Laat kosten renderen

Solutional
Value through expertise
Laat
kosten
renderen
ISAE 3402 en ISAE 3000
Bent u
‘in control’?
Cliënten vragen om meer transparantie
over belangrijke processen van de
bedrijfsvoering. Daarnaast wordt de asset
management industrie geconfronteerd
met meer uitdagingen dan alleen het
leveren van rendement. Internationale
regelgeving neemt continu toe en is
constant aan wijzigingen onderhevig.
Stakeholders eisen dat de sector
aantoonbaar ‘in control’ is en blijft. Het
is een voorwaarde geworden voor het
aantrekken en behouden van beheerd
vermogen.
‘In control project’
Een ‘in control’ project houdt de interne
processen van de organisatie kritisch
tegen het licht en geeft inzicht in waar
de kansen en de uitdagingen liggen
om te verbeteren. Het draagt bij aan
het reduceren van gemiste kansen, het
verbeteren van efficiency en het beter
behalen van gestelde doelstellingen.
Onze visie is dat de eisen van cliënten,
regelgevers en andere belanghebbenden
om ‘in control’ te zijn hand in hand
kunnen en moeten gaan met de interne
beheersingsdoelstellingen. ISAE 3402
biedt hiervoor een oplossing, maar wordt
veelal als kostenpost gezien in plaats van
als investering in de interne kwaliteit op
lange termijn.
Een aantal valkuilen staat optimale winst
van een in control project in de weg.
In deze brochure identificeren we een
aantal van deze valkuilen en geven we tips
waarmee een in control project op een
zo efficiënt mogelijke wijze maximaal kan
renderen.
Tips
1
2
3
4
5
6
Opzet van het framework
Ownership
Integratie
Soft controls
Leer en verbeter
Timing
TIP 1
TIP 2
Opzet van het
framework
Ownership
Informeer bij cliënten en gebruikers welke
activiteiten binnen de reikwijdte van het
ISAE rapport moeten vallen. Identificeer
op basis van deze activiteiten welke
risico’s relevant zijn en bedenk hierbij
welke controls bestaan die deze risico’s
mitigeren.
Let erop dat de controls niet te eng, maar
ook niet te algemeen zijn beschreven.
Let ook op de match tussen de mate
van risico en het systeem van interne
beheersing waarbinnen dit risico bestaat
bij de bepaling welke control echt ‘key’
is. Uiteindelijk gaat het erom dat de
beheersdoelstelling wordt gehaald en dat
de documentatie bewijst dat dit beheerst
heeft plaatsgevonden.
Het zorgvuldig formuleren van controls
en het selecteren van de juiste key
controls kan inhoudsloze discussies over
de vorm voorkomen.
“Uiteindelijk
gaat het erom of
beheersdoelstellingen
worden gehaald.”
Een risk control framework is niet
iets van risk management of de
(interne) accountant. De primaire
verantwoordelijkheid voor operationeel
risico management ligt bij diegenen
die de controls uitvoeren. Elke control
kent een control owner die primair
verantwoordelijk is voor de uitvoering
hiervan. Risk management waarborgt
dat alle risico’s zijn geïdentificeerd en
adequaat worden beheerst.
“Primair ligt de
verantwoordelijkheid
bij de uitvoering.”
ISAE dwingt de service organisatie een
‘management assertion’ af te geven,
waarmee het management onder andere
verklaart dat controls adequaat zijn
opgezet en effectief hebben gewerkt
gedurende de verslagperiode.
Voordat deze bewering kan worden
gedaan, moet hiervoor een deugdelijke
grondslag worden verkregen. Een goed
middel voor het verkrijgen van die
grondslag is door intern de werking van
de beschreven controls te testen.
Onder bepaalde voorwaarden kan de
externe accountant gebruik maken van deze
intern uitgevoerde werkzaamheden. De
externe accountant kan hiermee zijn eigen
werkzaamheden reduceren, wat over het
algemeen leidt tot lagere accountantskosten.
TIP 3
TIP 4
Integratie
Soft controls
Het krachtenveld van interne
kwaliteits­eisen, wet- en regelgeving en
cliëntbehoeften leggen druk op het ‘in
control’ zijn van elke
organisatie. Hoewel
vanuit meerdere
invalshoeken naar
de organisatie wordt
gekeken, bestaat
over het algemeen
significante overlap
tussen de eisen
die op de organisatie worden gelegd.
Zorg ervoor dat de vereisten vanuit
verschillende stakeholders worden
meegenomen in de opzet van de
dagelijkse bedrijfsvoering en uiteindelijk in
het integrated risk- en control framework.
De bewaarfunctie heeft een aantal
belangrijke taken erbij gekregen, waarvan
de toetsing van processen bij de beheerder
en haar administratie
er één is. Deze taak
kan worden uitgevoerd
door gedeeltelijk te
steunen op een ISAE
van een beheerder of
administrateur. Door de
wensen van de bewaarder
mee te nemen, kan de
bewaarder efficiënt gebruik maken van
het bij de beheerder aanwezige risk- &
control framework.
