TAA nr. 97 - Implementatie door bedrijfsrevisorenkantoren van een kwaliteitsbeheersysteem overeenkomstig ISQM-1

1. Inleiding

   Dit artikel handelt over het kwaliteitsmanagement dat door bedrijfsrevisorenkantoren (hierna “kantoren” 1 ) diende te worden opgezet en geïmplementeerd uiterlijk op 15.12.2023 en waarvan de evaluatie diende te worden uitgevoerd uiterlijk op 15.12.2024, in overeenstemming met de internationale standaard voor kwaliteitsmanagement n°1 (International Standard on Quality Management, “ISQM-1”) zoals uitgebracht door de International Auditing and Assurance Standards Board (IAASB) 2 .

   Het artikel zal ingaan op de doelstellingen van ISQM-1, en de wijze waarop deze standaard dient te worden geïmplementeerd op kantoorniveau. ISQM-1 hanteert hierbij de aanpak van op risico’s gebaseerde beheersingsmaatregelen (risk based controls). Deze aanpak maakt het mogelijk dat elk kantoor op basis van specifieke risico’s zijn eigen interne beheersingsmaatregelen kan opzetten die daarna op effectieve wijze binnen het kantoor dienen te worden geïmplementeerd. De achterliggende doelstelling is dat het kantoor een redelijke mate van zekerheid verkrijgt dat zowel op kantoorniveau als op het niveau van de uitvoering van opdrachten (in het bijzonder controles (audits), beoordelingen (reviews), verwante dienstverleningen (related services) en assurance-opdrachten (assurance engagements 3 )), de nodige “kwaliteit” aan de dag wordt gelegd. Laten we hierbij niet vergeten dat kantoren in essentie een people business runnen, en dat de hierboven vernoemde interne beheersingsmaatregelen zowel op systemen als op mensen zullen van toepassing zijn. Dit laatste vereist een versterkte coördinatie op kantoorniveau tussen de medewerkers van het kantoor, waarbij het maken en naleven van duidelijke afspraken over wat kan en niet meer kan belangrijk is. Verder dient er openheid te zijn om uit tekortkomingen naar de toekomst toe te leren, en om de algehele “kwaliteit” zowel op kantoorniveau als op het niveau van opdrachten te waarborgen en waar nodig op te krikken.

    

2. ISQM-1

   Kwaliteitsmanagement in de audit wereld op zich is geen nieuw thema. De veelvuldige financiële schandalen, doorgaans gerelateerd aan fraude, die na de eeuwwisseling hebben plaatsgevonden hebben sindsdien een golf veroorzaakt van bijkomende wet- en regelgeving met inbegrip van meer restrictieve standaarden van toepassing op het auditberoep. Bij wijze van voorbeelden verwijzen we naar de schandalen met betrekking tot Enron (2001), Worldcom, (2002), Xerox (2002), Adelphia (2002), HealthSouth (2002), Tyco (2002) en Parmalat (2003). Eén van de standaarden van de International Auditing and Assurance Standards Board (IAASB) die in 2005 voor het auditberoep van toepassing is geworden, was International Standard on Quality Control n°1 (“ISQC-1”). Deze standaard was tot 2022 van toepassing in België en legde de nadruk op een aantal specifieke stappen die in elk kwaliteitsproces binnen een kantoor dienden aan bod te komen (principles based), met inbegrip van het volgende:

   -         de nood aan raadpleging (consultation) voor aangelegenheden die relatief complex of anderszins professionele oordeelsvorming van de zijde van de auditor vergen;

   -         de vereiste om een opdrachtgerichte kwaliteitsbeoordelaar (engagement quality reviewer) aan te stellen voor elke audit die betrekking heeft op een genoteerde entiteit (listed entity).

   De inhoud van ISQC-1 heeft in de voorbije 17 jaar de nodige kritieken moeten doorstaan, met inbegrip van de kritiek dat het voor een klein kantoor bijzonder moeilijk en financieel uitdagend was om de nodige resources vrij te maken om de vereiste processen in de praktijk om te zetten. Derhalve werd al geruime tijd nagedacht, ook in IAASB-middens, of het niet zinvoller was om een internationale standaard te ontwikkelen die wat meer “schaalbaar” is in termen van de toepassing daarvan, in het bijzonder naar kleine kantoren toe. De oplossing die op internationaal niveau in 2021 werd gevonden, was de goedkeuring van International Standard on Quality Management N°1 (“ISQM-1”). Deze standaard maakt het mogelijk voor een kantoor, ongeacht de grootte daarvan, om zelf op te lijsten welke de belangrijkste risico’s zijn die het kantoor ondergaat, met de bedoeling dat dit kantoor dan ook zelf de stappen kan definiëren en implementeren om ervoor te zorgen dat deze risico’s tot een aanvaardbaar niveau kunnen worden gereduceerd in het licht van de kwaliteitsdoelstellingen. M.a.w. ISQM-1 heeft de mogelijkheid gecreëerd voor kantoren om vanaf eind 2023 een op risico’s gebaseerde benadering (risk based approach) te hanteren voor wat betreft zijn kwaliteitsmanagementsysteem.

   Overeenkomstig ISQM-1 is de doelstelling van het kantoor het opzetten, implementeren en in werking stellen van een kwaliteitsmanagementsysteem voor controles (audits) of beoordelingen (reviews) van financiële overzichten, of voor andere assuranceopdrachten (assurance engagements) of opdrachten voor aan assurance verwante diensten (related services) die door het kantoor worden uitgevoerd, dat aan het kantoor een redelijke mate van zekerheid verschaft dat

   (a) het kantoor en zijn personeel hun verantwoordelijkheden vervullen in overeenstemming met professionele standaarden en de van toepassing zijnde vereisten uit wet- en regelgeving, en opdrachten uitvoeren in overeenstemming met deze standaarden en vereisten.

