Twee sporen, dezelfde eindbestemming

NS Audit heeft in het verleden op verschillende wijzen de taakafbakening tussen de interne en externe auditfunctie vormgegeven. George de Booij, directeur NS Audit, over veranderingen, de huidige rolverdeling en samenwerking en hoe ieders rol te optimaliseren.

Hoe ziet de huidige rol en omvang van NS Audit er uit?

“Wij bestaan uit 17 fte. Dat zijn naast management en secretariaat 10 operational auditors, waarvan 4 auditors zich specifiek richten op Abellio, de buitenlandse dochter van NS en 4 IT-auditors. Wat wij doen is niet verrassend voor een auditafdeling: wij ondersteunen de raad van bestuur en de lijnorganisatie door aanvullende zekerheid te bieden over de beheersing van de primaire processen, programma’s en projecten. Daarnaast geven we gevraagd en ongevraagd advies. Ik ben directeur van NS Audit sinds 2010. Voor mijn tijd, maar ook tijdens mijn dienstverband bij NS, is internal audit veranderd. Dat heeft te maken met een veranderende omgeving, wisseling van de externe accountant en niet te vergeten met onze eigen opvatting over de optimale invulling is van de rol van internal audit. Ook dat laatste is namelijk aan verandering onderhevig.”

“In 2005 is besloten een duidelijke knip te maken tussen de externe accountant en internal audit. Alle werkzaamheden rondom de financiële processen zijn toen ‘afgestoten’ naar de externe accountant”

Welke ontwikkelingen heeft internal audit doorgemaakt?

“Voor 2005 lag de nadruk van de werkzaamheden van de auditdienst van NS op financial audits. Het aantal auditors was ook aanzienlijk groter, zo werkten er rond 1975 zo’n tachtig medewerkers binnen de toenmalig interne accountantsafdeling. In 2005 is besloten een duidelijke knip te maken tussen de externe accountant en internal audit. Alle werkzaamheden rondom de financiële processen zijn toen ‘afgestoten’ naar de externe accountant. Tegelijkertijd ging internal audit zich volledig richten op operational audits. Een aantal financiële ‘die hards’ zagen dit niet zitten en hebben toen de overstap van internal audit naar de financiële afdeling van NS gemaakt. Op zich ook niet gek, omdat er echt andere vaardigheden en mindset werden gevraagd dan louter diepgaande financiële kennis. Enerzijds was deze verandering in lijn met de tijdgeest, waarbij er nog rekening werd gehouden met een mogelijke beursgang van NS.”

Beursgang?

“Ja, daardoor ging NS ging zich ook meer spiegelen aan het bedrijfsleven waar operational audits duidelijk in opkomst waren. Ook was er binnen NS een sterke behoefte om meer naar de primaire processen te kijken. Daarnaast speelde het terugbrengen van het aantal auditors en daarmee de kosten, ook een rol. NS heeft veel activiteiten en verschillende typologieën in haar organisatie, variërend van het onderhoud van treinen, aanschaf van nieuwe treinen en de daarmee samenhangende certificering en toelatingseisen, exploitatie van stations, vastgoedbeheer, logistiek, verzekeringen tot aan een leaseorganisatie. Daarnaast is wet- en regelgeving en compliance met de concessievoorwaarden van de Nederlandse overheid enorm belangrijk. Dit maakt dat er een grote behoefte is aan een internal auditfunctie die aanvullende zekerheid biedt over een adequate beheersing van deze processen. In dit licht is de beslissing van toen heel goed te plaatsen.”

En is deze invulling nog steeds actueel?

“Het is gezond om periodiek je eigen rol en de samenwerking met de externe accountant tegen het licht te houden. De complexiteit van de omgeving neemt toe en automatisering wordt steeds belangrijker. Dit beïnvloedt rolinvulling en samenwerking met de externe accountant. Onze raad van bestuur, raad van commissarissen én de externe accountant vinden het relevant om te weten dat de processen rondom financiële stromen adequaat beheerst worden. Internal audit wil zich hier niet afzijdig van houden. Als de externe accountant adviezen uitbrengt aan onze raad van bestuur dan creëert dit ook weer een vraag richting internal audit. De afgelopen jaren zijn we daarom weer meer naar de financiële processen gaan kijken, maar dan met een ‘operational audit blik’. De RA’s, RE’s en RO’s die we binnen onze afdeling hebben, zijn hier ook toe in staat.”

“Doordat we deze disciplines in huis hebben kunnen we ons goed profileren en onze stakeholders ook goed bedienen. Dit betekent echter wel dat internal audit en de externe accountant goede afspraken moeten maken. Dit hebben we dan ook gedaan, een goed voorbeeld zijn de afspraken die we hebben gemaakt op het gebied van de IT-controls. De externe accountant zal zelf jaarlijks de general IT controls beoordelen die gerelateerd zijn aan de jaarrekening. Internal audit richt zich op de general IT-controls binnen de grote programma’s en projecten. Zo vullen we elkaar aan zonder dat we dubbel werk doen. Als internal audit het voornemen om meer gebruik te maken van big data in de nabije toekomst gaat concretiseren, dan is dit relevant voor de externe accountant die ook deze beweging maakt. Er zal dan opnieuw een moment komen dat internal audit en de externe accountant afspraken zullen maken over rolinvulling en samenwerking om er voor te zorgen dat we complementair aan elkaar blijven.”

