De herziene code: winst voor internal audit?

In gesprek met Hans Strikwerda, hoogleraar aan de Universiteit van Amsterdam, en Arie Molenkamp, boegbeeld en auteur op het gebied van internal auditing in Nederland. Strikwerda schreef in maart 2016 een uitgebreide reactie op de concepttekst van de op 8 december vorig jaar gepubliceerde herziene Corporate Governance Code (de herziene Code), waar hij onder meer ingaat op de taakstelling en positionering van de interne auditfunctie.

Bent u tevreden over de formulering van de taakstelling en positionering van IAF in de herziene Code?

Hans Strikwerda (HS): “Nee, de IAF wordt in de herziene Code neergezet als verlengstuk van de externe accountant. Daarmee is de herziene Code niet gebaseerd op de karakteristieken van de moderne onderneming, waarvan de waarde wordt bepaald op basis van toekomstige kasstromen en niet op basis van de balanswaarde. Op dit punt is de Monitoring Commissie niet consistent. Ze stelt namelijk langetermijnwaardecreatie centraal. Vraagstukken omtrent capabilities development, business model innovation en het adaptief vermogen van het bestuur zijn daarbij belangrijker dan de getrouwheid van de jaarrekening. In de herziene Code wordt de IAF echter neergezet als onderdeel van de toezichtfunctie, waar economisch gesproken internal audit onderdeel is van het systeem van double loop control in het besturen van de onderneming. Zoals voor werknemers geldt dat die recht hebben op self control, geldt dit ook voor de raad van bestuur (RvB) of liever: de bestuursvoorzitter. Bovendien, in de moderne economische opvatting moet internal audit gezien worden als onderdeel van de lerende organisatie.”

Arie Molenkamp: “Het is wrang te moeten constateren dat juist de functie van management controller in de herziene Code niet is opgenomen”

Arie Molenkamp (AM): “Het valt mij op dat de meeste commissieleden nog steeds denken in termen van controle in plaats van control, hoewel zich een kentering aftekent. Het is dan ook wrang te moeten constateren dat juist de functie van management controller in de herziene Code niet is opgenomen. Terwijl die controller bij uitstek de functionaris is die het management bijstaat bij het inrichten en het doen functioneren van de onderneming, alsmede bij het afleggen van verantwoording over de wijze waarop de onderneming wordt bestuurd. Het is immers ook de controller die er zorg voor draagt dat de juiste interne controlemaatregelen in de eerste lijn worden belegd en dat waar nodig verbijzonderde interne controlemaatregelen worden getroffen. Wel is het winst dat in de herziene Code meer nadruk wordt gelegd op de eigen verantwoordelijkheid van het bestuur. De functie van internal audit, zoals geduid in de herziene Code, is daarmee echter nog niet in overeenstemming. Wat de Monitoring Commissie kennelijk heeft opgebroken, is de verwarring die bestaat over de taakstelling van de IAF. Ik ben het volstrekt eens met de bestuurskundige invulling van internal audit zoals door Hans wordt geschetst. In de praktijk, in het bijzonder binnen de financiële sector, komt het helaas regelmatig voor dat de IAF fungeert als interne accountant.”

In uw reactie, mijnheer Strikwerda, geeft u aan dat de herziene Code de IAF in een tweeslachtige positie plaatst, als verlengstuk van de externe accountant en als instrument van de auditcommissie. Kunt u dit toelichten?

