Peter Steeman

Een audit directeur van een bank laat weten dat sinds het uitbreken van de coronapandemie in het Three lines of defense-model iedereen een lijntje is opgeschoven. "Omdat iedereen het in de eerste lijn druk heeft is de riskfunctie begonnen met het helpen van de eerste lijn. Ik doe nu het werk van de riskmanager." Schokkend vindt Tom Reukers, adviseur internal audit, risk en controls bij opleidings- en adviesorganisatie Kriton deze ontboezeming. "Bij een volwassen organisatie zoals een bank blijf je als internal auditor in je rol. Hooguit word je als objectief geweten toegevoegd aan het crisisteam. Daarover moet je heldere afspraken maken. Dat er in een heftige crisis een beroep wordt gedaan op je expertise is te begrijpen, maar je wordt wel uit je rol gehaald. Internal audit moet niet te veel hands on worden in het bezweren van een crisis. Dan komt je objectiviteit in gevaar."

En dat is niet de enige bedreiging. Volgens een enquête die het IIA (Institute of Internal Auditors) afgelopen juni hield onder internal audit executives in de VS en Canada houdt de helft van de respondenten rekening met een krimp van het internal auditbudget in het komende jaar. "Als je bezuinigt op internal audit snij je niet in het vet van de organisatie maar in de spieren", aldus Reukers. Hij refereert aan een ander onderzoek van het IIA, een inventarisatie in de derde week van de lockdown. "Dertig procent gaf aan dat ze worden ingezet voor operationele activiteiten. Tien procent was zelfs helemaal gestopt met internal auditactiviteiten. Het vraagstuk dat er nu ligt is: hoe blijven we relevant? We moeten meer agile worden. Repetitieve processen moeten in een hoger tempo uitgevoerd worden zodat je korter op de bal zit."

Extra handjes

Juist als je te snel audits gaat uitvoeren, schuif je op in het Three lines of defense-model, vindt Gerben van Dam, teamleider internal audit bij de gemeente Amsterdam. "Je moet niet op de stoel van de controller gaan zitten. We kijken altijd terug met als doel te leren voor de toekomst. Internal audit is niet voor niets de laatste dijk. De impact van de crisis kunnen we pas achteraf beoordelen. Een audit is geen preventief middel. Het is nu ook te hectisch. De pandemie raakt ontzettend veel afdelingen binnen de gemeente. Om de grote stroom aanvragen voor TOZO-uitkeringen (Tijdelijke overbruggingsregeling zelfstandige ondernemers) te verwerken, hebben we drie van de twintig medewerkers vanuit internal audit uitgeleend aan de directies Werk en Inkomen. Dat zijn echt extra handjes. Daarnaast zitten er twee internal auditors in het crisisteam als adviseur. Voor ons reguliere auditprogramma heeft dat geen gevolgen. Dat voeren we voor het grootste deel uit."

'Je moet niet op de stoel van de controller gaan zitten.'

Arjan Suijker is een van de internal auditors die als adviseur aan het crisisteam binnen de controlorganisatie van de gemeente werd toegevoegd. "In het crisisteam ben ik een lijntje opgeschoven”, aldus Suijker. “Ik draag in het team geen auditpet maar ben nauw betrokken bij allerlei maatregelen die directies voorstellen vanwege corona."

Zou het niet beter zijn om als auditor de spreekwoordelijke vlieg op de muur in het crisisteam te zijn? Suijker: "Het hele crisisteam fungeert als een vlieg op de muur om te zorgen dat er geen gekke dingen gebeuren. Als vanuit de afdeling Verkeer en Openbare Ruimte geld wordt gereserveerd voor het implementeren van maatregelen wordt op verschillende aspecten advies gegeven over zo’n voorstel. Ons crisisteam kijkt vooral naar de financiële impact. Ik vind het heel interessant om die andere rol te vervullen. Normaal ben je als internal auditor heel erg bezig met de financiële rechtmatigheid en interne beheersing. Nu gaat het vooral over de operationele doelen. De gemeente stelt bijvoorbeeld laptops beschikbaar voor gezinnen met lage inkomens, zodat hun kind tijdens de coronacrisis thuis onderwijs kan volgen. De maatschappelijke impact wordt heel zichtbaar."

