Magazine 01 mei 2004

Kansen pakken

Leeft de Code Tabaksblat onder internal auditors? Wat zijn de concrete gevolgen? Het Instituut van Internal Auditors wijdde er een Voorjaarscongres aan.

Dit artikel is verschenen in de Accountant nr. 9, 2004

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

Peter van Rietschoten

Als begrip èn als toekomstige (wettelijke) leefregel is de code Tabaksblat bij de meeste ondernemingen en hun zakelijke dienstverleners ruimschoots bekend. Met de precieze inhoud en sommige onderliggende aantallen is dat wat minder het geval: het gaat om vijf hoofdstukken, 21 principes en 113 best practicebepalingen. Waarvan er welgeteld één handelt over de internal auditor. Die dan ook nog eens, aldus Gilles Izeboud, keynote speaker op het IIA-congres èn lid van de commissie-Tabaksblat, zwaar moest worden bevochten.

Dat lijkt afgaande op de reacties voor veel internal auditors niet echt een probleem. Want ondanks of juist dankzij deze beperkte aandacht zien internal auditors meer dan voorheen kansen om een effectieve bijdrage te leveren aan goed bestuur en een goede verantwoording.

Kerntaak

Als senior manager van de afdeling Corporate Internal Audit Services van CSM NV hoeft Jan Visser zijn werkzaamheden door de code niet wezenlijk aan te passen. “Al vele jaren is onze kerntaak het onderzoeken van de opzet en werking van het interne beheersingssysteem binnen de CSM Groep. En gezien het feit dat het bestuur van CSM groot belang hecht aan een adequate opzet en blijvende werking van het interne beheersingssysteem, zal Tabaksblat op dit punt niet resulteren in grote aanpassingen.” Visser kan zich dan ook goed vinden in de code.

Aangewezen partij

Volgens de code moet het bestuur van een vennootschap in het jaarverslag een verklaring geven omtrent het adequaat en effectief zijn van het interne beheersingssysteem. De internal auditor is gegeven zijn gedetailleerde kennis van de strategie, ontwikkelingen, bedrijfsactiviteiten en processen, alsmede het specifieke inzicht in de opzet en werking van de aanwezige beheersingssystemen, volgens Visser, dé interne partij om daarover assurance te verschaffen aan ondernemingsleiding en audit committee.

Momentum

Dat de code weinig zegt over de positie en functie van de internal auditor, legt Visser positief uit. “Waarschijnlijk neemt de commissie aan dat in veel grote organisaties de internal auditor zijn positie reeds heeft verworven en zijn bestaansrecht heeft aangetoond. Dat hangt deels samen met de scherpere focus van de buitenwereld op de kwaliteit van de
verslaggeving en de onderliggende interne beheersingssystemen. Dat heeft geleid tot veranderingen, en die resulteren in kansen voor de internal auditor om zijn toegevoegde waarde aan te tonen. Het momentum is daar.”

Visser denkt zoals zovelen dat een code-2 er zeker zal komen. “Ik beschouw Tabaksblat niet als iets statisch voor de komende twintig jaar. Als ontwikkelingen daarom vragen zal verdere aanscherping en uitwerking zeker plaatsvinden.”

Steviger positie

Hielkje van Staa, senior auditor bij Interpay, is van mening dat de internal auditors door de code (“ja, gelezen”) sterker komen te staan. “In het geheel van de bestuurlijke regie gaan we een steviger positie innemen. Er zal nu meer duidelijkheid komen over hoe de systematiek van de risicobeheersing en het controlemechanisme werkt. Daardoor kan er ook een betere organisatorische integratie en bestuurlijke effectiviteit worden gerealiseerd.”

Onafhankelijker

Van Staa meent dat de internal audit-afdelingen door de code een beetje ‘boven’ het bestuur van hun organisatie komen te staan. “In ieder geval wat onafhankelijker.” Toch vindt ze dat de code aan de interal auditor meer aandacht had moeten geven, met name over de positionering, de rol en het wel of niet verplicht zijn. Ze beschouwt de huidige code als ‘een begin’ en voorziet een code-2. “Waarbij men dan wel moet oppassen voor overregulering. Er moet volop ruimte blijven voor een eigen invulling door de ondernemingen. En we moeten natuurlijk altijd letten op waarom we dit doen: goed bestuur, goed beheer, goede verantwoording afleggen.”