   (b) de door het kantoor of de opdrachtpartners uitgebrachte opdrachtrapporten in de gegeven omstandigheden passend (“appropriate”) zijn.

   Het openbaar belang is gediend met het op consistente wijze uitvoeren van opdrachten die gekenmerkt zijn door kwaliteit. De opzet, implementatie en werking van het kwaliteitsmanagementsysteem maken het mogelijk om op consistente wijze opdrachten gekenmerkt door kwaliteit uit te voeren door aan het kantoor een redelijke mate van zekerheid te verschaffen dat de doelstellingen van het kwaliteitsmanagementsysteem, zoals uiteengezet in de volgende rubriek, worden bereikt. Kwaliteit voor opdrachten wordt bereikt door het plannen en uitvoeren daarvan en door het rapporteren daarover in overeenstemming met professionele standaarden en met van toepassing zijnde vereisten uit wet- en regelgeving. Het bereiken van de doelstellingen van deze opdrachtstandaarden en het naleven van de van toepassing zijnde wet- of regelgeving houden de toepassing van professionele oordeelsvorming in, alsmede de uitoefening van een professioneel kritische houding.

   In de volgende paragrafen wordt dieper ingegaan op wat de essentiële componenten zijn van een dergelijk kwaliteitsmanagementsysteem. Daarna wordt uiteengezet hoe een aanpak op grond van risico’s nu precies in elkaar zit.

    

3. Kwaliteitsbeheersingsysteem (System of Quality Management of SoQM)

   Zoals gesteld door ISQM-1 functioneert een kwaliteitsmanagementsysteem (System of Quality Management, hierna “SoQM” of “KMS”) op een continue en iteratieve basis en speelt het in op veranderingen in de aard en omstandigheden van het kantoor en van zijn opdrachten. Voor de doeleinden van ISQM-1 omvat een kwaliteitsmanagementsysteem de volgende acht componenten:

   (a) Het risico-inschattingsproces van het kantoor (Firm’s Risk Assessment Process);

   (b) Governance en leiderschap (Governance and Leadership);

   (c) Relevante ethische voorschriften (Relevant ethical requirements);

   (d) Aanvaarding en continuering van cliëntrelaties en specifieke opdrachten (Acceptance and Continuance);

   (e) Opdrachtuitvoering (Engagement performance);

   (f) Bronnen (Resources). Deze bronnen kunnen verder nog worden ingedeeld in menselijke bronnen (human resources), technologische bronnen (Technological resources) en intellectuele bronnen (intellectual resources);

   (g) Informatie en communicatie (Information and communication); en

   (h) Het proces van monitoren en remediëren (Monitoring and remediation).

    

   De componenten van een KMS of SoQM kunnen op grafische wijze in de vorm van een huis worden voorgesteld (in de grafiek wordt de component “bronnen” opgesplitst in drie categorieën):

   

   De sterkte van de opzet van zo’n “huis” is natuurlijk in hoge mate afhankelijk van de sterkte van het dak (“Tone at the top”) en van zijn fundamenten (o.m. informatie en communicatie, en bronnen). Zo is bv. de kwaliteit van de data die binnen het “huis” worden gecreëerd, bijgehouden en geactualiseerd van cruciaal belang om, gebruik makend van de tools die het kantoor gebruikt, tot de juiste beslissingen te komen, bv. op het niveau van het aanvaarden en continueren van cliëntenrelaties.

   Elke component zal focussen op een deel van het aspect “kwaliteit” van het huis als geheel:

   1. Governance en leiderschap is verantwoordelijk voor, en legt verantwoording af, voor kwaliteit. Het geeft blijk van commitment ten aanzien van kwaliteit middels een cultuur die binnen het gehele kantoor bestaat, waarin het volgende wordt erkend en versterkt:

   (i) De rol van het kantoor bij het dienen van het openbaar belang door het consistent uitvoeren van opdrachten gekenmerkt door kwaliteit.

   (ii) Het belang van beroepsethiek, -waarden en -attitudes.

   (iii) De verantwoordelijkheid van alle personeelsleden voor de kwaliteit van opdrachten of van activiteiten in het kader van het kwaliteitsmanagementsysteem en het van hen verwachte gedrag.

   (iv) Het belang van de kwaliteit van de strategische beslissingen en acties van het kantoor, met inbegrip van de financiële en operationele prioriteiten van het kantoor.

   De behoeften aan bronnen, met inbegrip van financiële middelen, wordt door het leiderschap gepland en de nodige middelen worden verkregen, gealloceerd of toegewezen op een wijze die consistent is met de commitment van het kantoor ten aanzien van kwaliteit.

   2. Het kantoor en zijn personeel hebben inzicht in relevante ethische voorschriften (met inbegrip van onafhankelijkheidsvoorschriften, waar van toepassing) waaraan het kantoor en zijn personeel zijn onderworpen, en komen hun verantwoordelijkheden na met betrekking tot deze voorschriften.

   3. Het kantoor besteedt de nodige aandacht aan de oordeelsvormingen die door het kantoor worden toegepast met betrekking tot de aanvaarding en continuering van cliëntenrelaties of van specifieke opdrachten. Dit gebeurt op basis van zowel ingewonnen informatie over de cliënt als het vermogen van het kantoor om de opdracht overeenkomstig de van toepassing zijnde standaarden en wet- en regelgeving uit te voeren. Centraal hierbij is het feit dat de financiële en operationele prioriteiten van het kantoor niet leiden tot ongepaste oordeelsvormingen, in het licht van kwaliteit.

