Internal audit en risicomanagement in de bouw

Rob van Wingerden, CEO van Koninklijke BAM Groep, over de ontwikkelingen en risico’s in de bouw- en infrasector en de rol van de internal auditfunctie.

De bouw- en infrasector is volop in het nieuws. Wat maakt deze sector zo bijzonder?

“De bouw- en infrasector is een belangrijke werkgever met veel impact op de samenleving. Bij BAM werken alleen al zo’n 23.000 medewerkers die allerlei infra- en bouwprojecten realiseren. Het is een sector die nog steeds kampt met lastige marktomstandigheden door de bouwcrisis. We hebben als sector daarbij niet alleen te maken met minder vraag, maar ook met meer concurrentie en veranderende contractsoorten. Kleinere marges en grotere risico’s!”

Veranderende contractsoorten?

“In de traditionele bouw, bij de traditionele aanbestedingen, werd ons voorheen gevraagd iets te bouwen volgens een bepaald bestek. Tegenwoordig vragen onze opdrachtgevers, zoals bijvoorbeeld overheden, om een bepaalde prestatie, waarbij het ontwerp, de bouw, de financiering en het onderhoud veelal worden uitbesteed aan één contractpartij. En soms komt daar de exploitatie ook nog bij. Dit noemen wij publiek private samenwerking (PPS), of zogenaamde DBFMO-contracten: design, build, finance, maintain, operate. Deze ontwikkeling is een uitvloeisel van de trend die reeds enige tijd geleden is ingezet door de overheid om zoveel mogelijk verantwoordelijkheden bij marktpartijen te leggen onder het motto: ‘De markt, tenzij’.”

Wat zijn PPS en DBFMO precies?

“Via publiek private samenwerking (PPS) werken overheid en bedrijven als BAM samen aan meerjarige grote projecten voor (rijks)huisvesting en infrastructuur. Doel van deze samenwerking is om te komen tot kwalitatief betere eindproducten voor minder geld. Projecten komen in elk geval in aanmerking voor PPS als de verwachte investering boven bepaalde vastgestelde bedragen ligt. Bij Rijkshuisvestingsprojecten is dat € 25 miljoen, bij infrastructuurprojecten € 60 miljoen. Er zijn vele vormen van PPS. Wanneer we over PPS-projecten bij de Rijksoverheid spreken, wordt DBFMO bedoeld: design (ontwerp), build (bouw), finance (financiering), maintain (onderhoud) en operate (exploitatie). Bij infrastructuurprojecten wordt veelal DBFM toegepast.”

Wat betekent dit voor BAM?

“BAM is een beursgenoteerde Europese bouwgroep die actief is in de bouw-, vastgoed- en infrastructuursector. Wij brengen jaarlijks honderden projecten tot stand, zowel zelfstandig als in samenwerking met andere organisaties in de sector. De verandering naar meer PPS en DBFM(O)-contracten heeft grote impact op onze manier van denken en werken. Het gaat er bij dit ‘nieuwe’ type contracten niet langer om bouwcapaciteit beschikbaar te hebben, maar om innovatief te zijn en te komen met creatieve oplossingen voor onze opdrachtgevers. We leveren niet meer een kaal gebouw op, maar complete dienstverlening. Een fundamentele verandering in ons denken en werken dat zich doorvertaalt naar de hele organisatie en industrie.”

Wat zijn de specifieke risico’s van DBFMO?

“PPS/DBFM(O) heeft de bouwwereld voorgoed veranderd. De vraaguitval in de markt sinds 2007 heeft ertoe geleid dat veel bedrijven met zeer dunne marges hebben ingeschreven op meerjarige grote projecten om op deze manier toch omzet te genereren en personeel aan het werk te houden. De crisis vormt in combinatie met deze veranderde contractvormen een giftige cocktail, waarbij de kans bestaat dat bouwbedrijven te veel risico’s op zich hebben genomen zonder dat dat is vertaald naar hogere rendementen. Meer risico met minder marge dus.”

Waar zit voor BAM het hoogst erisico?

