Grote onderwerpen bij kleine IAF

In de rubriek De PASkamer komen kleine auditdiensten aan het woord. Dit keer over het thema strategie. Irene van Oostwaard, hoofd Internal Audit bij BNG Bank, over hoe je grote onderwerpen in alle audits integreert.

Wat doet BNG Bank eigenlijk?

“BNG Bank bestaat om impact te maken, om Nederland socialer en duurzamer te maken. Dat doen wij met kennis en met financiering tegen aantrekkelijke voorwaarden aan onze klanten in het publieke domein.”

Wie zijn jullie klanten?

“Wij bedienen uitsluitend klanten in de publieke sector, zoals gemeenten, provincies, waterschappen of door de overheid gegarandeerde instellingen, bijvoorbeeld de tennisclub waar de gemeente een garantie op afgeeft.”

Zijn jullie een concurrent voor de Nederlandse Waterschap Bank (NWB)?

“We hebben in principe dezelfde markt, en die concurrentie is goed voor de klant: die profiteert van een scherper tarief. We hebben voornamelijk gemeenten als aandeelhouders. BNG Bank is een staatsdeelneming en verstrekt voornamelijk gegarandeerde leningen.”

Ziet u ook verschillen met een commerciële bank?

“Jazeker, los van het ander soort klanten zijn het er ook veel minder. Dus de relaties gaan veel dieper en gaan lang terug. We zijn de bank van en voor de publieke sector. We zijn opgericht in 1914 en een van de eerste leningen die we verstrekten was voor de aanleg van een riool. En nu hebben we het over de grote transities van deze tijd. Denk aan energietransitie, het verduurzamen van sociale woningbouw en vastgoed voor onderwijs- en zorginstellingen. We moeten een redelijk rendement behalen voor onze aandeelhouders, maar vooral de prijzen zo laag mogelijk houden zodat onze klanten hun maatschappelijke doelen kunnen bereiken.”

“We streven naar maximale maatschappelijk impact. Dit staat centraal in alles wat we doen, zowel intern als met onze klanten en andere stakeholders”

Hoe komen jullie aan geld?

“We zijn voor investeerders een aantrekkelijke partij met een triple A-status en het publieke domein als klant. Partijen willen ook graag investeren in organisaties die bewezen impact maken.”

Staan jullie onder toezicht?

“Omdat we de vierde bank van Nederland zijn, staan we onder toezicht van De Nederlandsche Bank en de Europese Centrale Bank.”

Leeft de strategie van BNG Bank op de werkvloer?

“Absoluut. Doordat we relatief weinig klanten hebben, die we door en door kennen omdat we hier lange relaties mee hebben en zij actuele maatschappelijke doelen nastreven, is het voor iedereen binnen BNG Bank zeer duidelijk waar we als organisatie naar streven en hoe we dat moeten doen. We trekken ook mensen aan vanwege onze drijfveer en strategie. We streven naar maximale maatschappelijk impact. Dit staat centraal in alles wat we doen, zowel intern als met onze klanten en andere stakeholders. Het is ook belangrijk dat men dat overal voelt. Dus ook als je backofficetransacties verwerkt, moet je het grotere plaatje kennen en weten aan welk doel je bijdraagt.”

Dat lijkt een hele duidelijke verbinding tussen het plan en de uitvoering

“De laatste jaren groeien we, en hebben we te maken met een generatiewisseling van mensen die hier lang hebben gewerkt en binnenkort met pensioen gaan. Hierdoor zie je de afgelopen jaren veel veranderingen in het personeelsbestand, ook in het management. Om die verbinding tussen strategie en uitvoering vast te houden, werken we er hard aan (nieuwe) mensen mee te nemen in het uiteindelijke doel dat we proberen te bereiken.”

En hoe werkt strategie door in het werk van de internal auditdienst (IAD)?

“De strategie genaamd ‘Ons kompas naar impact’ is de basis voor ons auditplan. Bij elke audit relateren we het onderwerp en de bevindingen aan de strategie. Impact is sinds dag één dat ik hier ben onderdeel van het auditplan en dat is niet veranderd. Als IAD gaven wij bijvoorbeeld altijd al assurance af bij de verantwoording over de CO₂-uitstoot van onze portefeuille.”

