“De kwaliteitstoetsing is een trigger”

In dit vierluik over kwaliteitstoetsing vertellen Patricia Michel (De Goudse Verzekeringen), Jos Motzheim en Willem de Korte (Delta Lloyd), Karin Hubert, Ronald van Rijswijk en Peter Hartog (SVB), Piet Vrolijk (KPN) over hun ervaringen.

“De kwaliteitstoetsing is een externe impuls om je organisatie tegen het licht te houden. Je kunt dit zien als een bedreiging, maar wij hebben dit vooral opgevat als een kans”, aldus Jos Motzheim en Willem de Korte van Delta Lloyd.

Hoe hebben jullie de kwaliteitstoetsing ervaren?

“De toetsing vond plaats in juni 2012 en resulteerde in een voldoende met een aantal aanbevelingen. Het proces ervoeren we als constructief en positief. We vonden het zelf belangrijk om ons te onderwerpen aan deze kwaliteitstoetsing, want het geeft duidelijk aan waar we staan. Maar het is ook belangrijk voor onze interne stakeholders (directie, RvC, audit committee) en onze externe stakeholders (AFM, DNB, EY). De toets is een kwaliteitskeurmerk. Voor de externe stakeholders is het een duidelijke onafhankelijke bevestiging dat zij kunnen steunen op onze werkzaamheden.”

Hoe hebben jullie je voorbereid?

“We hadden al eerder in 2008 een toetsing gehad (ook met een voldoende uitkomst) dus we wisten wat ons te wachten stond. We hebben tijdig een planning opgesteld en zijn begonnen met een self assessment conform de IIA-richtlijnen.”

Hoe is de organisatie, van IA-medewerkers tot bestuurders en commissarissen, bij het certificeringsproces betrokken geweest?

“De IIA-projectleiders hebben de directeur Group Audit, auditmanagers, bestuurder en de leden van het audit committee van de raad van commissarissen geïnterviewd.”

Welke Standards behoefden extra aandacht?

“De belangrijkste aanbeveling uit de toetsing betrof de implementatie van een audit workflow managementsysteem. Daarnaast kwamen er diverse andere punten uit die we wilden oppakken. En dat wilden we niet half doen. We hebben daarom besloten om niet alleen de aanbevelingen ‘as such’ af te werken, maar het hele proces van audit (strategie, missie, visie, jaarplanning, opstellen werkprogramma’s veldwerk, rapportages, et cetera) onder de loep te nemen. We hebben daarvoor het Performance & Results Improvement Objectives (PRIO) programma uitgewerkt, waarin alle aanbevelingen uit de kwaliteitstoetsing zijn geïntegreerd.”

Wat houdt het PRIO-programma in?

“We zijn gestart met het expliciet maken van de governance waarin Group Audit opereert (zie figuur 1). Op basis hiervan is het Delta Lloyd Group Audit Framework vastgesteld (zie figuur 2). Hierin hebben we alle componenten benoemd die van invloed zijn op de kwaliteit van ons werk. Alle aanbevelingen uit de kwaliteitstoets zijn meegenomen in een van deze componenten. Een dergelijke aanpak dwingt af om gestructureerd over elke component na te denken en vast te stellen wat er beter kan en hoe processen simpeler, effectiever en efficiënter ingericht kunnen worden. Ook de consistentie tussen de componenten is belangrijk, want de processen moeten logisch op elkaar aansluiten.”

“Alle bevindingen uit de toets en overige wensen zijn vastgelegd en voor elke component is een auditmanager verantwoordelijk om samen met een groepje medewerkers de verbeterpunten uit te werken en te realiseren. Elke maand hebben we een specifiek MT PRIO-overleg gehad om de voortgang te bespreken en de consistentie te bewaken.”

Voor het opzetten en uitwerken van dit programma hebben we een jaar uitgetrokken, voor de daadwerkelijke implementatie eveneens een jaar. Tijdens de verbouwing bleef de winkel natuurlijk wel open. Na afloop van PRIO zetten we geen definitief punt, maar vinden er, in de vorm van de cyclus van quality assurance, continu verdere verbeteringen plaats in het auditproces (zie figuur 3).”

“Elk jaar voeren we een intern quality assessment (IQA) uit gevolgd door een vijfjaarlijks extern assessment (EQA). Ook het audit workflow managementsysteem is ingericht conform de vastgestelde kwaliteitsmaatregelen. Een concreet resultaat van dit programma is onze Group Audit Manual. Dit omvat beschrijvingen van alle werkprocessen inclusief de governance van Group Audit. Het manual heeft een ‘comply or explain’-karakter en volgt de indeling zoals we die in het framework hebben vastgelegd. Elk hoofdstuk begint eerst met een opsomming van alle voor Delta Lloyd relevante auditstandaarden. Naast het IIA-IPPF zijn dit bijvoorbeeld de standaarden van de EIOPA, Basel, NBA, NOREA en Code Banken en Verzekeraars.”

