De kleine auditafdeling als feedback instrument voor het management Audit Associates 28 juni 2011 Arie Molenkamp 1

Naar een herdefiniëring van internal audit? of Internal audit zoals bedoeld? 2

Gaat de auditor op in een eenduidige verzameling van onderzoekers/controleurs of Is de auditor een unieke persoonlijkheid die op een authentieke, individuele, onafhankelijke, objectieve, veelzijdige en positiefkritische wijze het management coacht en aanvullende zekerheid verstrekt over de kwaliteit van doelstellingenrealisatie ? 3

Het “zwarte schaap” op zoek naar “black swans”? Ref: Nassim Nicolas Taleb (2008) “De Zwarte Zwaan-impact van het hoogst onwaarschijnlijke” New York; ISBN:

In Nederland werkt de meerderheid van de auditors (ca 80%) in kleine (1-10 auditoren) auditafdelingen. IIA Nederland geeft aan dat (ongeacht de omvang van de afdeling) de standards het minimumniveau aangeven waaraan het interne stelsel van kwaliteitsbeheersing dient te voldoen Stuijt, 2010

Wat is “internal audit”? Het verstrekken van aanvullende zekerheid… Ideaaltypisch: - Managementkundig - Multidisciplinair - Commitment top - Natuurlijke adviesfunctie - Risk based - Pro-actief - Partieel selectieve objectkeuze - Protocollair - Onafhankelijk / Onpartijdig / Objectief - Verbeteren doelstellingsrealisatie - Reflecterend/Oordelend/Interveniërend

Agenda 7 Ontwikkelingslijnen Kenmerken Groeimodel Kwaliteitstoetsing Uitdagingen en risico’s Omvang en Capaciteitsbeperkingen Contacten met toezichthouders Objecten van onderzoek Ontwikkelingen Literatuur

Ontwikkelingslijnen

Ontwikkelingslijnen (1) Managementaudits extern (Berenschot) en intern (Shell / Corus ) Organisatieonderzoek interne organisatieafdelingen (industrie / departementen) Interne accountantsdiensten na outsourcing financial audit getransformeerd tot internal auditfuncties (Philips / Internatio Muller / Achmea) Interne accountantsdiensten die aanvullend ook operational audits gingen uitvoeren 9

Ontwikkelingslijnen (2) Kwaliteitsafdelingen naast inspecties ook infrastructuurgerichte onderzoeken “Organisch” middelgrote en kleinere organisaties die een (professionele) auditfunctie van beperkte omvang “vanuit het niets” of “naar de wet” (lokale overheden) installeren Downsizing internal auditdiensten die in omvang sterk afnemen door zich te concentreren op kerntaken (Philips / Ahold / Robeco / Rotterdam) Decentralisatie auditfunctie Als audit zich verhoudt met het besturingsmodel van de organisatie en Integraal Management als model zou worden nagestreefd, heeft dat als consequentie “decentralisatie van de auditfunctie“. 10

Huidige invloeden De noodzaak van feedback op management control in een sociaal systeem Het installeren of onafhankelijk positioneren (3e lijn) van functies als kwaliteitscontrole, inspecties, organisatieadvies, controlling, risk management, beleidseffectmetingen en interne controle De invloed op de ontwikkeling van een professionele auditfunctie - vanuit multinationals - vanuit finance & control - vanuit toezichthouders - vanuit de beroepsorganisatie Het willen beschikken over een persoonlijke coach / een raadsman 11

Een aanbeveling van de EC… Over de taak van de RvC: “ensure the effectiveness of the internal audit function, in particular by making recommandations on the selection, appointment, reappointment and removal of the head of the internal audit department and on the department’s budget, and by monitoring the responsiveness of management to its findings and recommandations” 12

Omvang Maximale omvang van een internal auditfuntie: 25 fte’s 13

Lynch, 1992 Theoretically, if an organization buys 110% into the idea of continuous improvement and total quality, the need for internal auditors would eventually be eliminated. 14

