Soft controls: tussen ontkenning en paradigmashift

In de rubriek Uit de archieven herplaatst de redactie een artikel met aansluitend de actuele annotatie van de auteur om de ontwikkeling van een thema te schetsen. Maarten Hoornweg over zijn artikel ‘Soft controls: tussen ontkenning een paradigmashift’ uit 2009.

Het belang van soft controls lijkt inmiddels wel aangetoond, maar in de praktijk leidt dit toch maar beperkt tot verandering in het werk van de meeste auditors. In dit artikel wordt het paradigma van auditors verkend als mogelijke verklaring. Vaak zonder dat zij het door hebben kijken auditors immers door een gekleurde bril naar organisaties…

Het onderwerp soft controls is niet nieuw. Er is al veel over geschreven en gedacht. De curricula van de opleidingen tot internal/operational auditor in Amsterdam en in Rotterdam bevatten vakken over dit onderwerp. Het belang van het verschijnsel voor audit en control lijkt duidelijk en hard gemaakt. Veel theorieën, studies en artikelen zijn het er over eens dat de zogenaamde soft controls van groot belang zijn voor de beheersing van organisaties. Toch lijken deze inzichten in de praktijk van auditors nog maar beperkt door te dringen. Waarom blijven de meeste audits toch beperkt tot de informatievoorziening in de P&C-cyclus en tot harde beheersmaatregelen in processen? Zoveel meer factoren spelen een rol bij de beïnvloeding van gedrag in organisaties. In dit artikel wordt hiervoor een mogelijke verklaring uitgewerkt op basis van het paradigma van auditors. Daarbij maakt de auteur gebruik van de theorie en de analyse uit het afstudeerreferaat voor de I/OA-opleiding dat dit jaar genomineerd was voor de Arie Molenkamp Award.

Paradigma’s

Een paradigma is een samenhangend stelsel van modellen en theorieën die een denkkader vormen waarmee de ‘werkelijkheid’ geanalyseerd en beschreven wordt. Het hebben van paradigma’s is onvermijdelijk. Zij stellen ons in staat om een chaotische wereld te kunnen ordenen. Mensen zijn zich vaak niet bewust van hun eigen paradigma’s. Ook twijfelen mensen niet aan de, verondersteld neutrale, kennis die hun onderwezen wordt. Hierdoor wordt het paradigma met de paplepel ingegoten (Kuhn, 1962).

Mensen nemen de werkelijkheid door hun paradigma’s niet objectief waar, maar worden daarbij gekleurd door hun achtergrond. Een houthakker zal hetzelfde bos echt anders zien dan een milieuactivist of een projectontwikkelaar. Kuhn hanteert de inmiddels beroemde illustratie van een eend/konijn om te laten zien dat je dezelfde informatie op compleet verschillende manieren cognitief kunt verwerken.

Nieuwe kennis overnemen is een moeizaam proces als deze kennis niet goed aansluit of zelfs tegenstrijdig is met de eigen paradigma’s. ‘Oude’ kennis laat zich niet gemakkelijk verdringen, zelfs als ze in een nieuwe setting niet meer passend of effectief is. Dit gebeurt niet zozeer bewust, voor het grootste deel is er sprake van onbewuste cognitieve processen. In eerste instantie zal nieuwe kennis meestal ontkend of genegeerd worden (Lakatos, 1978). De nieuwe kennis wordt dan gezien als irrelevant, onwaar of zelfs gevaarlijk. Geleidelijk aan zal de nieuwe kennis geïncorporeerd worden. Het bestaande paradigma wordt dan bijgeschaafd en aangevuld zonder dat de basisvooronderstellingen van het eigen model ter discussie staan. Als uiteindelijk de oude basisvooronderstellingen geen antwoord meer bieden op actuele vragen kan onder grote druk een paradigmashift plaatsvinden.

Het perspectief van de auditor

Auditors zijn professionals. Professionals of kenniswerkers zijn mensen die voor het goed kunnen uitvoeren van hun primaire taak permanent, relatief veel moeten leren (Weggeman, 2000). Dit geldt ook voor auditors, in ieder geval als ze een R-titel hebben. Zij doen hun werk op basis van gestandaardiseerde kennis. Deze kennis wordt overgedragen door beroepsopleidingen, collega-auditors en beroepsverenigingen.

De kennis is echter niet neutraal, maar bevat veronderstellingen over het functioneren van organisaties en de mensen in deze organisaties. De manier waarop auditors tegen hun eigen beroep en het functioneren van organisaties aankijken wordt hierdoor gekleurd, vaak zonder dat zij zich hier bewust van zijn. Opleiding en sociale conditionering maken veronderstellingen in paradigma’s immers vanzelfsprekend. Maar voor mensen buiten deze groep – met andere paradigma’s – zullen deze veronderstellingen dat niet zijn. Gedrags- en beroepsregels van auditors hechten veel belang aan objectiviteit en onafhankelijkheid, maar dezelfde regels en ook veel gedoceerde kennis in beroepsopleidingen, hebben paradoxaal genoeg al een intrinsieke bias in zich. De vraag is wat deze onderliggende veronderstellingen zijn die auditors (onbewust) hanteren en hoe soft controls hierin passen.

