het evaluatieproces van de effectiviteit van de internecontroleactiviteiten hebben betrekking op het ‘hoe’, ‘wie’ en ‘hoe vaak’ van het testen, alsmede hoe de uitkomsten van de tests worden vastgelegd en gecommuniceerd. Per controleactiviteit zal daarom moeten worden aangegeven wie verantwoordelijk is, wat de aard van de controleactiviteit is, de periodiciteit van het testen van de controleactiviteit (wekelijks, maandelijks, etc.) en hoe de controleactiviteit moet worden gedocumenteerd. Voor deze laatste vraag is het ook van belang te bepalen op welke wijze ‘bewijsmateriaal’ wordt verkregen. Voor het verkrijgen van ‘bewijs’ kunnen verschillende technieken worden gebruikt, zoals observatie (bijvoorbeeld het bijwonen van een voorraadtelling), interviews (observatie en interviews zijn op zichzelf niet voldoende), dossier/documentbeoordeling en zelftest (de controleactiviteit opnieuw uitvoeren).

Toewijzing verantwoordelijkheden

Tevens zal de verdeling van taken en verantwoordelijkheden op het gebied van interne controle moeten worden vastgesteld. Het management zal onder andere moeten beslissen wie verantwoordelijk is voor de evaluatie van de internecontroleactiviteiten, wie de evaluatiewerkzaamheden zal reviewen, hoe en wie leemtes escaleert en wie de eigenaar is van het SOX 404-raamwerk (procesmatig en inhoudelijk). Daarnaast zullen afspraken moeten worden gemaakt inzake de rapportage van de interne controle (vorm, inhoud, periodiciteit, etc.).

Geautomatiseerde hulpmiddelen

Zoals al genoemd betreffen belangrijke voorwaarden uit SOX 404 het gegeven dat de internecontroleactiviteiten dienen te worden gedocumenteerd en (aantoonbaar) geëvalueerd. Deze voorwaarden dwingen een organisatie min of meer om te komen tot efficiënte en effectieve hulpmiddelen om de internecontroleactiviteiten te evalueren, te documenteren, te beheren en daarover te rapporteren. Een dergelijk hulpmiddel kan het beste worden gezocht in een geautomatiseerd systeem (applicatie).

Om SOX 404 effectief te kunnen ondersteunen zal een applicatie aan bepaalde eisen/wensen moeten voldoen. Belangrijke eisen/wensen ten aanzien van de functionaliteit zijn:

het documenteren van de uitgangspunten ten aanzien van de materialiteit;
het documenteren van de afleiding van financiële verantwoording naar organisatieonderdelen en (sub)processen;
het documenteren van de organisatiestructuur en bedrijfsonderdelen in de scope van SOX 404;
het documenteren van de (kritieke) hoofdprocessen, deelprocessen en activiteiten, alsmede de procesdoelstellingen;
het documenteren van de risicoanalyse en getroffen maatregelen van interne controle;
het documenteren van de monitoringsactiviteiten die worden uitgevoerd door managers en andere medewerkers. Deze monitoringsactiviteiten bestaan uit
- een periodieke evaluatie van de werking van de getroffen internecontroleactiviteiten gedurende een bepaalde periode;
- een vastlegging van de uitkomsten van de evaluatie (waren de controleactiviteiten effectief en zijn de risico’s in voldoende mate afgedekt) en eventuele getroffen correctieve controleactiviteiten;
- vastlegging van resterende risico’s en te nemen acties voor het treffen van aanvullende controleactiviteiten;
het beschikken over rapportagemogelijkheden voor het operationele, tactische en strategische niveau van de organisatie. Voorbeelden zijn een overall managementrapportage over de mate waarin de monitoringswerkzaamheden zijn uitgevoerd en in hoeverre de getroffen controleactiviteiten effectief zijn geweest. Of een overzicht van de processen, activiteiten met risico’s, controleactiviteiten en restrisico’s.

Daarnaast dient de applicatie te voldoen aan eisen met betrekking tot beveiliging, autorisaties, beheer, etc.

KPMG heeft intern een eigen applicatie ontwikkeld voor de ondersteuning van SOX 404-implementaties. Deze applicatie heet de Control Assessment Template (CAT). Naast KPMG hebben ook andere zakelijke dienstverleners en diverse softwareleveranciers applicaties ontwikkeld die SOX 404 ondersteunen. In de kaders zijn voorbeelden opgenomen van de wijze waarop de CAT-applicatie invulling heeft gegeven aan de bovengenoemde eisen/wensen per fase van de implementatie.

Bijkomend voordeel van de CAT-applicatie is dat deze is gevuld met voorbeelden van bedrijfsmodellen (voor bijvoorbeeld banken en verzekeraars) en standaardprocessen, -risico’s en -beheersingsmaatregelen van softwarepakketten als SAP R/3, Peoplesoft, JD Edwards, Oracle en Lawson.

Kader 1. Control Assessment Template.

KPMG heeft een applicatie ontwikkeld voor het vastleggen en bewaken van de interne controle van organisaties, de Control Assessment Template (‘CAT’). KPMG’s CAT-applicatie is een geïntegreerde oplossing die het management van organisaties de mogelijkheid biedt om op actieve wijze te voldoen aan de eisen van SOX 404. Binnen de applicatie worden drie hoofdactiviteiten onderscheiden:

documentatie van de organisatie en de processen;
beoordeling en vastlegging van internecontroleactiviteiten;
periodieke beoordeling van de werking van de internecontroleactiviteiten.

C-2003-3-Brouwers-04

Figuur 4. Startscherm van de CAT-applicatie. [Klik hier voor grotere afbeelding]

De CAT-applicatie is een volledig dynamisch permanent management-tool. Met de CAT-applicatie worden onder andere de elementen bewaakt die verband houden met de volgende vragen:

Hoe ziet het proces eruit?
Welke internecontroleactiviteiten zijn hiervoor ingericht?
Wat moet hiervan worden getest?
Wanneer is het getest?
Waren de internecontroleactiviteiten effectief?
Wie is verantwoordelijk voor correctieve controleactiviteiten?

Daarnaast biedt de CAT verschillende managementrapportages, die het management in staat stellen:

de effectiviteit van de interne controle op bedrijfsniveau te monitoren;
de effectiviteit van de interne controle binnen een specifiek bedrijfsonderdeel in te zien.

Kader 2. Praktijkvoorbeeld. Stap 1.

Bij één van de klanten van KPMG is ervoor gekozen de formele afleiding van de jaarrekening (balans, verlies & winstrekening (V&W), disclosures) naar de onderliggende processen in workshopvorm uit te voeren, waarbij medewerkers van Operational Control, Internal Audit, business unit controllers en de externe adviseur waren betrokken. Op het gebied van onder andere pensioenen werden tekortkomingen vastgesteld binnen de aanwezige interne beheersingsstructuren. De output van deze exercitie zag er als volgt uit:

Met betrekking tot het onderkennen van significante units is op holdingniveau een kwantitatieve analyse gemaakt voor wat betreft de bijdrage van de verschillende units aan balanstotalen en de V&W. Hieroverheen is door de business units zelf een meer kwalitatieve analyse uitgevoerd op basis van bijvoorbeeld volatiliteit van een land/regio en/of recente acquisities.

C-2003-3-Brouwers-05

Stap 2. Documenteer controleactiviteiten

Documentatie van de internecontroleactiviteiten is een eerste voorwaarde om te komen tot een aantoonbare onderbouwing van de managementverklaring inzake de effectiviteit van de interne controle met betrekking tot de ‘financial statements’.

In veel organisaties zijn al internecontrole- en evaluatie/rapportageprocessen aanwezig die in meerdere of mindere mate voldoen aan de eisen van SOX 404. In de tweede stap van de SOX 404-implementatie zullen de bestaande internecontroleactiviteiten worden geïnventariseerd en waar nodig gedocumenteerd en aangevuld.

Documentatiestandaard

Alvorens met het inventariseren en documenteren van de internecontroleactiviteiten kan worden begonnen, zal het (project)management aandacht moeten besteden aan:

het selecteren en/of ontwikkelen van documentatiestandaarden (processen, activiteiten, risico’s, controls, etc.);
het selecteren van documentatiehulpmiddelen en het implementeren hiervan in de (project)organisatie;
het opstellen van beheer- en change-managementprocessen ten behoeve van het onderhoud van de documentatie.

Bij het opstellen/selecteren van een documentatiestandaard moet rekening worden gehouden met de volgende aspecten die in de documentatie aanwezig dienen te zijn:

organisatieonderdeel, bedrijfsproces en deelprocessen;
verantwoordelijken (onderdeel/afdeling/manager) en ondersteunende informatiesystemen;
de proces- en controledoelstellingen;
de (inherente) risico’s ten aanzien van de doelstellingen;
internecontroleactiviteiten die de risico’s afdekken.

Kader 3. De SOX 404-scope vastleggen in de CAT-applicatie.

C-2003-3-Brouwers-06

Klik hier voor grotere afbeelding

C-2003-3-Brouwers-07

Klik hier voor grotere afbeelding

In bovenstaande screenshots van de KPMG CAT-applicatie is te zien dat het door middel van deze applicatie mogelijk is de scope-afbakening dusdanig weer te geven dat deze is gerelateerd aan de financiële rapportage (linker screenshot). Het rechter screenshot laat zien dat het door JD Edwards ondersteunde crediteurenproces van een business unit gerelateerd kan worden aan de significante onderdelen van de financiële rapportage van de voorbeeldorganisatie.

Kader 4. Documentatiefase in CAT-applicatie.

C-2003-3-Brouwers-08

Klik hier voor grotere afbeelding

C-2003-3-Brouwers-09

Klik hier voor grotere afbeelding

In bovenstaande screenshots van de KPMG CAT-applicatie wordt zichtbaar gemaakt dat de geautomatiseerde applicatie ondersteunt bij het documenteren van de risico’s per proces en de benodigde internecontroleactiviteiten. Gebruik wordt gemaakt van de standaard JD Edwards (sub)processen, risico’s en maatregelen waarvan KPMG databases heeft samengesteld. De gebruiker van de applicatie hoeft slechts aan te geven wat voor de betreffende organisatie relevant is. In het rechter screenshot wordt getoond hoe de aard en de verantwoordelijke (op persoonsniveau) van de control worden gedocumenteerd. Deze gegevens worden later weer gebruikt voor het testen van de effectiviteit van de controls.

Projectaanpak

Voorts moet worden vastgesteld welke documentatieaanpak wordt gehanteerd voor de verschillende business units/locaties. Voorbeelden zijn:

‘self assessment’-aanpak. Medewerkers op de verschillende bedrijfsonderdelen voeren de documentatiefase voor het eigen onderdeel en de eigen processen uit.
pilot-aanpak. De organisatie laat één bedrijfsonderdeel de documentatiefase uitvoeren en rolt vervolgens de aanpak uit over andere organisatieonderdelen.
onafhankelijk team. Een onafhankelijk team voert de evaluatie uit.

C-2003-3-Brouwers-10

Figuur 5. Voorbeeld van internecontroleraamwerk: onderscheid in business process controls en general IT controls.

Welke aanpak het meest geschikt is, wordt mede bepaald door factoren als de mate van homogeniteit tussen systemen en processen en de objectiviteit en kwaliteit van (lokale) medewerkers en management.

Daarnaast moet het documentatieproces dusdanig worden gestructureerd dat voldoende aandacht wordt besteed aan alle vijf de componenten van het COSO-raamwerk (zoals het vastleggen van de controleomgeving en de bestaande informatie- en communicatiestructuren) en dat naast de risicoaspecten van betrouwbaarheid en continuïteit ook bijvoorbeeld frauderisico’s worden meegenomen.

Tevens moet onderscheid worden gemaakt tussen onder andere user/management controls (omspannende controles, beoordelen rapportages, handmatige autorisaties), geprogrammeerde controls (toleranties, formatchecks, credit limit checks, etc.) en general IT controls (change management, back-up, recovery, etc.).

Een belangrijk aandachtspunt in de documentatiefase is de wijze waarop de gehanteerde aanpak de volledigheid van de inventarisatie en risicoanalyse zal waarborgen. Om de volledigheid van de documentatie in voldoende mate te garanderen kan bijvoorbeeld een top-down aanpak worden gehanteerd. Deze top-down aanpak neemt de bedrijfsonderdelen en processen die zijn vastgesteld in de fase ‘Planning en scope’ als uitgangspunt en brengt vervolgens de deelprocessen en activiteiten in kaart.

Kader 5. Praktijkvoorbeeld (vervolg). Stap 2.

Op basis van reeds bestaande interne beheersingsstructuren zijn voor de relevante processen (als resultante van stap 1) wederom in workshopvorm per subproces de risico’s en de bijbehorende controls aangegeven. Per maatregel is vervolgens aangegeven wat de assessmentfrequentie is, wie hiervoor verantwoordelijk is en welke vereisten aan de documentatie van de maatregelen worden gesteld. Dit is vastgelegd in een zogenoemde SOX 404 Checklist.

C-2003-3-Brouwers-11

Klik hier voor grotere afbeelding

Daarnaast is bestaand materiaal op het gebied van interne beheersing verzameld, zoals bijvoorbeeld een ‘code of conduct’ en gerelateerd aan de onderdelen van het COSO-framework, dat als standaard was gekozen. Voor de COSO-onderdelen waarvoor geen bestaand materiaal aanwezig was, is nieuw materiaal gedocumenteerd. Op het gebied van general ICT controls wordt aangesloten bij het CobIT-framework.

Kader 6. Beoordelen opzet en goede werking in CAT-applicatie.

C-2003-3-Brouwers-12

Klik hier voor grotere afbeelding

C-2003-3-Brouwers-13

Klik hier voor grotere afbeelding

Bovenstaande screenshots van de CAT-applicatie illustreren hoe de applicatie ondersteunt in het beoordelingsproces van interne controle. Het rechter screenshot laat zien de wijze waarop geconstateerde onvolkomenheden worden geregistreerd. Daarbij kan worden aangegeven wanneer de control dient te worden beoordeeld. Het linker screenshot laat zien op welke wijze de uitkomsten van de beoordeling/evaluatie dienen te worden vastgelegd.

Stap 3. Beoordelen opzet en goede werking

Nadat de bestaande internecontroleactiviteiten zijn geïnventariseerd en gedocumenteerd, moet worden vastgesteld in hoeverre de interne controle effectief is. Dit houdt in dat het management van de organisatie de opzet en goede werking van de internecontroleactiviteiten moet beoordelen en de resultaten hiervan moet documenteren.

