Nieuwste berichten

Dit boek begon met een beeld: compliance is judo met risico’s. Dertien hoofdstukken later is het tijd om daarnaar terug te keren. Risico’s zijn geen afwijking van de normale werkelijkheid van een organisatie. Zij horen erbij. Een accountantskantoor neemt opdrachten aan, adviseert klanten, verwerkt informatie, neemt mensen in dienst, gebruikt technologie en maakt commerciële keuzes. Daarmee ontstaan risico’s. Wie die risico’s volledig wil vermijden, kan uiteindelijk weinig anders doen dan de onderneming beëindigen.

Compliance heeft daarom niet als opdracht zoveel mogelijk risico’s uit de organisatie te verwijderen. Evenmin is het haar taak zoveel mogelijk regels, procedures en controles te produceren. Zij houdt intern toezicht op de wijze waarop de organisatie haar risico’s beheerst en geeft bestuur en organisatie informatie over de werking daarvan. De verantwoordelijkheid voor de organisatie blijft waar zij hoort.

Geen risico zonder beheersing

Voor serieuze risico’s moet duidelijk zijn hoe zij worden beheerst. Welke maatregelen bestaan, waarom zouden die maatregelen het risico moeten verkleinen en, vooral, werken zij ook werkelijk?

Dat laatste is gemakkelijk te vergeten. Een procedure kan bestaan, een vierogencontrole kan verplicht zijn, een systeem kan een waarschuwing geven en medewerkers kunnen jaarlijks een training volgen. Daarmee is nog niet vastgesteld dat het risico daadwerkelijk wordt beheerst. Een beheersingsmaatregel ontleent haar betekenis niet aan haar bestaan, maar aan haar werking.

Daarom zijn monitoring, interne kwaliteitsonderzoeken, incidenten, klachten, meldingen en andere informatiebronnen zo belangrijk. Zij vertellen iets over het verschil tussen de beheersing zoals die op papier is bedacht en de beheersing zoals die in de werkelijkheid functioneert.

Wanneer een serieus risico onvoldoende wordt beheerst, moet dat zichtbaar worden. Vervolgens is het aan degene die daarvoor verantwoordelijk is om aanvullende maatregelen te treffen, het risico anders te behandelen of, binnen de grenzen van wet- en regelgeving, het resterende risico bewust te accepteren. Compliance kan daarbij adviseren en tegenspreken, maar neemt die bestuurlijke verantwoordelijkheid niet over.

Geen beheersing zonder risico

De redenering werkt echter ook andersom. Van ieder serieus risico willen we weten hoe het wordt beheerst, maar van iedere beheersingsmaatregel moeten we ook weten welk serieus risico zij eigenlijk helpt beheersen.

Controls zijn niet gratis. Zij kosten tijd, geld en aandacht. Een extra goedkeuring vertraagt een proces. Een verplichte registratie kost medewerkers tijd. Een controle vraagt capaciteit. Een systeemaanpassing kost geld. Training neemt uren in beslag die niet aan klanten of andere werkzaamheden kunnen worden besteed. En iedere nieuwe procedure vergroot de hoeveelheid organisatorische complexiteit waarmee medewerkers moeten omgaan.

Dat kan allemaal uitstekend besteed zijn wanneer daarmee een relevant risico aantoonbaar wordt verkleind. Maar een control zonder serieus risico is geen beheersing. Het is ballast. Daarom moet compliance niet alleen kritisch zijn wanneer te weinig wordt beheerst. Zij moet even kritisch kunnen kijken naar maatregelen waarvan niemand meer precies weet waarom ze bestaan. Welke risico’s dekken zij af? Hoe groot zijn die risico’s? Welke bijdrage levert deze maatregel aan de beheersing daarvan? Weten we dat, of nemen we het alleen aan? En als een maatregel niet aantoonbaar bijdraagt, waarom handhaven we hem dan?

Dat is misschien minder zichtbaar dan het introduceren van een nieuwe control. Het kan zelfs ongemakkelijker zijn. Een nieuwe regel laat zien dat de organisatie iets met een probleem heeft gedaan. Het afschaffen van een bestaande regel vraagt de overtuiging dat beheersing niet wordt gemeten aan de hoeveelheid beheersingsmaatregelen. Compliance is geen verzameling vangrails. Het gaat erom dat de vangrails staan waar de weg gevaarlijk is.

