Taal / Language: Dit document is de Nederlandse versie. Read in English
Dit document beschrijft het volledige proces van een Nederlandse wettelijke jaarrekeningcontrole, zoals geregeld door de NV COS (Nadere voorschriften controle- en overige standaarden). De NV COS zijn de Nederlandstalige adaptaties van de internationale ISA's, verplicht voor alle geregistreerde Nederlandse accountants die gedekte opdrachten uitvoeren. Ze worden gepubliceerd als onderdeel van het HRA (Handboek Regelgeving Accountancy) door de NBA.
Een wettelijke controle in Nederland mag uitsluitend worden uitgevoerd door een geregistreerde accountant (RA, Registeraccountant) verbonden aan een accountantsorganisatie met een Wta-vergunning (vergunning op grond van de Wet toezicht accountantsorganisaties). Het toezicht berust bij de AFM (Autoriteit Financiële Markten) voor OOB-controles (organisaties van openbaar belang) en bij de NBA voor niet-OOB-controles. De wettelijke grondslag is de Wet toezicht accountantsorganisaties (Wta) en het bijbehorende uitvoeringsbesluit, het Besluit toezicht accountantsorganisaties (Bta).
Een Nederlandse rechtspersoon is verplicht zijn jaarrekening te laten controleren wanneer hij in twee opeenvolgende jaren aan twee van drie omvangscriteria voldoet (BW2 Art. 2:397): balanstotaal ≥ € 6 miljoen, netto-omzet ≥ € 12 miljoen, of gemiddeld aantal werknemers ≥ 50. Entiteiten onder deze drempelwaarden (kleine en micro-entiteiten) zijn in het algemeen vrijgesteld, hoewel sommige — beursgenoteerde entiteiten, banken, verzekeraars, pensioenfondsen en bepaalde publiek gefinancierde organisaties — ongeacht hun omvang een wettelijke controleplicht hebben.
De meest voorkomende opdrachttypen in de Nederlandse mkb-praktijk, in aflopende volgorde van zekerheid:
| Opdrachttype | Standaard | Zekerheidsgraad | |---|---|---| | Controle (audit) | NV COS 200-serie + 500-serie | Redelijke zekerheid | | Beoordeling (review) | NV COS 2400N | Beperkte zekerheid | | Samenstelling (compilation) | NV COS 4410 | Geen zekerheid uitgesproken |
Dit document is gericht op de controle (wettelijke jaarrekeningcontrole).
Voordat controlewerkzaamheden beginnen, moet de accountant beoordelen of hij de opdracht accepteert. NV COS 210 regelt de overeenstemming over de opdrachtvoorwaarden; NV COS 220 regelt de kwaliteitsbeheersing op opdrachtniveau.
Overwegingen bij aanvaarding zijn:
De overeengekomen opdrachtvoorwaarden worden vastgelegd in een opdrachtbevestiging (engagement letter) die door beide partijen wordt ondertekend. Dit document beschrijft de reikwijdte, het toepasselijke verslaggevingskader (doorgaans BW2 Titel 9 voor Nederlandse entiteiten), de vergoeding en de verantwoordelijkheden.
Planning is geen afgebakend moment maar een doorlopend proces gedurende de gehele opdracht. NV COS 300 vereist dat de accountant een algehele controlestrategie en een gedetailleerd controleplan ontwikkelt vóórdat hij gegevensgerichte werkzaamheden uitvoert.
Risico-inschatting op grond van NV COS 315 (Risico's op een afwijking van materieel belang identificeren en inschatten) is de hoeksteen van de moderne risicogerichte controle. De accountant moet een gedegen begrip krijgen van:
Dit begrip vormt de basis voor het identificeren van risico's op een afwijking van materieel belang (RMM) op zowel het niveau van de financiële overzichten (pervasieve risico's) als het beweringsniveau (specifieke risico's voor afzonderlijke rekeningsaldi of transactieklassen). Significante risico's — risico's die speciale controlegandacht vereisen, waaronder altijd frauderisico's en het risico van overschrijding van beheersingsmaatregelen door het management — moeten expliciet worden geïdentificeerd (NV COS 315 §26).
In de praktijk omvat de risico-inschatting bij een Nederlandse mkb-controle:
Het resultaat is een gedocumenteerde risico-inschatting die alle materiële onderdelen van de financiële overzichten omvat.
NV COS 320 vereist dat de accountant een materialiteitsdrempel vaststelt voor de financiële overzichten als geheel, en indien nodig uitvoeringsmaterialiteit voor specifieke rekeningsaldi of transactieklassen die, ook als ze onder de algehele materialiteit liggen, de beslissingen van gebruikers kunnen beïnvloeden.
In de Nederlandse mkb-praktijk wordt de algehele materialiteit doorgaans gesteld op 5–8% van het resultaat vóór belastingen, 1–2% van het balanstotaal, of 0,5–1% van de omzet, afhankelijk van de maatstaf die het beste weergeeft waar gebruikers van financiële overzichten op letten. De keuze moet met motivering worden gedocumenteerd.
