Magazine 01 oktober 2008

'Wij kunnen direct naar het ideaal toewerken'

Sinds eind vorig jaar bouwt energiemaatschappij Eneco aan een compleet nieuwe eigen interne auditdienst (IAD). "We wilden zelf de kennis weer in huis hebben."

Dit artikel is verschenen in de Accountant nr. 10, 2008

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

“Het is een slingerbeweging met internal audit”, begint Jeppe Machielsen, cfo van Eneco, zijn verhaal. “Tien jaar geleden hadden we nog een eigen IAD maar het bleek ontzettend moeilijk om aan de juiste mensen te komen en ze daarna ook nog vast te houden. We besloten daarom om de werkzaamheden van de IAD te outsourcen bij accountantskantoren.”

De wereld stond de laatste tien jaar echter niet stil. Diverse ondernemingsschandalen zorgden voor hernieuwde belangstelling voor internal audit en ook voor regelgeving op dit terrein. Eneco zette de afgelopen jaren een eigen control framework op poten en de verschillende divisies van het bedrijf deden hierop self assessments. Vervolgens was het een logische stap dat een eigen IAD deze self assessments tegen het licht gaat houden.

Machielsen: “Daarnaast worden de audits die normaliter door externe accountantskantoren werden uitgevoerd, in een rap tempo door eigen personeel uitgevoerd. We zijn dan ook sinds het begin van het jaar druk bezig met het opzetten van een professionele IAD en met het werven van auditors.”

Zoektocht

Eneco vond het ongewenst dat door de outsourcing de specifieke auditkennis buiten het bedrijf bleef. “We wilden de kennis intern houden”, vertelt Machielsen. “Daar komt nog bij dat een eigen IAD-afdeling een stuk goedkoper is dan het outsourcen ervan.”

De vormgeving van de nieuwe auditdienst is een zoektocht, vindt de Eneco-cfo. “Het gaat erom dat internal audit met redelijke maatstaven tot de taakafbakening komt. Enerzijds moet de afdeling groot genoeg zijn om het werk kwalitatief goed te doen, anderzijds ben ik ook beducht voor een te grote IAD.”

Nadat dit jaar voor het eerst een auditplan is opgesteld, is het volgens Machielsen zoeken naar de rol van de eigen IAD daarin. “We werken ernaar toe dat binnen drie jaar de IAD de directie en de commissarissen voldoende assurance kan geven over de relevante risicogebieden.”

Ook niet financieel

De risicogebieden zijn niet per se financieel gerelateerd, stelt Carlo Bavius, hoofd van de nieuwe interne auditdienst van Eneco. “Ze liggen ook op het terrein van veiligheid, operations, compliance en reputatie. Ook strategische risicogebieden zijn een aandachtspunt.”

Naar verwachting komt de nadruk in het werk voor de nieuwe afdeling uit op ongeveer driekwart operational audits. Volgens Bavius betreft dat onder andere het toetsen van het interne veiligheids- en managementsysteem en de audit op de genoemde self-assessments van de verschillende divisies. Daarnaast is er aandacht voor concrete bedrijfsprocessen, zoals de bouw van een nieuwe energiecentrale en de plaatsing van energiemeters bij klanten. Bavius: “We richten onze audit in op basis van risicoanalyses die zich uiten in gevolgschades. Je staat dan dicht bij de processen in de organisatie en je spreekt dan de taal van de business. Dit is belangrijk, aangezien de mensen binnen het bedrijf dan sneller het gevoel hebben dat ze iets aan de IAD hebben.”

Risicomanagement

Bavius en Machielsen wijzen erop dat er een onderscheid is tussen enerzijds internal audit en anderzijds risicomanagement. Als voorbeeld geven zij de gang van zaken bij de trading-afdeling, waar Eneco handelt in gas, elektriciteit en emissierechten.

Machielsen: “Risicomanagement kijkt bij trading vooral naar de mandaten en limieten van de handelaren. Het is min of meer geïntegreerd in het handelsproces. De IAD moet vaststellen of dit proces aan de juiste voorwaarden voldoet en of alle systemen goed werken. Dat richt zich meer op algehele beheersing.”

Toch kunnen internal audit en risicomanagement niet los van elkaar worden gezien, vindt Bavius. “Ze vullen elkaar aan. Doordat wij op het proces risicomanagement audits uitvoeren, wordt dit onderdeel steviger. Risicomanagement krijgt zo meer houvast.”

