The ISA 500 Eagle has landed

Introductie

Wellicht ken je de uitdrukking wel: “The Eagle has landed” (de adelaar/arend is geland). Ooit sprak Neil Armstrong deze geruststellende woorden toen de succesvolle maanlanding een feit was (1969). In het dagelijkse leven wordt deze uitdrukking nog steeds gebruikt, bijvoorbeeld in de volgende situaties:

• Privé: je bent (na een lange en/of gevaarlijke reis) veilig aangekomen op de plek van bestemming;
• Zakelijk: na een lange periode van zweten en zwoegen is een klus eindelijk geklaard.

Ik moest hieraan denken in relatie tot de herziening van Standaard 500. We schrijven eind 2022 als de IAASB het consultatieproject start voor de gereviseerde (concept) Standaard 500. De herziening was onder andere nodig om de Standaard over Controlebewijs te actualiseren aan de voortgaande technologische ontwikkelingen. In totaal ontving de IAASB 70 comment letters. Deze brieven gaven een grote variatie in wensen en suggesties te zien vanuit verschillende perspectieven. Voor de één gingen vereisten niet ver genoeg (waaronder vanuit het perspectief van toezichthouders), voor de ander gingen vereisten veel te ver (waaronder vanuit het perspectief van praktijkaccountants). En de inkt van concept Standaard 500 was nog niet droog, of de ontwikkelingen op technologisch (AI) gebied kwamen in een stroomversnelling. Het heeft bij mijn weten niet eerder zo lang geduurd voor een voorgestelde concept Standaard definitief werd, en zelfs nu – anno 2026 – is de Standaard nog niet definitief. Maar…, de IAASB heeft inmiddels wel een ei gelegd, of beter gezegd drie eieren. Op 5 augustus jl. opende de IAASB een nieuwe consultatie waarin voorgestelde wijzigingen in Standaarden 330, 500, en 520 tegelijk ter consultatie worden voorgelegd. De arend lijkt eindelijk geland. Toch bekruipt mij een vraag: zal deze consultatie een zachte landing krijgen (zijn de stakeholders op hoofdlijnen tevreden met de nieuwe versie), of is het een opmaat naar een nieuwe fase van de Standaarden 330, 500, en 520? Het antwoord op deze vraag is lastig te voorspellen. In dit blog wil ik je stimuleren om eigen gedachten te ontwikkelen over de nieuwe concept Standaard 500.

Om je denkproces alvast wat input te geven heb ik enkele kernpunten opgenomen van wijzigingen in de nieuwe concept Standaard 500. Een vergelijking met het voorgaande concept van de 500 zou erg technisch worden, daarom zie ik van dat vergelijk af in dit blog.

Een nieuwe definitie van controlebewijs

De bestaande Standaard 500 verwijst voor een definitie van controle-informatie (als Nederlandse vertaling van het Engelse begrip ‘Audit evidence’) naar Standaard 200 paragraaf 13: “Controle-informatie is informatie die door de accountant wordt gebruikt om te komen tot de conclusies waarop deze een oordeel baseert”. De concept Standaard 500, paragraaf 8, (editie 2026) definieert controlebewijs als: “Information, after applying audit procedures, that the auditor uses to draw conclusions that form the basis for the auditor’s opinion and report”. Oppervlakkige lezing van beide definities laat niet zo geweldig veel verschil zien. Toch is er een subtiel verschil in de toevoeging van het tussenzinnetje ‘after applying audit procedures’. De concept Standaard 500 gaat uit van het zogenaamde input-output model. Je stopt iets in je controleplan (controle-informatie) en door het toepassen van controlewerk verandert die controle-informatie in controlebewijs. Controle-informatie als zodanig verschaft dus geen deugdelijke grondslag voor het accountantsoordeel. Pas als de accountant inhoudelijk werk heeft besteed aan die controle-informatie kan het een basis voor het accountantsoordeel vormen. Maar, there is one more thing, zou Steve Jobs gezegd kunnen hebben.

