“Het kostte meer energie dan het heeft opgeleverd”

In dit vierluik over kwaliteitstoetsing vertellen Patricia Michel (De Goudse Verzekeringen), Jos Motzheim en Willem de Korte (Delta Lloyd), Karin Hubert, Ronald van Rijswijk en Peter Hartog (SVB), Piet Vrolijk (KPN) over hun ervaringen.

Het eindoordeel van IIA was ‘generally complies’. Maar hoe kijkt Piet Vrolijk van KPN terug op de kwaliteitstoetsing?

Hoe hebt u zich voorbereid?

“We hebben de dossiers van uitgevoerde engagements van het afgelopen jaar nagelopen en het kwaliteitshandboek verbeterd. Daarnaast hebben we ter voorbereiding een self assessment gedaan.”

Hoe is de kwaliteitstoetsing verlopen?

“Met de beste bedoelingen van beide kanten, maar toch enigszins vreugdeloos en met hier en daar toch moeizame discussies. De kwaliteitstoetsing heeft uiteindelijk meer energie gekost dan het heeft opgeleverd, en dat is eigenlijk jammer.”

Hoe komt dat?

“Het uitgangspunt van de kwaliteitstoetsers is dat men van activiteiten, zoals uitgevoerd door een internal auditafdeling, het wat, hoe, waarom, wie en wanneer integraal moet kunnen teruglezen in een auditdossier, vol crossreferenties. De missie van KPN Audit is echter niet het opleveren van perfect reviewbare dossiers, maar het uitvoeren van relevante audits met als doelstellingen: (1) gelijk hebben, (2) gelijk krijgen en (3) iets ‘voormekaar’ krijgen. We zijn geen openbaar accountants met een publiekelijke taak, maar auditspecialisten in dienst van een specifiek telecommunicatiebedrijf dat wij zeer goed kennen. Uitzondering hierop vormt onze QA-rol op het interne controlebouwwerk (GRIP) dat als doelstelling heeft de betrouwbaarheid van de financiële rapportages van KPN Groep te garanderen. De documentatienormen zijn hierbij streng, juist omdat de openbaar accountant voor zijn publieke taak van dit werk gebruikmaakt.”

“Het zou flauw zijn om nu je zelf eens de maat genomen wordt weg te duiken”

“Waar wij het bedrijf zeer goed kennen gaat dat natuurlijk niet op voor het Kwaliteitstoetsingsteam. De vraag is of wij rekening dienen te houden met dit kennishiaat in onze dossiervorming ten behoeve van de vijfjaarlijkse kwaliteitstoetsing. Zo is bijvoorbeeld intensief gedebatteerd over de toereikendheid van de documentatie van de risicoanalyse die ten grondslag ligt aan ons auditplan. Uit de kwaliteitstoetsing volgde uiteindelijk de volgende aanbeveling: ‘Verbetering is noodzakelijk ten aanzien van 1) de beschrijving van het audituniversum, 2) de uitvoering van risicoanalyses op alle onderdelen van het audituniversum (inclusief de projectportfolio) en 3) weging van de (belangrijkste) risico’s.’”

Dat voelt niet goed?

“Het adagium dat door de kwaliteitstoetsers gehanteerd werd was in feite ‘wat niet op papier staat, is niet gedaan en bestaat niet’ en ‘wij moeten het ook snappen’. Dus verwacht men een zero-base, bottom-up risicoanalyse. Dit is een vreemde verwachting. Veelal ziet men aan de output of de input goed is geweest. Als men die output zelf onvoldoende kan beoordelen kan een expert geraadpleegd worden. Die input hoeft daarbij niet geëxpliciteerd te worden, en zeker niet uitsluitend ten behoeve van een IIA-review. Er zijn echter ook discussies geweest die wel tot overeenstemming leidden. Bovendien is het leuk hier en daar bevestiging te krijgen van eigen observaties. Het zou flauw zijn om nu je zelf eens de maat genomen wordt weg te duiken. Dat neemt niet weg dat we het niet helemaal eens zijn met de werkwijze en conclusies van de kwaliteitstoetsers.”

Hoe is uw organisatie, van IA-medewerkers tot bestuurders en commissarissen, bij het certificeringsproces betrokken geweest?

“De kwaliteitstoetsers hebben reviewwerkzaamheden uitgevoerd op onze afdeling en daarbij, soms intensief, met mijn medewerkers gesproken. Daarnaast zijn er gesprekken geweest met de externe accountant, raad van bestuursleden en audit commissieleden.”

Welke Standards behoefden extra aandacht?

“Naast de hiervoor genoemde aanbeveling hadden de kwaliteitstoetsers opmerkingen over de omvang en reikwijdte van het kwaliteitsprogramma (meer specifiek ten aanzien van de onafhankelijke dossierreviews en periodieke self assessments) en over de zichtbare supervisie en tijdige reviews in de auditdossiers.”

Welke meerwaarde ziet u in certificering?

“Die meerwaarde is nu echt onvoldoende aanwezig. De hiervoor genoemde aanbevelingen zijn geen aanbevelingen waar de afdeling effectiever van wordt, en daar zit denk ik de crux. Simpel gezegd: mijn baas, Eelco Blok, vraagt mij niet of mijn dossiers van de nodige crossreferenties en onafhankelijke reviews voorzien zijn, maar of de omzetverantwoording goed is, of de retailorganisatie in control is, of de call center KPI’s betrouwbaar zijn en of onze data centers voldoende robuust zijn. Het internal auditberoep is meer gebaat bij een discussie over en toetsing van de effectiviteit van de functie dan bij discussies over dossiervorming en, bijvoorbeeld, onafhankelijkheid. Dus in plaats van een oordeel op ‘generally complies with…’, een oordeel op ‘is sufficiently effective in…’.”

Bent u tevreden over de kwaliteitstoetsing? Wat zou u anders willen zien?

“Het zou aardig zijn om in de toetsing ‘substance over form’ te laten prevaleren, maar hier onderschat ik wellicht de huidige tijdgeest en de kennelijke verwarring tussen twee beroepsgroepen: die van de internal auditor en die van de openbaar accountant. Twee beroepsgroepen die ondanks een gezamenlijk verleden in opleiding en werkzaamheden inmiddels ver uit elkaar gegroeid zijn.”