De wijze waarop het beoordelen van de opzet en goede werking plaatsvindt, is afhankelijk van de gekozen aanpak in stap 1 (selfassessment, pilot, onafhankelijk team, etc.). In elk geval dient het voor iedere internecontroleactiviteit helder te zijn welke functionarissen verantwoordelijk zijn gesteld. Voor wat betreft het beoordelen van de opzet van de internecontroleactiviteit zal de verantwoordelijke functionaris periodiek (afhankelijk van de vereiste assessmentfrequentie) moeten vaststellen in hoeverre de internecontroleactiviteit het betreffende risico ten aanzien van de procesdoelstelling in opzet in voldoende mate afdekt. Voor wat betreft het testen van de goede werking zal de verantwoordelijke functionaris moeten vaststellen in hoeverre de internecontroleactiviteit gedurende de periode (sinds de laatste evaluatie) adequaat heeft gewerkt.

Het testen van de goede werking kan bijvoorbeeld geschieden door middel van een combinatie van eigen deelwaarneming, observatie, interviews, dossierbeoordeling en zelftest. Het testen van de werking van een geprogrammeerde controle kan worden uitgevoerd door vast te stellen dat de geprogrammeerde controle (systeemfunctionaliteit) gedurende de afgelopen periode niet is gewijzigd (change management). Van belang is ook het verkrijgen van ‘bewijsmateriaal’ en de vastlegging hiervan.

De resultaten van het beoordelen van de opzet en goede werking dienen structureel te worden gedocumenteerd en gerapporteerd.

Kader 7. Praktijkvoorbeeld (vervolg). Stap 3.

In eerste instantie is de SOX 404 Checklist, zoals opgesteld in de vorige stap, ingebracht in een door de organisatie zelf ontwikkelde applicatie. In deze applicatie is tevens de relatie gelegd naar het in gebruik zijnde ERP-systeem. Dit heeft bijvoorbeeld betrekking op te archiveren signaleringslijsten/afstemlijsten of specifieke autorisatie in verband met het vaststellen van adequate functiescheiding. Na introductie van de applicatie is een pilot uitgevoerd waarbij diverse verantwoordelijke lijnfunctionarissen zich in de applicatie verantwoorden over de periodiek uit te voeren controles. De verantwoordelijk controller van de pilot unit voerde vervolgens deelwaarnemingen uit op de vastgelegde resultaten in de applicatie.

Stap 4. Identificeer en herstel gebreken en leemtes

Het beoordelen van de effectiviteit van de internecontroleactiviteiten kan leiden tot de volgende uitkomsten:

De controleactiviteit dekt het risico in voldoende mate af en heeft de afgelopen periode gewerkt.
De gedefinieerde controleactiviteit is niet effectief geweest, maar de leemte of het ontbreken ervan wordt toereikend gecompenseerd door een andere controleactiviteit.
De controleactiviteit is niet effectief en dekt het risico niet in voldoende mate af.

Kader 8. Internal Audit View van de CAT-applicatie.

C-2003-3-Brouwers-14

Klik hier voor grotere afbeelding

Bovenstaand screenshot van de CAT-applicatie illustreert dat naast de evaluatie van interne controle door het management zelf de applicatie tevens ondersteunt in het uitvoeren van evaluatie door de interne auditafdeling.

In het tweede geval dienen de aanwezige compenserende controleactiviteiten te worden gedocumenteerd en dient te worden bepaald welke controleactiviteiten in de toekomst moeten worden uitgevoerd. Om dit te illustreren kan het voorbeeld gehanteerd worden van de beheersing van de juistheid van bankrekeningnummers. Een controleactiviteit ten behoeve van het handhaven van de betrouwbaarheid van bankrekeningnummers kan inhouden dat mutatieverslagen van bankrekeningnummers na invoer in het systeem door een medewerker worden geaccordeerd door een manager. Deze controleactiviteit zou het risico van onjuiste bankrekeningnummers kunnen verminderen tot een acceptabel niveau. Indien uit de test van de controleactiviteit blijkt dat de controleactiviteit de afgelopen maanden niet is uitgevoerd, dan is deze dus niet effectief geweest in die periode en zal moeten worden nagegaan of compenserende controleactiviteiten zijn uitgevoerd om te voorkomen dat onjuiste bankrekeningnummers in het systeem terecht zijn gekomen.

Het management is verplicht om de significante/materiële tekortkomingen en zwakten in de interne controle te rapporteren aan zowel het audit committee als de externe auditor. In stap 4 van de zesstappenaanpak wordt een analyse uitgevoerd van de impact van de tekortkomingen in de interne controle. Voor iedere aangetroffen tekortkoming dient te worden beoordeeld in hoeverre deze de getrouwheid van de financiële verantwoording beïnvloedt.

Kader 9. Executive View van de CAT-applicatie.

C-2003-3-Brouwers-15

Klik hier voor grotere afbeelding

Bovenstaand screenshot van de CAT-applicatie laat zien hoe alle gegevens in de CAT-applicatie worden samengevat in een overall managementrapportage. In de rapportage is onder andere zichtbaar in hoeverre het evaluatieproces van interne controle is uitgevoerd en de controles effectief zijn.

Stap 5. Rapporteer over interne beheersing

Op basis van het in de vorige fasen verzamelde bewijsmateriaal dient het management van de organisatie een formele verklaring af te geven over de effectiviteit van de interne controle binnen de organisatie. SOX 404 vereist dat in ieder relevant (zie SOX 404) jaarverslag het management verklaart verantwoordelijkheid te zijn voor het inrichten en onderhouden van adequate internecontrolestructuur en -procedures met betrekking tot de financiële rapportage. Daarbij dient ieder relevant jaarverslag over het meest recente fiscale jaar een inventarisatie en evaluatie te bevatten van de effectiviteit van interne controle.

De stappen 1 tot en met 4 vormen de basis voor het zodanig samenstellen van de rapportage, dat aan bovengenoemde vereisten wordt voldaan.

Stap 6. Onafhankelijke internal control audit

In de laatste fase dient de externe accountant van de organisatie de getrouwheid van de verklaring van het management over de effectiviteit van de interne controle te beoordelen. Deze beoordeling dient de accountant uit de voeren conform de richtlijnen voor het uitvoeren van dergelijke beoordelingen (standards for attestation engagements) van de Public Company Accounting Oversight Board (PCAOB).

De PCAOB heeft nog geen definitieve standaarden opgesteld voor sectie 404 van SOX. Wel zijn op 7 oktober 2003 de draft richtlijnen voorgesteld: ‘Proposed auditing standard – an audit of internal control over financial reporting performed in conjunction with an audit of financial statements’. Tevens heeft het American Institute of Certified Public Accountants (AICPA) een concept van nieuwe standaarden uitgebracht voor het beoordelen van de effectiviteit van de interne controle die de getrouwheid van de financiële verantwoording dient te waarborgen. In deze conceptstandaarden is de externe audit beschreven als een geïntegreerde activiteit die bestaat uit het beoordelen van de financiële verantwoording en het beoordelen van de interne controle. Deze richtlijnen, Auditing an Entity’s Internal Control over Financial Reporting in Conjunction with the Financial Statement Audit, en Reporting on an Entity’s Internal Control Over Financial Reporting, zijn beschikbaar gesteld door het AICPA.

Belangrijke aandachtspunten bij de beoordeling van de interne controle door de externe accountant betreffen:

de locaties/business units die zijn betrokken in de scope van de onafhankelijke beoordeling van de interne controle en de onderbouwing hiervan;
de formele afleiding van relevante (sub)processen in relatie tot de financiële verantwoordingsinformatie;
gedocumenteerde verschillenanalyse ten opzichte van een algemeen geaccepteerd normenkader (bijvoorbeeld COSO);
de door het management te nemen verantwoordelijkheid voor de effectiviteit van de interne controle;
de formele bewering over de effectiviteit van de interne controle, die het management moet kunnen overleggen;
de effectiviteit van de interne controle die de getrouwheid van de financiële verantwoording moet waarborgen, moet worden beoordeeld aan de hand van passende normen;
het beoordelingsproces van de effectiviteit van interne controle;
het aanwezig zijn van voldoende bewijsmateriaal om een deugdelijke grondslag te bieden.

Wat zien we in de praktijk?

Tot nu toe hebben we geschreven over de vraagstukken waarmee het management in eerste instantie wordt geconfronteerd bij de initiatie van de SOX 404-implementatie. Uit de ervaringen van KPMG blijkt dat op het moment dat organisaties aan de slag gaan met de implementatie van SOX 404, de genoemde vraagstukken regelmatig spelen. Enkele andere bevindingen vanuit de praktijk van KPMG zijn:

Algemene en overkoepelende corporate governance-verantwoordelijkheden in relatie tot interne controle zijn in sommige gevallen nog niet belegd binnen de organisatie.
Volledig begrip en documentatie van de kritieke processen en een koppeling met risico’s en controleactiviteiten is in veel gevallen beperkt. Dit maakt het moeilijk proceseigenaren te betrekken bij de identificatie van kritieke processen, doelstellingen, risico’s, controleactiviteiten en het testen van de werking van interne controle.
Beschikbare internecontroleraamwerken zijn in veel gevallen niet getoetst of voldoen niet (volledig) aan COSO of andere gangbare normenstelsels.
Het volwassenheidsniveau inzake procedures en internecontrolestructuren verschilt aanzienlijk per bedrijf en per branche.
Een geformaliseerd proces voor het toetsen van de werking van de interne controle (zoals vereist door SOX 404) is in het algemeen niet aanwezig en de wijze waarop het hogere management bij dit proces is betrokken, is niet altijd helder.
Veel organisaties lopen tegen problemen aan met betrekking tot de bestaande documentatie en het documenteren van de interne controle. Dit betreft onder andere:
- Er is een gebrek aan standaardisatie op het punt van documentatie.
- Bestaande documentatie is gebaseerd op transactie/activiteit en is gefragmenteerd. Een end-to-end-procesinzicht ontbreekt.
- Documentatie van bepaalde processen/gebieden of in bepaalde locaties/onderdelen ontbreekt.
- Documentatie wordt niet centraal opgesteld en beheerd.
- Interne controle is niet direct gerelateerd aan de financiële verantwoording.
- De nadruk ligt veelal op het aspect ‘control activities’ en niet op andere componenten uit het COSO-raamwerk.
- Het documenteren van de resultaten van het evaluatieproces inzake de werking van de interne controles is problematisch.

Tot besluit

Ondanks het feit dat reeds veel is geschreven over SOX 404 levert de implementatie nog veel praktische problemen op. Veel organisaties moeten nog een hoop werk verrichten teneinde werkelijk te voldoen aan de SOX 404-richtlijn. Dit werk wordt met name veroorzaakt doordat de switch moet worden gemaakt van ‘trust me’ naar ‘prove me’. Dit houdt in dat organisaties over het algemeen een verbeterslag zullen moeten uitvoeren over de huidige documentatie van internecontroleactiviteiten en risicoanalyse, alsmede dat de organisaties een proces zullen moeten implementeren waarmee kan worden aangetoond dat de goede werking van de interne controle wordt geëvalueerd en hierover wordt gerapporteerd. Geautomatiseerde hulpmiddelen zoals KPMG’s CAT-applicatie zijn hierbij vrijwel onmisbaar.

Hoewel de SOX 404-deadline voor veel organisaties nog ver weg lijkt (2004 of 2005), moet de complexiteit en omvang van de SOX 404-implementatie niet worden onderschat. Dus: (neem de) tijd voor implementatie!

Literatuur

[COSO92] COSO, Internal Control – Integrated Framework, Committee of Sponsoring Organizations of the Treadway Commission, 1992.

[COSO03] COSO, Enterprise Risk Management Framework; Executive Summary (draft), www.erm.coso.org, 2003.

[KPMG03a] KPMG, Sarbanes-Oxley: A Closer Look, January 2003.

[KPMG03b] KPMG, Sarbanes-Oxley Section 404: Assessment of Internal Control and the Proposed Auditing Standards, KPMG LLP, March 2003.

[KPMG03b] KPMG, Defining issues: Final Rules on Internal Control Reporting and Officer Certifications, June 2003.

[SEC02a] SEC, Certification of Disclosure in Companies’ Quarterly and Annual Reports, Securities and Exchange Commission, August 2002.

[SEC02b] SEC, Disclosure required by Sections 404, 406 and 407 of the Sarbanes-Oxley Act of 2002, October 2002.

[SEC03] SEC, Management’s Report on Internal Control Over Financial Reporting and Certification of Disclosure in Exchange Act Periodic Reports, June 2003.

Productcatalogus

Klik hier voor een inleiding op de reeks artikelen en een overzicht van de artikelen.

Inleiding

Softwareleveranciers hebben vaak moeite om hun klanten te overtuigen van de hoge kwaliteit van hun softwarepakket. Op basis van een softwarecertificeringsonderzoek kan een softwareleverancier de kwaliteit van zijn softwarepakket aan derden aantoonbaar maken. Nadat een certificeringsonderzoek is afgerond en het pakket als voldoende is beoordeeld, ontvangt de softwareleverancier een certificaat. Met dit certificaat kan aan klanten gemakkelijk aantoonbaar worden gemaakt dat het pakket beschikt over voldoende internecontrolemaatregelen. Daarbij kan de softwareleverancier zich onderscheiden van zijn concurrenten die geen certificaat hebben.

Betrokken partijen

Door de grote accountantsorganisaties zijn inmiddels diverse certificaten bij softwarepakketten afgegeven. Uit de praktijk blijkt dat vooral de leveranciersmarkt van boekhoudsystemen geïnteresseerd is in het verkrijgen van een certificaat.

De opdrachten worden uitgevoerd door ICT-auditors die kennis hebben van de functionaliteit van het te onderzoeken pakket. Deze kennis is benodigd om een pakketspecifieke normenset te kunnen opstellen en op een efficiënte wijze de toetsing te kunnen uitvoeren.

Onderzoek

Tijdens de opdrachtformulering is afgesproken welke modules van het softwarepakket worden beoordeeld en welke kwaliteitscriteria van toepassing zijn. Daarbij gaat het meestal om de volgende (kwaliteits)aspecten:

integriteit: biedt het pakket voldoende internecontrolemaatregelen om de juistheid, volledigheid en tijdigheid van de geautomatiseerde gegevensverwerking te kunnen waarborgen;
exclusiviteit: biedt het pakket voldoende internecontrolemaatregelen, zodat vertrouwelijke informatie kan worden afgeschermd (van reguliere gebruikers);
controleerbaarheid: biedt het pakket voldoende internecontrolemaatregelen om achteraf te kunnen vaststellen hoe één of meer transacties door het systeem zijn verwerkt (bijvoorbeeld audit trail en het netwerk van controletotalen).

