Beursbedrijven geven meer aandacht aan Internal Audit Functie

15 februari 2018 Consultancy.nl

Het gebruik van Internal Audit-afdelingen bij Nederlandse beursvennootschappen zit in de lift. Dat blijkt uit onderzoek van FSV Risk Advisory in samenwerking met Nyenrode Business Universiteit, uitgevoerd in opdracht van IIA Nederland. 

De Internal Audit Functie wordt alsmaar belangrijker, aangezien de risico’s voor organisaties vandaag de dag alleen maar groter lijken te worden. Een Internal Audit Functie (oftewel IAF) is een logische en vaak noodzakelijke functie voor het waarborgen van goed ondernemingsbestuur. De rolverdeling daarin is op hoofdlijnen heel eenvoudig; Het bestuur bestuurt, aandeelhouders verstrekken geld en vermogen, commissarissen staan het bestuur met raad en daad terzijde en houden toezicht. De Internal Audit Functie geeft inzicht en assurance aan zowel bestuurders als commissarissen.

Steeds meer Internal Audit Functies

Onderzoekers Robert Bogtstra van FSV Risk Advisory en Remko Renes van het Nyenrode Corporate Governance Instituut constateren dat het aantal beursvennootschappen dat over een Internal Audit Functie beschikt, de afgelopen jaren over de gehele linie is toegenomen. Zo hadden in 2016 bijvoorbeeld alle aan de AEX-index genoteerde Nederlandse beursvennootschappen een Internal Audit Functie. Zes jaar daarvoor, in 2010, waren er nog drie beursvennootschappen waar een IAF ontbrak.

Dit beeld is ook in de kleinere indici zichtbaar. Zo nam in de Midcap-index het aantal beursvennootschappen met een IAF toe van 15 van de 22 in 2010 naar 18 van de 22 in 2016, en nam in de Smallcap-index het aantal van 7 van de 14 in 2010 toe naar 9 van de 14 in 2016. In totaal beschikte 52% van alle Nederlandse beursvennootschappen over een Internal Audit Functie en gaven het afgelopen jaar zeven vennootschappen (7%) aan een IAF te zullen starten.

Gebruik van Internal Audit functies per beursindex

Soorten IAF's

Bogstra en Renes leggen uit dat in de praktijk Internal Audit Functies op verschillende manieren invulling krijgen, variërend van volwaardige zelfstandige functies tot functies die deels de kenmerken van Internal Audit hebben. Bij de meeste beursvennootschappen is er sprake van volwaardige zelfstandige Internal Audit Functie, waar een ‘Chief Audit Executive’ (CAE) in dienst is van de vennootschap, waar de betreffende CAE rapporteert aan het Bestuur van de vennootschap en ook toegang heeft tot de Auditcommissie. Als mogelijke nadelen van een volwaardige zelfstandige Internal Audit Functie worden vaak genoemd dat de kosten en initiële investering een drempel zijn. Het meest genoemde voordeel van het werken met een externe dienstverlener is flexibiliteit.

De onderzoekers leggen uit dat door te werken met een Chief Audit Executive in eigen dienst, aangevuld met externe specialisten, het mogelijk is de kosten in de hand te houden en bovendien toegang te krijgen tot de flexibiliteit en de specialistische kennis van buiten de organisatie. Auditors worden dan alleen ingezet als dat nodig is. Deze methode kan volgens Bogstra en Renes ook een oplossing zijn om op kostenefficiënte wijze in de Internal Audit Functie te voorzien van een beperkte eigen staf. Volledige uitbesteding van een IAF zien ze als een ongewenste situatie, omdat de eindverantwoordelijkheid voor een interne audit functie niet effectief uitbesteed kan worden aan een derde partij. “De Chief Audit Executive behoort in dienst te zijn van de vennootschap”, schrijven de onderzoekers.

Internal Audit functions bij Nederlandse beursgenoteerde bedrijven

Combineren Risk Management en IAF

Veel bedrijven kiezen er voor om Risk Management en de Internal Audit Functie te combineren. Bogstra en Renes wijzen er op dat dit weliswaar effectief kan zijn, maar ook inhoudelijke risico’s met zich meebrengt: “Wanneer risicomanagement en internal audit werkzaamheden worden gecombineerd in één functie, leidt dit in ieder geval tot een minder objectieve invulling van de Internal Audit Functie, omdat nu ook tweedelijns taken mede worden uitgevoerd. Veelal is de kennis en ervaring beperkt tot financiële zaken en interne beheersing van de financiële verslaggeving, terwijl het aandachtsgebied van volwaardige Internal Audit Functies meestal veel omvattender is.”

Een ander inhoudelijk nadeel van het combineren van risk en internal audit activiteiten onder één verantwoordelijk persoon is volgens de auteurs dat daarmee de mogelijkheid vervalt voor Internal Audit om assurance te geven rond tweedelijns risk management activiteiten. “Internal Audit mist de benodigde onafhankelijkheid in dit geval”, schrijven de onderzoekers.

Toename in Internal Audit functies per beursindex

Uit de bevindingen komt verder naar voren dat onder de kleinere Nederlandse beursondernemingen een flinke groep (nog altijd) niet over een Internal Audit Functie beschikt. De belangrijkste reden die hiervoor wordt aangevoerd, is dat deze bedrijven zichzelf hiervoor te klein vinden. Bogstra: “Dat is niet alleen een serieus gemis maar in veel gevallen ook een onnodig gemis. Er speelt een hardnekkige misvatting in de markt dat het bij kleinere organisaties niet mogelijk is een Internal Audit Functie op een efficiënte en effectieve wijze in te richten. De werkelijkheid is dat er wel degelijk mogelijkheden zijn.”

Bogstra wijst bovendien op het feit dat in de jaarverslagen van kleine beursvennootschappen de kwaliteit van de uitleg waarom een IAF ontbreekt, vaak onvoldoende is: “Organisaties zonder een Internal Audit Functie missen een belangrijk element van een goede corporate governance. Zij hebben dan vaak geen volledig en objectief inzicht in de effectiviteit van hun processen van risicomanagement, interne beheersing, governance en het evalueren en verbeteren hiervan. Commissarissen (RvC) en Bestuur (RvB) missen een onafhankelijk en deskundig inzicht en mogelijkheden tot organisatieverbetering.” 

Ook meerwaarde kleine organisaties

Volgens de onderzoekers zijn organisaties echter nooit te klein voor een Internal Audit Functie, die juist ook voor kleinere organisaties van grote meerwaarde kan zijn. “De uitdaging voor het vak is nadrukkelijk te laten zien waarin die waarde zit en ook welke mogelijkheden er zijn voor een kostenefficiënte aanpak. Het ontbreken van de IAF kan leiden tot sluimerende risico´s en verstrekkende gevolgen hebben voor een vennootschap”, geeft Renes aan. Bogtstra besluit: “Juist in een tijd waarin bekend is geworden dat bij gecontroleerde bedrijven de interne beheersing vaak niet op orde is, kan een IAF van grote waarde zijn. Bezuinigen op het inrichten van een volwaardige IAF kan dan op de lange termijn wel eens ‘penny wise, pound foolish’ blijken.”

Nieuws

Meer nieuws over