Magazine 01 april 2014

'Beoordeel internal auditors niet als accountants'

Met 55 auditors en een decentrale aanpak van een centraal aangestuurd team lukt het Joop Brakenhoff prima om de processen en risico's bij Heineken glashelder in beeld te krijgen. Troebel wordt het als de onafhankelijkheidsregels van de NBA in beeld komen. 'Internal auditors zijn geen accountants.'

Dit artikel is verschenen in Accountant nr. 4, 2014

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

Peter van Rietschoten

In 2001 heeft Heineken zijn internal auditafdeling opgezet. Daarmee liep het concern wat achter op de andere AEX-ondernemingen. De internal auditfunctie groeide mee met die van de bierbrouwer. In 2010 is de afdeling omgezet in de global auditfunctie en trad Joop Brakenhoff (48, RA RO) aan als executive director Global audit.

Anno 2014 bestaat Global audit uit 55 fulltime auditors die hun standplaats hebben in Amsterdam, Wenen, New York, Monterrey, Singapore of Kinshasa. Daarnaast zijn er mondiaal op werkmaatschappijniveau nog eens 150 local internal auditors. Deze worden functioneel aangestuurd door Global audit, maar vallen onder de general managers van de lokale vestigingen. De genoemde 55 auditors vallen direct onder Joop Brakenhoff, die volledig onafhankelijk rapporteert aan de ceo van Heineken. Met de voorzitter van het audit committee heeft Brakenhoff een functionele lijn.

Hooguit vijftien procent

Kerntaak van Global audit is het onafhankelijk en objectief bijdragen aan het realiseren van gestelde doelen, met name door onderzoek, adviezen en het toevoegen van waarde aan de bedrijfsprocessen, systemen en projecten. Bij de beoordeling van de realisatie van de strategische doelstellingen staan de betrouwbaarheid van de managementinformatie en de bescherming van Heinekens reputatie, middelen en mensen centraal. Brakenhoff: "Global audit houdt zich bepaald niet alleen bezig met financial audits, die maken hooguit vijftien procent van onze werkzaamheden uit. We richten ons systematisch op alle bedrijfsprocessen, systemen, entiteiten en brouwerijen, op strategische veranderprogramma's en op compliance met interne en externe wet- en regelgeving. Daarbij gaan we niet op de stoel van de manager zitten, wel onderzoeken en beoordelen we de kwaliteit van de bedrijfsvoering in al zijn onderdelen en toetsen we processen en resultaten aan de kaders en eisen die zijn gesteld ten aanzien van de risico's."

Niet 'too big to control'

De internal auditfunctie van Heineken is zo georganiseerd dat op basis van risicoanalyses elk bedrijfsproces, geautomatiseerd systeem en bedrijfsonderdeel minimaal elke vijf jaar wordt onderzocht. Afhankelijk van het risico kan er dus ook jaarlijks een controle worden uitgevoerd. Daarnaast voert Global audit zogenaamde 'verzoeknummers' van het topmanagement uit: audits bij overnames of bij het vermoeden van fraude. Ten derde vormt de gehele IT van het concern een permanent onderzoeksgebied.

Brakenhoff bestrijdt de gedachte dat Heineken met al zijn internationale activiteiten too big to control zou zijn. Hij zegt daarop: "We zijn mondiaal een centraal gestuurd en decentraal opererend concern, actief in meer dan 75 landen. Als er ergens een probleem ontstaat, heeft dat niet of nauwelijks invloed op het geheel. Onze geografische spreiding is juist onze kracht en dat brengt een geheel ander risicoprofiel met zich mee dan bij bijvoorbeeld concurrent en grootste bierbrouwerij ter wereld Anheuser-Busch InBev. Die haalt tachtig procent van zijn omzet uit drie landen, wij uit twintig.”

Drie defensielinies

Brakenhoff geeft aan dat Heineken ten aanzien van governance, risk en compliance management bewust heeft gekozen voor een centrale aansturing met decentraal risicoprofiel en voor de huidige auditstructuur. Een grote centrale auditfunctie, werkend vanuit Amsterdam, past volgens hem niet bij Heineken. "We zitten graag dicht bij het regiomanagement en op locatie. Kennis van de taal en de lokale cultuur zijn ook belangrijke beweegredenen geweest om vanuit meerdere plaatsen ter wereld de global auditfunctie uit te voeren." Brakenhoff legt uit dat Heineken veel baat heeft bij de three lines of defense. Ten eerste kwalitatief management op de locaties, met een duidelijke verantwoordelijkheid voor het optimaal zijn van de processen, procedures en de systemen. Ten tweede de lokale internal auditors diemede vanuit hun kennis van de lokale cultuur zorgen voor een adequate benadering van onderzoek en problemen. En ten derde Global audit.

Hij is zich er terdege van bewust dat deze auditbenadering alleen werkt als alle schakels naar behoren functioneren. "Je kunt een hoogwaardige global auditfunctie hebben, maar als het op het niveau van een werkmaatschappij niet klopt, dan kun je daar nooit in control zijn."

Business partner

De objectiviteit en onafhankelijkheid van de auditfunctie bij Heineken zijn op verschillende manieren gezekerd. Ten eerste staat de onafhankelijkheid van Brakenhoff als executive director Global audit bij iedereen en ook formeel buiten kijf. "We proberen als business partner te helpen om de doelstellingen van Heineken te realiseren. Ik ben met Global audit in het concern soms ook wel de luis in de pels en de politieman. Daarom is mijn onafhankelijkheid zowel wat betreft rapportagelijnen als bij een eventuele ontbinding van mijn arbeidsovereenkomst met Heineken contractueel gewaarborgd. Dat laatste wil zeggen dat zowel de ceo als de chairman audit committee goedkeuring moeten verlenen en dat er een vertrekvergoeding is afgesproken.”

