Verleid de RvC en RvB tot een bredere blik!

Het evaluatieproces van de auditcommissie en de samenstelling van deze commissie is nog niet ideaal, zeker in de ogen van de internal auditor niet. De auditor moet met het oog op de toekomst aandringen op een betere evaluatie van de auditcommissie. Maak het evaluatieproces van de raad van bestuur, raad van commissarissen en de commissies van deze laatste dan ook onderwerp van internal audits.

De auditcommissie (AC) is een van de meest voorkomende commissies van een raad van commissarissen (RvC). De AC wordt doorgaans gezien als een belangrijke commissie en is/was primair gekoppeld aan de toezichthoudende functie van de RvC. Met name de financiële invalshoek was en is vaak nog steeds dominant. Historisch gezien werd er veel aandacht geschonken aan de rapportage en verantwoording van de financiële resultaten. Een ex-postblik is daarbij niet ongebruikelijk. In het verlengde daarvan zien we ook internal audit (IA) acteren. Als er een IA is, rapporteert deze veelal aan (een lid van) de raad van bestuur (RvB) en aan de AC. Ook neemt de IA meestal deel aan de vergaderingen van de AC.

Jaarlijks commissarissenbenchmarkonderzoek

In de vijftiende editie van het Grant Thornton commissarissen benchmarkonderzoek van Board in Balance en Herbert Rijken is aan de hand van dertien bedrijfs- en persoonlijke benchmarks uitgebreider stilgestaan bij het functioneren van de AC. Leden van de RvC en RvB, secretarissen van RvC’s en internal auditors werden om hun mening gevraagd. In totaal deden 197 respondenten mee aan het onderzoek.

Kwaliteit evaluatie functioneren AC rammelt

Alle benchmarks laten zien dat de AC op dit moment voldoende functioneert, behalve die van de internal auditor. Deze is van mening dat de AC beter kan functioneren dan nu het geval is. Tegelijkertijd zien we bij de stelling dat de AC jaarlijks wordt geëvalueerd bij negen benchmarks verbeterwensen (inclusief de internal auditor uiteraard). Dit lijkt ons tegenstrijdig. Als men blijkbaar niet tevreden is over hoe (vaak) de AC wordt geëvalueerd, kan men dan wel een goed oordeel vellen over het functioneren van die commissie? Wij denken van niet.

De mening van de AC-leden is meestal wel relevant bij de beoordeling van de IA. Waarom niet andersom?

Meer signalen

Er zijn meer signalen die duiden op onvoldoende kwaliteit van de evaluatie van de AC en de afzonderlijke leden. Bijvoorbeeld dat men het functioneren in de AC van de afzonderlijke leden bij veel benchmarks niet jaarlijks evalueert. Bij bijna alle benchmarks is dit dan ook een bespreekbaar punt of verbeterwens en bij de meeste benchmarks ook nog eens urgent van aard. Een ander signaal hoorden we tijdens de interviews. Als we (al) bevestiging kregen dat het functioneren van de AC inderdaad op de agenda van de RvC stond, was dat meestal in combinatie met de reguliere evaluatie van het functioneren van de hele RvC. We vragen ons dan af hoeveel tijd de RvC besteedt aan het functioneren van de afzonderlijke commissies (en haar leden) tijdens zo’n evaluatie van de hele RvC? We vermoeden niet dat dat heel veel is. We pleiten daarom voor een professionelere benadering van de evaluatie van de AC.

Rol internal audit

Daarvoor moet IA de afgelopen jaren wel wat schroom van zich af hebben gegooid. In 2019 vroegen we ons namelijk nog af waarom IA zo terughoudend is met het doen van uitspraken over het functioneren van de RvC en RvB. Een voor de hand liggende reden was en is dat IA in het algemeen maar beperkt interactie heeft met de RvC en dan meestal primair met de AC. De kans is groot dat IA door de commissarissen bekeken wordt vanuit het toezichtperspectief. En afhankelijk van de interpretatie van de reikwijdte van het toezicht – en ook van risicomanagement – wordt IA in een bepaalde hoek geduwd. Het kan zijn dat een RvC vindt dat zij buiten de scope van het toezicht en daarmee ook van IA valt. Laat staan dat IA in het kader van een 360°-beoordeling een oordeel mag geven over de RvC (en AC) en de RvB. Toezicht op de RvB is toch alleen het voorrecht van de RvC? Het beeld van IA wordt daarmee beperkt tot de RvC-leden in de AC.

Niet alleen de AC

In onze eerdere onderzoeken signaleerden wij de nodige verbeterwensen voor de evaluaties van het functioneren van de RvC en de RvB. Wij denken dat het misschien goed is dat IA, al dan niet met support van buiten de organisatie, in ieder geval het evaluatieproces bij zijn organisatie met betrekking tot de RvB, de RvC en de RvC-commissies in de breedte eens in het auditplan opneemt. Als interne ‘onafhankelijke’ functionaris met een (‘dotted’) lijn naar de RvB en RvC is deze misschien de meest aangewezen persoon daarvoor. Want waarom zou bijvoorbeeld vanuit de optiek van risicomanagement IA niet eens professioneel en gestructureerd naar het proces van evalueren van de RvB, de RvC en de RvC-commissies zoals de AC kunnen c.q. moeten kijken? Zijn de RvC en de RvB boven de ‘internal-auditwet’ verheven?

Gebruik de 360°-benadering

Het verschilt sterk per benchmark of het ook wenselijk wordt geacht om bij een evaluatie van de AC gebruik te maken van een 360°-benadering. We zien dat het beursgenoteerde bedrijf en het grote niet-beursgenoteerde bedrijf het daar min of meer mee eens zijn, terwijl woningcorporaties en organisaties in de zorg meer twijfels hebben bij het gebruik van dit instrument.

Iets soortgelijks zien we bij de persoonsgebonden benchmarks: de jongere commissaris is het er duidelijk mee eens om gebruik te maken van een 360°-benadering, de voorzitter zit net aan in de klasse min of meer mee eens. Het ligt voor de hand dat van de aanwezige RvC-leden degenen met de meeste kennis over financiën en risicomanagement zitting hebben in de AC. Tegelijkertijd is het evenmin vreemd om te veronderstellen dat onder de vaste gasten van deze commissie de CFO, IA, de compliance officer en de controlerende externe accountant te vinden zijn.

Waarom zou je deze vaste gasten dan niet eens in de twee jaar vragen te reflecteren op het functioneren van de AC? De mening van de AC-leden is meestal wel relevant bij de beoordeling van de IA. Waarom niet andersom? Kan het de overige RvC-leden, die niet in de AC zitten, misschien helpen om een goed oordeel te vellen over het functioneren van de AC(-leden)? De vaste gasten hebben misschien meer (vak)inhoudelijke kennis van de materie dan de overige RvC-leden. En kan het, een stap verder, de AC ook niet verder helpen?

Onvoldoende evaluatie

Leidt onvoldoende evaluatie tot een AC die achter de feiten blijft aanlopen? Ja. Uiteraard vindt iedereen het wenselijk dat de AC divers is samengesteld qua persoonlijke en technische (vak)competenties. Ook is het wenselijk dat de AC-leden voldoende kennis van de organisatie hebben (zie figuur 1). De vraag is of dat nu ook het geval is. En dat ligt eraan aan wie je het vraagt (zie figuur 2).

Opvallend is dat bij de bedrijfsbenchmarks alleen het beursgenoteerde bedrijf aangeeft dat de samenstelling van de AC qua (vak)technische competenties verbetering wenst. Daarnaast zien we dit ook bij een aantal persoonsgebonden benchmarks, waaronder die van alle niet-commissarissen inclusief de IA. Wij vragen ons af of dit te maken heeft met gewenste aanpassingen in verband met de uitdagingen waarmee organisaties de laatste jaren te maken hebben en de komende jaren zullen worden geconfronteerd. Wij denken daarbij vooral aan onderwerpen die wel financiële gevolgen (kunnen) hebben, maar als zodanig nog in beperkte mate of niet al volop gestructureerd op de agenda van de RvC en/of de AC hebben gestaan of staan. Denk bijvoorbeeld aan geopolitieke ontwikkelingen, klimaat, bedrijfs- en ondernemingscultuur en algemene culturele en maatschappelijke ontwikkelingen die tegenwoordig soms snel momentum krijgen. Het lijkt ons aannemelijk dat hierdoor andere onderwerpen op de agenda van de AC kunnen en moeten komen dan voorheen gebruikelijk was.

Meebewegen van de AC

Het werkterrein van de AC is niet statisch, maar evolueert en misschien ook wel met verschillende snelheden. Houden de meeste commissarissen in dit opzicht nog te veel vast aan een agenda uit het verleden en ‘ademen ze onvoldoende mee’ met het veranderende ‘Umfeld’? En lopen ze dan het risico dat ze straks ‘beademd’ moeten worden? Denk aan de CSRD-richtlijn gericht wat betreft het verplicht rapporteren over de impact van de activiteiten van organisaties op mens en milieu. Op het gebied van de implementatie van deze richtlijn zijn in het verleden al genoeg signalen afgegeven dat dit bepaald nog geen gelopen race is. Recente onderzoeken wijzen uit dat de voortgang daarvan bij een zeer groot aantal bedrijven allesbehalve bemoedigend is.

Een AC die zichzelf niet wil onderwerpen aan een serieuze evaluatie doet zichzelf en de organisatie tekort

Alles resumerend

Wij denken dat bij een goede evaluatie van het functioneren van een AC, veel nadrukke­lijker dan nu het geval is, ook de onderwerpen en de werkwijze van de AC aan de orde moeten komen, inclusief verwachte nieuwe ontwikkelingen. En in het verlengde daarvan moet men ook de vraag beantwoorden welke competenties, zowel technische als persoonlijke, nodig zijn om als AC niet alleen een voldoende, maar ook tijdig een goede bijdrage te leveren aan de organisatie. Daarbij dient te worden uitgegaan van de positie van het bedrijf in de maatschappij, de relaties met de relevante stakeholders, het toekomstperspectief, de doelstellingen en de gekozen strategie. Een AC die zichzelf niet wil onderwerpen aan een serieuze evaluatie doet zichzelf en de organisatie tekort. Mogen een RvC en een RvB dat toestaan? Wij denken van niet. En u als IA? Welke taak ligt hier voor u?