Magazine 01 mei 2009

Delisting en de ironie van SOx

Nederlandse bedrijven die de New Yorkse beurs ontvluchtten, hebben de niet langer verplichte SOx-procedure toch goeddeels gehandhaafd. Waarom? En waarom kiezen ze daarbij niet voor een nog efficiëntere uitvoering van de SOx-routine?

Dit artikel is verschenen in de Accountant nr. 5, 2009

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

TNT, KPN, Ahold, Akzo-Nobel, Océ, KLM, Arcadis en Van der Moolen: niet minder dan acht Nederlandse bedrijven maakten de laatste twee, drie jaar een eind aan hun notering op Amerikaanse beurzen: dus de New York Stock Exchange of Nasdaq. Gezien het geweeklaag van bedrijven met een dual listing na de introductie in 2003 van de wet Sarbanes-Oxley (SOx) moet een hoofdmotief bijna wel geweest zijn de verlossing van de kostbare en vermaledijde SOx-red tape. Gemiddeld vijftig miljoen dollar per genoteerde onderneming bleken de kosten in het eerste jaar van het pakket administratieve lasten en verdere bestuurlijke plichtplegingen dat de wet oplegde. De pijn zat 'm met name in de uitvoering van paragraaf 404, die gaat over de beoordeling van de interne controle door het management, de beoordeling die het mogelijk moet maken een 'in control-verklaring ' af te geven. Veel meer motief om de Wall Street achter zich te laten hadden bedrijven dus niet nodig.

Verrassing

Maar tijdens een bijeenkomst van Wall Street-verlaters (dus ex-SOxers), vorig voorjaar georganiseerd door Cees Klumper die in opdracht van de consultancy-tak van KPMG bezig was een adviesdienst te ontwikkelen voor SOx- compliant ondernemingen, kwam een heel ander beeld naar voren.

De exodus uit New York bleek helemaal niet uitgelegd te moeten worden als een vlucht voor SOx. Want ook eenmaal ge-delist, gaan bedrijven toch goeddeels door met de dingen die ze deden toen ze nog wel onder het SOx-regime vielen. Nu betreft het bedrijven die hun Euronext-notering wel behielden, dus onverminderd te maken hadden met ‘Tabaksblat’, en die in principe ook de COSO-richtlijnen voor Internal Control en/of Enterprise Risk Management blijven volgen. Maar dat de in 2002 en 2003 geïmplementeerde zware SOx-routines voor het documenteren en registreren van, en rapporteren over, administratieve processen in essentie gehandhaafd bleven, was toch een verrassing.

Rondetafel

Wat kan de kijk van bedrijven op SOx zo hebben veranderd? Viel de administratieve last toch mee? Leverden de met grote tegenzin ingevoerde extra controle- en test- ofwel monitoringroutines achteraf gezien toch waardevolle informatie op? Of durven bedrijven gewoon niet hardop te zeggen dat ze menen met minder informatie over hun bedrijfsprocessen toe te kunnen?

Klumper, die het initiatief voor zijn roundtable primair nam om te inventariseren wat die ge-deliste bedrijven nog doen aan Internal Control Over Financial Reporting (ICOFR) - zoals het in SOx-taal heette - nu ze niet meer compliant hoeven zijn, concludeert: “Die administratieve lasten vielen zeker niet mee, en wat daar verantwoord geschrapt kon worden, werd geschrapt.”

‘Meten is weten’

In een geanonimiseerd verslag van de bijeenkomst zegt een hoofd interne controle van een voormalig SOx- compliant onderneming: “We ervoeren de SOx-eisen om onze controls te testen als een belasting waar geen toegevoegde waarde tegenover stond. Onze afdeling internal audit doet dat nu op zijn eigen manier en maakt geen gebruik meer van de checklists van de Public Company Accounting Oversight Board.” (De PCAOB is de instantie in de VS die toezicht houdt op de kwaliteit van de financiële verslaggeving van genoteerde ondernemingen, red.)

Klumper: “Maar andere factoren spelen inderdaad een rol. Menig bedrijf heeft moeten vaststellen dat ze vóór SOx inderdaad niet altijd goed zicht hadden op hun bedrijfsprocessen - zowel in administratieve als fysieke zin. Ook met een oog op het aspect van risk management redeneert men nu: meten is weten.”