Het onderzoek heeft als doel te toetsen of het pakket voldoende internecontrolemaatregelen bevat, zodat een betrouwbare gegevensverwerking kan worden gerealiseerd. De benodigde internecontrolemaatregelen worden bepaald op basis van een risicoanalyse en komen tot uitdrukking in de normenset. Tijdens het onderzoek wordt door middel van een aantal testgevallen aantoonbaar gemaakt of aan een norm wordt voldaan. Kortom, door deze wijze van opdrachtuitvoering worden opzet en bestaan beoordeeld.

Zoals reeds vermeld richt het onderzoek zich op een aantal modules van het softwarepakket. Het object van onderzoek betreft dan deze modules van één bepaalde release. Belangrijk is dat het object van onderzoek goed met de softwareleverancier wordt besproken, omdat dit ook in het certificaat wordt vermeld. In principe geldt dat het certificaat niet van toepassing is op andere releases van hetzelfde pakket. Natuurlijk kan via onder andere releasenotes worden vastgesteld hoeveel inspanning benodigd is om een update van het onderzoek uit te voeren. De update zal altijd minder inspanning vergen dan de initiële opdracht.

Beperking

Indien tot een positief oordeel wordt gekomen, betekent dit niet dat iedere implementatie (van het pakket) ook voldoet aan de normenset. Dit wordt veroorzaakt doordat vele internecontrolemaatregelen kunnen worden geïnactiveerd door het wijzigen van instellingen (parameters). De waarde van een certificeringsonderzoek is dat vastgesteld is welke internecontrolemaatregelen in het softwarepakket aanwezig zijn of kunnen worden geactiveerd. Dit wordt geïllustreerd met een voorbeeld.

De norm is: Het pakket ondersteunt functiescheiding tussen de invoer van journaalboekingen en de verwerking van boekingen.

In het certificeringsonderzoek wordt getoetst of de softwarefuncties invoer en verwerking aan twee afzonderlijke medewerkers kunnen worden toegewezen.

Het toewijzen van deze softwarefuncties aan medewerkers vindt plaats door een autorisatie-instelling en functiescheiding hoeft dus niet aanwezig te zijn bij iedere implementatie. Kortom, de waarde van het certificaat is dat functiescheiding mogelijk is.

Uitkomsten

Het resultaat van het onderzoek is een rapport waarin het uitgevoerde onderzoek wordt beschreven inclusief de normenset, bevindingen en de conclusie. Desgewenst kan ook een certificaat worden verkregen dat de belangrijkste uitkomsten van het onderzoek weergeeft, en dat volledigheidshalve ook verwijst naar het rapport.

IFRS tooling

Op dit moment staan vele grote organisaties voor de taak om IFRS te implementeren. In de afgelopen periode hebben wij bij diverse IFRS-conversieprojecten geconstateerd dat de benadering van de IFRS-problematiek vanuit de jaarrekening, in combinatie met de technische complexiteit van IFRS, de beheersing van IFRS-projecten bemoeilijkt. IFRS-projecten kennen hierdoor vaak een moeizame start en ook de beheersing van de projecten door project- en programmamanagement laat nogal eens te wensen over. Vanuit een standaardaanpak is een aantal tools en templates voor het uitvoeren van een high-level impactanalyse, definiëren van activiteiten per systeem en projectmanagement ontwikkeld, die de aanpak ondersteunen. In dit artikel geven wij u een indruk van de problematiek en de mogelijke oplossingen.

Klik op het pdf-symbool om het volledige artikel te bekijken.

IFRS en de impact op de systeemomgeving

Beursgenoteerde ondernemingen en financiële instellingen binnen de Europese Unie dienen in 2005 hun jaarrekening op te stellen volgens de International Financial Reporting Standards (IFRS). Doelstelling van de EU is het vergroten van de onderlinge vergelijkbaarheid en het verhogen van de transparantie. De ‘nieuwe’ verslaggevingsregels hebben impact op het verslaggevingstraject dat begint bij de productie-/bronsystemen en eindigt bij de consolidatiesystemen. In dit inleidend artikel wordt een nadere uitleg gegeven bij IFRS en de impact op de systeemomgeving.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Dual reporting

Als gevolg van IFRS zullen tal van ondernemingen hun financiële gegevens gebaseerd op verschillende verslaggevingsstandaarden gaan rapporteren. Dit heeft niet alleen gevolgen voor de financiële verslaglegging maar ook voor de verschillende bronsystemen die hieraan ten grondslag liggen. In dit artikel wordt stilgestaan bij de verschillende strategieën rondom dual reporting en de mogelijke oplossingen voor problemen die voortvloeien uit de toepassing ervan.

Klik op het pdf-symbool om het volledige artikel te bekijken.

IFRS en leasing: de impact op business en systemen

De International Accounting Standards (IAS) – ook bekend onder de recentere naam International Financial Reporting Standards (IFRS) – worden in de EU met ingang van 2005 verplicht voor alle beursgenoteerde ondernemingen. De Nederlandse overheid heeft daarnaast het toepassingsgebied van IAS uitgebreid tot alle ﬁnanciële instellingen – in hoofdzaak banken en verzekeringsmaatschappijen. Voor leasemaatschappijen die onderdeel zijn van een beursgenoteerde onderneming of een Nederlandse ﬁnanciële instelling betekent dit dat de jaarrekening over 2005 in overeenstemming met IAS dient te worden opgesteld. En 2005 is dichter bij dan wel eens wordt gedacht: de in de jaarrekening over 2005 opgenomen vergelijkende cijfers (over 2004 derhalve) dienen eveneens aan de IAS-eisen te voldoen.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Activering van zelfontwikkelde software en websites in jaarrekeningen van Nederlandse ondernemingen vanaf 2005

Vanaf 2005 wordt voor veel grote Nederlandse bedrijven de toepassing van IAS-verslaggevingsrichtlijnen verplicht. Tot op heden bieden internationale verslaggevingsregels nogal wat interpretatieverschillen als het gaat om de activering van zelfontwikkelde software en ontwikkelde websites. Welke kosten wel en welke niet mogen worden geactiveerd en waar precies de scheidslijn ligt tussen de verschillende kostencategorieën, is veelal een grijs gebied. In dit artikel wordt getracht dit gebied zo helder mogelijk in kaart te brengen.

Inleiding

De begrippen zelfontwikkelde software en websites zijn in de afgelopen jaren vooral in de belangstelling komen te staan na de opkomst van de zogenaamde nieuwe economie-ondernemingen. Deze ondernemingen zijn en worden geconfronteerd met belangrijke uitgaven voor het ontwikkelen van software en websites. Daarmee ontstond ook een grotere behoefte aan duidelijkheid omtrent de behandeling van deze uitgaven in de jaarrekening. En dus rijst de vraag waar men in de wet- en regelgeving wat betreft externe verslaggeving handvatten kan vinden hoe om te gaan met deze uitgaven.

In dit artikel geven de auteurs u een indruk van de effecten van de verplichte toepassing van IFRS-regelgeving op de waardering van zelfontwikkelde software in de jaarrekening van Nederlandse ondernemingen. De onderliggende vraag is of met toepassing van de nieuwe regelgeving het inzicht wordt verbeterd op deze specifieke gebieden.

Nederlandse wet- en regelgeving

Inleiding

In BW2 Titel 9 is het begrip software of websites niet te vinden, er zal dus ergens anders moeten worden gezocht. Veelal wordt dan het eerst in de Richtlijnen voor de Jaarverslaggeving bij immateriële vaste activa gekeken. Dit ligt voor de hand als men de definitie van immateriële vaste activa bekijkt: ‘Onder immateriële vaste activa worden begrepen identificeerbare niet-monetaire activa zonder fysieke gedaante die worden gebruikt voor de productie van goederen, levering van diensten, verhuur aan derden of voor administratieve doeleinden (RJ 210.104)’. Deze definitie is de letterlijke vertaling van de definitie in IAS 38. Voorheen werden immateriële vaste activa in de RJ omschreven als vaste activa welke niet stoffelijk van aard zijn en evenmin onder de financiële vaste activa kunnen worden begrepen.

Men zou hieruit kunnen concluderen dat software per definitie, mits wordt voldaan aan de activeringscriteria, moet worden geclassificeerd als immateriële vaste activa. Deze conclusie is voorbarig; er zijn meerdere mogelijkheden, waaronder materiële vaste activa en voorraden (waaronder onderhanden werk). Men kan de keuze bijvoorbeeld afhankelijk stellen van enerzijds de herkomst van de software, te onderscheiden zijn aangekocht en zelfontwikkeld, en anderzijds de bestemming van de software, waarbij eigen gebruik en gebruik door derden mogelijk zijn. Gebruik door derden is dan nog onder te verdelen in verkoop en het geven van gebruikersrecht. Vervolgens wordt nog onderscheid gemaakt tussen systeemsoftware en applicatiesoftware. Dat er dan nog ruimte blijft voor verschillende interpretaties, moge duidelijk zijn. Van Cuijk (1991) heeft bovenstaande gedachtegang verder uitgewerkt. Hij heeft hiervoor een onderzoek naar de praktijk van de verwerking van software bij 225 beursgenoteerde ondernemingen uitgevoerd. Omdat het onderzoek van Van Cuijk uitsluitend zelfontwikkelde software betreft, wordt aan de behandeling van aangeschafte software in de jaarrekening voorbijgegaan en wordt alleen intern ontwikkelde software behandeld. Van Cuijk komt tot de volgende opsplitsing:

Intern ontwikkelde software voor intern gebruik wordt geclassificeerd als immateriële vaste activa (software), waarbij de vorming van een wettelijke reserve verplicht is.
Intern ontwikkelde software voor extern gebruik wordt geclassificeerd als materiële vaste activa (andere vaste bedrijfsmiddelen) indien er sprake is van standaardsoftware. Indien er sprake is van contractsoftware, dient de software als onderhanden werk te worden geclassificeerd.

Hiermee wordt duidelijk dat het classificeren van zelfontwikkelde software niet zo eenduidig is als op het eerste gezicht mag worden aangenomen. Desondanks is de classificatie wel van belang voor de waardering van de zelfontwikkelde software. Het Besluit waardering activa is immers alleen van toepassing op materiële vaste activa, financiële vaste activa en voorraden, en niet op immateriële vaste activa. Daarmee is waardering tegen één van de varianten van actuele waarde, bij classificatie tot immateriële vaste activa, niet mogelijk.

Activering

De vraag die moet worden gesteld, is of alle kosten die worden gemaakt voor het ontwikkelen van software in de balans moeten of kunnen worden opgenomen of dat zij direct in de winst- en verliesrekening moeten worden verwerkt. Allereerst zal sprake moeten zijn van een actief. Een actief is een uit gebeurtenissen in het verleden voortgekomen middel, waarover de onderneming de beschikkingsmacht heeft en waaruit in de toekomst naar verwachting economische voordelen naar de onderneming zullen vloeien. In de Nederlandse wet ontbreekt de definitie van een actief.

Vervolgens zal moeten worden beoordeeld of aan de activeringscriteria wordt voldaan. De activeringscriteria vereisen dat het waarschijnlijk is dat enig aan het actief verbonden toekomstig economisch voordeel naar de onderneming zal vloeien en dat het actief een kostprijs of waarde heeft waarvan de omvang met betrouwbaarheid kan worden vastgesteld. Wanneer de definitie van een actief wordt vergeleken met de activeringscriteria, blijkt dat het waarschijnlijk moet zijn dat toekomstige economische voordelen naar de onderneming vloeien. Daarnaast worden er aanvullende eisen gesteld aan de betrouwbaarheid van de vaststelling van de kostprijs of waarde van het actief.

Bij intern ontwikkelde immateriële vast activa en dus zelfontwikkelde software is het geven van een antwoord op de vraag of wordt voldaan aan de activeringscriteria lastiger. Allereerst kan het moeilijker zijn om te bepalen of en zo ja, wanneer er sprake is van een identificeerbaar immaterieel vast actief. Daarnaast is het moeilijker om de verkrijgings- c.q. vervaardigingsprijs vast te stellen. Het bepalen of er sprake is van waarschijnlijk toekomstige economische voordelen is een vraagstuk dat van toepassing is op alle activa.

In RJ 210 zijn voor intern ontwikkelde immateriële vaste activa aanvullende bepalingen opgenomen. Daarbij is met name het onderscheid tussen onderzoeks- en ontwikkelingskosten essentieel. De kosten van de onderzoeksfase horen thuis in de winst- en verliesrekening. De uitgaven in de ontwikkelingsfase moeten worden geactiveerd als wordt voldaan aan de in RJ 210.224 genoemde punten. Globaal gaat het om het volgende:

De technische uitvoerbaarheid om het actief te voltooien moet worden aangetoond.
De intentie om het actief te voltooien moet bestaan.
De onderneming moet in staat zijn het actief te gebruiken of te verkopen.
De onderneming dient aan te tonen dat er een markt bestaat of dat het actief intern bruikbaar is.
De uitgaven moeten tijdens de ontwikkelingsfase betrouwbaar kunnen worden vastgesteld.

Daarnaast worden enkele concrete voorbeelden gegeven van ontwikkelingsactiviteiten. Voor het kunnen vaststellen van de vervaardigingsprijs is een gedegen interne kostenadministratie en -toerekening essentieel. Alle kosten die worden gemaakt vanaf het moment waarop aan de activeringscriteria wordt voldaan, dienen te worden gealloceerd. Reeds gedane uitgaven die als kosten zijn verantwoord, mogen niet alsnog worden geactiveerd.

Het bovenstaande is afgeleid uit RJ 210, een bijna letterlijke vertaling van IAS 38. Opvallend daarbij is dat deze bepalingen in strijd zijn met de Nederlandse wetgeving zoals opgenomen in BW2 Titel 9. Intern ontwikkelde immateriële vaste activa mogen volgens de wet niet worden geactiveerd. Daarnaast vereist de Nederlandse wet dat er bij activering van kosten van onderzoek en ontwikkeling een wettelijke reserve wordt aangehouden. Deze vereiste kent IAS 38 niet.

Waardering

De Nederlandse wet staat waardering van immateriële vaste activa alleen toe tegen de verkrijgings- of vervaardigingsprijs. Ook in RJ 210 is dit het uitgangspunt. In het geval van zelfontwikkelde software zal een groot deel van de kosten bestaan uit direct toe te rekenen loonkosten van het eigen personeel, de direct toe te rekenen kosten van consultants en overige kosten. Daarnaast mag een op redelijke en consistente basis toe te rekenen deel van de overheadkosten worden toegerekend.

