Voorbereidingsopdracht AuditGame
Opdracht college 3
23-09-2020
Verwerving inzicht in de geautomatiseerde omgeving
De IT-organisatie:
Om inzicht te verwerven in de geautomatiseerde omgeving van de controlecliënt probeert
de accountant allereerst een inzicht te krijgen van de IT-organisatie (Majoor e.a., 2020, p.
229).
Op basis van de afgenomen interviews en het beschikbaar gestelde organogram van
TotaalHandel B.V. wordt geconcludeerd dat er binnen de organisatie geen aparte IT-afdeling
aanwezig is en er derhalve ook geen specifieke IT-medewerkers in dienst zijn bij
TotaalHandel B.V.. Dit is echter niet ongewoon bij een MKB-bedrijf met de omvang
TotaalHandel B.V. Daarom maakt TotaalHandel B.V. sinds 1 januari 2019 gebruik van een
nieuwe IT-leverancier Odoo, die hen voorziet met een ERP-pakket en IT services (Odoo ERP
& IT Services B.V., 2019). In de dienstverleningsovereenkomst ligt vast dat de leverancier
zorg draagt voor back-ups van de in de software aanwezige data en dat zij zorg draagt voor
het beveiligen van verlies, diefstal, ongeautoriseerde toegang en wijzigingen door niet-
gebruikers van deze data. Daarnaast kan TotaalHandel B.V. gebruik maken van de service en
diensten van Odoo t.a.v. het ERP-pakket en IT services, wat inhoudt dat medewerkers van
Odoo (IT-specialisten) ondersteuning bieden aan de medewerkers van TotaalHandel B.V.
inzake IT-gerelateerde zaken. Op basis daarvan wordt geconcludeerd dat de bezetting,
deskundigheid en ervaring van de IT-medewerkers passend is voor de geautomatiseerde
omgeving (Majoor e.a., 2020, p. 229).
Vervolgens is het belangrijk om vast te stellen of er voldoende functiescheiding
bestaat tussen de IT-functie en de business (Majoor e.a., 2020, p. 229). Aan de hand van een
dump van de rechten in het ERP-pakket van Odoo is geconstateerd dat de heer Kwist
(Directie) en de heer Hollander (Financial Controller) beide de rollen ‘Toegangsrechten’ en
‘Instellingen’ in de app ‘Beheer’ toegekend hebben gekregen. Deze rollen hebben binnen de
ERP-applicatie de rechten om interne zaken van de applicatie zelf in te zien, te creëren,
wijzigen en te verwijderen. Hieruit wordt geconcludeerd dat de heer Kwist en de heer
Hollander Super-Users zijn binnen de applicatie, waarbij geen functiescheiding tussen de IT-
functie en business aanwezig is, wat in dit geval reden geeft tot frauderisico’s, aangezien
beide personen een grote verantwoordelijkheid hebben binnen de gewone
bedrijfsprocessen. Daarnaast is vastgesteld dat de heer Kwist (Directie) toegang heeft tot
alle mogelijke rollen binnen de ERP-applicatie, waarbij ingeregelde functiescheidingen
omzeild worden en hierdoor tevens redenen zijn dat er frauderisico’s aanwezig kunnen zijn.
Verder is aan de hand van de beschikbare documentatie niet vastgesteld kunnen
worden of er een orgaan aanwezig is die toezicht houdt op de IT-functie binnen de entiteit,
, op welke GITC’s worden geëvalueerd en op welke wijze daarover wordt gerapporteerd
(Majoor e.a., 2020, p. 229).
IT-serviceprovider:
Conform Standaard 402 verkrijgt de accountant inzicht in de door de IT-serviceprovider
geleverde diensten, als onderdeel van het inzicht verkrijgen in de geautomatiseerde
omgeving van de controlecliënt (Majoor e.a., 2020, p. 229).
TotaalHandel B.V. neemt de volgende services van Odoo ERP & IT Services af (Odoo ERP
& IT Services B.V., 2019):
- Odoo ERP Handel met de modules:
Standaard inkoopproces
Standaard magazijnmodule
Standaard verkoopproces
Standaard financiële module
- Odoo cliëntondersteuning Basis
- Odoo Cloudservice met gebruikmaking van Google Cloud Platform
- Odoo ERP ESCROW overeenkomst
Daarnaast is inzicht verkregen in de ingeregelde processen en interne
beheersingsmaatregelen bij de serviceprovider, waarbij gesteund kan worden op de interne
beheersing, aangezien Odoo in het bezit is van een SOC 2 Type II-rapportage en deze na
beoordeling als toereikend is geacht. De rapportage bevat namelijk een certificaat van een
onafhankelijke accountant met een goedkeurende verklaring (BRON: SOC 2 Type II
rapport).
Het IT-landschap:
Applicatie:
De applicatie waarvan TotaalHandel B.V. gebruik maakt, betreft het Odoo ERP-pakket.
Onderstaand is een overzicht gemaakt hoe het ERP-pakket de bedrijfsprocessen van
TotaalHandel B.V. ondersteunt en daardoor een impact heeft op de specifieke
jaarrekeningposten:
Bedrijfsprocessen TotaalHandel B.V.