Communicatiemotief

Daarnaast speelde voor bedrijven die Euronext-genoteerd bleven of werden overgenomen door een genoteerde onderneming het communicatiemotief zeker een rol: “Bedrijven haastten zich meestal om bij de aankondiging van hun voornemen tot delisten, uitdrukkelijk te vermelden dat ze onverminderde focus zullen blijven houden op de kwaliteit van het proces dat leidt tot de externe financiële verslaggeving”, weet Klumper. Redenen om toch een eind te maken aan een notering in Amerika zaten meestal in de combinatie van hoge kosten en tegenvallende voordelen. De handel in het aandeel in de VS bleef vaak sterk achter bij de verwachtingen; dus de voordelen van een listing bleven uit terwijl de notering hoe dan ook kostbaar was en veel managementaandacht vergde.

Niet verbaasd

Dat de delisted bedrijven nu impliciet erkennen dat SOx hen toch ook wel iets gebracht heeft, betekent niet, zoals al opgemerkt, dat ze ook domweg doorgaan met de complete controle- en testsystematiek. Klumper: “Men behoudt het nuttige, de ballast wordt gedumpt. Het bleek dat op één na alle ge-deliste bedrijven die aan de roundtable deelnamen, de testprocedures die ze onder SOx 404 invoerden meteen en vrijwel volledig schrapten. Eén bedrijf was dankzij dat extra testen een grote fout in de interne controle op het spoor gekomen en gaat er mede daarom mee door.”

Gezien zijn eerder opgedane praktijkervaring was Klumper over de reactie van de meerderheid niet verbaasd. Na een aantal jaren bij PricewaterhouseCoopers te hebben gewerkt als internal control-adviseur en daarna als corporate controller bij TNO in Delft, ging hij in 2005 voor Ahold aan de slag om daar te proberen de kosten gemoeid met het testen van z'n cruciale controls - de key controls - waarvan er toen enkele duizenden waren - terug te brengen.

Magazijnmeester

Klumper: “In het bedrijf bestond van meet aan het gevoel dat dat testen zeer ineffectief was. Denk bijvoorbeeld aan een magazijnmeester. Het is zijn taak om periodiek te kijken of werkelijke voor- raden overeenstemmen met de administratieve. Bedrijven die SOx 404 moesten implementeren lazen de regels zó dat de SEC - die op de naleving lette - eiste dat naast de lijnorganisatie een aparte kolom in de onderneming moest worden gecreëerd met mensen die namens het management als monitor opereerden om met zekere frequentie te testen of die magazijnmeesters - of salarisadministrators, huurcontractenbeheerders of wie dan ook - hun cruciale controles, de key controls, wel goed uitvoerden.”

Voor dat zogeheten add-on testen moest Ahold in Nederland een groot aantal full- timers op de been brengen. Maar ondanks die enorme investering werden de gegevens niet noemenswaardig betrouwbaarder.

Contraproductief

Klumper: Dat testen demotiveerde die magazijnmeesters, want toezicht houden op voorraadbeheer hoorde immers altijd al tot hun taak. Extra monitoring maakte hen onverschillig: waarom zouden ze zich inspannen als een ander het werk nog een keer overdeed?’

Het add-on testing werkte vaak contraproductief. En niet alleen bij Ahold. Eenmaal van SOx verlost, stopten bedrijven meestal onmiddellijk met het extra testwerk. Ze keerden terug naar wat eigenlijk de traditionele manier is om die controles te checken.

Klumper: “In jargon heet dat embedded testen, maar het komt er gewoon op neer dat de degene die in de hiërarchie boven die magazijnmeester uit het voorbeeld staat, voor de monitoring verantwoordelijk is. Véél goedkoper en zeker zo effectief.”

Concentratie op risico's

Maar wat veranderden de van SOx bevrijde ondernemingen verder nog in hun interne processen? Tijdens de roundtable bleek dat delisted bedrijven nogal eens wijzigingen doorvoerden in de manier waarop processen en beheersmaatregelen worden gedocumenteerd. Maar ook in hoe er intern wordt gerapporteerd en hoe geconstateerde tekortkomingen worden geëvalueerd.

Sommige bedrijven meldden dat, voor zover ze nog doorgingen met add-on testing (dus buiten de hiërarchische lijn om), ze dat scherper concentreerden op gebieden waar ze verhoogde risico's vermoedden.

Een aantal bedrijven besloot om meer te focussen op gebieden buiten het strikte werkingsgebied van wat onder SOx Internal Control Over Financial Reporting heette. Bijvoorbeeld op efficiency en effectiviteit van bedrijfsprocessen maar ook op corporate social responsibility.