Ideale propositie gezondheidszorg? Samenstelling (roulerende) auditteam: - medicus - paramedicus - verpleegkundige - kwaliteitsfunctionaris - controller/administrateur Visie op management control - minimal critical specifications (MCS) - uitgaan van managementverantwoordelijkheid (CSA/ICS/Kwaliteit/Compliance/Risk/Comitéstructuur) - certificering kwaliteitsystemen door externe instanties 15

Er kan bij organisaties die zich nog in de beginfase van het inrichten van een internal control framework bevinden vermenging optreden in de rol van risk management, compliance functie en internal auditing. Vormt een vermenging van rollen een belemmering in het uitoefenen van de internal auditfunctie? PAS, juni

Kenmerken

Kunnen omgaan met omstandigheden als … Noodzaak om bij voortduring doel auditfunctie te expliciteren Veranderingen in budget hebben grote impact Veelzijdige eisen management Noodzaak tot het kunnen bieden van (audit)alternatieven Ontbreken van formele systemen binnen audit voor - bewaking kwaliteit & monitoring aanbevelingen - fasering en inrichting auditproces Ontbreken van formele systemen in de organisatie voor - risicoanalyse - interne controle Open staan voor het participeren in gecombineerde onderzoeken als risk assessments en projectaudits Beroepsorganisatie die meer op grote afdelingen is geëquipeerd Naar Stuijt 18

En met valkuilen als… Een stroom van rapporten willen opleveren… In veel staf-, studie- en ontwikkelingsgroepen zitting nemen Controle en testwerkzaamheden overnemen van de lijn Te veel op details ingaan Gelijk willen krijgen Audit als instituut (uitdrukkelijk) promoten Audits op verzoek negeren Onvoldoende voorbereid interviews afnemen Ontkennen van het informele Niet openstaan voor co-sourcing Zelfevaluatie uitstellen Naar Kooiman 19

To do… Verkrijgen mandaat Onafhankelijkheid bewaken Promoten functie vertrouwenspersoon Uitvoeren van pilots die ertoe doen Bevorderen horizontaal toezicht Contact tussen management en toezichthouders stimuleren Veelvuldig als sparringpartner fungeren Riskmanagement promoten / overdragen Nulmeting-aanpak doorvoeren Auditcharter opzetten 20

Overstap van talent: ervaren internal auditors zoeken (vanuit erkende internal auditgroepen van grote organisaties) een meer kleinschalige omgeving om zich verder te kunnen ontwikkelen/profileren Geluk- cq goudzoekers of trendsetters? 21

Groeimodel

Ontwikkeling in de toegevoegde waarde / het rolmodel van de auditfunctie Onderzoeksobjecten en rollen in hoge mate afhankelijk van de kwaliteit van management control en de leiderschapsstijl - Van controleur (hiërarchisch management) naar adviseur (participatief management) - Van inspecteur (centralistische/bureaucratische organisatie) naar coach (professionele/decentrale/lerende organisatie) - Van inspectie van de werking naar advies over verbeteringen in de inrichting van de organisatie - Van advies over meetbare aspecten van de doelstellingsrealisatie naar coachen van het gedrag van de manager - Van performance auditing naar het toetsen van planvorming - Van het controleren van het In Control Statement naar het aanvullend toetsen van het Management Control framework 23

Basishouding van de auditor bij een startende auditfunctie - Audit is fun! Straal dat uit. - Durf risico’s te nemen als auditor. - Erken situaties als “gelijk hebben” en “gelijk krijgen” - Wat vandaag niet lukt, lukt morgen wel (incasseer en relativeer) - Weet waar je naar toe wilt met de audit afdeling en blijf je pad volgen - Durf flexibel te zijn, aanpassingsvermogen naar de organisatie - Concentreer je op je successen en blijf niet hangen in negativiteit: “het lukt me maar niet om de business te overtuigen….” - Blijf een positieve volharder - Maak altijd je punt en ga confrontaties niet uit de weg - Als auditor ben je ook onderdeel van de organisatie, leer daar mee omgaan. Naar: Wilbert Kooiman

