Auditen buiten de gebaande paden

In het kader van de energietransitie hebben netbeheerders een publieke taak gekregen. Een inkijkje in de wereld van netbeheerders.

Het meeste van het werk van Enexis Netbeheer is onzichtbaar en kom je zelden tegen. Maar wie in Groningen, Drenthe, Overijssel, Noord-Brabant of Limburg woont, heeft grote kans klant te zijn van Enexis Netbeheer, dat naast Liander en Stedin een van de drie grote netbeheerders in Nederland is. De belangrijkste taak van een netbeheerder is het aanleggen en onderhouden van het energienet in Nederland. Bovendien zorgen netbeheerders voor het transport van energie: ze vervoeren energie van de elektriciteitscentrale of het gasstation naar woningen en bedrijven. Daarnaast maakt de netbeheerder het mogelijk dat klanten hun zelf opgewekte energie kunnen terugleveren aan het net.

Excellent netbeheer

Dagelijks werkt Enexis Netbeheer aan excellent netbeheer. Veiligheid voor klanten en medewerkers staat hierbij voorop. Daarbij is er een ontwikkeling gaande van traditionele energienetten naar zogenoemde ‘smart grids’. Door deze smart grids via Distributie Automatisering op afstand te bedienen, kan de storingsduur worden verkort. Een onderdeel hiervan is onder andere de slimme meter, die inmiddels bij meer dan 1 miljoen huishoudens is geïnstalleerd. Deze meter vormt in de toekomst een belangrijke schakel in het balanceren van vraag en aanbod van energie en helpt de consument inzicht te krijgen in zijn energieverbruik en zich zo daarvan bewuster te worden.

De snelheid van veranderingen en onzekerheden over hoe de energietoekomst eruit ziet zorgen voor veel uitdagingen

Energietransitie

Netbeheerders hebben een maatschappelijke opdracht gekregen in het licht van de energietransitie: zorgen dat de energietransitie tegen de laagste maatschappelijke kosten plaatsvindt en dat de uiteindelijke duurzame energievoorziening betrouwbaar, betaalbaar en bereikbaar is. Het netwerk van Enexis Netbeheer vormt een belangrijke basis om de energietransitie te realiseren. Lokaal opgewekte energie moet aan het net worden teruggeleverd en gedistribueerd. De snelheid van veranderingen en onzekerheden over hoe de energietoekomst eruit ziet zorgen voor veel uitdagingen.

Enexis 2020

Het nieuwe strategische plan van Enexis Netbeheer heeft een ambitieuze missie: ‘Wij realiseren een duurzame energievoorziening door state of the art-dienstverlening en netwerken en door de regie te nemen in innovatieve oplossingen.’ Voor Internal Audit is het van belang onderzoeken te doen die hiervan afgeleid zijn. Onder andere door het uitvoeren van een review op het strategische programma dat ingericht is ter realisatie van deze strategie. Hierbij kijkt Internal Audit bijvoorbeeld naar de besturing, bezetting, rapportage en realisatie van de doelstellingen. Een dergelijke review is geen gemakkelijke opgave. Er zijn op voorhand geen scherpe normenkaders beschikbaar waaraan getoetst kan worden. Met de juiste observaties kan Internal Audit echter wel een belangrijke objectieve bijdrage leveren aan de realisatie van de strategie en zij voert daarom graag een dergelijke review uit.

IT in de netten

De primaire processen van Enexis Netbeheer worden steeds verder geautomatiseerd. Dit sluit aan bij de state of the art-dienstverlening en netwerken in onze missie. Ook in de fysieke netten wordt steeds meer automatisering toegepast. Deze zogenaamde Operationele Technologie (OT) leidt tot efficiëntere bedrijfsprocessen, maar brengt ook nieuwe risico’s met zich mee. Vooral op het gebied van IT-security. Voor de internal auditfunctie betekent dit dat er met enige regelmaat audits uitgevoerd worden met betrekking tot de IT-security in de netten. Te denken valt aan audits met betrekking tot de security (en privacy) rondom de slimme meter en het Bedrijfsvoeringscentrum, waar het hele energienet van het verzorgingsgebied wordt beheerd.

