Computercriminaliteit en accountant
MAB

Accountantscontrole
Wet- en regelgeving
EDP-auditing

Computercriminaliteit en
accountant
De invloed van verschijningsvormen van computercriminaliteit op
de accountantscontrole, o f.... wat de accountant kan en moet met
zoiets als computercriminaliteit
Mr. Drs. J.T. Olieman tietechniek heeft de vraag opgeworpen of mis­
bruik van de informatietechniek afdoende be­
perkt kan worden. Hiertoe heeft de minister
van Justitie in 1985 de Commissie Computer­
1 Inleiding
criminaliteit ingesteld, ook wel bekend onder
Per 1 maart 1993 is de Wet Computercrimina­ de naam: ‘Commissie Franken’.
liteit in werking getreden. Dit trekt de aandacht Hoewel de taakopdracht gericht was op de
van de accountant, niet alleen omdat compu­ toereikendheid van het strafrecht, is niet na­
tercriminaliteit invloed kan hebben op de ge­ gelaten nadruk te leggen op goede preven­
trouwheid van de jaarrekening, maar ook om­ tieve beveiliging van geautomatiseerde sys­
dat de accountant expliciet genoemd wordt in temen door de potentiële slachtoffers. Het
strafrecht kan slechts dienen als een sluitstuk
die Wet Computercriminaliteit.
op de bestrijding van (computer)criminaliteit.
Dit artikel gaat in op:
de totstandkoming en achtergronden van De commissie heeft in 1987 het rapport 'Infor­
matietechniek en Strafrecht’ uitgebracht. In dit
de Wet Computercriminaliteit;
- wat van de accountant verwacht mag wor­ rapport werd het belang van wetsaanpassinden, wanneer hij verschijningsvormen van gen beargumenteerd, naast verdere sugges­
ties om de kwaliteit van de beveiliging in be­
computercriminaliteit tegenkomt;
hoe aandacht voor computercriminaliteit in­ drijven en instellingen te verbeteren en de
gepast kan worden in de accountantscon­ aangiftebereidheid2 te vergroten. In het rap­
port is de principiële keuze gemaakt om het
trole.
arrest van het Gerechtshof van Arnhem van
27 oktober 1983 (NJ 1984, 80) niet te volgen.
 2 De totstandkoming en achtergronden van Dit houdt in dat ‘gegevens’ als wezenlijk ver­
schillend gezien worden als ‘goederen’. Door
de Wet Computercriminaliteit
deze principiële keuze was de noodzaak voor
Wie de Wet Computercriminaliteit in het wet­ een ingrijpende wetsaanpassing geboren.
boek probeert op te zoeken, komt bedrogen Op 16 mei 1990 is het wetsontwerp computer­
uit. De Wet Computercriminaliteit bestaat na­ criminaliteit (Kamerstukken II 1991-1992, 21
melijk uit een aantal aanpassingen van het 551, nr. 2) ingediend. Ruim twee jaren is het
Wetboek van Strafrecht (WvS) (materieel straf­
recht), het Wetboek van Strafvordering (for­
Mr. Drs. J.T. Olieman was jurist, econoom en register­
meel strafrecht),1 de Wet Telecommunicatie­ accountant.
Zijn jonge leven werd geteisterd door
voorzieningen en het Burgerlijk Wetboek (BW). twee zeer'ernstige
ziekten. Hij overleed op 18 juni
De voortschrijdende toepassing van informa­ 1994.
november 1994

