De toezichthouder over audit

Nic van der Ende, coördinator accountancy op de afdeling Toezicht Beleid van De Nederlandsche Bank (DNB) over het beeld van DNB als toezichthouder van de interne auditfunctie binnen de context van financiële instellingen.

In hoeverre ondersteunt de interne auditfunctie het werk van DNB?

“De interne auditfunctie is in onze ogen een belangrijk onderdeel van de interne beheersorganisatie van onder toezicht staande instellingen. Binnen banken bestaan deze afdelingen al jaren. Onder het komende regime voor verzekeraars in Europa, Solvency II genaamd, wordt deze functie afzonderlijk benoemd. Bij pensioenfondsen zie je deze functie vooral binnen de grote fondsen. Wij zien de interne auditfunctie als derde schil in het zogeheten three lines of defensemodel, een bekend organisatiemodel dat via het scheiden van functies waarborgen biedt dat omissies uiteindelijk tijdig worden gesignaleerd en behandeld. Aangezien toezichthouders onder meer kijken naar de wijze waarop een instelling intern georganiseerd is, is het werk van interne auditafdelingen voor toezichthouders van belang. Dit uit zich ook in onze toezichtaanpak.”

Wat vindt DNB van de wijze van invulling van de taken door de auditfunctie?

“We zien in de praktijk een behoorlijke diversiteit van onderwerpen die onder de reikwijdte van de interne auditfunctie vallen. Soms alleen gericht op operational audits, soms alleen op de financiële functie (verslaggeving), en alle mogelijke combinaties. In de loop der jaren ontstond bij toezichthouders behoefte om hier enige lijn in aan te brengen. Internationaal heeft het Bazels Comité een richtlijn uitgebracht die kaders biedt voor de onderwerpen die onder deze reikwijdte zouden moeten vallen. Zoals gezegd kent het Solvency II-raamwerk voor verzekeraars ook richtlijnen.”

“Qua verschil is het onmiskenbaar dat de interne auditor in opdracht werkt van de leiding van het bedrijf en de toezichthouder daarbuiten staat”

Welke raakvlakken zijn er tussen de toezichthouder en de auditfunctie?

“Er zijn duidelijke raakvlakken tussen het werk van interne auditors en toezichthouders, maar er zijn natuurlijk ook duidelijke verschillen. Qua raakvlakken kun je zeggen dat het doel is dat de organisatie goed georganiseerd is waarbij omissies op tijd op tafel komen en worden gerepareerd. Voordat enige schade voor de buitenwereld is ontstaan. Qua verschil is het onmiskenbaar dat de interne auditor in opdracht werkt van de leiding van het bedrijf en de toezichthouder daarbuiten staat.”

Voorziet u in de toekomst een verandering in de relatie tussen de toezichthouder en de auditfunctie?

“Ik denk dat er de komende jaren meer aandacht komt voor de robuustheid van de interne organisatie van financiële instellingen. Financiële instellingen zijn complex en qua typologie altijd al een soort buitencategorie geweest in termen van administratieve organisatie en interne beheersing. Werken met financiële waarden, contracten, handelaren en dergelijke, vergt nu eenmaal behoorlijk veel beheersmaatregelen. Dat betekent naar mijn idee dan ook dat de interne auditfunctie interessante tijden tegemoet gaat.”

Houdt de auditfunctie zich naar de mening van DNB bezig met de kerntaken?

“Ik denk dat het goed zou zijn als interne auditafdelingen zich afvragen wat de kernpunten van een financiële instelling zijn. Om vervolgens te zorgen dat alle kernpunten in hun reikwijdte van werkzaamheden meegenomen worden. Zo zien we in de praktijk nog wel eens dat de interne auditafdeling niet kijkt naar het kapitaalmanagement van een instelling. Voor een gereguleerde instelling die soliditeit in het vaandel heeft staan, is dat eigenlijk vreemd. Ik denk ook niet dat toezichthouders die situatie lang laten bestaan.”

Wat is het beeld van DNB aangaande de bemensing van de interne auditfunctie?

