Accountants benaderen fraude nog altijd niet met de juiste houding, blijkt uit het jongste AFM-onderzoek. Dat moet veranderen, meent Marcel Pheijffer.

Discussie Column 08 juni 2023

Accountants maken nog altijd te weinig werk van hun belofte rond fraude

In de ruim vijftien jaar als blogger op deze website en bijna tien jaar als columnist voor het FD, schreef ik menigmaal over de accountant en fraude. Meestal was ik bij dit onderwerp kritisch op het accountantsgilde. Vaak terecht (hoewel ik menigmaal kritiek kreeg vanuit het Accounting Establishment), bleek dan achteraf uit AFM- en andere rapporten, concrete casuïstiek, rechterlijke uitspraken en schikkingen.

Ik beschreef fraude als de Angstgegner van de accountant en in een vorige column op deze site schreef ik over de nog steeds te lakse houding van de NBA rondom fraude, althans het onvermogen om tot relevant beleid en echte daden te komen.

En helaas, ook de vandaag verschenen uitkomsten van het AFM-onderzoek naar de frauderisico-analyse door accountantsorganisaties, in de publicatie Scherper op frauderisico's!, stemmen droevig. De AFM onderzocht de kwaliteit van frauderisico-analyses bij 32 wettelijke controleopdrachten. Zowel bij oob-vergunninghouders (twaalf wettelijke controles, drie organisaties maal vier), als bij reguliere vergunninghouders (twintig wettelijke controles, tien vergunninghouders maal twee controles).

Het overall beeld is niet best. Slechts bij vijf van de 32 controles heeft de AFM geen bevindingen. In twaalf controles zijn er meer dan twee bevindingen. De AFM stelt dan ook terecht dat accountants in de praktijk nog 'veel scherper' moeten zijn, als het gaat om het hanteren van een professioneel-kritische instelling om fraude te signaleren.

De bevindingen hebben betrekking op de drie fases die de accountant standaard moet doorlopen: 1. teambesprekingen en inwinnen van inlichtingen, 2. identificeren en evalueren van frauderisicofactoren en 3. identificeren en inschatten van frauderisico's. Opvallend is dat de AFM bij het beoordelen van die stappen telkens ten aanzien van meer controles bevindingen heeft. Dus: hoe dieper in het controleproces, hoe meer bevindingen: negen (fase 1), achttien (fase 2) en twintig (fase 3).

De bevindingen nader bekeken
Wat mij betreft niet verrassend, maar wel tekenend, is dat de AFM vaststelt dat "accountants beredeneren waarom (fraude)risico's er niet zijn, in plaats van dat zij onderzoeken en onderbouwen hoe frauderisico's zich wel kunnen voordoen." Hier toont zich kennelijk de optimistische aard van de accountant: denken in oplossingen (kansen), in plaats van problemen (risico's). Dat is echter een aard die niet goed past bij de vereiste professioneel-kritische instelling die de accountant behoort te hebben en de risicoanalyse die deze behoort uit te voeren.

Van soortgelijke orde is de constatering dat het veronderstelde frauderisico bij de opbrengstverantwoording (NV COS 240.27) in zeven van de 32 onderzochte controles is weerlegd (vijf van de zeven keer betrof dat overigens een controle door een oob-vergunninghouder). In beginsel is dit frauderisico echter altijd aanwezig. De AFM stelt echter: "Ons onderzoek roept bij bepaalde accountantsorganisaties en sectoren juist het beeld op dat het weerleggen de norm is."

De werkzaamheden van accountants ten aanzien van het tweede veronderstelde risico (zie NV COS 240.32 tot en met 34) tonen een beeld van laksheid: "Het altijd aanwezige risico dat het management interne beheersingsmaatregelen doorbreekt wordt vaak niet specifiek gemaakt. Hierdoor wordt geen richting gegeven aan de uit te voeren controlewerkzaamheden en worden mogelijke risico's op een afwijking van materieel belang door fraude niet ontdekt."

Evenmin juist is de focus van accountants op kwantitatieve materialiteit terwijl - aldus de AFM - "kwalitatieve overweging en onderbouwing ontbreken, bijvoorbeeld over reputatieschade, uitgesloten worden van tenders en of boetes in het geval van kickbackbetalingen (corruptierisico)".