617

MAB
wetsontwerp in behandeling geweest. De wet
is onder de naam ‘Wet van 23 december 1992'
op 1 maart 1993 in werking getreden (Staats­
blad 1993 33).
De Wet Computercriminaliteit bevat wetsaanpassingen die erop gericht zijn om meer ver­
schijningsvormen van computermisbruik straf­
baar te maken en de opsporing en het
vergaren van bewijs te vergemakkelijken.
Voor de accountant is een aantal van deze
wetsaanpassingen van belang en wel in het
bijzonder de eis van art. 2:393 lid 4 BW: De
accountant wordt verplicht om na uitvoering
van de jaarrekeningcontrole in het verslag aan
de raad van commissarissen en het bestuur
tenminste melding te maken van zijn bevin­
dingen met betrekking tot de betrouwbaarheid
en continuïteit van de geautomatiseerde ge­
gevensverwerking.
 Dit wetsartikel heeft slechts indirect iets te
maken met computercriminaliteit. Het is name­
lijk een flauw aftreksel van de aanzet van de
Commissie Franken om drempels op te wer­
pen tegen nonchalance ten aanzien van de
beveiliging van gegevensstromen. Bij deze
aanzet zouden zeer complexe regels gesteld
moeten worden aan rechtspersonen. Een tot
in details uitgewerkte regeling zou onhandel­
baar worden. Daarom is bij de voorstellen ge­
dacht aan de volgende varianten:
1 Een oordeel van de accountant in het ka­
der van de jaarrekeningcontrole omtrent de
beveiliging van de geautomatiseerde gege­
vensverwerkende systemen.
2 Een oordeel van een deskundige (accoun­
tant of EDP-auditor) met betrekking tot de
betrouwbaarheid en continuïteit van de ge­
automatiseerde gegevensverwerking.
3 De verklaring over de betrouwbaarheid en
continuïteit van de geautomatiseerde gege­
vensverwerking wordt door de directie op­
genomen in het jaarverslag van de onder­
neming. Over die verklaring dient de
accountant zich uit te laten.
den om de belangen aan te geven die kunnen
worden geschaad door de toenemende afhan­
kelijkheid van de geautomatiseerde gegevens­
verwerking en de daaruit voortvloeiende kwets­
baarheid. Daarom zijn hier de termen
betrouwbaarheid en continuïteit gebruikt.3
Gekozen is voor de derde variant met het ar­
gument dat daarmee tot uitdrukking wordt
gebracht dat de verantwoordelijkheid voor de
mate en kwaliteit van beveiliging bij de direc­
tie van de vennootschap ligt.
 De commissie had de begrippen betrouwbaar­
heid en continuïteit als volgt gedefinieerd:
betrouwbaarheid is een redelijke zekerheid dat
de verwerking van gegevens juist, volledig, tij­
dig en op geoorloofde wijze geschiedt en con­
tinuïteit is een redelijke zekerheid dat de ge­
gevensverwerking ongestoord voortgang zal
kunnen vinden, dat wil zeggen ook na ernsti­
ge storingen binnen redelijke termijnen kan
worden hervat. De minister van Justitie bena­
drukt in de nota naar aanleiding van het eind­
verslag het feit dat onder betrouwbaarheid van
het systeem eveneens (toegangs-)beveiliging
moet worden begrepen.
Ongeacht of het vaktechnisch gezien verant­
woord zou zijn verdergaande eisen te stellen
dan nu in art. 2:393 lid 4 BW is gedaan, is het
van belang te weten dat de wetgever wel de­
gelijk aan andere varianten gedacht heeft.
De begrippen betrouwbaarheid en continuïteit
sluiten niet direct aan op het begrip compu­
tercriminaliteit. Daarom is het wellicht van be­
lang om eens nader te kijken naar de verschij­
ningsvormen waarin computercriminaliteit zich
kan voordoen.
3 Confrontatie m et verschijningsvorm en
van com putercriminaliteit

Voor de accountant is bij een nieuw begrip als
'computercriminaliteit’ de verschijningsvorm
van belang, omdat elke vorm z’n eigen aan­
pak vereist. Elke aanpak kan vertaald worden
naar werkzaamheden die de accountant reeds
Termen als beschikbaarheid, integriteit en ex­ kent. Zo zal blijken dat er voor de accountant
clusiviteit waren reeds gebruikt als trefwoor­ niets nieuws onder de zon is.
618

