Hein Kloosterman

Een van de (vele) schoonheden van het boek is het vertalen van het Audit Assurance Model (AAM) in de zogenoemde methode van steekproefequivalenten. De steekproefequivalenten vervangen de zogenoemde priorschattingen die nodig zijn om Bayesiaanse statistiek toe te passen. Ze vervangen ook het goochelen met percentages zoals in het Audit Assurance Model de risico-inschattingen dienst doen. De steekproefequivalentenmethode is overigens op meer plekken te vinden, zoals in Touw en Hoogduin (Statistiek voor Audit en Controlling, 2011) en in Trevor Stewart (A Bayesian Audit Assurance Model, 2013).

Wat houdt de methode in? Wel, veel mensen die zijn grootgebracht met het Audit Assurance Model of het gelijkwaardige Audit Risk Model moeten, hoe moeilijk dat ook is, het inherent risk, control risk en eventueel analytical procedures risk schatten. Het zou mooi zijn als een schatting vooraf met data achteraf zou zijn te valideren. Met die risks, die percentages, lukt dat helaas niet.

De methode van steekproefequivalenten vervangt de schatting van de risks door de vraag te stellen, gegeven de vereiste nauwkeurigheid en het overall audit risk: "Hoeveel waar te nemen geldeenheden vindt u het als accountant achtereenvolgens waard dat:

• er geen sprake is van een specifiek risico (of: inherent risico is laag)?
• er een hoge mate van interne beheersing aanwezig is?
• de analytical procedures geen signalen geven van mogelijke fouten?"

Degenen die de uitkomsten van de controleaanpak van de big four hebben ‘nagemeten', hebben gezien dat de lage risico-inschattingen leiden tot een reductie van de (bruto) steekproef. De hoge inschattingen leiden tot de bruto steekproef.

Als er sprake is van een laag inherent risico (er is geen specifiek risico) is de reductie al gauw ruim 33 procent van de bruto steekproef.

Is er bovendien sprake van een laag control risk, dus een hoge mate van interne beheersing, dan kan de reductie oplopen van 67 procent (bij R = 1) tot wel 83 procent (bij R = 0,5) van de bruto steekproef.

Het ligt voor de hand dat dergelijke percentages ook kunnen worden uitgedrukt in een steekproefomvang, zodra de bruto-steekproef vaststaat. Deze waarden zijn gebaseerd op tabellen die de grote kantoren hanteren. In die tabellen geeft men de uitkomst van de Poissonverdeling bij nul fouten in de steekproef (de zogenoemde R-waarde; R = n*p, waarbij n is steekproefomvang en p de foutfractie) en het bijbehorende detectierisico (alfa). Bij alfa = 5 procent en het aantal fouten in de steekproef is nihil is R = n*p » 3,00. Ik vat drie van die tabellen hieronder samen:

	R 'bruto' / alfa	R 'IR laag' / alfa	R 'CR laag' / alfa
Kantoor A	3 / 0,05	2 / 0,135	1 / 0,3675
Kantoor B	3 / 0,05	2 / 0,135	0,7 / 0,50
Kantoor C	3 / 0,05	2 / 0,135	0,5 / 0,6065

N.B. de kantoren bieden hun personeel zo'n tabel aan, niet de afleiding ervan. De waarden van R bij laag inherent risico (R=2) en laag control risico (R = 1, 0,7 of 0,5) zijn dus niet afgeleid uit het reeds verkregen controlebewijs.

Stel dat (bij kantoor A) de steekproefomvang bij een alfa van 5% 450 zou zijn, dan is de reductie tengevolge van een laag inherent risico (=IR) 150 steekproefelementen, namelijk n_bruto * (R_bruto - R_{IR Laag}) / R_bruto = 450 * (3-2)/3. Als het control risk (=CR) laag is dan is de reductie ten gevolge daarvan 300 steekproefelementen, namelijk n_bruto * (R_bruto - R_{CR Laag}) / R_bruto = 450 * (3-1)/3.

Als beide zich tegelijkertijd voordoen, dan blijft de reductie in de tabel die ik heb waargenomen maximaal die 300 elementen en schrijft men minder proceduretests voor. Het steekproefequivalent van het lage inherente risico is dus 450 -/- 300 = 150 elementen. Het steekproefequivalent van een laag control-risico in combinatie met een laag inherent risico is 150 elementen, en van een laag control-risico in combinatie met een hoog inherent risico 300 elementen.

Als men twijfelt aan de juistheid van de conclusie omtrent een laag control-risico, kan men het steekproefequivalent van die inschatting - gegeven de overige inschattingen - dus alsnog controleren: als het inherent risico laag werd geschat controleert men nog 150 elementen, als het inherent risico hoog werd ingeschat nog 300.

In tabelvorm komt dat (voor de kantoren A, B en C) er zo uit te zien:

	bruto-steekproef n (R=3)	reductie door laag inherent risico (R=2)	R bij laag control risico	Reductie door (alleen) laag control risico	Gegevensgerichte steekproefomvang bij laag CR
Kantoor A	450	150	1	300	150
Kantoor B	450	150	0,7	345	105
Kantoor C	450	150	0,5	375	75

De columns over professional judgment (1, 2 en 3) lieten zien dat risico-inschattingen moeilijk of onmogelijk zijn. Mede omdat ze niet zijn te valideren: bijsturen is dan niet mogelijk. Zijn steekproefequivalenten dan wel te evalueren?

Ja, dat zijn zij. Niet dat iedere inschatting per se moeten worden gevalideerd, maar elke inschatting is in beginsel valideerbaar. En dat is winst, bij een toetsingsonderzoek zoals een financiële audit.