Ook compliance is een beheersingsmaatregel

Die redenering moet de compliancefunctie ook op zichzelf durven toepassen. Een organisatie heeft niet vanzelfsprekend behoefte aan zoveel mogelijk compliance. De functie kost geld, gebruikt schaarse deskundigheid, stelt vragen, vraagt informatie, voert onderzoeken uit en kan processen vertragen. Dat is gerechtvaardigd voor zover zij daarmee bijdraagt aan de beheersing van relevante risico’s.

De compliancefunctie heeft dus geen bijzonder recht om haar eigen proportionaliteit buiten beschouwing te laten. Als compliance van anderen verlangt dat zij kunnen uitleggen welk risico een control mitigeert en of die control werkt, moet zij dezelfde vragen over haar eigen werkzaamheden kunnen beantwoorden. Welke risico’s helpen wij beheersen? Welke informatie leveren wij die de organisatie anders niet of te laat zou hebben? Welke maatregelen zijn door onze monitoring aantoonbaar verbeterd? Waar hebben wij bijgedragen aan het eerder herkennen van problemen? En welke werkzaamheden verrichten wij vooral omdat wij ze vorig jaar ook verrichtten?

Dat laatste is geen retorische vraag. Ook compliance kan procedures, rapportages en controles ontwikkelen die ooit een goede reden hadden en vervolgens zelfstandig blijven voortbestaan. Ook een compliancefunctie kan druk zijn zonder effectief te zijn. Het succes van compliance blijkt daarom niet uit het aantal medewerkers, rapportages, onderzoeken, controls of bevindingen. Het blijkt uit haar bijdrage aan de beheersing van risico’s.

Gebruik de kracht die er al is

Daarmee zijn we terug bij judo. Wie een tegenstander uitsluitend probeert tegen te houden, maakt diens kracht tot zijn eigen probleem. Judo begint met een ander inzicht. De beweging en kracht zijn er al. De kunst is ze te begrijpen en ermee om te gaan.

Voor compliance geldt iets vergelijkbaars. Schaal kan fouten schaalbaar maken, maar ook kwaliteitsbeheersing. Automatisering kan nieuwe risico’s introduceren, maar ook afwijkingen zichtbaar maken die een mens nooit zou vinden. Een incident veroorzaakt schade, maar levert ook informatie over de werking van beheersingsmaatregelen. Een melding kan ongemakkelijk zijn, maar geeft de organisatie informatie die zij anders misschien nooit zou krijgen. Een kritische toezichthouder kan lastig zijn, maar laat soms risico’s zien waaraan de organisatie zelf gewend is geraakt. Zelfs een fout kan bruikbaar worden, mits ervan wordt geleerd.

Dat vraagt een andere houding dan de reflex om op ieder risico een nieuwe regel te stapelen. Soms is een nieuwe control nodig. Soms moet een bestaande control beter werken. Soms kan technologie het werk overnemen. Soms is menselijke professionele oordeelsvorming juist onmisbaar. Soms moet een risico simpelweg zichtbaar worden gemaakt en vervolgens bewust worden geaccepteerd. De kunst is niet overal dezelfde beweging te maken. De kunst is te begrijpen welke kracht voor je staat.

Beheerst is niet hetzelfde als veilig

Na alle risicoanalyses, controls, monitoring, onderzoeken, rapportages en verbetermaatregelen blijft uiteindelijk een ongemakkelijke werkelijkheid over: het kan nog steeds misgaan. Mensen maken fouten. Professionals komen tot verkeerde oordelen. Klanten vertellen niet altijd de waarheid. Technologie faalt. Regels veranderen. Belangen botsen. Bestuurders accepteren risico’s waarvan later blijkt dat de gevolgen groter waren dan verwacht. En soms gebeurt iets wat niemand redelijkerwijs had voorzien.

Dat maakt risicobeheersing niet zinloos. Het bepaalt wat risicobeheersing betekent. Een beheerste organisatie is niet een organisatie waarin niets misgaat. Het is een organisatie waarin relevante risico’s zichtbaar zijn, waarin bekend is hoe die risico’s worden beheerst, waarin wordt onderzocht of die beheersing daadwerkelijk werkt en waarin informatie over afwijkingen terechtkomt bij degenen die verantwoordelijkheid dragen. En wanneer het toch misgaat, levert ook dat nieuwe informatie op.