november 1994

MAB
In de Wet Computercriminaliteit wordt een aan­
tal nieuwe delicten aan het Wetboek van Straf­
recht toegevoegd:4
- misdrijven tegen de veiligheid van de staat
(art. 98 en 98a WvS);
- computervredebreuk (art. 138a WvS);
- aftappen van gegevens (art. 139a-e en 441
WvS);
' '
- opzettelijke vernieling van computers e.d.
 (art. 161 sexies WvS);
- schuld aan vernieling van computers (art.
161 septies WvS);
- vervalsing betaalpassen e.d. (art. 232 WvS);
- ‘diefstal’ van geautomatiseerde diensten
(art. 326c WvS);
- toebrengen van schade aan computerge­
gevens (art. 350a en b WvS).
De toevoeging van de nieuwe delicten is een
aanscherping van de strafbaarstelling alleen
op punten waar het materiële strafrecht1 on­
toereikend werd geacht. De opsomming van
nieuwe delicten geeft voor de accountant daar­
om geen systematisch overzicht van de ver­
schijningsvormen van computercriminaliteit.
Trouwens, de strafbaarheid van (computer)misbruik is voor een strafrechtjurist meer inte­
ressant dan voor een accountant.
Om de verschijningsvormen van computercri­
minaliteit te inventariseren gaat mijn voorkeur
uit naar de categorisering van de Raad van
Europa, die ook door Charbon en Kaspersen
(1990) gebruikt wordt. Deze categorisering ziet
er als volgt uit:
1 computer-gerelateerde fraude;
2 computer-gerelateerde valsheden;
3 toebrengen van schade aan (waaronder
wijzigen van) computergegevens en -pro­
gramma’s;
4 computersabotage;
5 onbevoegde toegang;
6 softwarepiraterij waaronder het onbevoegd
gebruik van beschermde programma’s;
7 onbevoegd onderscheppen van computer­
gegevens;
8 chips-piraterij;
9 computerspionage;
10 ‘diefstal’ van geautomatiseerde diensten.
november 1994

Deze categorisering zal nader worden uitge­
werkt voor toepassing in de accountantspraktijk. Bij deze indeling wordt ingegaan op de
gevolgen van computercriminaliteit voor de
cliënt en welke handelingen van de accoun­
tant in zijn algemene functie verwacht mogen
worden.
 Ad. 1-2 Computer-gerelateerde fraude en
valsheden
Deze beide verschijningsvormen van compu­
tercriminaliteit worden samen behandeld, om­
dat zij zeer verweven zijn. Met de term valshe­
den wordt bedoeld dat er toevoegingen of
wijzigingen in verzamelingen van samenhan­
gende gegevens worden aangebracht, waar­
bij het de bedoeling is dat die gegevens door
anderen als echt worden beschouwd. Bij het
wijzigen van een saldo in een cliëntenbestand
zal eerder valsheid (in geschrifte) bewezen
kunnen worden dan bij het willekeurig invoe­
ren van onjuiste gegevens.
Bij fraude gaan vaak andere vormen van com­
putercriminaliteit vooraf, zoals valsheden, het
toebrengen van schade aan computergege­
vens of -programma’s. Computer-gerelateerde
valsheden kunnen tot doel hebben fraude
mogelijk te maken, maar kunnen ook gericht
zijn op het vervalsen of verwijderen van bewij­
zen van fraude. Voor de cliënt zal het gevolg
veelal financiële schade zijn.
De accountant zal net zo handelen als bij an­
dere verschijningsvormen van fraude. De frauderichtlijn kan hierbij als leidraad dienen.
Ad. 3 Het toebrengen van schade aan
(waaronder wijzigen van) computergegevens
en programma ’s
Bij het toebrengen van schade aan computer­
gegevens en -programma’s wordt voorname­
lijk gedacht aan virussen,5 Trojaanse paarden,6
logische bommen7en wormen.8 Aantasting van
gegevens door middel van fysieke storingen,
bijvoorbeeld elektromagnetische storing of
brand wordt wél genoemd, maar verder niet
uitgewerkt, mede omdat dit weinig specifiek
is voor computers.
Afgezien van de wijze waarop de schade wordt
619