HS: “De uitdrukking ‘interne risicobeheersing- en controlesystemen’ verwijst naar de AO/IC zoals nodig voor een betrouwbare jaarrekening. De jaarrekening is geen managementinformatie. Dus wordt de IAF buiten een voor het besturen van de onderneming belangrijk domein geplaatst. Bijgevolg wordt de IAF gereduceerd tot werktuig van de externe accountant. Er is daarmee geen check op de kwaliteit van managementinformatie, waardoor een groot risico ontstaat. De herziene Code stelt daarnaast dat de raad van commissarissen (RvC), via de auditcommissie (AC), toezicht houdt op de IAF. Dit in combinatie met de preoccupatie in de herziene Code voor de jaarrekening en het feit dat volgens de wet een financieel deskundige – in de praktijk doorgaans een RA – in de AC móet zitten, zal in de praktijk betekenen dat de IAF zich beperkt tot financial control en dat business control onvoldoende aandacht krijgt. Door deze verenging wordt de noodzakelijke innovatie in de financiële functie geremd. Dat remt vervolgens weer de ontwikkeling van de kennisproductiviteit. Voorgaande steekt, temeer omdat de nieuwe businessmodellen, zoals die zich ontwikkelen, in toenemende mate om multidimensionale informatie vragen en om het scheiden van managementinformatie van verantwoordingsinformatie. Immers, managementinformatie mag niet worden afgeleid uit systemen voor verantwoordingsinformatie.”

AM: “Wellicht dat aan die tweeslachtigheid in toekomstige versies van de Code een einde komt. Meer en meer wordt ingezien dat de Corporate Governance Code hoort te gaan over control. Pluspunt is dat zelfs leden van de Monitoring Commissie zich publiekelijk uitspreken dat er een eind moet komen aan het controlekarakter van de Code. Maar zover zijn we nog niet. Dat vindt ook het Nederlands Centrum voor Directeuren, getuige haar reactie dat controledrift de overheersende factor is.”

De herziene Code legt nadruk op de afstemming tussen de IAF en de externe accountant. Zo dient de IAF de externe accountant te betrekken bij het opstellen van haar werkplan en de externe accountant te informeren over haar bevindingen. Hoe kijkt u hier tegenaan?

AM: “Ik ben van mening dat bestuurskundige principes een feedbackfunctie in de organisatie noodzakelijk maken. Derhalve zou de IAF ook als zodanig in de Code moeten worden gepositioneerd. Het is kennelijk een kwestie van tijd totdat de rede gaat zegevieren. Mijn standpunt is altijd geweest dat de externe accountant via de bestuursvoorzitter overleg dient te voeren met de controller dan wel de functionaris die verantwoordelijk is voor de maatregelen die op het terrein van interne controle en verbijzonderde interne controle zijn getroffen. De externe accountant heeft bij de internal auditor in beginsel niets te zoeken. Het valt ook niet te begrijpen dat het IIA in een reactie op het concept van de herziene Code heeft voorgesteld de externe accountant samen met de interne auditor een verklaring te laten afgeven over het interne controle- en risicomanagementsysteem van de onderneming. Over een onafhankelijk oordeel gesproken.”

Hans Strikwerda: “De IAF moet haar werkplan absoluut niet afstemmen met de externe accountant, noch moet zij de externe accountant informeren over haar bevindingen”

HS: “Het werkplan van de IAF moet zijn afgeleid van de aard van het businessmodel, de daarin besloten risico’s en onzekerheden, et cetera. Denk bijvoorbeeld aan de kritische rol van het middelenallocatieproces. Als de Monitoring Commissie hecht aan de waardecreatie op langere termijn, dan moet worden gekeken naar dat middelenallocatieproces en naar issues als een zich ontwikkelende dominant logic. Dat zijn aspecten die bij een focus op de betrouwbaarheid van de jaarrekening niet aan bod komen. Als de IAF haar werkplan moet afstemmen met de externe accountant ontstaat druk om dergelijk aspecten, die voor de externe accountant niet relevant zijn, van de agenda af te houden. Kortom, de IAF moet haar werkplan absoluut niet afstemmen met de externe accountant, noch moet zij de externe accountant informeren over haar bevindingen.”

In uw reactie, mijnheer Strikwerda, stelt u ook dat de IAF niet beperkt moet worden tot ‘een bijwagen’ van de externe accountant. Kunt u dit toelichten?

HS: “Ik bedoel hiermee dat de IAF allerlei handwerk doet voor de externe accountant met als doel om de kosten van de externe accountant te drukken. Hierbij moet worden aangetekend dat voor de moderne investeerder de jaarrekening geen voornaamste bron meer is voor assurance, dus geen bron meer is van informatie voor investeringsbeslissingen. De investeerder kijkt tegenwoordig naar de kwaliteit van plannen, de kwaliteit van strategy execution, de kwaliteit van projectmanagement, de kwaliteit van (toekomstgerichte) managementinformatie en kwaliteit van managers.”

