Strategie: welke rol speelt de internal auditor?

Een goede uitvoering van de strategie is van belang voor de continuïteit en het succes van een onderneming. Welke bijdrage kan de internal auditor daaraan wel en niet leveren? Hier blijkt sprake van een merkwaardig veld van gaten en hobbels en dus uitdagingen voor de internal auditor.

De uitspraak van de Ondernemingskamer in de zaak Meavita (2013) leert dat de raad van bestuur (RvB) gehouden is tot een zorgvuldig doordenken van de strategie van de onderneming en dat de raad van commissarissen (RvC) gehouden is om toezicht uit te oefenen op de uitvoering van de strategie. Het niet voldoen aan deze eisen kan niet alleen de onderneming in problemen brengen, het kan ook leiden tot veroordeling tot wanbeleid van de RvB en de RvC. Het ligt dan ook voor de hand dat de RvB gebruikmaakt van de functie van internal audit om er zeker van te zijn dat de RvB en de RvC hierin de nodige zorgvuldigheid betrachten.

Management control

Om een antwoord op de vraag over de rol van de internal auditor te vinden stuiten we allereerst op een institutioneel probleem waarvan de internal auditor zich bewust moet zijn. De bestuurlijke taak van ‘strategy execution’ is sinds de jaren zeventig onderdeel van de functie management control. Dit bestaat uit het proces, de systemen en de procedures waarmee de strategie van de onderneming wordt vertaald in ‘task control’. Dit is het geheel van doelen op lager niveau in de organisatie. Task control bestaat daarmee uit opgedragen taken, daaraan verbonden gealloceerde middelen en toegewezen bevoegdheden.

De in Nederland lange tijd bestaande dominantie van het gedachtegoed van Starreveld had tot effect dat die functie van management control niet goed is ontwikkeld. Management accounting is onderdeel van management control, en niet andersom. Management control wordt primair gedoceerd in de opleiding tot register controller (RC), waarmee deze kennis bij RA’s, RE’s en RO’s niet vanzelfsprekend aanwezig is. Dit is dan ook een eerste aandachtspunt van de internal auditor. Als een onderneming het vraagstuk van strategie en uitvoering van de strategie neerlegt bij de internal auditfunctie, dan moet geverifieerd worden of daarin RC-deskundigheid aanwezig is. Hetzelfde geldt als de RvC het toezicht op de uitvoering van de strategie neerlegt in het audit committee.

De klantwaardepropositie moet vertaald worden in integrale processen, dwars over bestaande structuren heen

Naast dit eerste institutionele probleem is er een tweede waarop de internal auditor beducht moet zijn. Strategy execution maakt geen deel uit van het vakgebied strategisch management, hoewel in dat vakgebied die claim soms wel op tafel wordt gelegd. Vaak gaat het dan over het vertalen van de strategie in de structuur van de interne organisatie, gebaseerd op het Amerikaanse dictum ‘structure follows strategy’. Maar die regel is twintig jaar geleden vervangen door de norm: ‘process follows proposition’. De klantwaardepropositie moet vertaald worden in integrale processen, dwars over bestaande structuren heen.

Top-down-bottom-up

De internationale norm voor een goede strategy execution was tot 2005 beschreven in het boek Managing the Resource Allocation Process (1970/1986) door Joseph L. Bower. De nu geldende norm is te vinden in de vijf boeken van Kaplan en Norton, in het bijzonder Strategy Maps (2004) en The Execution Premium (2008). Het verschil tussen die twee is dat Bowers methode gebaseerd is op de dominantie van materiële activa en dat Kaplan en Nortons methode gebaseerd is op de dominantie van immateriële activa.

Wat deze twee methoden gemeenschappelijk hebben is de norm van top-down-bottom-up, ook wel targets down-plans up.  Dat wil zeggen dat de RvB op hoofdlijnen de (nieuwe) strategie formuleert en dan de organisatie opdracht geeft om bottom-up met investerings- en andere voorstellen te komen om die strategie te realiseren. Daarmee gaat het door de organisatie uitwerken van de strategie niet alleen om getallen. Dit bottom-upproces heeft primair een gedragsfunctie. Het gaat er om managers op lager niveau te stimuleren over de toekomst na te denken, om het ontwikkelen van commitment aan de strategie, het reduceren van verticale informatie- en kennisasymmetrie.

Doorvertaling van de strategie

Dit betekent ook dat projectmanagers bottom-up kunnen aangeven wat ze nodig hebben, dat middelen voor projecten vastgelegd worden, en ook dat medewerkers leren zichzelf in het grotere geheel te zien en hoe ze daar een bijdrage aan kunnen leveren. Maar ook dat managers zien wat de (nieuwe) strategie hen persoonlijk brengt. Waarbij een optimale allocatie van investeringsmiddelen over investeringsprojecten en een proactieve coördinatie van activiteiten de hoofdfunctie van het bottom-upproces is.

