Het spel en de knikkers

Hoe spannend is het om auditor te zijn bij Holland Casino en welke onderwerpen bepalen de agenda voor de auditors van Holland Casino? Gaat het alleen maar over geld of zijn ook andere zaken van belang? Audit Magazine sprak hierover met Michel Zwart, manager internal audit van Holland Casino.

Om maar meteen met de deur in huis te vallen: internal auditor bij Holland Casino klinkt spannend, maar is dat het ook?

“Jazeker! Toen ik veertien jaar geleden koos voor Holland Casino, deed ik dat omdat het mij leuk leek om in zo’n mysterieuze en avontuurlijke omgeving te werken. Ik kan beamen dat mijn gevoel van destijds ook klopt. Werken bij Holland Casino is echt anders dan bij een financial. De primaire processen van Holland Casino zijn uniek, die vind je niet terug in de typologie van Starreveld! Ook het werken in de casino’s is echt speciaal. Nu ik er al een tijd rondloop is het voor mij meer en meer een gewoon bedrijf geworden, maar in de kern blijft het natuurlijk bijzonder. De auditors, net als de andere werknemers van Holland Casino, mogen overigens zelf geen gokje wagen in Holland Casino. Dus aan de speeltafel zul je mij niet vinden.”

Wat is het spannendste dat u hier hebt meegemaakt als auditor?

“Eigenlijk maak je elke audit wel iets bijzonders mee. Zeker als je de audits op locatie in principe van acht uur ‘s ochtends tot drie uur ‘s nachts kunt uitvoeren. Maar het spannendste dat ik heb meegemaakt is dat we tijdens een verrassingscontrole in een casino een leeg compartiment van een kluis aantroffen waarbij het volstrekt onduidelijk was wat er was gebeurd. Je kunt je mijn verbazing vast voorstellen toen die kluis open ging.”

Hoe ziet de internal auditfunctie van Holland Casino er uit?

“Het team bestaat momenteel uit vier auditors, het is de bedoeling om volgend jaar uit te breiden naar zeven tot acht auditors. We voeren operational, compliance en IT-audits uit waarbij de nadruk op operational audits ligt. Ook verzorgen we in een aantal gevallen de quality assurance bij projecten. We doen weinig financial audits en voeren maar beperkt ondersteunde werkzaamheden uit ten behoeve van de jaarrekeningcontrole. Je merkt overigens dat de accountant het lastig vindt dat de primaire processen binnen Holland Casino zo specifiek en uniek zijn, daarom heeft audit een rol in het challengen van de management letter van de accountant.”

“Het tegengaan van gokverslaving is onverminderd belangrijk voor Holland Casino”

“De internal auditfunctie (IAF) van Holland Casino is een echte derdelijnsfunctie maar dit is niet altijd zo geweest. De internal auditfunctie is rond het jaar 2000 namelijk ontstaan vanuit de AO/IC-afdeling. In de beginperiode was de IAF daarom nog een meer op interne controle georiënteerde afdeling, terwijl we nu assurance leveren aan de directie en het audit committee en we IIA-gecertificeerd zijn. We hebben dus flinke stappen gezet.”

Welke ontwikkeling heeft de IAF van Holland Casino doorgemaakt?

“We komen uit de tijd dat audits te weinig toegevoegde waarde leverden voor de business. De onderzoeken die we deden en de aanbevelingen die daaruit voortvloeiden, kregen op een gegeven moment een nogal terugkerend karakter. Dit was voor ons de aanleiding om kritisch naar onze aanpak te kijken. Waar we voorheen voornamelijk procesaudits deden waarbij we in een aantal weken op verschillende vestigingen naar één proces keken, doen we nu veel meer integrale audits.”

Licht eens toe

“Hierbij kijken we op één locatie of afdeling op het hoofdkantoor naar de belangrijkste processen en de belangrijkste aspecten die de control environment beïnvloeden. Hierdoor kunnen we de insteek van de audits beter afstemmen op de specifieke situatie van de betreffende locatie, waardoor we meer toegevoegde waarde kunnen leveren. Inmiddels weten we ons mannetje wel te staan en zijn we een serieuze gesprekspartner voor het audit committee, directie en management. Het zegt iets over de mate waarin we in de loop van de jaren zijn gegroeid. Ook al ging dat niet over een nacht ijs.”

Holland Casino in vogelvlucht
Holland Casino heeft 14 vestigingen verdeeld over de regio’s Noord en Zuid en een hoofdkantoor in Hoofddorp. In totaal werkten er in 2017 2708 fte. Over 2017 bedroegen de brutobaten: € 639,2 miljoen en werd er een resultaat gerealiseerd van € 98 miljoen (voor vennootschapsbelasting). Het aantal bezoeken bedroeg 5,8 miljoen en de gemiddelde besteding per bezoek was € 109.

