Magazine 01 juni 2004

Alarmbellen

De incidenten van de afgelopen jaren maken pijnlijk duidelijk hoe essentieel het is om bij elke controleopdracht de specifieke risico’s te inventariseren. Welke kenmerken wijzen op verhoogd risico? En wat betekent een striktere selectie voor de markt en voor de controlebudgetten?

Dit artikel is verschenen in de Accountant nr. 10, 2004

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

Risicoanalyse kan nooit op routine

Is het nieuw dat accountants zorgvuldig de risico’s van bepaalde sectoren, processen of omgevingen afwegen? Nee. Is het nieuw dat accountants daartoe geavanceerde modellen voor risicoanalyse gebruiken? Nee. Risicoanalyse is namelijk al tientallen jaren de kern van accountantscontrole.

Het thema mag zich de laatste tijd echter verheugen in een warme belangstelling. Dat is begrijpelijk: de reeks incidenten, variërend van Enron en Parmalat tot aan Ahold en de parlementaire enquête naar de bouwfraude, heeft niet alleen het imago van de accountant verslechterd, maar ook duidelijk gemaakt dat deze heel voorzichtig en kritisch moet opereren om zijn reputatie niet te grabbel te gooien.

Strenger

Rob Bosman, directeur Beroepsontwikkeling en -reglementering van het NIVRA, spreekt van een ‘revival van de audit’. Het past volgens hem bij de tijdsgeest dat accountants wat strenger in de leer worden: “In het verleden werd ook wel risicoanalyse uitgevoerd, maar de conclusies van die analyse hadden niet altijd direct effect op het feitelijke controlewerk. Dat ligt tegenwoordig heel anders: risicoanalyse wordt door niemand meer als dossiervulling gezien, maar veel meer als de basis voor alle werkzaamheden.”

Volgens Ebo Roek, directielid bij de Jong & Laan accountants belastingadviseurs en bij de SRA voorzitter van de Commissie Kwaliteit & Vaktechniek, is ook dat niet echt nieuw: “Accountants die hun werk goed deden, hebben de afgelopen jaren echt geen cultuurschok te verwerken gekregen.”

Evalueren

Bosman is het daar mee eens, maar wijst er wel op dat sommige aspecten evolueren: “Neem bijvoorbeeld het frauderisico. Vroeger hoefde je als accountant pas actie te ondernemen als je een duidelijk signaal van fraude zag. De (inter)nationale richtlijnen schrijven nu voor dat je ook al extra aandacht moet besteden als er alleen een verhoogd risico op fraude bestaat,zonder dat er specifieke aanwijzingen zijn.”

Peter Veerman, partner Technical Office van PricewaterhouseCoopers Accountants, meent dat die ontwikkeling al begon voor de grote incidenten: “In 2000, of nog eerder. Wat je nu ziet is dat accountantskantoren alles in het werk stellen om reputatieschade te vermijden.”

Geen sectoren

Een aantal sectoren dringt zich direct op als risicovol vanwege de slechte naam die ze bij een breed publiek hebben: de bouwsector natuurlijk, na de parlementaire enquête van afgelopen jaar. Maar ook de automobielhandel en de horeca lijken voor de hand te liggen. Roek noch Bosman vinden het onderscheiden van specifieke risicosectoren echter zinnig. Roek: “Een paar maanden geleden hebben de bureaus vaktechniek van de kantoren en het NIVRA daarover gesproken. We kwamen al snel tot de conclusie dat het niet mogelijk is om bepaalde sectoren met grote risico’s te benoemen. Het is beter om bepaalde elementen te benoemen die extra risico’s met zich meebrengen.” (Zie kader, pagina 15.)

Alarmbellen

Bosman verduidelijkt met een voorbeeld: “Een transportbedrijf. Dat is op zich geen sector waar de alarmbellen direct gaan rinkelen. Maar als dat bedrijf zich naast transport ook bezighoudt met het inklaren van goederen, moet je daar goed naar kijken. Het kan namelijk zijn dat die activiteit grote risico’s met zich meebrengt op het gebied van een juiste en volledige afdracht van invoerrechten. Je moet als accountant dan bijvoorbeeld vaststellen dat er deskundige medewerkers zijn die de stroom invoerrechten goed in de greep hebben en vragen naar de uitkomsten van fiscale controles.”

