Zorgvuldig samenspel
Ondernemingsbestuurders steunen bij hun eigen verklaring over de interne beheersing en controle mede op bevindingen van de interne en externe auditor. Die laatste wordt in sommige in control statements zelfs expliciet genoemd. Zoals bij Heineken en Vedior. Geen probleem, mits de verantwoordelijkheden duidelijk zijn.
Dit artikel is verschenen in de Accountant nr. 6, 2007
Bekijk alle artikelen uit dit nummer
Bijna elke beursgenoteerde onderneming heeft er inmiddels één in het jaarverslag: een in control statement, waarin het management aangeeft - met een redelijke mate van zekerheid - dat risicobeheersings- en controlesystemen voor financiële verslaggevingsrisico’s adequaat zijn opgezet en functioneren. Het is een verstrekkende uitspraak die niet zomaar kan worden gedaan. Bestuurders krijgen daarbij onder meer ondersteuning van de internal auditor. Tevens evalueren ze de bevindingen die de externe auditor in de management letter rapporteert. Zoals bij Heineken.
Domeinen
“We trekken nu zo’n vijf jaar in goede samenwerking op richting de raad van bestuur en het audit committee”, vertelt Michel Kee, hoofd Group Internal Audit bij Heineken. “Uiteraard is er wel sprake van verschillende posities en verantwoordelijkheden, in overeenstemming met de bestaande corporate governance regelgeving.”
Dat betekent volgens Kee onder meer dat de internal auditor bij Heineken geen financial audit doet en dus ook geen uitspraak over de getrouwheid van de financiële rapportage. “Dat is het domein van KPMG. Wij als internal auditors testen de kwaliteit van interne controlesystemen, doen aanbevelingen ter verbetering daarvan en rapporteren hierover aan het management.”
Het werkgebied van de internal auditor betreft vooral de operationele processen, maar is zeker ook gericht op de gerelateerde administratieve en verslaggevingsprocessen.
Verschillende controles
Om welke controles gaat het precies? Voor de externe accountant om de controle van de jaarrekening. “De scope van de controle van de geconsolideerde jaarrekening is bij Heineken uitgebreid”, zegt Gerard van Hengstum, namens KPMG extern accountant bij Heineken. “De controle van elke werkmaatschappij is gebaseerd op lokale statutaire vereisten, waardoor deze gedetailleerder is dan strikt noodzakelijk zou zijn voor consolidatiedoeleinden. Uiteindelijk heb je dus een optelsom van een groot aantal gecontroleerde jaarrekeningen met een grote mate van diepgang, wat veel informatie oplevert over de kwaliteit van de financiële informatievoorziening.”
De internal auditor concentreert zich vooral op het testen van de zogeheten key controls. Voor zover dit financiële key controls zijn, kunnen ze ook voor de externe accountant van belang zijn. Bij Heineken gaat het bij de samenwerking vooral om processen gerelateerd aan de omzetketen, inkoop, voorraadbeheer en logistiek. Kee: “Op basis van de risico’s zijn voor Heinekens gemeenschappelijke processen en systemen key control-raamwerken ontwikkeld. Daarbij kun je denken aan zaken als functiescheiding, procedures bij bijvoorbeeld factuurverwerking, en rapportages voor de beoordeling van wijziging van metadata.”
Afstemming
Daar waar het werk van interne en externe auditor parallel loopt, vraagt dit om afstemming. “Het is zaak om de verschillende werkmaatschappijen niet onnodig lastig te vallen met het testen van dezelfde controles”, vindt Kee. “Het testen van de key internal controls is de primaire verantwoordelijkheid van de internal auditor. Daar waar de externe accountant gebruikmaakt van die werkzaamheden moeten deze testen echter wel gebaseerd te zijn op de standaarden die de externe accountant hanteert.”
De afstemming krijgt volgens Kee ook vorm in de toenemende harmonisatie van de interne controle binnen de hele onderneming. Deze harmonisatie is het gevolg van de tendens naar een meer centrale sturing van Heineken. Group Internal Audit krijgt daardoor meer mogelijkheden voor een centraler georganiseerde controle. Kee: “De externe accountant kan in zijn controlewerkzaamheden goed profiteren van deze harmonisatie.” Ten slotte vindt er afstemming plaats in de assurance meetings die de internal auditor twee keer per jaar organiseert met het lokale en regionale management en die eenmaal per jaar door de externe accountants worden bijgewoond. Kee: “In deze meetings wordt interne beheersing expliciet op de agenda van het management gezet, en komt tevens het samenspel tussen auditors aan bod.”
Bottom-up
Zowel de interne als de externe accountant rapporteert aan de raad van bestuur en het audit committee. Het rapportageproces inzake de kwaliteit van de interne controle verloopt bottum-up.
Van Hengstum: “Voor elke landenentiteit sturen wij een management letter naar het lokale management. Deze management letters worden vervolgens verzameld, beoordeeld en samengevat in een management letter op regioniveau en op groepsniveau.”