Dat security een relevant onderwerp is, bleek eind 2016 opnieuw toen Oekraïne (net als in 2015) slachtoffer werd van een hackaanval op het elektriciteitsnetwerk. Hackers zouden op een elektriciteitsschakelstation nabij Kiev hebben ingebroken en de systemen offline hebben gehaald. Volgens het Oekraïense beveiligingsbedrijf ISSP is er op de systemen ingebroken door dezelfde hackers die het stroomnetwerk in 2015 hebben gehackt. ISSP stelt dat de hackers waarschijnlijk aanvalstechnieken aan het testen waren. Dat doet vermoeden dat de aanvallers een grotere aanval op het stroomnetwerk voorbereiden. Een scenario waar geen weldenkend mens op hoopt!

De Wet onafhankelijk netbeheer (Won) geeft duidelijke spelregels en afbakening ten aanzien van de activiteiten van de netbeheerders

Veranderde wetgeving

Naast dit alles speelt ook het thema compliance een belangrijke rol. Netbeheerders zijn in Nederland sterk gereguleerd. De Wet onafhankelijk netbeheer (Won) geeft duidelijke spelregels en afbakening ten aanzien van de activiteiten van de netbeheerders. Daarnaast zijn de Gaswet en de Elektriciteitswet van toepassing op de netbeheerders. Deze kaders worden in acht genomen en zorgen er onder andere voor dat de marktwerking in energieland goed functioneert. De Won bepaalt bijvoorbeeld ook welke nevenactiviteiten (niet betrekking hebbende op het beheer van de infrastructuur) een netwerkbedrijf mag ontplooien. De Autoriteit Consument & Markt (ACM) ziet hier als externe toezichthouder op toe.

Op dit moment speelt er rondom deze wetgeving behoorlijk veel. Met de eerder genoemde maatschappelijke opdracht met betrekking tot de energietransitie in het achterhoofd heeft de wetgever de conceptwet STROOM ontwikkeld. Deze werd eind 2015 door de Eerste Kamer weggestemd en inmiddels zijn er in plaats van de wet STROOM twee andere wetten gekomen; 1) de wet Windenergie op zee, 2) het wetsvoorstel VET (Voortgang Energietransitie). Deze laatste wet is gebaseerd op STROOM, maar betreft aanpassingen van de bestaande Elektriciteitswet en Gaswet. Momenteel is verdere behandeling van wet VET uitgesteld tot na de kabinetsformatie. Vooruitlopend op deze te verwachten nieuwe wetgeving voerde Enexis Groep in 2017 proactief een aantal veranderingen door. Omdat dit majeure impact heeft gehad op personeel en organisatie heeft Internal Audit hier een review op uitgevoerd.

Afsluitend

Internal Audit Enexis Groep is een afdeling bestaande uit acht medewerkers. De ene helft heeft een IT-audit-achter-grond en de andere helft een meer operational of financial auditachtergrond. Hierbij is sprake van een mix van medewerkers afkomstig uit de energiebusiness, externe consultants en accountantsorganisaties. Deze mix past zeer goed bij de uitdagingen zoals hiervoor geschetst en het streven van de afdeling een belangrijke rol te spelen bij de realisatie van de strategische doelen van de organisatie. Dit betekent dat er soms ‘exploratieve onderzoeken’ gedaan worden. Het is soms wennen om zonder een gedetailleerd plan van aanpak een onderzoek te starten. De ervaring leert gelukkig dat juist dit soort onderzoeken erg gewaardeerd wordt door zowel het management als de stakeholders. Als je afwijkt van de gebaande paden ontstaat er vaak iets moois. Dat geldt ook voor auditors…