De software robot: vriend of vijand van de auditor?

“I’ll be back”, zei Arnold Schwarzenegger in de film The Terminator. Deze film is sciencefiction, maar de opkomst van software robots in het bedrijfsleven is echt. Robotic process automation (RPA), hoe zit dat? En wat betekent dit voor de auditor?

Volgens Wikipedia is robotisering het laten uitvoeren van menselijke taken door robots. Deze definitie ligt erg voor de hand, maar toch raakt dit wel een belangrijke kern: het overnemen van handmatig menselijk werk door techniek. Fysieke robots kennen we van fabrieken. Op kantoor betreft het software robots, die veelal onzichtbaar zijn. We hebben het dan over robotic process automation (RPA).

Op de ‘playknop’ drukken

RPA is software die andere software bedient. Op basis van heldere als-danregels op het niveau van de gebruiker die achter de computer zit. Het is een script met tal van handelingen dat afgespeeld wordt. Een soort Excelmacro, maar dan eentje die over al jouw applicaties heen ingezet kan worden. Waarbij de gebruiker op de ‘playknop’ drukt  óf, nog handiger, de activiteit op het gewenste tijdstip in de gewenste frequentie wordt gepland. Hoe handig is dat? ’s Nachts het standaard werk laten draaien en dan ’s ochtends de computer aanzetten en focussen op de uitzonderingen.

RPA is géén artificial intelligence (AI) of machine learning. In deze methodieken gebruikt men datamodellen die, gevoed met veel voorbeelden, leren te interpreteren. Stop er één miljoen plaatjes van honden in en de kans is groot dat het model bij het volgende plaatje herkent dat het een hond en geen vis is. RPA kan dit allemaal niet. RPA hanteert scripts met door de mens bedachte als-danregels. Er komt geen verdere intelligentie bij kijken. Maar vergis je niet. Als RPA-scripts goed werken ontstaat er honger naar meer intelligentie in automatisering.

Hoe serieus is RPA

Uit het onderzoek AI transforming the enterprise onder tweehonderd toonaangevende bedrijven in de wereld blijkt dat 25% op grote schaal RPA inzet.¹ Ruim de helft daarvan, 65%, geeft aan dat deze technologie selectief binnen de onderneming wordt gebruikt. En ruim 80% van deze 25% verwacht RPA binnen drie jaar op grotere schaal te gaan inzetten. Tijdens het World Economic Forum van 2019 werd RPA zelfs al de vierde industriële revolutie genoemd. RPA is een blijvertje en versnelt mede door de COVID-19-crisis. Dat is omdat RPA de wendbaarheid en veerkracht van de organisatie verhoogt, stabiliteit brengt in processen, kosten reduceert en medewerkers ondersteunt die steeds meer op afstand blijven werken. Mijn voorspelling is dat over twintig jaar RPA even normaal is als internet en Word/ Excel. Geheel terecht daarom dat het de aandacht krijgt.

Wat kan een software robot?

Neem de menselijke handeling als uitgangspunt en zie de robot als je muisklikken en aanslagen op het toetsenbord. Neem als ultiem criterium je standaard aantal computerhandelingen, variërend van basale handelingen als inloggen in een systeem, kopiëren/plakken van data tot meer geavanceerde handelingen als gescande documenten lezen, interpreteren en verwerken. Je standaardwerk kan met RPA vijftien keer sneller, foutloos en zo vaak en wanneer je maar wilt uitgevoerd worden. Zowel binnen als tussen verschillende applicaties en dat 24/7, 365 dagen per jaar zonder onderbreking doorvakantiedagen, ziekte en feestdagen.

RPA is zeer geschikt voor standaard, herhalende computerhandelingen. Populaire toepassingsgebieden zijn finance, hr, datamanagement, procurement en IT. Overal waar een omvangrijk transactioneel volume is. En dat beperkt zich niet alleen tot staffuncties. Ook steeds meer primaire processen worden ondersteund met software robots. Enkele praktische voorbeelden:

• finance: balansdossiers opstellen waarbij de medewerkers de vervolganalyse doen;
• hr: verwerken van nieuwe medewerkersinfo op basis van standaardformulieren;
• datamanagement: standaard datamutaties verwerken die per e-mail binnenkomen;
• procurement: uitsturen van bevestigingen aan leveranciers, prijsmutatiechecks;
• IT: testdata over- of terugzetten.

Hoeveel standaard herhalende taken heb je als auditor? Zou je niet liever hebben dat je hieraan minder tijd besteedt om meer tijd te kunnen besteden aan leukere, complexere taken? Hoe gaaf is het als mitigerende maatregelen uit het control framework automatisch geborgd, gelogd en gecheckt worden? Waardoor je werk als auditor eenvoudiger wordt.

