Discussie Opinie 13 juli 2023

Internal controls en de olifant in de kamer?

Desmond Tutu sprak ooit de wijze woorden "There is only one way to eat an elephant: a bite at a time". Nee beste lezer, geen zorg, dit gaat niet over hoe wij als accountants het beste een olifant kunnen eten. Het gaat vanzelfsprekend over internal controls, dat u hopelijk net als ik een boeiend onderwerp vindt. Maar wat die olifant er dan mee te maken heeft, licht ik dadelijk toe.

Rick Dekker

Sinds mijn eerdere bijdrage enkele maanden geleden is er weer het nodige gebeurd. Zo benadrukte onze NBA-voorzitter nogmaals het belang van de Verklaring Omtrent Risicobeheersing (VOR) en dat deze ten goede komt aan de kwaliteit van de accountantscontrole. Maar er mogen ook enkele complimenten aan de politiek verstrekt worden. Ik denk niet dat minister Kaag geluisterd heeft naar mijn eerdere oproep, maar er is toch tractie! Want eind juni bleek uit een Kamerbrief dat er spoedig een update komt vanuit de minister van Financiën over de stand van zaken. De brief ging zelfs nog een stapje verder, door te benoemen dat er einde van dit jaar een bepaling over de VOR klaarligt. Interessante tijden!

Maar voor wie zou de VOR dan van toepassing moeten zijn?

Dat de VOR verplichte kost gaat worden voor beursgenoteerde ondernemingen, is volgens mij iets waar iedereen begrip voor heeft. Maar hoe zit het met de niet-beursgenoteerde ondernemingen? Actuele cijfers voor Nederland lijken er niet te zijn, maar in een paper uit 2017 werd al wel benoemd dat in de VS private ondernemingen meer van vijftig procent van de private sector GDP generen en dat 99 procent van de Europese bedrijven bestaat uit kleine en middelgrote ondernemingen. Gevoelsmatig zou het dus te kort door de bocht zijn om niet ook een deel van deze populatie binnen de reikwijdte van de VOR te laten vallen. Maar bedrijven met enkele miljoenen omzet hierin meenemen, voelt ook een beetje alsof we van een mug een olifant maken.

Het zou mij niets verbazen dat het er, deels in lijn met de CSRD, straks op neerkomt dat grote ondernemingen binnen de scope van de VOR zullen gaan vallen. Toch hoop ik dat de politiek hier nog eens kritisch naar kijkt. Mogelijk dat we op den duur hier wel op uitkomen, maar is er ook niet wat voor te zeggen om toch te kijken naar ondernemingen die iets omvangrijker zijn? Of in ieder geval in de eerste fase?

Een interessante ontwikkeling daarbij is die in het VK, waar gekeken wordt naar hervorming van haar corporate governance code. Het voorstel daar is om onderwerpen als een levensvatbaarheidsverklaring en aanvullende bepalingen omtrent internal control van toepassing te laten zijn op de zogenoemde Public Interest Entities (PIEs). Waarbij PIEs ondernemingen zijn met meer dan 750 werknemers en 750 miljoen omzet. Nu zit er natuurlijk nogal een verschil tussen 750 miljoen omzet en de 40 miljoen voor grote ondernemingen in Nederland. Ik hoop dat bij het opzetten van de VOR hier ook naar gekeken gaat worden. De informatiewaarde en zeker ook de behoefte van stakeholders verschilt enorm voor deze twee categorieën ondernemingen.

Wat gaat dan de reikwijdte worden van de VOR?

Een misschien nog wel interessantere vraag is om na te denken over wat dan de reikwijdte van de VOR gaat worden. Moet deze enkel toezien op financiële verslaggeving en krijgen we daarmee een soort SOX in Nederland, of toch breder? Er is natuurlijk best wat voor te zeggen om de reikwijdte niet verder uit te breiden. SOX bleek niet goedkoop te zijn en ook best wat ondernemingen kozen er destijds voor om hun beursnotering in de VS gedag te zeggen. Wat zou de impact in Nederland dan zijn, als we de VOR nog breder gaan trekken?

Daar tegenover staat dat wij een vestigingsklimaat willen met een sterke verantwoordingsketen, dat mensen vertrouwen geeft. Tel daarbij op dat de informatiebehoefte van verslaggeving aan het verschuiven dan wel verbreden is, en dan is er ook best wat voor te zeggen om de VOR een stuk breder in te steken dan enkel financiële verslaggeving. ESG zou er wat mij betreft zeker onderdeel van uit moeten maken, immers dat zijn vrienden als olifanten ("dikke vrienden"). De universiteit van Leiden ging nog een stapje verder, door aan te bevelen dat de VOR naast financiële verslaggeving ook toe moet zien op de beheersing van operationele en compliance risico's. In de basis een goed voorstel, dat niet alleen de informatiewaarde zal doen toenemen, maar ook de keten verder zal versterken.

Maar ook hier is het goed om na te denken over een mogelijk gefaseerde invoer. Ondernemingen krijgen met de CSRD al het nodige voor hun kiezen en we willen dat dit ook de aandacht krijgt die het verdient. Dus waarom beginnen we niet eerst met een internal control statement inzake financiële verslaggeving, om dit gedurende een aantal jaren uit te breiden naar de bredere opzet van de VOR? Focus blijkt ook nu weer van belang te zijn! We hebben het namelijk nog niet eens gehad over het normenkader wat gekoppeld moet worden aan elk facet.

Hoe nu verder?

Internal controls in combinatie met de VOR blijft een mooi onderwerp, dat naar mijn mening zal bijdragen aan de relevantie en aantrekkelijkheid van het beroep van accountants. Het zal ons zeker nog een tijdje gaan bezighouden. Het is goed dat er nu zoveel tractie op dit onderwerp is, maar ik hoop wel dat we de rust en tijd nemen om na te denken over een gedegen opzet en gefaseerde invoering. Zowel op het vlak voor wie de VOR straks van toepassing gaat zijn, als op de reikwijdte van de VOR.

Te veel in één keer zet internal controls mogelijk onder druk. Dus voor de VOR geldt hetzelfde als voor de olifant: hapje voor hapje…. Stapje voor stapje?