'Zonder cultuurverandering heeft SOx geen zin'
Op 10 juli 2012 berichtte Accountant.nl 'Financiële instellingen schroeven uitgaven risicomanagement op'. Dit nieuwsitem zette mij op het verkeerde been, en ik neem aan ook Jan Weezenberg die de redactie op de inhoud aanspreekt.
Het bericht is echter een samenvatting van een persbericht van E&Y, zonder dat dat blijkt. Dat is niet handig. Maar dat terzijde. Belangrijker is de vraag welke conclusies een professioneel-kritische accountant uit dit onderzoek kan trekken. Zijn we hiermee op de goede weg?
Het is, laat ik dat eerst vaststellen, een belangrijk onderzoek. Het geeft inzicht in de inspanningen van de financials om meer risicogericht te gaan werken. Maar daar wil ik mij in deze opinie niet op richten.
Het onderzoek toont namelijk impliciet aan dat de SOx-regelgeving die een decennium geleden is ingevoerd geen enkele wezenlijke bijdrage heeft geleverd aan het bijstellen van het gedrag van bestuurders en handelaren in de financiële sector. Het toont glashelder aan dat de bestuurders in de financiële wereld niet 'in control' zijn geweest, niet zijn en voorlopig ook niet zullen zijn. Alle blabla daarover ten spijt.
Zelfs nu, achteraf, is SOx niet of nauwelijks gebruikt om de voor de bühne afgegeven in control statements aan te grijpen voor vervolging van bestuurders en de door hen geleide ondernemingen, noch zijn mij sancties bekend.
Het toont ook aan dat accountants voor hun controle helemaal niets hebben aan dit soort regelgeving. Het zijn de spreekwoordelijke kleren van de keizer. Accountants moeten zich niet meer met dit soort regeltjes in de luren laten leggen. (En moeten ook niet meer via hun adviesdiensten bij dit soort luchtfietserij betrokken zijn. Juist daarom is scheiding van controle en advies zo essentieel.)
Cultuur en waarden en normen, dat is waar het om gaat. Een mooi voorbeeld daarvan is te lezen in de column 'Meer dan hebzucht' van Joris Luyendijk van 5 juli 2012 op NRCNext.nl. Een citaat: "Als je een werkomgeving zou moeten ontwerpen die conformisme op de korte termijn bevordert en het afgeven van alarmsignalen ontmoedigt, zou je de huidige financiële sector als model hanteren."
Regelgeving zoals SOx helpt de accountant niet of nauwelijks om grip te krijgen op 'inherente controlerisico's'. Zolang raden van bestuur en raden van commissarissen niet overgaan op het vaststellen en handhaven van een eigen normen- en waardensysteem, en pas in het verlengde daarvan van een risicobeheersingssysteem, zullen bestuurders altijd zoeken naar een zo gunstig mogelijke interpretatie van externe regelgeving. En zullen accountants continu op hun hoede moeten zijn voor het ontstaan van nieuwe inherente controlerisico's.
Zolang financiële instellingen er niet toe overgaan om cultuur en normen en waarden centraal aan te sturen en te handhaven, hebben accountants geen enkele grip op het inherente controlerisico dat hoort bij de evolutionaire basishouding van mensen om te pakken wat er te pakken valt zolang niemand het ziet, en te manipuleren zolang het niet opvalt.
Dat vereist dat accountants buiten de organisatie om onderzoek doen om de omvang van het interne controlerisico te beoordelen. Los van de bekende affaires, zijn de waarnemingen van Joris Luyendijk voldoende aanleiding om daartoe over te gaan.
Het betekent dat er aanvullende controlehandelingen nodig zijn om frauduleus gedrag in de top van de financials te ontdekken. Met betrekking tot het leidinggevende kader houdt dat in dat alle communicatie, ook e-mail en dergelijke, onderwerp van een gegevensgerichte controle dient te zijn.
Een aanvullende controle van de geldhandelaren zou kunnen bestaan uit de inzet van mystery shoppers en langdurige waarnemingen ter plaatse. En als dat niet helpt, kunnen toezichthouders altijd nog infiltranten sturen.