Risicoanalyse gaat vooral om de specifieke omstandigheden en factoren van een organisatie, en minder om de sector an sich. Bosman weet nog wel een ander voorbeeld: “Bij een onderneming die sterk afhankelijk is van subsidies bestaat een verhoogd risico dat niet aan de subsidievoorwaarden wordt voldaan. Dat moet een accountant meenemen in zijn risicoanalyse.”

Controleprotocollen

Volgens Roek vloeien risico’s in de praktijk vaak voort uit omvangrijke stromen kasgeld. Ook is het volgens hem een misvatting om te veronderstellen dat risico’s alleen maar voortkomen uit het karakter en de omgeving van de gecontroleerde organisatie.

Ook de normen voor toetsing moeten helder zijn, en daar mankeert het volgens Roek nogal eens aan bij bijzondere verklaringen. “We zien in de praktijk nogal wat verschillende soorten controleprotocollen, met name op het gebied van rechtmatigheidsonderzoeken en subsidieverklaringen. Soms worden er teksten voor verklaringen voorgeschreven door de overheid of andere instanties die je als accountant welbeschouwd nooit kunt ondertekenen. Ik heb het ook meegemaakt dat een instelling eiste dat er een ‘goedgekeurde accountantsverklaring’ moet worden toegevoegd. Daar kun je dus helemaal niets mee.”

Meer eenheid

Veerman: “Voor rechtmatigheidsverklaringen geldt dat je als accountant een objectieve uitspraak moet doen over een subjectief criterium dat ook nog niet gedefinieerd is. Dat wringt natuurlijk enorm.”

Roek waarschuwt dat accountants niet als automatisme jaar na jaar allerlei bijzondere verklaringen af moeten tekenen, en voert een warm pleidooi om meer eenheid in de controleprotocollen te creëren. NIVRA en NOvAA zouden volgens hem een centrale rol daarin moeten vervullen.

Bewustwording

Wanneer kan een accountant een opdracht niet aannemen? Binnen de Jong & Laan bestaan daar duidelijke richtlijnen over, maar Roek wil daar niet al te specifiek over zijn, omdat anders weer stigmatisering van sectoren dreigt. “Wij willen met bepaalde activiteiten niet vereenzelvigd worden, omdat we sommige praktijken afkeuren of omdat we soms de risico’s te groot vinden. De richtlijnen zijn intern bekend.”

Roek vertelt wel dat zijn kantoor de collectieve bewustwording over risico’s de laatste tijd stimuleert. “We hebben bijvoorbeeld naar aanleiding van de wet MOT acht sessies met sprekers van naam gehad om te praten over wat ongebruikelijk is en waar de risico’s zitten. Je maakt daarmee de indicatoren beter bespreekbaar.”

Branchekennis

Veerman heeft evenmin behoefte om de interne richtlijnen van PricewaterhouseCoopers naar buiten te brengen, maar stelt meer in het algemeen: “Als accountant moet je je grenzen kennen en voortdurend beoordelen of je die grenzen niet overschrijdt. Daarbij is het heel goed mogelijk dat je voor het inschatten van bepaalde risico’s en voor de controles die dergelijke risico’s mitigeren, specialistische deskundigheid moet inschakelen die je zelf niet bezit. De wereld wordt immers steeds complexer.”

Branchekennis is volgens Bosman onontbeerlijk voor een goede risicoanalyse: “Anders is de accountant een dolende in de woestijn. Alleen een accountant die de typische voetangels en valkuilen van een branche kent, kan de risico’s van een organisatie goed duiden. Of dat nieuw is? Nee, ook dat is niet nieuw. Maar wel belangrijk!”