Kortom, RPA helpt bestaand werk sneller en foutloos uit te voeren. Het biedt ook de mogelijkheid om ander werk veel vaker uit te voeren, denk aan kritische datachecks waar de mens nu veelal niet aan toekomt. Hoe fijn is het als ’s nachts de robot rare datacombi’s checkt en daarover een mail stuurt naar de juiste persoon om dit de volgende ochtend te checken?

Casestudy 1 – Balansspecificaties opstellen
VOOR: De boekhoudafdeling (60+ fte’s) van een publieke organisatie heeft elke maand te maken met de maandafsluiting. Om de aantoonbaarheid van het in control zijn zowel intern als extern te borgen, worden 100+-balansspecificaties gemaakt voor 15+-bedrijven. Het extraheren en aansluiten van de juiste informatie was een tijdrovende klus. Ter indicatie: een medewerker die zich richtte op het onderdeel crediteuren was hier anderhalve dag per maand mee bezig… alleen om de juiste data in het juiste leesbare format te krijgen. Los van de hoeveelheid tijd was het vooral een vervelende klus. Dezelfde handelingen acht keer herhalen, steeds voor een ander bedrijfsnummer.
Eerst werd het proces doorgelicht en zowel de input als de output werden gestandaardiseerd. Het bleek namelijk dat niet iedereen dezelfde rapporten gebruikte én op dezelfde manier de balansspecificaties maakte. Er werd een robotscript gemaakt dat de medewerker kon activeren en dat binnen enkele minuten de juiste output in het juiste format klaar zette.
NA: De doorlooptijd werd verkort van anderhalve dag naar anderhalf uur in een piekperiode. De boekhouder kreeg meer tijd om kwalitatievere analyse te verrichten. De controller ontving sneller de balansspecificatie voor review en goedkeuring.
RESULTAAT: 90% kortere doorlooptijd, sneller opvallende afwijkingen signaleren en meer tevreden medewerkers, collega’s én manager.

Wat betekent dit voor de auditor?

Staat nu de baan van de auditor op het spel? Dat is vaak de primaire gedachte bij zoiets nieuws wat dichtbij de eigen werkzaamheden komt. Zo’n vaart zal het niet lopen, maar je krijgt er als auditor wel mee te maken. Hoe meer standaard je werk is hoe groter de kans op automatisering. Dat is niet nieuw, maar het raakt nu ook steeds meer kenniswerkers.
Bedrijven en organisaties benadrukken steeds meer het belang dat kantoormedewerkers aan ‘upskilling’ doen. Nieuwe competenties ontwikkelen (datamanagement, continu verbeteren) om relevant te blijven in de toekomst. Want wat moet je als auditor als 30% van je werk geautomatiseerd wordt? Ook niet nieuw, maar wel relevant in de steeds sneller wordende digitalisering.

Waarom is RPA populair?

RPA is de welkome virtuele assistent voor medewerkers die verlost willen worden van saai en foutgevoelig werk. Voor managers is het een middel om de kwaliteit en efficiëntie van relevante computerprocessen te verhogen. Voor IT een middel om de afstand naar de business te verkleinen. Het is heel begrijpelijk dat RPA gezien wordt als een nieuw stuk gereedschap voor IT. Maar het is veel meer dan dat. Het biedt een wasstraat om de bestaande manier van werken te toetsen en op te schonen. Want met RPA kun je processen verbeteren zonder robots. Hoe zit dat? Na analyse van een proces blijkt regelmatig dat automatisering en/of robotisering helemaal niet de beste oplossing is. Het resultaat met RPA is hetzelfde: een verbeterd proces en tevreden medewerkers. Maar dan gerealiseerd met een betere alternatieve oplossing. Vandaar ook het enthousiasme bij het hogere management en bij auditors. Want processen die beter beheersbaar zijn, dat willen we allemaal, toch?

RPA biedt de mogelijkheid om in kleine stapjes en per case te automatiseren. Van elke potentiële robot case zijn de directe opbrengsten goed te volgen. Dat kan niet gezegd worden van elk project. Die kleinschaligheid maakt het aantrekkelijk om te starten en te groeien ‘as you go’. En dat is wat veel organisaties nu doen.