Een soort corporate sustainability reporting directive (CSRD) avant la lettre?

“Ja, zo kun je dat zien. En ook de implementatie van de principes van de global reporting initiative (GRI) in het jaarverslag is al jaren onderdeel van het auditplan. Voorheen was dat minder gebruikelijk, maar nu is iedereen daar door de huidige wet- en regelgeving mee bezig. Deze onderwerpen zijn nauw verwant aan onze strategie en hadden daarom altijd al een belangrijke plek in het auditplan.”

Zijn er andere ingrediënten voor jullie auditplan?

“Vorig jaar hebben we een onderzoek naar cultuur gedaan. We hebben gekeken naar de stimulerende en belemmerende factoren binnen de cultuur van BNG Bank voor de realisatie van de strategie. In 2023 zou een nieuwe strategie voor 2024-2026 worden neergezet, en dat was een mooi moment om te kijken waar we verder kunnen aanscherpen om die strategie zo goed mogelijk uit te voeren. Dus dat is ook toegevoegd aan het auditplan en was erg leuk om te doen. En tegelijk ook het spannendste onderzoek om te doen.”

Waarom was dat spannend?

“Het is een ander soort onderzoek. Je stuurt eerst een enquête uit en bespreekt de antwoorden daarvan in groepsinterviews binnen de organisatie. Met behulp van begrippen op kaartjes probeer je via associatie tot de kernmerken van de cultuur te komen die je aan de hand van verdere vraaggesprekken probeert terug te brengen tot stimulerende en belemmerende factoren.”

Wat voor soort vragen stellen jullie dan?

“Die vragen zijn vrij direct en gaan bijvoorbeeld over de aanspreekcultuur of hoeveel men weet van de strategie, missie of kernwaarden. Aan de hand daarvan bepaal je per groep waar de aandachtspunten zitten, die je vervolgens ook per groep uitdiept. En dat zijn per groep verschillende soorten vragen. Het senior management bijvoorbeeld ‘ademt’ strategie, maar dat hoeft niet te gelden voor mensen die op het meest uitvoerende niveau werken. Dus daar komen andere vragen en observaties uit.”

“Elke afdeling kreeg ter kennismaking met de nieuwe strategie letterlijk een gereedschapskist. Daarmee wordt het team aan de hand van een soort spel door de strategie geleid”

Hebt u iedereen in de organisatie gesproken?

“Ja, niet individueel, maar we hebben bij deze audit alle lagen van de organisatie betrokken en dus ook ons executive committee. Zij hebben ook de vragenlijsten ingevuld en meegewerkt aan interviews.”

Hoe waren de uitkomsten voor de IAD en BNG Bank?

“Het voelt anders dan een normale audit waarbij je een hard normenkader hanteert, terwijl het misschien wel de audit is met de meeste impact. Ons executive committee stond er enorm voor open en heeft een vergadering ingeruimd om de resultaten met ons te bespreken. Dat werd vervolgd met een bijeenkomst met alle medewerkers, waar ik heb uitgelegd wat we precies hebben gedaan en waar onze CEO heeft uitgelegd waar ze qua uitkomsten blij mee was en wat ze beter wil doen.”

Hoe is dat verder opgepakt?

“Heel concreet. Elke afdeling kreeg ter kennismaking met de nieuwe strategie letterlijk een gereedschapskist. Daarmee wordt het team aan de hand van een soort spel door de strategie geleid en wordt per team besproken wat zij gezamenlijk en individueel aan het realiseren van de strategie kunnen bijdragen.”

Is de totstandkoming van de strategie ook geaudit?

“Nee, dat zit wel in mijn audit universe, maar het heeft geen prioriteit gekregen, omdat ik als toehoorder bij strategiesessies aanwezig was. Ik heb daardoor voldoende zicht op dat proces en voel geen behoefte aan een audit hierop.”

Hoe groot is de IAD?

“We zijn in totaal met 8,8 fte. Voor een bank met in totaal zeshonderd medewerkers en met een beperkte complexiteit is dat nog best fors, maar als je het ziet als een bank die onder toezicht staat van de ECB, met alle eisen die daaraan verbonden zijn, is dat niet heel groot. We hebben ook een flexibele schil, omdat we niet met veel zijn en toch vanuit verschillende disciplines en competenties moeten kunnen opereren.”