“De Bewaarder
heeft een
belangrijke rol.”
Soft controls zijn misschien wel nog
belangrijker dan de ‘hard controls’.
Soft controls hebben betrekking op de
‘control environment’, voorbeeldgedrag,
de uitvoerbaarheid van hard controls,
de betrokkenheid van medewerkers,
transparantie in gedrag en de
bespreekbaarheid van gedrag.
Al deze aspecten geven inzicht in de wijze
waarop gedragsaspecten doorwerken in de
organisatie en geven uiteindelijk de mate
aan waarin hard controls daadwerkelijk
hard zijn.
Soft controls vormen het
randvoorwaardelijke fundament van de
beheersingsorganisatie en daarmee de
basis waarop hard controls zijn gestoeld.
Een ISAE 3402 rapport biedt gelegenheid
de soft controls te beschrijven en te
integreren in het control framework.
Het effectief implementeren van soft
controls geeft verdere ondersteuning
aan de organisatie om gedragsrisico’s te
identificeren en te adresseren.
“Soft controls
vormen de basis
voor hard controls.”
TIP 5
TIP 6
Leer en verbeter
Timing
De uiteindelijke ‘in control’ verklaring van
de accountant is niet het belangrijkste van
een ISAE rapport.
De grootste waarde
voor de organisatie
zit in het proces hier
naar toe. Een ISAE
project zorgt voor
een verbeterde risk
awareness in heel de
organisatie en dwingt
kritisch te kijken naar
de operationele processen.
Het ISAE rapport geeft inzicht in de
operationele gang van zaken gedurende de
periode waarover wordt gerapporteerd.
“De grootste
waarde zit in
het proces.”
Gedurende het project kan het goed zijn
dat blijkt dat processen weliswaar effectief
zijn, maar efficiënter kunnen worden
ingericht, of andersom.
Het geeft gebruikers
inzicht in de wijze waarop
controledoelstellingen
worden bereikt en stelt
u in staat procesmatige
verbeteringen ten opzichte
van voorgaande perioden
toe te lichten.
Daarnaast kunt u in de outlook paragraaf
beschrijven welke verdere verbeteringen
in komende perioden te verwachten zijn,
wat het vertrouwen van de gebruikers
van het ISAE rapport verder zal doen
vergroten.
Een ISAE project heeft een lange
doorlooptijd. Het is verstandig de
planning voor dergelijk project zo op te
zetten, dat het uiteindelijke rapport op het
juiste moment beschikbaar is.
“Gebruikers
bepalen
de timing.”
Wat het juiste moment is wordt bepaald
door de behoeften van de gebruikers van
het rapport.
Als het eindproduct op het juiste
moment beschikbaar is voor externe
belanghebbenden, kan een ISAE
rapport bijdragen aan een reductie
van bijvoorbeeld de kosten van
jaarrekeningcontroles of de vergoeding
aan de bewaarder, mits het rapport tijdig
beschikbaar is.
Stem dit af met de relevante gebruikers
van het ISAE rapport.
Waar bent u
in de cyclus?
Elk ‘in control’ project begint met het
bepalen van de reikwijdte, hetgeen
bepaalt welke processen in kaart moeten
worden gebracht. Van elk proces
moeten alle significante risico’s worden
geïdentificeerd. Van deze risico’s moet
worden beschreven op welke wijze
deze worden beheerst. Hiertoe moet
het systeem van interne beheersing
worden beschreven en de relevante
beheersingsmaatregelen (controls) die
daarin zijn opgenomen.
De analyse van processen, risico’s en
controls komt tot uitdrukking in een
risk-control framework. Aan de hand van
dit framework wordt de mate waarin u
‘in control’ bent getoetst. Het framework
biedt een goed handvat voor de bewaking
en monitoring van de kwaliteit van uw
organisatie.
De gehele cyclus van analyseren,
identificeren en evalueren staat in het
teken van het verbeteren van de efficiency
en effectiviteit van de interne beheersing.
Een goed georganiseerd ‘in control’
project stelt uw organisatie in staat een
betere versie van zichzelf te worden.
Hoe kunnen
wij helpen?
Ondersteuning
Assurance
Wij hebben ruime ervaring in het
leveren van interne ondersteuning aan vermogensbeheerders
en fonds­administrateurs bij het
opzetten van risk- en control
frameworks, het optimaliseren van
interne processen en het vormgeven aan de interne audit functie
als onderdeel van een ‘in control’
project.
Wij hebben aan beide kanten van
de tafel gezeten en kennen de
uitdagingen en valkuilen waar een
organisatie tijdens een ‘in control’
project mee wordt geconfronteerd.
Wij zijn door onze ervaring in staat
de natuurlijke adviesfunctie van
de accountant op een zodanige
manier in te vullen, dat het ISAE
project u een optimale toegevoegde waarde geeft.
We kunnen helpen met het:
•Evalueren van de huidige interne
beheersingsomgeving;
•Opzetten van het control framework
voor uw organisatie;
•Analyseren van vereiste wijzigingen in
de interne beheersingsomgeving;
•Implementeren van wijzigingen in de
interne beheersingsomgeving;
•Coördineren en plannen van het gehele
ISAE 3402 traject;
•Organiseren van Risk & Control
Assessment met de bij de processen
betrokken medewerkers van uw organi-
Waarom kiest u Solutional als Assurance provider?
satie ten behoeve van het verhogen van
de betrokkenheid bij het ‘in control’
project, het controlebewustzijn en het
inzicht in de belangrijke risico’s en
controles;
•Identificeren van soft controls en de
wijze waarop deze kunnen bijdragen
aan de beheersing;
•Invullen van de interne audit functie
om vast te stellen in welke mate de
organisatie ‘in control’ is;
• Opstellen van het ISAE 3402 rapport.
Solutional is gespecialiseerd in de
asset management branche en heeft
brede ervaring met alle fasen van ‘in
control’ projecten. Dit strekt van de
besluitvorming tot het wel/niet starten
van een project tot aan het schrijven van
het rapport. Als assurance provider van
een ISAE rapport hebben onze klanten
veel profijt van deze ervaring.
•Branchespecifieke kennis van ISAE in
asset management;
•Eerste hand ervaring met ISAE vanuit
alle invalshoeken (gebruiker, opsteller
en assurance provider);
• Toegewijd team;
• Efficiënte werkwijze;
•Aandacht voor integreren van gedrag
en soft controls in het risk-control
framework.
“
Over ons
Since 2006, Solutional is engaged to support Group Internal Audit which they have done to
our full satisfaction. Solutional’s efforts consist primarily of supporting Group Internal Audit
in performing SOx and ISAE 3402 (previously: SAS 70) control testing activities. In addition,
Solutional has supported us in operational audits and specific projects. Our long lasting
relationship demonstrates our satisfaction with the service level that Solutional provides. In our
experience, Solutional’s professionals are highly proactive, flexible, showing professional criticism
and a high degree of involvement. The stability within the service team safeguards the knowledge
and actively contributes to an effective and efficient process.
We feel confident Solutional will continue to support us in the future.
Wij zijn gepassioneerde professionals die
voorop proberen te lopen door onze kennis
aan het werk te zetten voor onze klanten. Onze
cultuur wordt het best beschreven als open,
informeel, energierijk en ambitieus met een
sterke ‘esprit de corps’.
Wij geloven dat onze cliënten het best worden
bediend als onze organisatie onze mensen in
staat stelt optimaal te presteren. Met onze focus
op balans tussen werken-leven-groeien beogen
we een optimale ‘goal congruence’ tussen de
persoonlijke ambities van onze medewerkers en
de behoeften van onze organisatie als geheel te
bereiken. Dit resulteert in een dienstverlening
waarin wij continu proberen de verwachtingen
van onze cliënten te overtreffen.
Wij moedigen onze medewerkers aan
uit hun comfort zone te stappen en hun
grenzen te verkennen. Dit betekent dat
we medewerkers in staat stellen kansen te
grijpen, kennis te verwerven en vaardigheden
verder te ontwikkelen, zodat zij persoonlijke
groei kunnen realiseren. Door deze focus
op persoonlijke groei zorgen we dat
onze medewerkers de kwaliteiten die ze
authentiseren behouden en verfijnen. We
proberen van elkaar te leren en kennis met
onze cliënten te delen.
Onze focus op ‘goal congruence’ creëert
intrinsieke motivatie, persoonlijke groei,
innovatie, vertrouwen en (als belangrijkste) een
hele positieve werkomgeving. Die positieve
omgeving is de belangrijkste bijdragende factor
aan onze ‘Value through Expertise’!
P. Breur, Chief Audit Executive, Robeco Group
Solutional
Value through expertise
“
Onze cliënten aan het woord
“
Since 2008 TCX Investment Management Company BV has had the pleasure of working with
Solutional Advisory Services BV and Solutional Assurance Services BV on providing The
Currency Exchange Fund NV with services ranging from advising the fund on IFRS matters to
preparing its annual reports and performing periodic ISAE 3402 audits of its operations. As a
small firm relying on the expertise of outsourcing partners to run a billion-dollar fund on behalf
of the world’s largest development finance institutions, we have repeatedly found strength in the
competence and dedication of Solutional’s partners, and in the quality and timeliness of their
work. As we turn to face the Alternative Investment Fund Managers Directive, we could not think
of more solid professionals to help us get on with its implications.
Many thanks, Solutional! Much appreciated!
Brice Ropion, Chief Operating Officer
Joost Zuidberg, Chief Executive Officer
“
Solutional
Value through expertise
M. (Martin) Stravers MSc RA
Partner
+31 6 1400 4133
[email protected]
T.S. (Bas) de Jong MSc
Senior Consultant
+31 6 3830 5703
[email protected]