Casestudy 2 – Controle dubbele facturen/btw-codering
VOOR: De afdeling crediteuren krijgt op jaarbasis miljoenen facturen te verwerken. Het grootste deel van de facturen wordt ontvangen als pdf-bestand via de mail. Deze worden ingescand, vastgelegd en zoveel mogelijk automatisch verwerkt. Toch is manuele verrijking nog regelmatig nodig. Hoewel er geen directe aanleiding was voor een robot, was het team nieuwsgierig naar de mogelijkheden van robotisering. Twee checks werden gerobotiseerd: 1) het correct gebruik van btw-codes, 2) dubbele betaalbaarstelling van facturen. Voor deze laatste check werd één keer in de twee jaar een bedrijf gevraagd alle betalingen door te lichten op dubbele betaling. Waarbij het ingehuurde bedrijf dan een percentage kreeg van de retour ontvangen gelden. Er werden robotscripts ontwikkeld die de data checkten en vervolgens de bevindingen per mail naar de betreffende medewerker stuurden. Dat was voor de medewerker het signaal om dieper in de materie te duiken en eventueel de input te corrigeren.
NA: De eerste dubbele-betalingrun via robot scripts leverde direct drie facturen op. Onbedoeld waren twee identieke facturen dubbel ingeboekt met een gezamenlijke waarde van € 40.000. Doordat de signalering vroeg in het verwerkingsproces plaatsvond, werd voorkomen dat de leverancier twee keer werd betaald. Ook aanvullende inspanningen van het terughalen van geld werd voorkomen. De robot die de btw-logica controleerde, gaf lange tijd geen meldingen. Gelukkig maar. Totdat die ene factuur van € 800.000 manueel onjuist ingeboekt bleek te zijn. Zowel een betalingsissue als een btw-issue werd tijdig voorkomen.
RESULTAAT: De impact van onbedoelde menselijke fouten werd aanzienlijk verlaagd. Met kwaliteitschecks op data kunnen vroegtijdig ongewenste afwijkingen gesignaleerd worden. Het voorkomt allerlei gevolgschade én maakt zichtbaar waar nieuwe verbeterkansen in het proces zitten.

Wie zijn de koplopers?

RPA kom je vaak tegen in organisaties waar grote volumes aan transacties plaatsvinden. Niet zo gek dus dat RPA vooral populair is bij de grotere multinationals. Organisaties als ING, Nationale Nederlanden, Rabobank, Nederlandse Spoorwegen en KLM zijn hiermee al jaren bezig. Zij hebben vaak zelfs hun eigen RPA centre of excellence en zetten RPA steeds strategischer in. Maar vergis je niet. Ook overheden en het mkb ontdekken steeds meer de (kwaliteits)voordelen van RPA. Softwareleveranciers doen ondertussen hun best om RPA zo laagdrempelig mogelijk te maken en innovaties als document scanning en process mining te integreren.

Opletten geblazen voor de auditor 

Tot zover klinkt RPA als een fantastisch middel om de beheersing van de bedrijfsprocessen en de bijbehorende risico’s te verstevigen. Maar het is ook opletten geblazen voor auditors bij organisaties die RPA gebruiken of aan het implementeren zijn. Want software die andere software bedient? Dat roept beheersingsvraagstukken op als:

• Hoe zit het met functiescheiding? Een robot voert alleen als-danregels uit. Functiescheiding is niet meer nodig… of toch wél?
• Robots zijn virtuele medewerkers. Hebben ze hun eigen account? Of werken ze onder de naam van échte medewerkers?
• Een mens grijpt in als er iets écht niet goed gaat. Hoe voorkom je dat die robot maar door en door blijft gaan?
• Wat is het back-upscenario als de robot onverhoopt niet functioneert?
• Hoe is de benodigde kennis geborgd?
• Hoe beheers ik de ontwikkeling van de robot scripts? Hoe weet ik dat de bouwer niet een script bouwt dat extra risico’s met zich meebrengt in plaats van risico’s verlaagt?
• Hoe stabiel functioneert een robot in een veranderende (IT-)omgeving?

Vroeg of laat spelen deze en andere vragen bij RPA-implementaties. Typisch vragen waar de auditor met zijn expertise een verschil kan maken. Niet door vast te blijven zitten in de houding ‘zo-doen-we-het-altijd’. Wel door mee te denken in kwaliteitsbeheersing en effectieve mitigerende maatregelen. Want vergeet niet, een software robot doet wat de mens nu doet met alle bijbehorende systeem logging. Veel bestaande mitigerende beheersmaatregelen zijn daarom nog net zo relevant. Daarom mijn oproep: maak kennis met de software robots als vriend voor de toekomst en laat ze ook vóór je werken.

Zien is geloven

Alles mooi en aardig ten aanzien van RPA, het gaat pas écht leven als je het een keer in actie hebt gezien. Speciaal voor de lezers van Audit Magazine heb ik een video gemaakt met een robot in actie en met extra toelichting. Zodat je als auditor weet waarmee je te maken hebt. Ga voor de video naar www.brainwaver.nl\RPAmagic

Noot

1. KPMG, oktober 2019.