Vrijdag 19 april jongstleden plaatste het Financieele Dagblad een artikel over de rol van de externe accountant op de aandeelhoudersvergadering. Hele korte samenvatting: de wens van de aandeelhouders is dat de accountant zich op de aandeelhoudersvergadering ook gaat uitspreken over o.a. risicobeheersing, fraude, cybersecurity en zelfs over cultuur.
Alle respect en waardering voor de expertise van accountants, maar ik vroeg me direct af of de externe accountant hiervoor a) alle expertise in huis heeft en b) voldoende tijd heeft om alle aspecten van deze onderwerpen met de juiste diepgang grondig te toetsen. Om direct antwoord te geven op die vraag: ik kan me dit niet voorstellen. Voor de gemiddelde internal auditor is het namelijk ook al een uitdaging om over al deze onderwerpen assurance te geven, terwijl deze dagelijks rondlopen binnen een organisatie. Dit in tegenstelling tot de korte tijdspanne die de externe accountant rondloopt binnen de te controleren organisatie. Ook de opleiding van de internal auditor is wezenlijk anders dan die van de externe accountant. De internal wordt immers als bedrijfskundige opgeleid (breed), in tegenstelling tot de scholing van de externe accountant die zich nog steeds overwegend richt op de financiële processen.
Voor wie niet weet wat een internal auditor doet: de internal auditor wordt vaak gezien als een ‘tool of management’ en geeft inzicht in de beheersing van de organisatie over diverse onderwerpen die op basis van een risicoanalyse worden geselecteerd. Risicomanagement en IT zijn vaak het onderwerp. Kortom: de internal auditor kijkt of de organisatie goed is ingericht om de gestelde doelen te behalen. Niet elke organisatie heeft een internal auditor (de wettelijke verplichting is er alleen voor financiële instellingen) maar steeds meer organisaties zien nut en noodzaak van deze functie.
Ik begrijp heel goed dat de aandeelhouder meer over risicobeheersing, fraude, cybersecurity en cultuur zou willen weten. Het zijn essentiële onderwerpen die direct van invloed zijn op de financiële resultaten van een onderneming. Steviger verwoord: onderwerpen die direct van invloed zijn op het voortbestaan van een onderneming. Mijn mening is echter dat de externe accountant deze verwachting niet waar kan maken om de eerder genoemde redenen: kennis van de onderwerpen en de te auditen organisatie en tijdgebrek voor diepgaand en onderbouwd onderzoek. Volgens mij is het al lastig genoeg om assurance te geven over de cijfers en bedrijfscontinuïteit; casussen genoeg die dat onderschrijven (Wirecard, Ahold, Imtech etc.).
Ik zie dat de internal auditor (net als de riskmanager) beter is geëquipeerd en daarmee beter in staat is om een aandeelhouder inzicht te geven in risicobeheersing, fraude, cybersecurity en cultuur. Ik zou de aandeelhouders dan ook adviseren om nog beter inzicht te krijgen in de resultaten van de werkzaamheden van de internal auditor; eventueel door een extra paragraaf in de jaarrekening of een uitnodiging op de AvA.
Drs. Marc van Heese RO RE CIA
Partner bij ARC People en vervult regelmatig voor aan ARC People geoutsourcete auditfuncties de rol als Chief Audit Executive