20 jaar later: de cirkel is rond

Voor het eerste nummer in februari 1997 van Operational Auditor, de voorganger van Audit Magazine, schreef Frank Vrolijk een artikel over de vier pijlers voor een effectieve internal auditfunctie. 20 jaar later spreken we hem over het vak, zijn eigen ontwikkeling en of die vier pijlers van toen nog steeds effectief zijn.

U werkte 20 jaar geleden als auditmanager Europe voor Allied Domecq en voorzitter van de VRO. Wat doet u tegenwoordig?

“Ik noem mijzelf graag semipensionado. Na een mooie loopbaan geniet ik van mijn pensioen, maar ik ben nog veel te ambitieus om stil te zitten. Daarom ben ik naast zelfstandig ondernemer ook lid van de raad van advies van RSG Finance, partner van Kies Uw Accountant, lid van de commissie van oud-voorzitters van de SVRO en ben ik coach voor CAE’s en raden van bestuur. Daarnaast ben ik actief binnen de gemeentepolitiek en dien ik een aantal liefdadigheidsdoelen. Kortom, ik verveel me zeker niet.”

Vier pijlers auditfunctie

1. Een goede invulling van taken en verantwoordelijkheden

2. De juiste mensen en een goede interne taakverdeling

3. Een positionering op een adequaat niveau in de onderneming

4. Het hanteren van een methodologie voor Internal Audit

Wat is de belangrijkste ontwikkeling die u als auditprofessional hebt doorgemaakt de afgelopen 20 jaar?

“Ik heb verschillende functies bekleed binnen multinationals, waarbij Internal Audit en interne beheersing als een rode draad door mijn carrière lopen. Ik heb als CAE aan de ene kant van de tafel gezeten en als managing director en voorzitter van de RvC aan de andere kant van de tafel. Hierdoor heb ik de afgelopen 20 jaar geleerd om naar interne beheersing in de volle breedte en vanuit verschillende invalshoeken te kijken. Niet alleen vanuit financiële verantwoording, maar juist ook vanuit het primaire proces van organisaties. Deze bagage maakt dat ik ten opzichte van 20 jaar geleden op een hoger aggregatieniveau kan acteren en ik merk ook dat ik hierdoor als gesprekspartner herkenning krijg en gewaardeerd word.”

“Wat we als internal auditors vaker mogen doen, is onszelf meer bekendheid geven. We mogen meer de boer op, laten horen wat we doen en waar we voor staan”

Kijkend naar de ontwikkeling in het vakgebied: in het artikel noemde u vier pijlers. Zijn dit in uw ogen nog steeds de vier belangrijkste pijlers?

“Ik denk dat de vier pijlers nog altijd overeind staan. De pijlers zijn door de jaren verder geconcretiseerd en geactualiseerd, maar de essentie is nog steeds hetzelfde. Een aantal zaken is steviger verankerd. Wat we als internal auditors vaker mogen doen, is onszelf meer bekendheid geven. We mogen meer de boer op, laten horen wat we doen en waar we voor staan. Als beroepsgroep binnen de maatschappij en als individuele auditor binnen de organisatie waar we werkzaam zijn, kunnen we meer en beter onze succes verkopen en aan ‘public relations’ doen. In die zin zou Communicatie als vijfde pijler een goede toevoeging zijn.”

Welke verschillen of ontwikkelingen ziet u ten aanzien van de eerste twee pijlers die betrekking hebben op taken, verantwoordelijken en bemensing vergeleken met 20 jaar geleden?

“Eigenlijk is er in de kern niet veel veranderd als het gaat om de primaire taak en verantwoordelijkheid van de internal auditfunctie: intern de spiegel voorhouden aan directie en management. Wat je wel ziet is dat het toen best bijzonder was om als internal auditor advies te geven. Zeker als het ongevraagd was. Daar waar het geven van adviezen door internal auditors destijds door velen nog gezien werd als ‘vloeken in de kerk’, is dit tegenwoordig stevig verankerd in het vak en zelfs in de definitie van Internal Audit opgenomen. Het gevraagde én ongevraagde advieswerk wordt inmiddels sterk gewaardeerd.”

“Het werken in multidisciplinaire teams is de afgelopen 20 jaar sterk ontwikkeld. Het is belangrijk om alle disciplines aan boord te hebben en zeker in grotere IAF’s zie je dit ook steeds meer vorm krijgen, waarbij de disciplines operational, financial en IT worden aangevuld met auditors met een achtergrond als bijvoorbeeld organisatiepsycholoog of socioloog. Ook zie je specialisaties als data-analytics en soft controls meer en meer opduiken. Steeds meer IAF’s voegen daarnaast de kennis van de business toe aan de afdeling door bijvoorbeeld gebruik te maken van ‘guest auditors’. Er zijn meerdere voordelen van deze aanpak. Je werkt aan binding met de eerste lijn, je gebruikt de knowhow van collega’s uit het primaire proces en werkt aan gedragenheid van je werk.”