Compliance hoeft de werkelijkheid niet stil te zetten. Zij moet haar kunnen lezen. Risico’s verdwijnen niet. Wie iedere kracht probeert tegen te houden, wordt uiteindelijk door die kracht omvergeduwd. Wie haar begrijpt, kan haar gebruiken. Compliance blijft daarmee, na dertien hoofdstukken, wat zij aan het begin al was:

judo met risico’s.

Terug naar de inhoudsopgave

Klik hier voor de inhoudsopgave.

Rotterdam versus Amsterdam

Binnen de accountancy lijkt een tegenstelling te bestaan tussen het publieke belang en het commerciële belang. Van accountants wordt verwacht dat zij kwaliteit leveren, onafhankelijk opereren en het publieke belang dienen. Tegelijkertijd werken de meesten van hen bij commerciële ondernemingen. Die ondernemingen moeten klanten aantrekken en behouden, salarissen betalen, investeren en uiteindelijk voldoende rendement behalen om te kunnen voortbestaan. Wie over kwaliteit in de accountancy spreekt, ontkomt daarom niet aan de vraag hoe beide belangen zich tot elkaar verhouden.

Die spanning is niet nieuw. In het denken over het accountantsberoep zijn traditioneel twee benaderingen te onderscheiden, die wel worden aangeduid als de Amsterdamse en de Rotterdamse school.

De Amsterdamse school is vooral verbonden met Théodore Limperg. In zijn leer van het gewekte vertrouwen staat de maatschappelijke functie van de accountant centraal. De accountant ontleent zijn bestaansrecht niet uitsluitend aan de opdrachtgever die hem betaalt. Door zijn optreden wekt hij vertrouwen bij anderen die van zijn werkzaamheden gebruikmaken. Dat gewekte vertrouwen schept verplichtingen. De accountant mag niet méér vertrouwen oproepen dan zijn werkzaamheden kunnen rechtvaardigen en moet tegelijkertijd de werkzaamheden verrichten die nodig zijn om het gerechtvaardigde vertrouwen in zijn functie waar te maken.

In die benadering is kwaliteit dus niet in de eerste plaats een eigenschap van een commercieel product. Zij vloeit voort uit de maatschappelijke functie van de accountant. Wie vertrouwen krijgt, moet dat vertrouwen verdienen.

De Rotterdamse benadering kiest een ander vertrekpunt. Daarin wordt de accountant nadrukkelijker beschouwd als economisch handelende dienstverlener. Accountantsdiensten worden aangeboden op een markt, cliënten maken keuzes en accountantsorganisaties concurreren met elkaar. De maatschappelijke functie is daarmee niet afwezig, maar vormt niet het allesbepalende vertrekpunt. De accountant heeft ook een onderneming te voeren. Kosten, opbrengsten, productiviteit en rendement verdwijnen niet doordat het product toevallig assurance is.

Op het eerste gezicht lijken beide benaderingen tot een fundamentele spanning te leiden. Vanuit Amsterdam zou kwaliteit het commerciële belang begrenzen: niet alles wat winstgevend is, is professioneel aanvaardbaar. Vanuit Rotterdam zou juist de markt mede bepalen welke dienstverlening waarde heeft en tegen welke prijs zij kan worden aangeboden. In het publieke debat over accountancy duikt die tegenstelling voortdurend op. Commerciële druk wordt daarbij al snel gezien als een bedreiging voor kwaliteit en het publieke belang.

Dat beeld is te eenvoudig. Een accountantsorganisatie kan alleen duurzaam commercieel succesvol zijn wanneer haar dienstverlening waarde heeft. Een belangrijk deel van die waarde bestaat juist uit het vertrouwen dat gebruikers aan het werk van accountants toekennen. Een controleverklaring waarvan niemand gelooft dat zij iets betekent, heeft nauwelijks economische waarde. Hetzelfde geldt voor andere vormen van assurance en, zij het op een andere manier, voor veel andere professionele dienstverlening door accountants.

Wie structureel kwaliteit inruilt voor marge, kan daarom op korte termijn geld verdienen, maar tast tegelijkertijd het product aan waaraan hij dat geld verdient. Dat is geen tegenstelling tussen commercieel belang en publiek belang, maar tussen korte- en langetermijnbelang.