Eenzelfde opzet is te zien bij de internal audit, waar lokale auditors per kwartaal in samenvatting rapporteren aan het lokale management. Group Internal Audit verzamelt de verschillende rapportages om het vervolgens samenvattend en aangevuld met eigen audits naar regiomanagement, raad van bestuur en audit committee te sturen. “Daarbij wordt ook goed gekeken welke onderwerpen in de rapportages van belang kunnen zijn voor de externe accountant”, geeft Van Hengstum aan.
Geen oordeel
Kee en Van Hengstum benadrukken dat deze rapportages geen accountantsverklaring inhouden over de kwaliteit van de financiële systemen. Van Hengstum: “Het kan worden gezien als additionele informatie, met het karakter van uitzonderingsrapportages, die het management laat meewegen in haar eigen oordeelsvorming over de risicobeheersings- en controlesystemen voor de financiële verslaggeving. Het is zeker niet zo dat de verantwoordelijkheden van management en externe accountant worden omgedraaid.”
De rapportages van zowel internal audit als van de externe accountant zijn veelomvattend en het management is zich bewust van de diepgang, stelt Kee. Bovendien ziet het management volgens hem dat er van de controle van elke werkmaatschappij een preventieve werking uitgaat. “Daarnaast treden wij op basis van onze bevindingen met het management en het audit committee in dialoog. Deze dialoog is wellicht nog wel het meest relevant. Het gaat dan om het hart van de in control statement.”
‘Externe accountant is steunpilaar’
Volgens Erik Mouthaan, bij Deloitte verantwoordelijk voor corporate governance-gerelateerde dienstverlening, verstrekken de meeste externe accountants - al dan niet op basis van samenwerking met de interne accountant - in hun management letter informatie over het functioneren van financiële controlesystemen. “Het verbaast me eerlijk gezegd dat dit in maar weinig in control-verklaringen expliciet naar voren komt. Het zal te maken hebben met het feit dat sommige externe accountants een dergelijke verwijzing niet op prijs stellen.”
Een van de jaarverslagen waarin zo’n verwijzing wel expliciet wordt vermeld is dat van Vedior, waar Deloitte de externe accountant is. “Bij ondernemingen van deze omvang, en kwaliteit van de interne beheersing, past een systeemgerichte controlebenadering. Daarbij kijken we naar de opzet en implementatie van key financial controls. Waar relevant stellen we bovendien ook de werking van controls vast. Voor ons oordeel over de totale jaarrekening ontlenen we daar een zekere mate van vertrouwen aan. Samen met de aanvullende gegevensg erichte werkzaamheden is dit de basis voor ons oordeel over de jaarrekening.”
Deloitte rapporteert de bevindingen in de management letter aan de raad van bestuur en het audit committee conform de code Tabaksblat (BP. V.4.3.c), maar er is nadrukkelijk geen sprake van een totaaloordeel over de effectiviteit van de financial controls zoals wordt gevraagd in best practice II.1.4 van de code, benadrukt Mouthaan. “Het is meer een deelwaarneming. Het vloeit voort uit de scope van de werkzaamheden die vooral is afgestemd op de controle van de jaarrekening. Wel zijn onze bevindingen natuurlijk relevant voor het eigen oordeel van de raad van bestuur over de effectiviteit van de controls. Het is een van de steunpilaren die het management gebruikt, maar zeker niet de enige en ook niet de belangrijkste. Er is in de oordeelsvorming geen expliciete rol voor de externe accountant, zoals ook in de code Tabaksblat staat aangegeven.”
In control-statements Heineken en Vedior
Wat zeggen de in control-statements in de jaarverslagen van Heineken en Vedior over de rol van de externe accountant bij de oordeelsvorming door de raad van bestuur?
Heineken: “De wereldwijde activiteiten voor externe audit, die zijn gebaseerd op lokale statutaire vereisten en die daardoor gedetailleerder zijn dan noodzakelijk voor de audit van de geconsolideerde cijfers van Heineken NV, bieden extra waar borgen voor een juiste financiële verslaglegging van de werkmaatschappijen. Externe accountants rapporteren ook over interne controleaspecten en wonen tevens lokale en regionale assurance meetings bij.”
Vedior: “In het kader van de controle van de jaarrekening van 2005 heeft de externe accountant de opzet en de implementatie van de belang rijkste financiële controles van de hierna genoemde processen beoordeeld: omzet, registratie van geleverde diensten, loonadministratie, kosten, informatievoorziening en financiële rapportage. De accountant heeft een aantal suggesties gedaan voor verdere verbetering van administratieve procedures en interne controles en concludeerde dat de algehele opzet en implementatie van de belangrijkste financiële controles van Vedior adequaat is. Aanbevelingen en suggesties van de externe accountant zijn met de raad van bestuur en de audit commissie besproken.”