Journaalpostentoetsing en fraudedetectie

Taal / Language: Dit document is de Nederlandse versie. Read in English

Dit document beschrijft hoe Nederlandse accountants verplicht zijn journaalposten te toetsen als onderdeel van een wettelijke jaarrekeningcontrole, hoe de frauderisicoanalyse wordt uitgevoerd en welke data-analysetechnieken (CAAT — Computer-Assisted Audit Techniques) worden gebruikt om afwijkende posten te identificeren. De toepasselijke beroepsnormen zijn NV COS 240 (fraude), NV COS 315 (risico-inschatting), NV COS 330 (reactie op risico's) en NBA Handreiking 1141 (data-analyse bij de controle). Actuele richtlijnen over de frauderisicoanalyse zijn opgenomen in NBA Handreiking 1153 (maart 2025).

1. De verplichte aard van de journaalpostentoetsing

NV COS 240 §32–33

NV COS 240 (De verantwoordelijkheid van de accountant voor fraude bij de controle van financiële overzichten) stelt de fraudegerelateerde verplichtingen van de accountant vast. Ongeacht andere uitkomsten van de risico-inschatting verplicht §32 de accountant tot het toetsen van journaalposten en andere correcties op aanwijzingen van frauderisico als verplichte werkzaamheid in iedere wettelijke controle. Dit is geen optionele werkzaamheid die alleen wordt uitgevoerd wanneer fraude wordt vermoed — het is een basisvereiste bij elke controle.

NV COS 240 §32 verplicht de accountant in het bijzonder:

"journaalposten die in het grootboek zijn opgenomen en andere correcties die zijn aangebracht bij de opstelling van de financiële overzichten te toetsen. Bij het ontwerpen en uitvoeren van deze journaalpostentoetsen dient de accountant: (a) navraag te doen bij personen die betrokken zijn bij het financiële verslaggevingsproces over ongepaste of ongebruikelijke activiteiten met betrekking tot de verwerking van journaalposten en andere correcties; (b) journaalposten en andere correcties die aan het einde van een verslagperiode zijn aangebracht te selecteren; en (c) te overwegen of er ook journaalposten en andere correcties gedurende de gehele periode moeten worden getoetst."

NV COS 240 §33 bepaalt dat de toetsingen zodanig moeten worden opgezet dat zij identificeren en selecteren voor nader onderzoek:

• Journaalposten en correcties met kenmerken die op mogelijke fraude kunnen wijzen
• Andere journaalposten en correcties die significant of ongebruikelijk zijn

Het praktische gevolg van §32–33 is dat iedere Nederlandse wettelijke controle een expliciete, gedocumenteerde journaalpostentoets moet bevatten. Bij handmatige controles was dit historisch een beoordeling van een steekproef journaalposten. Bij datagedreven controles omvat het een systematische populatiebrede analyse van alle posten, wat effectiever is en expliciet wordt gesanctioneerd door de NBA Taskforce Datagedreven Controle en NBA Handreiking 1141.

2. Frauderisicoanalyse — NBA Handreiking 1153

NBA Handreiking 1153 (Frauderisicoanalyse, maart 2025) biedt actuele NBA-richtlijnen voor het uitvoeren van de frauderisicoanalyse als onderdeel van de algehele risico-inschatting op grond van NV COS 240 en NV COS 315. De handreiking is uitgebracht naar aanleiding van de eigen oorzakenanalyse van de NBA ("Fraude vraagt een meer kritische grondhouding") en het AFM-rapport "Scherper op frauderisico's!" (juni 2023), waaruit bleek dat Nederlandse accountants frauderisico's te generiek beoordeelden.

De fraudedriehoek

De handreiking structureert de frauderisicoidentificatie rondom de klassieke fraudedriehoek:

1. Gelegenheid: zwakten in de interne beheersingsomgeving die een gelegenheid voor fraude scheppen — afwezige of omzeilde functiescheiding, gebrek aan managementtoezicht, gebrekkige toegangsbeheersing in IT-systemen.
2. Motief / druk: prikkels of druk die individuen aanzetten tot fraude — financiële nood, beloningsstructuren gekoppeld aan gerapporteerde resultaten, hoge persoonlijke schulden, druk van geldschieters om convenant-ratio's te handhaven.
3. Rationalisering: attitudes of ethisch klimaat die individuen in staat stellen frauduleus gedrag te rechtvaardigen — management dat regels als flexibel beschouwt, een cultuur van "het doel heiligt de middelen", of eerdere onbehandelde integriteitsincidenten.