   4. De opdrachtteams (met inbegrip van de opdrachtpartners en de overige leden van de teams) begrijpen hun verantwoordelijkheden met betrekking tot opdrachten, met inbegrip van de verantwoordelijkheid voor het bereiken van kwaliteit op het niveau van de opdrachtuitvoering. Aansturing van en toezicht op teams, met inbegrip van supervisie en passende beoordeling door meer ervaren opdrachtteamleden van uitgevoerde werkzaamheden, maken daar integrerend deel van uit, net zoals de toepassing van professionele oordeelsvorming (professional judgement) en het blijk geven van een professioneel kritische houding (professional skepticism). Hierbij zullen raadpleging (consultation) over omstreden kwesties en de rol van de opdrachtgerichte kwaliteitsbeoordelaar (engagement quality reviewer) een belangrijke bijdrage tot kwaliteit kunnen spelen. Niet te vergeten is het aspect van het tijdig verzamelen van de nodige opdrachtdocumentatie en de bewaring daarvan, teneinde te kunnen voldoen aan de vereisten zoals gesteld door van toepassing zijnde standaarden en wet- of regelgeving.

   5. Eén van de onderbouwende componenten van een KMS zijn de bronnen. Een kantoor voert, per definitie, een people driven business. Derhalve zijn de human resources vitaal, en blijft het aantrekken van de juiste menselijke bronnen een kernpunt die op kwaliteit betrekking heeft. Het spreekt voor zich dat het aantrekken, opleiden en het in een kwalitatieve omgeving embedden van personeel een conditio sine qua non is voor het bereiken van kwaliteit binnen een kantoor. En of het dan gaat om menselijke bronnen die lokaal aangewend worden of waarop beroep wordt gedaan via het netwerk, shared service centers of via externe bronnen is niet relevant. Het zijn bovendien niet alleen de menselijke bronnen, doch eveneens de technologische middelen en de intellectuele bronnen die het kantoor aankoopt en/of zelf ontwikkelt en ter beschikking van zijn personeelsleden stelt, die een rol spelen. Passende technologische en intellectuele middelen worden verkregen of ontwikkeld, geïmplementeerd, in stand gehouden en gebruikt om de werking van het kwaliteitsmanagementsysteem van het kantoor en het op consistente wijze uitvoeren van opdrachten gekenmerkt door kwaliteit mogelijk te maken. Deze middelen zijn consistent met professionele standaarden en, in voorkomend geval, met van toepassing zijnde vereisten uit wet- en regelgeving. Het gaat desgevallend om technologische middelen zoals bv. de auditsoftware, IT toepassingen gebruikt bij het opzetten, uitvoeren of in werking stellen van het kwaliteitsmanagementsysteem of deze die rechtstreeks gebruikt worden door de opdrachtteams; of om intellectuele bronnen zoals bv. de auditmethodologie, templates van opdrachtbrieven, bevestigingsbrieven, opdrachtrapporten die door de teams worden aangewend als basis voor hun opdrachtdocumentatie. Het gaat eveneens om interne communicaties over technisch moeilijke kwesties en uitleg die door het kantoor wordt verschaft over de toepassing van bv. een nieuwe professionele standaard of bv. de wetgeving rond anti-witwassen en het gebruikmaken van cash geld.

   6. In het kader van de component informatie en communicatie wordt gefocust op het verkrijgen, tot stand brengen en gebruikmaken van informatie over het kwaliteitsmanagementsysteem, alsook het tijdig communiceren van informatie zowel binnen het kantoor als aan externe partijen. Deze informatie dient relevant en betrouwbaar te zijn en dient te worden bewaard overeenkomstig de van toepassing zijnde standaarden en wet- of regelgeving. De cultuur van het kantoor erkent en versterkt de verantwoordelijkheid van het personeel om informatie uit te wisselen met het kantoor en met elkaar, wetende dat niet geactualiseerde en/of niet correcte informatie aan de basis kan liggen van onjuiste te nemen of genomen beslissingen, wat mogelijk een impact op kwaliteit heeft. Essentieel daarbij is het aspect vertrouwen dat vanuit het leiderschap gaat naar het personeel, en vanuit het personeel gaat naar het leiderschap. Dit aspect valt veel moeilijker te meten dan andere aspecten van kwaliteit, doch in de praktijk kan het een heel belangrijke rol vervullen in het al dan niet bereiken van kwaliteit binnen een kantoor.

   7. Het monitoren en remediëren binnen een kantoor is de component waarbij

   (a) Relevante, betrouwbare en tijdige informatie wordt verstrekt over de opzet, implementatie en werking van het kwaliteitsmanagementsysteem.

   (b) Passende maatregelen worden genomen om te reageren op geïdentificeerde tekortkomingen, zodat tekortkomingen tijdig worden geremedieerd.

   Deze component wordt verder uitgediept onder het punt monitoring en remediëren.

   8. De opzet van reacties (responses) binnen een KMS dient gebaseerd te zijn op risico’s. Derhalve is het proces van risico-inschatting een belangrijke component binnen een KMS. We komen op dit punt terug in de volgende sectie.

    

4. Op risico’s gebaseerde aanpak (risk based approach)

   ISQM-1 vereist dat het kantoor een op risico gebaseerde aanpak hanteert bij het opzetten, implementeren en in werking stellen van de componenten van het kwaliteitsmanagementsysteem. Dit dient op een onderling samenhangende en gecoördineerde wijze tot stand te komen, zodat het kantoor de kwaliteit van de door het kantoor uitgevoerde opdrachten proactief beheert.

   De op risico gebaseerde aanpak bestaat uit de volgende aspecten:

   (a) Het vaststellen van kwaliteitsdoelstellingen. De door het kantoor vastgestelde kwaliteitsdoelstellingen bestaan uit doelstellingen met betrekking tot de acht componenten van het kwaliteitsmanagementsysteem die door het kantoor moeten worden bereikt.

   (b) Het onderkennen en inschatten van risico's voor het bereiken van de kwaliteitsdoelstellingen (de zgn. “kwaliteitsrisico's”). Het kantoor dient kwaliteitsrisico’s te identificeren en in te schatten om een basis te verschaffen voor het opzetten en implementeren van reacties daarop.

