Afwijking in een ISAE 3402 type 2-rapport: wat betekent het?
Een afwijking in een ISAE 3402 type 2-rapport betekent dat de auditor bij een getest voorbeeld constateerde dat een beheersmaatregel niet werkte zoals beschreven. Het staat in het testdeel van het rapport, niet als automatisch oordeel “afgekeurd”. Hoe zwaar het weegt, hangt af van hoe vaak het voorkwam, welke maatregel het raakt en wat je eraan deed. Het verschil tussen type 1 en type 2 staat op type 1 vs type 2. Wat de auditor precies test, staat op de auditpagina. Waar het testdeel in het rapport staat, lees je bij de eisen aan het rapport.
Je kunt een afwijking niet verzwijgen: het rapport vermeldt wat de auditor bij zijn testen vond. Wat je zelf in de hand hebt, is hoe goed je reactie erop is.
Waarom een type 2-rapport afwijkingen kan bevatten
Type 2 toetst of je maatregelen een periode lang werkten. De auditor kiest steekproeven uit die periode en controleert per steekproef of de maatregel is uitgevoerd. Vindt hij bij een steekproef dat een maatregel niet is uitgevoerd, of anders dan beschreven, dan noteert hij een afwijking.
Dat is ook de reden dat een type 2 niet alleen laat zien dat je een proces hebt, maar hoe je het proces in de praktijk uitvoert. Een proces dat op papier perfect is maar één keer in de maand wordt overgeslagen, valt in de steekproef op.
Voorbeeld: een afwijking bij een salarisverwerker
Stel: de beheersmaatregel is dat een tweede medewerker elke mutatie boven de € 500 goedkeurt voordat de salarisrun start. De auditor kiest 25 mutaties uit de periode en controleert bij elk de goedkeuring. Bij drie mutaties ontbreekt de tweede goedkeuring in het ticketsysteem, omdat de medewerker het had doorgegeven via een mail.
Dat is een afwijking in de werking. De auditor schrijft dat op, met het aantal getroffen steekproeven en een beschrijving van wat er ontbrak. Jij krijgt de kans om te reageren met wat je hebt gedaan: de mailroute gesloten, een controle achteraf ingevoerd, en het werkproces aangepast.
| Onderdeel | Voorbeeld uit het rapport |
|---|---|
| Maatregel | Mutaties boven € 500 worden goedgekeurd door een tweede medewerker |
| Steekproef | 25 mutaties over de periode |
| Afwijking | 3 van 25 mutaties zonder aantoonbare tweede goedkeuring |
| Reactie management | Goedkeuring alleen nog via het ticketsysteem, controle achteraf op alle mutaties in de maand |
Dit getal is fictief en dient om de opbouw te laten zien. De werkelijke steekproef en de aantallen bepaalt de auditor.
Afwijking in de opzet en in de werking
Het is handig om twee soorten bevindingen te onderscheiden. Ze volgen de drie vragen waarover de auditor oordeelt: klopt de beschrijving, is de maatregel goed opgezet en werkte hij. Het onderscheid zelf is een praktijkindeling, geen term uit de standaard.
| Afwijking in de opzet | Afwijking in de werking | |
|---|---|---|
| Wat er mis is | De maatregel is niet goed ontworpen om het risico af te dekken | De maatregel is goed bedacht maar niet of niet goed uitgevoerd |
| Voorbeeld | Er is geen controle op wijzigingen in bankrekeningnummers | De controle bestaat, maar bij drie steekproeven ontbreekt de handtekening |
| Hoe je het oplost | De maatregel herontwerpen en de beschrijving aanpassen | De uitvoering verbeteren en bewijs verzamelen |
| Impact op de klant | Het risico is niet afgedekt, ook als alles gebeurde | Het risico is afgedekt in theorie, maar niet altijd in de praktijk |
Een opzetafwijking kan zwaarder wegen, omdat hij niet door betere uitvoering is op te lossen. Bij een type 1 gaat het vooral om opzet; bij een type 2 komen ook uitvoeringsafwijkingen erbij.