AM: “In het bank- en verzekeringswezen is een andere verklaring dat de ondernemingsleiding zo onzeker is over de mogelijke uitkomst van onderzoeken dat men liever een interne accountant de verklaringen laat opstellen dan een extern accountantskantoor. Toezichthouders zouden beter moeten weten.”

Het IIA stelt dat de samenwerking tussen de internal auditor en externe accountant extreem belangrijk is om het totale auditveld af te dekken.¹ Hoe kijkt u hiertegen aan?

HS: “Vanuit bedrijfskundige logica begrijp ik deze uitspraak niet. Zaken als het beoordelen van de integriteit van de organisatie, de kwaliteit van managementinformatie, de juistheid van het ontwerp en werking van het middelenallocatieproces, vooral bij project- en procesmanagement, komen niet aan bod bij de externe accountant. Ik denk dat de beroepsgroep van internal auditors niet is geholpen met deze stellingname.”

AM: “Het IIA afficheert zich daarmee schijnbaar als een organisatie van interne accountants. En dat is, zoals ik altijd gevonden heb, een tweedelijnsfunctie met een andere taak en verantwoordelijkheid. Internal audit gaat onder andere over het vaststellen of de organisatie haar interne controle op orde heeft, maar maakt hier geen onderdeel van uit.”

Kunnen de vakgebieden (interne) accountancy en internal audit dan niet gecombineerd worden?

HS: “Ik vind dat dit absoluut niet kan. Het zijn wezenlijk verschillende functies. Bedrijven en instellingen moeten veel meer aandacht besteden aan de kwaliteit van business control. De IAF moet onafhankelijk blijven van welke functie dan ook in de organisatie.”

AM: “Volstrekt mee eens. In dit kader merk ik op dat een prominente externe accountantsorganisatie plotseling de weg kwijt lijkt te zijn. Zij adviseert ondernemingsleidingen om de linies ‘verbijzonderde interne controle’, ‘interne accountantscontrole’ en ‘internal auditing’ samen te voegen.”

Hans Strikwerda: “Internal audit pnderzoekt ook de kwaliteit en juistheid van het middelenallocatieproces, vereiste managementinformatie, in het bijzonder in het geval van meerdimensionaliteit”

Hoe zou u de taakstelling en positionering van de IAF in de Nederlandse Corporate Governance Code opnemen?

HS: “Mijn suggestie voor principe 1.3 is: de internal auditafdeling heeft tot taak de integriteit van de organisatie te beoordelen voor wat betreft het ontwerp van systemen en processen in de organisatie, de toepassing en de werking daarvan en het effect van die systemen en processen op gedrag van medewerkers, en heeft tot taak van bestuurders, medewerkers en personen waarmee de onderneming zaken doet of van plan is te gaan doen hun intentioneel en feitelijk handelen op integriteit te beoordelen, waaronder begrepen het omgaan met gemaakte aannamen. Daarnaast onderzoekt internal audit de kwaliteit en juistheid van het middelenallocatieproces, vereiste managementinformatie, in het bijzonder in het geval van meerdimensionaliteit.”²

AM: “Daarmee ligt ook het profiel vast waarmee de opleidingen aan de slag kunnen om de instromende bedrijfskundigen, juristen, technici, gedragswetenschappers en financiële deskundigen tot internal auditor op te leiden. “Ik ben overigens van mening dat de tweede lijn op zo’n wijze dient te zijn ingericht dat zij de integriteit van haar leveranciers en cliënten kan beoordelen. Indien nodig kan de IAF onderzoeken of de organisatie ook daadwerkelijk als zodanig is geëquipeerd.”

Noten

1. ‘Samenwerking tussen internal auditor en externe accountant is essentieel’, Inform Magazine, oktober 2016.
2. Commentaar op enkele voorstellen tot verbetering van het voorstel voor herziening De Nederlandse Corporate Governance Code, Strikwerda, J., maart 2016.