‘Blurring the lines’

Sinds kort is de visie op onze Defensie ingrijpend veranderd. Werd voorheen Defensie gezien als een kostenpost met betrekkelijk lage prioriteit waarin slechts minimaal hoefde te worden geïnvesteerd, nu hebben we daar een heel ander idee over.

Er lijkt zich een brede concensus af te tekenen met betrekking tot onze structurele defensie-uitgaven: 5% van onze welvaart, terwijl we in het recente verleden de 2% niet haalden. Dit is niet omdat we daadwerkelijk direct zijn aangevallen. We hoeven ons op dit moment (nog) nergens fysiek te verdedigen. Deze hogere uitgaven zijn mijns inziens ingegeven door twee fenomenen:

• Poetin, die door zijn inval in Oekraïne aangeeft dat hij ‘bewapenderhand’ zijn territoir wil uitbreiden. Iets wat door ons als een ernstige schending van het internationaal recht en zeer bedreigend wordt ervaren.
• Trump, die twijfel heeft gezaaid omtrent de vraag of de Verenigde Staten Europa daadwerkelijk te hulp zal schieten in geval van een conflict met Rusland.

Beide fenomenen zijn op dit moment voor ons een risico, een mogelijk scenario, maar nog geen feitelijke fysieke bedreiging voor ons grondgebied. De gedachte erachter is: wie vrede wil, moet zich voorbereiden op oorlog. Het drastisch verhogen van onze defensie-uitgaven is dan ook afschrikking. We hopen door ons leger en onze bewapening te versterken het nooit te hoeven inzetten. Het is meer een verzekering dan een verdediging.

Het is nog niet zo heel lang geleden dat de internal auditfunctie werd betiteld als third line of defense. Het three lines of defense model was de geëigende manier om de governance rondom assurance en control te beschrijven. Sindsdien is het denken geëvolueerd en spreken we van een three lines model, zonder defense in de naam. Toch is het niet zo dat vandaag ons risicolandschap in organisaties minder bedreigend is dan tien of twintig jaar geleden. Integendeel, op vele fronten is ons risicoprofiel juist groter geworden. Dit komt door globalisering, door technologische ontwikkelingen en doordat onze informatiesystemen met elkaar zijn verbonden, zowel intern als met onze buitenwereld.

Betekent dit dat we de investering in onze internal auditfunctie, als derde lijn, ook significant moeten verhogen, net als bij onze landsdefensie? Ik ben daar niet zeker van. Onze risicobeheersing steunt namelijk op drie lijnen. Daarbij is de eerste lijn primair verantwoordelijk en aan de spreekwoordelijke bal. Hierbij ondersteund door de tweede lijn in de vorm van methoden, technieken en kennis op een deelgebied. En internal audit geeft als derde lijn assurance met betrekking tot het adequaat functioneren van het samenspel tussen de genoemde twee lijnen.

In een wereld waar de risico’s toenemen en steeds complexer worden, moeten we er natuurlijk voor zorgen dat die derde lijn voldoende is geëquipeerd. Voldoende mensen en middelen heeft. Maar we zijn pas echt in control als alle drie lijnen hun eigenstandige rol vervullen en daarbij optimaal samenwerken. Het organiseren van aligned assurance is dan een betere weg dan simpelweg het versterken van de derde lijn.

Dat betekent naar mijn mening niet dat we alle assurance-activiteiten dan maar op één hoop moeten vegen. Ik geloof in de eigenstandige verantwoordelijkheid van elk van de actoren in ons risicobeheersingssysteem. Daarbij behoort de internal auditfunctie volledig onafhankelijk de assurancetaak te kunnen uitvoeren. Samenwerking tussen de lijnen en aligned assurance, jazeker! Maar ‘blurring the lines’, met diffuuse verantwoordelijkheden? Liever niet!