Loopbaan van de auditor – een dialoog

Is internal audit een vak voor het leven? Of is het juist goed om te ‘reizen’ tussen de bekende drie lijnen? Moet je eerst de business in, of leer je die juist vanuit de auditfunctie kennen? Audit Magazine organiseerde een roundtable over dit thema. Thijs Smit, Frans Eusman, Joko Tenthof van Noorden, Martine Zwiers en Erik Hessels gingen aan de hand van zes stellingen de dialoog aan.

 Stelling 1 – Internal audit is een vak voor het leven

Thijs Smit: “Ik beoefen dit vak inmiddels 48 jaar, dus ik kan er moeilijk tegen zijn. Maar er zijn verschillende manieren om zo’n carrière vorm te geven. Ik heb bij zes of zeven bedrijven gewerkt, van financiële instellingen en logistiek tot zware industrie. Ook heb ik internationaal gewerkt, onder meer in Londen en in Amerika. Dat levert steeds een andere omgeving en een andere manier van werken op. Ik heb bijna twintig jaar bij PTT gezeten. Toen ik naar Hoogovens ging, dacht ik: daar werk ik ook weer twintig jaar. Dat pakte door de fusie met British Steel anders uit. Uiteindelijk heb ik dus binnen internal audit heel verschillende bedrijven en sectoren gezien. Dat is ook een vorm van loopbaanontwikkeling.”

Frans Eusman: “Je kunt misschien 45 jaar heftruckchauffeur zijn bij hetzelfde bedrijf, maar 45 jaar auditor bij hetzelfde bedrijf lijkt me ongezond. Het gevaar is bedrijfsblindheid. Door van omgeving te veranderen vernieuw je jezelf en kijk je opnieuw naar bestaande problemen. Ik heb auditors bij Heineken ook weleens geadviseerd een paar jaar ergens anders te gaan werken en eventueel later terug te komen.”

Joko Tenthof van Noorden: “Internal audit kan juist ook een uitstekende plek zijn om te beginnen. Je leert een organisatie razendsnel kennen. Toen ik bij Robeco als internal auditor begon, werd ik direct betrokken bij incidentafhandelingen en root cause analyses. Binnen een paar maanden wist ik daardoor ontzettend veel van de organisatie. Ik zie internal audit daarom ook als springplank. Je leert heel snel wat een organisatie drijft, waar de risico’s zitten en hoe processen functioneren. Die kennis kun je daarna overal gebruiken. Of iemand daarna auditor blijft, hangt vooral van de persoon af.”

Thijs: “Maar blijf je binnen het auditvak, dan moet je wel blijven bewegen. Zeker voor een chief auditor vind ik het niet verstandig om veel langer dan zes tot acht jaar bij één organisatie te zitten. Soms zie je mensen die tien of twaalf jaar dezelfde positie hebben. Ze zijn vaak uitstekend in hun vak, maar je ziet dat een bepaalde scherpte afneemt. Dat is precies die bedrijfsblindheid.”

Frans: “En het gaat niet alleen om de scherpte, maar ook om de breedte van je ervaring. Kijk naar IT. Twintig jaar geleden speelde dat in sommige bedrijven een veel kleinere rol. Tegenwoordig zijn IT en data-analyse essentieel voor de auditpraktijk. Daarom kan het heel waardevol zijn om mensen uit een andere sector binnen te halen. Die persoon brengt andere kennis en ervaringen met zich mee.”

Erik Hessels: “Je moet bovendien naar de mix van het hele auditteam kijken. Niet iedereen hoeft dezelfde loopbaan te hebben. Iemand die een diehard auditor wil blijven, kan heel waardevol zijn. Maar haal daarnaast bijvoorbeeld ook mensen uit de business naar binnen. Zij kennen de organisatie en brengen weer andere kennis en ervaring mee. Toen ik bij een zorgverzekeraar kwam, begreep ik op mijn eerste dag ook niet meteen hoe alles werkte. Dan heb je mensen nodig die dat wel begrijpen. Vervolgens bouw je samen kennis op. Het mooie van internal audit is juist dat een team een mix mag zijn van mensen met verschillende professionele achtergronden en ervaringen. Uiteindelijk heb je elkaar nodig om als internal audit van waarde te zijn voor de organisatie.”

