Opinie 10 mei 2012

Internal audit verdient voetstuk

Vrijwel wekelijks komen gerenommeerde organisaties in problemen doordat ze zich niet bewust waren van de risico's die ze liepen of onvoldoende konden inspelen op (verandering van) deze risico's. Op zich heel begrijpelijk in een zeer volatiele en extreem snel veranderende wereld. Als het misgaat blijkt achteraf dat zowel commissarissen als accountants niet in staat waren om krachtig en tijdig de vinger op problemen te leggen.

Internal auditors kunnen dat wel, omdat men dicht op de business zit en tot in de haarvaten begrijpt wat er speelt. Ze doen dat ook regelmatig, maar krijgen er nauwelijks de credits voor. Dat komt voor een belangrijk deel doordat vrijwel niemand weet wat de rol van een internal auditor is. Een goed beeld bij bestuurders van de potentiële sleutelrol en waarde van internal audit zou het aantal organisaties zonder internal audit aanzienlijk verkleinen.

Bouwondernemingen zoeken in tijden van economische crisis naar creatieve mogelijkheden om medewerkers en materieel aan de slag te houden. Pensioenfondsen staan voor de uitdaging om de dekkingsgraad op niveau te krijgen terwijl de financiële markten er slecht bij liggen. En onderwijsinstellingen moeten soms een onorthodoxe aanpak kiezen om de financiering van bijvoorbeeld nieuwe huisvesting mogelijk te maken.

In dergelijke situaties is het bepaald niet denkbeeldig dat men risico's aangaat die onder normale omstandigheden niet zouden worden geaccepteerd. Elke weldenkende commissaris begrijpt dat, evenals elke deskundige accountant. Onder grote druk worden immers de randjes opgezocht.

In tal van gevallen blijkt de afgelopen jaren dat commissarissen en accountants zich niet bewust waren van de grote risico's en/of daarover niet aan de bel (durfden) trekken. Ze krijgen daar in de media begrijpelijkerwijs kritiek op. Het is echter de vraag of er structurele verbetering mogelijk is. Want zowel accountant als commissaris staat tamelijk ver af van de dagelijkse business en staat daarom feitelijk per definitie op informatieachterstand als er een pittige discussie nodig is met de directie. 

Juist daarom speelt internal audit in deze complexe en volatiele tijden een sleutelrol in het beheersen van de risico's. Internal auditors kunnen immers als geen ander signalen over uit de hand lopende risico's interpreteren omdat ze wel dagelijks betrokken zijn bij de organisatie, weten hoe intern de hazen lopen en de omgevingsorganisatie op hun duimpje kennen.

Zij staan in discussies met de directie dus niet op informatieachterstand. Sterker nog: als ze hun werk goed doen, worden ze juist zeer serieus genomen door de directie. Want een goede ondernemer realiseert zich dat winst een beloning is voor het nemen van risico's. Een goed rendement vraagt dan ook om helder zicht op risico's en om goede maatregelen om risico's te beheersen. Wie dat optimaal in de vingers heeft, neemt een voorsprong op de concurrentie.

Adviseren over adequaat risk management - en de daarbij horende governance - is de basisfunctie van de internal auditfunctie en dus van vitaal belang voor het succes van elke organisatie.

Best practices laten zien dat internal auditfuncties om die reden ook steeds meer opschuiven naar de voorkant van de business. Het beeld van de politieagent die achteraf constateert dat de organisatie dingen heeft gedaan die niet deugen, sluit in die gevallen niet aan bij de werkelijkheid.

Internal audit wordt betrokken bij strategische plannen en zelfs bij productlanceringen. In sommige gevallen heeft internal audit een formeel proces opgetuigd om de top tien van risico's van bedrijfsonderdelen voortdurend te monitoren en in kaart te brengen op impact en kans. Dat dwingt de organisatie om na te blijven denken over risico's en de veranderingen in de omgeving. Daarbij gaat het overigens niet alleen om financiële risico's maar bijvoorbeeld ook om risico's dat de business principles niet worden nageleefd. 

Toch horen we in de media relatief weinig over deze rol van internal audit en dat valt niet los te zien van het toch wel frustrerende feit dat maar weinigen een goed beeld hebben van wat internal audit eigenlijk precies is. Zelfs menig (extern) accountant blijkt niet goed te kunnen vertellen wat de rol van een internal auditor is.

De redenering is in veel gevallen erg simplistisch: audit is slechts een ander woord voor accountant en de toevoeging ‘intern' wil alleen zeggen dat een internal auditor in dienst is en dat het verschil met de externe accountant dus alleen zit in de broodheer. Die misperceptie wordt overigens ook gevoed door de opbouw van de VGC en de NV Onafhankelijkheid.

Hoe dan ook: het is hoog tijd om de eigen marketing beter op orde te krijgen en te laten zien dat juist internal audit een sleutelrol speelt bij (onder andere) het voorkomen van incidenten en daarmee ook bij het borgen van duurzaam succes. Internal Auditors verdienen kortom een voetstuk. Maar dan moeten ze wel alle schroom laten varen en dat voetstuk beklimmen.