Frauderisicofactoren versus frauderisico's

De handreiking maakt een cruciaal onderscheid:

• Frauderisicofactoren: de omstandigheden, gebeurtenissen of condities die erop duiden dat er een frauderisico kan bestaan (elementen uit de fraudedriehoek hierboven).
• Frauderisico's: het specifieke risico van een materiële afwijking als gevolg van fraude. Een frauderisico moet specifiek zijn: het moet het rekeningsaldo of de transactieklasse noemen die risico loopt, de aard van de mogelijke afwijking (fictieve omzet, overgewaardeerde activa, ondergewaardeerde verplichtingen, etc.), en zijn toegesneden op de specifieke cliënt.

De accountant moet geïdentificeerde frauderisicofactoren omzetten in specifieke, op de cliënt toegesneden frauderisico's. Generieke uitspraken zoals "er bestaat altijd een risico van overschrijding door het management" zijn onvoldoende — de accountant moet documenteren welke vorm die overschrijding bij deze cliënt zou kunnen aannemen, in welke rekeninggebieden, en waarom.

Twee veronderstelde frauderisico's op grond van NV COS 240

Op grond van NV COS 240 §26 en §31 worden twee frauderisico's verondersteld in iedere controle aanwezig te zijn, tenzij zij specifiek kunnen worden weerlegd:

1. Omzetverantwoording: het risico dat omzet frauduleus te hoog wordt weergegeven via fictieve klanten, vervroegde verantwoording of channel stuffing. Dit vermoeden kan worden weerlegd als de accountant specifieke redenen documenteert waarom omzetmanipulatie voor deze entiteit onwaarschijnlijk is (bijv. een non-profitorganisatie met subsidie-inkomsten in plaats van commerciële verkopen).
2. Overschrijding van interne beheersingsmaatregelen door het management: dit risico is nooit weerlegbaar. Het is altijd aanwezig omdat het management per definitie de mogelijkheid en bevoegdheid heeft de beheersingsmaatregelen waarop de accountant anders zou steunen te omzeilen.

3. Journaalpostkenmerken die samenhangen met frauderisico

Op basis van NV COS 240 en praktijkrichtlijnen zijn de volgende kenmerken van journaalposten geassocieerd met een verhoogd frauderisico. De journaalpostentoets van de accountant dient deze patronen specifiek in de populatie te zoeken:

Boekingsattributen

• Ronde bedragen: verdacht ronde bedragen (€ 10.000, € 100.000) kunnen ramingen of verzonnen getallen aanduiden in plaats van transactiegebaseerde bedragen.
• Posten geboekt buiten normale kantooruren: journaalposten die 's avonds laat, in het weekend of op feestdagen zijn geboekt, vallen buiten de normale kantooruren en kunnen handmatige overschrijdingen zonder toezicht aanduiden.
• Posten geboekt in de laatste dagen van de verslagperiode: clustering van posten in de laatste 5–10 werkdagen van het boekjaar, met name posten die kernmaatstaven beïnvloeden (winst, solvabiliteitsratio's).
• Posten met uitzonderlijk korte of generieke omschrijvingen: omschrijvingen als "correctie," "memo," "diverse," "PM," of helemaal geen omschrijving bieden minder transparantie en vragen om nader onderzoek.
• Posten die eerdere periodevaststellingscorrecties terugboeken: systematisch terugboeken van per periodevaststellingsgeboekte posten kan erop wijzen dat de onderliggende boeking niet inhoudelijk onderbouwd was.

Rekeningcombinaties

• Posten met ongebruikelijke rekeningcombinaties: boekingen tussen rekeningen die normaal niet met elkaar in wisselwerking staan (bijv. een kasrekening als debet met als credit een reserverekening, waarbij de winst-en-verliesrekening wordt omzeild).
• Posten op rekeningen die in andere perioden zelden of nooit zijn gebruikt: activiteit op slapende rekeningen kan verberging aanduiden.
• Posten waarbij dezelfde rekening zowel aan de debet- als de creditzijde verschijnt (bij gesplitste posten): zelfdeals die netto tot nul leiden op rekeningniveau maar bedragen tussen subrekeningen verplaatsen.

