CZ en VGZ kiezen voor intern certificeren

Zorgverzekeraars CZ en VGZ certificeren zelf financiële verantwoordingen. Een gesprek met Maureen Vermeij-de Vries, directeur IAD van CZ, en met Joop Winterink, directeur Internal Audit van VGZ over waarom hiervoor is gekozen, wat de gevolgen zijn voor de samenwerking met de externe accountant en de voor- en nadelen voor de auditafdelingen.

Kunnen jullie kort iets vertellen over de auditafdeling en de werkzaamheden?

Maureen Vermeij-de Vries (MVdV): “Wij beschikken over 27 fte waarvan 25 fte auditcapaciteit en voeren financial, operational, IT- en compliance audits uit. Veel van onze werkzaamheden gebeuren in de ondersteunende processen van de jaarrekening en daar zijn alle auditdisciplines bij betrokken. Daarnaast voeren we audits uit op risk management, governance en een breed scala aan IT-audits. Naast het intern certificeren van de jaarrekening, certificeren wij gegevensaanleveringen en verantwoordingen aan diverse toezichthouders. Dit hebben we bereikt na heel hard werken en met jarenlang aantoonbaar hoge kwaliteit van de auditdossiers en de inzet van deskundige auditors. De NZa en ZiNL moesten toegroeien naar de situatie waarin een steeds grotere rol van de IAD is voorzien.^1,2 Voor DNB moeten nog wel verklaringen door de externe accountant worden afgegeven. Wij zij nu bezig DNB ertoe te bewegen om ook intern certificeren mogelijk te maken.”

Joop Winterink: “Wat wij niet doen is de controle van de jaarrekening, dit wordt gedaan door onze externe accountant”

Joop Winterink (JW): “Bij ons zijn 24 fte werkzaam. We geven net zoals CZ assurance bij verantwoordingen en gegevensaanleveringen voor onze toezichthouders. Ook geven wij assurance bij in control statements (ICS) die binnen VGZ worden afgegeven. Dit doen we door audits op kritische bedrijfsprocessen, waarbij belangrijke auditbevindingen door het management moeten worden opgenomen in het ICS. Verder voeren wij thema-audits uit op belangrijke strategische doelen van VGZ, waarbij we samen met de business tot een normenkader komen. Wat wij niet doen is de controle van de jaarrekening, dit wordt gedaan door onze externe accountant. De interimcontrole ten behoeve van de jaarrekening voeren wij wel uit, waarbij de externe accountant onze werkzaamheden reviewt. Dit vergt een goede communicatie en afstemming tussen ons en de externe accountant.”

Wat zijn de voordelen van het zelf uitvoeren van relatief veel financial audits?

MVdV: “De lijnen naar de business en toezichthouder zijn korter, we bouwen intern kennis op en het is goedkoper. Door zelf te certificeren schrap je een stap in de reviewketen: de review van de externe accountant. Als IAD ben je flexibeler en voor de organisatie is dat gemakkelijker schakelen. Een ander voordeel is dat we in staat zijn een goede relatie te onderhouden met de toezichthouders. De toegankelijkheid van de dossiers is voor de toezichthouders eenvoudig. Ze kunnen op afstand onze elektronische dossiers reviewen. Dus minder formeel dan wanneer je met een externe accountant te maken hebt.”

MVdV: “We proberen de toezichthouders optimaal te faciliteren om efficiënt hun rol uit te kunnen voeren. Dat betekent dat we goed moeten weten waar toezichthouders behoefte aan hebben. We proberen heel objectief bevindingen te rapporteren, maar werken ook binnen een bepaalde context. Het is belangrijk om ons daar continu van bewust te zijn. Ontwikkelingen bij ziekenhuizen en in de geestelijke gezondheidszorg (GGZ) gaan soms gewoon niet zo snel; dat moeten we wel aanvoelen. Daarnaast zijn de externe accountants de afgelopen jaren heel voorzichtig geworden. In mijn optiek hoef je echt niet altijd voor een acht of negen te gaan. Tot slot is het veel goedkoper om zelf de certificering te doen. Het budget dat we als CZ kwijt zijn aan de externe accountant is enorm gedaald.”