Wat de roundtable feitelijk tegelijkertijd deed was SOx evalueren. Klumper: “Ik was me bewust dat de discussie relevant was voor de Amerikaanse beurstoezichthouder SEC, waar bedrijven te rade gaan als ze zich afvragen hoe de wet SOx moest worden uitgelegd. We hebben hen een verslag van de discussie gestuurd want de observaties kunnen zeker helpen om SOx - of de toepassing ervan - aan te scherpen.”

Uit een opmerking van een deelnemer blijkt overigens dat ondernemingen wel een evolutie zien in de visie van de SEC op SOx: “Als je kijkt naar wat de SEC het laatste jaar aan richtlijnen heeft gegeven dan zie je dat men opschuift van een rule based naar een principle based uitleg van de wet.”

Ironie

Klumper:”‘Er zit veel ironie in de manier waarop ondernemingen SOx hebben ondergaan. Ik was er al eerder achter gekomen dat het de beursgenoteerde bedrijven zélf waren die indertijd in de wet lazen dat je alleen met add-on testen voldoende zekerheid kon krijgen over de betrouwbaarheid van je cijfers. De SEC heeft dat nooit expliciet geëist. Bij Ahold zijn we er indertijd al mee opgehouden. En zonder problemen. Als bedrijven Wall Street dus alleen verlieten vanwege hoge kosten van dat aspect van SOx, dan was dat dus eigenlijk niet nodig geweest.”

Kans om miljoenen te besparen genegeerd

Van meet af aan heeft accountant Cees Klumper zich verbaasd over de manier waarop bedrijven die in de VS zijn genoteerd de gewraakte paragraaf 404 van Sarbanes-Oxley hebben uitgelegd. Volgens die wet moesten ondernemingsbestuurders persoonlijk een verklaring ondertekenen waarin ze zeiden zeker te weten dat de cijfers in de gepubliceerde jaarrekening correct zijn. Men concludeerde dat er binnen de onderneming een speciale eenheid opgericht moest worden die ging controleren of de financiële en managementinformatie die door diverse afdelingen werd geproduceerd wel klopte.

Klumper: “Ik keek naar dat controlemodel en dacht meteen: hier klopt iets niet, dit is dubbel werk. Die extra add-on checks - managementtests in het jargon - horen helemaal niet nodig te zijn. Als het goed is, zijn die al in de organisatiestructuur ingebed: embedded.”

Hij werkte op dat moment bij Ahold en besloot te proberen zijn visie op de interpretatie van SOx 404 geaccepteerd te krijgen bij de SEC. Want dat daarmee tientallen miljoenen te besparen waren, was evident. En zowaar: het lukte.

Het succes bij Ahold bracht hem op het idee dat hij zulk nuttig werk ook voor andere SOx-compliant bedrijven - wereldwijd vierduizend - zou kunnen doen. En in de veronderstelling dat het ‘Klumper- concept’ in de beursgenoteerde wereld met gejuich zou worden ontvangen, leek het logisch in zee te gaan met de consultancy-tak van één van de big four. Ook dat lukte: KPMG zag brood in Klumpers kijk op SOx en de mogelijkheid daar een adviesproduct uit te ontwikkelen. In 2006 sloot hij een tweejaars partnercontract met KPMG.

Ruim twee jaar later heeft niet één SOx-compliant onderneming het Klumper-concept omarmd en uitgevoerd. Het contract met KPMG is niet verlengd. “Bedrijven noemen allerlei argumenten waarom men de inmiddels gangbaar geworden uitleg van SOx 404 niet wil verlaten. Men wil het risico van een conflict met de SEC niet lopen, men vreest dat add-on tests schrappen ertoe leidt dat de externe accountant zal zeggen dan hij dus meer moet controleren - dus meer declaren.”

Als bijkomende complicatie bij de besluitvorming noemt Klumper dat het intern soms ook niet duidelijk hoe de verantwoordelijkheden liggen. Management, compliance, interne en externe accountants: ze wijzen allemaal naar elkaar. Als SOx-uitleg fout zou uitpakken, wil niemand het gedaan hebben. “Het doet denken aan indoor-wielrenners die sur place elkaar staan te beloeren en afwachten wie het eerste gaan bewegen”, zegt Klumper. “Maar helaas, KPMG en ik kunnen daar niet op wachten. Blijft natuurlijk zonde van die tientallen miljarden die bespaard hadden kunnen worden.”