Magazine 01 november 2009

Samenwerking interne en externe auditor kan omhoog

Voor een sterke governance is een goede samenwerking tussen interne auditors en externe accountants onontbeerlijk. Een leidraad voor de vorm van deze samenwerking, heeft echter altijd ontbroken. Het rapport 'Impact op governance' van de vakgroep Interne Accountants van het NIVRA en het Instituut van Internal Auditors in Nederland (IIA) voorziet in die leemte. Zeven best practices.

Dit artikel is verschenen in de Accountant nr. 11, 2009

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

Onderzoek NIVRA en IIA Nederland

Ze werken ieder op hun manier en met hun middelen aan de beheersing van de organisatie. Maar hoe en op welke terreinen kunnen ze elkaars inspanningen ondersteunen? De aandacht voor de samenwerking tussen interne auditors en externe accountants wordt steeds explicieter. Niet in wet- en regelgeving echter: die blijft zeer summier. Het zijn vooral de voortgaande discussies over corporate governance waarin het onderwerp een hoofdrol opeist.

In de nieuwe Nederlandse corporate governance code (de code Frijns) wordt de functie van de Internal Audit Dienst (IAD) zwaar aangezet. Als best practice is onder meer opgenomen dat ‘de openbare accountant wordt betrokken bij het opstellen van het werkplan van de IAD’. De commissie Maas, die zich boog over de toekomst van de financiële sector, liet de rol van de interne auditor aanvankelijk links liggen en trok vooral de aandacht met het advies de externe accountant te vragen zich “een grondig oordeel te vormen over het feitelijk functioneren van de governance binnen een bank”. Later corrigeerde commissievoorzitter Cees Maas een en ander en wees hij op het belang van de interne auditor voor het risicomanagement.

Los van Rentokil

Internationaal stond het onderwerp deze zomer in de belangstelling toen bleek dat KPMG bij het Britse bedrijf Rentokil zowel de interne audit als de externe controle voor zijn rekening nam. Kostenbesparing was het belangrijkste argument, en bovendien, zo liet Rentokil weten, zou de eigen interne auditdienst nog steeds toezicht houden op de ‘interne’ werkzaamheden van KPMG. Maar de constructie kreeg de handen niet op elkaar. De Nederlandse IIA schreef in het Financieele Dagblad: “Het toetsen van eigen werkzaamheden is een ernstige bedreiging van de onafhankelijkheid.”De studie van IIA en INTAC staat overigens los van deze case. “Het was vooral de constatering dat standaarden voor de samenwerking praktisch ontbreken, die ons aan het werk heeft gezet”, aldus eindredacteur Marcel Bongers, in het dagelijks leven hoofd IAD bij Nuon. Het rapport is opgesteld aan de hand van onderzoek onder 55 hoofden IAD en 39 externe accountants.

Drie conclusies

De onderzoekers trekken drie conclusies. Ten eerste dat er voortdurend verbetering optreedt in de manier waarop de raad van bestuur en de auditcommissie van de raad van commissarissen worden ondersteund door zowel interne als externe auditors. Ten tweede dat de samenwerking tussen deze twee partijen (veel) verder gaat dan volgens de beperkte regelgeving wordt voorgeschreven, maar dat de intensiteit van die samenwerking nog sterk varieert. En ten derde dat er zowel wat betreft efficiëntie als effectiviteit nog verdere verbetering mogelijk is in die samenwerking, met name ‘in relatie tot de brede governance-doelstellingen van organisaties’. De uitleg van Bongers: “Breed wil zeggen dat bestuur en de auditcommissie over alle nodige informatie beschikken om de juiste beslissingen te kunnen nemen die in het belang zijn voor de beheersing van de organisatie.” Om die verbeteringen te stimuleren biedt de studie een lijst met best practices aan, waarover later meer.

Positieve toonzetting

Wat opvalt in het onderzoek is de wel zeer positieve toonzetting. “Klopt”, zegt Bongers, “maar er gaat ook heel veel goed”. “Natuurlijk is er sprake van een competitieve verhouding tussen de interne en externe auditor, maar dat is een gezonde competitieve verhouding: binnen hun functie zullen zij ieder ook zelfstandig toegevoegde waarde willen leveren. Omdat het in principe echter aanpalende activiteiten zijn, zul je moeten starten met zorg besteden aan het voorkomen van enerzijds overlappingen en anderzijds gaten in de dienstverlening. Daarna kun je verder gaan werken aan effectiviteit en efficiëntie, onder behoud van de eigen rol en verantwoordelijkheid.”