Martine Zwiers: “Niet te lang, maar ook niet te kort. Je kunt als nieuwkomer een frisse blik meebrengen en snel constateren wat er anders moet. Maar vervolgens is de vraag: wat doet de organisatie daarmee? Zeker als aanbevelingen niet direct worden opgevolgd, moet je soms ook meemaken hoe het vervolg loopt. Een te hoge omloopsnelheid is daarom evenmin goed.”

Thijs: “Ik vind drie jaar eigenlijk het minimum. Het eerste jaar moet je de onderneming leren kennen. Het tweede jaar kun je de auditafdeling goed op de business afstemmen. In het derde jaar begint het als een geoliede machine te functioneren. Als je korter dan drie jaar blijft, is dat eigenlijk zonde. Voor jezelf en voor de organisatie.”

Stelling 2 – Internal auditing is een tweede vak naast het hoofdvakgebied. Zoals IT, bedrijfskunde, psychologie, chemie, et cetera

Martine: “Daar ben ik het wel mee eens. Ik heb zelf IT gestudeerd. Daardoor weet ik waar bepaalde inherente risico’s zitten. Als je helemaal niets van een onderwerp weet, kun je misschien een heel leuk verhaal houden, maar weet je niet vanzelf waar het vaak misgaat. De goede auditors en riskmanagers die ik heb gezien kennen het proces. Ze herkennen de risico’s en kunnen onderscheid maken tussen hoofd- en bijzaken. Daarvoor heb je materiekennis nodig. Je kunt de beste auditmethodologie beheersen, maar als je niet weet waar het in de praktijk fout kan gaan, wordt het lastig om als auditor effectief te zijn.”

Joko: “In de praktijk heeft bijna iedere auditor al een ander vakgebied als basis. Je begint bijvoorbeeld vanuit bedrijfskunde, economie, psychologie, IT of een ander specialisme en bouwt daarop verder. Auditing komt daar als specialisatie bij.”

Frans: “Ik vergelijk het weleens met general management. General managers hebben meestal ook ergens een inhoudelijk ankerpunt. Ze waren bijvoorbeeld jurist, financieel specialist of IT’er. De valkuil is dat je vervolgens alles door die oorspronkelijke bril blijft bekijken. Als auditor heb je juist een bredere verantwoordelijkheid. Je kunt niet ieder vraagstuk blijven bekijken als jurist, IT’er, accountant of chemicus.”

Erik: “Uiteindelijk moet je begrijpen hoe een organisatie werkelijk werkt. Dat leer je niet alleen uit studieboeken. Je krijgt op school basiskennis, maar pas in de praktijk leer je hoe processen echt lopen en hoe mensen zich daarin gedragen.”

Joko: “Je hebt vlieguren nodig. Iemand met een achtergrond in psychologie kan bijvoorbeeld veel toevoegen bij audits rond gedrag en soft controls. En iemand met een chemische achtergrond kan juist veel waarde toevoegen in een industriële omgeving. Die verschillende achtergronden versterken het vak.”

Stelling 3 – Businesservaring is een vereiste om een succesvolle auditor te zijn

Joko: “Dat is niet mijn ervaring. Ik ben zelf vanuit control naar internal audit gegaan en heb niet eerst jarenlang in de business gewerkt.”

Thijs: “Maar als internal auditor moet je de business wel kennen. Dat is essentieel. Dat betekent niet dat je zelf jarenlang een operationele functie moet hebben gehad. Toen ik bij de PTT werkte, ging ik met postbodes mee en bezocht ik sorteercentra. Bij Ahold heb ik in winkels gewerkt, vakken gevuld en zelfs een tijdje als winkelmanager meegedraaid. Zo leer je wat er werkelijk gebeurt. In de retail bezocht ik bovendien winkels van concurrenten. Als je door een stad rijdt en niet alleen je eigen winkels maar ook die van concurrenten bekijkt, begrijp je in een paar dagen ontzettend veel. Als chief auditor moet je namelijk meer kunnen dan alleen over beheersing praten. Er wordt ook van je verwacht dat je als sparringpartner kunt optreden bij strategische vraagstukken. Dat lukt alleen als je de markt en de business begrijpt.”