Banken

Formeel hoeft Interpay niet aan ‘Tabaksblat’ te voldoen, maar omdat de klanten van deze organisatie (de banken) dat wel moeten, stellen die aan Interpay functioneringseisen die maken dat deze onderneming eveneens voldoet. Over de noodzakelijke veranderingen zegt Van Staa: “Grotendeels voldoen we operationeel al aan Tabaksblat. Over een paar zaken moet nog nader worden nagedacht.”

Voor wat betreft de relatie met de externe accountant voorziet zij een ‘sterkere wisselwerking’, die zal leiden tot meer afstemming van planningen, meer samenwerking en een gezamenlijke verantwoording aan het audit committee.

Sarbanes-Oxley

KPN is volgens internal auditor John van den Bos voor wat betreft de Tabaksblat-eisen al een heel eind op streek. Dit door de verplichting die zijn organisatie heeft om aan de Amerikaanse Sarbanes Oxley-regelgeving te voldoen.

Van de Bos: “Onze internal auditors zijn sinds eind 2002 intensief, zowel programmatisch als inhoudelijk, betrokken bij het inrichten van de KPN-corporate governance conform de Sarbanes-Oxley Act. Zodra KPN volledig voldoet aan de SOX-vereisten, voldoet de onderneming, afgezien van specifieke eisen, in feiteook aan Tabaksblat.”

Toch ziet Van den Bos door de code nog wel het een en ander veranderen binnen KPN. Hij sluit niet uit dat internal audit in de toekomst nog meer voor de raad van bestuur gaat werken en minder voor het decentrale management. En binnen de internal audit-afdeling zal de nadruk misschien wat meer op compliance komen te liggen en zal er bij deze en gene wat kennis moeten worden ‘opgefrist’.

Meer afstemming

Over de mate waarin de code aandacht schenkt aan de internal auditor is Van den Bos niet zo tevreden. “Het is nogal karig. Ik had graag wat meer gelezen over de rol en de positie van de internal auditor en op welke wijze het door het bestuur als een tool of management is te gebruiken. De door de IIA destijds opgestelde reactie bood daarvoor voldoende houvast. Ten opzichte van de internal auditor krijgt de externe accountant nu veel meer aandacht. Je zou kunnen denken dat de functie van de internal audit zich moet voegen naar die van de externe accountant. Maar dat is natuurlijk niet de bedoeling.”

Over de samenwerking tussen internal auditor en externe accountant: “Dat is nu vooral een kwestie van elkaar informeren. Van een gemeenschappelijke werkwijze is niet echt sprake. Er zal dus wel veel meer afstemming komen, zodat de aanpak, werkwijze en technieken met elkaar in lijn komen.”

Ruimte invullen

Joyce Berger-Roelvink, internal auditor bij Universiteit Twente, beschouwt de code Tabaksblat voor haarzelf en haar collega’s als een kans om het belang van hun functie te benadrukken. “De code gaat niet uitgebreid in op de internal auditor, maar we worden in ieder geval genoemd. Dat is meer dan gezegd kan worden van bijvoorbeeld cfo’s en controllers. De rol van de internal auditor is echter niet nadrukkelijk neergezet, we moeten er zelf aan bijdragen dat er ook daadwerkelijk wat mee wordt gedaan. Ik zie hier een duidelijke rol voor het IIA. Dat kan voorop lopen bij het uitdragen van het belang van onze functie bij bijvoorbeeld het NIVRA en de externe accountants. Ook naar de buitenwereld zal explicieter moeten worden gemaakt wat de rol van internal auditors is, en waar ze voor staan.”

Ze had graag gezien dat de code duidelijker uitspraken zou hebben gedaan over het belang van de internal auditor en zijn functie in een organisatie. “Maar goed, er is ruimte om die functie nader vorm te geven. Die moeten we dus zelf gaan invullen.”

Concretisering

Voor een overheidsinstelling als Universiteit Twente is de code geen verplichting, maar Berger gaat ervan uit dat er op termijn wel aanpassingen in de wetgeving zullen optreden, zowel voor niet-beursgenoteerde ondernemingen als overheidsinstellingen. Daarbij denkt ze met name aan de nu geldende regels voor de verslaggeving en de governance-structuur van (overheids)instellingen, zoals de rol van raden van toezicht, college van bestuur versus departementen en locale stakeholders.

Ook Berger houdt er rekening mee dat er te zijner tijd nog wel een code-2 zal komen. Die zal volgens haar dan met name een concretisering van de huidige code zijn. Ze verwacht dat het IIA er zijn best voor gaat doen dat de rol van de internal auditor in de volgende versie nadrukkelijker aan bod zal komen.