In het artikel brak u een lans om managers in spe een deel van hun management-developmenttraject via Internal Audit te laten afleggen. Kijkt u hier nog steeds zo naar?

“Ik kijk er zeker nog steeds zo naar. Dit komt ook mede door mijn eigen ontwikkeling van de afgelopen 20 jaar. Louis van Gaal zei ooit, toen hij terug kwam bij Ajax: “De cirkel is rond”. Ik zie dat ook voor ons vakgebied. Het is goed voor aanstormend talent om een tijdelijke rol in een IAF te vervullen. Zij verrijken zich daardoor met competenties die ze nodig zullen hebben om in hun latere managementrol goed om te kunnen gaan met het spectrum Governance, Risk en Compliance. Aan het eind van hun carrière kunnen zij bijvoorbeeld terugkeren in Internal Audit om met hun managementkennis en kennis van het primaire proces de internal auditfunctie te verrijken. Ik heb het zelf mogen meemaken in mijn carrière en ben na verschillende directiefuncties nu weer adviseur en coach op het gebied van interne beheersing. Voor mij geldt dus zeker dat de cirkel rond is.”

Welke verschillen of ontwikkelingen ziet u ten aanzien van de derde en vierde pijler: Positionering en Methodologie vergeleken met 20 jaar geleden?

“Mijn credo ten aanzien van positionering is: Zo hoog mogelijk in de organisatie. Ik zie tegenwoordig steeds meer dat de IAF is ondergebracht onder de CEO. In toenemende mate zien CEO’s het belang van Internal Audit en vragen er ook om. Dit is echt een verandering die de afgelopen 20 jaar heeft plaatsgevonden. Ik juich dit erg toe. Het doet recht aan de rol van Internal Audit en het is ook de meest voor de hand liggende plek. IAF’s richten zich namelijk, terecht, meer en meer op de business. In steeds meer organisaties is besloten dat de IAF zich richt op de interne organisatie en dat de externe accountant zich richt op de externe financiële verantwoording. Positionering onder de CEO in plaats van de CFO is daarom ook logischer.”

“Om alle schijn en beïnvloeding te voorkomen is de IAF wat mij betreft het best bij de CEO onder te brengen, waarbij de lijn naar de auditcommissie natuurlijk wel open moet blijven”

“Ik ben geen voorstander van het model waarbij de auditcommissie te veel hiërarchische verwevenheid heeft met de IAF. Zo vind ik dat de beloning voor de CAE nooit via de lijn van de auditcommissie moet lopen. Het gevaar van belangenverstrengeling tussen de auditcommissie en de CAE ligt hierbij op de loer. Om alle schijn en beïnvloeding te voorkomen is de IAF wat mij betreft het best bij de CEO onder te brengen, waarbij de lijn naar de auditcommissie natuurlijk wel open moet blijven. Wel zie ik bij steeds meer organisaties het three-lines-of-defensemodel meer vorm krijgt. Wat je bij deze organisaties ziet, is dat de eerste en tweede lijn steeds professioneler worden. Hierdoor kan de IAF zich steeds meer richten op de strategische risico’s en zich toeleggen op haar toetsende rol. Wat betreft methodologie is er eigenlijk niet zo gek veel veranderd.”

Vindt u dat de ontwikkelingen binnen Internal Audit te langzaam zijn gegaan?

“Ik ben geneigd om te zeggen dat het inderdaad langzaam is gegaan. Ik weet ondertussen ook, mede door mijn ervaringen in de politiek, dat veranderingen tijd kosten en dat je soms kleine stapjes moet zetten. Door die bril bekeken is er heel wat bereikt. Ik ben bijvoorbeeld verheugd dat de IAF inmiddels een prominente plek heeft gekregen in de Corporate Governance Code. Het is een mooie blijk van waardering en het resultaat van hard werken en het consequent laten zien welke waarde Internal Audit toevoegt aan de doelstellingen van de organisatie.”

Tot slot: bestaat Internal Audit over 20 jaar nog steeds? En welk advies wilt u meegeven aan de huidige en toekomstige internal auditors?

“Ik zie internal audit over 20 jaar zeker nog bestaan. Als de eerste en tweede lijn of defense steeds professioneler worden, dan zie ik de IAF meer naar de puur toetsende rol verschuiven. Minder adviseren en meer toetsen op de strategische issues wordt denk ik de ontwikkeling. Data-analytics, data-profiling, IT, en soft skills zijn en worden steeds belangrijker. Mijn advies aan auditors is om hier veel in te investeren de komende jaren. Een gebied dat nog verder ontwikkeld kan en moet worden, ook in de opleidingen, is de rol van de internal auditor in de bestuurskamer. Deze is cruciaal om de boodschap over te brengen. De wereld wordt nooit perfect en daarom denk ik dat Internal Audit, mits zij toegevoegde waarde blijft leveren, altijd een rol zal houden.”