MAB
toegebracht, zal deze verschijningsvorm van
computercriminaliteit voor de cliënt veelal uit­
monden in financiële schade die veroorzaakt
is door stagnering in de verwerking van com­
putergegevens of foute verwerking ervan.
De accountant beoordeelt de hoogte van deze
financiële schade.
uitvoering van de jaarrekeningcontrole minder
te maken met strafbaarheid. Hij heeft te ma­
ken met de (mogelijke) schade van computer­
vredebreuk.
 De accountant zal de schaderisico’s nader
onderzoeken en mogelijk adviezen uitbrengen
met betrekking tot de toegangsbeveiliging van
het geautomatiseerde systeem, in de vorm van
Ad. 4 Computersabotage
organisatorische maatregelen en procedures
Onder computersabotage verstaan Charbon met betrekking tot administratieve organisatie
en Kaspersen (1990) uitsluitend sabotage door en de daarmee verband houdende interne
middel van ‘logische middelen’.9
controle.
Het risico van discontinuïteit speelt ook bij fy­
sieke sabotage. Het onderscheid tussen com­ Ad. 6 Softwarepiraterij waaronder het onbe­
putersabotage door middel van logische mid­ voegd gebruik van beschermde programma's
delen en fysieke sabotage is voor de accoun­ Softwarepiraterij is volgens Charbon en Kas­
tant minder relevant.
persen (1990) het illegaal verveelvoudigen,
Het verschil tussen computersabotage en het verspreiden of aan het publiek ter beschikking
toebrengen van schade aan (waaronder wijzi­ stellen van (auteursrechtelijk) beschermde
gen van) computergegevens en -programma’s computerprogramma’s. Indien de accountant
is dat bij computersabotage het systeem als constateert dat het bedrijf van zijn cliënt een
geheel niet meer kan worden gebruikt.
dergelijke (neven)activiteit uitoefent, is de han­
Ook bij computersabotage zullen de gevolgen delwijze conform de frauderichtlijn. Bij inbreu­
voor de cliënt veelal bestaan uit financiële ken op het auteursrecht is het voor te stellen
schade.
dat rechthebbenden claims indienen.
De accountant beoordeelt de hoogte en ma- Daarnaast kan er sprake zijn van illegaal ge­
terialiteit van deze financiële schade.
bruik van software, dat wil zeggen dat deze
software is verkregen zonder toestemming van
Ad. 5 Onbevoegde toegang
de maker of de officiële distributeur van de
Onder onbevoegde toegang verstaan Charbon software. Of gewerkt wordt met legale soft­
en Kaspersen (1990) het onbevoegd binnen­ ware-pakketten is vast te stellen aan de hand
dringen in een computersysteem of -netwerk van de gelduitgang (betalingen). Indien de
(computervredebreuk).
 accountant constateert dat de (juiste) beta­
De mogelijkheid dat onbevoegden toegang tot ling ontbreekt, zal hij in eerste instantie zijn
het geautomatiseerde systeem kunnen verkrij­ cliënt hiervan op de hoogte stellen. Het risico
gen geeft schaderisico’s voor de cliënt.
bestaat dat de licentiehouder een claim in­
De Wet Computercriminaliteit stelt computer­ dient. Dat risico kan invloed hebben op de li­
vredebreuk strafbaar indien daarbij enige be­ quiditeit en solvabiliteit van de jaarrekening.
veiliging doorbroken wordt of toegang verwor­ Aanvullend kan hier op verzoek van de cliënt
ven wordt door een technische ingreep, met nader onderzoek verricht worden in de vorm
behulp van valse signalen of een valse sleutel van een bijzondere opdracht (zie ook Hoofd­
dan wel door het aannemen van een valse stuk 4).
hoedanigheid. Wat onder ‘enige beveiliging’,
‘valse signalen, sleutel of hoedanigheid' ver­ Ad. 7 Onbevoegd onderscheppen van
staan wordt, zal de voortgaande jurispruden­ computergegevens
tie hierover moeten uitwijzen. De toelichting Bij onbevoegd onderscheppen van computer­
van de minister van Justitie kan hier onmoge­ gegevens is in feite sprake van afluistering van
lijk in vooruitzien. De accountant heeft bij de datacommunicatie. Indien de cliënt gevoelige
620

