1 december 2021

Risicoanalyse

De instellingsaccountant voert een risicoanalyse uit en legt zijn bevindingen en conclusie vast in zijn dossier. Hierin wordt minimaal aandacht besteed aan alle toetsingspunten (zoals genoemd in paragraaf 6.2.3 minimale werkzaamheden onder de werkzaamheden voor studenten (bo en vavo), diploma’s (bo en vavo) en afgesloten (deel)eindexamenvakken (vavo)) en moet duidelijk zijn of er al dan niet sprake is van een significant risico.

De instellingsaccountant betrekt in deze risicoanalyse onder andere de Standaard 240 en de notitie ‘Helderheid in de bekostiging Beroepsonderwijs en Volwasseneneducatie 2004‘.

De werkzaamheden verricht door een interne controle afdeling van de instelling kunnen niet de door de instellingsaccountant te verrichten werkzaamheden vervangen. De werkzaamheden van de interne controle afdeling maken onderdeel uit van de interne beheersingsstructuur van het onderzoeksobject.

Bekostigde studenten aan maatwerktrajecten worden niet gezien als een homogene massa. De instellingsaccountant dient daarom bij instellingen die maatwerktrajecten verzorgen en materieel van omvang zijn (>2% van de totale populatie inschrijvingen) hier specifiek aandacht aan te besteden.

Bepaling wel/niet afzonderlijke onderzoekpopulaties

De instellingsaccountant definieert indien mogelijk op grond van zijn risicoanalyse afzonderlijke onderzoekpopulaties binnen de relevante soorten gegevens, zoals genoemd in paragraaf 6.2.1. Dit betekent dat delen van een populatie op grond van de risicoanalyse van de instellingsaccountant ofwel systeemgericht (steunen op IB) ofwel gegevensgericht onderzocht kunnen worden. Dit kan per toetsingspunt verschillend zijn.

Toetsingspunten, die centraal geverifieerd zijn door DUO kunnen buiten beschouwing blijven.

Indien de instellingsaccountant gebruik maakt van afzonderlijke onderzoekpopulaties bij een relevante soort gegeven student (beroepsonderwijs of vavo) per teldatum, dan wordt in ieder geval een afzonderlijke onderzoekpopulatie gedefinieerd voor nieuwe inschrijvingen kort voor de teldatum en voor uitschrijvingen kort na de teldatum. Het risico van deze afzonderlijke onderzoekpopulaties is afhankelijk van de situatie hoger of significant.

Steunen op IB (indien van toepassing per onderzoekpopulatie)

Indien de instellingsaccountant voornemens is te steunen op de effectieve werking van specifieke IB, dan dient hij deze interne beheersingsmaatregelen op werking te toetsen. Onder toepassing van de controlestandaarden (waaronder standaard 315 en 330) is het toegestaan dit roulerend te doen (eens in de 3 controles). Interne beheersingsmaatregelen voor een risico dat significant is dienen in de lopende controleperiode getoetst te worden.

Om vast te stellen of de instellingsaccountant kan steunen op de aanwezige IB dient hij werkzaamheden uit te voeren gericht op de opzet, het bestaan en de effectieve werking van de interne beheersingsmaatregelen. De omvang van deze toetsing is afhankelijk van de frequentie van de betreffende maatregel en kan dan ook per maatregel verschillend zijn. De instellingsaccountant voert per interne beheersingsmaatregel minimaal de volgende omvang proceduretesten uit:

Tabel 6.2.2a omvang proceduretesten

Frequentie | Omvang proceduretesten

Meerdere malen per dag | 25

Dagelijks | 15

Wekelijks | 10

Maandelijks | 3

Elk kwartaal | 2

Jaarlijks | 1

Uit de vastlegging van deze werkzaamheden moet blijken welke relevante risico’s en toetsingspunten (zoals genoemd in paragraaf 6.2.3. minimale werkzaamheden onder de werkzaamheden voor studenten (bo en vavo), diploma’s (bo en vavo) en afgesloten (deel)eindexamenvakken (vavo)) door de betreffende IB maatregel zijn afgedekt.

Indien bij het onderzoek gesteund wordt op geautomatiseerde gegevensverwerking, dan dient de betrouwbaarheid hiervan vastgesteld te worden. Indien vastgesteld kan worden dat er gedurende de onderzoeksperiode geen wijzigingen zijn geweest in die geautomatiseerde gegevensverwerking met een mogelijke impact op de te onderzoeken toetsingspunten (dit moet uit het onderzoekdossier van de instellingsaccountant blijken) dan kan volstaan worden met 1 (lijncontrole) test.