Gebruikers- en autorisatieattributen

• Posten geboekt door gebruikers zonder normale boekingsrechten: systeembeheerders of IT-medewerkers die financiële posten boeken, of gebruikers die buiten hun normale functie boeken.
• Posten geboekt via tijdelijke of gedeelde gebruikersaccounts: omzeilt individuele verantwoording.
• Posten die niet aan enig brondocument zijn gekoppeld in de documentkoppelingsfunctionaliteit van het ERP-systeem (indien beschikbaar).

Periodevaststellings- en topside-correcties

• Topside-correcties (boventallige journaalposten): handmatige journaalposten aangebracht op consolidatie- of rapportageniveau die niet door de reguliere transactieverwerking van de entiteit lopen. Dit is een specifieke risicocategorie op grond van NV COS 240 omdat ze door het hogere management kunnen worden aangebracht en mogelijk niet zichtbaar zijn in de normale transactiehistorie van het ERP.

4. Data-analyse bij de journaalpostentoets — NBA Handreiking 1141

NBA Handreiking 1141 (Data-analyse bij de controle: uitdagingen en vooral kansen, 2019; praktijkcasus bijgewerkt september 2024) is het primaire NBA-richtlijndocument over de toepassing van data-analyse bij wettelijke controles. Het positioneert data-analyse op een spectrum:

• "Anders uitvoeren": data-tools gebruiken om bestaande controlewerkzaamheden efficiënter uit te voeren. Voorbeeld: in plaats van het selecteren van een steekproef van 25 journaalposten, het extraheren en filteren van alle 50.000 journaalposten in de populatie om elke post met een specifiek risicokenmerk (ronde bedragen, weekendboekingen) te identificeren, en de toetsing te richten op de risicorelevante deelpopulatie. Dit is effectiever dan steekproeven.
• "Andere dingen doen": controlewerkzaamheden van de grond af opnieuw ontwerpen rondom data-gestuurde inzichten. Voorbeeld: in plaats van afzonderlijke transacties te toetsen, een voorspellend model bouwen van verwachte saldi en afwijkingen boven een drempelwaarde onderzoeken.

NBA Handreiking 1141 benadrukt drie vereisten voordat een data-analyseresultaat als controle-informatie kan worden gebruikt:

1. Volledigheid en integriteit van de gegevens: de accountant moet bevestigen dat de uit het ERP of XAF-bestand geëxtraheerde gegevenspopulatie volledig is (alle posten zijn aanwezig) en niet in transit is gewijzigd. Doorgaans wordt dit gedaan door totalen uit het geëxtraheerde bestand aan te sluiten op controletotalen in het systeem (totaal debet gelijk aan totaal credit; beginsaldo + mutaties = eindsaldo).
2. Relevantie van de gegevens: bevestigen dat de gegevens de juiste periode, entiteit en grootboekafdelingen omvatten.
3. Nauwkeurigheid van de gegevens: steekproefsgewijze controle van geëxtraheerde posten aan de hand van de onderliggende brongegevens in het ERP.

Deze drie stappen worden gedocumenteerd als gegevensvalidatieprocedure en maken deel uit van de controle-informatie op grond van NV COS 500.

De praktijkcasus uit 2024 (gebaseerd op het fictieve bedrijf "Digi Jazz") werkt uit hoe journaalpostgegevens worden geëxtraheerd, gevalideerd, specifieke analyses worden uitgevoerd (dubbele transacties, ronde bedragen, weekendboekingen) en de resultaten en vervolgacties worden gedocumenteerd in het controledossier.

5. Statistische technieken — wet van Benford en uitbijterdetectie

Wet van Benford

De wet van Benford beschrijft de verwachte frequentieverdeling van het eerste significante cijfer in van nature voorkomende numerieke gegevenssets. In een grote populatie van rechtmatig geboekte financiële transacties begint circa 30,1% van de bedragen met het cijfer 1, 17,6% met het cijfer 2, 12,5% met het cijfer 3, enzovoort tot 4,6% met het cijfer 9. Dit patroon ontstaat door de multiplicatieve aard van de manier waarop reëelwereldse aantallen schalen.