   (c) Het opzetten en implementeren van reacties om de kwaliteitsrisico’s aan te pakken. Deze reacties nemen in de praktijk de vorm aan van interne beheersingsmaatregelen (controls) die per component worden uitgewerkt, in het licht van de te bereiken kwaliteitsdoelstellingen, met als doel het (of de) betrokken kwaliteitsrisico(‘s) te mitigeren.

   Binnen elk van de 8 componenten van een KMS dienen reacties (controls) te worden opgezet en geïmplementeerd zodat de uitvoering van deze controls een mitigerende invloed uitoefent ten aanzien van de ingeschatte kwaliteitsrisico’s. Dit draagt dan op zich bij tot het bereiken van de betrokken kwaliteitsdoelstellingen binnen die KMS-component.

   Zo kan het kantoor bijvoorbeeld bepalen dat één van de doelstellingen van de component ‘aanvaarding en continuering’ het aanvaarden en continueren van de cliëntenrelaties is die het meeste aanleunen bij de strategie die het kantoor hanteert op de auditmarkt. Een kwaliteitsrisico kan bijvoorbeeld inhouden dat onjuiste of niet geactualiseerde informatie door het kantoor wordt gehanteerd op het moment van de besluitvorming over dit thema. In functie van het ingeschatte inherente risico dat deze kwaliteitsdoelstelling niet wordt gehaald (d.i. zonder dat het kantoor rekening houdt bij de inschatting met de impact van de reeds opgezette of later op te zetten controls), kan het kantoor bijvoorbeeld bepalen dat voor een subset van cliënten (bv. cliënten met een hoger publiek profiel, of cliënten waarop een hoger cliëntenrisico en/of opdrachtrisico betrekking heeft) de finale goedkeuring van de beslissing tot aanvaarding of continuering dient te worden goedgekeurd door de persoon die binnen het kantoor verantwoordelijk is voor risk management. Dergelijke goedkeuringsprocedure houdt dan een double-check in van de informatie die als basis wordt gehanteerd voor de besluitvorming op kantoorniveau binnen deze component. Tevens kunnen binnen diezelfde component bijkomende controls worden opgezet die meerdere risicopunten binnen de componentprocessen helpen mitigeren. Zo kan bijvoorbeeld een periodieke verificatie op kantoorniveau plaatsvinden met betrekking tot de basisinformatie van een kantoor over het cliënteel (met inbegrip van checks van het accuraat zijn van basisinformatie met betrekking tot de Organisaties van Openbaar Belang (OOB’s) die cliënt van het kantoor zijn, d.i. van informatie met betrekking tot de historiek van de commissarisverslagen, informatie die nodig is om de regels van externe rotatie op correcte wijze te kunnen toepassen edm.).

    

5. Het proces van monitoren

   Zoals hiervoor aangegeven dient een kantoor zijn kwaliteitsdoelstellingen vast te stellen, waarbij het zijn eigen kwaliteitsrisico’s zal onderkennen en inschatten om de juiste reacties op te zetten en te implementeren, met als doel de geïdentificeerde kwaliteitsrisico’s te mitigeren. Ten slotte zal het kantoor, teneinde de algehele “kwaliteit” zowel op kantoorniveau als op het niveau van opdrachten blijvend te kunnen waarborgen en waar nodig te verbeteren, een proces moeten opzetten om de geïmplementeerde reacties (controls) te monitoren en te toetsen.

   Dit proces vormt de basis tot het identificeren en beoordelen van tekortkomingen om vervolgens passende remediërende maatregelen op te zetten en uit te werken. Onderstaande matrix geeft aan dat monitoring enerzijds van belang is op niveau van de kantoororganisatie en op niveau van de opdrachtuitvoering, en anderzijds doorlopend doorheen het jaar alsook periodiek op specifieke momenten moet worden uitgevoerd. De manier waarop deze matrix wordt ingevuld zal voor elk kantoor afhankelijk zijn van de aard, omvang en timing van de reacties (controls) op geïdentificeerde risico’s en de wijzigingen die optreden doorheen het jaar.

   Monitoring Voorbeelden	Doorlopende monitoring	Periodieke monitoring
   Kantoororganisatie	·        Monitoring door de verantwoordelijken van het KMS ·        Gebruik van kwaliteits-indicatoren (C)	·        Interne/netwerk inspecties van controle en monitoring activiteiten (D) ·        Externe netwerk inspecties van monitoring activiteiten 4
   Uitgevoerde opdrachten	·        Real-time monitoring (A) ·        Data analytics ·        Real-time feedback (A)	·        Interne/netwerk inspecties op afgewerkte opdrachten (B) ·        Externe netwerk inspecties op afgewerkte opdrachten 5

    

   Doorlopende monitoringactiviteiten zijn over het algemeen routineactiviteiten die in de processen van het kantoor zijn geïntegreerd en in real time worden uitgevoerd in reactie op veranderende omstandigheden. Het laat de vroegtijdige identificatie van tekortkomingen toe. Periodieke monitoringactiviteiten worden met bepaalde tussenpozen door het kantoor uitgevoerd.