Daarmee komen Amsterdam en Rotterdam dichter bij elkaar dan hun verschillende vertrekpunten doen vermoeden. Vanuit Limperg volgt kwaliteit uit het vertrouwen dat de maatschappelijke functie van de accountant met zich meebrengt. Vanuit een bedrijfseconomisch perspectief volgt dezelfde noodzaak uit de voorwaarden voor een duurzaam verdienmodel. In beide gevallen kan een accountantsorganisatie alleen op langere termijn bestaan wanneer gebruikers reden hebben vertrouwen te stellen in de kwaliteit van haar dienstverlening. In de Amsterdamse school werkt de accountant voor het maatschappelijk verkeer en betaalt de gecontroleerde diens factuur. Dit wordt vaak een weeffout in het beroep genoemd. In de Rotterdamse school werkt de accountant voor de gecontroleerde, die dus diens factuur betaalt. Maar in beide scholen is het resultaat de facto hetzelfde.

Dat betekent niet dat commerciële en professionele belangen nooit botsen. Een extra specialist kost geld. Meer uren besteden aan een complexe opdracht drukt de marge. Afscheid nemen van een cliënt vanwege integriteitsrisico’s kost omzet. Op het niveau van een individuele opdracht, cliënt of partner kunnen commerciële prikkels dus heel concreet tegenover kwaliteit staan.

Maar wie daaruit concludeert dat commercieel handelen en kwaliteit principieel tegengesteld zijn, definieert commercieel belang te beperkt. Een duurzaam verdienmodel voor een accountantsorganisatie veronderstelt continuïteit. Daarvoor zijn rendement en financiële gezondheid noodzakelijk, maar ook deskundige medewerkers, investeringen, reputatie en bovenal vertrouwen. Een organisatie die deze bronnen uitput om de winst van vandaag te vergroten, handelt niet alleen in strijd met het publieke belang. Zij ondergraaft haar eigen commerciële toekomst. Vergelijk het met een bedrijf als Shell. Naar nieuwe olievelden zoeken is duur. Maar beleggers zouden het bedrijf hard afstraffen als het zou stoppen met zoeken om de winst tijdelijk te verhogen.

Kwaliteit, publiek belang en commercieel belang zijn daarom geen drie krachten waartussen voortdurend een compromis moet worden gevonden. Op korte termijn kunnen zij schuren. Op langere termijn zijn zij met elkaar verbonden. Precies in die verbinding ligt het vertrekpunt voor de vraag wat kwaliteit in de accountancy eigenlijk betekent.

Wat is kwaliteit?

Dat kwaliteit belangrijk is, zal niemand bestrijden. Veel moeilijker is de vraag wat kwaliteit eigenlijk is. Bij een industrieel product lijkt dat nog betrekkelijk eenvoudig. Een auto moet starten, een brug moet blijven staan en een geneesmiddel moet de werking hebben die ervan wordt verwacht. Bij professionele dienstverlening ligt dat ingewikkelder. Het resultaat is niet altijd direct waarneembaar en de gebruiker beschikt vaak niet over de deskundigheid om zelf vast te stellen of het werk goed is uitgevoerd.

Dat geldt bij uitstek voor accountantswerk. De gebruiker van een controleverklaring kan doorgaans niet beoordelen of voldoende en geschikte controle-informatie is verkregen, of de accountant de juiste risico’s heeft onderkend en of professionele oordeelsvorming zorgvuldig heeft plaatsgevonden. Juist daarom heeft hij een accountant nodig.

Hoe lastig het is kwaliteit te definiëren, bleek al bij het opstellen van de Wet toezicht accountantsorganisaties. Ik was destijds zelf bij dat wetgevingsproces betrokken. We liepen daar tegen een tamelijk fundamenteel probleem aan: we wilden de kwaliteit van wettelijke controles bewaken, maar konden niet bevredigend definiëren wat die kwaliteit dan precies was.

De oplossing was even eenvoudig als principieel. De Wta definieert kwaliteit niet. Zij legt de verantwoordelijkheid voor de kwaliteitsbeheersing bij de accountantsorganisatie, de vergunninghouder. Die moet beschikken over een stelsel van kwaliteitsbeheersing dat waarborgt dat wettelijke controles overeenkomstig de daaraan gestelde eisen worden uitgevoerd. Daarmee werd de vraag in zekere zin teruggelegd waar zij thuishoort: bij de professionele organisatie zelf. De wetgever schrijft niet uitputtend voor wat kwaliteit is, maar verlangt van de accountantsorganisatie dat zij een stelsel bouwt waarmee zij die kwaliteit kan beheersen.

Daar zit iets ongemakkelijks in. Om kwaliteit te kunnen beheersen, moet je immers enig idee hebben wat je onder kwaliteit verstaat.

