Albert Bosch

Alvorens ik nader inga op de bevindingen uit het AFM-onderzoek, ga ik eerst in op het begrip controlekwaliteit. Diverse academici bogen zich over de vraag wat controlekwaliteit inhoudt, of hoe dit kan worden bezien. Er zijn verschillende benaderingen van de controlekwaliteit, die je op een hoog abstractieniveau kunt indelen in twee benaderingen. De eerste benadering is gericht op het controleproces, wat ik noem 'proceskwaliteit'. Fouten in het controleproces betekenen een verminderde controlekwaliteit. De tweede benadering is gericht op de uitkomsten van een controle, i.e. de jaarrekening en de controleverklaring. Fouten in de jaarrekening of een verkeerd oordeel is een teken van een verminderde controlekwaliteit. Ik noem dit 'uitkomstkwaliteit'.

Geen van deze twee benaderingen benadert het begrip controlekwaliteit volledig, zoals Knechel (2013) en meer recent Detzen en Gold (2021) lieten zien. Francis (2011, 2023) zag de volgende nadelen van beide benaderingen. Proceskwaliteit heeft als nadeel dat het controleproces gepaard gaat met (veel) professionele oordeelsvorming (en een professioneel-kritische instelling). Wil je iets zeggen over de proceskwaliteit, dan moet je dus iets zeggen over de professionele oordeelsvorming van de accountant. En dat vereist op zichzelf veelal professionele oordeelsvorming van de reviewer, waarbij feiten en interpretaties in elkaar vloeien. Uitkomstkwaliteit heeft echter als nadeel dat een controle geen absolute zekerheid geeft. In de Standaarden (NV COS) lezen we dit ook terug: controlebewijs is eerder overtuigend dan sluitend (200.5) en vanwege inherente beperkingen bestaat er een onvermijdbaar risico dat sommige afwijkingen van materieel belang in de jaarrekening niet worden gedetecteerd, ook al is de controle naar behoren gepland en overeenkomstig de Standaarden uitgevoerd (240.5).

Domeinafhankelijk

Het voordeel van uitkomstkwaliteit is wel dat deze niet domeinafhankelijk is. Daarmee bedoel ik het volgende. De wiskundige en wetenschapsfilosoof Karl Popper (1934/1959) was van mening dat een conclusie geldig was, totdat deze is weerlegd, mits de conclusie wel falsifieerbaar is. Dat wil zeggen dat deze empirisch (via waarnemingen) weerlegbaar is. Er is slechts één tegen-waarneming nodig om een conclusie te weerleggen. 'Alle zwanen zijn wit" vereist slechts één zwarte zwaan om de stelling te weerleggen. Naar verluidt was de reactie van Albert Einstein op de publicatie Hundert Autoren Gegen Einstein dat, als hij er naast zat, slechts één in plaats van honderd auteurs voldoende was om dat aan te tonen.

Het oordeel van een accountant dat een jaarrekening vrij is van materiële afwijkingen vereist slechts één zo'n afwijking om te laten zien dat het oordeel niet correct is. Dat staat los van het voorliggende controleproces of het type organisatie dat is gecontroleerd. Oftewel, bevindingen die zien op uitkomstkwaliteit zijn niet domeinafhankelijk. Bij proceskwaliteit is dat echter wel het geval. Je moet inzicht hebben in de context (het domein) waarin de controle is uitgevoerd, om het controleproces te kunnen beoordelen. Voorbeeld: een voorraadinventarisatie is alleen nodig als er ook sprake van een voorraad en zelfs dan kan het niet nodig zijn. Die werkstap is domeinafhankelijk en zal in de ene controle tot een ernstige bevinding kunnen leiden en in een andere controle nooit.

Context

Met het onderscheid tussen proceskwaliteit en uitkomstkwaliteit las ik het AFM-rapport nog eens. Bezien vanuit uitkomstkwaliteit zijn de lessen goed te identificeren. De AFM constateerde in tien van de 32 wettelijke controles onjuistheden in de fraudeparagraaf in de controleverklaring. Hoewel deze bevinding het risico op een niet-ontdekte afwijking als gevolg van fraude niet beïnvloed, is dit wel degelijk een bevinding in de categorie uitkomstkwaliteit. De les is dan ook simpel: zorg dat de beschrijving aansluit op de uitgevoerde werkzaamheden en uitkomsten. Ongeacht de situatie (het domein).

De meeste bevindingen in het recente AFM-rapport over fraude kwalificeren als bevindingen die zien op proceskwaliteit. Om te reflecteren op dergelijke bevindingen is context-informatie nodig. Anders gezegd, vanwege de domeinafhankelijkheid moet je de context zien, om de bevinding te begrijpen. Ik geef in de tabel een paar voorbeelden en licht toe waarom reflectie daarop lastig is, op basis van het openbare rapport.

