Toezicht op de toezichthouder

Berniek Bruinsma en Bert Pruijn van de Nederlandse Voedsel- en Warenautoriteit (NVWA) vertellen over de wereld van deze toezichthouder op (onder meer) de voedselveiligheid en wat het betekent voor een interne auditfunctie om binnen een toezichthouder te opereren.

Wat zijn de hoofdtaken van de NVWA?

Berniek Bruinsma (BB): “Het werkveld van de NVWA is breed. De NVWA concentreert haar werkzaamheden rondom diverse publieke belangen, zoals voedsel- en productveiligheid, dierenwelzijn en -gezondheid en natuur. De NVWA dient hier als toezichthouder diverse belangen. Bijna de helft van onze capaciteit wordt ingezet op de voedselveiligheid. Daarbij moet je niet enkel denken aan voedingsmiddelen voor consumenten maar ook aan antibioticagebruik bij productiedieren, het slachtproces en de dierlijke bijproducten. Daarnaast voert de NVWA op verzoek van bedrijven ook keuringen uit. We kijken naar levende dieren, producten en productieprocessen zodat bedrijven hun producten kunnen verhandelen binnen de Europese Unie of naar daarbuiten kunnen exporteren. Wij zijn een veelzijdige organisatie waarbinnen de naleving van wet- en regelgeving op het gebied van onder andere voedselveiligheid centraal staat.”

Hoe is de NVWA georganiseerd?

BB: “De NVWA is een agentschap met aan het hoofd de inspecteur-generaal (IG). De IG is verantwoordelijk voor vier directies, te weten: keuren, handhaven, strategie, interne organisatie (ondersteunende diensten). Onder de directie Handhaven is ook de inlichtingen- en opsporingsdienst geplaatst. Deze richt zich op de bestrijding van complexe criminaliteit en voedselfraude met strafrechtelijke opsporingsonderzoeken onder verantwoordelijkheid van het openbaar ministerie (OM). Daarnaast is ook nog het Bureau Risicobeoordeling en onderzoek (BuRO) bij de NVWA te vinden.”

Wat doet dit bureau?

BB: “Dit bureau werkt zowel voor de NVWA als voor de ministeries van LNV en VWS, en verricht gevraagd en ongevraagd wetenschappelijk onderbouwde en onafhankelijke risicobeoordelingen. Dit gebeurt onder meer naar aanleiding van verkennende onderzoeken, zoals recent over het servies van melamine met bamboevezels, waarbij het risico bestaat dat schadelijke stoffen worden afgegeven. Mensen denken dan dat ze een milieuvriendelijk en verantwoord product in handen hebben, maar het is potentieel schadelijk voor de gezondheid.”

Hoe is de governance rondom en binnen de NVWA geregeld?

Bert Pruijn (BP): “Het agentschap valt onder het ministerie van Landbouw, Natuur en Voedselveiligheid (LNV). Het ministerie van LNV is de ‘eigenaar’ van het NVWA maar is ook ‘opdrachtgever’ (naast het ministerie van VWS). De NVWA verricht dus werkzaamheden ten behoeve van twee ministeries.
De eigenaar moet de continuïteit van de NVWA op de langere termijn bewaken, waarbij aan meer gedacht wordt dan enkel het opleveren van de gevraagde producten. Bijvoorbeeld ook aan zaken als een gezonde en toekomstbestendige bedrijfsvoering. De opdrachtgevers leggen de focus juist weer op de efficiënte realisatie van de (beleids)doelstellingen door de NVWA.”

Op de wat langere termijn zien we vooral uitdagingen op het gebied van digitalisering en IT-auditing. Beide hebben de laatste tijd een vlucht genomen

Kunt u iets zeggen over de borging van de onafhankelijkheid van de organisatie?