Verzonnen getallen wijken doorgaans af van deze verdeling. Wanneer medewerkers bedragen bedenken (fictieve declaraties, ongeautoriseerde betalingen), kiezen zij de neiging psychologisch comfortabele getallen — vaak beginnend met de cijfers 5, 6, 7 — in plaats van het cijfer 1, dat domineert in van nature voorkomende gegevens. Een significante afwijking van de Benford-verdeling in een populatie journaalposten of transacties kan de populatie signaleren voor nader onderzoek.

Belangrijke beperking: de wet van Benford werkt het beste bij grote populaties vrij voorkomende getallen. Ze is minder zinvol voor structureel beperkte populaties — bijvoorbeeld alle transacties op een salarisrekening, waarbij bedragen clusteren in bekende loonschijalranges. De accountant dient te beoordelen of de Benford-toets geschikt is voor de specifieke populatie voordat het resultaat als risico-indicator wordt gebruikt.

Uitbijterdetectie

Uitbijterdetectie identificeert posten die statistisch ongebruikelijk zijn ten opzichte van de rest van de populatie — posten met bedragen, frequenties of rekening-attribuutcombinaties die ver buiten het normale bereik vallen. Veel gebruikte benaderingen:

• Z-score-analyse: posten met bedragen van meer dan twee of drie standaardafwijkingen van het gemiddelde voor hun rekening of periode
• Interkwartielafstandsmethode (IQR): posten buiten 1,5× de IQR van het bovenste of onderste kwartiel
• Tijdreeksanalyse: boekingsvolumes of -bedragen per periode (week, maand) vergelijken om ongebruikelijke pieken te identificeren

Uitbijterdetectie is een aanvulling op, niet een vervanging van, de in paragraaf 3 beschreven fraudekenmerkfiltering. Een uitbijter is niet per se frauduleus — het kan een eenmalige grote legitieme transactie zijn. De accountant dient elke uitbijter te vervolgen met navraag en/of ondersteunende controle-informatie.

Dubbele transactietoetsing

Dubbele transactietoetsing zoekt naar posten die identiek of nagenoeg identiek zijn op kernattributen: bedrag, leverancier/afnemer, datum, omschrijving en rekeningcombinatie. Bij crediteuren zijn dubbel betaalde facturen een veel voorkomende beheersingsmaatregeltekortkoming; bij journaalposten kunnen gedupliceerde grootboekposten wijzen op een systeemfout of opzettelijke dubbeltelling.

6. De CAAT-werkstroom in de praktijk

Een gestructureerde CAAT-gebaseerde journaalpostentoets in een Nederlandse mkb-controle volgt doorgaans deze stappen:

1. Extraheer de volledige populatie uit het ERP of XAF-bestand. Voor een Nederlandse entiteit is dit doorgaans het journaalpostenbestand uit Exact Online of AFAS, of de transactions-sectie van het XAF-bestand.
2. Valideer volledigheid en integriteit van de gegevens: totaal debet = totaal credit; beginsaldo + totale mutaties = eindsaldo per de proef-en-saldibalans; het aantal posten stemt overeen met het eigen rapport van het ERP.
3. Pas filters toe om posten met risicokenmerken te identificeren (zie paragraaf 3): ronde bedragen, weekend-/feestdagboekingen, jaareindconcentratie, ongebruikelijke rekeningcombinaties, ontbrekende omschrijvingen.
4. Voer de Benford-toets uit op de volledige populatie journaalpostbedragen (waar de populatiekenmerken dit ondersteunen).
5. Voer uitbijterdetectie uit op bedragverdelingen per rekening.
6. Voer de dubbele transactietoets uit op kernvelden.
7. Selecteer posten voor gedetailleerde toetsing: uit de gemarkeerde deelpopulaties wordt een risicogebaseerde deelset geselecteerd voor gedetailleerde toetsing — het verkrijgen en inspecteren van de onderliggende ondersteunende documentatie (facturen, goedkeuringen, notulen).
8. Documenteer de resultaten: leg de uitgevoerde werkzaamheden vast, de toegepaste filters, het aantal en de aard van gemarkeerde posten, de voor toetsing geselecteerde posten, de verkregen controle-informatie en de getrokken conclusies.
9. Concludeer: stel vast of de journaalpostentoets tot bevindingen heeft geleid die aanvullende werkzaamheden, correcties of vermelding in de controleverklaring vereisen.

