Advanced Auditing
Building Blocks of Auditing
Lecture 1 (1.1) – Demand for Independent
Auditing
Audit
International Standards of Auditing (ISA)
200 – 299 General principles and responsibilities
300 – 499 Risk assessment and response to risk
500 – 599 Audit evidence
600 – 699 Using the work of others
700 – 799 Audit conclusions and reporting
800 – 899 Specialized areas
Wat is een audit?
Er moet redelijke zekerheid verkregen worden
Materialiteit moet worden bepaald: welke eventuele afwijking zou het besluit nemen
op basis van de financial statements beïnvloeden?
Professional judgement moet uitgevoerd worden
Behavioural requirements: onafhankelijkheid en skepticisme
Accounting [GAAP] is gericht op het registreren, classificeren en samenvatten van
economische events om financiële informatie te leveren voor decision making
IFRS, US GAAP, DAS (ESG: CSRD/EFRAG)
Auditors [GAAS] legt de focus op bepalen of de geregistreerde informatie de economische
events goed reflecteren
ISAs, COS
Audit Demand
Exogenous audit demand is vraag naar onafhankelijke auditors van buiten de economie:
vanuit de overheid via regelgeving
Endogenous audit demand ontstaat van binnenuit de economie:
Agency theory: verschillen in incentives en informatie asymmetrie: de manager weet
meer over de kwaliteit van het bedrijf en de jaarrekening dan de economie
In de VS is er endogenous demand vanuit de kapitaalmarkten
Independence
Independence in ISAs
, Of mind: het daadwerkelijk vanuit jezelf handelen met integriteit, objectiviteit en
professioneel skepticisme
In Appearance: het vermijden van feiten en omstandigheden waardoor een derde
partij zou kunnen twijfelen aan de integriteit, objectiviteit en professioneel
skepticisme
Limperg (1930) – Theory of inspired confidence
De functie van de auditor komt van de vraag van de maatschappij voor expertise en
onafhankelijk onderzoek, en een onafhankelijke mening gebaseerd op dat onderzoek
Theory of inspired confidence: de accountant moet zijn werk zo uitvoeren, zodat deze
de verwachtingen niet verraad
Als het vertrouwen in de auditor is verbroken, dan is de functie ook niks meer waard
Baseball card certification
Baseball cards werden ‘graded’ (een score gegeven) door zowel onafhankelijke
organisaties als organisaties die ze zelf ook verkochten
Graded baseball cards hadden meer waarde door het graden op zich
Baseball cards met een hogere grade hadden ook een hogere waarde
Er zat dus zowel waarde aan het onafhankelijk beoordelen op zich, als aan de
beoordeling zelf
Opvallend was dat grades door onafhankelijke graders geen hogere waarde hadden,
er werd dus geen waarde gehecht aan de onafhankelijkheid
Lecture 2 (1.2) – Building Blocks of Auditing:
Audit Risk
Soorten risks:
Business risk: de dreiging dat een organisatie zijn doelen niet haalt
Audit risk: een ongepaste audit opinion; de kans dat er een goedkeurende verklaring
wordt gegeven terwijl dit niet zou moeten (type-2 error, 5% kans bij 95% zekerheid)
Engagement risk: litigation, reputation, profitability
Business Risk Response
,Audit Risk Model
AR=IR∗CR∗DR
Audit Risk (AR) = het risico dat de auditor een ongepast oordel velt (5% kans)
Inherent Risk (IR) = het risico van een material misstatement die inherent is aan het
bedrijf zelf, door bijvoorbeeld de sector waarin het opereert
o Om dit risico te mitigeren is het belangrijk het bedrijf te begrijpen
Control Risk (CR) = risico op material misstatement gebaseerd op de kwaliteit van
internal controls
o Om dit risico te mitigeren is het belangrijk om de internal controls te
beoordelen
Detection Risk (DR) = het risico dat een auditor een material misstatement niet zal
detecteren
o Om dit risico te mitigeren is het belangrijk goede auditor response uit te
voeren
Audit vs Business Risk (Houston et al., 1999)
Audit risk = het risico op material misstatement (RMM)
Engagement Risk = het risico voor de auditor als gevolg van de engagement, dus als gevolg
van het uitvoeren van de controle zelf
Litigation risk = het risico dat de klant of gebruikers van de jaarrekening je aanklagen
vanwege een in hun ogen ongepast oordeel hoe meer gebruikers er zijn van de
jaarrekening, hoe groter dit risico (private enforcement)
Regulatory penalties = het risico dat het regelgevend instituut (AFM) je een boete
geeft (public enforcement)
Reputation loss = het risico op verlies van reputatie door een fout oordeel
Lack of profitability = als de klant niet genoeg geld heeft of failliet gaat loopt de
auditor het risico om de audit fee niet te ontvangen
De auteurs stellen een model op voor de total expected cost op basis van mogelijke kosten
vanuit business risk of engagement risk:
E ( c )=cq+ [ E ( d )∗E ( r ) ] +[ E ( f )∗E ( p ) ]
E( c) = Total expected cost