Organisaties zijn in de eerste plaats instrumenten om doelstellingen te bereiken: structuren en interne regels moeten zo worden ingericht dat ze hieraan maximaal bijdragen

Organisaties als instrumenten

Natuurlijk zijn niet alle auditors over een kam te scheren. Er is binnen het vakgebied een grote variëteit in opvattingen. Toch is er een aantal vrij breed gedragen uitgangspunten. Het vakgebied van auditing lijkt net als de (andere) economische disciplines gebouwd te zijn op de uitgangspunten van het doelrationele paradigma (Van der Pijl, Hoornweg, 2009). In het economische, doelrationele paradigma gaat het om nutsmaximalisatie, om kosten en opbrengsten, om effectiviteit van beleid en een doelmatige uitvoering binnen de gestelde kaders.

Organisaties zijn in de eerste plaats instrumenten om doelstellingen te bereiken: structuren en interne regels moeten zo worden ingericht dat ze hieraan maximaal bijdragen. De inrichting van organisaties krijgt daarmee ook al snel een topdownkarakter. Goede afspraken (beleidskaders en richtlijnen) en informatie-uitwisseling tussen de centrale principaal en uitvoerende agenten worden daarbij belangrijk (agency theory). Een aantal vooronderstellingen staat centraal in het doelrationele paradigma (March, 1994):
­

• Organisaties zijn instrumenten om centrale doelstellingen (van externe share/stakeholders) te realiseren.
• Organisaties worden centraal topdown hiërarchisch aangestuurd.
• Managers nemen besluiten op basis van de voor- en nadelen (kosten/baten) van verschillende opties in relatie tot hun eenduidige voorkeuren (organisatiedoelstellingen).
• Managers sturen hun organisatie bij op basis van (objectieve) informatie, feitenkennis in relatie tot hun voorkeuren.
• Het probleem van managers is onzekerheid: over de intenties en de inzet van ondergeschikten, over de betrouwbaarheid van informatie, over de toekomst (risico’s).

Het gevolg is een behoefte aan control richting decentrale agenten. Auditors geven hierover vervolgens aanvullende zekerheid aan de principaal. In de Position Paper De Internal Auditor in Nederland (1996) en in de Standards van het IIA klinkt dit paradigma door. Auditors geven daarin centrale managers assurance over de realisatie van hun doelen door (decentrale) control te beoordelen. Daarbij geldt de veronderstelling dat centrale, rationele bestuurders de objectieve bevindingen van de auditor willen gebruiken om hun organisatie mee bij te sturen, ofwel hun ‘instrument scherper mee af te stellen’.

Niet alleen binnen het IIA domineert het doelrationele paradigma, ook in modellen die auditors gedoceerd krijgen en vaak hanteren komt dit gedachtegoed terug

Ook in de aspecten die auditors zouden moeten onderzoeken (SPPIA, 2100 en verder) klinkt het doelrationele paradigma door: doelstellingen en normen en waarden (ethics) moeten in de hele organisatie consistent zijn aan de centrale visie van het management. Effectiviteit en efficiëntie zijn de criteria voor succes waarop de auditor riskmanagement, governance en control beoordeelt. Ook de betrouwbaarheid van financiële en operationele informatie wordt nadrukkelijk genoemd als onderzoeksobject in de Standards. Hieruit kan worden afgeleid dat besluitvorming door het management primair een doelrationele activiteit is en hoort te zijn.

Niet alleen binnen het IIA domineert het doelrationele paradigma, ook in modellen die auditors gedoceerd krijgen en vaak hanteren komt dit gedachtegoed terug. Het veel gehanteerde COSO (ERM) gaat sterk uit van de doelstellingen van de organisatie. Interne beheersing op grond van risicomanagement moet zekerheid geven bij de realisatie van deze doelstellingen. Andere modellen die auditors hanteren, zoals KAD en INK, stellen eveneens dat de organisatie ingericht moet worden door het management op basis van gestelde doelstellingen en dat managers op grond van feedbackinformatie (regelkringen) hierop bijsturen.

Een ander perspectief

Alom klinkt dus het doelrationele paradigma, maar dit hoeft geen vanzelfsprekendheid te zijn. Er zijn veel meer manieren om tegen het functioneren van organisaties aan te kijken. De theorie rondom soft controls is oorspronkelijk afkomstig uit zulke andere paradigma’s. Ter illustratie hiervan wordt hierna dieper ingegaan op het sociaalconstructivistische paradigma, maar er zijn ook andere voorbeelden van paradigma’s om tegen het functioneren van organisaties aan te kijken.

