Magazine 01 september 2007

Internal auditors zijn in

Ruim tweeduizend IIA-congresgangers kregen begin juli 2007 in Amsterdam te horen wat zijzelf natuurlijk allang wisten: de internal auditor wordt steeds belangrijker. IIA-president Dave Richards vreest niet voor managers die zonder hun auditors niets meer durven. "De internal auditor is geen corporate cop, maar een stimulerende en kritische business partner."

Dit artikel is verschenen in de Accountant nr. 1, 2007

Bekijk alle artikelen uit dit nummer

» Download dit artikel in pdf

Peter van Rietschoten

'Good management we can make better'

Internal auditors worden steeds belangrijker. Daar wijzen in ieder geval de resultaten op van een mondiaal onderzoek dat is gepresenteerd op de jaarlijke internationale conferentie van het Institute of Internal Auditors (IIA) begin juli 2007 in Amsterdam. Op basis van bijna tienduizend ondervraagde internal auditors in ruim negentig landen hebben de onderzoekers vastgesteld dat 82 procent van hen geheel of gedeeltelijk de International Standards for the Professional Practice of Internal Auditing volgt, dat risk management en governance steeds belangrijker werkterreinen zullen worden, en dat negen van de tien organisaties internal auditors een toe gevoegde waarde toekennen. Dat laatste wordt, zo is gebleken, ook gedaan omdat de vraag vanuit de internal auditgelederen naar (op eigen standards en certificering) aanvullende regels en wetgeving toeneemt en de gehele beroepsgroep mede daardoor mondiaal als zelfregulerend mag worden beschouwd. Het belang van de internal auditors wordt volgens de onderzoekers nog onderstreept door het feit dat de meerderheid van de internal auditfuncties minder dan vijf jaar bestaat.

Meer fraudepreventie

IIA-president Dave Richards is dan ook een tevreden man. Hij is blij met de uitkomsten van het onderzoek en voegt er aan toe: “Dat het aantal internal auditors sterk groeit is mooi, maar belangrijker is dat het aantal organisaties dat een internal auditdienst heeft ook sterk groeit. En dat die groei niet tot bepaalde landen of soorten ondernemingen beperkt blijft, maar mondiaal plaatsvindt. De internal audit begint in de management minds een vaste plek te krijgen.”

Naast bovengenoemde werkterreinen verwacht Richards dat de internal auditor de komende jaren ook veel meer actief zal zijn waar het gaat om fraude en de preventie daarvan. “Organisaties - klein en groot, lokaal en internationaal, wel of niet beursgenoteerd - zijn er mede door de schandalen wel van overtuigd geraakt dat niemand immuun is voor fraude. En dat dat hoog in de organisatie, waar degenen zitten die doorgaans het toonbeeld zijn van respect en good practice, even goed kan plaatsvinden als elders. Internal audit gaat zich meer bezighouden met het tegengaan van verleidingen, de detectie van het out of control zijn, en het ontwikkelen van scenario’s voor het geval het toch misgaat.” Volgens Richards is de tijd voorbij dat organisaties worden geloofd op basis van hun mooi klinkende mission statements. “We believe what we write - dat is niet meer genoeg. Daar moet ten minste aan worden toegevoegd: ‘... and we live to it’.”

Geen machtsverschuiving

Richards bestrijdt evenwel de gedachte dat de internal auditor zich stilaan ontwikkelt tot een policeman, tot een corporate cop. Het beeld dat de gemiddelde manager over enkele jaren niet eens meer een paperclip durft te kopen zonder een instemmend advies van de internal auditor, wuift hij lachend weg. “De internal auditor is een highly relevant management tool, waarmee constructief kan worden bij gedragen aan het bereiken van operationele doelen. De internal auditor is van het management een stimulerende en kritische partner in business, zonder overigens enige beslissingsmacht.”