Afschrijvingen/bijzondere waardevermindering

Artikel 386 lid 3 BW2 Titel 9 zegt dat kosten van onderzoek en ontwikkeling moeten worden afgeschreven in ten hoogste vijf jaar. Dit in tegenstelling tot de bepaling in RJ 210.401, waarin wordt vermeld dat afschrijvingen stelselmatig dienen te geschieden op basis van de geschatte economische levensduur. Er bestaat een weerlegbaar vermoeden dat de economische levensduur maximaal twintig jaar bedraagt. In RJ 210.405 wordt expliciet genoemd dat de verwachte economische levensduur voor computersoftware veelal korter zal zijn en daarmee ook de afschrijvingstermijn.

De afschrijvingsmethode die wordt gehanteerd, dient in overeenstemming te zijn met het patroon waarin de door het actief gegenereerde economische voordelen toevloeien aan de onderneming waarbij rekening wordt gehouden met een restwaarde.

De bepalingen inzake bijzondere waardeverminderingen worden vermeld in RJ 121. In hoofdlijnen komt het erop neer dat wanneer er sprake is van aanwijzingen dat een actief aan een bijzondere waardevermindering onderhevig is, er een vergelijking moet worden gemaakt tussen de realiseerbare waarde en de boekwaarde. Aanwijzingen kunnen worden gevonden in het dalen van de marktwaarde van een actief, duidelijke economische veroudering, onderrentabiliteit en/of beëindiging van activiteiten waarvoor het actief wordt ingezet.

Websites

In de Richtlijnen voor de Jaarverslaggeving, jaareditie 2002 is in RJ 210 een bijlage opgenomen die de status heeft van ontwerp-richtlijn. Deze bijlage behandelt de kosten van websites. Deze bijlage refereert in belangrijke mate aan de inhoud van RJ 210 als het gaat om de onderzoeksfase en de ontwikkelingsfase. Specifieke aandacht is er voor kosten die samenhangen met contentontwikkeling voor het aanprijzen en promoten van eigen producten en diensten. Deze kosten moeten direct in de winst- en verliesrekening worden verantwoord. Daarnaast wordt specifiek vermeld dat kosten die samenhangen met de exploitatie van de website ook in de winst- en verliesrekening moeten worden verantwoord. Dit lijkt logisch maar blijkbaar is het onderscheid tussen exploitatie en ontwikkeling moeilijker te maken. Als laatste wordt opgemerkt dat de verwachte economische levensduur van websites kort is. Aangezien voor de ontwikkeling van websites tegenwoordig veelal gebruik wordt gemaakt van standaardpakketten, blijven er derhalve nauwelijks kosten over die voor activering in aanmerking kunnen komen.

International Accounting Standards

Inleiding

Net als in de Nederlandse wetgeving is in de International Accounting Standards geen specifieke richtlijn opgenomen inzake de activering van kosten van zelfontwikkelde software of websites. Ook hier moet aansluiting worden gezocht bij de richtlijn die handelt over immateriële vaste activa (IAS 38). Gerelateerd aan IAS 38 zijn de SIC-interpretaties SIC-6 Cost of modifying existing software en SIC-32 Intangible assets – Web site costs.

Activering

Onder IAS wordt een actief beschouwd als een uit gebeurtenissen in het verleden voortgekomen middel, waarover de onderneming de beschikkingsmacht heeft en waaruit in de toekomst naar verwachting economische voordelen naar de onderneming zullen vloeien. Hoewel in de Nederlandse wetgeving een definitie van een actief ontbreekt, wordt vorengenoemde definitie ook in Nederland algemeen gehanteerd.

De activeringscriteria vereisen dat het waarschijnlijk is dat enig aan het actief verbonden toekomstig economisch voordeel naar de onderneming zal vloeien en dat het actief een kostprijs of waarde heeft waarvan de omvang met betrouwbaarheid kan worden vastgesteld. Indien het immaterieel vast actief intern is gegenereerd, hetgeen bij zelfontwikkelde software het geval is, stelt IAS 38 aanvullende activeringscriteria. Alle uitgaven in de onderzoeksfase komen niet voor activering in aanmerking. Alle daaropvolgende uitgaven komen slechts voor activering in aanmerking indien:

het waarschijnlijk is dat met de uitgaven toekomstige economische voordelen zijn te behalen die groter zijn dan de bestede kosten;
de uitgaven betrouwbaar kunnen worden vastgesteld en toegerekend aan het actief.

In IAS 38 wordt ontwikkelde software expliciet genoemd als een voorbeeld van intern gegenereerde materiële vaste activa. Dit in tegenstelling tot de Nederlandse wetgeving, die hier enige onduidelijkheid over laat bestaan.

Ook onder IAS 38 blijft het onderscheid tussen de onderzoeks- en ontwikkelingsfase vaak lastig te bepalen. IAS 38 heeft de termen ‘onderzoek’ en ‘ontwikkeling’ gedefinieerd. Dit biedt enig houvast, hoewel natuurlijk de onderzoeksfase een breder begrip is dan de term onderzoek op zichzelf. IAS 38 stelt expliciet dat, indien het onderscheid tussen onderzoeks- en ontwikkelingskosten niet betrouwbaar kan worden vastgesteld, er sprake is van onderzoekskosten en derhalve activering niet mogelijk is.

Waardering

Voor de waardering van zelfontwikkelde software komt alleen de vervaardigingsprijs in aanmerking. Het gaat daarbij om de uitgaven tijdens de ontwikkelingsfase. Onder deze uitgaven worden verstaan alle kosten die direct zijn toe te rekenen aan de vervaardiging, of die daaraan op betrouwbare en consistente wijze kunnen worden toegerekend. Bij de ontwikkeling van software gaat het derhalve met name om de (directe) personeelskosten en een toerekenbaar deel van de overhead. In dit opzicht wijkt de Nederlandse wetgeving (RJ 210) niet af.

Afschrijvingen

Afschrijvingen dienen stelselmatig te geschieden op basis van de geschatte economische levensduur. Er bestaat een weerlegbaar vermoeden dat de economische levensduur maximaal twintig jaar bedraagt. De verwachte economische levensduur voor computersoftware zal echter korter zijn en daarmee ook de afschrijvingstermijn. IAS noemt hierbij computersoftware expliciet en noemt het waarschijnlijk dat de economische levensduur van deze software kort zal zijn.

De te hanteren afschrijvingsmethode dient de afnemende economische voordelen van het actief te reflecteren. De boekwaarde van het actief zal derhalve altijd minimaal een weergave moeten zijn van de toekomstige te behalen economische voordelen, rekening houdend met een restwaarde. Als dit niet betrouwbaar is vast te stellen, wordt de lineaire afschrijvingsmethode toegepast.

Jaarlijks moet worden vastgesteld of er sprake is van aanwijzingen dat een actief aan een bijzondere waardevermindering onderhevig is (impairment). Daarbij moet een vergelijking worden gemaakt tussen de realiseerbare waarde en de boekwaarde.

Kosten van websites (SIC32)

Ten aanzien van de ontwikkeling van websites onderscheidt SIC32 een viertal fasen:

planning;
ontwikkeling van de applicatie en de infrastructuur;
ontwikkeling van het grafisch ontwerp;
ontwikkeling van ‘content’ (de vaste inhoud van de website).

IAS 38 is niet van toepassing op immateriële vaste activa die zijn ontwikkeld en worden gehouden enkel en alleen ten behoeve van de verkoop door een onderneming. Websites die de verkoopactiviteiten ondersteunen en faciliteren vallen wel onder de definitie van IAS 38, mits wordt voldaan aan de daarin vermelde activeringscriteria.

In dit kader wordt de planningsfase beschouwd als onderdeel van de onderzoeksfase. De kosten in deze fase komen derhalve niet voor activering in aanmerking.

De overige genoemde fasen in de ontwikkeling van websites zijn aan te merken als ontwikkelingsfasen en kunnen, mits voldaan is aan de voorwaarden zoals genoemd in IAS 38, voor activering in aanmerking komen. Dit geldt derhalve ook voor de initiële ontwikkeling van de content. De operationele fase begint zodra de ontwikkeling van de website is afgerond. Het bijhouden van de content wordt beschouwd als onderhoud en niet levensduurverlengend, en komt derhalve niet voor activering in aanmerking.

Conclusie

Door recente ontwikkelingen is er in toenemende mate aandacht voor de problematiek van zelfontwikkelde software en websites wat betreft de externe verslaggeving. Ook in het recente verleden was deze aandacht er wel, maar dan alleen binnen de algemene aandachtspunten voor immateriële vaste activa. Veel van wat er de laatste jaren is verschenen aan regelgeving, is afgeleid van internationale verslaggevingsstandaarden. Op dit moment zijn er verschillen tussen de International Accounting Standards en de Richtlijnen voor de Jaarverslaggeving in Nederland op het gebied van activering van zelfontwikkelde software.

Een belangrijke ontwikkeling is dat de kosten van zelfontwikkelde software en websites moeten worden geactiveerd als wordt voldaan aan de genoemde criteria in RJ 210.224. Dit geldt ook voor IAS 38. Het simpelweg boeken van de kosten in de winst- en verliesrekening uit voorzichtigheid is dus niet langer toegestaan.

Ten aanzien van de kosten van zelfontwikkelde websites is de internationale regelgeving (onder andere door SIC32) op dit moment explicieter dan de in Nederland beschikbare ontwerprichtlijnen. Overigens worden in hoog tempo in international verband diverse richtlijnen opgesteld ten aanzien van kosten van websites. De verwachting is dat het International Accounting Standards Committee mede hierdoor spoedig meer uitgebreide regelgeving zal uitvaardigen. Duidelijk is in ieder geval dat de ontwikkeling naar meer eenduidige regelgeving de onderlinge vergelijkbaarheid van ondernemingen steeds groter maakt.

Voordat echter tot opname in de jaarrekening kan worden overgegaan, is het van belang dat aan de basisprincipes van goed projectmanagement inclusief projectadministratie wordt voldaan. In de praktijk blijkt veelal dat hier de eerste problemen ontstaan.

Literatuur

J.A. van Cuijk (1991), De administratieve verwerking van software in de externe jaarrekening, Moret Scriptie reeks.

Hoogendoorn, Klaassen, Krens, Externe verslaggeving in theorie en praktijk, Immateriële vaste activa.

International Accounting Standards Committee, IAS 38.

International Accounting Standards Committee, Standard Interpretations Committee, SIC 6 en 32.

Raad voor de Jaarverslaggeving (2002). Richtlijn voor de jaarverslaggeving 121 en 210.

IFRS en de gevolgen voor rapportagesystemen

De invoering van de IFRS-richtlijnen vormt voor een groot aantal organisaties opnieuw een verplichting waaraan binnen een gestelde termijn moet zijn voldaan. Na de inhoudelijke analyses en vaststelling van de vereiste aanpassingen volgt een project voor het doorvoeren van de veranderingen in de processen en systemen voor ﬁnanciële rapportage. De wijze van aanpak van dit project wordt onder meer bepaald door de kwaliteit van de huidige processen en systemen voor ﬁnanciële rapportage, de strategie die wordt gekozen voor de IFRS-invoering, de tijd die de organisatie nog rest om de wijzigingen door te voeren en de met de invoering gepaard gaande kosten. Dit artikel geeft, vanuit het perspectief van de invloed op systemen, inzicht in het IFRS-implementatievraagstuk en biedt een methodiek voor het analyse- en veranderproject. Ter illustratie zijn diverse voorbeelden uitgewerkt.

Inleiding

De invoering van de nieuwe IFRS-standaarden voor financiële rapportage en verslaggeving biedt de nodige uitdagingen aan de onder de richtlijnen vallende (beursgenoteerde) ondernemingen. Vanzelfsprekend wordt de kern van de uit te voeren conversie naar de nieuwe standaarden gevormd door inhoudelijke verslaggevingstechnische issues. De mogelijke verschillen (gaps) moeten worden geïdentificeerd en bestudeerd. De onderneming zal vervolgens, ondersteund door deskundigen op het gebied van financiële verslaggeving, keuzen moeten maken ten aanzien van de als geheel door te voeren set van wijzigingen in de financiële rapportages.

Dit ‘inhoudelijke’ proces eindigt met de lijst van door te voeren inhoudelijke aanpassingen, waarbij de nadruk ligt op de te realiseren vorm en inhoud van de financiële rapportages (de uitkomsten). Vervolgens zal, in opvolging van dit inhoudelijke analyseproces door de IFRS-specialisten, via een projectmatige aanpak de realisatie van de conversie ter hand moeten worden genomen.

De impact van de IFRS-richtlijnen voor een individuele onderneming wordt primair bepaald door de activiteiten van de onderneming en de huidige rapportagevorm, en is in te schatten via de aard en omvang van de gap-list. De complexiteit van het conversieproject wordt vervolgens ook bepaald door de kwaliteit van de huidige processen en systemen voor financiële rapportage, en de mate waarin de veranderingen kunnen worden opgenomen.

Dit artikel neemt de uitkomsten van de inhoudelijke analyses van de IFRS-specialisten als startpunt en richt zich op het opzetten en doorlopen van het conversieproject, met als focus de impact op de geautomatiseerde systemen. Het artikel biedt, gebaseerd op de overall projectaanpak van drie fasen, een methodiek voor het gestructureerd analyseren van de systeemconsequenties en het definiëren en ontwerpen van de te implementeren oplossingen.

In de eerste fase (analyse) wordt nader ingegaan op de identificatie van de IFRS-verschillen. Nadere analyse leert dat een vijftal categorieën van gaps kan worden onderscheiden. Vervolgens wordt een aantal strategische beslissingen besproken die in deze eerste fase moeten worden genomen teneinde voor het onderdeel processen en systemen sturing te geven aan de kostenanalyse en het ontwerp- en implementatietraject. Als laatste onderdeel van deze eerste projectfase wordt ingegaan op de aanpak voor een high-level impactanalyse voor de kosten en doorlooptijd van de aanpassingen in de systemen.

Van de tweede fase van het IFRS-project (ontwerp van oplossingen) wordt het afwegingsproces beschreven op basis waarvan de aanpassingen aan de systemen worden bepaald en uitgewerkt. Tevens worden enkele scenario’s besproken via welke de systemen kunnen worden aangepast.

De derde fase (implementatie) wordt in dit artikel slechts beperkt beschreven. Dit uitgaande van het standpunt dat de bijzonderheden van het IFRS-project ook qua systems impact is gelegen in de eerste twee fasen.

Ten slotte volgt een aantal uitgewerkte voorbeelden van IFRS-aanpassingen op de systemen.

Systeemaanpassingen als onderdeel van IFRS-projecten

Dit artikel geeft inzicht in de gevolgen van de nieuwe IFRS-richtlijnen voor de financiële systemen en het rapportageproces van een (internationale) beursgenoteerde onderneming. Ook andere organisaties krijgen te maken met IFRS-wijzigingen, echter de verplichting om vanaf 2005 volgens IFRS-richtlijnen te rapporteren geldt alleen voor beursgenoteerde ondernemingen. Dit artikel reikt een methodiek aan, waarmee op een gestructureerde wijze de mogelijke gevolgen voor het vastleggings- en rapportageproces geïdentificeerd kunnen worden, zodat adequate maatregelen kunnen worden genomen. Na het nemen van een aantal strategische beslissingen over de vastleggings-, rapportage-, conversie- en implementatiemethodiek, wordt aan de hand van de vastgestelde IFRS-aanpassingen (gaps genaamd) een inschatting van de kosten van de systeemaanpassingen gemaakt. Tijdens een afwegingsproces – mede ingegeven door de strategische keuzen voor een embedded of express-aanpak – wordt bepaald of een systeemaanpassing ook daadwerkelijk uitgevoerd wordt. De implementatie van deze aanpassingen volgt vervolgens de regels van een ‘normaal’ business/ICT-project.

Indeling systemen naar functionele categorieën

De IFRS-richtlijnen vereisen aanpassingen in de processen en systemen voor financiële verantwoording en rapportage. Bij de ondernemingen waarvoor IFRS relevant is zal al snel sprake zijn van een kolom van systemen die als combinatie het gehele proces van verwerking en rapportage van financiële gegevens ondersteunen. In welke mate de IFRS-richtlijnen de diverse systemen in deze kolom raken, wordt primair bepaald door de inhoud van de vastgestelde gaps. In aanvulling hierop hanteren wij als uitgangspunt dat ondernemingen in de verwerking van de gaps in de systemen keuze hebben in de wijze waarop. Dit varieert dan van beperkt, waarbij mogelijk veel buiten de (basis)systemen wordt gerealiseerd, tot uitgebreid (of zoveel als mogelijk en realistisch). De eerste keuze wordt qua aanpak aangeduid als express-conversie, de uitgebreide variant als embedded.

Voor de behandeling van de systems impact onderscheiden we in dit artikel de in tabel 1 gegeven vier niveaus in de het vastleggings- en rapportageproces ondersteunende systemen.

C-2003-2-Gaus-01

Tabel 1. Categorie-indeling vastleggings- en rapportagesystemen.

Schematisch zijn de categorieën en de genoemde niveaus weer te geven als afgebeeld in figuur 1.

C-2003-2-Gaus-02

Figuur 1. Gelaagde opbouw systemen voor financiële rapportage.

Deze opdeling is gebaseerd op de te onderkennen functionele gebieden binnen het totaal van de geautomatiseerde gegevensverwerking, en daarmee de verwerking en rapportage van financiële gegevens. De wijze waarop binnen een individuele onderneming de piramide is opgebouwd uit applicaties, kan vanzelfsprekend variëren van het scenario met een dedicated toepassing op elk van de niveaus tot een volledig geïntegreerde oplossing, bijvoorbeeld in de vorm van een ERP/SEM-aanpak (Strategic Enterprise Management). Deze laatste categorie, waarbij ook het bovenste niveau uit het model is geïntegreerd, is nog slechts zeer beperkt in de praktijk geïmplementeerd.

Wanneer gaat IFRS mij raken?

Vele kleine en grote (internationale) organisaties hebben nu al te maken met verschillende richtlijnen voor de financiële verslaggeving. Veelal geldt dat zij moeten voldoen aan één of meer rapporteringsrichtlijnen (GAAP’s), bijvoorbeeld US GAAP voor externe rapporteringsdoeleinden en Dutch GAAP voor lokale rapportering aan de fiscus. Voor de meeste internationaal opererende organisaties is het belangrijk om dit IFRS-onderscheid te maken, aangezien de lokale regelgeving veelal andere eisen stelt aan de financiële verslaggeving, dan de interne verslaglegging. Deze informatie komt veelal voort uit een consolidatiesysteem en is opgebouwd en af te leiden vanuit het grootboeksysteem en onderliggende operationele informatiesystemen, bijvoorbeeld een ERP-systeem. Wijzigingen in de financiële verslaglegging, bijvoorbeeld als gevolg van de invoering van IFRS, zullen dus ook kunnen ingrijpen op de operationele informatiesystemen. Gezien de termijn waarop alle wijzigingen dienen te zijn ingevoerd, lijkt er voldoende tijd te zijn om afdoende maatregelen te nemen. Echter, december 2005 is nog ver weg, de vergelijkende cijfers dienen echter wel met terugwerkende kracht vanaf 31 december 2003 beschikbaar te zijn.

Waarom is een IFRS-project anders dan euro- en millenniumprojecten?

Ondanks het feit dat het weer om een ‘must do’-project gaat zijn IFRS-projecten anders van aard dan de recent uitgevoerde euro- en millenniumprojecten. Allereerst omdat de impact van IFRS-aanpassingen op de systemen moeilijk is in te schatten. Bij millennium- en europrojecten was het nog redelijk voor de hand liggend wat voor soort aanpassingen noodzakelijk waren. Een IFRS-project is qua projectmanagement complex van aard, aangezien het hier gaat om vele mogelijke IFRS-verschillen, waarvan sommige eenvoudig zijn op te lossen door middel van toevoeging van een additionele rapportageregel in het rapportagesysteem of door uitvoering van een eenvoudige query, en andere een structuuraanpassing in zowel bron-, grootboek- als rapportagesystemen vereisen. Een verdere complexiteit bestaat uit het maken van de strategische keuzen met betrekking tot de conversie-, vastleggings-, verwerkings- en rapportagemethodiek. Voor het nemen van de juiste strategische beslissingen is het noodzakelijk om zowel materiedeskundigheid met betrekking tot IFRS-richtlijnen als systeemkennis van de vastleggings- en rapportagesystemen te bundelen. Afgezien van de additionele inspanning om nu ook nog aan de IFRS-richtlijnen te voldoen biedt het project een organisatie tegelijkertijd de mogelijkheid om het hele rapportageproces effectiever (sneller en met minder resources) in te richten gecombineerd met een hogere betrouwbaarheid (traceerbaarheid, juistheid en volledigheid).

Wat voor soort gevolgen heeft IFRS voor het verslaggevingsproces?

IFRS zal op een aantal gebieden de rapportage structureel veranderen. De inhoudelijke analyse in de eerste fase van het project levert de zogenaamde gap-list. Op basis van systeemtechnische consequenties kunnen de IFRS-aanpassingen worden onderverdeeld in een viertal hoofdcategorieën (zie tabel 2).

C-2003-2-Gaus-03

Tabel 2. Vier hoofdcategorieën van IFRS-aanpassingen.

Door de gevolgen van de IFRS-aanpassingen in categorieën in te delen kan sneller een inschatting van de kosten van een aanpassing op de systemen worden gegeven. Per categorie hebben IFRS-aanpassingen gelijksoortige eisen aan informatievastlegging en verwerking. Alle IFRS-aanpassingen die tot een revaluatie van cijfers in de rapportage leiden, kunnen waarschijnlijk op dezelfde wijze in de groepsrapportage worden geïmplementeerd. Toelichtende informatie leidt in veel gevallen tot een additionele informatiebehoefte die geen aanpassing in de bron en grootboeksystemen tot gevolg heeft en alleen in het jaarverslag tot toelichtende tekst leidt. De additionele informatie wordt langs extracomptabele weg verkregen. Voor bijvoorbeeld het rapporteren van de financiële instrumenten kan het noodzakelijk zijn om een specifiek treasury-tool aan te schaffen en voor het uitvoeren van een impairment test op de geactiveerde goodwill kan een valuation-model noodzakelijk zijn. Bovengenoemde classificatie is met name handig bij het groeperen van de gevolgen voor de systemen.

In de bijlage bij dit artikel is een aantal voorbeelden van IFRS-aanpassingen gegeven met uitwerking van de gevolgen voor de verschillende systemen.

Projectaanpak

De IFRS-projectaanpak bestaat uit de volgende drie hoofdfasen:

Fase I Inventarisatie (gap-analyse):
1. Identificatie van alle IFRS-verschillen ten opzichte van de huidige rapportage (geringe IT-betrokkenheid).
2. Bepalen van een aantal strategische beslissingen (inzake systeemontwerp, rapportage en vastlegging).
3. High-level system-impactanalyse van de vastgestelde IFRS-verschillen op de IT-systemen.
Fase II Ontwerp oplossingen:

Uitwerking systeemoplossingen en definitie/invulling van de verschillende IT-projecten.
Fase III Implementatie:

Uitvoering van de IT-projecten.

De onderwerpen b en c zijn omkeerbaar. De auteur adviseert om eerst over de strategische beslissingen na te denken, zodat bij de impactanalyse van de IFRS-aanpassingen op de systemen rekening met de keuzen kan worden gehouden. Het inschatten en bepalen van de definitieve systeemaanpak is een iteratief proces en zal afhankelijk van de gevolgen (lees kosten en haalbaarheid) kunnen veranderen gedurende het project.

De aanpak is in schema weergegeven in figuur 2.

C-2003-2-Gaus-04

Figuur 2. Weergave projectfasering.

In het artikel wordt verder de hiervoor weergegeven hoofdfasering van de projectaanpak gebruikt voor de behandeling van de te volgen stappen voor het bepalen en uitwerken van de impact op de systemen.

Fase I IFRS-aanpak, strategische keuzen en high-level impact

Invulling van de strategische keuzen

Voordat het management antwoord kan geven op een aantal strategische vragen, is het raadzaam een quick scan naar de huidige systeemarchitectuur uit te voeren. Een realistisch beeld van de huidige situatie met betrekking tot de functionaliteit, flexibiliteit, werkbaarheid en betrouwbaarheid van de systemen is een eerste vereiste om tot een uitvoerbare strategie te komen. De termijn van invoering van de IFRS-aanpassingen is kort en zal een bepaalde druk leggen op de keuze van de strategie. Tijdens of na het inventariseren van de IFRS-aanpassingen – een proces dat wordt ondersteund door de externe accountant/specialist – dient het management van de organisatie antwoord te geven op onder meer de in tabel 3 opgenomen strategische vragen.

C-2003-2-Gaus-05

Tabel 3. Strategische vragen ten behoeve van systems impact en keuze oplossingsscenario.

Figuur 3 geeft de set van vragen en de mogelijke keuzen grafisch weer. Aan de bovenkant van het overzicht wordt een embedded aanpak weergegeven en aan de onderkant een express-aanpak. De aanpak wordt per laag OS (bron- of operationeel systeem), GL (grootboek) en GRS (groepsrapportage) bepaald. De uiteindelijke invulling zal waarschijnlijk op een mengvorm van een zuivere embedded en express-aanpak neerkomen.

C-2003-2-Gaus-06

Figuur 3. Strategische vragen en mogelijke keuzen.

1. Volgens welke methodiek pas ik de systemen aan?

Ten aanzien van de te volgen methodiek onderkennen wij twee mogelijkheden, te weten bolt-on en integraal.

Bij de bolt-on-methodiek worden de additionele IFRS-rekeningen toegevoegd aan de applicatie zonder integraal deel uit te maken van de hoofdstroom (geen effect op balans en winst- en verliesrekening). Bij de systeemintegrale methodiek worden de IFRS-aanpassingen wel als integraal deel van de applicatie opgenomen, zodat in tegenstelling tot bij de bolt-on-methodiek wel een balans en W&V-rekening volgens zowel de huidige GAAP als de IFRS-GAAP gemaakt kunnen worden.

Bolt-on-methodiek

In de bolt-on-aanpak wordt de aanvullende informatie voor IFRS-doeleinden aan de applicatie toegevoegd (figuur 4) in de vorm van additionele informatie (extracomptabel, ook wel memorandumvelden genoemd). Deze additionele informatie wordt aan het huidige informatieprofiel toegevoegd. In de huidige rapportageomgeving wordt dus informatie verzameld volgens de huidige GAAP met als extensie de IFRS-informatie. Er kan ook voor een externe oplossing worden gekozen in de vorm van bijvoorbeeld Excel, CaseWare of andere hulpmiddelen. Het voordeel van deze methodiek is dat de omvang van de werkzaamheden voor het verkrijgen van de IFRS-aanpassingen relatief beperkt is. De betrouwbaarheid van de aanvullende informatie is echter ook beperkt, aangezien de wijze van verkrijgen niet geïntegreerd is in het reguliere rapportageproces. Bij de bolt-on-methodiek wordt de IFRS-informatie als het ware tijdelijk opgeslagen in de applicatie zodat tijdens de conversie de huidige GAAP-informatie wordt vervangen door de IFRS-informatie. In feite komt deze methodiek neer op uitstel tot een echte oplossing wordt geïmplementeerd.

C-2003-2-Gaus-07

Figuur 4. Toepassing van de bolt-on-methodiek.

Integrale methodiek

Bij de integrale methodiek worden de IFRS-aanpassingen intracomptabel in de applicatie(s) verwerkt (figuur 5), waarbij zonder de IFRS-aanpassing een balans en W&V-rekening volgens de huidige GAAP en met IFRS-aanpassing rapportage volgens IFRS-GAAP volgt. Het voordeel van deze methode is dat de betrouwbaarheid van de aanvullende informatie hoog is, aangezien de wijze van verkrijgen geïntegreerd is met de rapportageprocessen. De werkzaamheden voor het verkrijgen van de IFRS-aanpassingen zijn relatief omvangrijk. De systeemintegrale methodiek levert wel een structurele oplossing voor het simultaan rapporteren volgens meerdere GAAP’s. Ook heeft deze methodiek betrekking op de wijze waarop de IFRS-aanpassing in de applicatie wordt verwerkt. Vaak zullen systeemintegrale aanpassingen gebruikmaken van standaardfunctionaliteit van de software, terwijl bolt-on-aanpassingen zich kenmerken door een stuk maatwerk met aangepaste procedures.

C-2003-2-Gaus-08

Figuur 5. Toepassing van de systeemintegrale methodiek.