november 1994

MAB
informatie tussen verschillende systemen uit­
wisselt, ligt het binnen het kader van de na­
tuurlijke adviesfunctie van de accountant om
te adviseren deze informatie te beveiligen door
middel van versleuteling (encryptie).
 Ad. 8 Chips-piraterij
Chips-piraterij is het illegaal kopiëren, exploi­
teren of importeren van een beschermd(e to­
pografie van een) halfgeleiderprodukt. Be­
scherming geschiedt op basis van art. 2 van
de Chipswet (Wet inhoudende regelen inzake
de bescherming van oorspronkelijke topografieën van halfgeleiderprodukten). Bescherming
kan echter tegenover derden alleen
worden uitgeoefend, nadat de topografie is
gedeponeerd en ingeschreven bij het Bureau
industriële eigendommen te Rijswijk. Van deze
beschermingsmogelijkheid wordt nagenoeg
geen gebruik gemaakt. De enige relevante
chipsproducent in Nederland bewaart de topografieën in eigen beheer. Andere vormen
van chips-piraterij zijn juridisch nagenoeg
ongrijpbaar.10
De bijdrage van de accountant bij deze ver­
schijningsvorm van computercriminaliteit zou
ik als minder relevant willen bestempelen.
Ad. 9 Computerspionage"
In verband met computerspionage merken
Charbon en Kaspersen (1990) op dat compu­
terspionage gewone spionage is, met dien
verstande dat de informatie waarvan iemand
onbevoegd kennis neemt, is opgeslagen in een
computersysteem. Beveiliging tegen compu­
terspionage kan plaatsvinden op dezelfde wij­
ze als bij beveiliging tegen het onderschep­
pen van computergegevens, namelijk, door
middel van het versleutelen van informatie.
Specifiek voor de overheid is de invoering van
art. 98/98a/98b WvS met betrekking tot mis­
drijven tegen de veiligheid van de staat.
De procedure voor de accountant komt over­
een met die van het onderscheppen van com­
putergegevens. Ook adviezen met betrekking
tot beveiliging tegen onbevoegde toegang
kunnen van belang zijn.
november 1994

Ad. 10 ‘Diefstal’ van geautomatiseerde
diensten
Charbon en Kaspersen (1990) verstaan onder
‘diefstal’ van geautomatiseerde diensten het
zonder vergoeding gebruik maken van geau­
tomatiseerde dienstverlening12 door manipu­
latie van toegangsmiddelen.
 De accountant zal de schaderisico’s nader
onderzoeken en zal desgewenst adviezen uit­
brengen met betrekking tot de toegangsbeveiliging tot de geautomatiseerde dienst, in de
vorm van organisatorische maatregelen en
procedures met betrekking tot administratie­
ve organisatie en de daarmee verband hou­
dende interne controle. Deze maatregelen en
procedures moeten wel gezien worden in het
licht van technische mogelijkheden en eco­
nomische relevantie (kosten/baten).
De inhoud van paragraaf 3 is samengevat in
Tabel 1 (zie pag. 622).
4 Hoe kan de aandacht voor computer­
criminaliteit ingepast worden in de
accountantscontrole?

Om de aandacht voor computercriminaliteit in
te passen in de accountantscontrole zijn de
belangrijkste punten het definiëren van de op­
dracht en de rapporteringsvorm.
Definiëring van de opdracht
De accountant stelt voor de jaarrekeningcontrole vooraf vast welke onderdelen van de ge­
automatiseerde informatieverwerking materiële
invloed kunnen hebben op de jaarrekening.
 Voor verdergaande wensen van de cliënt heeft
de accountant voorkeur voor het verkrijgen van
een bijzondere opdracht. Met de cliënt stelt
de accountant vooraf vast aan welke verschij­
ningsvormen van computercriminaliteit in wel­
ke onderdelen van de geautomatiseerde in­
formatieverwerking aandacht besteed moet
worden. Dit kan uiteenlopen van nadruk op
bepaalde te verwachten verschijningsvormen
van computercriminaliteit tot het testen van het
toegangspad (‘hacken’ op verzoek). Indien de
621

Tabel 1: Categorisering van het begrip ‘computercriminaliteit’, de aansluiting met de Neder­
landse wetgeving, de gevolgen van de onderscheiden verschijningsvormen van computercri­
minaliteit voor de cliënt en wat van de accountant verwacht mag worden
Indeling naar de categorisering van de
Raad van Europa (gevolgd door Charbon/Kaspersen)