BP: “Dat is een cruciaal punt voor de NVWA als toezichthouder. De onafhankelijkheid is een aspect dat altijd een belangrijke rol speelt bij de Rijksinspecties en met enige regelmaat onderwerp van gesprek is in Tweede Kamer. De ‘Aanwijzing inzake rijksinspecties’, waarin de onafhankelijkheid is geregeld, wordt de komende periode geëvalueerd. De rijksinspecties hebben gezamenlijk aan de verantwoordelijke staatssecretaris het signaal afgegeven dat deze aanwijzing niet toereikend is om de gewenste mate van onafhankelijkheid te borgen.
De NVWA werkt op een terrein met maatschappelijk en politiek gevoelige thema’s. Maatschappelijke organisaties leggen dan ook met enige regelmaat het toezicht kritisch onder het vergrootglas en dienen de NVWA van repliek. Dat houdt ons scherp, maar het is wel jammer dat het vele goede werk daardoor onderbelicht blijft.”

Hoe gaat de NVWA om met risico´s?

BP: “Wij werken met het traditionele three-lines-of-defensemodel (3LoD) voor het versterken van de beheersing van de organisatie. De verantwoordelijkheden voor risico’s en interne beheersing liggen expliciet bij het management. De eerste lijn heeft betrekking op de diensten waar de uitvoerende werkzaamheden (keuren en handhaven) worden verricht. Wij werken met de (INK-gebaseerde) A3-methodiek voor het realiseren van de doelen van de organisatie. De tweede lijn bestaat uit staffuncties binnen de uitvoerende diensten en een aantal stafdiensten binnen de directie Interne Organisatie. De derde lijn betreft ten slotte de interne auditdienst (IAD) van de NVWA.
Naast een IAD hebben wij ook een eigen audit committee (AC). Het AC adviseert de IG over zaken als doelgerichtheid, doeltreffendheid en rechtmatigheid en is een belangrijke partner van de IAD (en vice versa). De IAD is onderdeel van de directie interne organisatie, maar heeft wel een rechtstreekse verantwoordings- en rapportagelijn naar de IG wat betreft de inhoudelijke taak, zodat de IAD voldoende onafhankelijk kan opereren.”

Hoe is de interne auditfunctie ingericht?

BP: “De IAD bestaat uit veertien medewerkers waarbinnen alle bloedgroepen (RO, RE, RA) zijn vertegenwoordigd. We ondersteunen de IG en de directeuren ten aanzien van vraagstukken op het terrein van sturing, beheersing, risicomanagement en verantwoording.

Welke audits voeren jullie uit?

BP: “Naast de meer gangbare operational, IT en financial audits, verrichten wij ook zogenoemde accreditatie-audits en compliance audits. Bij compliance audits wordt getoetst aan de van toepassing zijnde wet- en regelgeving, zoals EU-wetgeving waar de NVWA aan moet voldoen. De binnen de NVWA geaccrediteerde onderdelen zijn verplicht zichzelf periodiek aan audits te onderwerpen. De NVWA heeft het voornemen om de komende jaren meerdere onderdelen te laten accrediteren.
We kunnen met gepaste trots melden dat de IAD van de NVWA in januari 2017 als eerste IAD van de rijksoverheid de externe kwaliteitstoets van het IIA (mede namens NBA en Norea) met succes heeft afgelegd.”

Hoe komt de auditprogrammering tot stand?

BB: “Om goed mee te kunnen gaan met het toenemende tempo en de complexiteit van veranderingen, is sinds begin dit jaar overgestapt van een jaar- naar een halfjaarlijkse planning. De behoeften van de organisatie blijken snel te wijzigen en de vraag om ad-hocaudits neemt toe. Op zich is het natuurlijk goed nieuws dat de organisatie de IAD steeds beter weet te vinden, maar dit vergt wel veel van ons qua resource planning. Bij het samenstellen van de programmering is het de kunst om te focussen op de echte kwetsbaarheden binnen de organisatie.”

Hoe realiseren jullie dat focussen?

BB: “Daarvoor worden we gevoed door de uitkomsten van halfjaarlijkse strategische risicosessies binnen de vier directies. Dit biedt ons aanknopingspunten voor een risicogebaseerde selectie van auditonderwerpen. Daarnaast hebben wij ook lijntjes richting andere gremia die auditonderwerpen aanreiken. Als we eenmaal een voorstel voor een auditprogrammering hebben opgesteld wordt deze eerst ter reflectie voorgelegd aan de verschillende directies, daarna leggen we het ter advisering voor aan het AC, om het vervolgens vast te laten stellen door de IG.”