Pagina en passage in AFM rapport		Reflectie
Pag. 8	"Ook betrekken accountants niet altijd kwalitatieve aspecten bij het uitvoeren van controlewerkzaamheden. Zo heeft een accountant bijvoorbeeld nagelaten om een bijzondere betaling nader te verifiëren met brondocumentatie, omdat deze boeking door de accountant niet als materieel werd gezien."	Naar het professionele oordeel van de accountant kon deze specifieke boeking c.q. bijzonder betaling niet leiden tot een afwijking van materieel belang. Dat kan een juiste inschatting van de accountant zijn geweest, maar het kan ook een verkeerde inschatting zijn geweest. Uit het AFM-rapport blijkt niet in welke context de accountant tot deze professionele oordeelsvorming is gekomen, en waarom de AFM tot een ander oordeel is gekomen.
Pag. 8	"Bij frauderisico’s die zien op de opbrengstverantwoording zien we dat soms enkel standaard controlewerkzaamheden worden uitgevoerd. Standaard werkzaamheden zijn werkzaamheden die een accountant, ongeacht de risico-inschatting, uitvoert voor materiële posten of stromen."	De 'procesvereiste' in Standaard 240.31 en 330.6 is dat de accountant verdere controlewerkzaamheden dient op te zetten en uit te voeren waarvan de aard, timing en omvang inspelen op de ingeschatte risico's op een afwijking van materieel belang, op het niveau van beweringen die het gevolg is van fraude. Afhankelijk van de specifieke kenmerken van het frauderisico kan de accountant van mening zijn geweest dat de standaard controlewerkzaamheden voldoende inspelen op het onderkende frauderisico. Maar het kan ook zeker noodzakelijk zijn geweest andere, niet-standaard werkzaamheden uit te voeren.
Pag. 9	"Uit ons onderzoek volgt dat meerdere accountants onvoldoende werkzaamheden uitvoeren om de betrouwbaarheid van de gegevens die gebruikt zijn in de data-analyse vast te stellen, bijvoorbeeld door het vaststellen dat de dienst of product ook daadwerkelijk geleverd is voor de prijs zoals opgenomen in het contract."	Het hangt van zowel de dienst of product alsmede van het onderliggende frauderisico en proces van datavastlegging en -verwerking af, of het vaststellen van de prestatielevering noodzakelijk is om te concluderen dat gegevens voor data-analyse betrouwbaar is.
Pag. 10	"Bij dertien van de 32 onderzochte wettelijke controles constateren we dat geen (geschikt) element van onvoorspelbaarheid is ingebouwd. […] Zo is aangekondigd bij welke voorraadlocaties de accountant een inventarisatie zal uitvoeren, waardoor er geen sprake is van een verrassingselement."	De 'procesvereiste' in Standaard 240.30 is dat de accountant bij het bepalen van algehele manieren om in te spelen op de ingeschatte frauderisico's een element van onvoorspelbaarheid inbouwt bij het kiezen van de aard, timing en omvang van de controlewerkzaamheden. Het is goed mogelijk dat het heel dom van de accountant was om aan te kondigen welke voorraadlocaties de accountant zou gaan inventariseren. Maar het is evengoed mogelijk, in een andere context, dat de aankondiging praktisch noodzakelijk was en dat het risico op heimelijke verplaatsing van producten niet eens goed mogelijk was.

Scherper zicht

De AFM geeft druk op de sector en ik geef tegendruk. Het kan lijken alsof ik de bevindingen van de AFM ter discussie wil stellen. Dat is niet mijn bedoeling, al is mijn ervaring wel dat in het bediscussiëren van bevindingen scherper zicht op én consensus komt over de wijze waarop vereisten uit Standaarden moeten worden ingevuld. Het gaat mij primair erom de AFM op te roepen de procesbevindingen nader toe te lichten, om de reflectie daarop te faciliteren. Alleen dan kunnen er zinvolle lessen worden geleerd op basis van echte casuïstiek, in plaats van dat de bevindingen blijven hangen in theorie en de sector er eerder blinder dan scherper van gaat controleren.

PS: Als je vanuit de perspectieven proceskwaliteit en uitkomstkwaliteit naar de voorgestelde audit quality indicators (AQI's) kijkt, dan begrijp je waarom ik verwacht dat het doel van de AQI's (het verhogen van de kwaliteit van de wettelijke controle) niet zal worden gehaald. De AQI's bestaan vrijwel niet uit indicatoren die zien op uitkomstkwaliteit. De AQI's zijn gericht op proceskwaliteit, of hebben geen (directe) relatie met proceskwaliteit of uitkomstkwaliteit.

Bronnen

• AFM  (2025) Onderzoek controlewerkzaamheden bij frauderisico's schieten tekort.  
• DeAngelo L.E. (1981) Auditor size and audit quality. Journal of Accounting and Economics 3(3): 183–199.
• Detzen D., A. Gold (2021) The different shades of audit quality: A review of the academic literature. Maandblad voor Accountancy en Bedrijfseconomie 95(1/2): 5-15.
• Francis J.R. (2011) A framework for understanding and researching audit quality. Auditing: A Journal of Practice & Theory 30(2): 125–152.
• Francis J.R. (2023) What Exactly Do We Mean by Audit Quality?. An Essay Prepared for the Foundation for Auditing Research
• Knechel W.R., Krishnan G.V., Pevzner M., Shefchik L.B., Velury U.K. (2013) Audit quality: Insights from the academic literature. Auditing: A Journal of Practice & Theory 32(s1): 385–421.
• Popper, K. (1934/1959). Logik der Forschung/Logic of Scientific Discovery.