cq = price (c) en kwantiteit (q) van uren
E( d) = Expected present value van toekomstige verliezen door material
Misstatement
E( r) = Verwachte kans dat de auditor verantwoordelijk is voor stakeholder
losses als gevolg van een niet gedetecteerde material misstatement
E(f ) = Expected present value van toekomstige verliezen vanuit factoren
anders dan undetected misstatement
, E( p) = De kans hierop
Hypotheses:
H1: het incremental effect van engagement risk over audit risk is groter bij meer risk
of irregularities, dan bij meer risk of errors
H2: het incremental effect van engagement risk over audit investment is groter bij
meer risk of irregularities, dan bij meer risk of errors
Risk of irregularities = dat er iets verdachts aan de hand is, bijvoorbeeld een
opzettelijke fout
Risk of errors = een onbedoelde fout
Conclusie
Als de kans op een error (fout) groot is, is er meer audit risk dan engagement risk, en
dan is er geen risk premium
Als de kans op irregularity (fraude) groot is, is er meer engagement risk, en dan is er
wel een risk premium van audit fees
ISA 240 (irregularity standard) zou ervoor moeten zorgen dat het voor auditors niet
uit maakt of ze geconfronteerd worden met een error of een irregularity, en weten
hoe ze hierop moeten handelen
In de praktijk is er dus wel een risk premium, en dus is ISA 240 incompleet volgens de
auteurs
The effects of industry specialization on audit risk
assessment and audit planning decisions (Kin-Yew Low,
2004)
Hoofdvraag: hebben auditors met meer industry specialization een betere risk
assessment en audit planning?
Wijzen industry specialists random toe aan bedrijven met veel audit risk en bedrijven
met weinig audit risk, en bij non-industry specialists hetzelfde
Hypotheses: industry specialists...
1. Kunnen beter audit risk beoordelen
2. Voeren meer procedure changes door
3. Na een risk assessment worden er sneller procedure changes doorgevoerd
4. De procedure changes hebben een hogere kwaliteit
Conclusie: industry specialists voeren meer aanpassingen door aan audit procedures, en
deze aanpassingen zijn van hogere kwaliteit
Lecture 3 (1.3) – Building Blocks of Auditing:
Fraud Risk
Intentional misstatement (of irregularity) = het opzettelijk handelen door een of meer
individuen, waarbij zij misleiding gebruiken om een onjuist of illegaal voordeel te verkrijgen
2 soorten fraude:
Building Blocks of Auditing
Lecture 1 (1.1) – Demand for Independent
Auditing
Audit
International Standards of Auditing (ISA)
200 – 299 General principles and responsibilities
300 – 499 Risk assessment and response to risk
500 – 599 Audit evidence
600 – 699 Using the work of others
700 – 799 Audit conclusions and reporting
800 – 899 Specialized areas
Wat is een audit?
Er moet redelijke zekerheid verkregen worden
Materialiteit moet worden bepaald: welke eventuele afwijking zou het besluit nemen
op basis van de financial statements beïnvloeden?
Professional judgement moet uitgevoerd worden
Behavioural requirements: onafhankelijkheid en skepticisme
Accounting [GAAP] is gericht op het registreren, classificeren en samenvatten van
economische events om financiële informatie te leveren voor decision making
IFRS, US GAAP, DAS (ESG: CSRD/EFRAG)
Auditors [GAAS] legt de focus op bepalen of de geregistreerde informatie de economische
events goed reflecteren
ISAs, COS
Audit Demand
Exogenous audit demand is vraag naar onafhankelijke auditors van buiten de economie:
vanuit de overheid via regelgeving
Endogenous audit demand ontstaat van binnenuit de economie:
Agency theory: verschillen in incentives en informatie asymmetrie: de manager weet
meer over de kwaliteit van het bedrijf en de jaarrekening dan de economie
In de VS is er endogenous demand vanuit de kapitaalmarkten
Independence
Independence in ISAs
, Of mind: het daadwerkelijk vanuit jezelf handelen met integriteit, objectiviteit en
professioneel skepticisme
In Appearance: het vermijden van feiten en omstandigheden waardoor een derde
partij zou kunnen twijfelen aan de integriteit, objectiviteit en professioneel
skepticisme
Limperg (1930) – Theory of inspired confidence
De functie van de auditor komt van de vraag van de maatschappij voor expertise en
onafhankelijk onderzoek, en een onafhankelijke mening gebaseerd op dat onderzoek
Theory of inspired confidence: de accountant moet zijn werk zo uitvoeren, zodat deze
de verwachtingen niet verraad
Als het vertrouwen in de auditor is verbroken, dan is de functie ook niks meer waard
Baseball card certification
Baseball cards werden ‘graded’ (een score gegeven) door zowel onafhankelijke
organisaties als organisaties die ze zelf ook verkochten
Graded baseball cards hadden meer waarde door het graden op zich