2. Dual GAAP-rapportage of Single GAAP?

Een primaire keuze ten aanzien van de gekozen rapportagemethodiek bestaat uit het al dan niet gelijktijdig beschikbaar hebben van geconsolideerde cijfers volgens de huidige GAAP en IFRS vanaf 2004. Bij de inrichting van een Dual GAAP-applicatie wordt verder nog onderscheid gemaakt naar vorm, en wel als volgt:

Dual GAAP op invoerniveau:

Huidige en IFRS-GAAP-informatie worden op het niveau van invoer ofwel rapporterende eenheid vastgehouden.
Dual GAAP op consolidatieniveau:

Consolidatie vindt plaats volgens huidige en IFRS-richtlijnen; eliminaties en journaalposten worden volgens beide richtlijnen geboekt, eventueel met een volledige aansluiting.

Bij een volledig geïntegreerd Dual-rapportagesysteem (data-invoer en consolidatie) vervalt de keuze voor een conversiemethodiek, aangezien de geconsolideerde gegevens volgens beide GAAP’s beschikbaar zijn.

Dual GAAP-rapportage

Bij Dual GAAP-rapportage wordt volgens meerdere GAAP’s gerapporteerd (figuur 6). Het principe van Dual GAAP-rapportage wordt in het artikel ‘Dual reporting’ in deze Compact beschreven. Een organisatie dient een beslissing te nemen of gedurende 2004 de berichtgeving zowel volgens de huidige GAAP als volgens IFRS-richtlijnen plaatsvindt. Met de Dual GAAP-aanpak worden problemen snel onderkend met de mogelijkheid om tijdig aanpassingen te maken. Ook is er veel meer tijd beschikbaar om alvast aan de nieuwe rapportagevereisten te wennen en zal in 2005 de overstap naar IFRS veel minder ingrijpend zijn.

C-2003-2-Gaus-09

Figuur 6. Dual-rapportage gedurende heel 2004.

Vanaf 2005 (eerste kwartaal) vervangt IFRS de Nederlandse richtlijnen en is Dual GAAP-rapportage niet meer noodzakelijk. Echter, voor bedrijven met vestigingen in een land met een afwijkende GAAP blijft de noodzaak bestaan tot Dual-rapportage. Ook met betrekking tot andere lokale juridische, belastingtechnische en andere verantwoordingsvereisten zal de behoefte aan Dual-rapportage blijven bestaan. De invoering van een volledig geïntegreerde Dual-rapportageomgeving geeft internationaal opererende bedrijven een voorsprong op het gebied van effectief en betrouwbaar rapporteren.

Dual GAAP-rapportage, alleen op invoerniveau

Bij deze variant wordt gelijktijdig door iedere rapporterende eenheid volgens zowel de huidige GAAP als IFRS-richtlijnen gerapporteerd. Voor iedere entiteit wordt per informatie-element (W&V, balans, cashflow, etc.) vastgehouden wat gerapporteerd is volgens de huidige GAAP en volgens IFRS. Er zijn veel softwarepakketten die dit principe ondersteunen.

Dual GAAP-rapportage, op consolidatieniveau

Een volledige ondersteuning voor Dual GAAP op invoer en op (ieder) geconsolideerd niveau in een applicatie is complex en zal vooral met betrekking tot geautomatiseerde zaken zoals vermogenseliminaties en bepaling van koersomrekeningsverschillen tot problemen leiden. Met name het gelijktijdig beschikbaar hebben van een geconsolideerde jaarrekening volgens meerdere GAAP’s binnen één applicatie zonder ‘workarounds’ wordt beperkt ondersteund.

Deze Dual GAAP-rapportagemethodiek is het best te implementeren met een systeemintegrale implementatieaanpak. Andere varianten met ‘workarounds’ leiden tot een (te) grote werkdruk tijdens de rapportagemomenten.

Single GAAP

Bij Single GAAP wordt alleen rapportage volgens één GAAP-richtlijn tegelijkertijd ondersteund. In combinatie met een te kiezen conversiemethodiek wordt het systeem geschikt gemaakt voor IFRS-rapportage.

3. Continue of eenmalige conversie?

Met conversie wordt hier het proces aangeduid dat tijdens de implementatie van een nieuwe IFRS-applicatie zorgt voor het omzetten en valideren van data uit de huidige applicatie in de nieuwe applicatie. Om in 2005 volgens IFRS-richtlijnen te kunnen rapporteren zijn op hoofdlijnen de volgende conversiemomenten mogelijk:

systeemimpact op conversiedatum 31 december 2003: applicatie ondersteunt IFRS en huidige GAAP;
systeemimpact op conversiedatum 31 december 2004: applicatie ondersteunt IFRS na conversie;
systeemimpact op conversiedatum 31 december 2005: met terugwerkende kracht wordt rapportage aangepast aan IFRS-richtlijnen.

Andere varianten zijn ook denkbaar.

Continue conversie

In het geval dat iedere maand een conversie plaatsvindt van de huidige GAAP naar IFRS-richtlijnen is de facto ook sprake van Dual-rapportage. Rapportage vindt eerst volgens huidige GAAP-richtlijnen plaats en vervolgens na conversie volgens IFRS-standaard. Bij volledige Dual-rapportage binnen een applicatie vindt geen conversie plaats.

(Eenmalige) kortstondige conversie

Wanneer de (technische) belasting om gedurende het jaar volgens zowel de huidige GAAP als IFRS geconsolideerd te rapporteren te hoog wordt ingeschat, is de conversiemethodiek de aangewezen manier aan de IFRS-standaard te voldoen per eind 2004. Door middel van een bigbang-conversie (figuur 7) wordt bijvoorbeeld gedurende een korte periode (één maand) aan het einde van 2004 overgestapt van de huidige GAAP naar IFRS. Aan deze conversiemethodiek kleven wel risico’s ten aanzien van het ontbreken en niet aansluiten van de IFRS-informatie. Daarnaast heeft de organisatie bij een conversie bijna niet de mogelijkheid gehad om de IFRS-rapportagestructuur in de praktijk te testen. Een deel van dit risico is te vermijden door een aantal keren de conversie uit te voeren om te testen en ander voorbereidend werk te doen.

C-2003-2-Gaus-10

Figuur 7. Bigbang-IFRS-conversie eind 2004.

Historische cijfers en budget- en forecastinformatie

Naast een besluit over de conversiemethodiek voor de conversie van actuele informatie is een besluit nodig over de verwerking van de historische data (alles van voor 2004) en de budget- en forecastinformatie. Indien deze informatie in het kader van vergelijkbaarheid – voor met name de managementrapportage – benodigd is, dient ook hiervoor een conversieplan te worden opgesteld. Bij herrekening van de vergelijkende managementinformatie (met terugwerkende kracht volgens IFRS-richtlijnen) dient de statutaire informatie ongewijzigd te blijven.

4. Waar en hoe vastleggen en verwerken?

De laatste strategische vraag heeft betrekking op de vastlegging van de IFRS-aanpassingen. Een organisatie kan besluiten om de IFRS-aanpassingen niet individueel op te slaan. Additionele IFRS-informatie wordt tijdelijk opgeslagen zonder dat er een duidelijke aansluiting met de huidige GAAP-informatie voorhanden is. Aan de andere kant van het spectrum zit een vastleggingsmethodiek waarbij alle aanpassingen individueel worden opgeslagen met verwerkingsdatum, omschrijving en gebruiksidentificatie. Alle verschillen zijn op deze wijze volledig gedocumenteerd en bij aansluitingsverschillen kan altijd worden teruggevallen op de audit trail. De keuze op welke wijze de IFRS-aanpassingen (journaalposten) worden vastgelegd, hangt ook nauw samen met de vraag op welke wijze de verwerking van de journaalposten gaat plaatsvinden. Tevens wordt bij deze vraag bekeken of de aanpassingen lokaal (bij de rapporterende eenheid) of centraal (bij de moeder) worden vastgehouden. De strategische keuze bestaat uit de inrichting van het vastleggingsproces (originele gegevens, aanpassing en een berekende IFRS-rapportagelijn dan wel het onafhankelijk opslaan van de huidige GAAP- en IFRS-gegevens) en de verwerkingswijze tijdens het consolidatieproces (gelijktijdig huidige GAAP en IFRS of meer in de tijd verschoven).

Reconciliatie (aansluiting) is niet aanwezig

Volgens de methodiek zonder aansluiting ontbreekt een traceerbare aansluiting tussen beide GAAP-standaarden (figuur 8). Alle IFRS-aanpassingen worden veelal volgens een bolt-on-implementatiemethodiek ofwel extracomptabel opgeslagen. Na verwerking van de aanpassingen tijdens de conversie (de IFRS-gegevens vervangen de huidige gegevens) ontstaat een rapportage volgens de IFRS-standaard. Door het ontbreken van een aansluiting is de vraag centraal versus decentraal niet relevant. Aansluiting is overigens wel aanwezig door de IFRS- en de huidige GAAP-getallen van elkaar af te trekken. We spreken in dit verband van een impliciete aansluiting. Aangezien er fysiek geen boeking (journaalpost) heeft plaatsgevonden, zijn de aanpassingen niet traceerbaar en kan de gap alleen worden bepaald als resultante van de huidige GAAP en de IFRS-informatie. Uit figuur 8 blijkt dat twee gegevens zijn vastgelegd zonder aansluiting.

C-2003-2-Gaus-11

Figuur 8. Geen reconciliatie IFRS en huidige GAAP.

Reconciliatie (aansluiting) is wel aanwezig

Zoals eerder vermeld is volgens de reconciliatiemethodiek met aansluiting wel een gedocumenteerde aansluiting aanwezig van de huidige GAAP en de IFRS-richtlijnen (figuur 9). Het vastleggen van de aansluiting (reconciliatie) kan zowel centraal (moedermaatschappij/holding) als decentraal (werkmaatschappij) plaatsvinden. Er vindt volgens deze methodiek een journaalboeking plaats (zie voorbeeld), zodat een gegeven volgens huidige GAAP + journaalpost resulteert in een IFRS-gegeven.

C-2003-2-Gaus-12

Figuur 9. Reconciliatie IFRS en huidige GAAP.

Decentraal

In een situatie waarin verschillende eenheden zelfstandig rapporteren, bestaat de mogelijkheid om de vastlegging van de IFRS-verschillen alleen lokaal te laten plaatsvinden (figuur 10). De IFRS-verschillen zijn dan ook niet beschikbaar op centraal niveau. In veel gevallen is dit conform de huidige situatie, waarbij bijvoorbeeld in Frankrijk het grootboek volgens Franse GAAP wordt bijgehouden en de rapportage aan de moedermaatschappij volgens Nederlandse GAAP plaatsvindt.

C-2003-2-Gaus-13

Figuur 10. Decentraal (links) en centraal (rechts) boeken van IFRS-journals.

Centraal

Bij centrale verwerking en opslag van de IFRS-aanpassingen zal de aanlevering uit de rapporterende eenheden bestaan uit een rapportage volgens de huidige GAAP, de IFRS-aanpassingen en eventueel de IFRS-rapportage ter controle. In het geval dat er sprake is van een zogenaamde SSC (Shared Service Center) – waar centraal de boekhoudfunctie is ingericht – zal een koppeling (met een volledige aansluiting tussen de huidige GAAP en IFRS) tussen het grootboeksysteem en de consolidatieapplicatie in het algemeen relatief eenvoudig realiseerbaar zijn.

Bepaling van de keuzecombinatie

De wereld is niet zwart-wit

Bij de bovenstaande behandeling van strategische keuzen is er bewust voor gekozen telkens de uiterste vormen te beschrijven. De combinatie van de vier strategische keuzen geeft een beschrijving van de wijze waarop een organisatie zich gereedmaakt voor de IFRS-rapportage in 2005. Hoewel een aantal keuzecombinaties niet voor de hand ligt, blijkt dat veel combinaties tot een succesvolle implementatie van IFRS-rapportage kunnen leiden. In de praktijk blijkt dan ook dat er niet voor één model of aanpak wordt gekozen, maar dat er veelal een mengvorm ontstaat. Vaak is dit ook een gevolg van pragmatische keuzen uit het verleden.

In het vervolg van dit artikel wordt ook duidelijk dat per (deel)systeem een afweging plaatsvindt tussen de gekozen strategie en de uitvoerbaarheid van de aanpassing. Toch is het goed na te gaan welk doel men nu eigenlijk voor ogen heeft bij de aanpassingen van de verschillende systemen en wat daar nu daadwerkelijk van verwezenlijkt wordt. Een fundamentele discussie vooraf over de te volgen strategie is van groot belang om tijdens het afwegingsproces – welke systemen worden aangepast – de juiste keuzen te kunnen maken.

C-2003-2-Gaus-14

Figuur 11. Voor- en nadelen van de vier strategische keuzemogelijkheden.

‘Best in class’-oplossing

Primaire vastlegging vindt eenmalig plaats in de bron- en/of grootboeksystemen volgens één bepaalde GAAP (kan lokale of groeps-GAAP zijn). Naast de vastlegging volgens een bepaalde GAAP worden ook de aanpassingen (journaalposten) ten opzichte van andere GAAP(‘s) ingevoerd met inbegrip van een verklarende omschrijving. Een groot aantal van deze journaalposten heeft een terugkerend karakter en kan derhalve geautomatiseerd worden. Het ontwerpen van een SRCOA (standard reporting chart of account) voor een onderneming, waarin alle IFRS- en managementrapportagevereisten zijn verwerkt, is essentieel in het zeker stellen dat alle informatie op een betrouwbare wijze beschikbaar komt. De informatie wordt vervolgens met behulp van een gevalideerde automatische interface in het groepsrapportagesysteem gebracht. De informatie blijft gesplitst in de componenten: rapportage-GAAP, aanpassing en IFRS-GAAP. Het rapportagesysteem verzorgt vervolgens een geconsolideerde jaarrekening volgens meerdere GAAP’s (IFRS versus huidige GAAP). Gedurende 2004 wordt in eerste instantie volgens de huidige GAAP gerapporteerd en parallel volgens de IFRS-richtlijnen, zodat in 2005 geen conversie noodzakelijk is. Alle IFRS-aanpassingen (op invoer, eliminatie en consolidatieniveau) zijn volledig traceerbaar vanaf de bron tot de jaarrekening. Ook aanpassingen van lokaal gehanteerde GAAP (bijvoorbeeld US GAAP) ten opzichte van IFRS zijn volledig traceerbaar. Een dergelijke oplossing (figuur 12) vergt veel van de organisatie in voorbereiding, implementatie, werkwijze en procedures. Echter, zij geeft wel de hoogste mate van betrouwbaarheid en efficiency (report cycle reduction).

C-2003-2-Gaus-15

Figuur 12. ‘Best in class’-oplossing.