Jaren negentig

De verhouding tussen de twee disciplines is geen onveranderlijk gegeven. Daar wijst Hans Gortemaker op, hoogleraar aan de Erasmus Universiteit, voormalig partner van PwC en mede-eindredacteur van het rapport. “Begin jaren negentig wees het Schotse Instituut al op het belang van een sterke interne accountancyfunctie, vanuit de redenatie dat als je de interne beheersingssystemen in de gaten wilt houden, je voortdurend aanwezig moet zijn. Sindsdien zijn allerlei eisen en normen aanzienlijk opgeschroefd, bijvoorbeeld als het gaat om het verschaffen van niet-financiële informatie, het verschaffen van zekerheid over de robuustheid van systemen en processen en de naleving van wet- en regelgeving. Ook het meer bewust worden van het belang van de gehele controleketen - interne auditor, auditcommissie, externe auditor en toezichthouders - speelt een belangrijke rol. Deze ontwikkelingen zie ik als belangrijke drijvers voor het toenemen van het belang van de interne auditors. Daar moet de externe accountant dus rekening mee houden.”

Kwaliteitsaspecten

Hoe dat kan, wijzen de al genoemde best practices uit. In het rapport wordt daaraan voorafgaand het uitgangspunt geschetst dat het vooral de kwaliteit van de IAD is, die bepaalt hoe intensief de samenwerking tussen interne audit en externe accountant kan zijn. Voor de kwaliteit zijn doorslaggevend: de onafhankelijke positionering van de IAD (direct ressorterend onder de bestuursvoorzitter en met rechtstreekse toegang tot de auditcommissie); de breedheid van het onderzoeksterrein van de IAD (governance, riskmanagement en control inzake alle delen van de organisatie) en de beroepsmatige deskundigheid en zorgvul- digheid van de IAD-medewerkers.

Best practices

De best practices lenen zich als toetsingscriteria waarbij efficiëntie en effectiviteit voorop staan.

1. Volledige transparantie tussen IAD en externe accountant en open communicatie ook naar de audit-teams en stakeholders.
   Bijvoorbeeld: inventariseren, vastleggen en invullen van de wederzijdse informatiebehoeften; wederzijds beschikbaar stellen van de controle-aanpak en controleprogramma's; afstemmen van planning en afspraken-agenda's; als dat van toepassing is: in rapportages vermelden als er bevindingen door de andere auditor zijn gedaan.
2. Het optimaal benutten van de aanwezige kennis en vaardigheden en waarborgen van de juiste attitude.
   Bijvoorbeeld: gebruikmaken van de wederzijdse opleidingsmogelijkheden voor medewerkers; optimaal inlenen van expertise van elkaar; belangrijke rol voor IAD bij selectie en benoeming externe accountant; betrokkenheid vooraf van externe accountant bij selectie en ontslag hoofd IAD.
3. Het waarborgen van effectieve totale auditdekking en audit-impact.
   Bijvoorbeeld: een door beide gedragen gedeelde visie ontwikkelen op de samenwerking; doelstellingen van samenwerking jaarlijks vastleggen; onderling kritisch bespreken van risico-afwegingen als basis voor de auditplanning.
4. Het verder bevorderen van een efficiënte werkuitvoering.
   Bijvoorbeeld: gebruikmaken van dezelfde auditmethodologie, -technieken, -tools en -terminologie; evalueren van elkaars urenbesteding en -begroting; zoveel mogelijk gebruik maken van elkaars werkzaamheden.
5. Het doorlopend verbeteren van de samenwerking.
   Bijvoorbeeld: gezamenlijk opstellen van een plan om de effectiviteit en de efficiëntie van de samenwerking te verbeteren; wederzijds informeren over ontvangen klachten of suggesties tot verbetermogelijkheden van de ander.
6. Het versterken van de relatie met, en het optimaal ondersteunen van, de auditcommissie.
   Bijvoorbeeld: vooraf afstemmen van de onderwerpen en (concept)stukken die worden behandeld bij de auditcommissie; het presenteren van een geïntegreerde auditaanpak en -planning aan de auditcommissie.
7. Het verder verbeteren van de coördinatie van de auditwerkzaamheden voor de organisatie.
   Bijvoorbeeld: coördinatie van de interne en externe auditactiviteiten vanuit de organisatie door de IAD; kritisch toetsen van conceptmanagementletters en rapporten van de externe accountant door de IAD.