“Wat we merken is dat de veelheid aan standaarden het lastig maakte om een vertaling te maken naar onze werkzaamheden die recht doet aan alle standaarden. De standaarden kunnen elkaar bijvoorbeeld tegenspreken. Daarnaast is het ook aan onze stakeholders soms moeilijk uit te leggen dat er zoveel verschillende standaarden zijn waaraan we ons moeten conformeren. Het manual helpt ons om uniform en gestandaardiseerd en daarmee ook efficiënter en effectiever onze werkzaamheden uit te voeren. Onze collega-auditors in België en Duitsland gebruiken het eveneens. Daardoor zijn de uitkomsten van de werkzaamheden van Group Audit beter vergelijkbaar.”

Was de trigger voor dit programma de IIA kwaliteitstoets?

“Enerzijds wel, maar tegelijkertijd was er een directiewisseling en daarmee een natuurlijk moment om de auditorganisatie nog eens goed tegen het licht te houden. Wij spreken ook het liefst over het QAIP, het Quality Assurance & Improvement Program. Die twee zaken zijn onlosmakelijk met elkaar verbonden. We zijn uiteindelijk zelf heel tevreden dat we gekozen hebben voor deze aanpak. Je moet immers scherp blijven. We deden ons werk goed, maar we vinden gewoon zelf dat het nog beter kan en moet. De tijdgeest vraagt hier ook om. We merkten dat de buitenwereld – mede door de financiële en economische crisis – kritischer wordt. Tegelijkertijd ging Delta Lloyd in die periode naar de beurs, eerst in de AMX en inmiddels in de AEX. De verwachtingen zijn daarmee hoger geworden en de verantwoordingsprocessen, steeds complexer. Dat vraagt om een flexibele Group Audit die erop gericht is om op een efficiënte wijze kwaliteit en toegevoegde waarde te leveren en heel kort op de bal speelt.”

Waaraan merken jullie concreet dat het improvementprogramma zijn vruchten afwerpt?

“Het grote verschil is dat onze mindset is veranderd. Kritisch op het juiste moment en het leveren van inzicht en zekerheid en bevorderen van verbetering. We richten ons op de kwaliteit van het resultaat en om dingen in een keer goed te doen. Het uiteindelijke doel is niet om een rapport met geweldige vaktechnisch verantwoorde bevindingen te hebben, daar stopt het werk namelijk niet, het gaat erom uiteindelijk de organisatie en processen in de organisatie daadwerkelijk te verbeteren. Daarvoor moet je het management van de bedrijfsonderdelen wel in beweging krijgen. Daadwerkelijke acceptatie van de bevindingen en aanbevelingen en implementatie daarvan door het management is heel belangrijk. Een auditteam kan daar veel positieve invloed op uitoefenen met een juiste aanpak, houding en communicatie.”

Nog meer?

“Deze veranderde mindset leidt ertoe dat onze processen gericht zijn op het bevorderen en onderhouden van constructieve verhoudingen met de auditee. Bij de start van de audit spreken we concrete normen af die relevant en herkenbaar zijn voor de auditee. Hierdoor waarborgen we dat datgene wat we doen waarde toevoegt. Ook vinden we het belangrijk om vooraf afspraken te maken over doorlooptijden en hiermee de verwachtingen bij het management te managen. We betrekken de raad van bestuur en het audit committee in de opzet van onze audit- en communicatieprocessen en we merken dat dit gewaardeerd wordt. We meten periodiek hoe onze kwaliteit gewaardeerd wordt door de organisatie en daarin zien we een sterk stijgende lijn. Die toegenomen waardering blijkt uit formele evaluaties, maar zeker ook uit de informele contacten.”

“De kwaliteitstoetsing is volwassener geworden, het is nu veel meer ‘substance over form’. Inhoud, resultaat en effectiviteit staan nu centraal”

Welke meerwaarde zien jullie in certificering?

“De kwaliteitstoetsing is een externe impuls om je organisatie tegen het licht te houden. Je kunt dit zien als een bedreiging, maar wij hebben dit vooral opgevat als een kans. Het is een trigger om als organisatie na te denken over wat verbeterd kan worden.”

Zijn jullie tevreden over de kwaliteitstoetsing?

“Wat wij gewaardeerd hebben is dat bij de toetsing door IIA primair om de inhoud ging. De kern is vooral hoe de internal auditfunctie resultaten boekt en in mindere mate of de IAD compliant is met alle kleine lettertjes van de standaarden. Ten tijde van de eerste toetsing in 2008 werden alle standaarden nogal formeel naar de letter afgevinkt. Gelukkig merkten we dat in 2012 meer naar de kern gekeken werd. In die zin is de kwaliteitstoetsing volwassener geworden, het is nu veel meer ‘substance over form’. Inhoud, resultaat en effectiviteit staan nu centraal.”

Wat zouden jullie anders willen zien?

“Hoewel we geen uitgebreid buitenlands netwerk hebben en geen uitspraken kunnen doen over andere landen, merken we dat de erkenning en implementatie van de IIA Standards in Nederland voorop loopt in vergelijking met Duitsland en België. Hierdoor zijn verbeterpunten niet uniform voor de drie landen. Mogelijk zou hier een taak kunnen liggen voor de internationale organisatie van IIA om de standaarden meer te stroomlijnen. Daarnaast zouden wij graag zien dat er meer duidelijkheid komt over uniforme auditstandaarden voor de financiële industrie. Het zijn nu wel veel verschillende standaarden en deels zijn ze overlappend. Dat kan echt wel doelmatiger.”