IIA’s “Path to Quality Model” Niveau 1: Beginnend (Beginning) - geen kwaliteitsprogramma Niveau 2: Opkomend (Emerging) - zelfevaluaties Niveau 3: Voldoet (Conforming) - onafhankelijke beoordeling van het zelfevaluatieproces Niveau 4: Hefboomwerking (Leveraging) - kwaliteitsprogramma ingevoerd - afdeling voldoet aan de standards en code of ethics - 5-jaarlijkse kwaliteitstoets Niveau 5: Innovatief (Leading) - actief en geïntegreerd kwaliteitborging- en verbeterprogramma - 3-jaarlijkse kwaliteitstoets Stuijt,

Capability Maturity Model Junior department Medior department Senior department 0-2 jaar 3-5 jaar5+ jaar FASE 1FASE 2FASE 3

Capability Maturity Model Fase 2: In ontwikkeling… - De kaders zijn gezet. - Bekendheid in de organisatie. - Groei van de afdeling? - Basisprocessen zijn ingericht. - Risk assesment als basis auditplan. - Opstellen gericht meerjarenplan.

Capability Maturity Model Fase 3: Een volwassen auditfunctie - Audit beleid breed gecommuniceerd. - Toename audits op verzoek. - Bezetting en kwaliteit op orde - Primaire scope Internal Audit. - Risico management belegd in de organisatie. - Audit processen gedefinieerd/ geimplementeerd.

Kwaliteitstoetsing

De pijnpunten bij kwaliteitstoetsing van de kleine auditafdeling… Bedrijf: Implementatie en naleving van de Standards kost te veel tijd De hoogste leiding ziet geen toegevoegde waarde in een review Hoge kosten “We laten een extern bureau het onderzoek uitvoeren” IIA Nederland: Geen interne kwaliteitstoetsing (peerreviewing) mogelijk Gebrek aan beschikbare expertise om verschillende soorten audits uit te voeren De Lepper,

Voorstellen aan IIA Nederland PAS: Interorganisationele toetsing/evaluatie (SAS’s) Conferenties over toepassing standards Ontwikkeling Toolbox Afstudeerder: Light Toolbox ontwikkelen Training en Opleiding in hantering standards voor SAS’s Voorbeeld nemen aan IIA Inc waar het gaat om het uitvoeren van Quick Scans en het daarbij geven van adviezen (verbeterrichting afdeling / individuele auditors) Laat studenten reviews uitvoeren 31

Verschil in uitgangspunten IIA Inc: Kwaliteitstoetsing richt zich op het individu. “Ongeacht de beperking in menskracht en middelen kunnen auditoren in kleine auditafdelingen zich volwaardig wijden aan kwaliteit” (Armanas, 2007) IIA Nederland: “Ongeacht de omvang van de afdeling moet de kern van de werkzaamheden worden uitgevoerd (bijv. valideren van het selfassessment proces; dossieronderzoeken; hoor- en wederhoor, opstellen rapportages met detailbevindingen ) (Tilman, 2007) 32

Het IIA zou PEERREVIEWING tussen auditafdelingen moeten stimuleren, reglementeren, faciliteren en registreren. Deze peerreviewing wordt vervolgens marginaal door het IIA gereviewd. PAS, juni

Het IIA zou Zelfevaluatie bij auditafdelingen moeten stimuleren, reglementeren en faciliteren. Deze zelfevaluatie, mits uitgevoerd naar de geldende maatstaven, zou vooraf moeten gaan aan toetsing door het IIA. PAS; juni

Het IIA voert de toetsingen niet zelf uit, doch ontwikkelt een stelsel van accreditatie, uit te voeren door daarvoor geëquipeerde marktpartijen; third parties die werken met door het IIA vastgestelde tarieven. Na twee jaar vindt heraccreditatie van de marktpartij plaats. PAS, juni

De eerste 5 jaar zou een kleine/startende auditafdeling moeten worden vrijgesteld van kwaliteitstoetsing PAS, juni

