Solutional Value through expertise
Laat kosten renderen ISAE 3402 en ISAE 3000
Bent u ‘in control’? Cliënten vragen om meer transparantie over belangrijke processen van de bedrijfsvoering. Daarnaast wordt de asset management industrie geconfronteerd met meer uitdagingen dan alleen het leveren van rendement. Internationale regelgeving neemt continu toe en is constant aan wijzigingen onderhevig. Stakeholders eisen dat de sector aantoonbaar ‘in control’ is en blijft. Het is een voorwaarde geworden voor het aantrekken en behouden van beheerd vermogen.
‘In control project’
Een ‘in control’ project houdt de interne processen van de organisatie kritisch tegen het licht en geeft inzicht in waar de kansen en de uitdagingen liggen om te verbeteren. Het draagt bij aan
het reduceren van gemiste kansen, het verbeteren van efficiency en het beter behalen van gestelde doelstellingen. Onze visie is dat de eisen van cliënten, regelgevers en andere belanghebbenden om ‘in control’ te zijn hand in hand kunnen en moeten gaan met de interne beheersingsdoelstellingen. ISAE 3402 biedt hiervoor een oplossing, maar wordt veelal als kostenpost gezien in plaats van als investering in de interne kwaliteit op lange termijn. Een aantal valkuilen staat optimale winst van een in control project in de weg. In deze brochure identificeren we een aantal van deze valkuilen en geven we tips waarmee een in control project op een zo efficiënt mogelijke wijze maximaal kan renderen.
Tips 1 2 3 4 5 6
Opzet van het framework Ownership Integratie Soft controls Leer en verbeter Timing
TIP 1
TIP 2
Opzet van het framework
Ownership
Informeer bij cliënten en gebruikers welke activiteiten binnen de reikwijdte van het ISAE rapport moeten vallen. Identificeer op basis van deze activiteiten welke risico’s relevant zijn en bedenk hierbij welke controls bestaan die deze risico’s mitigeren. Let erop dat de controls niet te eng, maar ook niet te algemeen zijn beschreven. Let ook op de match tussen de mate van risico en het systeem van interne beheersing waarbinnen dit risico bestaat bij de bepaling welke control echt ‘key’ is. Uiteindelijk gaat het erom dat de beheersdoelstelling wordt gehaald en dat de documentatie bewijst dat dit beheerst heeft plaatsgevonden.
Het zorgvuldig formuleren van controls en het selecteren van de juiste key controls kan inhoudsloze discussies over de vorm voorkomen.
“Uiteindelijk gaat het erom of beheersdoelstellingen worden gehaald.”
Een risk control framework is niet iets van risk management of de (interne) accountant. De primaire verantwoordelijkheid voor operationeel risico management ligt bij diegenen die de controls uitvoeren. Elke control kent een control owner die primair verantwoordelijk is voor de uitvoering hiervan. Risk management waarborgt dat alle risico’s zijn geïdentificeerd en adequaat worden beheerst.
“Primair ligt de verantwoordelijkheid bij de uitvoering.”
ISAE dwingt de service organisatie een ‘management assertion’ af te geven, waarmee het management onder andere verklaart dat controls adequaat zijn opgezet en effectief hebben gewerkt gedurende de verslagperiode. Voordat deze bewering kan worden gedaan, moet hiervoor een deugdelijke grondslag worden verkregen. Een goed middel voor het verkrijgen van die grondslag is door intern de werking van de beschreven controls te testen. Onder bepaalde voorwaarden kan de externe accountant gebruik maken van deze intern uitgevoerde werkzaamheden. De externe accountant kan hiermee zijn eigen werkzaamheden reduceren, wat over het algemeen leidt tot lagere accountantskosten.
TIP 3
TIP 4
Integratie
Soft controls
Het krachtenveld van interne kwaliteitseisen, wet- en regelgeving en cliëntbehoeften leggen druk op het ‘in control’ zijn van elke organisatie. Hoewel vanuit meerdere invalshoeken naar de organisatie wordt gekeken, bestaat over het algemeen significante overlap tussen de eisen die op de organisatie worden gelegd. Zorg ervoor dat de vereisten vanuit verschillende stakeholders worden meegenomen in de opzet van de dagelijkse bedrijfsvoering en uiteindelijk in het integrated risk- en control framework.
De bewaarfunctie heeft een aantal belangrijke taken erbij gekregen, waarvan de toetsing van processen bij de beheerder en haar administratie er één is. Deze taak kan worden uitgevoerd door gedeeltelijk te steunen op een ISAE van een beheerder of administrateur. Door de wensen van de bewaarder mee te nemen, kan de bewaarder efficiënt gebruik maken van het bij de beheerder aanwezige risk- & control framework.
“De Bewaarder
heeft een belangrijke rol.”
Soft controls zijn misschien wel nog belangrijker dan de ‘hard controls’. Soft controls hebben betrekking op de ‘control environment’, voorbeeldgedrag, de uitvoerbaarheid van hard controls, de betrokkenheid van medewerkers, transparantie in gedrag en de bespreekbaarheid van gedrag. Al deze aspecten geven inzicht in de wijze waarop gedragsaspecten doorwerken in de organisatie en geven uiteindelijk de mate aan waarin hard controls daadwerkelijk hard zijn. Soft controls vormen het randvoorwaardelijke fundament van de beheersingsorganisatie en daarmee de basis waarop hard controls zijn gestoeld.
Een ISAE 3402 rapport biedt gelegenheid de soft controls te beschrijven en te integreren in het control framework. Het effectief implementeren van soft controls geeft verdere ondersteuning aan de organisatie om gedragsrisico’s te identificeren en te adresseren.
“Soft controls vormen de basis voor hard controls.”
TIP 5
TIP 6
Leer en verbeter
Timing
De uiteindelijke ‘in control’ verklaring van de accountant is niet het belangrijkste van een ISAE rapport. De grootste waarde voor de organisatie zit in het proces hier naar toe. Een ISAE project zorgt voor een verbeterde risk awareness in heel de organisatie en dwingt kritisch te kijken naar de operationele processen.
Het ISAE rapport geeft inzicht in de operationele gang van zaken gedurende de periode waarover wordt gerapporteerd.
“De grootste waarde zit in het proces.”
Gedurende het project kan het goed zijn dat blijkt dat processen weliswaar effectief zijn, maar efficiënter kunnen worden ingericht, of andersom.
Het geeft gebruikers inzicht in de wijze waarop controledoelstellingen worden bereikt en stelt u in staat procesmatige verbeteringen ten opzichte van voorgaande perioden toe te lichten.
Daarnaast kunt u in de outlook paragraaf beschrijven welke verdere verbeteringen in komende perioden te verwachten zijn, wat het vertrouwen van de gebruikers van het ISAE rapport verder zal doen vergroten.
Een ISAE project heeft een lange doorlooptijd. Het is verstandig de planning voor dergelijk project zo op te zetten, dat het uiteindelijke rapport op het juiste moment beschikbaar is.
“Gebruikers bepalen de timing.” Wat het juiste moment is wordt bepaald door de behoeften van de gebruikers van het rapport.
Als het eindproduct op het juiste moment beschikbaar is voor externe belanghebbenden, kan een ISAE rapport bijdragen aan een reductie van bijvoorbeeld de kosten van jaarrekeningcontroles of de vergoeding aan de bewaarder, mits het rapport tijdig beschikbaar is. Stem dit af met de relevante gebruikers van het ISAE rapport.
Waar bent u in de cyclus? Elk ‘in control’ project begint met het bepalen van de reikwijdte, hetgeen bepaalt welke processen in kaart moeten worden gebracht. Van elk proces moeten alle significante risico’s worden geïdentificeerd. Van deze risico’s moet worden beschreven op welke wijze deze worden beheerst. Hiertoe moet het systeem van interne beheersing worden beschreven en de relevante beheersingsmaatregelen (controls) die daarin zijn opgenomen. De analyse van processen, risico’s en controls komt tot uitdrukking in een risk-control framework. Aan de hand van dit framework wordt de mate waarin u ‘in control’ bent getoetst. Het framework biedt een goed handvat voor de bewaking en monitoring van de kwaliteit van uw organisatie.
De gehele cyclus van analyseren, identificeren en evalueren staat in het teken van het verbeteren van de efficiency en effectiviteit van de interne beheersing. Een goed georganiseerd ‘in control’ project stelt uw organisatie in staat een betere versie van zichzelf te worden.
Hoe kunnen
wij helpen?
Ondersteuning
Assurance
Wij hebben ruime ervaring in het leveren van interne ondersteuning aan vermogensbeheerders en fondsadministrateurs bij het opzetten van risk- en control frameworks, het optimaliseren van interne processen en het vormgeven aan de interne audit functie als onderdeel van een ‘in control’ project.
Wij hebben aan beide kanten van de tafel gezeten en kennen de uitdagingen en valkuilen waar een organisatie tijdens een ‘in control’ project mee wordt geconfronteerd. Wij zijn door onze ervaring in staat de natuurlijke adviesfunctie van de accountant op een zodanige manier in te vullen, dat het ISAE project u een optimale toegevoegde waarde geeft.
We kunnen helpen met het: • Evalueren van de huidige interne beheersingsomgeving; • Opzetten van het control framework voor uw organisatie; • Analyseren van vereiste wijzigingen in de interne beheersingsomgeving; • Implementeren van wijzigingen in de interne beheersingsomgeving; • Coördineren en plannen van het gehele ISAE 3402 traject; • Organiseren van Risk & Control Assessment met de bij de processen betrokken medewerkers van uw organi-
Waarom kiest u Solutional als Assurance provider? satie ten behoeve van het verhogen van de betrokkenheid bij het ‘in control’ project, het controlebewustzijn en het inzicht in de belangrijke risico’s en controles; • Identificeren van soft controls en de wijze waarop deze kunnen bijdragen aan de beheersing; • Invullen van de interne audit functie om vast te stellen in welke mate de organisatie ‘in control’ is; • Opstellen van het ISAE 3402 rapport.
Solutional is gespecialiseerd in de asset management branche en heeft brede ervaring met alle fasen van ‘in control’ projecten. Dit strekt van de besluitvorming tot het wel/niet starten van een project tot aan het schrijven van het rapport. Als assurance provider van een ISAE rapport hebben onze klanten veel profijt van deze ervaring.
• Branchespecifieke kennis van ISAE in asset management; • Eerste hand ervaring met ISAE vanuit alle invalshoeken (gebruiker, opsteller en assurance provider); • Toegewijd team; • Efficiënte werkwijze; • Aandacht voor integreren van gedrag en soft controls in het risk-control framework.
“
Over ons
Since 2006, Solutional is engaged to support Group Internal Audit which they have done to our full satisfaction. Solutional’s efforts consist primarily of supporting Group Internal Audit in performing SOx and ISAE 3402 (previously: SAS 70) control testing activities. In addition, Solutional has supported us in operational audits and specific projects. Our long lasting relationship demonstrates our satisfaction with the service level that Solutional provides. In our experience, Solutional’s professionals are highly proactive, flexible, showing professional criticism and a high degree of involvement. The stability within the service team safeguards the knowledge and actively contributes to an effective and efficient process. We feel confident Solutional will continue to support us in the future.
Wij zijn gepassioneerde professionals die voorop proberen te lopen door onze kennis aan het werk te zetten voor onze klanten. Onze cultuur wordt het best beschreven als open, informeel, energierijk en ambitieus met een sterke ‘esprit de corps’. Wij geloven dat onze cliënten het best worden bediend als onze organisatie onze mensen in staat stelt optimaal te presteren. Met onze focus op balans tussen werken-leven-groeien beogen we een optimale ‘goal congruence’ tussen de persoonlijke ambities van onze medewerkers en de behoeften van onze organisatie als geheel te bereiken. Dit resulteert in een dienstverlening waarin wij continu proberen de verwachtingen van onze cliënten te overtreffen. Wij moedigen onze medewerkers aan uit hun comfort zone te stappen en hun grenzen te verkennen. Dit betekent dat we medewerkers in staat stellen kansen te grijpen, kennis te verwerven en vaardigheden verder te ontwikkelen, zodat zij persoonlijke groei kunnen realiseren. Door deze focus op persoonlijke groei zorgen we dat onze medewerkers de kwaliteiten die ze authentiseren behouden en verfijnen. We proberen van elkaar te leren en kennis met onze cliënten te delen. Onze focus op ‘goal congruence’ creëert intrinsieke motivatie, persoonlijke groei, innovatie, vertrouwen en (als belangrijkste) een hele positieve werkomgeving. Die positieve omgeving is de belangrijkste bijdragende factor aan onze ‘Value through Expertise’!
P. Breur, Chief Audit Executive, Robeco Group
Solutional Value through expertise
“
Onze cliënten aan het woord
“
Since 2008 TCX Investment Management Company BV has had the pleasure of working with Solutional Advisory Services BV and Solutional Assurance Services BV on providing The Currency Exchange Fund NV with services ranging from advising the fund on IFRS matters to preparing its annual reports and performing periodic ISAE 3402 audits of its operations. As a small firm relying on the expertise of outsourcing partners to run a billion-dollar fund on behalf of the world’s largest development finance institutions, we have repeatedly found strength in the competence and dedication of Solutional’s partners, and in the quality and timeliness of their work. As we turn to face the Alternative Investment Fund Managers Directive, we could not think of more solid professionals to help us get on with its implications. Many thanks, Solutional! Much appreciated! Brice Ropion, Chief Operating Officer Joost Zuidberg, Chief Executive Officer
“
Solutional Value through expertise
M. (Martin) Stravers MSc RA Partner +31 6 1400 4133
[email protected]
T.S. (Bas) de Jong MSc Senior Consultant +31 6 3830 5703
[email protected]