Stap 9 is waar het professionele oordeel van de accountant werkzaam is. De data-analyse produceert kandidaten voor onderzoek — geen bevindingen op zich. De accountant beoordeelt elke kandidaat aan de hand van de ondersteunende controle-informatie en vormt een conclusie.

7. Fraudebevindingen en de controleverklaring

Als de journaalpostentoets aanwijzingen voor feitelijke of vermoedelijke fraude oplevert, wordt de reactie van de accountant geregeld door NV COS 240 §35–42: vaststellen of de fraude materieel is, communiceren met de met governance belaste personen, overwegen of melding aan toezichthouders noodzakelijk is, en de gevolgen voor het controle-oordeel evalueren.

Of fraude nu wel of niet wordt geïdentificeerd, de accountant moet de controleaanpak frauderisico's beschrijven in de controleverklaring in de paragraaf "Controleaanpak frauderisico's." NBA Handreiking 1150 (oktober 2022) biedt het stapsgewijze kader voor deze paragraaf, waaronder:

• Beschrijven van de specifiek geïdentificeerde frauderisico's
• Toelichten van de als reactie uitgevoerde werkzaamheden (inclusief de journaalpostentoets, indien uitgevoerd)
• De aanpak van de overschrijding van beheersingsmaatregelen door het management beschrijven
• Waar bevindingen zijn gedaan: deze in voldoende detail beschrijven zonder vertrouwelijkheid in gevaar te brengen

De fraudeparagraaf in de controleverklaring is een openbaar document. Accountants zijn verplicht hun werkelijke aanpak voor de specifieke cliënt te beschrijven — generieke, op sjablonen gebaseerde tekst voldoet niet aan NBA Handreiking 1150.

8. Professioneel-kritische instelling en menselijke verantwoordelijkheid

NBA Leidraad 2: AI Toegepast (juni 2026, gezamenlijk gepubliceerd door NBA Accounttech en NOREA) stelt expliciet dat AI-tools die bij de controle worden gebruikt nooit een "black box" mogen zijn — ze moeten transparant, reproduceerbaar en onderworpen aan menselijk toezicht zijn. De leidraad noemt fraudedetectie als legitiem toepassingsgebied voor AI in de accountantspraktijk.

De toezichtsverklaring van de AFM van november 2025 is ondubbelzinnig: "De accountant blijft eindverantwoordelijk" — de accountant blijft eindverantwoordelijk voor alle controle-conclusies, inclusief die waarbij data-analysetools kandidaten voor toetsing hebben aangedragen. De accountant kan dit oordeel niet delegeren aan welk geautomatiseerd systeem dan ook. Iedere uitkomst van een CAAT- of data-analyseoplossing is controle-informatie op grond van NV COS 500 — bewijs dat door de accountant wordt beoordeeld, geen conclusie op zich.

Bronnen

• NV COS 240 §26, §31, §32, §33, §35–42 (fraudenorm — verplichting journaalpostentoets)
• NV COS 315 (risico-inschatting, inclusief identificatie van frauderisicofactoren)
• NV COS 330 (reactie op risico's — ontwerpen van werkzaamheden voor frauderisico's)
• NV COS 500 (controle-informatie — CAAT-uitkomsten als controle-informatie)
• NV COS 520 (cijferanalyses — data-analyse als gegevensgerichte werkzaamheid)
• NBA Handreiking 1141 (Data-analyse bij de controle, 2019/2024)
• NBA Handreiking 1150 (Rapporteren fraude in controleverklaring, oktober 2022)
• NBA Handreiking 1153 (Frauderisicoanalyse, maart 2025)
• NBA Leidraad 2: AI Toegepast (juni 2026)
• AFM-rapport "Scherper op frauderisico's!" (juni 2023); AFM-verklaring november 2025
• docs/research-dutch-audit-standards.md (paragraaf 6 — AI/technologie in Nederlandse controles)