Opinie 18 oktober 2013

Internal audit verdient maatpak in regelgeving

Internal auditors zijn geen accountants. Het onderscheid is voor velen buiten het vak moeilijk te maken en internal auditors zijn daaraan gewend geraakt.

Wat niet went is dat de regelgeving vanuit de NBA op vrijwel dezelfde leest is geschoeid als die voor openbaar accountants. En dat wringt.

De International Standards for the Professional Practice of Internal Auditing van het Institute of Internal Auditors (kortweg IIA Standards) zijn nuttig, dragen bij aan de kwaliteit van de internal audit functie en daarmee ook aan de algehele governance van de onderneming.

De regelgeving vanuit de NBA daarentegen - te weten VGC (wordt VGBA), NV Onafhankelijkheid intern accountants (wordt ViO), RKB1 en onderdelen van de NV COS - is in veel gevallen overdreven strikt, onrealistisch en leidt tot onnodige administratieve lasten.

Dat is een breed gedragen visie onder internal auditors, afgaande op mijn eigen ruime ervaringen met kwaliteitsreviews van internal audit functies van vooral grotere, vaak internationaal opererende, ondernemingen. In deze kwaliteitsreviews is compliance met de genoemde regelgeving een belangrijk onderwerp.

De regelgeving vanuit de NBA voelt niet als een maatpak maar als een korset. En dat korset knelt nogal, afgaande op onder meer de gesprekken met hoofden internal audit en bestuurders van grotere ondernemingen in het kader van deze kwaliteitsreviews.

Ik kan alle begrip opbrengen voor hun mening. De IIA Standards, erkend door de International Federation of Accountants (IFAC), zijn  afdoende en bestrijken het hele spectrum van fundamentele beginselen tot kwaliteitsbeheer en  rapportage. De NBA-regelgeving voor internal auditors lijkt ontwikkeld vanuit de rol die de externe accountant vervult en hier en daar wat bijgeschaafd.

De kern van het probleem is dat een internal auditor echt iets anders doet dan een openbaar accountant, zoals ik in een eerder opiniestuk 'Internal audit verdient een voetstuk' ook al betoogde. De verwarring daarover is best begrijpelijk, omdat veel  internal auditors, zoals ikzelf, de titel RA dragen.

Het bestaansrecht van een internal auditor ligt echt op een ander vlak dan dat van de accountant in het openbaar beroep. Internal auditors dragen bij aan hoe de eigen organisatie goed en bewust omgaat met veranderende risico's en daartoe kijken ze naar processen en beheersingsvraagstukken in de breedste zin van het woord. Ze beoordelen of deze goed worden beheerst, verspreiden best practices binnen de organisatie en adviseren over adequaat risicomanagement en de daarbij horende governance.

Vanuit die brede taak is het ook logisch dat menige internal auditfunctie is samengesteld uit mensen met verschillende achtergronden en opleidingen.

Internal auditors die de AA- of RA-titel voeren moeten nu voldoen aan NBA-regelgeving die nauwelijks op hen is toegespitst. Sterker nog: de hele internal-auditafdeling - inclusief de niet-accountants - heeft met de regelgeving te maken. Dat leidt in de praktijk tot onbegrip en frustratie, omdat de regels de administratieve lasten verhogen en vaak niets toevoegen aan de IIA Standards.

Voorbeelden zijn de verplichting van een jaarlijks schriftelijke bevestiging van de auditor dat hij de onafhankelijkheidsregels naleeft, de verplichte instelling van een compliance officer, de verplichting om bij elke audit zichtbaar in het dossier de teamsamenstelling af te wegen, schriftelijke procedures voor het vastleggen van incidenten en het hebben van een regeling voor het melden van onregelmatigheden.

Het moge dan ook duidelijk zijn: internal auditors verdienen in de NBA-regelgeving een maatwerkbenadering. En dat dient voortvarend ter hand te worden genomen. Want nu al steken hier en daar geluiden de kop op dat accountants in een internal auditfunctie zich maar beter kunnen uitschrijven uit het register, om geen last meer te hebben van de bijbehorende formaliteiten.

En dat kan bij het opstellen van de regels toch nooit de bedoeling zijn geweest?