Zorg dat je ertoe doet

Wat bepaalt de relevantie van de IAF? En hoe borg je die relevantie? Volgens Hendrik van Moorsel, partner bij de Galan Groep, verdient het aspect relevantie de voortdurende aandacht van auditors én managers. Audit Magazine sprak met hem.

Wat bepaalt de relevantie van een IAF?

“Relevantie hangt af van het type organisatie, het stadium waarin de organisatie zich bevindt (stabiel versus veranderlijk) en natuurlijk ook van het management. Als je kijkt naar het type organisatie, dan denk ik dat de relevantie van een IAF afhankelijk is van het type beheersvraagstukken dat er speelt in combinatie met de omvang van de organisatie. Bij bijvoorbeeld de nationale politie of een gevangenis kan een goede IAF al gauw relevant zijn mits men zich blijft focussen op zaken die van belang zijn voor het bestuur. Wat betreft het ontwikkelingsstadium van een organisatie is mijn conclusie dat in een stabiele organisatie in een stabiele omgeving veel van de interne beheersing kan worden opgevangen via de reguliere planning- en controlcyclus. De relevantie van de auditfunctie wordt bepaald in een samenspel tussen het management en de internal auditor c.q. afdeling. Interne audit is in mijn visie een tool of management maar heeft ook duidelijk eigen verantwoordelijkheden.”

Hebt u een voorbeeld?

“Een mooi voorbeeld trof ik aan bij de Belastingdienst waar ik als hoofd Audit de vraag stelde of de auditdienst relevant was. Het antwoord was dat in art. x van wet y staat dat er een IAF moet zijn. Waarop ik reageerde dat de relevantie dus letterlijk met een pennenstreep in wetgeving kan worden weggenomen. Nee, relevantie zit uitdrukkelijk niet in de taken die in wet- en regelgeving zijn vastgelegd en daarom ‘moeten’.”

Hoe kun je de auditactiviteiten afstemmen op het ontwikkelingsstadium van een organisatie?

“Zoals ik zojuist aangaf kan in een hele stabiele organisatie veel van de interne beheersing worden opgevangen via de reguliere planning- en controlcyclus. De uitdaging voor een IAF is om ook in een stabiele organisatie relevant te blijven. Daarvoor is het in ieder geval nodig om te zien welke grote veranderingen op de organisatie afkomen. In de wereld van nu is verandering eerder regel dan uitzondering. Telkens moet de interne auditdienst zich afvragen wat de interventies op het systeem betekenen voor de sturing en beheersing en wat de impact is op het functioneren van de auditdienst zelf. Het is mijn ervaring dat in een stabiele organisatie soft controls beter werken dan in organisaties die sterk in beweging zijn.”

“Je moet voorkomen dat een accountant met een accountantsbril naar soft controls gaat kijken. Dan wordt het auditen van soft controls een karikatuur”

En als dat zo is?

“In een organisatie waar veel veranderingen plaatsvinden, bijvoorbeeld bij een reorganisatie, neemt de effectiviteit van soft controls vaak sterk af. De IAF zou een compensatie kunnen leveren door dan de aandacht vooral te richten op hard controls. De reguliere beheersingsmechanismen zijn dan vaak niet sterk ingeregeld. Overigens ben ik een groot voorstander van multidisciplinariteit in een IAF. Het gaat om meer dan alleen de standaard hard controls. Je moet voorkomen dat een accountant met een accountantsbril naar soft controls gaat kijken. Dan wordt het auditen van soft controls een karikatuur.”

En wat is de invloed van het management op de relevantie?