Dat probleem verdween dan ook niet met de Wta. In 2017 publiceerde de Stuurgroep Publiek Belang van de NBA een Green Paper met de veelbelovende titel De definitie van Audit Kwaliteit. Aanleiding was juist de constatering dat voor velen onduidelijk was wat precies onder het kwaliteitsbegrip moest worden verstaan. De poging om daar meer grip op te krijgen mondde uit in een model waarin auditkwaliteit vanuit verschillende dimensies en perspectieven werd beschouwd.

Dat is nuttig, maar het illustreert tegelijkertijd het probleem met het begrip kwaliteit. Hoe meer dimensies we eraan toevoegen, hoe groter het gevaar dat kwaliteit uiteindelijk alles betekent wat wij belangrijk vinden. Deskundigheid hoort erbij, professioneel-kritische instelling ook, goede communicatie, relevante rapportering, het voldoen aan verwachtingen van stakeholders en uiteraard het publieke belang. Op enig moment ontstaat wat ik maar de groentesoep van kwaliteitsdefinities noem: iedereen kan er iets in stoppen wat hij belangrijk vindt, iedereen vindt er vervolgens wel iets van zijn gading in terug, maar het eindresultaat wordt steeds wateriger.

Een bruikbare definitie moet ook kunnen uitsluiten. Als vrijwel iedere wens die wij aan een goede accountant stellen onderdeel wordt van kwaliteit, helpt het begrip ons uiteindelijk nauwelijks nog onderscheid te maken tussen goed en slecht accountantswerk.

Een voor de hand liggend alternatief is daarom aansluiting te zoeken bij de professionele standaarden. Een kwalitatief goede opdracht is dan een opdracht die overeenkomstig de toepasselijke wet- en regelgeving en professionele standaarden is uitgevoerd. Dat geeft in ieder geval een toetsbare ondergrens. Van werk dat niet aan de geldende normen voldoet, kan moeilijk worden volgehouden dat het kwalitatief goed is.

Maar ook daarmee zijn we er niet. Professionele standaarden zijn noodzakelijkerwijs algemeen geformuleerd. Zij moeten toepasbaar zijn op een eenvoudige onderneming én op een internationaal concern, op een overzichtelijke opdracht én op een situatie waarin fraude, continuïteitsproblemen of complexe schattingen een rol spelen. Hun toepassing vraagt daarom voortdurend om professionele oordeelsvorming. Het is veelzeggend dat de basisstandaard, NV COS 200, dit al in paragraaf 7 expliciet maakt:

De Standaarden bevatten doelstellingen, vereisten en toepassingsgerichte en overige verklarende teksten die erop gericht zijn de accountant te ondersteunen bij het verkrijgen van een redelijke mate van zekerheid. De Standaarden vereisen van de accountant dat hij professionele oordeelsvorming toepast en dat hij tijdens het plannen en uitvoeren van de controle een professioneel-kritische instelling handhaaft, 

(vetgedrukt door mij)

Kwaliteit kan daardoor niet worden gereduceerd tot het aantoonbaar uitvoeren van voorgeschreven werkzaamheden. Een dossier waarin ieder verplicht veld is ingevuld, iedere checklist is afgevinkt en iedere vereiste vastlegging aanwezig is, kan nog steeds tekortschieten wanneer de accountant de verkeerde risico’s heeft onderkend, onvoldoende kritisch is geweest of een onjuiste conclusie heeft getrokken. Omgekeerd maakt een administratieve tekortkoming een overigens deugdelijk professioneel oordeel niet noodzakelijk waardeloos, al kan die tekortkoming uiteraard wel betekenen dat achteraf niet meer kan worden vastgesteld hoe dat oordeel tot stand is gekomen.

Dat onderscheid is belangrijk. Regels, procedures en vastleggingen ondersteunen kwaliteit en maken haar in zekere mate toetsbaar, maar zij zijn niet de kwaliteit zelf. Uiteindelijk ontstaat kwaliteit in het professionele handelen van mensen: in deskundigheid, zorgvuldigheid, professioneel-kritische instelling en het vermogen om in een concrete situatie een verantwoord oordeel te vormen.

De organisatie kan daarvoor de voorwaarden scheppen. Zij kan zorgen voor voldoende tijd, deskundigheid, opleiding, beschikbare expertise, consultatiemogelijkheden en adequate systemen. Zij kan opdrachten reviewen, tekortkomingen onderzoeken en daarvan leren. Zij kan bovendien voorkomen dat commerciële of andere prikkels het professionele oordeel overheersen. Maar geen kwaliteitssysteem kan dat oordeel zelf produceren.

