Het moreel kompas van de auditor

In het kader van het themanummer ‘Integriteit’ sprak Audit Magazine met Thijs Smit, CAE van SHV, over onder meer de rol van de auditor, wat integriteit met de cultuur van de organisatie te maken heeft en het voorhouden van een spiegel.

Wat is de rol van de internal auditor bij integriteit?

“Integriteit is een onderwerp dat onlosmakelijk met Internal Audit is verbonden. Je moet er als auditor wel voor waken om het onderwerp te eng te maken en te verwarren met compliance, het naleven van regels. Integriteit gaat voor mij veel verder dan het naleven van regels, een code of conduct, of manual. Dat is een basis. Als auditor ben je onderdeel van het moreel bewustzijn van de organisatie: je moet de thermometer erin doen, kijken naar het werkelijke integriteitsbewustzijn. Kijken naar hoe mensen zich werkelijk gedragen.”

Hoe mensen zich werkelijk gedragen?

“Ja, niet alleen wat op papier staat in bijvoorbeeld een code of conduct, maar wat mensen daadwerkelijk doen en wat ze normaal vinden. Wat het gedrag van het management is en wat ze uitdragen. Draag je als management het kostenbewustzijn zelf ook echt uit? Doe je het zelf ook? Is het ‘walk the talk’? Moreel goed of slecht voorbeeldgedrag stimuleert heel erg om te volgen, wees je daar als management zeer bewust van. Kies je het hotel van 500 of van 200 euro? Als je een CEO hebt die er makkelijk mee omgaat, ga je daar voor je het weet zelf ook in mee, ook al ben je van huis uit een kostenbewust type.”

Is integriteit onderdeel van de cultuur van de organisatie?

“Jazeker! Die cultuur wordt neergezet door het management, het is niet iets dat er standaard is. Cultuur is niets anders dan het gestolde gedrag van het management. Cultuur is ook aan verandering onderhevig. Een cultuur van netjes en zorgvuldig gedragen kan binnen de kortste keren om zeep worden geholpen door slechte voorbeelden van het topmanagement. Zeker een CEO bepaalt heel erg naar de medewerkers toe wat ‘de norm’ is voor gedrag.”

“Een simpele integriteitstest: doe je zakelijk hetzelfde als privé, bijvoorbeeld de hotelkeuze?”

Wat is de rol van de auditor bij die cultuur?

“Je vervult allereerst per definitie een voorbeeldrol, je zit zelf in een glazen huis vanuit je positie als internal auditor. Daarnaast moet je het integriteitshalte van je organisatie ter discussie kunnen stellen, zowel op het hoofdkantoor als in de operatie. Voelt het daar goed, zie je dat het management zich zorgvuldig gedraagt? Een simpele test: doe je zakelijk hetzelfde als privé, bijvoorbeeld de hotelkeuze?”

Is het lastig om het management op zo’n persoonlijk punt de spiegel voor te houden?

“De beeldspraak van de spiegel vind ik heel belangrijk. De spiegel veroordeelt niet, het laat slechts zien! Ik doe slechts feitenonderzoek. Ik breng bijvoorbeeld van een periode in kaart welke uitgaven bestuursleden hebben. Het betreft uitgaven in brede zin: van onkostendeclaraties, sponsorbijdragen tot posten in de kleine kas. De opvallende zaken, de gelijkenissen en de verschillen laten zichzelf zien. Ik kom niet om te (ver)oordelen, ik laat alleen de meter zien. De toelichting is aan het bestuurslid, de discussie aan het bestuur en de commissarissen. Het antwoord of iets ‘kan’ of ‘niet kan’ is niet aan mij. Het is deels in de interne regels gevat, maar daarnaast ook erg afhankelijk van de cultuur waarin je je begeeft. Mijn huidige werkomgeving heeft bijvoorbeeld een hele andere cultuur dan die waar ik tien, vijftien jaar geleden werkte. Je moet er dus voor waken dat je te snel veroordelend wordt, omdat je soms moeilijk kunt inschatten wat de norm is met dit soort zaken. De spiegel voorhouden, de meter opnemen, puur feitenonderzoek zegt dan in het algemeen al voldoende.”

Bestuur en commissarissen moeten zich dan een oordeel vormen of iets kan of niet?

“Ja, zij moeten die discussie voeren. Ik zorg enkel voor de transparantie van de feiten. Commissarissen kunnen proactiever handelen als zij over transparante informatie beschikken.”

En wat als je in een cultuur werkt dat bestuur en commissarissen er geen aandacht voor hebben of zelfs een ander moreel kompas?

“Zolang het eenvoudige zaken zijn, zoals economy of businessclass vliegen of het kunnen declareren van een lunch, en het past in de cultuur van de organisatie, is daar op zich prima mee te werken. Maar er kan een grens voor je in zicht komen als internal auditor, dat je zelf vindt dat iets echt niet meer ‘normaal’ is. Als je voorbeelden ziet, zoals bijvoorbeeld recent over een corporatiebestuurder in Amsterdam met zonnekoninggedrag, dan heb je de plicht daar je raad van commissarissen van op de hoogte te brengen. Zij moeten altijd op de hoogte zijn van dit soort zaken, zij moeten nooit kunnen zeggen dat ze er niet vanaf wisten. Als je dat diverse keren rapporteert en je ziet dat het geen effect heeft, moet je als CAE je functie ter discussie durven stellen. In een niet-integere cultuur moet je zaken aan de kaak stellen en in het uiterste geval, opstappen. Als CAE kun je het ook niet permitteren om in zo’n cultuur te blijven functioneren, dan komt je eigen integriteit en geloofwaardigheid in het geding.”