Opdracht college 3
23-09-2020
Verwerving inzicht in de geautomatiseerde omgeving
De IT-organisatie:
Om inzicht te verwerven in de geautomatiseerde omgeving van de controlecliënt probeert
de accountant allereerst een inzicht te krijgen van de IT-organisatie (Majoor e.a., 2020, p.
229).
Op basis van de afgenomen interviews en het beschikbaar gestelde organogram van
TotaalHandel B.V. wordt geconcludeerd dat er binnen de organisatie geen aparte IT-afdeling
aanwezig is en er derhalve ook geen specifieke IT-medewerkers in dienst zijn bij
TotaalHandel B.V.. Dit is echter niet ongewoon bij een MKB-bedrijf met de omvang
TotaalHandel B.V. Daarom maakt TotaalHandel B.V. sinds 1 januari 2019 gebruik van een
nieuwe IT-leverancier Odoo, die hen voorziet met een ERP-pakket en IT services (Odoo ERP
& IT Services B.V., 2019). In de dienstverleningsovereenkomst ligt vast dat de leverancier
zorg draagt voor back-ups van de in de software aanwezige data en dat zij zorg draagt voor
het beveiligen van verlies, diefstal, ongeautoriseerde toegang en wijzigingen door niet-
gebruikers van deze data. Daarnaast kan TotaalHandel B.V. gebruik maken van de service en
diensten van Odoo t.a.v. het ERP-pakket en IT services, wat inhoudt dat medewerkers van
Odoo (IT-specialisten) ondersteuning bieden aan de medewerkers van TotaalHandel B.V.
inzake IT-gerelateerde zaken. Op basis daarvan wordt geconcludeerd dat de bezetting,
deskundigheid en ervaring van de IT-medewerkers passend is voor de geautomatiseerde
omgeving (Majoor e.a., 2020, p. 229).
Vervolgens is het belangrijk om vast te stellen of er voldoende functiescheiding
bestaat tussen de IT-functie en de business (Majoor e.a., 2020, p. 229). Aan de hand van een
dump van de rechten in het ERP-pakket van Odoo is geconstateerd dat de heer Kwist
(Directie) en de heer Hollander (Financial Controller) beide de rollen ‘Toegangsrechten’ en
‘Instellingen’ in de app ‘Beheer’ toegekend hebben gekregen. Deze rollen hebben binnen de
ERP-applicatie de rechten om interne zaken van de applicatie zelf in te zien, te creëren,
wijzigen en te verwijderen. Hieruit wordt geconcludeerd dat de heer Kwist en de heer
Hollander Super-Users zijn binnen de applicatie, waarbij geen functiescheiding tussen de IT-
functie en business aanwezig is, wat in dit geval reden geeft tot frauderisico’s, aangezien
beide personen een grote verantwoordelijkheid hebben binnen de gewone
bedrijfsprocessen. Daarnaast is vastgesteld dat de heer Kwist (Directie) toegang heeft tot
alle mogelijke rollen binnen de ERP-applicatie, waarbij ingeregelde functiescheidingen
omzeild worden en hierdoor tevens redenen zijn dat er frauderisico’s aanwezig kunnen zijn.
Verder is aan de hand van de beschikbare documentatie niet vastgesteld kunnen
worden of er een orgaan aanwezig is die toezicht houdt op de IT-functie binnen de entiteit,
, op welke GITC’s worden geëvalueerd en op welke wijze daarover wordt gerapporteerd
(Majoor e.a., 2020, p. 229).
IT-serviceprovider:
Conform Standaard 402 verkrijgt de accountant inzicht in de door de IT-serviceprovider
geleverde diensten, als onderdeel van het inzicht verkrijgen in de geautomatiseerde
omgeving van de controlecliënt (Majoor e.a., 2020, p. 229).
TotaalHandel B.V. neemt de volgende services van Odoo ERP & IT Services af (Odoo ERP
& IT Services B.V., 2019):
- Odoo ERP Handel met de modules:
Standaard inkoopproces
Standaard magazijnmodule
Standaard verkoopproces
Standaard financiële module
- Odoo cliëntondersteuning Basis
- Odoo Cloudservice met gebruikmaking van Google Cloud Platform
- Odoo ERP ESCROW overeenkomst
Daarnaast is inzicht verkregen in de ingeregelde processen en interne
beheersingsmaatregelen bij de serviceprovider, waarbij gesteund kan worden op de interne
beheersing, aangezien Odoo in het bezit is van een SOC 2 Type II-rapportage en deze na
beoordeling als toereikend is geacht. De rapportage bevat namelijk een certificaat van een
onafhankelijke accountant met een goedkeurende verklaring (BRON: SOC 2 Type II
rapport).
Het IT-landschap:
Applicatie:
De applicatie waarvan TotaalHandel B.V. gebruik maakt, betreft het Odoo ERP-pakket.
Onderstaand is een overzicht gemaakt hoe het ERP-pakket de bedrijfsprocessen van
TotaalHandel B.V. ondersteunt en daardoor een impact heeft op de specifieke
jaarrekeningposten:
Bedrijfsprocessen TotaalHandel B.V.