Intenties van de accountant

De accountant wordt in de concept Standaard 500 gevraagd vooraf na te denken over welke controle-informatie zal worden gebruikt als controlebewijs. Vereist is dat de accountant de relevantie en betrouwbaarheid van controle-informatie evalueert (paragraaf 11 van concept Standaard 500). Nu denk je misschien ‘wat is hier nieuw aan’? Ook dit is wat subtiel, maar in de huidige Standaard 500 wordt geen evaluatie (evaluate) gevraagd van de accountant, maar “slechts” overweging (consider). De nieuwe concept Standaard 500 is dus een beetje aangescherpt.

Naar aanleiding van de eerste conceptversie van Standaard 500 (2022) kwam een behoorlijk aantal stakeholders (voornamelijk uit de praktijkhoek) met bezorgdheid over de extra administratieve lasten van het vereiste om intenties ten aanzien van het gebruik van controle-informatie te documenteren. Niet alleen vanwege dit punt rezen bezwaren, maar ook vanuit het perspectief dat het niet altijd goed mogelijk is vooraf in te schatten welke controle-informatie als controlebewijs zal dienen. Dat inzicht ontstaat regelmatig pas gedurende de uitvoeringsfase van de controle. Daar komt het bezwaar nog bij dat bepaalde controle-informatie (zoals mondelinge toelichtingen) op zichzelf als controlebewijs zou moeten kunnen dienen, zonder dat de accountant per se controlewerk zou moeten besteden aan elke mondelinge informatie. De IAASB heeft in het vereiste rond het input-output model van controle-informatie naar controlebewijs wat meebewogen met de aangevoerde bezwaren. Het is niet meer vereist om controlewerk uit te voeren ten aanzien van elk controle-informatie-element, maar wel als de attributen van betrouwbaarheid als significant kwalificeren in het bereiken van de controledoelstellingen in een specifieke situatie.

Attributen relevantie en betrouwbaarheid

Bij het evalueren van de relevantie en betrouwbaarheid van controle-informatie is vereist dat de accountant attributen van betrouwbaarheid evalueert. In A-paragraaf 4 van de nieuwe concept Standaard 500 worden de volgende attributen van betrouwbaarheid onderscheiden:

• Nauwkeurigheid: “de informatie is vrij van fouten in haar weergave van de onderliggende condities, gebeurtenissen, omstandigheden, acties of passiviteit (inactions), inclusief het weergeven van de juiste tijdperiode of moment in de tijd die aan omstandigheden of gebeurtenissen wordt toegeschreven”.
• Volledigheid: “de informatie is een weergave van alle onderliggende condities, gebeurtenissen, omstandigheden, acties of passiviteit (inactions)”.
• Authenticiteit: “de informatie is gegenereerd door of verschaft door een bron die daarvoor is geautoriseerd, en de informatie is niet veranderd op een wijze die de informatie niet passend maakt voor de controle”.
• Afwezigheid van ‘bias’: “de informatie is vrij van voorgenomen en niet voorgenomen bias in haar weergave van onderliggende condities, gebeurtenissen, omstandigheden, acties of passiviteit”.
• Geloofwaardigheid: “de bron heeft de bekwaamheid (competence) en het vermogen (capability) om informatie te generen die voldoet aan een vereiste standaard en de bron kan worden vertrouwd”.

De huidige Standaard 500 vereist in paragraaf 9 dat de accountant een evaluatie [1] uitvoert van de volledigheid en nauwkeurigheid van de controle-informatie. De nieuwe concept Standaard bevat dus een uitbreiding van het beoordelen met de attributen: authenticiteit, vrij van bias, en geloofwaardigheid.

