1 december 2024

Risicoanalyse

De instellingsaccountant voert een risicoanalyse uit en legt zijn bevindingen en conclusie vast in zijn dossier. Hierin wordt minimaal aandacht besteed aan alle toetsingspunten (zoals benoemd in paragraaf 6.2.3 minimale werkzaamheden onder de werkzaamheden voor studenten per 1-10-2025) en moet per toetsingspunt duidelijk zijn of er al dan niet sprake is van een significant risico.

De instellingsaccountant betrekt in deze risicoanalyse onder andere Standaard 240.

De werkzaamheden verricht door een interne controle afdeling van de instelling kunnen niet de door de instellingsaccountant te verrichten werkzaamheden vervangen. De werkzaamheden van de interne controle afdeling maken onderdeel uit van de interne beheersingsstructuur van het onderzoeksobject.

Bepaling wel/niet afzonderlijke onderzoekpopulaties

De instellingsaccountant definieert indien mogelijk op grond van zijn risicoanalyse afzonderlijke onderzoekpopulaties binnen de relevante soorten gegevens, zoals genoemd in paragraaf 6.2.1. Dit betekent dat delen van een populatie op grond van de risicoanalyse van de instellingsaccountant ofwel systeemgericht (steunen op IB) ofwel gegevensgericht onderzocht kunnen worden. Dit kan per toetsingspunt verschillend zijn.

Indien de instellingsaccountant gebruik maakt van afzonderlijke onderzoekpopulaties bij het relevante soort gegeven studenten per 1-10-2025, dan wordt in ieder geval een afzonderlijke onderzoekpopulatie gedefinieerd voor nieuwe inschrijvingen kort voor 1-10-2025 en voor uitschrijvingen kort na 1-10-2025. Het risico van deze afzonderlijke onderzoekpopulaties is afhankelijk van de situatie hoger of significant.

Steunen op IB (indien van toepassing per onderzoekspopulatie)

Indien de instellingsaccountant voornemens is te steunen op de effectieve werking van specifieke IB, dan dient hij deze interne beheersingsmaatregelen op werking te toetsen. Onder toepassing van de controlestandaarden (waaronder Standaard 315 en 330) is het toegestaan dit roulerend te doen (eens in de 3 controles). Interne beheersingsmaatregelen voor een risico dat significant is dienen in de lopende controleperiode getoetst te worden.

Om vast te stellen of de instellingsaccountant kan steunen op de aanwezige IB dient hij werkzaamheden uit te voeren gericht op de opzet, het bestaan en de effectieve werking van de interne beheersingsmaatregelen. De omvang van deze toetsing is afhankelijk van de frequentie van de betreffende maatregel en kan dan ook per maatregel verschillend zijn. De instellingsaccountant voert per interne beheersingsmaatregel minimaal de volgende omvang proceduretesten uit:

Tabel 6.2.2a omvang proceduretesten

Frequentie | Omvang proceduretesten

Meerdere malen per dag | 25

Dagelijks | 15

Wekelijks | 10

Maandelijks | 3

Elk kwartaal | 2

Jaarlijks | 1

Uit de vastlegging van deze werkzaamheden moet blijken welke relevante risico’s en toetsingspunten (zoals benoemd in paragraaf 6.2.3. minimale werkzaamheden onder de werkzaamheden voor studenten per 1-10-2025) door de betreffende IB maatregel zijn afgedekt.

Indien bij het onderzoek gesteund wordt op geautomatiseerde gegevensverwerking, dan dient de betrouwbaarheid hiervan vastgesteld te worden. Indien vastgesteld kan worden dat er gedurende de onderzoeksperiode geen wijzigingen zijn geweest in die geautomatiseerde gegevensverwerking met een mogelijke impact op de te onderzoeken toetsingspunten (dit moet uit het onderzoekdossier van de instellingsaccountant blijken) dan kan volstaan worden met 1 (lijncontrole) test.

Indien de instellingsaccountant naar aanleiding van de risicoanalyse en de uitgevoerde werkzaamheden met betrekking tot de werking van de IB tot de conclusie komt dat hij kan steunen op de goede werking van de IB, dient in het onderzoeksdossier vast te liggen op grond waarvan de instellingsaccountant tot deze conclusie komt.

Gegevensgerichte werkzaamheden

Ongeacht de inschatting van risico’s op een afwijking van materieel belang dient de instellingsaccountant gegevensgerichte controles op te zetten en uit te voeren voor alle soorten relevante gegevens zoals genoemd in paragraaf 6.2.1.

Tot de gegevensgerichte werkzaamheden worden NIET de bij de toetsing van de werking van de IB uitgevoerde werkzaamheden gerekend.

