1 juli 2022

Risicoanalyse

De instellingsaccountant voert een risicoanalyse uit en legt zijn bevindingen en conclusie vast in zijn dossier. Hierin wordt minimaal aandacht besteed aan alle toetsingspunten (zoals genoemd in paragraaf 4.2.3 minimale werkzaamheden onder de werkzaamheden voor nieuwkomers en leerlingen op de betreffende teldata in 2023) en moet per toetsingspunt duidelijk zijn of er al dan niet sprake is van een significant risico.

De instellingsaccountant betrekt in deze risicoanalyse onder andere Standaard 240.

De werkzaamheden verricht door een administratiekantoor of een interne controle-afdeling van de school kunnen niet de door de instellingsaccountant te verrichten werkzaamheden vervangen. De werkzaamheden van het administratiekantoor of de interne controle- afdeling maken onderdeel uit van de interne beheersingsstructuur van het onderzoeksobject.

Bepaling wel/niet afzonderlijke onderzoekpopulaties

De instellingsaccountant definieert indien mogelijk op grond van zijn risicoanalyse afzonderlijke onderzoekpopulaties binnen de relevante soorten gegevens, zoals genoemd in paragraaf 4.2.1. Dit betekent dat delen van een populatie op grond van de risicoanalyse van de instellingsaccountant ofwel systeemgericht (steunen op IB) ofwel gegevensgericht onderzocht kunnen worden. Dit kan per toetsingspunt verschillend zijn.

Toetsingspunten die centraal geverifieerd zijn door DUO kunnen buiten beschouwing blijven.

Indien de instellingsaccountant gebruik maakt van afzonderlijke onderzoekpopulaties bij het relevante soort gegeven nieuwkomers en leerlingen per 1-10-2023, dan wordt in ieder geval een afzonderlijke onderzoekpopulatie gedefinieerd voor nieuwe inschrijvingen kort voor 1-10-2023 en voor uitschrijvingen kort na 1-10-2023. Het risico van deze afzonderlijke onderzoekpopulaties is afhankelijk van de situatie hoger of significant.

Steunen op IB (indien van toepassing per onderzoekpopulatie)

Indien de instellingsaccountant voornemens is te steunen op de effectieve werking van specifieke IB, dan dient hij deze interne beheersingsmaatregelen op werking te toetsen. Onder toepassing van de controlestandaarden (waaronder Standaard 315 en 330) is het toegestaan dit roulerend te doen (eens in de 3 controles). Interne beheersingsmaatregelen voor een risico dat significant is dienen in de lopende controleperiode getoetst te worden.

Om vast te stellen of de instellingsaccountant kan steunen op de aanwezige IB dient hij werkzaamheden uit te voeren gericht op de opzet, het bestaan en de effectieve werking van de interne beheersingsmaatregelen. De omvang van deze toetsing is afhankelijk van de frequentie van de betreffende maatregel en kan dan ook per maatregel verschillend zijn. De instellingsaccountant voert per interne beheersingsmaatregel minimaal de volgende omvang proceduretesten uit:

Tabel 4.2.2a omvang proceduretesten

Frequentie | Omvang proceduretesten

Meerdere malen per dag | 25

Dagelijks | 15

Wekelijks | 10

Maandelijks | 3

Elk kwartaal | 2

Jaarlijks | 1

Uit de vastlegging van deze werkzaamheden moet blijken welke relevante risico’s en toetsingspunten (zoals genoemd in paragraaf 4.2.3. minimale werkzaamheden onder de werkzaamheden voor nieuwkomers en leerlingen op de betreffende teldata in 2023) door de betreffende IB maatregel zijn afgedekt.

Indien bij het onderzoek gesteund wordt op geautomatiseerde gegevensverwerking, dan dient de betrouwbaarheid hiervan vastgesteld te worden. Indien vastgesteld kan worden dat er gedurende de onderzoeksperiode geen wijzigingen zijn geweest in die geautomatiseerde gegevensverwerking met een mogelijke impact op de te onderzoeken toetsingspunten (dit moet uit het onderzoekdossier van de instellingsaccountant blijken) dan kan volstaan worden met 1 (lijncontrole) test.