Baseball cards met een hogere grade hadden ook een hogere waarde
Er zat dus zowel waarde aan het onafhankelijk beoordelen op zich, als aan de
beoordeling zelf
Opvallend was dat grades door onafhankelijke graders geen hogere waarde hadden,
er werd dus geen waarde gehecht aan de onafhankelijkheid
Lecture 2 (1.2) – Building Blocks of Auditing:
Audit Risk
Soorten risks:
Business risk: de dreiging dat een organisatie zijn doelen niet haalt
Audit risk: een ongepaste audit opinion; de kans dat er een goedkeurende verklaring
wordt gegeven terwijl dit niet zou moeten (type-2 error, 5% kans bij 95% zekerheid)
Engagement risk: litigation, reputation, profitability
Business Risk Response
,Audit Risk Model
AR=IR∗CR∗DR
Audit Risk (AR) = het risico dat de auditor een ongepast oordel velt (5% kans)
Inherent Risk (IR) = het risico van een material misstatement die inherent is aan het
bedrijf zelf, door bijvoorbeeld de sector waarin het opereert
o Om dit risico te mitigeren is het belangrijk het bedrijf te begrijpen
Control Risk (CR) = risico op material misstatement gebaseerd op de kwaliteit van
internal controls
o Om dit risico te mitigeren is het belangrijk om de internal controls te
beoordelen
Detection Risk (DR) = het risico dat een auditor een material misstatement niet zal
detecteren
o Om dit risico te mitigeren is het belangrijk goede auditor response uit te
voeren
Audit vs Business Risk (Houston et al., 1999)
Audit risk = het risico op material misstatement (RMM)
Engagement Risk = het risico voor de auditor als gevolg van de engagement, dus als gevolg
van het uitvoeren van de controle zelf
Litigation risk = het risico dat de klant of gebruikers van de jaarrekening je aanklagen
vanwege een in hun ogen ongepast oordeel hoe meer gebruikers er zijn van de
jaarrekening, hoe groter dit risico (private enforcement)
Regulatory penalties = het risico dat het regelgevend instituut (AFM) je een boete
geeft (public enforcement)
Reputation loss = het risico op verlies van reputatie door een fout oordeel
Lack of profitability = als de klant niet genoeg geld heeft of failliet gaat loopt de
auditor het risico om de audit fee niet te ontvangen
De auteurs stellen een model op voor de total expected cost op basis van mogelijke kosten
vanuit business risk of engagement risk:
E ( c )=cq+ [ E ( d )∗E ( r ) ] +[ E ( f )∗E ( p ) ]
E( c) = Total expected cost
cq = price (c) en kwantiteit (q) van uren
E( d) = Expected present value van toekomstige verliezen door material
Misstatement
E( r) = Verwachte kans dat de auditor verantwoordelijk is voor stakeholder
losses als gevolg van een niet gedetecteerde material misstatement
E(f ) = Expected present value van toekomstige verliezen vanuit factoren
anders dan undetected misstatement
, E( p) = De kans hierop
Hypotheses:
H1: het incremental effect van engagement risk over audit risk is groter bij meer risk
of irregularities, dan bij meer risk of errors
H2: het incremental effect van engagement risk over audit investment is groter bij
meer risk of irregularities, dan bij meer risk of errors
Risk of irregularities = dat er iets verdachts aan de hand is, bijvoorbeeld een
opzettelijke fout
Risk of errors = een onbedoelde fout
Conclusie
Als de kans op een error (fout) groot is, is er meer audit risk dan engagement risk, en
dan is er geen risk premium
Als de kans op irregularity (fraude) groot is, is er meer engagement risk, en dan is er
wel een risk premium van audit fees
ISA 240 (irregularity standard) zou ervoor moeten zorgen dat het voor auditors niet
uit maakt of ze geconfronteerd worden met een error of een irregularity, en weten
hoe ze hierop moeten handelen
In de praktijk is er dus wel een risk premium, en dus is ISA 240 incompleet volgens de
auteurs
The effects of industry specialization on audit risk
assessment and audit planning decisions (Kin-Yew Low,
2004)
Hoofdvraag: hebben auditors met meer industry specialization een betere risk
assessment en audit planning?
Wijzen industry specialists random toe aan bedrijven met veel audit risk en bedrijven
met weinig audit risk, en bij non-industry specialists hetzelfde
Hypotheses: industry specialists...
1. Kunnen beter audit risk beoordelen
2. Voeren meer procedure changes door
3. Na een risk assessment worden er sneller procedure changes doorgevoerd
4. De procedure changes hebben een hogere kwaliteit
Conclusie: industry specialists voeren meer aanpassingen door aan audit procedures, en
deze aanpassingen zijn van hogere kwaliteit
Lecture 3 (1.3) – Building Blocks of Auditing:
Fraud Risk
Intentional misstatement (of irregularity) = het opzettelijk handelen door een of meer
individuen, waarbij zij misleiding gebruiken om een onjuist of illegaal voordeel te verkrijgen
2 soorten fraude:
