Magazine 01 juli 2011

Internal audit op het spoor

De Nederlandse Spoorwegen: een grote werkgever met vertakkingen in het hele land en met af en toe ingewikkelde processen. Dat vraagt een creatieve instelling van internal audit.

Dit artikel is verschenen in Accountant nr. 7/8, 2011

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

NS Corporate Audit, zoals de afdeling officieel heet, bestaat in de huidige opzet sinds 2005, vertelt manager operational audit Susan Dragt. “Daarvoor was het een IAD ‘oude stijl’ die verantwoordelijk was voor de financiële controle voor de jaarrekening. De externe accountant deed hier vervolgens een review op.” Tegenwoordig richt Corporate Audit zich op operational audit en IT-audit en verricht de externe accountant de financiële jaarrekeningcontrole.

Relatief groot

De controle behelst de processen die zich binnen het bedrijf voordoen. “Dit kan uiteenlopen van de dienstregeling tot verkoop en van schoonmaak tot strategie”, aldus Dragt. “Ook op financiële processen voeren we audits uit, zoals de salarisadministratie en de restitutieregeling voor reizigers. Een maal in de vier jaar worden alle processen onder de loep genomen.”

Concreet betekent dit dat internal audit per jaar ongeveer zestig tot zeventig audits moet doen. Een logisch gevolg daarvan is dat de afdeling met achttien medewerkers, waarvan zestien auditwerk verrichten, relatief groot is. Momenteel werken er drie RA's, drie RE's en drie RO's. Daarnaast is er nog een aantal RO's in opleiding en werken er enkele trainees.

Risico

Elk jaar maakt de afdeling een auditplan, waarbij de keuzes voor de te controleren processen en bedrijfsonderdelen vooral worden bepaald door de risicogrootte daarvan. Daarnaast speelt de strategie van de onderneming een belangrijke rol in deze keuze, stelt Dragt. “Het is vaak een combinatie van risico en strategie. Daarbij kun je denken aan zaken als de invoering van een nieuwe portfolio van reisproducten en de OV-chipkaart. Daarnaast zijn onder meer de dienstregeling, het onderhoud van treinen en de vastgoedtak vrijwel elk jaar onderwerp van controle.” Het is een breed scala, wat het werken bij internal audit volgens Dragt erg afwisselend maakt.

Auditvraag

Dragt onderscheidt verschillende fases binnen een audit. In de eerste plaats is er een vooronderzoek waarbij wordt onderzocht hoe processen precies in elkaar zitten en wat daarbij de risicofactoren zijn. Vervolgens stelt Corporate Audit de daadwerkelijke auditvraag vast en wordt bij deze vraag een normenkader voor risicobeheersing gemaakt.

Dragt: “Hiermee gaan we naar het management van het desbetreffende NS-onderdeel en stemmen het onderzoek als zodanig met hen af. Het is voor ons belangrijk dat de audit en de auditvraag vooraf breed gedragen zijn.”

De audits zelf vinden plaats op locatie. Dit kan in het hele land zijn, aangezien een proces als het onderhoud van treinstellen op verschillende plekken in Nederland wordt uitgevoerd. Audits op stafactiviteiten gebeuren meestal op het hoofdkantoor in Utrecht. Als laatste stap komt internal audit met een rapport met bevindingen en aanbevelingen.

Creativiteit

Vooral de fases van het vooronderzoek en de auditvraag vindt Dragt interessant om te doen. “Het is creatief werk, omdat we niet werken met standaard normenkaders. Voor elk specifiek proces bekijken we wat belangrijk is en wat voor beheersmaatregelen er nodig zijn. Het is geen vastomlijnd traject wat je langsloopt.” Hoe ingewikkelder het te controleren proces, des te intensiever de creativiteit die van de auditor wordt gevraagd. Dragt: “De totstandkoming van de dienstregeling is bijvoorbeeld erg complex omdat verschillende afdelingen erbij betrokken zijn. Bij een treinrit moeten er treinstellen, spoor en werknemers beschikbaar zijn.” Ook het oplossen van defecten aan treinen ziet Dragt als complex. “Het gaat dan met name om de aansturing. Uiteindelijk wil je dat het defect niet nog een keer optreedt. Deze manier van werken past in ons streven om de kwaliteit van de interne processen te verbeteren.”