Informatiebron

Bij het evalueren van de relevantie en betrouwbaarheid van controle-informatie besteedt de accountant ook expliciete aandacht aan de informatiebron. Als zodanig is dat niet nieuw. Maar wel als bedacht wordt dat de informatiebronnen als gevolg van technologische ontwikkelingen meer gevarieerd zijn geworden. Bij het verzamelen van voldoende controlebewijs heeft de accountant baat bij het verzamelen van informatie uit meerdere, verschillende bronnen. Tegelijk wijst A-paragraaf 9 er op dat meer informatie geen compensatie kan bieden (vergeleken met de situatie waarin sprake is van het hanteren van één informatiebron) als sprake is van ‘armere’ kwaliteit van informatie. In A-paragraaf 22 staat vermeld dat van de accountant niet wordt vereist om uitputtend alle mogelijke informatiebronnen in de evaluatie te betrekken.

De A-paragrafen 29 tot en met 37 geven verdere richting aan het evalueren van de informatiebron, onder andere door het bekende onderscheid tussen intern gegenereerde informatie en externe controle-informatie [2]. Als zodanig bevatten deze A-paragrafen weinig nieuwe inzichten.

Je zou kunnen zeggen dat de nieuwe concept Standaard 500 van accountants meer professioneel-kritische instelling verwacht bij het evalueren van controle-informatie. In A-19 heeft de IAASB expliciet onderscheid in verschillende typen bias:

• Confirmation bias: meer gewicht toekennen aan controlebewijs dat een bewering bevestigt dan controlebewijs dat een bewering in twijfel trekt;
• Anchoring bias: initieel verkregen controlebewijs functioneert als een anker voor controlebewijs dat daarna verkregen wordt.
• Beschikbaarheidsbias: meer gewicht toekennen aan informatie die direct in de gedachten komt of afkomstig is van directer beschikbare of toegankelijke informatiebronnen.

Voor de meeste accountants zullen deze bias-vormen bekend voorkomen. Accountants die hiermee minder vertrouwd zijn verwijs ik graag naar het boek van de overleden Nobelprijswinnaar Daniel Kahneman (‘Thinking, fast and slow’). Mogelijk minder bekend is een vierde vorm van bias die IAASB introduceert in de concept Standaard 500: automation bias. Dit houdt zoveel in als dat teveel gewicht wordt toegekend aan of teveel wordt gesteund op output die afkomstig is uit geautomatiseerde systemen of informatie in digitale vorm zonder dat hierop passende controlewerkzaamheden worden verricht. In de eerdere consultatieperiode voor concept Standaard 500 (2022) was de roep om meer guidance ten aanzien van hoe om te gaan met de technologische ontwikkelingen in de controle luid en duidelijk. De IAASB heeft er voor gekozen om het onderwerp technologie niet zozeer in de vereisten of in de A-paragrafen te verwerken, maar vooral in een tweetal appendices:

• Appendix 3 bevat een beschrijving van factoren die relevant zijn bij inzet van technologisch gereedschap door de accountant (IAASB gebruikt een nieuwe term ‘technological tools’ (TT), voorheen gebruikte zij de term ‘automated tools and techniques’ (ATT). Dit omvat ook factoren zoals de mate van automatisering door de cliënt. Deze appendix bevat ook voorbeelden van evaluatie van relevantie en betrouwbaarheid van controlebewijs in relatie tot gebruik van technologisch gereedschap. Ook wordt stilgestaan bij wijzen waarop de accountant ‘automation bias’ kan mitigeren.
• Appendix 4 bevat verduidelijkingen ten aanzien van de vorm, beschikbaarheid, toegankelijkheid en begrijpelijkheid van controle-informatie waarvan de accountant de intentie heeft om deze als controlebewijs te gebruiken.