JW: “De voordelen zitten met name bij de business. Wij zijn een directer, prettiger en gemakkelijker aanspreekpunt en ze hebben maar met één aanspreekpunt te maken. Ze stellen onze werkzaamheden op prijs, de klanttevredenheid is hoog. Het bedrijfsonderdeel Financiën heeft in het kader van de jaarrekeningcontrole wel direct contact met de externe accountant. Een ander voordeel is dat wij de expertise en kennis hebben van de processen binnen VGZ en onvolkomenheden tijdiger signaleren, zodat deze nog gerepareerd kunnen worden. Het derde voordeel is dat wij de werkzaamheden aanzienlijk goedkoper kunnen uitvoeren.”

Joop Winterink: “We  merken dat de toezichthouders makkelijker contact met ons hebben en wij kunnen de vragen richting de business afvangen, ze hebben te maken met één aanspreekpunt”

JW: “In navolging van CZ heeft de NZa aan ons gevraagd of ook wij assurance willen geven bij de verantwoordingen en de gegevensaanleveringen. Ze vinden ons werk kwalitatief beter en hebben direct toegang tot onze dossiers, daar starten hun werkzaamheden, en ze beschikken daarmee over meer informatie. Als de externe accountant certificeert dan begint de toezichthouder bij het eigen dossier van de externe accountant. Bij verdere vragen gaan ze vervolgens naar de dossiers binnen VGZ. Daarnaast merken we dat de toezichthouders makkelijker contact met ons hebben en wij kunnen de vragen richting de business afvangen, ze hebben te maken met één aanspreekpunt. De externe accountant verwijst in het algemeen de toezichthouder bij vragen naar verschillende medewerkers in de business.”

CZ en VGZ trekken wat betreft certificering samen op richting toezichthouder. Speelt onderlinge concurrentie nog een rol?

MVdV: “In eerste instantie ben je elkaars concurrent. VGZ zag dat de IAD van CZ steeds krachtiger werd ten opzichte van de externe accountant. Ook als IAD moet je goed kijken naar de auditkosten in relatie tot de toegevoegde waarde. Het is dan ook de uitdaging om ervoor te zorgen dat de samenwerking met de externe accountant wordt geoptimaliseerd. Elkaar in hun kracht zetten. Hierdoor konden wij een forse reductie van externe accountantskosten realiseren. Door (goedkopere) interne certificering heb je meer mogelijkheden om je interne organisatie vaktechnisch goed op peil te houden. De IAD CZ liet continu aan de NZa zien dat de externe accountant niets toevoegde in de controleketen. VGZ zag dit en heeft hier ook van geprofiteerd. Andersom heeft CZ ook steun gehad aan VGZ om haar objectiviteit richting toezichthouders te versterken. CZ en VGZ zijn op zoek naar win-winsituaties richting toezichthouder. Daarbij proberen we het concurrentieaspect buiten de deur te houden.”

Wat zijn de nadelen van het zelf uitvoeren van relatief veel financial audits?

MVdV: “Ik zie geen echte nadelen. Voor de externe accountant is het certificerend werk op basis van het reviewen van onze werken niet meer zo leuk. Onze onze huidige externe accountant wist vanaf het begin dat ze in de reviewrol zouden zitten.”

JW: “In het tweede kwartaal wordt er een groot beslag gelegd op onze capaciteit, er moet veel werk worden verzet met de beschikbare capaciteit. Onze volledige capaciteit is dan alleen bezig met financiële verantwoordingen. Hierdoor kunnen we weinig tot geen andere audits uitvoeren. We zijn de laatste jaren bezig om de verantwoordingen efficiënter uit te voeren door bijvoorbeeld het toepassen van data-analyse.”

MVdV: “Ik herken wel dat er een grote druk ligt op de IAD in de periode maart/april/mei. We zitten dan met een groot deel van het team vast in de certificerende werkzaamheden.”

Heb je een bepaalde samenstelling van medewerkers nodig?

MVdV: “Het liefst heb ik voor het grootste deel medewerkers met een RA-opleiding die zich daarna gaan verbreden met een RE- of RO-opleiding. Daarnaast heb ik een aantal medewerkers met alleen RO of RE. Er draait ook wel eens een RO mee in de jaarrekeningcontrole. Het is goed om te kijken hoe dat proces gaat en wat er bij komt kijken.”

JW: “Wij hebben veel auditors met een financiële en RA-achtergrond. Deze kennis is nodig om in het tweede kwartaal de werkzaamheden uit te kunnen voeren. Idealiter zou ik graag een gelijke verdeling zien tussen auditors met een RA-, RE- en RO-achtergrond. Wij hebben nu weinig RO’s.”

Hoe verloopt de samenwerking met de externe accountant?

