Een ander paradigma

Internal auditors verschaffen graag zekerheid. Daartoe worden normen gezocht en geformuleerd waar de werkelijkheid tegenaan wordt gehouden.

Afwijkingen worden vastgesteld en vervolgens dienen die te worden opgelost om herhaling te voorkomen. Dat veronderstelt dat er altijd normen te vinden zijn en mijn stelling is dat dit lang niet in alle situaties het geval is. Zekerheid verschaffen aan de hand van toetsbare normen is veel minder vaak mogelijk dan ons lief is. We leven in een VUCA (volatile, uncertain, complex, ambigious) wereld waar het paradigma van lineair denken en het kunnen kennen van oorzaak en gevolg niet past. Het is een paradigma dat we kennen sinds de Verlichting en de industriële revolutie. Cybernetica leerde ons dat veel te vertalen is in regelkringen en daarmee is input-throughput-output het dominante denkraam voor veel auditors.

Het paradigma van de VUCA-wereld is er een waarbij onzekerheid de ‘norm’ is en er a priori geen zekerheden zijn. Modelleren van die wereld lukt ook nog niet echt en in de wetenschap hebben we het dan over ‘decision making under (deep) uncertainty’. Dat leidt tot heel complexe modellen waarmee een grote hoeveelheid variabelen te lijf wordt gegaan die wel tot uitkomsten leiden, maar op zijn best leveren die uitkomsten mogelijke scenario’s op. Als je een energieleverancier bent die moet investeren in de energietransitie en een infrastructuur moet opbouwen die anders is dan vandaag en die wel 30-50 jaar mee moet kunnen en veel investeringen vraagt, dan heb je een serieus probleem. Als je in een bedrijfstak werkt, bijvoorbeeld de financiële, waar disruptie aan de orde van de dag is en je enige bescherming die van de AFM en DNB is, dan moet je weliswaar nog steeds compliant zijn en het three-lines-of-defensemodel naleven, maar of je dat gaat helpen om te overleven in die VUCA-wereld?

Als we kijken naar de bekende S-curve dan denk ik dat ons vertrekpunt van zekerheid willen bieden en aan normen toetsen vooral passend is in de tweede helft ervan, maar niet in de eerste helft. Aan het eind van die tweede helft ligt als uitdaging het vinden van een nieuwe S-curve en dus dealen met onzekerheid. Dat steeds minder bedrijven daarin slagen, laten de feiten zien. Bedrijven ‘leven’ tegenwoordig korter dan twintig jaar. Daar helpen (internal) auditors kennelijk niet tegen. Sterker nog, ik denk dat we mede bijdragen aan dit ervaringsfeit. We zoeken naar zekerheid daar waar we op zoek zouden moeten gaan naar de mogelijkheden tot innovatie en het vinden van een nieuwe S-curve. We dragen bij aan het steeds beter doen van de dingen die we al doen, maar niet aan de vraag of we nog de goede dingen doen.

In zijn afscheidscollege sprak prof. Ed Vosselman over ‘pseudo-control’ en performativiteit: dat wil zeggen de werkelijkheid gaat zich gedragen naar hetgeen wij als uitgangspunt hanteren. Dit is goed waar te nemen bij de naleving van de huidige Corporate Governance Code. Uit het nalevingsonderzoek dat net is verschenen blijkt dat de naleving 99% is. Iedereen blij, maar of de wereld er beter door geworden is vraag ik mij zeer af, ik denk van niet. Kranten staan nog steeds bol van schandalen en zeperds.

Ik wens auditors aan het begin van dit decennium dan ook toe dat ze nadenken over een ander paradigma waarin de notie van ‘zekerheid en normen’ minder passend is. De toekomst van uw organisatie staat immers op het spel.