“Het werk van interne auditors is belangrijk en vaak niet gemakkelijk. Dat vergt zowel veel vakkennis als vaardigheden om binnen een organisatie kritisch te kunnen zijn. Het vereist ook een passende attitude naar het bestuur, de commissarissen, maar ook naar de businessunits. Daarnaast dient de interne auditfunctie voldoende capaciteit te hebben om het werk te kunnen uitvoeren. Kortom, je hebt goede en voldoende mensen nodig. Om dit alles in goede banen te leiden, heb je dus ook een behoorlijk zwaargewicht nodig die deze afdeling leidt.”

Wat vindt DNB van de bevoegdheden van de auditfunctie?

“Allereerst is van belang dat de afdeling intern rechtstreeks ‘hangt’ onder het bestuur én een directe lijn heeft naar commissarissen of interne toezichthouders. Het hoofd van deze afdeling moet de ruimte hebben om ook zonder aanwezigheid van het bestuur met de commissarissen of interne toezichthouders te praten. Uiteraard moet de afdeling bij haar werkzaamheden alle bevoegdheden hebben om alle informatie boven water te krijgen.”

Vindt u de interne auditfunctie verbeterd of verslechterd in de loop der jaren?

“Tja, dat is een lastige vraag. Ik heb de indruk dat interne auditors zich de laatste jaren verder hebben geprofessionaliseerd. Kijk ook maar naar de ontwikkeling van IIA Nederland, de koepelorganisatie van internal auditors die zelf beoordelingen uitvoert van haar leden. Aan de andere kant heb ik de indruk dat de resources van interne auditafdelingen de afgelopen jaren onder druk hebben gestaan, mede in verband met de economische crisis. Dat zie ik als een verslechtering. Zoals ik al zei, denk ik dat het accent de komende jaren komt te liggen op het verstevigen van de interne beheersorganisatie. Niet alleen via harde maatregelen van AO/IB, maar ook via zachte elementen, zoals gedrags- en cultuuraspecten.”

“De moderne interne auditor moet scherper acteren als hij constateert dat de interne business steken heeft laten vallen”

Wat is uw beeld van de skills en opleidingen van de interne auditor?

“Als je kijkt naar de rol die ik hiervoor heb beschreven, dan komt bovendrijven dat de moderne interne auditor een schaap met vier stevige, maar misschien wel met vijf poten moet zijn. Ik vermoed dat de harde skills al redelijk aandacht hebben gehad in opleiding en praktijk. Maar de zachte skills zijn nu zo langzamerhand aan de beurt. Bovendien denk ik dat de moderne interne auditor scherper zal moeten acteren als hij constateert dat de interne business en of de controlling- of complianceafdelingen steken hebben laten vallen, of, net zo belangrijk, steken dreigen te laten vallen. De interne auditor moet de mogelijkheid krijgen om deze ‘risico’s’ te ventileren en de cultuur zou zo moeten zijn dat altijd een follow-upactie wordt ondernomen. Dat is iets anders dan zonder meer de aanbevelingen van de interne auditor opvolgen. Ik hoop dat hiervoor voldoende ruimte bestaat voor een gezonde discussie.”

Vindt u de gemiddelde interne auditor door de jaren heen beter of slechter in zijn vak geworden?

“Volgens mij heb je altijd al een groep gehad die wat dit betreft in de voorhoede meedraaide. Ik denk dat het goed zou zijn deze groep de komende jaren verder uit te breiden.”

Kan een toezichthouder een goede auditor zijn?

“Ja hoor, ik denk het wel. De profielen qua kennis en vaardigheden komen in behoorlijke mate overeen. Ik denk wel dat de toezichthouder zich zou moeten verdiepen op de techniek van auditen. Dat zit niet standaard in het pakket van de toezichthouder en vergt toch wel enige voorbereiding en training.”

Kan een interne auditor een goede toezichthouder zijn?

“Ja, ook. Ik denk dat in het algemeen gesproken de auditor iets breder georiënteerd zou kunnen zijn om het brede veld van de toezichthouder te kunnen beslaan. Een toezichthouder heeft niet alleen met de desbetreffende instelling te maken, maar met een hele sector, en vaak ook met buitenlandse aspecten van het werk.”