Indien één interne beheersingsmaatregel op dezelfde wijze van toepassing is op meerdere relevante soorten gegevens dan wordt bedoeld dat voor de toetsing van die betreffende maatregel volstaan kan worden met het minimum aantal testen uit de tabel. Hierbij dienen deze testen wel dusdanig gespreid te worden dat de relevante soorten gegevens in voldoende mate in de toetsing worden meegenomen.

Indien de instellingsaccountant naar aanleiding van de risicoanalyse en de uitgevoerde werkzaamheden met betrekking tot de werking van de IB tot de conclusie komt dat hij kan steunen op de goede werking van de IB, dient in het onderzoekdossier vast te liggen op grond waarvan de instellingsaccountant tot deze conclusie komt.

Gegevensgerichte werkzaamheden

Ongeacht de inschatting van risico’s op een afwijking van materieel belang dient de instellingsaccountant gegevensgerichte controles op te zetten en uit te voeren voor alle soorten relevante gegevens zoals genoemd in paragraaf 6.2.1.

Tot de gegevensgerichte werkzaamheden worden NIET de bij de toetsing van de werking van de IB uitgevoerde werkzaamheden gerekend.

Indien in de gegevensgerichte werkzaamheden fouten worden gevonden, dan maakt het voor de evaluatie en het uitvoeren van aanvullende werkzaamheden niet uit of de fout wel of niet gevolgen heeft voor de bekostiging. Als bijvoorbeeld de datum begin (record ISP) op 1 augustus staat, maar het moet 15 augustus zijn, dan is dit een fout.

A. Situatie waarin geen afzonderlijke onderzoekpopulaties binnen relevante soorten gegevens zijn gedefinieerd.

Indien de instellingsaccountant op grond van zijn verrichte werkzaamheden tot de conclusie komt dat hij kan steunen op de effectieve werking van de IB, kan de instellingsaccountant zijn gegevensgerichte werkzaamheden (per soort gegevens) beperken tot:

Tabel 6.2.2b omvang gegevensgerichte werkzaamheden

Aantal records | Omvang gegevensgerichte werkzaamheden

< 101 | 5 deelwaarnemingen

>100 en < 501 | 10 deelwaarnemingen

>500 en < 1001 | 15 deelwaarnemingen

>1000 en < 5001 | 20 deelwaarnemingen

>5000 | 25 deelwaarnemingen

Bij de verdeling van het aantal uit de tabel houdt de instellingsaccountant rekening met zijn risico-inschatting. Het ligt voor de hand de werkzaamheden te richten op meer risicovolle records. Per gekozen record dienen alle toetsingspunten geraakt te worden.

Als bij de beperkte gegevensgerichte werkzaamheden fouten door de instellingsaccountant worden geconstateerd, wordt het onderzoek uitgebreid naar een onderzoek met een omvang op grond waarvan een uitspraak over de gehele massa kan worden gedaan (statistisch bepaalde steekproef omvang).

Indien de uitkomst van de risicoanalyse aangeeft dat de instellingsaccountant NIET kan steunen op de aanwezige IB of bij een gegevensgerichte onderzoeksaanpak, wordt gebruik gemaakt van een statistisch bepaalde steekproef omvang.

Indien de instellingsaccountant geen toetsing van de interne beheersingsmaatregelen uitvoert, kan zijn risico-inschatting van de effectieve werking van de interne beheersingsmaatregelen niet worden verlaagd (standaard 530) bij de bepaling van de omvang van de steekproef.

In geval van een statistische steekproef dient minimaal in het onderzoeksdossier van de instellingsaccountant aanwezig te zijn:

• bepaling van de massa;

• bepaling van de steekproefomvang, waaronder een inschatting van de verwachte fout en een onderbouwing van deze inschatting;

• wijze van selectie van de posten;

• een foutenevaluatie.

B. Situatie waarin afzonderlijke onderzoekpopulaties binnen relevante soorten gegevens zijn gedefinieerd.

Bij de bepaling van de omvang van de gegevensgerichte werkzaamheden per gedefinieerde onderzoekpopulatie hanteert de instellingsaccountant op basis van Standaard 530 (bijlage 4) de volgende minimum aantallen indien geen fouten worden verwacht en aangetroffen: