Hoe audit je 36 miljard euro?

AOW: iedereen die in Nederland woont of werkt en de pensioengerechtigde leeftijd bereikt, krijgt er mee te maken. Inmiddels keert de Sociale Verzekeringsbank (SVB) maandelijks aan zo’n 3,3 miljoen mensen de AOW uit. Jaarlijks is hiermee ruim 36 miljard euro gemoeid. Hoe houd je toezicht op de uitvoering hiervan? Welke dillema’s kom je tegen? We vroegen het aan Karin Hubert, directeur Audit Dienst van de SVB.

Allereerst: hoe controleer je de AOW?

“Voordat ik die vraag kan beantwoorden is het goed om de contouren van deze pensioenuitkering te schetsen. De AOW was jarenlang een niet-mutatiegevoelige wet. Wanneer AOW eenmaal was toegekend veranderde er niet veel meer. Alleen de verhoging van de uitkering als gevolg van de verhoging van minimumlonen was een halfjaarlijks terugkerend element. De laatste jaren is het speelveld behoorlijk veranderd. De verhoging van de AOW-leeftijd is daarvan het meest bekende, maar niet het enige voorbeeld. Want naast het recht op AOW zijn er andere wetten en regelingen van toepassing waar mensen recht op kunnen hebben, zoals de aanvullende inkomensvoorziening ouderen (AIO-bijstand voor pensioengerechtigden) en de overbruggingsregeling AOW (overbrugging voor de periode tussen 65 jaar en de AOW-gerechtigde leeftijd). Voor alle wetten en regelingen moeten we de specifieke kennis in huis hebben, en de juiste auditors. We willen en moeten wel het complete palet kunnen auditen.”

“De gewijzigde AOW-leeftijd heeft impact op de uitbetaling (procesaanpassingen en controles), maar ook op de wijze waarop de SVB de opbouw van AOW registreert”

“Met alle wetswijzigingen is ook de wereld van de Audit Dienst veranderd. De gewijzigde AOW-leeftijd heeft impact op de uitbetaling (procesaanpassingen en controles), maar ook op de wijze waarop de SVB de opbouw van AOW registreert. Nu de wet is aangepast, moet de SVB de registratie laten aansluiten op de latere ingangsdatum van het AOW. Deze wijzigingen moeten ook tijdig in de auditwerkzaamheden worden verwerkt. Ook het feit dat er meer en meer wetswijzigingen komen en hoe de SVB zich daarop voorbereid kan een object van een audit zijn.”

Hoe controleert de SVB de AOW?

“De AOW wordt zoveel mogelijk systeemgericht gecontroleerd. Vanuit de Audit Dienst zijn er verschillende invalshoeken bij de controle van de AOW, zoals controle van aanpassingen in het geautomatiseerde systeem door middel van IT-audits, operational audits op de ontwikkeling van beleid, financial audits gericht op de verantwoording en de daarbij behorende rechtmatigheid, et cetera. Steeds meer digitale AOW-aanvragen kan de SVB volledig geautomatiseerd verwerken. Voor de meer complexe aanvragen hebben we serviceteammedewerkers in dienst die de handmatige beoordeling uitvoeren. De Audit Dienst controleert ook op de juiste vertaling van wet naar beleid. De Audit Dienst moet dus zelf actueel inzicht hebben in de (toekomstige) wetswijzigingen om de controle van de uitkeringen goed te kunnen uitvoeren.”

Met welke kaders moeten jullie rekening houden?

“Werken bij een zelfstandig bestuursorgaan (ZBO) als de uitvoeringsorganisatie SVB, betekent sowieso dat het overgrote deel van de kaders wordt bepaald door geldende wet- en regelgeving én door aanpassingen in diezelfde wetgeving. De verhoging van de AOW-leeftijd is een duidelijk voorbeeld. We moeten daarnaast ook rekening houden met de impact van een wetswijziging op andere wetten. Momenteel ontvangen bijvoorbeeld alle AOW’ers een extra bedrag als aanvulling op hun AOW. Dit betreft de Inkomensondersteuning AOW. Het bedrag dat klanten ontvangen is afhankelijk van het aantal jaren dat er AOW is opgebouwd. De SVB vertaalt de wet naar te hanteren beleid en het beleid moet worden geprogrammeerd in de geautomatiseerde systemen. De Audit Dienst toetst of de wetswijzigingen ook doorgevoerd zijn.”

En hoe weet elke medewerker van de hoed en de rand?

“De medewerkers van de SVB moeten bekend worden (gemaakt) met de gewijzigde wetgeving in het kader van de handmatige gevalsbehandeling. Afhankelijk van de omvang van de wijziging verzorgt de SVB Academie (intern opleidingsbureau) specifieke opleidingen voor de serviceteammedewerkers. Ook de medewerkers van de Audit Dienst moeten weten wat de actuele wetgeving is, zodat zij erop kunnen toetsen en het proces van het vaststellen van uitkeringen goed kunnen controleren. Voorafgaand aan een wetswijziging start de SVB vaak op verzoek van de minister of staatssecretaris met de voorbereidingen. De SVB toetst of een wetsvoorstel uitvoerbaar, haalbaar en betaalbaar is. Deze toetsing wordt het proces van uitvoeringstoetsen genoemd. Dit wordt ook beoordeeld door de Audit Dienst.”

Jullie maken gebruik van het push-leftprincipe.¹ Waarom werkt dit goed bij het auditen van de AOW?

“De rechtmatigheid van de AOW wordt op dezelfde wijze geaudit als andere uitkeringen. De SVB hanteert in de interne beheersing het three-lines-of-defensemodel. Dit betekent dat binnen de organisatie de internal control over de processen geborgd moet zijn (zo dicht mogelijk op de primaire processen) en dat de Audit Dienst aanvullende zekerheid hierop verschaft. De serviceteammedewerkers van de Directie Dienstverlening zijn als eerste lijn verantwoordelijk voor de daadwerkelijke uitvoering van de wet. Als zij hun werk niet goed kunnen doen, volgt er geen correcte betaling van de maandelijkse AOW.”

“De tweede lijn die zich richt op de controle van de daadwerkelijke uitvoering is de afdeling Operational Control. Deze afdeling voert de interne controles uit door middel van statistische steekproeven op de betaalde uitkeringen. Deze steekproeven zijn gebaseerd op risicoprofielen en zodanig ingericht dat zowel geautomatiseerde als handmatige wijzigingen in de systemen worden gecontroleerd. De Audit Dienst is de derde lijn die uiteindelijk assurance verstrekt over de rechtmatigheidsrapportage aan de raad van bestuur, met het ministerie van Sociale Zaken en Werkgelegenheid (SZW) als belangrijke gebruiker (eigenaar en opdrachtgever voor de SVB) en de Inspectie SZW als toezichthouder.”

“Door vanuit de diverse controles te leren, proberen wij zoveel mogelijk relevante werkzaamheden al in de uitvoering (eerste lijn) onder te brengen. Dat bevordert namelijk de effectiviteit en kwaliteit van de dienstverlening van de SVB. Wij noemen dat het push-leftprincipe (van een tweede of derde lijn naar een eerste of tweede lijn).

“Maandelijks, op vastgestelde data, rekenen ruim 3,3 miljoen burgers erop dat zij hun AOW-uitkering ontvangen”

De AOW beperkt zich niet tot onze landsgrenzen

“Dat klopt. Een klein deel van de AOW wordt uitgekeerd aan mensen die in het buitenland wonen. Voor de uitvoeringsorganisatie en de handhavingsactiviteiten leidt dit tot specifieke werkzaamheden voor het vaststellen of continueren van een recht op een uitkering. De Audit Dienst controleert deze specifieke werkzaamheden en dus is ook specifieke kennis bij de Audit Dienst van de wetgeving gericht op het toepassen voor gerechtigden in het buitenland noodzakelijk.”

“Maandelijks, op vastgestelde data, rekenen ruim 3,3 miljoen burgers erop dat zij hun AOW-uitkering ontvangen. Dit houdt in dat de uitkeringen juist, volledig en tijdig moeten worden uitbetaald. Daarbij maakt de Audit Dienst ook gebruik van informatie van Juridische Zaken. Deze afdeling dient ervoor te zorgen dat in de organisatie geborgd is dat de wetswijzigingen goed in de systemen zijn verwerkt en dat werkinstructies voor de medewerkers tijdig en correct zijn aangepast.”

Welke rol spelen soft controls bij de auditaanpak van de AOW?

“Naast alle hard controls worden ook de soft controls meer en meer beoordeeld door de Audit Dienst. Met name ten aanzien van geconstateerde onrechtmatigheid wordt steeds vaker gekeken naar de achtergronden van de beoordeling van aanvragen door medewerkers. Ook in de beoordeling van de effectiviteit van de besturende processen speelt het element van leiderschap een prominente rol. Het steeds vaker meenemen van gedrag van medewerkers in de audits maakt ons werkveld heel breed en interessant.”

De Sociale Verzekeringsbank

De Sociale Verzekeringsbank kent een lange historie. Sinds 1901 verzorgt dit ZBO (zelfstandig bestuursorgaan van het ministerie van Sociale Zaken en Werkgelegenheid) de uitkering van de AOW. Ook ontvangen burgers hun kinderbijslag, nabestaandenuitkering en de uitkering van hun persoonsgebonden budget van de SVB (in totaal voert de SVB achttien regelingen uit). Met ruim 5,5 miljoen klanten en een jaarlijkse uitkeringslast van ruim 43 miljard euro heeft de SVB een van de meest omvangrijke budgetten onder de ZBO’s. De SVB heeft tien locaties in Nederland, waarvan het hoofdkantoor in Amstelveen is gevestigd.

Over welke specifieke kennis moet je beschikken als je bij de auditdienst van de SVB werkt?

“Audits kunnen zich op verschillende onderdelen richten. Indien de audits zich richten op de processen of op het IT-systeem kom je met algemene auditervaring al een heel eind. Voor de controle van de uitkeringen zelf is kennis van de wet- en regelgeving noodzakelijk. Het juist toepassen van de wet is dan belangrijk voor de audit. Naast kennis van de wetten en regelingen die de SVB uitvoert, is ook kennis van de risicogerichte steekproefmethode die wij gebruiken belangrijk. Statistiek is vereiste kennis voor een aantal auditors. Hier worden we ook in ondersteund door externe experts. Daarbij helpt een goed inzicht in de geautomatiseerde processen van de SVB. Voor onze controle hebben wij veel contacten met verschillende mensen in de organisatie. We bezoeken de serviceteammedewerkers op locatie om te zien wat hun werkzaamheden inhouden. Zij zijn de ‘backbone’ van de organisatie. Vervolgens hebben we veel contact met Operational Control die de steekproeven uitvoert op rechtmatigheid én kwaliteit van de gevalsbehandelingen. Voor specifieke vertaling van wet- en regelgeving spreken we met collega’s van Juridische Zaken en uiteraard onderhouden we nauwe contacten met de financial controllers voor de verantwoording van de wetten in de jaarrekening. Centrale thema’s voor alle regelingen zoals general IT-controls, privacy, informatiebeveiliging, et cetera worden uitgevoerd op SVB-niveau.”

Noot

1. Zie het artikel van prof. Jacques de Swart c.s., ‘Data analytics volgens het push-leftprincipe’, Audit Magazine, 1-2016.