Uitvoeringsmaterialiteit — altijd lager dan de algehele materialiteit — bepaalt de drempelwaarde beneden welke individueel aangetroffen afwijkingen niet hoeven te worden gecumuleerd voor de eindbeoordeling.
De verantwoordelijkheden van de accountant op het gebied van fraude worden geregeld door NV COS 240 (De verantwoordelijkheid van de accountant voor fraude bij de controle van financiële overzichten). NV COS 240 vereist dat de accountant:
NBA Handreiking 1153 (Frauderisicoanalyse, gepubliceerd maart 2025) biedt actuele praktische richtlijnen voor het uitvoeren van de frauderisicoanalyse. De handreiking structureert de analyse rondom de klassieke fraudedriehoek: gelegenheid, motief/druk en rationalisering. De accountant moet geïdentificeerde frauderisicofactoren beoordelen aan de hand van elk hoekpunt, en de geïdentificeerde factoren vervolgens vertalen naar specifieke, op de cliënt toegesneden frauderisico's — geen generieke standaardformuleringen.
De AFM (in haar rapport "Scherper op frauderisico's!", juni 2023, en de opvolging van januari 2025) heeft geconstateerd dat Nederlandse accountants frauderisico's te generiek beoordelen. NBA Handreiking 1153 is direct naar aanleiding daarvan uitgebracht. De praktische consequentie is dat een frauderisicoanalyse specifieke rekeningen, transacties of gedragingen moet benoemen die bij deze specifieke cliënt risico lopen — en niet slechts stellen "er bestaat altijd een risico van overschrijding door het management."
Zodra de risico-inschatting is afgerond, ontwerpt en voert de accountant werkzaamheden uit die inspelen op de geïdentificeerde risico's. NV COS 330 (Inspelen door de accountant op ingeschatte risico's) regelt dit.
Bij pervasieve risico's — risico's die veel beweringen of de financiële overzichten als geheel beïnvloeden — reageert de accountant op het niveau van de financiële overzichten. Voorbeelden zijn: inzetten van meer ervaren medewerkers, intensiever toezicht, het inbrengen van onvoorspelbaarheid in de aard, timing en omvang van werkzaamheden, of het aanpassen van de aanpak om minder op door het management verstrekte informatie te steunen.
Voor elk significant rekeningsaldo of elke significante transactieklasse ontwerpt de accountant werkzaamheden die inspelen op het specifieke RMM op beweringsniveau. Er zijn twee hoofdcategorieën:
Toetsen van de werking van beheersingsmaatregelen: als de accountant voornemens is op interne beheersingsmaatregelen te steunen om gegevensgerichte werkzaamheden te beperken, moet hij testen of die beheersingsmaatregelen effectief werken. Toetsen van de werking zijn met name relevant voor omvangrijke, geautomatiseerde transactieverwerkingsomgevingen (ERP-systemen). Als de resultaten onbevredigend zijn, breidt de accountant de gegevensgerichte werkzaamheden uit.
Gegevensgerichte werkzaamheden: deze verzamelen rechtstreeks bewijs over de juistheid van rekeningsaldi en transactieklassen. Gegevensgerichte werkzaamheden bestaan uit:
NV COS 330 §18 vereist dat de accountant voor elk ingeschat significant risico gegevensgerichte werkzaamheden uitvoert die specifiek zijn ontworpen als reactie op dat risico — uitsluitend steunen op cijferanalyses voor significante risico's is niet aanvaardbaar wanneer het risico als hoog wordt ingeschat.
Wanneer het niet praktisch is om 100% van een populatie te onderzoeken, mag de accountant gebruikmaken van controlegericht steekproeven op grond van NV COS 530. Een steekproef moet zo worden ontworpen dat elk item een gelijke kans heeft om geselecteerd te worden, en de resultaten worden geëxtrapoleerd naar de populatie. SRA heeft een steekproefmodel ontwikkeld voor Nederlandse mkb-controles. Voor frauderisicogebieden verdienen grotere steekproeven of 100% populatietetoetsing via data-analysetools de voorkeur.
NV COS 500 definieert controle-informatie als alle informatie die de accountant gebruikt om te komen tot de conclusies waarop het controle-oordeel is gebaseerd. Controle-informatie moet zowel voldoende (adequate hoeveelheid ter onderbouwing van de conclusie) als geschikt (relevant en betrouwbaar) zijn.
De betrouwbaarheid van informatie varieert naar gelang de bron: externe informatie (zoals bankbevestigingen) is betrouwbaarder dan intern gegenereerde informatie; originele stukken zijn betrouwbaarder dan kopieën; door de accountant zelf verkregen informatie is betrouwbaarder dan door het management verstrekte informatie.
NV COS 505 regelt externe bevestigingen — brieven die rechtstreeks aan derden worden gestuurd (banken, debiteuren, advocaten) met het verzoek informatie relevant voor de controle te bevestigen. Bankbevestigingen ter bevestiging van rekeningsaldi en uitstaande faciliteiten per balansdatum zijn een standaardwerkzaamheid in vrijwel iedere Nederlandse wettelijke controle.