Practische vormen van kwaliteitstoetsing Vormen van toetsing: - Zelfevaluatie - Peerreviewing - Hogeschool of Universiteit - Extern adviesbureau - Het IIA De vraag daarbij is welke criteria worden gebruikt en van welke beroepsorganisatie / welk beroepsprofiel men uitgaat 37

Uitdagingen en risico’s

Uitdagingen slechten van de verwachtingskloof bevorderen totstandkoming van protocollen van cruciale processen instellen regie en frameworks voor risicoanalyse uitvoeren van (high) risk based onderzoeken binnenhalen van de juiste disciplines beschikken over de (noodzakelijke) dominante organisatiekundige, technische of sociale disciplines kunnen bogen op de nodige materiekennis focus op het spiegelen van strategie en planontwikkeling maken van afspraken inzake regie over de auditkalender doorvoeren single-page-reporting inspelen op “tone at the top” bevorderen van de kweekvijverfunctie invoeren mobiliteitsbeginsel 39

“10 Big Things for Small Audit Departments” Valkuilen: - Acting like a large department - Hiring the wrong people - Making audits too long - Lacking creativity in acquiring people - Failing to effectivily market - Failing to effectivily network - Reinventing the wheel - Improperly using technology - Improperly using senior management - Thinking world-class departments must be big 40

Verwacht de “CAE” in spe een ideaal sociaal organisatiesysteem? - Sociale controle - Teamwork - Toestaan van het maken van fouten - Transparantie - Erkenning van de toegevoegde waarde van informele circuits - Aanspreekbaarheid - Respect voor elkaar - Respect voor gemaakte afspraken - Handelen naar geest van de wet - Ontplooiingskansen biedend - Ethical environment

Of wordt hij/zij (vermeend) geconfronteerd met: - Egoïsme - Willekeur - Haantjesgedrag - Narcisme - Vijandigheid - Politiek systeem - Wantrouwen - Exorbitante bevoorrechting - Reorganisaties omwille van instandhouding chaos - Negatief imago van de “controleur”

Eisen te stellen aan de auditor Interventies kunnen plegen Beschikken over invoelend vermogen Authentiek gedrag ten toon spreiden Kwetsbare opstelling Manager kunnen volgen in ontwikkeling / ambities / drive Benoemen van grensoverschrijdend gedrag Mee kunnen voelen met drives van leiding en medewerkers Onderkennen van drives die perspectief bieden dan wel destructieve drives Managers wijzen op inconsequent gedrag Kunnen expliciteren van zwakke en sterke punten in het gedrag van de organisatie

Eisen te stellen aan de auditor (2) Hard controls kunnen plaatsen in begrenzende noodzakelijke kaders Kunnen inleven in de gedragscontrols Eigen rol kunnen expliciteren Kunnen schetsen van comfortsituaties Herkennen van music around the words Kunnen benoemen en een plek kunnen geven van weerstanden Kunnen exploreren van werkbare samenwerking met machtscentrum

Instrumentarium van de auditor Journalistiek interviewen Dilemma-inventarisatie Introduceren zelfreflectie-methode Introduceren intervisie (supervisie, intervisie, coaching, teambegeleiding, mediation) Eisen aan teamwork te stellen Creëren van leerfuncties Effectief vragen stellen (open/gesloten; kennis- en denkvragen; cognitieve/ affectieve / doe- vragen; convergentie/divergentie/evaluatieve vragen; kennis/begrip/toepassing/analyse/synthese Feed back geven Teamrollen

Kunnen ingaan van een coachingstraject Van niet-comfortabele atmosfeer naar meer perspectief biedende situatie voor manager Oog hebben voor wantrouwen bij audittee voor bijvoorbeeld vermeend hypocriet, onduidelijk, politiek, egoïstisch gedrag bij collegae en de leiding Invoelen Spiegelen Houding, emoties, woorden, mimiek teruggeven Laten zien van “waar het toe leidt”