Wet

Gevolgen voor
de cliënt

Handelingen van
de accountant

1-2 Computer-gerelateerde
en valsheden

art. 225 WvS
art. 232 WvS

(Financiële)
schade

Hanteren frauderichtlijn

fraude

3

Toebrengen van schade aan
(w.o. wijzigen van) computerge­
gevens en -programma’s

art. 350 a-b
WvS

(Financiële)
schade

Beoordelen
schade van
discontinuïteit

4

Computersabotage

art. 161 sexiessenties WvS

(Financiële)
schade

Beoordelen
schade van
discontinuïteit

5

Onbevoegde toegang

art. 138 a WvS

Schade risico's

Advies m.b.t.
AO/IC beveili­
ging + RE

6

Software piraterij: onbevoegd
gebruik maken van beschermde
programma’s

Auteurswet

Risico van
claims

7

Onbevoegd onderscheppen van
computergegevens

art. 139 a-e en
art. 441 WvS

Schade risico’s

8

Chips-piraterij

Chipswet, Au­
teurswet

Niet van toe­
passing

Frauderichtlijn en
waardering soft­
ware en mogelij­
ke claims
Advies versleute­
len computerge­
gevens + RE
Geen handelin­
gen

9

Computerspionage

Overheid: ark
98-98b WvS

Financiële
schade

Advies versleute­
len computerge­
gevens + RE

10

'Diefstal' van geautomatiseerde
diensten

art. 326c WvS

Financiële
schade

Advies m.b.t.
 AO/IC beveili­
ging + RE

Toelichting
RE = het inschakelen van een Register EDP-auditor, indien de deskundigheid van de accountant
tekort schiet.13
= de onderstreepte wetsartikelen in de tweede kolom hebben betrekking op de Wet computer­
criminaliteit.
622

november 1994

deskundigheid van de accountant tekortschiet,
is het raadzaam extra EDP-deskundigheid in
te huren. De verwachtingen die leven bij de
cliënt kan de accountant kanaliseren door zijn
taken en de reikwijdte van zijn werkzaamhe­
den afdoende af te bakenen in zijn opdracht­
bevestiging. Het kanaliseren van de verwach­
tingen kan versterkt worden door een duidelijk
onderscheid te maken tussen wat de accoun­
tant ziet als algemene opdracht en bijzondere
opdracht. Binnen het kader van de bijzondere
opdracht kan de accountant komen tot maat­
werk. Voor de opdrachtgever is het van be­
lang om zich bewust te zijn van wat valt onder
de wettelijke controleplicht en waar specifiek
maatwerk vereist is in verband met de risico's
van computercriminaliteit. Extra duidelijkheid
over de diepte en strekking van de controle
kan nooit kwaad.
Indien daarbij ook de verantwoordelijkheid van
de cliënt voor het vóórkomen en het voorkó­
men van computercriminaliteit benadrukt
wordt, is het risico van beroepsaansprakelijk­
heid voor de accountant te verkleinen.
De Wet Computercriminaliteit geldt niet expli­
ciet voor de overheid, maar net zoals Boek 2
BW analoog wordt toegepast, zal binnen de
overheidsaccountancy aandacht besteed wor­
den aan verschijningsvormen van computercri­
minaliteit. De onafhankelijkheid van de over­
heidsaccountant wordt voornamelijk gewaar­
borgd door de (hoge) plaats in de organisa­
tiestructuur. Er is geen sprake van een op­
drachtbevestiging als zodanig. De jaarplannen
van de overheidsaccountantsdiensten kunnen
dienen als medium voor de opdrachtbevesti­
ging.
 Rapporteringsvorm
Na afronding van de (controle)werkzaamheden
zal de accountant rapporteren over zijn be­
vindingen omtrent computercriminaliteit. Aan
het bestuur en raad van commissarissen van
de betreffende onderneming of instelling zal
hij veelal rapporteren in de vorm van een ma­
nagementletter. Dit zou te verwachten zijn,
gezien de aandacht voor computercriminali­
november 1994