Richards ziet ook geen verschuiving optreden in de bestaande machtsverhoudingen en functieverdelingen in organisaties. “De checks and balances en in feite de gehele zorg voor de corporate governance worden gevormd door vier hoekpunten: de raad van commissarissen, de ondernemingsleiding (directie, raad van bestuur), de externe accountant en de internal auditor. Laatstgenoemde heeft een eigen functie en is en blijft daarbij adviserend en aanvullend voor de andere drie. Goede afspraken met ook de externe accountant voorkomen dat er te veel overlap zal zijn, of dat er anderzins strijdpunten zullen ontstaan. Zaak is wel dat partijen van elkaar weten wat taken en opdrachten zijn, en wat de werkwijze is. Een silent take-over door internal auditors zal beslist niet plaatsvinden.”

Minder accounting-based

Natuurlijk komt ook het verschil ter sprake tussen de externe en interne accountants en de internal auditor. Richards laat weten dat de IIA, ondanks de voortreffelijke groeicijfers, nog steeds veel inspanning moet leveren om ‘het grote publiek’ uit te leggen wat het verschil tussen genoemde functies is.

“Verklaarbaar is dat wel. Toen ik in 1982 mijn eerste auditorfunctie kreeg, was die bijna volledig accounting based. Een uitgesproken financiële functie, waarvan de invulling grotendeels werd bepaald door de accountants en de vraag naar cijfermatige ondersteuning. Vandaag de dag, zo schat ik, is dat nog maar voor veertig procent het geval. Het merendeel der werkzaamheden van de internal auditor vindt op geheel andere werkterreinen plaats en ook vanuit andere invalshoeken dan voorheen. Bijvoorbeeld klanttevredenheid, milieueffecten, voorraadbeheer en business ethics. De vraag naar organizational accountibility is in de loop der jaren veel breder en diepgaander geworden. Internal auditors zijn nu dan ook veel meer de eyes and ears, overal en altijd in de organisatie op zoek naar mogelijkheden om planningen en processen te verbeteren, om de gestelde doelen efficiënter te bereiken.”

Reden ook dat Richards stelt dat een internal auditor nooit is uitgeleerd. “Dat is wel het belangrijkste wat ik in al mijn praktijkjaren heb geleerd. Je werkt in een wereld van permanente verandering, steeds meer en steeds sneller. Understanding the business - dat moet van elke internal auditor het motto zijn! - betekent dat je voordurend moet studeren, zien en weten en begrijpen wat er in de wereld gebeurt. You are never completely competent.”

Geen vervanging voor slecht management

Ondanks dat is Richards ervan overtuigd dat er in wezen tussen “internal auditors waar vandaan dan ook” geen echte verschillen bestaan. “De standards worden erkend, de business practice is overal hetzelfde. Natuurlijk zijn er persoonlijke en culturele verschillen, maar de grote lijn is dat in alle landen waarin IIA-leden actief zijn, en of het nu om overheidsinstellingen of private organisaties gaat, de internal auditor een duidelijke en herkenbare toegevoegde waarde heeft.”

Wel pleit hij ervoor - ook richting IIA-Nederland - om meer werk te maken van certificering. “Het keurmerk zal eraan bijdragen dat het beroep nog meer aanzien en respect krijgt. Het zegt immers: “I’m a professional, confirmed to global standards.” Dat moet intern maar ook extern extra zekerheid geven als het gaat om governance, risk-management, kwaliteit en al die andere factoren die maatgevend zijn voor het presteren en waarderen van organisaties, en waar de internal auditor aan kan bijdragen.”

Deels teruggrijpend op wat hij eerder zei over de functie van de internal auditor (not a corporate cop) sluit Richards af met een waarschuwing: “We cannot substitute for bad management. Als een management niet kan en niet wil, dan kan de internal auditor ook niets. But good management we can make better.”

IIA

Het Institute of Internal Auditors (hoofdkantoor in Florida, VS) heeft meer dan 140.000 leden in 165 landen. Het IIA wordt alom beschouwd als de mondiale, professionele en representatieve organisatie van en voor internal auditors. Veel landen hebben een eigen IIA-organisatie. IIA-Nederland telt circa tweeduizend leden.

Met onder meer onderzoek waartoe het IIA Research Fund opdrachten geeft, wordt de beroepsmatige ‘Common Body of Knowledge (CBOK)’ verder uitgebouwd en wordt aldus bij gedragen aan de gezaghebbendheid van de IIA als professionele beroepsorganisatie.