Hoe je reageert op een afwijking
Je reactie kan in het rapport staan, als overige informatie van de directie. De auditor geeft daar geen oordeel over. Het is wel het deel dat je zelf schrijft en waar je klant het meeste van leert. Gebruik deze volgorde:
- Erken de afwijking. Niet afzwakken, niet verwijzen naar “uitzonderlijke omstandigheden” zonder bewijs.
- Zoek de oorzaak. Waarom gebeurde het? Een mail als goedkeuring is geen procesfout maar een ontwerpfout.
- Beschrijf de maatregel die je hebt genomen. Met datum en verantwoordelijke.
- Bewijs dat de maatregel werkt. Liefst met een periode na de aanpassing, zodat de lezer kan zien dat het niet eenmalig was.
- Bespreek het met je auditor voordat het concept klaar is. Dan staat het goed in het rapport, en hoeft de auditor niet te raden.
Een afwijking die je hebt opgelost is op het moment van het rapport nog steeds een afwijking. De reactie laat zien dat je de oorzaak kent en hem hebt aangepakt, en dat is wat klanten willen weten.
Veelgemaakte fouten
- Afwijkingen wegpraten. “Dat was maar één keer” zegt de lezer niets. Het gaat om het aantal steekproeven dat faalde en wat je ertegen deed.
- Een reactie zonder bewijs. “Wij hebben het verbeterd” is geen reactie. Laat zien wat er nu anders is.
- Te laat in het traject bespreken. Als je de afwijking pas bij het definitieve rapport hoort, is er geen tijd meer om de reactie goed voor te bereiden.
- Opzetafwijking behandelen als uitvoeringsfout. Dan komt de oplossing niet bij de oorzaak uit, en gaat het volgende jaar weer mis.
- Geen informatie aan klanten. Klanten die op het rapport vertrouwen, moeten weten wat er is veranderd. Bespreek dat met je accountmanager.
Checklist na een afwijking
Gebruik deze lijst zodra de auditor een afwijking meldt, zodat je de reactie niet onder tijdsdruk schrijft:
- Heb ik de steekproef en de afwijking precies begrepen, en klopt de feitelijke beschrijving?
- Is de oorzaak vastgesteld, en is het een opzet- of een uitvoeringsafwijking?
- Heb ik een maatregel genomen die de oorzaak wegneemt, niet alleen het gevolg?
- Heb ik bewijs dat de maatregel werkt, en vanaf welke datum?
- Heb ik de reactie met de auditor besproken voordat het concept klaar is?
- Weet mijn klant dat er een afwijking is geweest en wat ik heb gedaan?
- Staat de afwijking in mijn interne controleplan voor het volgende jaar?
Veelgestelde vragen over afwijkingen in ISAE 3402
Betekent een afwijking dat het rapport is afgekeurd?
Niet automatisch. Het rapport beschrijft wat de auditor vond. Of een afwijking het oordeel beïnvloedt, hangt af van de aard en omvang ervan en van de beoordeling van de auditor, bijvoorbeeld of een beheersingsdoelstelling daardoor niet meer wordt gehaald. Vraag dat tijdig na, zodat je weet waar je staat.
Moet ik mijn klanten apart informeren over een afwijking?
Verplicht is dat niet, want de afwijking staat in het rapport dat klanten en hun accountants lezen. Een eigen toelichting aan je grotere klanten voordat het rapport verschijnt, voorkomt wel verrassingen. De accountant van de klant houdt in zijn eigen controle rekening met de afwijking.
Hoe voorkom ik afwijkingen in het volgende rapport?
Begin met het oorzaakonderzoek, en sluit bewijs en procesroutes waar ze zwak zijn. Een interne controle die elke maand draait, vangt veel op voordat de auditor komt. Zie ook de audit-checklist voor wat er in de voorbereiding hoort.
Telt een afwijking in de werking zwaarder bij een langere periode?
Een langere periode betekent vaak meer steekproeven en dus meer kans op een afwijking. Hoe de periode en het aantal steekproeven zich tot elkaar verhouden, bepaalt de auditor. Lees bij de kosten en doorlooptijd wat een traject in totaal kost.
Meer informatie
Afwijkingen hangen samen met de eisen aan het rapport, waar het testdeel en de reactie van management beschreven staan. Lees ook de systeembeschrijving, want een afwijking die je niet in je beschrijving herkent, wijst vaak op een verkeerd beschreven proces.