Indien één interne beheersingsmaatregel op dezelfde wijze van toepassing is bij meerdere instellingscodes dan wordt bedoeld dat voor de toetsing van die betreffende maatregel volstaan kan worden met het minimum aantal testen uit de tabel, tenzij de instelling meer dan 25 instellingscodes omvat. De testwerkzaamheden dienen dusdanig gespreid te worden dat de relevante instellingscodes, doch minimaal 1 keer bij meer dan 25 instellingscodes, in voldoende mate in de toetsing worden meegenomen.

Indien de instellingsaccountant naar aanleiding van de risicoanalyse en de uitgevoerde werkzaamheden met betrekking tot de werking van de IB tot de conclusie komt dat hij kan steunen op de goede werking van de IB, dient in het onderzoekdossier vast te liggen op grond waarvan de instellingsaccountant tot deze conclusie komt.

Gegevensgerichte werkzaamheden

Ongeacht de inschatting van risico’s op een afwijking van materieel belang dient de instellingsaccountant gegevensgerichte controles op te zetten en uit te voeren voor alle soorten relevante gegevens zoals genoemd in paragraaf 4.2.1. De aantallen gegevensgerichte werkzaamheden in tabel 4.2.2b of 4.2.2c of het aantal in een statistische steekproef is per soortgegeven per instellingscode.

Tot de gegevensgerichte werkzaamheden worden NIET de bij de toetsing van de werking van de IB uitgevoerde werkzaamheden gerekend.

Indien in de gegevensgerichte werkzaamheden fouten worden gevonden, dan maakt het voor de evaluatie en het uitvoeren van aanvullende werkzaamheden niet uit of de fout wel of niet gevolgen heeft voor de bekostiging. Als bijvoorbeeld de datum inschrijving (record ISG) op 1 september staat, maar het moet 15 september zijn, dan is dit een fout.

A. Situatie waarin geen afzonderlijke onderzoekpopulaties binnen relevante soorten gegevens zijn gedefinieerd.

Indien de instellingsaccountant op grond van zijn verrichte werkzaamheden tot de conclusie komt dat hij kan steunen op de effectieve werking van de IB, kan de instellingsaccountant zijn gegevensgerichte werkzaamheden (per soort gegevens) beperken tot:

Tabel 4.2.2b omvang gegevensgerichte werkzaamheden

Aantal records | Omvang gegevensgerichte werkzaamheden

< 101 | 5 deelwaarnemingen

>100 en < 501 | 10 deelwaarnemingen

>500 en < 1.001 | 15 deelwaarnemingen

>1.000 en < 5.001 | 20 deelwaarnemingen

>5.000 | 25 deelwaarnemingen

Bij de verdeling van het aantal uit de tabel houdt de instellingsaccountant rekening met zijn risico-inschatting. Het ligt voor de hand de werkzaamheden te richten op meer risicovolle records. Per gekozen record dienen alle toetsingspunten geraakt te worden.

Als bij de beperkte gegevensgerichte werkzaamheden fouten door de instellingsaccountant worden geconstateerd, wordt het onderzoek uitgebreid naar een onderzoek met een omvang op grond waarvan een uitspraak over de gehele massa kan worden gedaan (statistisch bepaalde steekproef omvang).

Indien de uitkomst van de risicoanalyse aangeeft dat de instellingsaccountant NIET kan steunen op de aanwezige IB of bij een gegevensgerichte onderzoekaanpak, wordt gebruik gemaakt van een statistisch bepaalde steekproef omvang.

Indien de instellingsaccountant geen toetsing van de interne beheersingsmaatregelen uitvoert, kan zijn risico-inschatting van de effectieve werking van de interne beheersingsmaatregelen niet worden verlaagd (Standaard 530) bij de bepaling van de omvang van de steekproef.

In geval van een statistische steekproef dient minimaal in het onderzoekdossier van de instellingsaccountant aanwezig te zijn:

• bepaling van de massa;

• bepaling van de steekproefomvang, waaronder een inschatting van de verwachte fout en een onderbouwing van deze inschatting;

• wijze van selectie van de posten;

• een foutenevaluatie.

B. Situatie waarin afzonderlijke onderzoekpopulaties binnen relevante soorten gegevens zijn gedefinieerd.

Bij de bepaling van de omvang van de gegevensgerichte werkzaamheden per gedefinieerde onderzoekpopulatie hanteert de instellingsaccountant op basis van Standaard 530 (bijlage 4) de volgende minimum aantallen indien geen fouten worden verwacht en aangetroffen:

Tabel 4.2.2c afzonderlijke onderzoekspopulaties binnen relevante soorten gegevens