Cijferanalyses

In de commentaarbrieven bij de eerste concept Standaard 500 (2022) is, in het kader van technologische ontwikkelingen mede aandacht gevraagd voor het zogenaamde ‘full (entire) population testing’. In de nieuwe concept Standaard 500 (2026) komt dit onderwerp als volgt terug:

• Paragraaf 11 refereert aan Standaard 315 waar cijferanalyses kunnen worden ingezet als middel voor risico-inschatting. Daarbij wordt het voorbeeld gegeven van TT die een ‘entire population’ scant en op basis van criteria kan leiden tot identificatie van ongewone items. Paragraaf 11 bevestigt dat cijferanalyses tot controlebewijs kan leiden over items in de populatie die geen materieel risico op een afwijking van materieel belang vertegenwoordigen (laag risico populatie). Dit wordt bevestigd in paragraaf 3 van Appendix 2 (sampling). Tegelijk leidt paragraaf 7 in Appendix tot enige onduidelijkheid (wat mij betreft). Deze paragraaf begint met te stellen dat wanneer de accountant TT gebruikt om ongebruikelijke items of outliers te identificeren en te testen dit kan leiden tot controlebewijs voor die specifieke geteste items. Het kan echter niet leiden tot projectie van afwijkingen op de gehele populatie. Daarmee lijkt het te ontkrachten dat TT eerst gebruikt kunnen worden voor een uitspraak omtrent laag risico items, en daarna voldoende geschikt controlebewijs verkregen kan worden over specifiek geteste items met een hoger risico.
• A14: het gebruik van TT kan voorzien in meer overtuigend controlebewijs door het ondersteunen van de accountant in het toepassen van een controleprocedure op een volledige populatie of het meer effectief beheersen van het sampling risico.
• In A44 wordt erop gewezen dat als een populatie niet nauwkeurig of volledig is, zij niet kan dienen als geschikte basis voor het identificeren en inschatten van controlerisico’s.
• A84 vervolgt hierop dat als de populatie een geschikte basis is, dat deze kan dienen als vertrekpunt voor het testen van uitzonderingen.

Afsluitend

Ik heb in dit blog geprobeerd op hoofdlijnen een beeld te schetsen van de nieuwe concept Standaard 500. Ik nodig je bij dezen uit om te komen met eigen blogs, of met korte reacties op deze LinkedIn post. Samen helpen we elkaar verder. En denk er vooral ook aan om zelf een commentaarbrief bij IAASB in te dienen. Daarvoor heb je nog de tijd tot medio december 2026.

Prof. dr. Niels van Nieuw Amerongen RA
22 oktober 2026

Literatuur:

IAASB (2020a). Technology – Audit Documentation. Non-authoritative support material related to technology: audit documentation when using automated tools and techniques.

IAASB (2020b). Technology Frequently Asked Questions. Non-authoritative support material related to technology: Frequently Asked Questions (FAQ) – The use of automated tools and techniques when identifying and assessing risks of material misstatement in accordance with ISA 315 (revised 2019). November.

IAASB (2023). Non-authoritative support material related to technology: Frequently asked questions (FAQ) on investigating exceptions and relevance of performance materiality when using ATT. February.

IAASB (2022). Explanatory Memorandum. Exposure Draft. Proposed International Standard on Auditing 500 (Revised). Audit Evidence. October.

IAASB (2026). Explanatory Memorandum. Exposure Draft. Proposed International Standard on Auditing 500 (Revised). Audit Evidence. August.

[1] Ten aanzien van attributen van betrouwbaarheid is dus nu al in de huidige Standaard 500 evaluatie noodzakelijk (paragraaf 9), en kan niet worden volstaan met ‘overwegen’ (zoals dat wel gold ten aanzien van de relevantie en betrouwbaarheid zelf (paragraaf 7)).

[2] Nu controlecliënten meer AI (kunnen) gebruiken, neemt het belang van het onderscheid tussen intern gegenereerde controle-informatie en externe controle-informatie toe.

Foto Zeearend (Oostvaardersplassen, 8 september 2026, met een klein beetje hulp van ChatGTP).