Is er kruisbestuiving tussen de IAD en de andere lijnen?

“Zeker, we zijn een soort kweekvijver. We hebben best veel medewerkers met een achtergrond bij de IAD. Omdat we binnen heel BNG Bank met een beperkt aantal mensen zijn, is het van belang dat men van meerdere zaken afweet. Vanuit de IAD zie je de hele organisatie en de hele organisatie ziet jou. Goede mensen worden dan gezien en maken dan een overstap van interne audit naar een andere afdeling. Maar sinds kort zie je ook collega’s die interesse in het auditvak hebben. Afgelopen jaar was er iemand die vanuit de CDD-praktijk stage liep bij IAD, komend jaar loopt er iemand stage die vanuit de financeafdeling komt.”

Hoe is de IAD verder samengesteld?

“Ik heb bewust gekozen voor alleen senior auditors in mijn team, bij voorkeur met diverse achtergronden. Er zijn mensen die bij de toezichthouder vandaan komen, uit de externe auditpraktijk of van andere financiële instellingen. Maar er is ook de diversiteit van mensen die in de eerste lijn hebben gewerkt of juist altijd in de audit. Dat vult elkaar mooi aan.”

Evalueren jullie zelf ook audits?

“We evalueren audits altijd zelf, maar willen deze ook laten evalueren door onze auditee. We hebben natuurlijk wel reguliere overleggen met alle hoofden, maar willen dit in de toekomst formeel en schriftelijk organiseren. Het is belangrijk relevant te zijn als IAD en evalueren helpt daarbij. De behoefte om heel concreet en relevant te zijn, is een verandering die de afgelopen jaren is ingezet en die vruchten begint af te werpen. We worden nu bijvoorbeeld soms gevraagd tijdens een project mee te kijken in plaats van alleen achteraf.”

“We merken dat de tweedelijnsmonitoring steeds volwassener is en dus een steeds betere bron voor ons is om mee te nemen in het vormgeven van het auditplan” 

Hoe is jullie relatie met de toezichthouder?

“De toezichthouder krijgt ons auditplan en geeft daarnaast soms bij de eerste lijn aan dat ze bij bepaalde informatie een rapport van de IAD willen hebben. Maar de toezichthouder heeft geen directe invloed op ons auditplan. We hebben goede gesprekken met ze en ze begrijpen wat wij aan het doen zijn. Wij begrijpen ook waar hun behoeften liggen en merken dat die ook vaak overeenkomen met onze eigen behoeften.”

En wat is de invloed van de tweede lijn op jullie auditplan?

“Wij kijken bij het vaststellen van ons auditplan wat de onderwerpen van de tweede lijn zijn. Dit om te voorkomen dat we dubbel werk doen of dat er belangrijke gaten ontstaan in de assurancebehoefte. We merken dat de tweedelijnsmonitoring steeds volwassener is en dus een steeds betere bron voor ons is om mee te nemen in het vormgeven van het auditplan.”

U bent zelf ook bestuurder geweest. Hoe hebt u toen de IAD ervaren?

“Als bestuurder vond ik het erg prettig, want de IAD voedt de bestuurder met waardevolle en onafhankelijke informatie. Maar tegelijkertijd heb ik ook ervaren hoe het is om geaudit te worden en dat was niet altijd comfortabel.”

Oh, vertel eens?

“We zijn allemaal pietjes-precies en je wil eigenlijk geen bevindingen. Je wil open zijn over wat beter kan, maar ook een goed rapport als eindverantwoordelijke. Dus als auditee is het toch spannend. En dat is ook leerzaam voor auditors. Het is belangrijk te snappen dat een rapport als een bom kan binnenkomen. Ik denk dat het heel goed is voor ons beroep om een keer aan de andere kant van de tafel te zitten, zodat je als auditor weet hoe het voelt, maar ook om te weten hoe moeilijk het is om iets te veranderen.”

Is auditor een vak voor het leven of iets wat je tijdelijk doet?

“Het kan een vak voor het leven zijn, mits je een keer aan de andere kant van de tafel hebt gezeten. Ik vind wel dat je houdbaarheid binnen een bedrijf beperkt is. Om fris te blijven moet je rouleren.”