Steun

Dragt vindt dat de onafhankelijkheid van Corporate Audit goed gewaarborgd is. “De NS-directie en de raad van commissarissen zijn onze opdrachtgevers. We brengen twee keer per jaar verslag uit aan de auditcommissie van de RvC. Van hen krijgen we ook steun richting de leiding van een te controleren bedrijfsonderdeel. We zijn vrij in de uitvoering van onderzoeken. Daarnaast zien management en commissarissen er op toe dat er naar aanleiding van onze rapporten actie wordt ondernomen door de betrokken leidinggevenden.”

Verder ervaart Dragt geen directe gevolgen van politieke bemoeienis met het bedrijf voor de agenda van de internal auditafdeling. Wanneer de politiek vragen stelt is dit volgens haar hoogstens indirect te merken. “In het geval deze vragen aansluiten op risico's van bepaalde processen of bedrijfsonderdelen, dan is dit voor ons natuurlijk van belang.”

Dienstregeling

Een aantal actuele kwesties waar Corporate Audit mee bezig is, kreeg ook aandacht van de politiek en van consumentenorganisaties. Bijvoorbeeld in welke mate de NS zich kan houden aan de eigen dienstregeling. Dragt: “Wij kijken naar wat er nodig is voor het planningsproces voor de dienstregeling, bijvoorbeeld materieel en capaciteit op het spoor. Komt de planning op een gefundeerde manier tot stand en is deze realistisch? Ook stellen we vragen over het omgaan met slechte weersomstandigheden. Is daar goed over nagedacht?”

Op het vlak van veiligheid op het spoor is de rol van internal audit bescheiden, omdat hiervoor binnen NS specialistische afdelingen aanwezig zijn.

Chipkaart

Een voorbeeld van een project waar naar wordt gekeken is de invoering van de OV-chipkaart bij de NS. Dragt wijst erop dat de audit hierop zich enerzijds richt op de vraag of het project voldoende wordt beheerst. Anderzijds is het volgens haar ook een IT-inhoudelijk onderwerp, waar het gaat om goede kwaliteit van de software. Verder is de samenwerking met ProRail een bijzonder aandachtsgebied. Dragt: “ProRail heeft een eigen internal auditafdeling waar we een goed contact mee hebben en af en toe samen audits mee doen. Voor de samenwerking is een goede afstemming nodig tussen de stafdirecteuren van beide auditgroepen. Dit is nodig om tot overeenstemming te kunnen komen voor een gezamenlijke audit.”

Externe accountant

Met externe accountant KPMG wordt regelmatig overleg gevoerd. “KPMG is betrokken bij het auditplan dat we opstellen en we overleggen ook over de focus van de audits. Er is dan inhoudelijke uitwisseling van gegevens en we stemmen af wat we precies controleren om dubbel werk te voorkomen. Een voorbeeld is de controle op financiële processen waar de werkzaamheden van interne en externe accountant elkaar raken.”

De auditafdeling van de NS probeert volgens Dragt zoveel mogelijk zelf te doen. Alleen voor specifieke expertise of bij onvoldoende interne capaciteit wordt soms hulp van buiten ingeroepen. “We vragen dit niet aan onze controlerend accountant maar aan andere partijen. Het kan gaan om IT-audit of daaraan gerelateerd werk. We huren dit in bij ICT-adviesorganisaties maar natuurlijk ook bij de big four.”

Corporate audit kweekvijver

De Nederlandse Spoorwegen zien de afdeling Corporate Audit als een kweekvijver voor talent, vertelt Susan Dragt. “Meestal komt de instroom van buiten de onderneming en gaat de uitstroom naar andere functies binnen de NS. Regelmatig gaat het dan om functies op managementniveau. Zo zijn onlangs auditors benoemd tot hoofd van klantenservice en tot financieel directeur van een bedrijfsonderdeel. Ook IT-auditors stromen door naar ICT-/managementfuncties binnen het bedrijf, bijvoorbeeld bij NS Reizigers.”