MVdV: “De samenwerking verloopt goed. Het voordeel is dat wij bij onze externe accountant altijd een vaktechnische back-up hebben. Qua controleplan werken we intensief samen waarbij het vervolgens CZ-specifiek wordt gemaakt door de IAD. Daarnaast schrijven we samen de managementletter en zitten we samen in het tripartiete overleg met DNB. We zijn op zoek naar onderlinge toegevoegde waarde. Vaktechnisch kunnen we het niet helemaal op eigen kracht doen. In het offertetraject met de externe accountant staat dan ook heel duidelijk wat we in dat opzicht verwachten. Het gaat namelijk om een discussie op inhoud. Dit jaar gaat CZ over op KPMG. We zullen opnieuw een goede samenwerking moeten opbouwen, maar daar heb ik heb alle vertrouwen in.”

Maureen de Vermeij-de Vries: “In het offertetraject met de externe accountant staat dan ook heel duidelijk wat we in dat opzicht verwachten”

JW: “Het feit dat wij zelf verklaringen afgeven is geen onderwerp van discussie geweest met de externe accountant. Op het moment dat dit speelde was VGZ net bezig met het wisselen van externe accountant. Hierdoor was het geen probleem voor de toenmalige externe accountant en een voldongen feit voor de nieuwe externe accountant, het was bij de aanbesteding bekend dat zij deze werkzaamheden niet hoefde uit te voeren. Daarnaast hebben wij net zoals bij CZ samen met de externe accountant een jaarlijks tripartiet overleg met DNB.”

Welke risico’s loop je als auditafdeling bij het uitvoeren van deze werkzaamheden? 

MVdV: “In het geval we een keer een misser maken, dan hoop en verwacht ik dat we voldoende goodwill bij de toezichthouder hebben opgebouwd dat een foutje gemaakt mag worden. Vertrouwen gaat echter te paard… het is dus heel belangrijk dat ons kwaliteitssysteem op orde blijft.”

JW: “Het risico zou kunnen zijn dat je minder onafhankelijk en kritisch bent. Naar mijn mening zijn wij voldoende kritisch. De controleprotocollen van de NZa en ZiNL dwingen ons daar ook toe. Door de jaren heen zijn wij kritischer geworden. Ons interne kwaliteitssysteem is onlangs met positief resultaat door het IIA getoetst; we kunnen de kwaliteit van ons werk waarborgen.”

Is sprake van een interne auditfunctie of een interne accountantsdienst?

MVdV: “We zijn begonnen als een interne accountantsdienst maar hebben ons ontwikkeld tot een interne auditdienst. Onze invulling is immers veel breder. We werken als IAD ook veel met data-analyse. Daarmee kunnen we de businesscontrollers en analisten ook inspireren. Ze zien allerlei mogelijkheden voor hun eigen managementinformatie en ze gebruiken deze informatie voor hun eigen managementdashboard. Verder hebben we binnen de IAD iemand met veel kennis van informatiebeveiliging en het hacken van computers. Hij heeft voor ons een opleiding ‘hacking voor auditors’ ontwikkeld en geeft deze training nu ook via het IIA.”

JW: “Ik zie het primair als een interne auditfunctie. Doordat wij ‘klassieke’ auditwerkzaamheden goed oppakken, krijgen we de ruimte en kans om andere audits uit te voeren zoals governance, cultuur en gedrag. De raad van bestuur waardeert onze bredere rol. Vrij recent hebben we een audit naar het strategische alignment binnen VGZ uitgevoerd, waarmee we hebben bewezen dergelijke audits aan te kunnen. Belangrijk is dat wij de kans van het bestuur krijgen om die bredere rol in te vullen. Vragen waar ik nog mee zit zijn: hoe zet je de auditafdeling goed neer om de toegevoegde waarde duidelijk te maken? Hoe krijg ik een goede balans tussen financiële en andere audits? Is er nog een auditafdeling nodig als de bedrijfsonderdelen een in-controlsituatie hebben bereikt? Ik ben van mening van wel. Je kunt als auditafdeling immers bevestigen dat het goed gaat. De verwachting van de klant is vaak dat je ‘iets moet vinden’. Een auditafdeling kan echter ook gericht zijn op verbeteren. De nieuwe Governance Code biedt hiervoor gelukkig aanknopingspunten. Het is van belang om binnen de beroepsgroep de dialoog hierover te voeren en elkaar te faciliteren en te inspireren om ons vak continu te verbeteren.”

Noten

1. Nederlandse Zorgautoriteit.
2. Zorg Instituut Nederland.