Opinie 03 februari 2015

Internal audit: Kosten gaan voor de baten uit

In het rapport van de Monitoring Commissie Corporate Governance Code staat in de samenvatting: "De niet-nalevingpercentages van de bepaling 'evaluatie instellen van interne audit functie' zijn relatief hoog."

Deze conclusie komt overeen met eerdere constateringen in het FD en van Eumedion, dat daarin aanleiding zag om de rol van de internal audit-functie in haar speerpuntenbrief 2015 op te nemen.

Het Instituut van Internal Auditors Nederland (IIA) pleit al enige tijd voor een sterkere internal audit functie dan nu is verwoord als 'best practice'-bepaling in de code. Alleen een goed werkende corporate governance kan tijdig ongewenste risico's en ontwikkelingen aan het licht brengen en het ondernemingsbestuur en de commissarissen in staat stellen daarop adequaat te reageren en er transparant over te rapporten in het jaarverslag.

De internal audit-functie - mits goed opgezet en voldoende uitgerust - is een belangrijke schakel in die corporate governance: de derde verdedigingslinie, naast het management zelf en de risicomanagementfuncties.

Terecht adviseert de Monitoring Commissie de zogenaamde 'schragende partijen' (onder andere VNO/NCW, VEB en NYSE Euronext) om een herziening van de code in gang te zetten. De commissie noemt een aantal vraagstukken die daarbij aan bod zouden moeten komen. Zij wijst onder meer op het belang van strategische risicobeheersing, gericht op de lange termijn, en signaleert met name de noodzaak toe te zien op de implementatie en naleving van de effectiviteit van het interne risico- en beoordelingssysteem.

Geheel overeenkomstig de opvatting van het IIA, merkt de commissie op dat het hierbij vooral gaat om de rol van de controlerende functies, waaronder de internal audit-functie.

Nu zijn de schragende partijen dus aan zet. In het verleden wogen de kosten van zo'n functie zwaar mee in hun zienswijze over de rol van internal audit in de code. Een aantal jaren en incidenten verder lijkt het gezegde 'de kosten gaan voor de baten' te zijn verworden tot 'de kosten gaan voor de beheersing'.

Verstopt in de winst-en-verlies-rekening zijn de verliezen door zwak risicomanagement en zwakke interne beheersing vrijwel onzichtbaar, maar ze zijn substantieel hoger dan de kosten voor een internal audit-functie. Imtech, waar geen internal audit-functie bestond, is hiervan zeer waarschijnlijk het pijnlijkste voorbeeld.

De Monitoring Commissie kondigt aan in haar werkprogramma voor 2015 specifieke aandacht te willen besteden aan de interactie tussen de driehoek bestuur, raad van commissarissen en externe accountant. Dat is goed, maar dat zal dan wel over de cijfers gaan.

Op zoek naar betere corporate governance, risicomanagement en interne beheersing is de driehoek bestuur, raad van commissarissen en internal audit van wezenlijk belang. Maar dan moet je die functie natuurlijk wel hebben! Gezien de huidige niet-naleving op dit punt, zal de monitoringcommissie daar zeker ook aandacht aan besteden.

Daarnaast zou dit in het komende seizoen van aandeelhoudersvergaderingen een onderwerp moeten zijn waarop het bestuur door langetermijnbeleggers wordt aangesproken.