De praktijk leert dat bestuurders (CEO en CFO) onvoldoende aandacht geven aan deze gedragsfuncties van het bottom-upproces. Met als gevolg dat de nieuwe strategie niet goed wordt vertaald in task control en de onderneming de strategie onvolledig realiseert. Hier ligt dus een taak voor de internal auditor om vast te stellen of de juiste sociale context van het bottom-upproces door het bestuur wordt gecreëerd. En tevens dat het bottom-upproces niet degenereert naar ‘number crunching’, naar het invullen van spreadsheets met spelletjes van majoreren en minoreren.

Gedragsverandering

De sociale dimensie van het bottom-upproces kent nog een andere dimensie. Vaak komt het voor dat managers lager in de organisatie de gevraagde voorstellen niet invullen vanuit de nieuwe strategie, maar vanuit een afdelingsbelang, carrièrebelang of vanuit hun bestaande wereldbeeld. Vandaar dat de norm geldt dat zeker een nieuwe strategie eerst in de ‘systemic context’ (beoordeling, beloning, toegang tot informatie, carrièrepatronen, management development cursussen, en dergelijke) wordt vertaald alvorens om voorstellen wordt gevraagd.

Ook dit is een punt van beoordeling voor de internal auditor. De internal auditor moet er hierbij voor waken niet in de valkuil, of beter het vluchtgedrag van ‘cultuur’ te stappen. De noodzakelijke gedragsverandering moet primair via de systemic context worden gerealiseerd. Ook dient de internal auditor te beoordelen of de planningsbrief, waarmee aan afdelingen wordt gevraagd met voorstellen te komen, volledig is. Het is van belang dat niet alleen financiële doelen worden geformuleerd, maar ook de niet-financiële doelen (zoals duurzaamheid). Verder moeten de plafonds voor investeringskapitaal en werkkapitaal zijn benoemd en ook de niet-financiële randvoorwaarden, denk bijvoorbeeld aan CO₂-uitstoot.

Bij het voorgaande komt vrijwel altijd de vraag op of de door de RvB geformuleerde strategie op hoofdlijnen wel haalbaar en realistisch is. Beoordeling daarvan vraagt om kennis en methoden die buiten het vakgebied van internal audit liggen. Als een RvC daarover twijfels heeft en er daarover met de RvB niet uitkomt, zal een adviesbureau als McKinsey moeten worden ingeschakeld om de voorgestelde strategie te beoordelen op plausibiliteit. De internal auditor moet zich daar niet de vingers aan branden.

Steeds vaker moeten medewerkers hun tijd verdelen tussen de lange (projecten) en korte termijn (operatie)

Lange en korte termijn

De internal auditor zal eerder de handen vol hebben aan het beoordelen of het bestuur wel de noodzakelijke aanpassingen in de organisatie tijdig en goed doorvoert, zoals een nieuwe strategie steeds vaker vereist. Vaak is de klacht te beluisteren dat de in de strategie gestelde prioriteiten in de operatie op duistere wijze verwateren. In veel gevallen moet een strategie worden uitgevoerd in de vorm van (innovatie-, ontwikkelings)projecten die over meerdere afdelingen heen lopen en waarbij een beroep moet worden gedaan op de deskundigheid van medewerkers uit de operatie.

Dit is niet een incidenteel-operationeel verschijnsel, het is de consequentie van de endoge kenniseconomie. In afnemende mate is er een duidelijk onderscheid waaraan in de onderneming op de lange termijn wordt gewerkt en waaraan op de korte termijn. Steeds vaker moeten medewerkers hun tijd verdelen tussen de lange (projecten) en korte termijn (operatie). En dan is uiteraard de vraag wie die prioriteiten tussen de lange en korte termijn stelt, de medewerker, de leidinggevende of hoger in de organisatie?

Internal governance

Om dit probleem op te lossen moet het bestuur, met name de CFO, strategieprojecten als resultaatverantwoordelijke eenheden toevoegen aan het bestaande systeem van internal governance. En daarmee ook als plannings- en rapportagedimensie, in de systemen voor management control, het middelenallocatieproces, management accounting en -rapportage en in de informatievoorziening. Dit is een eerste voorwaarde voor het handhaven van strategische prioriteiten en -doelen.

Dat dit goed gebeurt is een onderwerp voor internal audit. In het middelen allocatieproces wordt een budget toegekend vanuit het investeringsgeld dat voor de strategie is bepaald. De projectleider, ofwel de budgethouder daarvan, moet aangeven of, en zo ja, hoeveel uren en wanneer deze uit de operatie nodig zijn. Dit kan conflicteren met wat de operatie nodig heeft. Het is vervolgens uitsluitend aan de RvB om die afwegingen te maken en te vertalen naar de budgetten van de operationele afdelingen. De door de operationele afdelingen te leveren uren/deskundigheid wordt ‘time-phased’ vastgelegd als uitgaven, categorie STRATEX (strategic expenditures), ofwel lange termijn strategische uitgaven.