Hoe ziet de governance eruit bij Holland Casino?

“Holland Casino heeft sinds 1976 – als enige aanbieder – een vergunning voor kansspelen. Dit monopolie is gereguleerd via de Wet op de kansspelen (Wok). Ook heeft Holland Casino de Corporate Governance Code waar mogelijk overgenomen. Dit zijn in mijn optiek twee belangrijke pijlers voor de governance van Holland Casino. Holland Casino heeft een raad van bestuur en een raad van commissarissen met een audit committee. De leden van het audit committee hebben een diverse achtergrond met wortels in zowel de politiek als internal auditing. Ik rapporteer rechtstreeks aan de CEO en het audit committee. Hiërarchisch hangt de IAF onder de CEO. Het three-lines-of-defensemodel is ingericht en biedt de basis voor het interne beheersingsraamwerk.”

En de tweede lijn?

“De tweede lijn binnen Holland Casino bestaat uit een kleine riskafdeling van twee personen en een afdeling Legal & Compliance die uit vijf personen bestaat. Daarnaast is er een brede afdeling Security & Responsible Gaming die zich niet alleen bezighoudt met het preventiebeleid kansspelen (PBK) maar ook met de veiligheid binnen de casino’s, compliance met de Wok en de Wet ter voorkoming van witwassen en financiering van terrorisme (Wwft) en fraudegevallen. Deze afdeling heeft zowel mensen op het hoofdkantoor als in de vestigingen.”

Hoe is de relatie met de tweede lijn?

“De relatie is goed en daar waar nodig weten we elkaar te vinden. Je merkt dat het three-lines-of-defensemodel binnen Holland Casino goed werkt. Recentelijk hebben we als IAF een adviesopdracht uitgevoerd naar het risk-managementproces. De uitkomsten zijn goed ontvangen en hebben mooie aanknopingspunten opgeleverd voor de riskafdeling om zich verder te ontwikkelen. Een van de belangrijkste ontwikkelpunten voor deze afdeling is om het operationele riskproces meer te koppelen aan het strategische riskproces.”

Welk toezicht bestaat er vanuit de overheid en in hoeverre heeft de IAF met de toezichthouder te maken?

“Toezicht wordt uitgeoefend door de Kansspelautoriteit (Ksa) en DNB waarbij de Ksa een veel grotere rol heeft dan DNB. De Ksa heeft in 2016 het toezicht op naleving van de Wwft overgenomen van DNB voor wat betreft speelcasino’s. De Ksa heeft nog geen keuze gemaakt of ze gebruik willen maken van het werk van de IAF. Hierover wisselen we momenteel met de Ksa van gedachten.”

“Kijkend naar het auditplan voor 2019, dan is de general data protection regulation (GDPR) echt een hot topic”

Wat zijn de belangrijkste thema’s voor de IAF van Holland Casino?

“Kijkend naar het auditplan voor 2019, dan is de general data protection regulation (GDPR) echt een hot topic. Het is ook een van de strategische thema’s binnen Holland Casino. In 2016 hebben we een nulmeting uitgevoerd en een adviesrapport uitgebracht, gevolgd door een aantal memo’s van onze hand om de belangrijkste aandachtspunten in kaart te brengen. Andere thema’s zijn Wwft en de nieuwbouwprojecten van de casino’s. Daarnaast zijn er een aantal thema’s die onveranderd belangrijk zijn en blijven. Zo is het tegengaan van gokverslaving belangrijk voor Holland Casino. Het preventiebeleid kansspelen keert, mede gezien het maatschappelijk belang hiervan, periodiek terug op onze auditkalender. Naast de audits voeren we jaarlijks ook een aantal verrassingscontroles uit op de fysieke geldvoorraad in de vestigingen.”

“Ieder kwartaal voeren we een risk assessment uit en op basis hiervan bepalen we of het auditjaarplan moet worden bijgesteld. Zo blijven we qua thema’s aangesloten bij de meest actuele ontwikkelingen. Aanpassingen gebeuren overigens altijd pas na goedkeuring door de raad van bestuur en het audit committee.

Hoe belangrijk is data?

Als organisatie worden we steeds meer datagedreven. Dat betekent dat wij moeten meegroeien in het kennis opdoen van data-analyse en het toepassen daarvan. Ik voorzie dat operational audit steeds meer geïntegreerd wordt met IT-audit. Ook het toetsen van soft controls en het uitvoeren van een diepere oorzakenanalyse zijn thema’s waarop we zullen investeren, zodat we ons als IAF nog meer ontwikkelen naar de rol van trusted advisor.”