En net zo onjuist is dat accountants bij het evalueren van frauderisicofactoren de positieve effecten van interne beheersing betrekken. Hier leert de AFM accountants een lesje controlestandaarden: "De regelgeving schrijft voor dat de accountant hier in de risico-inschatting geen rekening mee houdt. Bij de uitvoering van risico-inschattingswerkzaamheden gericht op het identificeren van frauderisico's dient de accountant inzicht te verkrijgen in de interne beheersing met als doel om na te gaan of sprake is van tekortkomingen in de interne beheersing die duiden op frauderisicofactoren en frauderisico's. En niet andersom."

Ronduit teleurstellend is voorts de constatering van de AFM dat "evidente frauderisicofactoren niet zijn onderkend en/of onvoldoende zijn geëvalueerd". Bijvoorbeeld inzake inkopen en aanbestedingen (met name inschakeling van zakelijke tussenpersonen), verkoop van vastgoed of grond en anti-money laundering bij financiële dienstverleners.

De voorbeelden die de AFM noemt, zijn geen rocket science. Het gaat om de toepassing van basale (kern)regels in de controlestandaarden en standaardkennis over frauderisico's en frauderisicofactoren. De grote kantoren pretenderen de laatste jaren forse stappen vooruit te hebben gezet en stralen uit de boel nu op orde te hebben. Achter de (NBA-)schermen wordt door hen wel gesteld dat het probleem bij de kleinere kantoren zit. Maar alleen al bij het onjuist wegredeneren van het veronderstelde risico ten aanzien van de opbrengstverantwoording, gaat het om vijf van de tien wettelijke controleopdrachten van oob-vergunninghouders, waarbij de AFM deze bevinding heeft. Dat is in vijftig procent van de bij hen onderzochte controles; welke bevindingen heeft de AFM dan eventueel nog bij de andere vijftig procent? Het fraudeprobleem is dus ook (en nog steeds) het probleem van de grote kantoren.

Hoe nu verder?
Gelukkig heeft de AFM ook good practices aangetroffen. Ook blijkt de inzet van fraudedeskundigen - hoe verrassend - positief uit te pakken. Maar dat de accountant in de toekomst scherper en (professioneel-)kritischer moet zijn, is een understatement.
Het gaat om een constatering die in lijn ligt met de bevindingen van de door de NBA ingestelde commissie Craemer ('Focus op fraude', 2017). Ook de rapporten van de Werkgroep Toekomst Accountantsberoep (2014), de Monitoringcommissie Accountancy (MCA, 2016-2020) en de Commissie Toekomst Accountancysector (CTA, 2020) bevatten ten aanzien van fraude duidelijke constateringen. Buitenlandse commissies hebben hetzelfde waargenomen: fraude is voor accountants geen prioriteit, ze benaderen dit maatschappelijk relevante onderwerp niet met de juiste houding. Dat moet dus veranderen.

De hoogste prioriteiten voor accountantsorganisaties liggen thans echter bij (1) alles dat heeft te maken met ESG en vooral het adviseren van cliënten hoe deze de ESG-rapportages zouden moeten inrichten (waarna accountants vervolgens het 'eigen vlees' keuren); (2) gebruik en toepassen van artificial intelligence. Het zijn commercieel aantrekkelijke prioriteiten. Toch zou het verstandig zijn om een deel van de investeringen en capaciteit die hierin wordt gestoken, vrij te maken om te doen wat de accountant hoort te doen: waarmaken wat in NV COS 200 als doel van de controle wordt omschreven: een hoge mate van zekerheid verkrijgen dat de jaarrekening vrij is van een afwijking van materieel belang als gevolg van FRAUDE of fouten.

De AFM noemde dit vorig jaar zelfs een belofte van de accountant aan het maatschappelijk verkeer. Het wordt dat de accountant deze belofte gaat waarmaken. Nu dat nog niet zo is, onderschrijf ik de keuze van de AFM om in 2024 opnieuw onderzoek te doen naar hoe accountantsorganisaties omgaan met fraude. Dat blijft een terugkerend thema van de AFM. En dat is maar goed ook!