Opinie 07 april 2011

Audit van soft controls (2)

Toen ik een scriptie mocht gaan schrijven voor de RA-opleiding heb ik me bezig gehouden met het concept belief systems uit de levers of control van Robert Simons. Die scriptie heeft me geleerd dat wetenschap niet mijn vak is, maar heeft vooral bijgedragen aan een grote interesse in het idee soft controls.

En het heeft me enkele boeken doen lezen die mijn ideeën over audit, interne beheersing en organisaties aanzienlijk hebben beïnvloed. Levers of control was een spannende ontdekkingstocht binnen op zichzelf bekend terrein. Thriving on Chaos was een openbaring. Maar het gevoel van reading-on-acid, de ervaring die je een enkele keer in je leven mee schijnt te maken als je geluk hebt, had ik bij een boek dat net zo oud is als ikzelf, dat iedere organisatiekundige socioloog schijnt te kennen: The social psychology of organizing van Karl Weick. 

Mocht u de rest van uw leven nooit meer een tip van me willen aannemen, doe uzelf dan minstens het plezier Weick te lezen. Ik heb het gelezen, kon het niet weg leggen tot het uit was, en bij alles wat ik las had ik dat euforische gevoel dat ontstaat door samenvoeging van 'geweldig, dit is geniaal!' met 'ik had het nooit eerder zo gezegd zien worden, maar diep van binnen zat het al'. 

Het gevoel van de onontdekte vanzelfsprekendheid, iets zo logisch, zo evident waar, dat je vóór je het ontdekte nooit verzonnen hebt, maar waarvan je daarna de rest van je leven blijft bedenken waarom je het niet zag voor iemand het je toonde. Het is een leeservaring die ik wel eens heb gehoord van iemand die de Bijbel las, en van iemand die Das Kapital las. Zelf heb ik het één keer eerder gehad, bij het lezen van Schopenhauer. 

Wat heeft dit alles te maken met de VERA-cursus over de audit van soft controls, waarover ik beloofd had te schrijven? Vrij veel. Al was het maar dat het wellicht iets verklaart over de vraag wat ik bij die cursus te zoeken had. 

Wie via google zoekt naar soft controls ontdekt al snel twee dingen: 

• Een echt lekkere, universele definitie van het begrip ontbreekt.
• Als accountants over soft controls praten, dan zijn het bijna altijd intern accountants of accountants in business. Openbaar accountants hebben er duidelijk niet zoveel mee.

Ik ga hier geen definitie geven die wetenschappelijk bruikbaar is, maar wil wel een poging doen het idee compact te omschrijven. 

Als controls al die maatregelen, activiteiten en andere 'dingen' zijn die bijdragen aan de beheersing en sturing van een organisatie, al dan niet (!!) in een door het management gewenste richting, dan zou je deze kunnen onderscheiden in: 

1. Geautomatiseerde controls, waarbij de control werkt zonder, of met beperkt, menselijk ingrijpen. Vaak bekend als General ICT Controls en Application Controls
2. Handmatige controls, waarbij de control is geprogrammeerd. De menselijke bijdrage aan de control is bedacht, de uitvoering is onafhankelijk van de persoon van de uitvoerder en de resultaten worden (veelal) systematisch geregistreerd. Dit is in feite het voor accountants traditionele terrein van de AO/IC, met Starreveld als bekende naam.
3. Soft controls.

U ziet, als definitie waardeloos, maar het geeft wel aan waar u het zoeken moet. Al die 'beheersingsdingen' die buiten het traditionele terrein van de accountant vallen. 

En dat brengt meteen antwoord op de vraag waarom openbaar accountants er zo weinig mee doen: soft controls zijn veelal niet systematisch, niet geprogrammeerd, niet eenvoudig voorspelbaar en hun werking is veelal niet rechtstreeks vast te stellen. En dat betekent weer dat het niet zo eenvoudig is een conclusie over de uitkomsten van een informatiesysteem te baseren op de werking van soft controls. Niet omdat de accountant het niet ziet of aanvoelt, maar omdat er nauwelijks tegenop te auditen valt. 

En precies dáár komt de VERA-cursus met antwoorden. Maar om deze blog niet te lang te maken, ga ik daar pas op in in mijn vervolg.