“Als we kijken naar de risico’s voor een bedrijf als BAM zit het hoogste risico in het tenderproces. Immers, als de kosten en vergoedingen vooraf niet goed worden ingeschat bij een groot project dat soms wel dertig jaar loopt, zijn de risico’s ook voor een bedrijf als BAM zeer groot. Als je niet goed oplet zit het venijn dus meer in de kop dan in de staart. Daarbij geldt dat bij dit soort contracten de risico’s soms te veel naar de markt zijn verschoven. Denk maar aan de vergunningverlening, daar hebben wij als marktpartij veel minder invloed op dan een overheid. Over dit soort punten zijn we dan ook in overleg met onze opdrachtgevers, de Rijksoverheid en Bouwend Nederland met als doel te kijken hoe we hier gebalanceerd en verstandig mee kunnen omgaan.”

Hoe gaat BAM om met de risico’s in het tenderproces?

“Binnen het tenderproces is ‘project control’, de checks en balances in het proces, van groot belang. We werken hier langs drie lines of defense, namelijk de werkmaatschappij zelf, de peer reviews door vakgenoten binnen andere werkmaatschappijen en als derde Internal Audit. De verschillende rollen komen allen tot uiting in het ‘stage-gate’proces. Hierbij hebben we trajecten opgedeeld in fasen (de ‘stages’). Een fase is pas klaar als alle samenhangende activiteiten zijn afgerond. Daarna volgt er een managementbeslissing of het traject naar de volgende fase mag. Bij BAM onderscheiden wij vijf ‘stages’ (zie kader).”

De vijf ‘stages’ van BAM

In de eerste fase maakt de werkmaatschappij een tendervoorstel. Afhankelijk van de omvang en het risicoprofiel moet dit worden voorgelegd aan de raad van bestuur en mogelijk ook aan de raad van commissarissen. In deze fase besluiten we of we willen meedoen aan het tenderproces.

In de tweede fase wordt het tendervoorstel verder uitgewerkt en wordt een peer review uitgevoerd door BAM-medewerkers met relevante ervaring. Wij noemen ze de ‘critical friends’. Dit zien wij als een tweede line of defense. In het begin moesten werkmaatschappijen nog best wennen aan dit fenomeen en werden de critical friends ook wel gezien als politieagenten. Inmiddels wordt de toegevoegde waarde ervan breed onderkend, we beogen immers allemaal meer zekerheid en betere voorspelbaarheid.

In de derde fase wordt de tenderprijs bepaald en door de raad van bestuur – en bij grotere omvang of risicoprofiel ook door de raad van commissarissen – geaccordeerd. Met name in deze fase willen we de derde line of defense aanhaken in de vorm van Internal Audit. Internal Audit moet haar waarde met name toevoegen in de fasen voordat prijzen definitief worden bepaald en contracten worden getekend.

In de vierde fase vinden onderhandelingen plaats en worden de contracten getekend. In de vijfde fase is de tender toegekend en wordt bekeken of het project goed uit de startblokken is gekomen. Het project wordt vervolgens gevolgd als WIP (work in progress).

Wat is de rol van de internal auditfunctie (IAF) binnen BAM?

“Op dit moment hebben we bij BAM geen volledig ingerichte auditfunctie. We hebben al wel iemand aangetrokken die deze rol gaat invullen. De focus komt te liggen op ons primaire proces en dus op het eerder genoemde project control. Dit is bij ons veel relevanter dan audits doen naar andere interne processen. Wij willen dat de internal auditfunctie zich richt op de belangrijkste risico’s voor ons, en dat is het tenderproces! Wij moeten sterk waken over de naleving van de afspraken die we met elkaar hebben gemaakt. Over de omvang van de afdeling hebben we nog niet alles vastgesteld. De rapportagelijn zal direct aan de CEO zijn en de auditor zal zeker ook regelmatig zijn opwachting gaan maken bij het audit committee.”

“Ons idee is dat Internal Audit alle grote projecten audit en daarnaast steekproefsgewijs ook de kleinere projecten. Daarbij krijg je een heel aardig beeld van trends en ontwikkelingen bij bepaalde processen of divisies. Dat helpt ons ook weer om beter te sturen. Naast deze tenderaudits hebben we bijvoorbeeld ook safety awareness audits (SAA) die bij de werkmaatschappijen worden uitgevoerd. Deze activiteit is tot op heden nog geen onderdeel van de IAF.”

Waar kan Internal Audit toegevoegde waarde leveren?