teit in de vorm van een wet. Maar zoals reeds
besproken is in Hoofdstuk 2 verlangt de Wet
Computercriminaliteit geen melding van bevin­
dingen van computercriminaliteit, maar van de
bevindingen van de accountant met betrek­
king tot de betrouwbaarheid en continuïteit van
de geautomatiseerde gegevensverwerking.
Hierbij is ogenschijnlijk een kwaliteitseis van
het geautomatiseerde systeem binnen de jaarrekeningcontrole gehaald. Dit lijkt op meer
werk voor de accountant. De minister van Jus­
titie geeft echter duidelijk aan dat de accoun­
tant bij de jaarrekeningcontrole in aanraking
komt met de administratieve organisatie en de
interne controle van de onderneming (nota
naar aanleiding van het eindverslag, Kamer­
stukken II 1989-1992, 21 551 nr. 11 p. 16).
 Langs die weg zal hij ook de geautomatiseer­
de gegevensverwerking onderzoeken, voor
zover dat noodzakelijk is voor de jaarrekening­
controle. Voor zover er dan bijzonderheden
blijken, zullen deze moeten worden vermeld
in het verslag. Zijn er geen bevindingen dan
wordt dat vermeld. Of er dan gepaste actie
ondernomen wordt is verder aan het bestuur
en/of de raad van commissarissen. De minis­
ter van Justitie stelt vervolgens duidelijk dat
het onderzoek van de jaarrekening op zich­
zelf niet gericht is op de betrouwbaarheid en
continuïteit van de geautomatiseerde gege­
vensverwerking. Het onderzoek naar de jaar­
rekening kan daarom onvoldoende materiaal
opleveren. De accountant kan dat in het ka­
der van de bevindingen vermelden. Wettelijk
verplicht is die vermelding niet eens. Een vol­
komen onderzoek naar de betrouwbaarheid en
continuïteit van het geautomatiseerde systeem
wordt absoluut niet geëist. De Wet Computer­
criminaliteit verwacht niets méér van de ac­
countant dan wat van een goede accountant
verwacht mag worden.
Richting het maatschappelijk verkeer kan de
accountant rapporteren in de vorm van een
mededeling of verklaring. Voor rapportering
aan het maatschappelijke verkeer en voor bij­
zondere opdrachten zijn geen specifieke wet­
telijke eisen gesteld.
623

MAB
Conclusies

Literatuur

Charbon, H.W.K. Kaspersen (1990), Computercrimina­
Aandacht voor computercriminaliteit levert F.H. liteit
in Nederland, Den Haag: Stichting Beheer Platform
voor de accountant op zich geen nieuw soort
Computercriminaliteit.
handelingen op, aangezien hij dit kan verta­ Commissie Computercriminaliteit (1987), Informatietech­
niek en strafrecht.
len naar handelingen die hij reeds kent.
Centrale
Recherche Informatiedienst, sectie Computercri­
Van de accountant mag verwacht worden dat
minaliteit
Computervirussen, Den Haag.
 hij bij zijn jaarrekeningcontrole terloops gecon­ NIVRA (1982),(1991),
Automatisering en controle deel IV. Medede­
stateerde verschijningsvormen van computer­
lingen door de accountant met betrekking tot de be­
trouwbaarheid en continuïteit van geautomatiseerde
criminaliteit (met name die met materiële finan­
informatieverwerking, NIVRA-geschrift 26.
ciële consequenties) zal onderzoeken of zal NIVRA
(1989), Automatisering en controle VII. Kwaliteitsoor­
laten onderzoeken.
delen over informatievoorziening, NIVRA-geschrift 53.
De opdrachtbevestiging is een belangrijk in­ Wetsontwerp Computercriminaliteit, Kamerstukken II 1989­
21 551 nr. 1 t/m 13.
strument om de verantwoordelijkheden voor de Wet 1992,
Computercriminaliteit, Staatsblad 1993 33.
accountant met betrekking tot computercrimi­
naliteit te verduidelijken, de verwachtingen
van de cliënt te kanaliseren en het risico van Noten
beroepsaansprakelijkheid te beperken.
De Wet Computercriminaliteit heeft voor de
1 Materieel strafrecht stelt wat strafbaar is; formeel straf­
accountant de extra wettelijke eis ingesteld, recht
de strafvordering.
om aan zijn cliënt te rapporteren indien hij bij 2 Om regelt
de aangiftebereidheid te vergroten is op instigatie
zijn controle van de jaarrekening bevindingen van de Commissie Computercriminaliteit (1987 p. 101) het
heeft die gaan over de betrouwbaarheid en Platform Computercriminaliteit in het leven geroepen, waar
een geanonimiseerde vorm van aangifte gedaan kan
continuïteit van de geautomatiseerde gege­ worden.
vensverwerking.
3 Trouwens is dit volledig in overeenstemming met de
In feite wordt de accountant wettelijk verplicht terminologie
die bij het NIVRA gebruikelijk is/was: NIVRAte rapporteren over bevindingen die hij gedaan geschrift 26 was van 1982; het rapport van de Commissie
is gedateerd op april 1987 en NIVRA-geschrift 53
heeft in het kader van de jaarrekeningcontro­ isFranken
van 1989.
le.
4 Voor de exacte formulering van de delicten wordt verwe­
Heeft een accountant delen van de automati­ zen naar de wettekst (Stb. 1993 33).
 Een virus is een (klein) programma dat in een ander
sering niet in de jaarrekeningcontrole meege­ 5programma
geplaatst (of in enkele gevallen in eerste
nomen, omdat dat buiten het kader van zijn aanleg geheelwordt
op zichzelf staat) en dat vervolgens in staat
onderzoek valt, dan kan hij daarover geen is om een kopie van zichzelf in een ander programma of op
bevindingen hebben. Rapporteren over iets een andere schijf te plaatsen. Een virus brengt in het
beschadigingen aan in bestanden, programma’s
wat buiten de controle-opdracht valt, is uiter­ algemeen
of
kan
ze
zelfs
aard niet verplicht. Een goede accountant is sen (1990) p. 55).volledig wissen. (Bron: Charbon en Kasper­
reeds gewend aan zijn cliënt te rapporteren 6 Een Trojaans paard is een (onbevoegde) programmamanipulatie waarbij instructies worden toegevoegd aan een
over zijn bevindingen.
computerprogramma,
die andere activiteiten initiëren dan
Er is niets nieuws onder de zon.
die waartoe het programma door de gebruiker in werking
Indien de opdrachtgever wil dat de accoun­ wordt gesteld. Een Trojaans paard kopieert zichzelf niet en
tant meer onderzoek verricht dan (volgens de plaatst zich niet in een ander programma. (Bron: Charbon
Kaspersen (1990) p. 55).
Wet Computercriminaliteit) wettelijk vereist is, en
7
Een
bom is een programma, onbevoegd inge­
heeft de accountant voorkeur dat dit kan ge­ bouwd logische
in een geautomatiseerd systeem, dat op een be­
schieden in de vorm van een bijzondere op­ paald moment, bij een bepaalde gebeurtenis, of op gere­
dracht, die losstaat van de algemene jaarre­ gelde tijdstippen, een bepaalde actie uitvoert. Een
logische bom kopieert zichzelf niet en is in feite een Tro­
keningcontrole. Op deze wijze is binnen het jaans
paard dat alleen bij een bepaalde conditie in wer­
kader van de bijzondere opdracht maatwerk king treedt.
(Bron: Charbon en Kaspersen (1990) p. 55).
mogelijk.
 8 Een worm is een programma dat zichzelf kopieert, zonder
624