A. Situatie waarin geen afzonderlijke onderzoekpopulaties binnen relevante soorten gegevens zijn gedefinieerd.

Indien de instellingsaccountant op grond van zijn verrichte werkzaamheden tot de conclusie komt dat hij kan steunen op de effectieve werking van de IB, kan de instellingsaccountant zijn gegevensgerichte werkzaamheden (per soort gegeven) beperken tot:

Tabel 6.2.2b omvang gegevensgerichte werkzaamheden

Aantal studenten | Omvang gegevensgerichte werkzaamheden

< 101 | 5 deelwaarnemingen

>100 en < 501 | 10 deelwaarnemingen

>500 en < 1.001 | 15 deelwaarnemingen

>1.000 | 20 deelwaarnemingen

Bij de verdeling van het aantal uit de tabel houdt de instellingsaccountant rekening met zijn risico inschatting. Het ligt voor de hand de werkzaamheden te richten op meer risicovolle records. Per gekozen record dienen alle toetsingspunten geraakt te worden.

Als bij de beperkte gegevensgerichte werkzaamheden fouten door de instellingsaccountant worden geconstateerd, wordt het onderzoek uitgebreid naar een onderzoek met een omvang op grond waarvan een uitspraak over de gehele massa kan worden gedaan (statistisch bepaalde steekproef omvang).

Indien de uitkomst van de risicoanalyse aangeeft dat de instellingsaccountant NIET kan steunen op de aanwezige IB of bij een gegevensgerichte onderzoeksaanpak, wordt gebruik gemaakt van een statistisch bepaalde steekproef omvang.

Indien de instellingsaccountant geen toetsing van de interne beheersingsmaatregelen uitvoert, kan zijn risico-inschatting van de effectieve werking van de interne beheersingsmaatregelen niet worden verlaagd (standaard 530) bij de bepaling van de omvang van de steekproef.

In geval van een statistische steekproef dient minimaal in het onderzoeksdossier van de instellingsaccountant aanwezig te zijn:

• bepaling van de massa;

• bepaling van de steekproefomvang, waaronder een inschatting van de verwachte fout en een onderbouwing van deze inschatting;

• wijze van selectie van de posten;

• een foutenevaluatie.

B. Situatie waarin afzonderlijke onderzoekpopulaties binnen relevante soorten gegevens zijn gedefinieerd

Bij de bepaling van de omvang van de gegevensgerichte werkzaamheden per gedefinieerde onderzoekpopulatie hanteert de instellingsaccountant op basis van Standaard 530 (bijlage 4) de volgende minimum aantallen indien geen fouten worden verwacht en aangetroffen:

Tabel 6.2.2c afzonderlijke onderzoekspopulaties binnen relevante soorten gegevens bij een laag, hoog of significatent risico

Populatie / aantal keer materialiteit | LR Steunen op IB | LR Niet steunen op IB | HR Steunen op IB | HR Niet steunen op IB | SR Steunen op IB | SR Niet steunen op IB

1 | 1 | 1 | 1 | 2 | 2 | 4

2 | 1 | 2 | 1 | 3 | 2 | 6

3 | 1 | 2 | 2 | 5 | 4 | 10

4 | 1 | 3 | 2 | 6 | 4 | 12

5 | 1 | 3 | 3 | 8 | 6 | 16

6 | 2 | 4 | 3 | 9 | 6 | 18

7 | 2 | 5 | 4 | 11 | 8 | 22

8 | 2 | 5 | 4 | 12 | 8 | 24

9 | 2 | 6 | 5 | 14 | 10 | 28

10 | 2 | 6 | 5 | 15 | 10 | 30

15 | 3 | 9 | 8 | 23 | 16 | 46

20 | 4 | 12 | 10 | 30 | 20 | 60

25 | 5 | 15 | 13 | 38 | 26 | 76

30 | 6 | 18 | 15 | 45 | 30 | 90

40 | 8 | 24 | 20 | 60 | 40 | 120

50 | 10 | 30 | 25 | 75 | 50 | 150

Indien de berekening van de ‘populatie/aantal keer materialiteit’ uitkomt op een getal tussen twee opgenomen waarden in de tabel, dan moet altijd naar boven afgerond worden om op de toe te passen regel uit te komen.

Indien fouten worden aangetroffen dienen deze in overeenstemming met Standaard 450 te worden geëvalueerd en aanvullende werkzaamheden te worden bepaald om voldoende zekerheid te verkrijgen over de betreffende populatie.

In geval van een steekproef op basis van bovenstaande tabel dient minimaal in het onderzoekdossier van de instellingsaccountant aanwezig te zijn:

• bepaling van de massa;