“Bouwprojecten blijken nogal eens uit te lopen, zowel qua tijd als kosten. BAM heeft zich ten doel gesteld ‘best in class’ bouwprojecten te leveren. Hier zit de kern ook in het tenderproces. Uitloop van projecten ligt vaak al opgesloten in (mis)calculaties, foutieve inschattingen en te positieve aannamen bij de tender. Een fout die in een tender wordt gemaakt is achteraf niet of nauwelijks te herstellen. Dit kan dan leiden tot wat wij ‘buiten improviseren’ noemen: het zoeken van oplossingen tijdens het al lopende project. Hier willen wij vanaf. We moeten het zoveel mogelijk ‘binnen’ goed bedenken en beheersen. Hier kan de internal auditor een belangrijke bijdrage leveren aan het beheersen aan de voorkant.”

“Een tenderproces bij een groot project kan overigens zomaar een of twee jaar duren en behoorlijk wat geld kosten. Gezien de belangen, de risico’s en de kosten moet het tenderproces van een heel hoogwaardig niveau zijn. En dat bekent dus volle vaart vanuit de eerste lijn (stage gate), de tweede lijn (critical friends) en de derde lijn (operational audit van de diverse grote tenders). De ervaring leert dat als we het project goed volgen vanaf de start van de tender tot en met een maand of zes na gunning, we daarmee de belangrijkste risico’s voor onze organisatie goed in beeld hebben. Als een project goed van start gaat, dan is onze ervaring dat het over de looptijd beter beheersbaar zal blijven. In de tenderfase bepalen we vaak al het eindresultaat!”

Dat klinkt als een grote verandering in het denken en doen van de organisatie?

“Wij veranderen inderdaad sterk als organisatie en in de technieken die wij toepassen. Meer en meer zullen projecten virtueel worden gebouwd met behulp van BIM (building information modelling). Met BIM kan een digitaal model van een constructie worden opgebouwd. Zo kan naast de geometrie en positie ook informatie worden toegevoegd, zoals te gebruiken bouwmaterialen, kosten en afmetingen. De behoefte is om het signaleren van fouten en het nemen van cruciale beslissingen zoveel mogelijk naar de eerste fasen van een project te halen. Om faalkosten – kosten door verkeerde beslissingen of bouwfouten – te reduceren is een zo compleet mogelijk inzicht in de te bouwen constructie nodig. BIM voorziet in die behoefte. De faalkosten binnen de bouwkosten maken 5 á 13% uit van de omzet. Hier is dus heel veel te winnen voor een bedrijf als BAM. Het gaat er uiteindelijk om wie de slimste is in het ontwikkelen en neerzetten: de createur en de regisseur.”

Met al die techniek: hoeveel technische kennis moet Internal Audit hebben van bouw en infra?

“Op zich is geen specifieke bouwkundige kennis vereist. Wel kennis van projecten en projectmanagement. Het gaat daarnaast ook om vaardigheden: een onafhankelijke opstelling, zelfstartend en zelfsturend. Natuurlijk wordt er ook verwacht dat Internal Audit zich actief mengt in het tenderproces. Ik vind het als bestuurder belangrijk dat Internal Audit zorgen, risico’s en suggesties meldt alvorens een project definitief is ondertekend. Achteraf vaststellen dat de tender niet aan de te stellen eisen voldoet, is gewoonweg te laat. Een kritisch en stevig internal-auditrapport kan dus voor een project een showstopper zijn, behoorlijk relevant dus.”

“Audit mag niet gezien worden als de steigers rondom een gebouw. Het gebouw moet zelf sterk staan en mag niet gaan leunen op de steigers”

“Ik vind het essentieel dat de risico’s echt goed worden doorgrond en dat wij begrijpen wat de up- en downside zijn. Als de cashflow op een infraproject bijvoorbeeld afhankelijk wordt gesteld van het aantal auto’s dat over de betreffende weg rijdt, zijn dit risico’s die zich slecht laten inschatten en afhankelijk zijn van de lokale bedrijvigheid. Iets waar wij vanuit BAM naar de toekomst toe van willen wegblijven.”

Wat is in uw ogen het belangrijkste voor een IAF om succesvol te zijn?

“Zoals ik eerder zei gaat het om kennis, praktische toepassing en stevigheid. Maar audit mag geen doel op zich worden. Audit mag niet gezien worden als de steigers rondom een gebouw. Het gebouw moet zelf sterk staan en mag niet gaan leunen op de steigers. Als iets in de kern niet klopt dan kun je dat als audit niet voorkomen. Het gaat om de som der delen. Niemand kan alleen echt het verschil maken, maar samen des te meer!”