Aangehaakt

Blijft de vraag of met het switchen van die rol je objectiviteit niet in het gedrang komt. Van Dam onderkent het spanningsveld maar relativeert het ook. { Als we straks de TOZO-maatregelen auditen, beoordeel je een proces waaraan drie van onze eigen mensen hebben meegewerkt. Daar staat tegenover dat de medewerkers die we uitlenen maar een klein onderdeel vormen van een groter team. Als interne auditafdeling profiteren we er ook van dat we aangehaakt zijn bij het crisisteam. Arjan geeft mij als teammanager waardevolle informatie. Door zijn rol in het crisisteam ben ik veel eerder dan normaal op de hoogte van aanvragen die de directie doet. Normaal ontvang je die informatie veel later. Dan ben je al twee maanden verder."

'Het hele crisisteam fungeert als een vlieg op de muur.'

Joop Winterink, directeur Internal Audit bij VGZ, heeft geen ambities om in deze tijden op te schuiven. "We blijven in de derde lijn waar we onze handen vol hebben aan het beoordelen van nieuwe processen. Ziekenhuizen hebben het druk met het bestrijden van corona terwijl veel reguliere zorg niet heeft plaatsgevonden. Tegelijkertijd hebben we een zorgplicht. De zorg mag niet omvallen. In overleg met Zorgverzekeraars Nederland is besloten tot een continuïteitsregeling. Normaal betaal je op basis van declaraties. Nu geven we geld aan zorgverleners waar niet direct declaraties tegenover staan. We geven voorschotten aan ziekenhuizen waarvan we niet zeker weten of we daarvoor het geld terug krijgen. We snappen dat we regels moeten toepassen, maar dit past niet altijd met de regelgeving van de NZA. We zien ook een fraudegevaar. Bijvoorbeeld wanneer een continuïteitsregeling wordt aangevraagd door een zorgverlener die er eigenlijk geen recht op heeft. Hoe reëel is de aanvraag van een tandarts wiens praktijk tijdelijk is gesloten? We auditen ook het crisismanagement. Daarvoor praten we met directie en management."

Winterink ziet geen voordelen in een adviseursrol. "Wij zijn toetsend en hebben bevindingen. Natuurlijk vinden we daar wel iets van, maar het is veel effectiever een manager zelf tot een oordeel te laten komen. Voor een organisatie waarvan het voorbestaan op het spel staat is het logisch dat je als auditor wordt toegevoegd aan het crisisteam. Ons voortbestaan als zorgverzekeraar staat niet op het spel. Ik hoef niet bang te zijn dat er in alle hectiek minder naar ons wordt geluisterd. De wettelijke verplichtingen ten aanzien van internal audit garanderen die aandacht. Het ego van een zorgbestuurder is ook anders dan van een bestuurder bij een commerciële organisatie. We zijn eerder risicomijdend. Al is de risk appetite nu wel hoger." 

Teleurgesteld

Jantien Heimel, hoofd Internal audit bij Vattenfall Nederland, wordt geconfronteerd met een krimpend budget voor haar afdeling. "In 2019 had Vattenfall nog fantastische cijfers. Nu moet er worden bezuinigd. Sinds maart wordt er minder energie afgenomen en op momenten is de energieprijs zelfs negatief. Tegelijkertijd doen we grote investeringen in windparken. Daarin steken we miljarden. Aan alle afdelingen en ook aan ons als internal audit wordt gevraagd waar we kunnen bezuinigen nu we als Vattenfall mogelijk onze doelen niet halen. Als afdeling heb je personeels-, opleidings- en reiskosten. We willen geen mensen kwijt. Dat betekent dat de opleidingskosten onder druk staan. De reiskosten zijn toch al terug gegaan naar nul."