Naarmate de controle vordert, accumuleert de accountant alle geïdentificeerde afwijkingen (behalve duidelijk onbetekenende, doorgaans gesteld op 5% van de uitvoeringsmaterialiteit). Aan het einde van de controle worden de gecumuleerde afwijkingen vergeleken met de materialiteitsdrempel. Als het totaal de materialiteit overschrijdt, verzoekt de accountant het management de jaarrekening te corrigeren; bij gebreke van correctie is een modified oordeel vereist (NV COS 705).
NV COS 450 regelt de beoordeling van tijdens de controle geïdentificeerde afwijkingen.
Vóór het uitbrengen van het oordeel voert de accountant een aantal afsluitingswerkzaamheden uit:
De accountant vormt een oordeel over de vraag of de jaarrekening een getrouw beeld geeft overeenkomstig het toepasselijke verslaggevingskader. Het oordeel is van één van vier soorten:
| Oordeel | NV COS | Wanneer uitgebracht | |---|---|---| | Goedkeurend (unmodified) | NV COS 700 | Jaarrekening geeft in alle materiële opzichten een getrouw beeld | | Met beperking (qualified) | NV COS 705 | Materiële afwijking beperkt tot specifiek onderdeel, of reikwijdtebeperking | | Oordeelonthouding (disclaimer) | NV COS 705 | Reikwijdtebeperking zo doordringend dat de accountant geen oordeel kan vormen | | Afkeurend (adverse) | NV COS 705 | Materiële afwijking zo doordringend dat de jaarrekening geen getrouw beeld geeft |
Het oordeel wordt meegedeeld in de controleverklaring, die het controle-oordeel bevat, kernpunten van de controle (key audit matters) voor beursgenoteerde entiteiten (NV COS 701), en — verplicht op grond van AFM/NBA-regelgeving — een paragraaf waarin de controleaanpak frauderisico's wordt beschreven. De fraudeparagraaf in de controleverklaring valt onder NV COS 700 en is nader uitgewerkt in NBA Handreiking 1150.
NBA Handreiking 1150 (Rapporteren in de sectie 'Controleaanpak frauderisico's', oktober 2022) biedt een stapsgewijze handleiding voor het invullen van de fraudeparagraaf. De paragraaf moet:
De handreiking onderscheidt verschillende scenario's: standaardrapportage waarbij het vermoeden van manipulatie van de omzetverantwoording van toepassing is; verkorte rapportage waarbij dat vermoeden specifiek is weerlegd; en rapportage in gevallen waarin fraude tijdens de controle daadwerkelijk is geïdentificeerd of vermoed.
NV COS 230 vereist dat de accountant alles documenteert wat nodig is om een ervaren accountant zonder voorafgaande betrokkenheid bij de opdracht in staat te stellen de aard, timing en omvang van de uitgevoerde werkzaamheden te begrijpen; de resultaten en verkregen controle-informatie; en de getrokken conclusies. Alle significante oordeelsvormingen moeten worden gedocumenteerd.
De volledige documentatie vormt het controledossier. Het controledossier mag elektronisch zijn. In de Nederlandse praktijk wordt het Intern Reviewsysteem van SRA (Risk-Rhino-platform) veelvuldig gebruikt voor het beheren en reviewen van controledossiers. Bta artikel 19 verplicht accountantsorganisaties een intern kwaliteitsonderzoek uit te voeren van geselecteerde opdrachtdossiers.
Vanaf 1 januari 2027 moeten alle Nederlandse accountantskantoren voldoen aan SKM1 (Standaard Kwaliteitsmanagement 1), die de eerdere NVKM-kwaliteitsbeheersingsregels vervangt. SKM1 verlegt de nadruk van kwaliteitsbewaking naar kwaliteitsmanagement: de kantoorleiding moet aantoonbaar en zichtbaar "in control" zijn over de auditkwaliteit in het gehele kantoor. Ieder controle-instrument en iedere procedure die bewijs produceert of verwerkt, maakt deel uit van het SKM1-kwaliteitssysteem van het kantoor.
De NBA Taskforce Datagedreven Controle (bijgewerkt februari 2026) positioneert data-analyse expliciet als een goedgekeurde, standaardconforme aanpak voor het uitbreiden en verbeteren van het verzamelen van controle-informatie. NBA Handreiking 1141 (Data-analyse bij de controle, 2019, bijgewerkt met een praktijkcasus september 2024) beschrijft het spectrum:
In beide gevallen moet de data-analyse passen binnen het NV COS-kader: het geproduceerde bewijs is controle-informatie op grond van NV COS 500, de cijferanalyses volgen NV COS 520, en de accountant behoudt de volledige professionele verantwoordelijkheid voor de conclusies. Conform de gepubliceerde richtlijn van de AFM (november 2025): "De accountant blijft eindverantwoordelijk" — de accountant blijft eindverantwoordelijk, ongeacht de geavanceerdheid van de gebruikte instrumenten.
docs/sra-research.md); onderzoek Nederlandse controlenormen (docs/research-dutch-audit-standards.md)
Reacties