   1. Real-time monitoring en real-time feedback op niveau van de uitgevoerde opdrachten

      Een vroegtijdige identificatie van tekortkomingen is cruciaal omdat het het kantoor in staat stelt om tijdig en doeltreffend te remediëren, wat bijdraagt tot een continue verbetering van de kwaliteit van de uitgevoerde opdrachten. De inspecties van lopende opdrachten zijn daar een mooi voorbeeld van. Deze zijn bedoeld om na te gaan of een aspect van het KMS is opgezet, geïmplementeerd en werkt zoals bedoeld en in welke mate deze elementen correct doorvloeien tot op het niveau van de opdrachten. De activiteit is van preventieve aard, wordt uitgevoerd voorafgaandelijk aan de aflevering van een verklaring en bevat aldus een belangrijk opleidingselement, omdat het ook toelaat om preventief de gedane vaststellingen te remediëren bij de uitvoering van andere lopende opdrachten. In de praktijk kan dit bijvoorbeeld worden opgezet door bepaalde lopende opdrachten, geselecteerd op basis van een risk based approach waarbij rekening wordt gehouden met type dossiers (bv. OOB of niet-OOB, hoog risicoprofiel), en het profiel van de opdrachtpartner (bv. ervaring, competenties, cyclische basis, resultaten van eerdere inspecties), te onderwerpen aan een gehele inspectie (bv. inspectie van een wettelijke controleopdracht waarbij alle fasen van de controle aan een nazicht worden onderworpen) of gedeeltelijke inspectie (specifieke risicodomeinen zoals bv. de toepassing van een nieuwe ISA norm, over meerdere wettelijke controleopdrachten aan een nazicht onderwerpen). Het spreekt voor zich dat deze activiteiten dienen te worden uitgevoerd door personen die objectief zijn, de relevante competenties en capaciteiten hebben en daar de nodige tijd kunnen voor uittrekken. De uitvoering verloopt best volgens specifieke door het kantoor uitgewerkte beleidslijnen en procedures (bv. gebruik makende van gestandaardiseerde werkprogramma’s en gespreid in de tijd om de lopende opdracht van begin tot eind op te volgen). De controleleidraden, ter beschikking gesteld op de website van de Belgian Audit Oversight Board 6 kunnen tevens door het kantoor als vertrekbasis worden gebruikt om intern specifieke werkprogramma’s uit te werken voor het nazicht van de wettelijke controleopdrachten en andere wettelijke opdrachten. De feedback terwijl de opdracht lopende is (real-time feedback), laat toe om tekortkomingen op niveau van de uitgevoerde opdracht, maar vooral ook op het KMS, op te sporen en/of kwaliteitsrisico’s te vermijden.

   2. Inspecties van afgewerkte opdrachten

      Vergelijkbaar met real-time monitoring (inspectie van een lopende opdracht zoals bv. een wettelijke controleopdracht) kunnen periodieke monitoringactiviteiten op afgewerkte opdrachten, dus na aflevering van de verklaring, uitgevoerd worden. Deze zijn eerder detectief van aard en kunnen worden uitgevoerd door het kantoor zelf, haar netwerk of andere bedrijfsrevisoren. Ook hier zijn dezelfde principes van toepassing als deze opgenomen in punt A, met betrekking tot de selectie van de dossiers en opdrachtpartners, de selectie van personen die het nazicht uitvoeren, en het gebruik van gestandaardiseerde werkprogramma’s.

   3. Gebruik van kwaliteitsindicatoren

      Overeenkomstig ISQM-1 dient het kantoor informatie over zijn KMS aan externe partijen te verstrekken, met inbegrip van informatie die aan de met governance belaste personen wordt verstrekt over de wijze waarop het KMS de consistente uitvoering van opdrachten gekenmerkt door kwaliteit ondersteunt. Factoren die bijdragen tot een opdracht gekenmerkt door kwaliteit zijn gegevens die bijvoorbeeld kunnen worden gepresenteerd in de vorm van indicatoren voor de kwaliteit van de opdracht met een bijkomende toelichting bij de indicatoren. De kwaliteitsindicatoren vastgelegd door het kantoor kunnen bij uitbreiding aldus betrekking hebben op het preventief meten van kwaliteit op niveau van het kantoor en op het niveau van de uitgevoerde opdrachten alsook de naleving van de door het kantoor geïmplementeerde reacties (controls) op geïdentificeerde risico’s.

      Er bestaat tot op dag van vandaag echter geen wettelijk kader omtrent welke deze indicatoren kunnen of moeten zijn, hoe deze moeten worden berekend of nog vanaf wanneer deze indicatoren als alarmerend (indicatief voor een kwaliteitsrisico of het niet bereiken van de vooropgestelde kwaliteitsdoelstellingen) moeten worden beschouwd. Op basis van bepaalde publicaties van toezichtsorganen (PCAOB 7 , FRC 8 , CPAB 9 ) en beroepsorganisaties (Accountancy Europe 10 ) is er althans een indicatie van mogelijke Audit Quality Indicators, waarvan de belangrijkste hieronder werden opgenomen.

       

      ISQM1 Component	Indicator	Type indicator
      Governance en leiderschap	·      Resultaten interne & externe kwaliteitscontrole ·      Kwaliteitscontrole functies	Kantoor   Kantoor
      Ethische voorschriften	·      Aantal klachten ·      Aantal sancties ·      Inbreuken op financiële onafhankelijkheid (kantoor/individu) ·      Inbreuken op onafhankelijkheid inzake commissarismandaat ·      Opleiding inzake ethische voorschriften	Kantoor Kantoor Kantoor   Kantoor/Opdracht   Kantoor
      Aanvaarding & verderzetting	·      Tijdige voltooiing klantenaanvaarding ·      Tijdige voltooiing opdrachtaanvaarding	Kantoor/Opdracht
      Opdrachtuitvoering	·      Audit uren (partner, manager, review partner uren t.o.v. totaal aantal uren – voldoende betrokkenheid) ·      Ervaring van het opdrachtteam (specialisten, experten) ·      Tijdige afronding audit fase	Kantoor/Opdracht
      Middelen (HR)	·      Partner workload ·      Personeels workload (meten van overtime) ·      Opleiding – tijdige voltooiing van verplichte opleiding ·      Opleiding – aantal uren opleiding per persoon ·      Turnover – % vertrekkend personeel ·      Aanwervingen ·      Aantal personen met beroepskwalificatie ·      Ervaring	Kantoor/Opdracht Kantoor   Kantoor Kantoor Kantoor Kantoor Kantoor Kantoor
      Middelen (technologie)	·      Uren technologie t.o.v. totaal aantal uren	Kantoor
      Middelen (intellectueel)	·      Aantal consultaties ·      Tijdige communicaties	Kantoor
      Middelen (service providers)	·      Uren service providers (delivery centers en derden) t.o.v. totaal aantal uren	Kantoor
      Monitoring & remediëring	·      Aantal interne kwaliteitscontroles ·      Aantal niet geremedieerde tekortkomingen	Kantoor

       

      In november 2025 heeft de BAOB hierover bovendien ook een mededeling gepubliceerd 11 .