Geen cfo-speeltje

Dat internal audit en risicomanagement niet los van elkaar opereren, blijkt ook in organisatorische zin. Beide maken deel uit van het Audit & Risk Committee (ARC), waarvan Machielsen voorzitter is. De auditdienst rapporteert binnen dat comité de bevindingen en risico's. Op zijn beurt rapporteert het ARC aan de raad van bestuur en aan het audit committee van de raad van commissarissen.

Hoewel Machielsen als cfo nu formeel gezien de leiding heeft over de IAD, zou hij het een goed idee vinden dat internal audit rechtstreeks onder de bestuursvoorzitter zou vallen. “Dat is ook de richting waar nu naar toe wordt gewerkt. Hiermee voorkom je dat internal audit het speeltje van de cfo wordt en dat internal auditors als ‘spionnen’ van de cfo worden gezien.”

Normenkaders

Omdat de auditafdeling compleet nieuw is, moeten voor een groot deel nieuwe auditprogramma's en normenkaders worden opgesteld. “Voor ons control framework en het veiligheids- en managementsysteem bestonden de normenkaders al”, geeft Bavius aan. “Bij alle andere auditobjecten zijn we ze nu aan het maken.”

Bij het opbouwen van de IAD en van de normenkaders kijken Bavius en Machielsen niet direct naar hoe het gaat bij concurrenten als Nuon en Essent. Machielsen: “Wij kunnen direct naar de ideaalsituatie toewerken en daardoor direct dicht bij de wensen van de business gaan zitten.”

Daarnaast bekijkt Eneco audit vooral vanuit de interne beheersing en wordt dit niet beperkt tot de aanbevelingen van de Monitoring Commissie Corporate Governance Code (commissie Frijns), vindt Bavius. “Bij Frijns ligt de nadruk op financial control terwijl we bij Eneco ons richten op de hele breedte van het COSO-model.”

Meer disciplines

De nadruk op control en interne beheersing uit zich onder meer in de personele samenstelling van de IAD . Zo is Bavius bijvoorbeeld zelf geen RA maar een RE, met een achtergrond in het bankwezen op het gebied van EDP-audit. Bavius streeft naar een balans van de verschillende disciplines. “Op dit moment hebben we al een RO en een RE aangenomen en hebben we een vacature voor een RA. We zijn daarnaast alvast op zoek naar extra auditors voor 2009.”

Bavius zegt vooral extern te werven. Toch liggen er volgens Machielsen op termijn ook intern mogelijkheden. “De IAD geeft medewerkers de kans de onderneming grondig te leren kennen en op basis van de ervaring die ze bij audit hebben opgedaan kunnen ze doorgroeien naar een managementfunctie. Werken bij de ‘eigen’ IAD kan dan een goede carrièrestap betekenen.”

Eneco

Eneco is na Essent en Nuon de derde energiemaatschappij van Nederland, met ongeveer twee miljoen klanten. Het concern heeft zijn wortels in Zuid-Holland en ontstond in 1995 na een reeks fusies van regionale energiebedrijven. Eneco is zowel producent als leverancier van energie en bezit een eigen elektriciteitsnet. In 2007 boekte Eneco een omzet van € 4,8 miljard en een winst van € 425 miljoen. Bij Eneco werken ongeveer 5.300 mensen.

Call centers

Klantenservice, niet onbelangrijk bij een energiemaatschappij, is een voorbeeld van een primair bedrijfsproces waar de interne auditdienst van Eneco naar kijkt. “Op het gebied van klantenservice heeft de directie een aantal key performance indicators geformuleerd”, legt hoofd IAD Carlo Bavius uit. “Eén daarvan is dat een handeling meteen honderd procent goed moet zijn. Deze key performance indicators zijn onderwerp van audit.”

Het gaat er dan volgens cfo Jeppe Machielsen niet om dat de IAD een oordeel geeft over in hoeverre de key performance indicators zijn gehaald. “Bij een proces als klantenservice heb je verschillende checks and balances, waarmee je van te voren kunt voorspellen of alle handelingen in één keer goed worden uitgevoerd. De taak van internal audit is om te kijken of deze checks and balances er zijn en of ze goed werken.”