Bij de strategische-keuzecombinatie van een volledige integratie, Dual GAAP-grootboek en rapportagesysteem, met een volledige aansluiting, zonder een continue conversie zijn alle voordelen gebundeld en kan gesproken worden van een ‘state of the art’-oplossing. Zowel technisch als procedureel bestaat de minste kans op aansluitingsproblemen en er is altijd een volledige cijfermatige aansluiting aanwezig tussen de originele GAAP en IFRS en de gerapporteerde verschillen.

IT-gap-analyse (vaststellen verschillen huidige GAAP met IFRS)

De belangrijkste uitkomst van fase I in de IFRS-aanpak is een GAAP-verschillenanalyse. De analyse vormt het beginpunt voor de vertaling van de gevolgen naar de IT van de organisatie. Per geconstateerd IFRS-verschil wordt geanalyseerd welke informatiesystemen worden geraakt. Het verdient de voorkeur eerst de verschillen in de eerder vermelde categorieën in te delen. Vervolgens wordt in een overzicht per vastgesteld IFRS-verschil aangegeven welk systeem aanpassing vereist, inclusief een inschatting van de kosten en de bijbehorende doorlooptijd.

In deze fase beperkt de bepaling van de kosten zich tot een high-level inschatting met inachtneming van de volgende zaken: interfaces rapporten, data-invoerschermen, consolidatie, structuren, COA (chart of account) rekeningschema, balans, journaalposten, procedures, handboeken.

Met behulp van de categorie-indeling kunnen aanpassingen aan bijvoorbeeld het groepsrapportagesysteem eenvoudiger worden ingeschat. Revaluaties kunnen in een aantal gevallen op dezelfde wijze worden verwerkt, zodat het niet meer noodzakelijk is om per IFRS-verschil de kosten in te schatten, maar alleen de totale kosten.

Het eindresultaat van deze fase is een document met daarin de geconstateerde IFRS-verschillen (gaps met IAS-verwijzing), de systemen die aangepast dienen te worden (ingedeeld naar bron, grootboek, groepsrapportage en overige systemen) en een inschatting van de kosten en doorlooptijd per aanpassing en per deelsysteem.

Fase II IFRS-aanpak, het ontwerpen van de oplossingen

Waar en hoe pas ik mijn systemen aan?

Nadat de strategische keuzen zijn gemaakt omtrent de te volgen conversie-, vastleggings-, rapportage- en implementatiemethodiek en de impactanalyse op de systemen per geïdentificeerde IFRS-aanpassing is afgerond, volgt de afweging welke aanpassingen daadwerkelijk worden ingevoerd. In figuur 11 zijn de plussen en minnen van de verschillende keuzen weergegeven; het management zal een afweging moeten maken of grote aanpassingen aan de systemen op dit moment zijn te rechtvaardigen of dat met een express-aanpak tijdelijk aan de IFRS-richtlijnen kan worden voldaan, zodat een meer embedded aanpassing verder in de tijd zal plaatsvinden (figuur 13).

C-2003-2-Gaus-16

Figuur 13. Afwegingsproces. [Klik hier voor grotere afbeelding]

Gezien het feit dat (additionele IFRS-) informatie pas tijdens het opstellen van de jaarrekening noodzakelijk is, kan gekozen worden om geen aanpassing aan de vastleggings- en rapportagesystemen uit te voeren en de informatie geheel extracomptabel te verzamelen. In veel gevallen zal er wel voor gekozen worden om het groepsrapportagesysteem aan te passen, zodat de IFRS-informatie volgens de standaardrapportage meeloopt, zonder dat (dure) aanpassingen in de transactiesystemen noodzakelijk zijn. Als voorbeeld geldt een additionele IFRS-toelichting (looptijden leningen) die bij inpassing in een grootboeksysteem veel inspanning kost. Door de informatie alleen in de groepsconsolidatie op te nemen en de berekening extracomptabel (Excel) te laten plaatsvinden, wordt aan alle eisen voldaan zonder dat alle systemen aangepast behoeven te worden.

Oplossingsrichtingen vastleggings- en rapportagesystemen

Aanpak met alleen de huidige applicatie

In dit scenario worden de additionele informatie-elementen in een deel van de applicatie opgeslagen (memorandumlijnen) dat niet rechtstreeks doortelt naar de balans of winst- en verliesrekening (figuur 14). De vastgehouden additionele IFRS-informatie wordt bij de conversie gebruikt om tot IFRS-rapportage te komen. De aanpak bestaat na het vaststellen van de IFRS-verschillen uit:

additionele IFRS-rekeningen toevoegen aan de huidige applicatie;
gedurende het jaar 2004 de additionele IFRS-rekeningen bijhouden;
eventueel ook informatie van vóór 2004 verzamelen;
conversie en samenvoegen van de IFRS-rekeningen in een nieuwe applicatie (IFRS-applicatie).

C-2003-2-Gaus-17

Figuur 14. Aanpak met één (de huidige) applicatie.

Aanpak met CaseWare of Excel

In dit scenario worden alle extracomptabele informatie-elementen in een daarvoor speciaal ontwikkeld journaalpostenprogramma genaamd CaseWare (een KPMG-product) opgeslagen. Deze variant is gelijk aan de vorige, echter is er nu geen aanpassing aan de huidige groepsrapportagesoftware nodig. Alle IFRS-aanpassingen worden tijdelijk in CaseWare opgeslagen, waarbij de aanlevering in een decentrale omgeving aanvullende problemen oplevert en een parallelle informatiestroom tot gevolg heeft. Door gebruik te maken van de interfacefunctie kunnen de IFRS-GAAP-gegevens worden geëxporteerd naar het groepsrapportagesysteem. Naast CaseWare zijn er vergelijkbare producten op de markt verkrijgbaar ten behoeve van controle op de jaarrekening.

Excel werkt op dezelfde wijze als hierboven voor CaseWare beschreven staat, echter zonder vastleggings- en integriteitsbewaking. De additionele informatie wordt (de)centraal in Excel opgevraagd (eventueel in de vorm van een gedistribueerde datacollectie-sheet, ook wel template genoemd) en centraal opgeslagen en verwerkt. Bij conversie wordt de additionele IFRS-informatie uit Excel ingelezen en samengevoegd in de nieuwe applicatie.

Aanpak met twee ‘gespiegelde’ applicaties

In de huidige applicatie wordt volgens de huidige GAAP-richtlijnen gerapporteerd. Wel zijn alle voor IFRS benodigde additionele informatie-elementen ingebouwd (zie eerste optie). In een kopie-applicatie (alleen de structuren) wordt volgens IFRS gerapporteerd, waarbij alleen de invoerinformatie (rapportage-eenheid) wordt gekopieerd en vertaald vanuit de originele applicatie (figuur 15). In dit scenario kan zowel gelijktijdig als volgtijdig gerapporteerd worden volgens de huidige en de IFRS-richtlijnen. De consolidatie vindt eerst in de originele applicatie plaats en vervolgens in de kopie-applicatie. In de kopie-applicatie is de consolidatiestructuur aangepast om te kunnen voldoen aan de IFRS-richtlijnen (bijvoorbeeld met betrekking tot businesscombinaties, segmentatie en groepsmaatschappijen). Bij de gelijktijdige variant is sprake van Dual GAAP-rapportage inclusief de consolidatiefunctie. Bij deze variant is wel sprake van een hoge werkdruk, aangezien het consolidatieproces tweemaal doorlopen wordt. De volgtijdelijke variant biedt de mogelijkheid om tijdens de conversieprocedures proef te draaien op de gehele IFRS-rapportage, zonder dat de huidige rapportage risico loopt.

C-2003-2-Gaus-18

Figuur 15. Aanpak met twee ‘gespiegelde’ applicaties.

Het proces bestaat uit de volgende stappen:

IFRS-aanpassingen toevoegen aan huidige applicatie;
structuur-kopie maken van applicatie;
consolidatie in huidige applicatie volgens huidige GAAP;
kopieerdata;
consolidatie in kopie-applicatie volgens IFRS-standaard;
beëindiging huidige applicatie in 2005.

Nadelen van twee applicaties:

oplevering van geconsolideerde gegevens volgens meerdere standaarden in korte tijd moeilijk te realiseren;
constant synchroniseren van data tussen twee applicaties;
onderhoud en support op twee applicaties.

Aanpak met één nieuwe, volledig geïntegreerde Dual GAAP-rapportageapplicatie

Een dimensie (sleutel, structuur of hiërarchie) wordt gebruikt om de verschillen tussen de huidige GAAP en IFRS vast te leggen (figuur 16). Door de aanpassingen in een dimensie op te nemen kunnen, zowel op invoerniveau (rapporterende eenheid) als op geconsolideerd niveau (groeps- en eliminatieniveau), alle aanpassingen worden opgeslagen en langs meerdere wegen worden geconsolideerd en geanalyseerd. Voorwaarde bij bovenstaande aanpak is wel dat de software vrij te definiëren dimensies kent en dat bij de inrichting van de huidige applicatie rekening is gehouden met een multi-GAAP-ondersteuning. De complexiteit van de bouw en het onderhoud van een volledige multi-GAAP-applicatie wordt bepaald door onder andere de volgende zaken:

automatisch berekende cashflows;
automatische vermogenseliminatie;
minder- en meerderheidsdeelnemingen;
intercompany-eliminatie;
verloopstaten balans;
joint ventures;
managementstructuren (met herrekening van historische gegevens inzake vergelijkbaarheid);
berekening van ratio’s;
custom build-aanpassingen aan programmatuur.

C-2003-2-Gaus-19

Figuur 16. Aanpak met één nieuwe applicatie.

Bijkomend voordeel van een Dual of multi-GAAP-systeem is dat deze ondersteuning biedt aan alle niet-IFRS-rapportages (lokale GAAP, juridische en fiscale aangifte). Deze situatie zal in ieder geval nog vele jaren voortbestaan en kan door invoering van een volledige multi-GAAP-applicatie volledig worden ondersteund. Met multi-GAAP wordt in dit geval gerefereerd aan ondersteuning van meer dan twee GAAP’s (van lokale GAAP naar IAS, van lokale GAAP naar de huidige GAAP en van lokale GAAP naar de juridische en belastingspecifieke jaarrekeningsvereisten). De flexibiliteit van deze gekozen oplossing is enorm, aangezien voor iedere gerapporteerde rekening een aanpassing kan worden gemaakt (reclassificatie en revaluatie).

Samenvatting oplossingsrichtingen

Een geïntegreerde Dual GAAP-applicatie stelt hoge functionele eisen aan de informatieverwerkingssystemen en heeft een complex implementatietraject tot gevolg, maar geeft de hoogste mate van betrouwbaarheid van de informatie (inclusief volledige aansluiting) met de kortste doorlooptijd voor wat betreft rapportering volgens meerdere GAAP’s. De kosten van deze oplossing zijn relatief hoog.

Uitbreiding van de bestaande applicatie met een (extracomptabele) IFRS-set of met behulp van Excel lijkt de goedkoopste oplossing met de laagste mate van betrouwbaarheid. Deze optie kent een beperkte ondersteuning om volgens meerdere GAAP’s te rapporteren, met name in het geval dat er sprake is van complexe IFRS-verschillen.

Een oplossing met twee ‘gespiegelde’ applicaties ondersteunt wel het principe van een Dual GAAP-rapportage maar vereist een zeer sterke discipline met betrekking tot onderhoud en datasynchronisatie. De kosten van een dergelijke oplossing liggen tussen de twee eerdergenoemde scenario’s en de betrouwbaarheid hangt sterk af van de gevolgde gebruikersprocedures.

C-2003-2-Gaus-20

Figuur 17. Overzicht oplossingsrichtingen.

Fase III IFRS-aanpak, de implementatie

Realisatie van systeemaanpassingen

In principe achten wij de aanpak voor de implementatiefase voor een IFRS-project vergelijkbaar met reguliere ICT-projecten, waarbij de betrokken deskundigheid vanuit de gebruikersorganisatie (expertgroep) relatief hoog zal zijn. Het project betreft niet noodzakelijk veel implementatieacties op het gebied van de ICT-infrastructuur; dergelijke acties zullen met name betrekking hebben op gegevensmanagement (inclusief communicatie), verwerkingsfunctionaliteit in de financiële applicaties en rapportagehulpmiddelen.

Qua ICT-expertise wordt het IFRS-project grootschaliger naarmate de kernsystemen meer in de oplossingen betrokken worden, dan wel naarmate er meer systeemvervangingen (of eerste implementaties) aan de orde zijn. De ICT-functie zal naar onze inschatting in het IFRS-project met name worden getest op haar ‘inhoudelijke aansluiting’ bij de financiële (IFRS-) expertise.

Testen

Zoals in de inleiding van het artikel is aangegeven, speelt de inhoudelijke expertise op IFRS-standaarden een uitermate belangrijke rol. Het bepalen wat moet gebeuren en wanneer maatregelen goed zijn ingevuld, is – zeker op dit moment – nog voorbehouden aan een beperkte groep inhoudelijk specialisten. Benadrukt is reeds de rol van de specialist in de eerste fase van het IFRS-project, de gap-analyse. Het is evident dat deze expertise ook gedurende de verdere uitvoering van het project beschikbaar moet zijn voor overleg en standpuntbepaling. Dit geldt gedurende fase II waarin de oplossingen worden verkend en uitgewerkt, en ook nog tijdens de daadwerkelijke systeeminrichting in fase III. Echt belangrijk wordt deze beschikbaarheid ons inziens weer in de testfase. Deze fase zal zodanig moeten worden ingericht en uitgevoerd dat het project nadrukkelijk acceptatie verkrijgt op de inhoudelijke juistheid van de uitkomsten in de financiële rapportages. Naast de vormvereisten zullen met name de inhoudseisen uitgebreid moeten worden getest. Maatregelen op het gebied van controleerbaarheid (audit trail, gegevensanalyse) zullen reeds hier hun waarde moeten bewijzen.

Nazorg

Ongetwijfeld zal het project, ook op systeemgerelateerde issues, nazorg behoeven. Mogelijk dat onder meer door de tijdsdruk op onderdelen tijdelijke maatregelen zijn geïmplementeerd die nog verdere verwerking in de systemen behoeven. Het bewaken van de inhoudelijke juistheid van de financiële verwerkings- en rapportageprocessen speelt hier een belangrijke rol.

Voor die gevallen waarin de strategische keuze is gemaakt voor een express-conversie, zal op enige termijn de overstap worden gemaakt naar een meer geïntegreerde systeemoplossing. Dit zal bijvoorbeeld gebeuren in combinatie met de eerste grootschalige systeemaanpassing of -vervanging in de hoek van de financiële systemen. Wij veronderstellen dat voor dit traject de beschreven methodiek goede handvatten biedt. Voor de trajecten waar wellicht erg de grenzen van de ‘workarounds’ zijn opgezocht, stellen wij voor om als onderdeel van de nazorgfase kritisch aandacht te besteden aan de kwaliteit van de processen en de robuustheid van de oplossingen in de praktijk.