      De BAOB neemt indicatoren op die rechtstreeks verband houden met de kwaliteit van de opdrachtuitvoering (betrokkenheid en toezicht, ervaring van de tekenende partner, gespecialiseerde auditmiddelen), met de effectiviteit van het kwaliteitsmanagementsysteem (monitoring, kwalitatieve middelen) en zelfs met de minder tastbare maar essentiële component cultuur.

      In totaal worden tien indicatoren geïdentificeerd die bijzonder nuttig kunnen zijn voor de doorlopende monitoring van een kwaliteitsmanagementsysteem 12 .

      Volgens de BAOB meten deze indicatoren niet rechtstreeks de auditkwaliteit, maar bieden zij wel relevante signalen over factoren die de kwaliteit van opdrachten en van het kwaliteitsmanagementsysteem kunnen beïnvloeden.

      Hoewel Audit Quality Indicators (AQI’s) niet verplicht zijn, moedigt de BAOB kantoren aan om een aantal voor hun organisatie relevante indicatoren te selecteren. Goed gekozen AQI’s kunnen nuttige inzichten bieden in de werking van het kwaliteitsmanagementsysteem en bijdragen aan de continue verbetering van zowel de kantoororganisatie als de kwaliteit van de uitgevoerde opdrachten 13 .

       

   4. Inspecties van controle en monitoringactiviteiten

      De periodieke monitoringactiviteiten op niveau van kantoor kunnen onder meer worden beïnvloed door de omvang, structuur en organisatie en de betrokkenheid van het netwerk bij monitoringactiviteiten. Concreet zijn deze monitoringactiviteiten eigenlijk vergelijkbaar met de audit van de interne controle bij cliënten. Het doel is de doeltreffendheid en effectiviteit van het KMS na te gaan. Met andere woorden, het kantoor zal een proces moeten opzetten om het nazicht uit te voeren van haar eigen KMS, desgevallend met de hulp van het netwerk. Het proces omvat traditioneel:

      • het nazicht van de geïdentificeerde risico’s en de reacties op deze risico’s (bv. hoe werd de risico-inschatting door de verantwoordelijken van de kwaliteitsdoelstellingen uitgevoerd; Werden alle risico’s voor elk van de ISQM-1 componenten correct en volledig geïdentificeerd; Bieden de antwoorden op geïdentificeerde risico’s voldoende zekerheid om het residueel geïdentificeerde risico te herleiden tot een aanvaardbaar niveau; enz.);
      • het nazicht van de opzet van de reacties (controls) via walkthrough;
      • het nazicht van de effectiviteit van de reacties (controls) door observatie, heruitvoering, toetsingen.

         

6. Het proces van remediëren

   Zoals reeds vermeld is het doel van het KMS om de algehele “kwaliteit” zowel op kantoorniveau als op het niveau van opdrachten continu te verbeteren. Het kantoor dient aldus alle bevindingen, onder meer vastgesteld via voormelde monitoringactiviteiten, te beoordelen en te evalueren om te bepalen of er tekortkomingen zijn zowel op niveau van het kantoor als op niveau van de uitgevoerde opdrachten. Bij uitbreiding zal het kantoor deze evaluatie tevens moeten uitvoeren door rekening te houden met de bevindingen voortvloeiend uit klachten en aantijgingen, kwaliteitscontrole resultaten van service providers, inspecties uitgevoerd door toezichtorganen, en tot slot deze die voortvloeien uit het remediëringsproces zelf. Daarbij kan het van belang zijn om ook de handelingen die tot positieve resultaten hebben geleid te vergelijken met de situaties waarin de tekortkomingen werden vastgesteld.

   De tekortkomingen zullen worden beoordeeld naar hun ernst en diepgaande invloed op het KMS door:

   • het uitvoeren van een oorzakenanalyse, met andere woorden het onderzoeken van de onderliggende oorzaak (of -oorzaken) van de geïdentificeerde tekortkomingen;
   • het evalueren van het effect van de geïdentificeerde tekortkoming, zowel afzonderlijk als op geaggregeerde basis, op het KMS.

     De oorzakenanalyse omvat onder meer traditioneel het verzamelen van alle bevindingen (kantoorniveau en opdrachtniveau) die vervolgens worden onderzocht via observatie, het voeren van interviews, data-analyse, enz. om te bepalen of de tekortkoming éénmalig is, dan wel een trend vertoont of systematisch van aard is; en of deze tekortkoming een specifieke of algehele impact heeft op het KMS. De diepgang van de oorzakenanalyse is van belang om de “werkelijke” oorzaak te kunnen achterhalen en aldus de juiste remediërende maatregelen op te zetten en te implementeren. Ten titel van voorbeeld kan een bevinding betreffende niet uitgevoerde werkzaamheden vastgesteld bij een inspectie, het resultaat zijn geweest van het feit dat het opdrachtteam onvoldoende kennis had omtrent de uit te voeren werkzaamheden, op zich veroorzaakt door onvoldoende opleiding, op haar beurt veroorzaakt door het niet of niet tijdig volgen van bepaalde opleidingen. De onderliggende oorzaak van het niet kunnen volgen van opleidingen kan meervoudig zijn (werkdruk en prioriteiten, onvoldoende tijd inplannen om de opleiding te kunnen voltooien, te snel voltooien van opleidingen,  geen tone at the top, enz.). En het is pas na deze laatste stap te hebben uitgevoerd dat remediërende acties kunnen worden genomen.