Daarnaast bepaalt niet Global audit zelf zijn eigen marsroute door het concern, maar wordt het vertrekpunt gevormd door het auditplan en de risicoanalyse die beide zijn afgestemd met de executive board en de raad van commissarissen.

Ten derde is de werkwijze bij de audits wereldwijd dezelfde, maar is de concrete invulling van de audits steeds weer toegesneden op het specifieke onderzoeksobject. Per audit wordt gekeken naar de gewenste deskundigheden in het auditteam, de teamsamenstelling en de individuele invulling daarvan. Ten vierde krijgen de auditors veelvuldig trainingen, worden ze regelmatig overgeplaatst en worden de concernmogelijkheden van kruisbestuiving optimaal benut. En last but not least voegt Brakenhoff hier aan toe: "Een auditor voert nooit een audit alleen uit. Ook zo wordt de schijn van belangenverstrengeling of mogelijke bevooroordeling voorkomen."

Kweekvijver en steunpilaar

Naast de kerntaken heeft Global audit voor het concern nog twee functies - al dan niet als zodanig bedoeld. Allereerst is dat de functie van 'kweekvijver'. Brakenhoff: "Een paar jaar werken als auditor bij Global audit is zonder meer een pre voor een verdere carrière binnen het concern. Veel gezien, veel geleerd, veel begrepen - global audit is een uitstekende training ground. In de ruim drie jaar die ik hier zit, zijn zeker vijftien auditors doorgegroeid naar managementfuncties in het concern. Naast uitstekende managers zijn het ook ambassadeurs van Global audit, ze dragen eraan bij dat de kwaliteit waaraan Global audit bijdraagt, ook langs de operationele lijnen wordt doorgegeven."

De tweede (bijkomende) functie van Global audit is de relatie met de externe accountant. Brakenhoff vindt deze enerzijds 'lastig' en aan de andere kant 'helder'. "Lastig, omdat door de vele lokale en decentrale verschillen de invulling van onze audits nooit standaard is. En lastig ook, omdat Global audit over de financiële verslaggeving geen interne verklaringen opstelt. Wat wij echter wel doen voor de externe accountant - en daar maakt hij gaarne gebruik van - is ons onderzoek naar de risico's in het proces van de financïele rapportages, inclusief de kwaliteit van de ondersteunende geautomatiseerde systemen. Voor een deel steunt de controle en de eindconclusie van de externe accountant daar op."

Brakenhoff vindt daarom dat bij Heineken de relatie tussen de Global audit en de externe accountant naast lastig ook helder is en van belang voor het in control zijn van het topmanagement van het concern. Daarover zegt hij: "De relatie tussen de internal auditor en de external auditor bevindt zich nu op een optimum. Natuurlijk zou Global audit meer kunnen doen en wellicht zou dat tot lagere accountantskosten leiden. Maar mogelijk zou zo'n verschuiving ten koste gaan van de ontwikkeling van de global auditfunctie en kan het ook ten koste gaan van de juiste focus op de risico's binnen Heineken en het in control zijn."

'Anders dan accountants'

Waarmee het vraagstuk 'wie controleert de controleur?' in beeld komt. Brakenhoff heeft al eerder laten blijken dat de nieuwe onafhankelijkheidsregels van de NBA volgens hem voor een afdeling als Global audit 'niet heel relevant zijn'. "Alleen al omdat van de 55 auditors er maar zeven RA zijn en we geen accountantsverklaring geven bij de jaarcijfers. Wat betekenen die regels dan voor de overige 48?"

Brakenhoff is van mening dat externe accountants en zijn Global audit ook om andere redenen niet over één kam kunnen worden geschoren. "Global audit heeft een bedrijfsbelang, waaraan een specifieke doelstelling ten grondslag ligt. De externe accountant heeft een marktbelang, namelijk het doen uitbrengen van een betrouwbaar verslag voor het maatschappelijk verkeer. Daarnaast werken internal auditfuncties bij beursgenoteerde ondernemingen niet op een standaardwijze, de externe accountant wel. Ook spreken wij ons niet naar buiten toe uit, de externe accountant wel. Anders gezegd: over de externe accountant is glashelder te zeggen wie hij is en wat hij doet, bij internal auditfuncties zit dat veel gevariëerder in elkaar."

Benieuwd

Vooralsnog richt Brakenhoff zich met Global audit op en naar het externe assessment dat het Institute of Internal Auditors (IIA) elke vijf jaar uitvoert. "Daar kunnen we ons als auditors wel in vinden. Wat betreft de NBA: ik ben benieuwd waarmee ze komen. Checklists aflopen zal geen probleem zijn. Maar hoe neem je als NBA een internal auditfunctie de maat als het om een non-financial audit gaat die wordt uitgevoerd door een operational auditor (niet RA), hetgeen op basis van lokale cultuur en omstandigheden de best practiceis? Dan moet je toch wel heel goed weten als Nederlandse NBA waarmee wij mondiaal als operational internal auditors bezig zijn."

Heineken (2013)

• Omzet wereldwijd: 21,2 miljard euro
• Nettowinst: 1,4 miljard euro
• Medewerkers: 81.000 (fte)
• Actief in meer dan 75 landen
• Aantal brouwerijen: 160
• Aantal merken: meer dan 250

Joop Brakenhoff

• 2010-heden: Executive director Global audit Heineken
• 2005-2010: chief Internal audit officer Ahold
• 2002-2005: vice president Accounting & control Ahold
• 1996-2002: cfo Burg Industries
• 1994-1996: manager Internal audit Heerema International
• 1985-1994: KPMG Financial audit
• 1994: NIVRA-RA, CPA, master in auditing
• 1996: RO, register operational auditor