Kunnen doorvoeren van veranderingen Samen met audittee kunnen ervaren van onmogelijke situatie Respecteren dat de audittee veiligheid van het bekende zoekt Onder woorden kunnen brengen van de bij de audittee gevoelde teleurstelling over zichzelf, de organisatie, collega’s, sociale context. Duiden van de (mogelijk) verder afbrokkelende situatie Kunnen tonen van perspectief Kunnen benoemen en overdragen van het haalbare Teruggeven van het zelfvertrouwen Kunnen aanbrengen van een noodzakelijk elan Toepassen van de trits Unfreezing – Moving – Freezing Quantum sprong kunnen bewerkstelligen

De persoon van de internal auditor Zelfkennis Geloofwaardig Open staan Intuïtie Relativeren Voelen / kunnen benoemen van de pijn / het onmogelijke Kunnen opvoeren van de pijn

Toetsing versus Advies Beheersingskaders Waarheidsvinding Onderkennen verbanden Continue Nauwkeurig Normgedreven; bevestigend Rapportage hoogste leiding Flexibel, verwonderend, interveniërend handelen Stoppen als samenhang ontbreekt Coach Materie Geven van oplossingen Focussen Eenmalig Nieuwe combinaties Leveren ontbrekende kennis; vernieuwend Adviseren probleemeigenaar Construerend Ontbrekende samenhang als uitdaging Expert

Ontwikkelingen

Een doorbraak in Rotterdam - Herinrichting controletoren - Auditfunctie te veel ingezet op financial audit? - Verbijzonderde interne controle binnen ASR? - Operational audits de dupe? - Omvang van de auditgroep beter beheersen? - Controller op niveau? - Basisadministraties op orde? - Eerste lijn meer verantwoordelijk stellen? - Outsourcing (interne) accountantscontrole? Naar een transitie van de auditdienst 51

Feedback voor Public Management Auditor als primus inter paris voor het collectief aan toetsende functies? - beleidsevaluatie - beleidseffectmeting - wetenschappelijk onderzoek - inspecties - ISO-audits / kwaliteitsreview - performance audits - back offices 52

Literatuur Columns: - “What is internal auditing?” (IIA UK & Ireland) (2008) - “De kleine auditafdeling; internal audit zoals bedoeld?” (2009) - “Internal auditing in de gezondheidszorg: een gotspe?” (2009) - “De toekomst is aan de kleine auditafdeling” (2004) - “Zijn we nu echt de weg kwijt?” (2009) - “Van politieagent naar coach; het imago voorbij…?” (2001) - “Naar de letter, naar de geest, of toch weer commercie?” (2009) - “Een doorbraak in Rotterdam” (2011) - “Naar een geloofwaardig auditmodel” (2011) - “SAS: Opkomst en Overstap” (september 2011) - “Sturen bij de gratie van goede feedback” (juni 2010) - “Internal auditing bij lagere overheden in gevaar?” (2010) 53

Literatuur (2) Artikelen: - David Salierno (2003). “Savvy solutions for small audit shops: armed with effective strategies, small audit departments can overcome the limitations of size ans deliver world-class internal audit services”. - Protivity (2008). 10 Big Things for Small Audit Departments”. - Molenkamp (2009). “Waar waren de internal auditors?”. - Phill Armanas (2007). “Quality Assessments for Small Shops”. - David O’Regan & Deborah Tailor (2009) “Small Audit Shops; Chalenges and Opportunities for the Government Auditor”. - Sam Hearn (2009). “Size isn’t everything”. 54

Literatuur (3) Onderzoeksrapporten - Rittenberg, Anderson, Christ & Johnstone. “Effective Sizing of Internal Audit Departments”, - PAS “Capability Maturity Model IAD” - IIA Inc. “Internal Audit Benchmark Maturity Tables” - IIA Inc. (2011) “Assisting Small Internal Audit Activities in Implementing the International Standards for the Professonal Practice of Internal Auditing” - IIA Inc. (2010) “Effective Sizing of Internal Audit Departments” 55