november 1994

hulp van buitenaf en dat in principe geen verdere
(vernietigings)instructies bevat. Door de verspreiding neemt
het na verloop van tijd dermate veel capaciteit in beslag dat
het geautomatiseerde systeem niet meer behoorlijk kan
functioneren, of in ieder geval ernstig wordt vertraagd.
(Bron: Charbon en Kaspersen (1990) p. 55).
9 Onder sabotage door middel van 'logische' middelen
wordt sabotage verstaan door middel van manipulaties van
computergegevens en/of -programma’s.
10 Gedoeld wordt op ‘reverse engineering’, het aan de hand
van de chip zelf het ontwerp terugontwikkelen, hetgeen veel
in Zuid-oost Azië plaatsvindt.
11 Bij het Platform Computercriminaliteit worden dezelfde
verschijningsvormen van computercriminaliteit onderschei­
den als bij Charbon en Kaspersen (1990), behalve de

november 1994

verschijningsvorm ‘computerspionage’ (Centrale Recher­
che Informatiedienst (1991) p. 10).
12 Voorbeelden hiervan zijn:
- het manipuleren van autotelefoons, zodanig dat ge­
sprekskosten aan een derde in rekening worden ge­
bracht;
- inbreken in een Viditelsysteem of
- het, op kosten van een ander, gebruik maken van de
functies van een computersysteem (bijvoorbeeld
databanken).(Bron: Charbon en Kaspersen (1990)
p. 122).
13 De Register EDP-auditor van NOREA wordt hier be­
doeld, mede omdat NOREA erkend is door het NIVRA als
toonaangevende organisatie in verband met het onder
gemeenschappelijke naam optreden.
625.