Angst dat ze aan relevantie inboet heeft Heimel niet. Ze is sinds het uitbreken van de crisis vaker bij de vergaderingen van de directie als internal auditor aanwezig. "Normaal is dat een keer in de maand. Nu wekelijks. Toch betekent dat niet dat ik ben opgeschoven. Ik luister en stel af en toe vragen. Wat gebeurt er als klanten failliet gaan? Dat is door de afdeling Sales onderzocht. Wat ik toevoeg aan hun analyse is dat ik over de divisies heen kan kijken. Iedereen kijkt vooral naar zijn eigen doelen maar het doel van de ene divisie is niet altijd goed voor de andere divisie. Ik heb mij voorgenomen om voortaan nog breder te kijken. Je moet de branche snappen maar ook weten wat er in de maatschappij speelt. Ik ben wel een beetje teleurgesteld dat we als auditors de pandemie niet als hoog risico op het netvlies hadden."

De eerste maanden van de crisis verliepen dramatisch voor Antoine van Vlodorp, tot afgelopen juni hoofd Internal audit bij Travelex. "Het effect van de pandemie is dat 95 procent van onze business is weggevallen. Ons auditplan 2020 is voor een deel achterhaald. Je hebt een aantal wettelijke audits. Die gaan door, maar alles wat nice to have is - een geplande audit van een afdeling - hebben we on hold gezet. Onze aandacht is verlegd naar acute risico’s en de frequentie waarmee we rapporteren aan de auditcommissie is verhoogd. Risicoanalyses deden we per kwartaal, nu tweewekelijks.  Een aantal risico’s is nu hoger, fraude bijvoorbeeld. Er is veel minder toezicht van leidinggevenden. En hoe goed zijn we met het off boarding proces?" 

Fantastische rol

In de hectiek bleef de internal auditafdeling overeind, vindt hij. "Verbeterslagen gaan beter in een organisatie die in beweging is. Mensen voelden de urgentie. Wel geven we nu meer adviezen in plaats van dat we beoordelen. De raad van commissarissen heeft behoefte aan een extra paar ogen.  Wat gebeurt er als de pandemie langer duurt dan verwacht? Normaal werk je met een worst case scenario. Nu weten we niet hoe lang de pandemie nog gaat duren. Om de organisatie beter bestuurbaar te maken hebben we in drie verschillende scenario’s doorgerekend wat de mogelijke impact is op het liquiditeitsmanagement. Normaal wordt zo’n liquiditeitsprognose opgesteld door de treasury-afdeling."

'Verbeterslagen gaan beter in een organisatie die in beweging is.'

Van Vlodorp vindt het een fantastische rol. "Je ziet direct resultaat. Bij een ouderwetse audit duurt de implementatie van je aanbevelingen best lang. Nu wordt het direct toegepast. Toch moeten we niet te lang in die adviesrol blijven zitten. Er is nu begrip voor dat je vooral adviezen geeft en minder assurance biedt, maar dat verandert zodra er een grote fraude plaatsvindt. Oordeelsvorming moet het fundament zijn. Anders ben je niets meer dan een consultant met een bijzondere status."

Hij kijkt met gemengde gevoelens terug op de afgelopen periode. "Ik voelde mij als een verpleger op de IC. De afgelopen maanden werd ik geleefd. Ik had calls van 's ochtends vroeg tot laat in de avond en in de weekenden. Vaktechnisch is het fantastisch. Tegelijkertijd staat je baan op het spel. Ik heb een ransomhack meegemaakt, een grote fraude bij de moedermaatschappij en nu de coronacrisis. Dat schudt iedereen door elkaar. Ik hoop dat we het redden. Ik heb collega’s in Mumbai en Brazilië. Hier hebben we een sociaal vangnet voor mensen die hun baan verliezen. Daar val je in een afgrond."