“Een IAF kan voor iedereen relevant zijn, maar het bestaansrecht ligt bij het hoogste management van de organisatie. Als je als auditdienst relevant wilt zijn voor de organisatie, dan moet je aansluiting hebben met de strategische issues. Je moet bezig zijn met dingen waar de raad van bestuur c.q. het hogere management van wakker ligt. Ik zie veel IAF’s die afglijden naar routine-achtige dienstverlening en met name in gesprek zijn met bedrijfsonderdelen lager in de organisatie. Het hoeft niet erg te zijn om af en toe een opdracht te doen voor een onderdeel lager in de organisatie, maar het mag niet ten koste gaan van het strategische niveau. Op dat niveau ligt de uiteindelijke verantwoordelijkheid voor het bereiken van de strategische doelen. Bovendien moet het hoogste management bereid zijn geld (budget) vrij te maken voor interne audits. Dat zal ze alleen doen als ze verwacht dat er bijdragen uit volgen die de kans op het behalen van de organisatiedoelstellingen verhogen. Het argument dat het budget van de auditdienst omhoog moet worden bijgesteld op basis van regelgeving is een veel minder sterk argument. Het moet gaan om toegevoegde waarde. Het is de toegevoegde waarde die de relevantie bepaalt.”

Relevantie van de IAF voor de externe auditfunctie?

“Het is prima dat een externe auditor gebruik kan maken van de werkzaamheden van een interne auditor. Maar ik zie ook wel dat een IAF zich soms steeds meer op de rol van de externe auditor gaat richten, bijvoorbeeld bij verplichtingen van De Nederlandsche Bank of de Autoriteit Financiële Markten. Ongemerkt loop je het risico als auditdienst te vervallen in routinematige ‘moet’-klussen en kom je niet meer toe aan de relevante dingen. Zoals gezegd, zaken die bij het hogere management op de agenda staan.”

Wat is het gevaar?

“Als je als IAF helemaal op de verantwoordingskant focust, loop je het gevaar dat de nadruk op achteruitkijken komt te liggen en dat je niet meer wordt betrokken bij onderwerpen die gaan over de toekomst, bij de meer strategische onderwerpen. Naarmate er meer accent komt op verantwoordingsopdrachten is de kans groter dat de relevantie voor het hogere management afneemt. Er blijft altijd een spanningsveld tussen de verantwoordingskant van een IAF en de meer strategische aspecten. Als IAF moet je er alert op zijn dat je je niet alleen of te veel gaat richten op de verantwoording. Het bestuur zal de interne auditdienst kunnen vereenzelvigen met de externe accountant. Overigens kan een IAF wel creatief zijn door verschillende ‘oninteressante’ verantwoordingsaudits te bundelen en daar auditoverstijgende informatie uit te halen. De rode draden. Op een geaggregeerd niveau wordt het wel weer interessant!”

Organisaties in het publieke domein hebben te maken met de Wet openbaar bestuur. Wat is het effect van de verplichting om interne auditinformatie openbaar te maken?

“Om als organisatie te leren heb je een zekere luwte nodig. Dat verhoudt zich niet goed met de in het kader van de Wet openbaar bestuur voorgeschreven openbaarmaking van informatie. Voor IAF’s bij de publieke sector kan dit wringen. Verplichte openbaarmaking duwt de IAF in de richting van verantwoordingsgerichte audits. Immers, het management zal het vaak niet op prijs stellen dat meer toekomstgerichte/strategische onderwerpen in de publiciteit komen. Mogelijk schakelen overheidsdiensten dan juist over naar organisatieadviesbureaus of naar de Landsadvocaat. Dit biedt de organisatie dan meer mogelijkheden om zaken (deels) uit de openbaarheid te houden en te leren in de luwte. Het is net als bij kinderen. Door hen voortdurend op de vingers te kijken en wijze lessen uit te spreken, zal het leervermogen eerder af- dan toenemen.”

Hoe belangrijk zijn adviestaken voor de relevantie van de IAF?

“De kern van audit is het toetsende element in de managementcyclus. Er hoort iets oordeelvormends, een toetsing, in te zitten. Oordeelsvorming is de kerntaak van de IAF. Een eventueel advies van een IAF is altijd gekoppeld aan een audit. Het is belangrijk om duidelijk te zijn over de rol die je als IAF hebt te vervullen. Een auditor is geen organisatieadviseur.”

Hoe bepaal je als auditor de relevantie van je werkzaamheden?