Signalen

Risicovolle sectoren benoemen is nutteloos en onnodig stigmatiserend. Dat was de conclusie van een discussie tussen de bureaus vaktechniek van een aantal kantoren over dit onderwerp. De redenering: in elke risicovolle sector bevinden zich organisaties die hun zaakjes prima op orde hebben en dus geen relatief grote risico’s kennen. En andersom: sommige sectoren kennen lage risico’s maar specifieke organisaties binnen zo’n sector kennen juist wel grote risico’s. Daarom is het beter om - in plaats van het benoemen van sectoren - een aantal elementen te definiëren die het risico voor de accountantscontrole verhogen. In het algemeen is extra alertheid nodig als:

• een kleine overtreding onevenredig grote voordelen kan opleveren. Denk hierbij aan overheidseisen - zoals milieuregels, mestwet, kartelafspraken.
• er individuele grote geldtransacties plaatsvinden. Grote geldtransacties - bijvoorbeeld voor onroerend goed - vormen een inherent risico.
• er grote kasstromen zijn. Geldstromen per kas zijn in het algemeen risicovoller dan die in het girale verkeer.
• er zeer ambitieuze (groei)doelstellingen zijn. Het gevaar bestaat dat zaken te gunstig worden voorgesteld om aandeelhouders of andere belanghebbenden te plezieren.
• de publiciteitsgevoeligheid hoog is. Organisaties die midden in de publieke schijnwerpers staan, kennen grotere afbreukrisico’s.
• bedrijven opereren op een markt met weinig aanbieders. De gevoeligheid voor onderlinge (prijs)afspraken en onderzoek door mededingsautoriteiten is dan groter.
• organisaties afhankelijk zijn van subsidies. Organisaties stellen dan wellicht alles in het werk om op papier aan de voorwaarden te voldoen.
• controleprotocollen niet helder zijn. Dit leidt tot onduidelijkheid over de conclusie van de accountant en dat levert grote risico’s voor zijn goede naam en de waarde van ‘het product’ accountantscontrole.

Markteffecten van strengere accountants

Water zoekt altijd het laagste punt. Dreigt ook in de accountantsmarkt het gevaar dat opdrachtgevers van minder allooi of met grotere risico’s op zoek gaan naar accountantskantoren die niet al te streng in de leer zijn?

De drie geïnterviewden zien geen signalen dat dit gebeurt, maar erkennen het gevaar. Elke controleplichtige klant moet immers een accountant hebben, en nu de meeste kantoren strenger in de leer worden, is het gevaar reëel dat een aantal kantoren uit commercieel oogpunt de risico’s op de koop toe neemt. Wel wordt erop gewezen dat dit gevaar mogelijk wordt beperkt door het externe toezicht vanuit de AFM en de reviews vanuit onder meer NIVRA. Meer aandacht voor risicoanalyse betekent ook meer werk. Is dat terug te zien in de budgetten voor accountantscontrole?

Peter Veerman (PwC): “Ik zie daar duidelijke aanwijzingen voor, ook al omdat wetgeving steeds strengere eisen gaat stellen. Om aan de audit-verplichtingen van Sarbanes-Oxley te voldoen, nemen de budgetten in Amerika met tussen de veertig en 75 procent toe. Een zelfde ontwikkeling zullen we ook in Europa gaan zien.”

Ebo Roek( de Jong & Laan): “Wat ik merk is dat organisaties weer meer hechten aan een goede AO/IC. Ze willen een nette organisatie en willen best investeren om dat voor elkaar te krijgen. Samen met de accountant. Diens maatschappelijke waarde neemt daarmee dus toe.”

Worden er tegenwoordig vaker opdrachten geweigerd dan vroeger?

Ebo Roek: “Het gebeurt met enige regelmaat dat wij een opdracht weigeren. Vaak gaat het dan overigens niet om de organisatie an sich, maar om de voorwaarden. In bepaalde gevallen vinden wij het niet verantwoord om bepaalde verklaringen te geven, omdat de controlebudgetten te klein zijn of omdat de controleprotocollen niet helder zijn. Die opdrachten worden dan wel door een ander kantoor geaccepteerd, ja.”

Peter Veerman: “Ik heb daar geen cijfers over. Maar wij hebben de laatste jaren diverse opdrachten geweigerd, omdat we strenger zijn geworden. We stellen bijvoorbeeld onder meer als voorwaarde dat maar een beperkt deel van het controlewerk door een andere partij mag worden gedaan, omdat anders de risico’s, met betrekking tot de te verkrijgen controlezekerheid, voor ons te groot worden. Dat heeft er meermalen toe geleid dat we een potentiële cliënt hebben geweigerd. Ook zul je gaan zien dat bestaande opdrachten worden afgestoten omdat de cliënt niet bereid of in staat is aan alle relevante eisen te voldoen en dus niet ‘in compliance’ zal zijn.”