Tot slot

In dit artikel hebben wij willen aangeven op welke wijze het onderdeel systems impact, als onderdeel van het totale IFRS-project, kan worden meegenomen. Hierbij bepleiten wij het vroegtijdig oppakken van het systeemonderdeel en wel direct in fase I, na het uitwerken van de gap-list. De belangrijkste stappen, ook op het systeemdeel, zitten naar onze mening in het uitdenken van de implementatie- en conversiestrategie en het uitwerken van de oplossingen (fase II). Onze argumentatie hiervoor is gelegen in de nauwe verwevenheid tussen het wat en het hoe, dit in combinatie met een relatief hoge automatiseringsgraad in de financiële processen en rapportageomgevingen. Daarnaast zijn wij van mening dat er voor de ICT-functie naast het ‘aannemen van de set van systeem- vereisten’ ook een belangrijke rol ligt in het bieden van oplossingskeuzen en randvoorwaarden, meedenken dus.

Qua ICT-project karakteriseren wij dit deel van het IFRS-project als zeer inhoudelijk. Zeker in de eerste twee fasen zal de ICT-competentie zich met name moeten bewijzen op inhoudelijke aansluiting bij de businessbehoeften (de IFRS-gaps en oplossingen) en op kennis van de applicaties en rapportageomgevingen.

Uit de praktijk maken wij op dat op diverse plaatsen gekozen wordt voor de express-aanpak. Ook hier zal de ICT-competentie betrokken zijn bij het realiseren van oplossingen, zij het voor een deel buiten de basissystemen om. Express-oplossingen leiden in eerste instantie tot minder kosten maar hebben een negatieve invloed op de betrouwbaarheid en de snelheid van de rapportage. Bovendien moet later nog een structurele oplossing worden geïmplementeerd.

Uiteindelijk verwachten wij dat hetzij nu in de IFRS-projecten, hetzij in de zeer nabije toekomst en in opvolging van de IFRS-invoering, menige finance-functie qua systeemondersteuning verder wordt geprofessionaliseerd. De mogelijke hulpmiddelen en ideeën rondom onder meer integratie zijn inmiddels ruim voorhanden.

IFRS gezien in een breder perspectief vraagt om een visie ten aanzien van vastlegging en rapportage. Een groeipad uitstippelen dat op termijn leidt tot een ‘best in class’-omgeving is de uitdaging waar we nu voor staan.

Bijlage met voorbeelden

Uitbreiding van de consolidatieverplichting (IAS 27)

IFRS-richtlijn

Voor participatiemaatschappijen kan gelden dat volgens IAS 27 alle deelnemingen mee geconsolideerd moeten worden. In de Nederlandse verslaggevingspraktijk komt het voor dat kapitaalbelangen niet in de consolidatiekring worden opgenomen, maar onder IFRS zullen deze kapitaalbelangen wel geconsolideerd moeten worden.

Gap

De verandering ten gevolge van deze IFRS-richtlijn zal met name betrekking hebben op de consolidatiestructuur, waarbij het aantal te consolideren deelnemingen verandert.

Categorie Classificatie

Structuur- en presentatieaanpassing.

IT-gevolgen

De gap zal met name gevolgen hebben voor het consolidatiesysteem. In dit systeem dient rekening te worden gehouden met de nieuwe consolidatiestructuur. Deze uitbreiding kan op twee manieren plaatsvinden.

Ten eerste kan naast de bestaande (huidige) consolidatiestructuur een separate consolidatiestructuur voor IFRS-doeleinden opgezet worden waarin alle, volgens IFRS-richtlijnen, groepsmaatschappijen worden geconsolideerd.

Ten tweede kan worden gedacht om de consolidatie zodanig in te richten dat gelijktijdig langs meerdere GAAP’s gerapporteerd wordt. De software dient dan wel een consolidatie volgens meerdere (consolidatie)methoden te ondersteunen, waarbij volgens huidige GAAP een financieel vast actief wordt gerapporteerd en volgens IFRS een consolidatie plaatsvindt.

Onderhanden werk (IAS 11)

IFRS-richtlijn

Volgens IAS 11 (par. 42) dient het brutobedrag dat door opdrachtgevers is verschuldigd als een actief te worden gepresenteerd en het brutobedrag dat aan opdrachtgevers is verschuldigd als een verplichting. NL GAAP stelt dat gedeclareerde termijnen (kunnen dus zowel verschuldigd door als aan zijn, afhankelijk van de stand van het project (lees gemaakte kosten)) als schuld kunnen worden gepresenteerd of als aftrek onder het onderhanden werk (actief) kunnen worden opgenomen.

Gap

IAS 11 kan tot gevolg hebben dat in de jaarrekening onder de verplichtingen een extra regel dient te worden opgenomen met betrekking tot de gefactureerde bedragen van het onderhanden werk. Voor correcte bepaling van de brutobedragen dient wel volledig inzicht te bestaan in de status van het onderhanden werk, met voldoende detail.

Categorie Classificatie

Reclassificatie.

IT-gevolgen

Deze IFRS-gap kan worden opgelost door in het grootboek op een aparte regel de gefactureerde bedragen op het onderhanden werk te verantwoorden. Deze regel wordt bij het inlezen in het consolidatiesysteem als separate regel gepresenteerd.

Voorraden (IAS 2)

IFRS-richtlijn

Volgens IAS 2 dienen voorraden te worden gewaardeerd tegen kostprijs of lagere netto-opbrengstwaarde. Daarbij dient onder de kostprijs te worden verstaan de directe kosten, verhoogd met de toerekenbare indirecte kosten.

Gap

Voorraadwaarderingen tegen actuele waarde, de LIFO-methode of tegen direct costing zoals nu onder de Nederlandse verslaggevingsrichtlijnen zijn toegestaan, zijn onder IFRS niet langer toegestaan.

Categorie Classificatie

Revaluation.

IT-gevolgen

Op het moment dat in een ERP-omgeving gebruik wordt gemaakt van een waarderingsmethode die onder IFRS niet langer toegestaan is, kan dit aanzienlijke IT-gevolgen hebben. De waarderingsmethode zal binnen de randvoorwaarden van de functionaliteit van het systeem moeten worden aangepast en historische data dienen te worden geconverteerd. Oplossingsrichtingen liggen op het gebied van (complexe) ‘work-arounds’ waarbij bijvoorbeeld met behulp van speciale queries of een speciaal grootboek waardering van de voorraden (balanspositie) plaatsvindt dan wel herinrichting van de software om meerdere waarderingsgrondslagen tegelijkertijd te laten ondersteunen. Een andere mogelijkheid is het doorvoeren van een stelselwijziging waarbij vanaf 2004 aan de IFRS-richtlijnen wordt voldaan, zodat de software ‘slechts’ de nieuwe IFRS-richtlijn hoeft te ondersteunen in plaats van een multi-GAAP-rapportageomgeving.

De consolidatie- en rapportageprocessen behoeven alleen een cijfermatige aanpassing (revaluatie), zodat de impact gering is.

Financiële instrumenten (IAS 32 en 39)

IAS 39 bevat de richtlijnen voor het verantwoorden en waarderen van financiële instrumenten. Een onderdeel van de IAS-richtlijn betreft hedge accounting. Voor hedge accounting gelden strikte eisen. Enkele van deze eisen zijn:

Bij aanvang van de hedge-relatie moet er formele documentatie zijn over die relatie, evenals de doelstelling ten aanzien van het riskmanagement en de relatie met het riskmanagementbeleid van de onderneming;
De formele documentatie moet het bedoelde hedge-instrument aanduiden, en verder:
- de relatie met de ingedekte positie of transactie aangeven,
- de aard van het ingedekte risico weergeven, en
- de wijze aangeven waarop de onderneming de effectiviteit van de hedge meet (de mate waarin de negatieve en positieve verschillen van de ingedekte positie/transactie worden opgeheven door het financiële instrument waarmee wordt ingedekt).

Verder geldt dat de reële waarden van de ingedekte positie en het instrument op een betrouwbare manier moeten worden gemeten en geregistreerd.

Toepassing van hedge accounting onder IAS 39 kan gevolgen hebben voor:

de waarderingsgrondslag van de ingedekte positie, en
de resultaatverantwoording van mutaties in de waarde van zowel het hedge-instrument als de ingedekte positie.

Volgens de IAS 32- en IAS 39-disclosurevereisten moet veel en uitgebreide informatie worden verstrekt over de bestaande financiële instrumenten, inclusief de instrumenten die zijn gebruikt voor hedgingdoeleinden.

Categorie Classificatie

Reclassificatie (toepassing van IAS 39 kan wel degelijk ook gevolgen hebben voor de waardering en resultaatverantwoording!).

Gap

Meerdere treasury departments van multinationals en andere grotere ondernemingen gebruiken financiële instrumenten en/of hedge-instrumenten om diverse risico’s, zoals valutarisico en renterisico, in te dekken. Zoals uit IAS 39 valt op te maken worden strenge eisen gesteld aan de wijze waarop de financiële instrumenten dienen te worden verantwoord en gewaardeerd. In termen van systeemondersteuning en ondersteuning in procedures zijn vele treasury departments niet voldoende geëquipeerd om te voldoen aan het geheel van IAS 39-eisen, zoals de formele vastlegging vooraf van het doel van een afgesloten hedge-instrument.

IT-gevolgen

De gevolgen voor de IT kunnen divers zijn. Het kan zijn dat eindelijk de map met termijncontracten wordt vervangen door een (klein) treasurysysteem dat in de breedte voldoet aan de IAS 39-vereisten. Ook kan het zijn dat het bestaande treasurysysteem wordt aangepast, bijvoorbeeld aan de eis om de reële waarde toe te lichten of te verwerken in de balans.

Employee benefit (IAS 19)

IAS 19 is de richtlijn die onder andere voorschriften geeft over de wijze waarop de rechten, verplichtingen, lasten en baten van pensioenregelingen in de jaarrekening dienen te worden verantwoord.

In Nederland worden pensioentoezeggingen door de werkgever vastgelegd in een pensioenreglement. Het pensioenreglement wordt uitgevoerd door een separate stichting of een externe verzekeraar, om op deze wijze te waarborgen dat bij een eventuele deconfiture van de werkgever de pensioenaanspraken en de financiering hiervan veilig zijn gesteld.

Gap

De basisinformatie over de rechten, verplichtingen, lasten en baten dient ten dele door het pensioenfonds of de verzekeraar te worden opgeleverd. Hierbij moet worden gedacht aan:

de voorziening pensioenverplichtingen, gebaseerd op de huidige salarissen en verwachte toekomstige salarisontwikkelingen, personeelsverloop, beleggingsrendementen, etc., inclusief het verloopoverzicht van 1 januari tot 31 december;
de reële waarde van de beleggingen die tegenover de verplichtingen staan (plan assets);
de samenstelling van de pensioenlast (pensioenlast met betrekking tot afgelopen boekjaar, interestkosten, verwachte opbrengst van de beleggingen, actuariële resultaten (resultaat op sterfte en op mutaties), pensioenlast met betrekking tot voorgaande jaren, etc.).

Categorie Classificatie

Revaluation.

IT-gevolgen

Deze vereisten raken direct de IT-organisatie van het pensioenfonds, omdat deze rekening moet houden met toekomstige beleggingsrendementen en salarisontwikkelingen. Op zowel directe als indirecte wijze raakt IAS 19 de onderneming. Een verstandig ondernemer verwerkt het verloopoverzicht van de pensioenvoorziening alsmede de huidige en toekomstige pensioenlast intracomptabel, zodat hij duidelijk zicht heeft op de ontwikkelingen in de pensioenlasten. De pensioenlasten maken namelijk een materieel deel uit van de salariskosten. Alleen op deze wijze kan hij de ontwikkelingen in het resultaat adequaat verklaren en hierop bijsturen.

Impairment test en bepaling realiseerbare waarde

Hoewel er met betrekking tot de uitvoering van een impairment test en de bepaling van de realiseerbare waarde van activa geen verschillen zijn ten opzichte van de huidige Nederlandse verslaggevingsrichtlijnen, heeft een juiste en betrouwbare berekening en verwerking van deze informatie een grote invloed op de vastleggings- en rapportagesystemen. Berekening van bijvoorbeeld de realiseerbare waarde van een actief op basis van de geprojecteerde omzet- en margeontwikkeling en ontwikkeling van werkkapitaal en investeringen wordt slechts in beperkte mate ondersteund met de huidige rapportagemiddelen.

De business case voor Extensible Business Reporting

Er wordt de laatste tijd steeds vaker gesproken over XBRL,de nieuwe ﬁnanciële rapportagestandaard. XBRL heeft namelijk op papier grote potenties voor een efﬁciënter rapportageproces. Echter, XBRL is nieuw en daarom dienen de voor- en nadelen zorgvuldig tegen elkaar te worden afgewogen, alsmede de mogelijke kosten en opbrengsten. Dit is vooral belangrijk in een tijd waarin er veel nieuwe projecten lopen zoals IFRS, Sarbanes & Oxley en Basel II. Aangezien dit artikel is opgenomen in een aan IFRS gewijde Compact, gaan wij in dit artikel speciﬁek in op de mogelijke relatie tussen XBRL en IFRS.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Alliances and ICT Audits

An alliance is a strategic management tool. It helps one organisation to cooperate with others in order to achieve speciﬁc product development, sales or distribution goals. The relationship between the allied organisations is in most cases a loose one, but the investments are substantial. Controls may play a critical role in the success of the alliance. This article describes the phases in which an alliance is established and deals with the corresponding risks and controls. It also addresses the relationship between the ICT auditor and alliances in the ﬁnancial audit.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Infrastructure Services – Tool-based auditing in open heterogene ICT-infrastructuren

Eén van de missies van de IT-auditor is het bieden van zekerheden over kwaliteit. De IT-auditor wordt geacht een onafhankelijk oordeel te geven over de kwaliteit van zowel de technische als organisatorische aspecten van ICT-omgevingen. Deze omgevingen worden vaak grofweg onderverdeeld in informatiesystemen en technische infrastructuren. In dit artikel wordt nader ingegaan op een methode voor het beoordelen van de kwaliteit van open heterogene ICT-infrastructuren, waarbij intensief gebruik wordt gemaakt van geautomatiseerde hulpmiddelen.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Older posts

Newer posts