Boekhoudbestanden delen: gids voor beste praktijken

De Autoriteit Persoonsgegevens (AP) handhaaft actief de AVG voor boekhoudkantoren die financiële persoonsgegevens verwerken: salarisadministraties, belastingaangiften en bankafschriften met BSN-nummers vallen allemaal onder de verordening. Boekhoudbestanden bewegen voortdurend tussen kantoor en klant — QuickBooks-back-ups, belastingdossiers, bankafschriften, loonregisters en brongegevens voor jaaropgaven — en elke overdracht moet voldoen aan de beroepsregels van de NBA (Nederlandse Beroepsorganisatie van Accountants) en de privacyvereisten van de AP. De kern van de meeste kantoren: een cliëntportal als SmartVault of ShareFile voor dagelijkse uitwisseling, DocuSign voor ondertekeningsworkflows en een versleutelde ad-hocservice voor de piekperiode rond de aangifte.

Cliëntportals vergelijken: SmartVault, ShareFile, Canopy, TaxDome

SmartVault start bij €25 per gebruiker per maand, ShareFile bij €50 voor de geavanceerde variant. Canopy en TaxDome richten zich specifiek op accountantskantoren en bundelen portal, praktijkbeheer en facturering. Een typisch klein kantoor (drie tot tien RA's of AA's, 200 tot 800 cliënten) kiest op basis van workflowfit. Vergelijkingspunten: AES-256-GCM-versleuteling in rust, TLS 1.3 in transit, SSO-integratie, scheiding van adviseur- en cliëntrollen, geïntegreerde e-handtekening, mobiel uploaden voor bonnen en bewaarbeleid per documenttype. Test ook de cliëntervaring: als het portal onpraktisch is, sturen cliënten e-mailbijlagen en vervalt uw beveiligingsbeleid.

Gegevenscategorisering op gevoeligheidsniveau

Niet alle boekhoudbestanden zijn even gevoelig. Een blanco aangifte­template is openbaar. Een proefbalans is vertrouwelijke bedrijfsinformatie. Een jaaropgave met BSN is hoog-risico persoonsgegevens onder de AVG. Een aangifte met rekeningnummers is financiële persoonsgegevens die bijzondere bescherming vereisen. Classificeer documenten bij upload in de lagen Openbaar / Intern / Vertrouwelijk / Beperkt, en handhaaf de classificatie in bewaarbeleid en toegangscontroles. De AP verwacht dat accountantskantoren dit soort gestructureerde aanpak hanteren bij een datalek­melding of onderzoek.

Schaaloverwegingen tijdens het aangifteseizoen

Van januari tot de aangiftedeadline stijgt het volume van bestandsoverdrachten bij een accountantskantoor met een factor tien. Eén retourpakket kan 80 tot 200 documenten per cliënt bevatten: jaaropgaven, dividendopgaven, hypotheekrenteoverzichten, giftenbewijzen, kinderopvangrekeningen. Voor een kantoor met 500 belastingcliënten betekent dat 40.000 tot 100.000 documenten in 90 dagen. Portals met bulkupload, automatische OCR in de belastingsoftware en mobiele fotoupload verminderen de verwerkingstijd aanzienlijk. Kies voor flat-rate per-cliëntprijzen in plaats van verbruiksgestuurde tarieven die uw marges verlagen tijdens de drukste periode.

Het kanaal van de Belastingdienst

De Belastingdienst communiceert met belastingplichtigen en adviseurs via Mijn Belastingdienst Zakelijk en beveiligde berichten. Provinciale en gemeentelijke belastingautoriteiten hebben vergelijkbare portals. Vermijd faxen: moderne faxservers routeren via e-mail, waardoor het BSN van uw cliënt in platte tekst door de infrastructuur van derden reist. Wanneer de Belastingdienst documentatie vraagt, gebruik dan de officiële portals of aangetekende post met ontvangstbewijs. Stuur belastingdocumenten nooit onversleuteld per e-mail.

Opdrachtbevestigingen en geheimhoudingsverklaringen

Een schriftelijke opdrachtbevestiging is verplicht op grond van de Wet toezicht accountantsorganisaties (Wta) en de NBA-gedragsregels. Voor verstrekking van gegevens aan derden — een hypotheekverstrekker die een aangifte opvraagt, een advocaat in een echtscheidingsprocedure — is schriftelijke toestemming van de cliënt vereist. Leg die toestemming vast via DocuSign of Adobe Sign vóór elke overdracht. Bewaar de getekende toestemmingen in het cliëntdossier voor de verjaringstermijn.

Importeren van bankafschriften en transactiegegevens

Boekhouding verwerkt bankgegevens via koppelingen met Exact Online, Twinfield of Snelstart. Voor banken die niet op de koppelingsnetwerken staan, uploaden cliënten PDF- of CSV-afschriften handmatig. PDF-bankafschriften voor een zakelijke rekening kunnen 20 MB per jaar overschrijden — boven de bijlagelimiet van Gmail. Een portal met bulkmapupload of een versleutelde link voor eenmalige inhaalcorrecties bij het onboarden van nieuwe cliënten lost dit op.

Jaarafsluiting en samenstellingswerkzaamheden

Voor kantoren met samenstellings- of beoordelingsopdrachten moeten auditwerkdossiers gedurende de bewaartermijn bewaard worden — doorgaans zeven jaar onder NBA-richtlijnen. Werkdossiers bevatten samenvattende schema's, ondersteunende berekeningen, opdrachtbrieven en rapporten. CaseWare en Wolters Kluwer ProSystem fx Engagement domineren de auditsoftware. Beperk de toegang tot het opdrachtteam plus de reviewer. Werkdossiers mogen uitsluitend via beveiligde kanalen worden uitgewisseld — een gewone e-mail met werkbladen is een bevinding bij kwaliteitstoetsing.

Cliëntovergang en overdracht aan opvolgend accountant

Wanneer een cliënt vertrekt naar een ander kantoor, vraagt de opvolgend accountant het dossier op. Levering verloopt via een beveiligd portal of een versleutelde link — nooit via een USB-stick die verloren kan raken. Bewaar een eigen archiverings­kopie conform NBA-richtlijnen. Reageer tijdig op opvraagverzoeken; een vertraagde reactie kan leiden tot klachten bij de NBA Klachtencommissie.

Versleutelde ad-hocoverdracht voor aangifte­verrassingen

14 april, 20:00 uur. Een cliënt realiseert zich dat hij de dividendopgave van zijn bv nog niet heeft aangeleverd. Het portal is ingepland voor 's ochtends; de aangifte moet morgen voor middernacht worden ingediend. Een snelle versleutelde link met 24 uur geldigheid brengt het bestand naar uw bureau zonder een ticket in het portalsysteem te openen. HexaTransfer en vergelijkbare diensten lossen dit op. Leg het bestand achteraf vast in uw praktijkbeheersysteem zodat het auditspoor consistent blijft. Accepteer geen belastingdocumenten via SMS, WhatsApp of persoonlijk Gmail — die kanalen voldoen niet aan de AVG en uw beroepsaansprakelijkheidsverzekeraar zal ernaar vragen bij een incident.

Probeer het via https://hexatransfer.com — gratis, geen account, maximaal 10 GB. Voor de cliënt die op 14 april om 22:00 uur eindelijk de ontbrekende jaaropgave vindt, brengt een zero-knowledge link het bestand op tijd zonder uw AVG-naleving te compromitteren.