Roofbouw

De managers van die operationele afdelingen hebben dan tot taak die STRATEX te leveren, zij mogen dit niet overrulen met eigen prioriteiten. Dit is dus een attentiepunt voor de internal auditor. De internal auditor moet zich hierbij niet met een kluitje in het riet laten sturen met ‘het hoeft allemaal niet zo formeel, betrokkenen regelen dat zelf wel’. De eerste weken lijkt dat ook zo te zijn, na driekwart jaar is de nalatigheid om het zo te regelen een bron van stress, burn-outs en verloop, en het loslaten van gestelde prioriteiten. De projectleider krijgt dan ten onrechte de schuld. Er wordt dan roofbouw gepleegd op vaak dezelfde medewerkers en dat is geen goed werkgeverschap. Als er tijdens de uitvoering door nieuwe omstandigheden problemen ontstaan om die STRATEX te leveren, dan kan het zijn dat de projectleider en de operationeel manager er op hun niveau wel uitkomen, mits dit niet ten koste gaat van strategische prioriteiten. Komen ze er niet uit dan moeten zij binnen 24 uur opschakelen naar het niveau van RvB waar de operatie en de strategie wel mogen worden afgewogen.

Plannen en bijsturen

Dat er allerlei toekomstige onzekerheden spelen is een begrijpelijk opgeworpen bezwaar. Feitelijk is dat weerstand tegen verandering. In de operatie en in de strategieprojecten en dat het geen zin zou hebben alles zo vast te leggen. Dan worden twee zaken genegeerd. De eerste is dat, zoals de vroegere Amerikaanse generaal en president Eisenhower dat formuleerde: “Plans are nothing, planning is indispensable.” Het maken van plannen is in de eerste plaats een mentale voorbereiding op de uitvoering, op wat zich mogelijk zou kunnen voordoen, en op wat gevolgen en noodzakelijke corrigerende acties zijn als gemaakte aannamen anders blijken uit te pakken. Of zoals de Franse scheikundige en bioloog Louis Pasteur het formuleerde: “Geluk is met de voorbereide geest.”

Bij het opstellen van een strategie is het belangrijk dat gemaakte aannamen geëxpliciteerd worden en op papier worden gezet

Een veel gemaakte fout is dat ijzerenheinig aan een opgesteld plan wordt vastgehouden, ook al verandert de wereld onder de handen. Vandaar dat bij het opstellen van een strategie het belangrijk is dat gemaakte aannamen geëxpliciteerd worden en op papier worden gezet. Een belangrijke dimensie van de kwaliteit van de uitvoering van de strategie is ‘premis control’. Dit is het van dag tot dag bewaken of gemaakte aannamen kloppen. En als dat niet het geval is, wat dit voor de uitvoering moet betekenen. Dit staat bekend als het managen van de ‘knowledge to assumption – ratio’. De internal auditor moet nagaan of er iemand verantwoordelijk is gesteld voor die premis control en of die boven de projectleider en de operatie staat.

Rolling forecast

De tweede zaak is dat planning nooit een ‘one-off’ is met één tijdshorizon. Immers, in de industrie kennen we de material requirements planning (MRP). Er wordt een rolling forecast meerjarenplanning opgesteld, die elk jaar en elk kwartaal wordt bijgestuurd. In de bijsturing per kwartaal wordt een aantal resources ingeroosterd en volgt er een maandelijkse, wekelijkse en dagelijkse verfijning van de planning. Zoiets geldt ook voor projecten, wat bekend staat als ‘discovery-driven planning’.

Er is uiteraard een totale planning van het project, onderverdeeld in fasen. Maar als een fase is gerealiseerd, wordt niet automatisch aan de volgende fase begonnen. Eerst wordt de vraag gesteld: wat hebben we tot nu toe geleerd en wat kan dit betekenen voor de volgende fase? Ook wordt de vraag gesteld wat er ondertussen in de omgeving is veranderd, of aannamen nog kloppen, maar ook of er nieuwe opties zijn ontstaan om de volgende fase efficiënt te realiseren. Kloppen de doelstellingen van het project nog? Het doel is immers niet om het project te realiseren, maar om de strategie uit te voeren en tot een succes te maken. Hieraan kan een ‘phased funding’ van het project gekoppeld zijn, uit het oogpunt van financial control.

Succesvolle strategie executie

Het formuleren van een strategie is meestal niet zo moeilijk, los van dat Nederlandse bedrijven als gevolg van geopolitieke verhoudingen en macht van grote multinationals niet zoveel strategische speelruimte hebben. Veel kritischer is echter het goed uitvoeren van een strategie, zeker onder veranderende omstandigheden. Dan blijkt nog veel sterker dan dertig jaar geleden dat een juist opgezet middelenallocatieproces het meest kritische bestuursinstrument is om strategische vernieuwing en innovatie te realiseren. Dan wordt ook duidelijk dat de uitvoering van de strategie niet onder risicomanagement geschoven moet en mag worden. Het komt aan op het absorberen van onzekerheid. De strategische projecten gelden in de moderne economie als ‘knowledge governance mechanisms’. Het gaat om de inzet van resources vlot te kunnen aanpassen aan veranderende omstandigheden, zonder het uiteindelijke doel uit het oog te verliezen. Goede bestuurders hebben als kenmerk vasthoudendheid aan het uiteindelijke doel, met flexibiliteit hoe er te komen.