Frans: “Daar zit voor mij het onderscheid. Businesservaring suggereert dat je zelf met je handen in de brouwketel moet hebben gezeten. Dat hoeft niet. Je moet de business begrijpen. En eigenlijk moet je vooral de mensen begrijpen. Waarom gaan dingen fout? Niet omdat ‘de business’ iets doet, maar omdat mensen onder bepaalde omstandigheden beslissingen nemen. Een finance manager kan bijvoorbeeld onder enorme druk staan. Als je je niet kunt voorstellen wat zo iemand ervaart, wordt het lastig om te begrijpen waarom iets gebeurt. Auditors maken soms te weinig impact omdat ze onvoldoende begrijpen hoe moeilijk veranderen voor management kan zijn. Het is eenvoudig om te zeggen wat iemand anders moet veranderen. Je moet ook begrijpen onder welke druk managers werken en waarom een oplossing in de praktijk lastig uitvoerbaar kan zijn.”

Joko: “Wij noemen dat ‘business acumen’. Je moet de doelstellingen en de context van de onderneming begrijpen. Je hoeft niet zelf aan iedere tafel te hebben gezeten, maar je moet wel kunnen aanvoelen wat prioriteit heeft. Een auditor kan uitstekend vertellen wat technisch niet goed gaat. De volgende vraag is: wat betekent dat voor de business?”

Martine: “Precies. Wat is bijvoorbeeld de impact op de klant? Als je die vertaalslag kunt maken, spreek je de taal van de business. In mijn huidige rol zie ik het verschil duidelijk. Als auditors de business onvoldoende begrijpen, krijg je generieke adviezen en open deuren. Als een project rood staat, weet het project zelf meestal ook wel dat het niet goed gaat. Ik heb internal audit niet nodig om dat nog een keer te horen. Ik wil weten waarom het misgaat en wat ik eraan kan doen.”

Stelling 4 – Scherp kunnen analyseren is de belangrijkste eigenschap van een goede auditor

Frans: “Het begint bij analytisch vermogen. Maar daarmee ben je er niet. Je moet je boodschap ook over het voetlicht krijgen. Sommige auditors proberen steeds harder hun gelijk te bewijzen en krijgen daardoor juist steeds minder gelijk. Je hebt meer nodig dan alleen een scherpe analyse.”

Martine: “Als auditor ben je soms één persoon tegenover honderd mensen die inhoudelijk veel meer van hun eigen vak weten. Je moet dus kunnen faciliteren en vertrouwen opbouwen. De deur kan heel gemakkelijk voor je dichtgaan. Je wilt juist de dialoog voeren.”

Frans: “Proberen slimmer te zijn dan de vakmensen is kansloos. Als je een audit uitvoert bij bijvoorbeeld afdeling Treasury, moet je niet denken dat je meer van hedging weet dan het hoofd Treasury. Hetzelfde geldt voor hr, IT of ieder ander specialisme. Dat is ook helemaal niet je rol.”

Joko: “Gelijk hebben en gelijk krijgen zijn twee verschillende dingen. Een goede auditor moet beide begrijpen en kunnen.”

Stelling 5 – Een internal auditfunctie met uitsluitend businesservaring kan prima functioneren

Thijs: “Ik heb de afgelopen tien jaar ongeveer honderd kwaliteitstoetsingen gedaan. Twee keer zag ik een auditfunctie die vrijwel volledig uit mensen uit de business bestond. Beide afdelingen waren erg geliefd bij het management. Ze begrepen de onderneming uitstekend en leverden duidelijk toegevoegde waarde. Maar als je onder de motorkap keek, zag je dat de achterkant minder sterk was. Methodologie, vaktechniek en professional practices waren minder goed ontwikkeld. Soms werd daardoor bijvoorbeeld een IT-oplossing voorgesteld terwijl het echte probleem de effectiviteit van controls betrof. Ik wil dus niet zeggen dat zo’n auditfunctie niet kan werken. Dan zou ik die afdelingen tekortdoen. Maar je mist wel een deel van de gereedschapskist: het audit universe, risicogestuurd werken, methodologie en kennis van beheersing. Zorg in ieder geval dat er één auditprofessional (RA, RO of RE) in de bezetting van internal audit is opgenomen.”