In hoeverre steunt de externe accountant op het werk van internal audit?

“Niet. Regelgeving voor de externe accountant, waaronder de COS 610, vereist van hen dat aan strikte voorwaarden voldaan moet worden om te kunnen steunen. Er zal bijvoorbeeld een uitgebreide review moeten plaatsvinden, waarbij de externe accountant veel herhaalwerkzaamheden zal moeten verrichten. Dit komt dan al snel neer op twee keer de hoofdwas doen. Het is voor ons een betere keus om ons te richten op de primaire en financiële processen en te zorgen dat deze verbeteren. Dit op een kwalitatief hoogstaande manier doen, conform de IIA Standards, moet voor ons leidend zijn, niet de eisen voor de externe accountant om op ons werk te kunnen steunen. De externe accountant richt zich op de werkzaamheden die nodig zijn om een verklaring bij de jaarrekening af te kunnen geven. Uiteraard informeren we elkaar wel over de werkzaamheden die we verrichten. Zo ontvangt de externe account standaard al onze auditrapporten en vice versa.”

Beperkt de externe accountant zich tot de financiële cijfers en de jaarrekening?

“Uiteraard kijken ze anno 2016 ook naar de risicoparagraaf en het bestuurverslag. De externe accountant heeft een maatschappelijke functie en geeft een verklaring af over de financiële verantwoording. Met een professioneel-kritische houding onderzoekt onze externe accountant de financiële processen in het kader van de jaarrekeningcontrole en rapporteert hierover aan de RvB en de RvC. Tegelijkertijd is ook het niet-financiële veld van belang voor de externe accountant. Het belang van niet-financiële KPI’s zoals bijvoorbeeld klanttevredenheid, zitplaatskans en CO₂-uitstoot is toegenomen en onze externe accountant rekent dat expliciet tot haar aandachtsgebied. Zo kennen de concessievoorwaarden voor de hoofdrailnetconcessie bijvoorbeeld allerlei niet-financiële KPI’s waaraan NS moet voldoen. De externe accountant zal ook daarvan kennis moeten nemen.”

“De verhoudingen zijn niet in ijzer gegoten, er moet ruimte zijn om te veranderen. Innovaties komen, wetgeving verandert, big data zal invloed hebben. Verander waar nodig en houd het praktisch werkbaar voor nu”

“De externe accountant reflecteert ook op ons auditplan. Ze kijken met extra interesse naar de audits die extra kleuring geven aan de werkzaamheden die zijzelf uitvoeren. Denk bijvoorbeeld aan de IT-audits die wij uitvoeren en de audits bij Abellio. Je kunt ons zien als partners in business maar dan ieder met een eigen focus: die van de externe accountant ligt bij het maatschappelijk verkeer, de focus van internal audit op de klant van NS en daarmee op de primaire processen. Het eiwit en eigeel is zogezegd goed gescheiden. De risk- en auditcommissie van NS vraagt dit ook nadrukkelijk van ons: wees complementair aan elkaar, voorkom hiaten en doublures. Er moet een symbiose ontstaan waar je elkaar kunt vinden. De verhoudingen zijn ook weer niet in ijzer gegoten, er moet ruimte zijn om te veranderen. Innovaties komen, wetgeving verandert, big data zal invloed hebben. Verander waar nodig en houd het praktisch werkbaar voor nu.”

Hoe ver kan het werk van de externe accountant gaan?

“Het gebeurt nu in sommige organisaties dat de externe accountant internal auditwerkzaamheden overneemt. Dit snap ik als er een tekort aan mensen is of omdat bepaalde expertise nodig is. Buiten deze redenen om ben ik er geen voorstander van. Het maakt het voor de externe accountant lastig assurance te geven als ze ook de internal auditfunctie vervullen. Daarnaast kun je je afvragen wie er het best voor is geëquipeerd. Het voordeel van een internal auditfunctie is nu juist dat binnen de muren van de organisatie auditors het hele jaar hun werk doen en daardoor weten wat er speelt. Internal audit is bij uitstek in staat net iets dieper te gaan en advies te geven als het gaat om de NS-processen dan de externe accountant.”

Welke wensen hebt u nog voor de samenwerking?

“Niet veel. We kunnen elkaar goed vinden en wisselen informatie goed uit. Wat overigens ook goed werkt is dat internal audit een puur inhoudelijke relatie heeft met de externe accountant en geen logistieke rol heeft in het jaarrekeningproces. De finance-afdeling van NS is praktisch aanspreekpunt in termen van budgetten en alle operationele aspecten. Internal audit kan zich daardoor beperken tot het zijn van een counterpart. Waar we op kunnen verbeteren zit meer in de samenwerking tussen de verschillende functies binnen NS zoals legal, risk en IT en integriteit & compliance. De wens van de externe accountant is dat we in toenemende mate kijken naar financiële processen. Dit is een ontwikkeling die al gaande is.”

Is er een optimaal recept voor samenwerking?

“Nee, zowel de mate waarin internal audit een natuurlijke adviesfunctie heeft binnen de organisatie, de mogelijkheden en onmogelijkheden die wet- en regelgeving bieden en de kosten, zijn alle drie relevant in de overweging ten aanzien van de taakverdeling externe accountant versus internal auditor. Dit kan per organisatie verschillen. Er bestaat geen magisch recept of one-size-fits-all-oplossing. Het blijft immers mensenwerk.”