Wat is de rol van de externe accountant hierbij?

“De rol van de externe accountant is veel geringer dan die van de internal auditor. De internal auditor ziet veel meer. De externe accountant heeft als rol de cijfers te certificeren, dat doen ze ook met grote materialiteit. Ten onrechte krijgen externe accountants een grotere rol toegeschreven. Zij zijn echter niet het morele kompas van een onderneming, ze zijn de externe partij die een certificaat geeft bij de financiële verantwoording. Als je de externe accountants verwijt dat zij bepaalde gedragingen van het management niet hebben gezien of niet challengen, moet de internal auditor daar al minstens een paar keer op zijn aangesproken. Die staat immers veel dichter bij de organisatie. De verantwoordelijkheid van de internal auditor reikt veel verder dan die van de externe accountant op dit onderwerp. Zelfs een niet-integere organisatie heeft recht op een goedkeurende accountantsverklaring als de cijfers kloppen. En de organisatie natuurlijk compliant is.”

“Soms voldoe je prima aan de complianceregels, maar zegt je eigen gevoel dat het toch niet deugt. Je weet zelf vaak heel goed waar het knaagt”

Zijn de externe accountant en de interne auditor een tandem?

“De internal auditor kan heel nauw samenwerken met de externe accountant, maar ieder heeft zijn eigen rol en verantwoordelijkheid. Het is natuurlijk wel heel mooi als je goed kunt samenwerken en hetzelfde morele kompas hebt. Tot nu toe heb ik steeds geluk gehad dat ik goed met de externe accountant kon samenwerken.”

Wat is de relatie tussen integriteit en fraude?

“Er is voor iedereen een grijs gebied in het gedrag. Denk maar aan de vraag of je kopieerpapier meeneemt naar huis om te gebruiken om zakelijke stukken te printen op je privéprinter. Kan dat wel of kan dat niet? In het grijze gebied moet je je steeds die vraag stellen. Uitgangspunt is dat wat je privé niet doet, je zakelijk ook niet doet. Een zakelijke lunch is prima, maar past daar ook een sterrenrestaurant bij? Wat is normaal? Soms voldoe je prima aan de complianceregels, maar zegt je eigen gevoel dat het toch niet deugt. Dat is nou integriteit! Je weet zelf vaak heel goed waar het knaagt. Je moet als auditor niet bang zijn voor de dialoog over het gedrag. Maar wees niet direct oordelend. Maak een hele scherpe foto van de situatie en laat anderen daar conclusies aan verbinden. Je zult zien dat die scherpe foto vaak al voldoende is om het gedrag aan te passen of er op te reageren in een dialoog. Je bepaalt niet zelf de norm, dat doen de organisatie en de omgeving. De crux is: valt het uit te leggen?”

Wat in Nederland (on)gewoon is, is dat in het buitenland soms niet. Hoe ga je daarmee om?

“Cruciaal is transparantie. Soms zijn in het buitenland zaken gewoon die hier volstrekt onacceptabel zijn. Denk aan kleinere of grotere cadeaus voor bestuurders van organisaties waar je zaken mee doet. In sommige landen kun je geen zaken doen met de Nederlandse standaarden, dat lukt simpelweg niet. Wees transparant hoe je omgaat met dit soort dilemma’s, maar heb niet de illusie dat je er van gevrijwaard bent. Wees ook eerlijk dat je ermee te maken hebt. Niet transparant zijn over je dilemma’s is de grootste fout. Een spanningsveld is dat je integer kunt zijn door heel transparant te handelen en dilemma’s af te wegen, maar dat je daarmee tegelijk soms niet compliant kunt zijn met wet- en regelgeving.”

“Als je je aan de regels houdt, hoeft dat niet per se ook integer te zijn. Integriteit is plaats- en tijdgebonden. Rigide acteren kan soms juist problemen vergroten. Moet je kinderarbeid geheel vermijden met de kans dat hele gezinnen niets meer te eten hebben of moet je stimuleren dat de betreffende kinderen ook scholing krijgen en daarmee een kans op een betere toekomst? Hoe kun je de situatie het best verbeteren, hoe kun je het meest integer handelen? Als CAE moet je de dialoog opzoeken met het lokale management over zaken als corruptie en integriteit.”

In hoeverre kan een IAF als bliksemafleider naar externe toezichthouders fungeren? Aan wie ben je eigenlijk loyaal?

“Dit is een lastig onderwerp. Het kan nooit zo zijn dat je zaken voor externe toezichthouders verborgen houdt. Mede daarom baseren ze hun werk deels op jouw werk. Een IAF kan echter nooit een verlengstuk van een externe toezichthouder worden, want op dat moment verlies je de link met en het draagvlak in je eigen organisatie. Dat vind ik een gevaarlijke ontwikkeling, je komt dan in een ongewenste spagaat. Je wilt niemands vertrouwen beschamen, sommige vragen wil je daarom eigenlijk niet krijgen. Probeer er dus voor te zorgen dat je eigen organisatie bijzonderheden zelf rapporteert naar de toezichthouder, dat is ook sterker. Maar transparantie blijft voorop staan. Je zult nooit je aard als internal auditor willen verloochenen of het vertrouwen beschamen.”