“Relevantie is voortdurend in beweging, het is niet iets statisch. Je moet als IAF jezelf voortdurend de vraag stellen of je nog voldoende relevantie hebt. Dus of je met de goede onderwerpen bezig bent en of je daar voldoende middelen voor hebt. Daarbij moet je als IAF eigenlijk steeds proberen om de dingen die te veel op routine gaan lijken elders in de organisatie te beleggen. Doe je dat niet dan boet je mogelijk in aan relevantie.”

Waaraan kun je de relevantie van de IAF afleiden?

“Er zijn meerdere dingen waar je de relevantie van een IAF aan kunt afleiden: (1) de mate van follow-up van de auditbevindingen, (2) het beschikbare budget en (3) de mate waarin je als auditafdeling er in slaagt om interne medewerkers tijdelijk een poosje mee te laten draaien in je audit-organisatie.
­

1. Wanneer er nooit iets wordt gedaan met de auditbevindingen, dan ligt dat niet altijd aan de organisatie… Het zegt wellicht ook iets over de relevantie van je bevindingen. Als auditfunctie moet je dan echt bij jezelf te rade gaan. Kennelijk ben je niet effectief.
2. En als je voortdurend over te weinig budget beschikt, dan zegt dat mogelijk eveneens iets over relevantie. Kennelijk vindt het hogere management dat er weinig toegevoegde waarde zit in verhoging van het budget.
3. Ook wanneer het niet lukt om interne medewerkers van buiten de auditafdeling tijdelijk een poosje mee te laten lopen om ervaring op te doen ben je kennelijk niet relevant, dan wel wordt een tijdelijke plaatsing bij de IAF niet gezien als een zinvolle carrièrestap.

Mensen willen graag bijdragen aan iets wat relevant is. Het wordt relevant als je dicht aansluit bij de belevingswereld van het management. Je moet tegen de managementstoel aan gaan zitten. Dus check je relevantie! Ben je niet afgegleden naar routinematige werkzaamheden? Ben je nog wel regelmatig in gesprek met het hoogste management? Word je regelmatig door het topmanagement gevraagd om bepaalde werkzaamheden uit te voeren?”

“Het is niet verstandig om alleen zelf de relevantie te beoordelen. Je moet jezelf kwetsbaar op durven stellen. Vreemde ogen dwingen”

En dit door een derde laten beoordelen?

“De relevantie laten beoordelen door een onafhankelijke derde partij kan heel goed werken. Een externe check op de eigen relevantie en efficiency, bijvoorbeeld eens in de vier jaar, kan heel goed zijn. Het klinkt bedreigend, maar het is veel beter dan niet kritisch naar je relevantie te willen kijken. Dat heeft iets weg van struisvogelpolitiek. Immers, je wilt de mogelijk fundamentele waarheid van afnemende relevantie niet onder ogen zien. Het is niet verstandig om alleen zelf de relevantie te beoordelen. Je moet jezelf kwetsbaar op durven stellen. Vreemde ogen dwingen.”

Kan een organisatie zonder IAF?

“In essentie niet. Zelfs een eenmanszaak heeft een IAF. Deze is dan niet verbijzonderd maar valt samen met de ondernemer. Een IAF kan groot/klein of smal/breed zijn. Een toetsende schakel in de managementcyclus heb je eigenlijk altijd nodig. Een organisatie kan niet zonder het toetsende element. Of dit verbijzonderd moet zijn? Nee, het hoeft dus niet altijd verbijzonderd te zijn in een aparte auditdienst/auditafdeling. Als IAF moet je voortdurend alert zijn op je relevantie. Dit is overigens een gezamenlijke verantwoordelijkheid van het management en van de IAF zelf. De lijnmanager die klaagt over de IAF, klaagt over zichzelf. Het management krijgt de IAF die het verdient. Relevantie van de IAF is een samenspel tussen de IAF en het management. Er hoort een zekere spanning te zitten in de driehoek van managers, IAF en ICF (interne controlfunctie). Dat is functioneel en je houdt elkaar scherp.”