Onderzoek toont aan dat organisaties in de praktijk helemaal niet functioneren als centraal geleide rationele instrumenten (March, 1994), maar dat zij bovenal bestaan uit (veel) mensen – elk met hun eigen achtergrond, belang, et cetera. Een organisatie bestaat niet echt, maar is een fictieve constructie die gedeeld wordt door de mensen in en rondom de organisatie. Probeer maar eens een foto van een organisatie te maken (De Korte en Bos, 2008). Je kunt het gebouw fotograferen, het logo, of je kunt een groepsfoto met al het personeel maken, maar geen van deze foto’s dekt de lading.

In feite zit iedere organisatie dus alleen maar in de hoofden van de betrokkenen. Communicatieve processen, formeel en informeel, zorgen ervoor dat beelden over de organisatie gedeeld worden. De cijfers in de kwartaalrapportage zijn bijvoorbeeld betekenisloos als managers, controllers en medewerkers zich daar geen beeld bij vormen en er niet met elkaar over spreken. Het gaat dus niet om de kwartaalcijfers maar om de interpretatie daarvan en het overleg daarover in het sociale systeem van de organisatie. Een administratieve organisatie is anders slechts een dood boek in de kast. De hard controls bestaan en werken alleen maar omdat de mensen in de organisatie er samen van overtuigd zijn geraakt dat ze dat doen: ‘situations defined as real, become real in their consequences’ (Thomas theorema). De vooronderstellingen achter dit model zijn wezenlijk anders dan in het hiervoor genoemde doelrationele paradigma.

Organisaties zijn sociale systemen in plaats van instrumenten die je centraal kunt ‘instellen’ en ‘bedienen’. Deze systemen hebben een dynamiek die voor een belangrijk deel informeel en bottom-up van aard is in plaats van top-down. Organisaties zijn maar zeer beperkt ‘maakbaar’. De positie van de manager wordt daardoor een heel andere dan het geval is in het doelrationele paradigma. Bij de rol van ‘inspirator’ glimlachen we om een populaire cup-a-soupreclame, maar motiveren en inspireren is een belangrijke essentie van leiderschap (Senge, Wierdsema, Swieringa, e.a.) (zie tabel 1).

Doelrationaliteit
• Organisatie als instrument
• Top-downinrichting
• Managers ‘sturen en beheersen’
• Formele structuren, procedures, informatievoorziening (hard controls)

Sociaalconstructivisme
• Organisatie als sociaal systeem
• Bottom-upbetekenisverlening
• Managers motiveren en inspireren
• Informatie processen en communicatie (soft controls)

Tabel 1. Voorbeelden van verschillende veronderstellingen over organisaties

Soft controls in het paradigma van auditors

De theorie over soft controls is in wezen afkomstig uit andere paradigma’s dan waaruit de auditor traditioneel put. Alleen al het gebruik van het begrip soft controls toont aan dat de materie niet erg centraal staat in het eigen paradigma. Het onderscheid tussen soft en hard impliceert al een hele hoop. De term soft heeft een minder positieve connotatie in het dagelijkse spraakgebruik.

Denk bijvoorbeeld aan ‘zachte heelmeesters’ of een ‘soft beleid’. Soft lijkt synoniem met ‘minder effectief’, terwijl de impact van soft controls harder kan zijn dan van menige hard control. Door deze termen te gebruiken krijgt de materie dus geen neutrale labels.

Diverse auteurs (onder andere De Korte en Hartog, 2008) pleiten er daarom ook voor om het begrip soft controls te vervangen door een andere term, zoals behavioral controls of social controls. Deze auteurs beogen ook het onderscheid te laten varen tussen hard en soft controls door een focus op management control als instrument voor gedragsbeïnvloeding (conform Anthony’s definitie van control). Daarbij heeft iedere actie van het management gedragseffecten en hebben bijna al deze acties zowel een harde als een zachte component. Ook Aardema en Puts (2008) sluiten in hun visie op soft controls aan op deze definitie van control als gedragsbeïnvloeding in brede zin van het woord. Dit geldt ook min of meer voor het model van De Heus en Stremmelaar (2000). Auditors moeten hierin bepalen welke maatregelen relevant zijn met het oog op bepaalde organisatievariabelen. Vervolgens meten zij het functioneren daarvan zonder dat daarbij het onderscheid tussen harde en zachte maatregelen er echt toe doet.