     Volgend op de uitkomst van de oorzakenanalyse dient het kantoor een remediëringsplan op te zetten en te implementeren. Dit plan zal tevens het voorwerp uitmaken van toekomstige evaluaties en maakt als het ware deel uit van de lopende monitoring zoals hiervoor aangehaald. Resulteren de genomen acties, zoals onder andere het aanpassen en bijsturen van de reacties (controls) op geïdentificeerde risico’s, tot de vooropgestelde kwaliteitsdoelstellingen? Zo neen, dan dienen de nieuwe bevindingen te worden beoordeeld, geëvalueerd om te bepalen of er nieuwe tekortkomingen zijn waarvan de oorzaak aanleiding geeft tot andere remediërende acties.

     Het proces van monitoren en remediëren is uiteindelijk een iteratief proces waarin elke stap of actie tot een verbeterde kwaliteit moet leiden zowel op niveau van het kantoor als op niveau van de uitgevoerde opdrachten, en dat proces wordt steeds herhaald.

     

      

7. Inspecties door de toezichthouders

   Daar waar de ISQC-1 norm na 17 jaar werd vervangen door de huidige ISQM-1 norm, waarbij het KMS van de kantoren gericht is op het correct identificeren van en inspelen op risico’s, met een eerste evaluatie tegen eind 2024 (voor België is dat eind 2025), blijkt uit een survey van het International Forum of Independent Audit Regulators (IFIAR) 14 betreffende de resultaten van inspecties 2024 op niveau van het kantoor (ISQC-1 tijdperk), dat:

   • 35% van de geïnspecteerde kantoren tekortkomingen hadden betreffende de opdrachtuitvoering;
   • 29% van de geïnspecteerde kantoren tekortkomingen hadden betreffende de onafhankelijkheidsbepalingen en ethische voorschriften;
   • 25% van de geïnspecteerde kantoren tekortkomingen hadden betreffende de monitoring.

     Ook de Belgian Audit Oversight Board bevestigde gelijkaardige resultaten/vaststellingen in haar 2024 activiteitenverslag met als belangrijkst de volgende 4 tekortkomingen:

     • 50% van de geïnspecteerde OOB-bedrijfsrevisoren hadden tekortkomingen betreffende onafhankelijkheid, met name onvoldoende naleving van de eigen kantoorprocedures betreffende persoonlijke financiële onafhankelijkheidsvereisten;
     • 25% van de geïnspecteerde OOB-bedrijfsrevisoren hadden tekortkomingen betreffende opdrachtgerichte kwaliteitsbeoordeling, met name het gebruik van vragenlijsten bij opdrachtgerichte kwaliteitsbeoordelingen die niet alle vereisten bevatten;
     • 25% van de geïnspecteerde OOB-bedrijfsrevisoren hadden tekortkomingen betreffende het gebrek aan volledige procedures die een tijdijge archivering waarborgen;
     • 31% van alle inbreuken vastgesteld bij geïnspecteerde niet-OOB-bedrijfsrevisoren had betrekking op inbreuken op de AML-wet.

       De ISQM-1 norm waarvan de aanpak er één is van op risico’s gebaseerde beheersingsmaatregelen (risk based controls), zal in de komende jaren moeten aantonen dat voormelde tekortkomingen (uit het ISQC-1 tijdperk) zullen kunnen worden verminderd door het beter te kunnen inspelen op geïdentificeerde risico’s.

       De Belgian Audit Oversight Board heeft echter niet willen wachten tot de in België eerste verplichte evaluatie van het kwaliteitsmanagementsysteem, voorzien tegen eind 2025, en voerde in 2024 thematische inspecties uit over de ISQM-1 bij geselecteerde toonaangevende OOB-bedrijfsrevisorenkantoren die allen deel uitmaken van een netwerk. De focus van de inspectie lag daarbij op de opzet en de implementatie van (i) het risico-inschattingsproces; (ii) de component ‘Human resources’ en (iii) de component ‘Governance en leiderschap’. Met een pedagogische en sensibiliserende aanpak verwierf de BAOB een voortschrijdend inzicht in de wijze waarop OOB-bedrijfsrevisoren de nieuwe norm begrijpen en toepassen, en hoe deze bijdraagt tot de risicobeheersing in hun kantoor en de kwaliteit van hun revisorale activiteit.

       De verkennende thematische inspecties hebben geleid tot inzichten die de BAOB met de sector heeft gedeeld 15 . Deze inzichten bieden ons beroep een goede ondersteuning in de verdere uitwerking en verbetering van de kantoororganisatie.

       Terwijl het niet de bedoeling is om deze inzichten hier in detail door te nemen, hebben we de belangrijkste elementen kort samengevat, al is het maar om bedrijfsrevisoren en kantoren te laten inzien dat de opzet, implementatie en evaluatie van het kwaliteitsmanagementsyteem geen éénmalige oefening is, maar een proces is waaraan continu moet worden gesleuteld en gewerkt.

       Belangrijkste inzichten en/of bevindingen:

       • Het kantoor blijft de eindverantwoordelijke voor zijn kwaliteitsmanagementsysteem, met inbegrip van de professionele oordeelsvormingen over de opzet, uitvoering en werking ervan, ook al maakt het kantoor deel uit van een netwerk die op haar beurt netwerkeisen doorvoert.
       • Verdergaand op voorgaand punt is het kantoor tevens verantwoordelijk voor zijn eigen risico-inschattingsproces, ook al worden een aantal risico’s aangestuurd door het netwerk. De kantoren dienen aldus deze netwerkrisico’s lokaal te evalueren, en desgevallend aan te passen of aan te vullen. Een gepaste documentatie is daarbij cruciaal.
       • Het kantoor moet het monitoringproces van het kwaliteitsmanagementsysteem documenteren, inclusief de monitoringactiviteiten uitgevoerd door het netwerk op het kantoor of op alle kantoren van het netwerk. Vaak hebben kantoren geen toegang tot de details van de door het netwerk uitgevoerde procedures.
       • Bij terminologische variaties moet het kantoor de naleving van de ISQM 1-vereisten aantonen. Ondanks de mogelijkheid om andere terminologieën te gebruiken is het van belang dat kan aangetoond worden dat de ISQM1 vereisten werden nageleefd.
       • Een kwalitatitieve onderkenning en inschatting van de risico’s is essentieel voor de opzet en implementatie van de reacties/controls. Granulariteit en volledigheid van de kwaliteitsrisico’s is daarbij van groot belang, beoordeeld en gedocumenteerd volgens een bepaalde methodologie en gevalideerd door de leiding.
       • Het monitoring- en remediëringsproces leidt tot een continue verbetering van de kwaliteit. Ook hier wordt verwezen naar een combinatie van doorlopende en periodieke monitoringactiviteiten, door onder meer gebruik te maken van auditkwaliteitsindicatoren.
       • Kwalitatieve professionele oordeelsvorming is essentieel voor een effectief monitoringproces. Elementen die kunnen bijdragen tot een goede, voldoende overtuigende documentatie die de kwaliteit en consistentie van de professionele oordeelsvorming aantoont zijn bijvoorbeeld een methodologie die aangeeft hoe de evaluatie van een bevinding verloopt, hoe deze aanleiding geeft tot een tekortkoming, hoe de ernst en diepgaande invloed wordt beoordeeld en hoe het onderzoek naar de hoofdoorzaak moet worden gevoerd.
       • Certificeringen formaliseren de verantwoordingsplicht van personen met een rol in het kwaliteitsmanagementsysteem.
       • De ‘tone at the top’ is doorslaggevend voor de cultuur van het kantoor. Voorbeelden van frequent voorkomende reacties zijn o.a. de invoering van een gedragscode, het afnemen van anonieme enquêtes, de implementatie van een accountability framework, het opzetten van een communicatieplan, de toewijzing van duidelijk gedefinieerde rollen en verantwoordelijkheden voor kwaliteit en het opstellen van een strategisch plan en budget.

          

         Ook voor niet-OOB-bedrijfsrevisorenkantoren heeft de BAOB haar inzichten uit de controle in 2024 meegedeeld. 16

         De eerste inspecties van de BAOB bij niet-OOB-bedrijfsrevisoren tonen aan dat de implementatie van ISQM1 in de meeste kantoren goed op gang is gekomen. Tegelijk identificeerde de BAOB een aantal terugkerende aandachtspunten en goede praktijken die waardevolle inzichten bieden voor de verdere uitbouw van een doeltreffend kwaliteitsmanagementsysteem.
       • Netwerkkantoren dienen kritisch te evalueren of netwerkeisen en netwerkdiensten voldoende aansluiten bij hun eigen aard, omvang en risico’s, en deze waar nodig aan te passen of aan te vullen.
       • Bij verschillende kantoren ontbraken nog bepaalde specifieke reacties die ISQM1 expliciet voorschrijft, zoals procedures inzake onafhankelijkheid, klachtenbehandeling of communicatie over het kwaliteitsmanagementsysteem.
       • Sommige kantoren hielden onvoldoende rekening met de impact van service providers op hun kwaliteitsmanagementsysteem, hoewel zij hiervoor zelf verantwoordelijk blijven.
       • De BAOB moedigt kantoren aan om hun kwaliteitsrisico’s voortdurend te actualiseren en verder te verfijnen, rekening houdend met wijzigingen in de organisatie, het klantenbestand of de omgeving waarin zij actief zijn.
       • Ook het gebruik van externe informatiebronnen, zoals publicaties van de BAOB, het ICCI en het IBR, kan bijdragen tot een beter onderbouwde identificatie en beoordeling van kwaliteitsrisico’s.
       • Als goede werkwijzen wijst de BAOB onder meer op het gebruik van kwaliteitsmanagementsoftware 17 en op een gestructureerde beoordeling van kwaliteitsrisico’s aan de hand van waarschijnlijkheids- (“occurence”) en impactanalyses (“effect”).

       Deze eerste bevindingen bevestigen dat ISQM1 geen eenmalige implementatieoefening is, maar een dynamisch en iteratief proces dat een voortdurende evaluatie en verbetering van het kwaliteitsmanagementsysteem vereist.

        

8. Tot slot

De invoering van ISQM1 betekent een fundamentele vooruitgang voor het beroep van bedrijfsrevisor. Door de overstap van een louter op principes-gebaseerde benadering (zoals bij ISQC-1) naar een op risico’s gebaseerde aanpak, biedt ISQM-1 kantoren de flexibiliteit om hun kwaliteitsmanagementsysteem af te stemmen op hun eigen risico’s. Dit zorgt ervoor dat kwaliteitsbeheersing niet langer een statisch of louter administratief proces is, maar een dynamisch en continu verbeterend systeem dat diep verankerd is in de dagelijkse werking van het kantoor.

De positieve impact van ISQM1 uit zich op verschillende niveaus:

• Verhoogde kwaliteit en betrouwbaarheid: Door het identificeren en mitigeren van kwaliteitsrisico’s wordt de kans op tekortkomingen aanzienlijk verkleind, wat leidt tot een hogere kwaliteit van uitgevoerde opdrachten en rapportages.
• Professionalisering van het beroep: De norm stimuleert een cultuur van voortdurende verbetering, transparantie en verantwoordelijkheid, waarbij leiderschap en governance centraal staan.
• Aandacht voor mensen en middelen: ISQM1 erkent het belang van menselijke, technologische en intellectuele bronnen, en benadrukt het belang van opleiding, communicatie en samenwerking binnen het kantoor.
• Versterking van het maatschappelijk vertrouwen: Door de focus op ethiek, onafhankelijkheid en het openbaar belang draagt ISQM1 bij aan het versterken van het vertrouwen van stakeholders in het werk van bedrijfsrevisoren.

Kortom, ISQM1 heeft een positieve en duurzame invloed op het beroep, doordat het niet alleen de kwaliteit van de dienstverlening verhoogt, maar ook de weerbaarheid en wendbaarheid van kantoren vergroot in een steeds complexer wordende omgeving.