Stelt aard van de organisatie nog specifieke eisen aan de IAD?

BB: “Jazeker. De NVWA moet zich als toezichthouder op het gebied van onder meer voedselveiligheid houden aan EU-wet- en regelgeving. Zo hebben EU-lidstaten een verplichting om het toezicht op de naleving van wet- en regelgeving adequaat in te richten. De EU-wetgeving stelt dat de toezichthouder verplicht is periodiek de eigen processen en werkzaamheden te laten beoordelen via interne audits. Daarnaast hebben we als NVWA natuurlijk te maken met heel specifieke sectoren en de daarbij behorende specifieke kennis.”

De EU-wetgeving stelt dat de toezichthouder verplicht is periodiek de eigen processen en werkzaamheden te laten beoordelen via interne audits

Wat vraagt dit van de IAD?

BB: “Dat vraagt echt wel iets extra’s van de IAD. Dit is opgelost door het inzetten van een combinatie van auditors die zelf uit het werkveld komen en auditors met meer specifieke auditopleidingen. Zo hebben wij voor accreditatie-audits bijvoorbeeld veterinaire expertise in huis. Op deze manier beschikken we over een goede competentiemix. Als specifieke kennis uit het veld nodig is die de IAD niet in huis heeft, dan betrekken we medewerkers uit het veld erbij. Natuurlijk letten wij daarbij scherp op onafhankelijkheid en objectiviteit.
De rol van de IAF binnen een toezichthouder is in principe niet anders dan bij andere organisaties. Het gaat erom dat je de organisatie een spiegel voorhoudt en kwetsbaarheden identificeert, met als doel de organisatie beter in staat te stellen haar strategische doelen te behalen.

Kunt u daarvan nog een voorbeeld geven?

BB: “Een ander mooi voorbeeld daarvan is het uniform uitvoeren van toezicht. Bij het beoordelen van bedrijven hebben de inspecteurs namelijk een bepaalde ruimte voor interpretatie om tot oordeelsvorming te komen. Dit kan niet anders, omdat breed geldende wettelijke normen op verschillende terreinen door de wetgever beperkt ingevuld zijn (denk aan een ‘schone’ omgeving). Daarnaast houden de inspecteurs bij de oordeelsvorming rekening met de omstandigheden ter plaatse.”

Is dat uniform toepassen van de normen bij het toezicht lastig?

BB: “Het is een belangrijke strategische doelstelling van de NVWA om die normen uniform bij het toezicht toe te passen. Dit is onder andere van belang vanuit het oogpunt van de rechtsgelijkheid van de gecontroleerde bedrijven. Er moet een evenwicht zijn tussen enerzijds de kaders en anderzijds de ruimte die de organisatie aan de inspecteurs biedt. Je vertrouwt daarbij op het vakmanschap van de inspecteur. Dit vraagt veel van toezichthouders en inspecteurs, en in het verlengde vraagt dit ook meer van de auditfunctie die moet onderzoeken of in het veld de NVWA op een effectieve manier erop toeziet dat wet- en regelgeving wordt nageleefd.
De directie Handhaven heeft ons benaderd met een verzoek tot een audit naar de toepassing van wettelijke normen. Daarvoor brengen we nu voor verschillende toezichtdomeinen in kaart wat in de ogen van de inspecteur de belemmerende en de faciliterende factoren zijn bij het uniform hanteren van de normen in het toezicht. Daarmee helpen wij de organisatie bij het vinden van een evenwichtige spanningsboog tussen kaders en professionele ruimte.”

Zijn er verschillen tussen de onderzoeksmethodiek van een NVWA-inspecteur en die van een interne auditor?