In de sociologie en psychologie is al meer dan honderd jaar kennis en ervaring opgebouwd met betrouwbaar onderzoek naar sociale en cognitieve verschijnselen

Dergelijke artikelen en modellen incorporeren de nieuwe kennis over soft controls geleidelijk aan in het auditparadigma, maar wezenlijke aanpassingen in het werk van de meeste auditors lijken hierop achter te lopen. In de praktijk zijn nog vaak de volgende opmerkingen te horen:

• ‘Soft controls vallen buiten de scope van het vakgebied of hebben geen prioriteit.’
• ‘Soft controls zijn misschien wel belangrijk, maar niet goed te meten c.q. vast te stellen.’
• ‘Er zijn geen normen voor soft controls, dus kunnen we er ook geen oordeel over vellen.’

Dit zijn typische voorbeelden van de ontkenning van kennis van buiten het eigen paradigma. De stellingen zijn immers vrij eenvoudig met argumenten te weerleggen. Diverse auteurs hebben het belang van soft controls al aangetoond. Onder auditors bestaat een sterke voorkeur voor gedocumenteerde ‘evidence’, maar in de sociologie en psychologie is al meer dan honderd jaar kennis en ervaring opgebouwd met betrouwbaar onderzoek naar sociale en cognitieve verschijnselen, onder andere op basis van interviews en enquêtes. Op grond van de auditmethodologie worden normenkaders in overleg met opdrachtgevers bepaald, dus ook de normstelling zou geen beperkingen mogen opleveren.

Conclusie

De moraal van dit verhaal is dat er meer manieren zijn om tegen het functioneren van organisaties aan te kijken zonder dat sprake is van één beste of juiste perspectief. Een konijn kan tegelijkertijd ook een eend zijn, de kunst is om te kunnen schakelen. Onze paradigma’s bepalen wat we zien en wat we belangrijk vinden. Juist voor een auditor is het essentieel om zich bewust te zijn van zijn paradigma’s omdat deze uiteindelijk bepalend zijn voor de oordelen die hij velt. Een ‘gevangenschap’ in een eenzijdig paradigma leidt onbewust tot eenzijdig gekleurde oordelen en aanbevelingen, ten koste van de objectiviteit.

De hardnekkige voorkeur voor hard controls ten koste van soft controls is mede te verklaren vanwege het doelrationele paradigma. Soft conrols vallen in wezen buiten de scope van dit traditionele paradigma van auditors. Natuurlijke cognitieve weerstanden van individuen en institutionele belangen (kennis is macht) zorgen ervoor dat aanwezige paradigma’s niet snel aangepast worden, hoe belangrijk bepaalde veranderingen ook kunnen zijn. Daarmee vormen soft controls een grote uitdaging voor het vakgebied. Het laatste woord over soft controls is waarschijnlijk dus nog niet gezegd en geschreven…

Annotatie van Maarten Hoornweg

Mijn artikel teruglezend denk ik dat het onderwerp nog onverminderd relevant is voor het vakgebied, en ver daarbuiten. Auditors lijken nog altijd sterk gebonden te zijn aan het doelrationele paradigma. Destijds vond ik het als auditor ondraaglijk om zo’n beperkt perspectief te moeten hanteren, wetende dat de realiteit zoveel breder was en is. Veel rapporten zag ik ook in een la belanden. Niet omdat de bevindingen of analyse onjuist waren, maar omdat geen rekening werd gehouden met perspectieven op (en processen in) de organisatie die vaak allesbepalend waren. Het moest toch mogelijk zijn om meer relevantie te hebben als auditor?

Nu, dertien jaar nadat ik dit artikel schreef, zie ik dat veel auditrapporten nog altijd dezelfde smalle scope hebben. Soft controls lijken inmiddels breed aanvaard te zijn als waardevolle toevoeging, maar tegelijkertijd lijkt deze theorie nog verre van geïntegreerd in het hart van vaktechnische benaderingen en het onderzoek van auditors. Van een voltrokken paradigmashift zou ik in ieder geval niet willen spreken.

Terugkijkend op mijn visie van toen merk ik wel dat mijn eigen opvattingen zich hebben ontwikkeld. In posities als controller, in het (midden)management, en als intern toezichthouder heb ik met regelmaat juist een gemis aan doelrationele overwegingen ervaren in besluitvormingsprocessen. Bestuurlijk opportunisme, (bureau)politieke en (andere) sociale en psychologische mechanismen leiden vaak tot suboptimale uitkomsten. Een doelrationeel auditrapport kan in zo’n setting heel verfrissend zijn als tegenwicht.

Een beperkte relevantie voor de praktijk? Dat soms wel, maar vanuit een perspectief van opdrachtgever is het prettig dat je van een auditor weet wat je mag verwachten. In het beperkte perspectief kan juist meerwaarde schuilen, mits goed toegepast in de juiste context. Dat laat echter onverlet dat auditors er mijns inziens hun voordeel mee kunnen doen een beter bewustzijn te ontwikkelen van hun eigen paradigma om zo hun werk effectiever te maken.