Frans: “Ik vind het riskant als die professionele basis ontbreekt. Een auditor kan een uitstekende mening hebben, maar die mening moet uiteindelijk wel voldoende op feiten zijn gebaseerd. Juist als een gesprek minder gezellig wordt, moet je kunnen uitleggen hoe je tot een bevinding bent gekomen. Hetzelfde geldt als later iets fout gaat in een proces waar je eerder een audit hebt uitgevoerd. Dan moet je kunnen uitleggen dat een audit geen garantie biedt dat iedere transactie altijd goed verloopt. Daarvoor heb je standaarden en een goed kwaliteitssysteem nodig.”

Erik: “Voor mij gaat het nog verder. Een auditfunctie moet ergens voor staan. Het gaat niet alleen om bevindingen binnen de organisatie, maar ook om vertrouwen. Met auditors die zijn opgeleid in het vak van internal audit borg je ook het professionele kader, waaronder beroepsethiek en integriteit. Als iedereen uitsluitend vanuit de business komt, moet je je afvragen hoe je dat professionele fundament organiseert.”

Stelling 6 – Beloningsverschillen tussen internal auditfuncties en andere staffuncties zijn onwenselijk

Joko: “Toen ik in internal audit werkte, had ik geen business targets. Nu heb ik die wel. Vanuit onafhankelijkheid vind ik dat logisch. Mijn doelstellingen binnen internal audit waren uitsluitend gericht op de auditfunctie.”

Martine: “Het is vooral ongewenst als auditors structureel worden onder- of overbetaald ten opzichte van vergelijkbare functies. Dan wordt het lastiger om beweging tussen functies te stimuleren.”

Frans: “Bij Heineken heb ik er nadrukkelijk voor gezorgd dat salarisverhogingen binnen mijn auditteam mijn verantwoordelijkheid waren. Natuurlijk luisterde ik naar anderen, maar uiteindelijk moest ik als chief auditor daarover beslissen. Ik heb één keer meegemaakt dat het executive team een voorstel wilde aanpassen omdat zij vonden dat iemand minder goed functioneerde dan ik vond. Toen heb ik gezegd: ‘Als jullie daarin ingrijpen, gaan we naar de raad van commissarissen.’ Een auditor moet niet financieel afhankelijk worden van de waardering van het management dat hij beoordeelt.”

Thijs: “Dat herken ik volledig. Juist je beste auditors kunnen soms lastig zijn voor het management. Daar waardeer je ze ook om: ze durven tegen een CEO te zeggen dat iets niet klopt. Die mensen verdienen bescherming. Ook voor de chief auditor zelf is de positie van het audit committee daarom belangrijk. Ik heb meegemaakt dat ik een stevig verschil van mening had met het bestuur. Dan is het comfortabel om te weten dat de voorzitter van het audit committee achter je staat. Een auditor kan dus af en toe weerstand oproepen. Dat hoort bij het vak. Als iemand zegt: ik ben al vijf of tien jaar chief auditor en heb nog nooit een conflict gehad, dan vraag ik me af of diegene zijn werk goed doet. Je loopt als chief auditor onvermijdelijk tegen zaken aan die schuren. Je kunt niet iedereen altijd tevreden houden. Een goede chief auditor is geen managementpleaser. Je moet politiek slim zijn en weten wanneer je ruimte kunt geven. Maar soms trek je een streep. Als iemand daaroverheen gaat, moet je bereid zijn naar de commissarissen te stappen. Wij hebben de rol om af en toe de stormbal te hijsen.”