BB: “We zien eerder parallellen dan verschillen. De IAD binnen een toezichthouder acteert eigenlijk als ‘toezichthouder op de toezichthouder’. Daarbij gebruiken de inspecteur en de auditor vergelijkbare technieken, zoals waarnemingen ter plaatse, documentenonderzoek, onderzoekende gesprekken, en toepassing van hoor en wederhoor. In de basis hebben ze beiden een object waar ze onderzoek naar doen, ter beantwoording van vooraf vastgestelde onderzoeksvragen via vooraf gedefinieerde beoordelingscriteria en normen.”

En de methodieken?

“De methodieken van de inspecteurs zijn natuurlijk meer geprotocolleerd en kennen een vast stramien. Alhoewel sommige audits wel een standaard en/of repeterend karakter hebben (zoals de audits gericht op accreditatie en compliance), zijn vooral de operationele audits doorgaans uniek en vragen maatwerk. De methodiek leidt nog wel eens tot discussies met de auditee. Dit is niet erg, maar maakt het extra belangrijk om de opdrachtgever vooraf goed mee te nemen in het ontwerpproces en het plan van aanpak te laten goedkeuren. Zodat achteraf geen discussie ontstaat over de uitkomsten of de gehanteerde methodiek.”

Welke uitdagingen zien jullie voor de IAD van de NVWA?

BB: “Op korte termijn speelt natuurlijk de coronacrisis. Het geplande veldwerk is hierdoor ernstig verstoord. Waarnemingen ter plaatse zijn niet of nauwelijks mogelijk, en kunnen geen of beperkt doorgang vinden. Natuurlijk wordt er wel naar alternatieve manieren gekeken om het werk zo goed mogelijk voort te zetten, zoals een ‘bijwoning ter plaatse’ door middel van videobellen, maar het blijft een uitdaging.
Daarnaast missen we ook de ‘toevalsinformatie’. Dit is informatie die je als auditor via spontane ontmoetingen op de werkvloer opvangt, wat mogelijk aanleiding vormt voor verkennend onderzoek. Als je elke dag vanuit huis werkt, merk je pas dat je dit mist en hoe belangrijk die informele informatie is. Dat hebben we wel nodig want we zijn immers de oren en ogen voor de IG.”

BP: “Op de wat langere termijn zien we vooral uitdagingen op het gebied van digitalisering en IT-auditing. Beide hebben de laatste tijd een vlucht genomen. Inspecteurs in het veld worden meer en meer geconfronteerd met geautomatiseerde informatiesystemen bij het uitvoeren van het toezicht. Zo moeten zij steeds meer aandacht hebben voor de betrouwbaarheid en continuïteit van IT bij bedrijven waar zij toezicht op houden. De NVWA heeft data scientists aangetrokken om de mogelijkheden van digitale innovatie op het gebied van toezicht verder te ontwikkelen. Denk dan ook aan het inzetten van geografische data, drones en beeldvormende apps om het instrumentarium van de inspecteur te verrijken.
Wel brengt dit nieuwe risico’s met zich mee ten aanzien van de privacy en beveiliging. De auditors moeten zich op dit gebied blijven ontwikkelen.”

Is transparantie ook een uitdaging?

BP: “De toenemende eisen ten aanzien van transparantie maken dat zeker ook een uitdaging: de NVWA streeft ernaar zoveel mogelijk transparantie te bieden, passend bij haar publieke taak. Zo worden in toenemende mate inspectiegegevens van de NVWA proactief openbaar gemaakt. De mate van naleving door bedrijven wordt dus voor het publiek ook steeds meer inzichtelijk. We zien ook dat in toenemende mate auditrapportages van de IAD publiek worden gemaakt. Doordat auditrapporten bijvoorbeeld in de Tweede Kamer kunnen belanden, zijn onze audits meer dan alleen een interne aangelegenheid.”

Wat vraagt dat van auditors?

BP: “Dit vraagt om meer bewustwording van de auditor wat betreft de mogelijke verspreidingskring van hun rapportage. Zo is het van belang om de rapportages te voorzien van voldoende context, zodat deze door het bredere publiek (met minder kennis van de wereld van de NVWA) goed geduid kunnen worden. We blijven schrijven voor het management en hen een kritische spiegel voorhouden, maar moeten wel rekening gaan houden met een breder lezerspubliek. Daar zien wij een duidelijke uitdaging.”