Dat verklaart ook waarom kwaliteit en compliance niet hetzelfde zijn. Compliance richt zich op het voldoen aan normen en op het beheersen van het risico dat die normen niet worden nageleefd. Dat is een belangrijke voorwaarde voor kwaliteit, maar geen garantie ervoor. Geen stelsel van regels, procedures en controles kan het professionele oordeel van de accountant vervangen.

Sterker nog, wanneer het voldoen aan het systeem het doel wordt, kan het systeem zich zelfs tegen kwaliteit keren. Tijd en aandacht zijn schaars. Een accountant die vooral bezig is aannemelijk te maken dat alle voorgeschreven stappen zijn gezet, besteedt die tijd niet aan het begrijpen van de onderneming, het doorgronden van een complexe schatting of het stellen van die ene vervelende vraag aan het management. Een kwaliteitssysteem dat vooral bewijs produceert dat het kwaliteitssysteem functioneert, heeft zijn doel uit het oog verloren.

Voor een externe toezichthouder is dat onderscheid eveneens van belang. Wie toezicht houdt op het kwaliteitsstelsel van een accountantsorganisatie kan individuele dossiers onderzoeken om vast te stellen of dat stelsel functioneert. Daarmee wordt hij nog niet degene die de kwaliteit van het professionele oordeel bepaalt. Nog minder moet kwaliteit worden gereduceerd tot de compliance van een dossier: de vraag of alle voorgeschreven werkzaamheden aantoonbaar zijn verricht en vastgelegd. Dan wordt precies de denkfout die het kwaliteitssysteem binnen de organisatie kan veroorzaken, door de toezichthouder van buitenaf versterkt.

Misschien moeten we accepteren dat kwaliteit zich niet volledig laat definiëren. Dat maakt haar niet betekenisloos. We herkennen slechte kwaliteit wanneer werkzaamheden onvoldoende zorgvuldig zijn uitgevoerd, relevante risico’s zijn gemist of conclusies niet door het verrichte werk worden gedragen. En we herkennen kwaliteit wanneer het professionele werk het vertrouwen kan dragen dat anderen daaraan ontlenen.

Maar de ‘we’ in dit verhaal betreft, waar het gaat om de inhoudelijke beoordeling van accountantswerk, primair accountants. Wat de maatschappij van accountants verwacht, wordt niet uitsluitend door accountants bepaald. Of concrete accountantswerkzaamheden professioneel deugdelijk zijn uitgevoerd, is echter een vraag die accountantsdeskundigheid vereist. Van interne kwaliteitsonderzoeken tot de tuchtrechter hebben we accountants nodig om die beoordeling te kunnen maken.

Daarmee komen we terug bij het begrip dat in de vorige paragraaf al voortdurend op de achtergrond aanwezig was. Want zodra anderen op het werk van accountants vertrouwen, is kwaliteit niet langer uitsluitend een zaak tussen accountant en cliënt. Zij raakt het publieke belang.

Het publieke belang

Dat de inhoudelijke beoordeling van accountantswerk primair accountantsdeskundigheid vereist, betekent niet dat accountants zelf mogen bepalen welk belang hun werkzaamheden dienen. De kwaliteit van het werk is een professionele vraag, maar het belang dat met die kwaliteit wordt beschermd reikt verder dan de beroepsgroep.

Dat is het eenvoudigst zichtbaar bij de wettelijke controle. De aandeelhouder die niet betrokken is bij het dagelijks bestuur van een onderneming moet kunnen beschikken over betrouwbare financiële informatie. Banken verstrekken krediet mede op basis van die informatie. Leveranciers besluiten zaken te doen, werknemers verbinden hun toekomst aan een onderneming en overheden en toezichthouders gebruiken financiële informatie bij hun eigen beslissingen. Geen van die partijen kan steeds zelf onderzoeken of de gepresenteerde informatie betrouwbaar is.

De accountant vervult daar een bijzondere functie. Hij neemt de beslissing van die gebruikers niet over en garandeert evenmin dat de onderneming gezond, integer of succesvol is. Hij voegt zekerheid toe aan informatie waarop anderen hun eigen beslissingen baseren. Het publieke belang van de accountantsfunctie ligt daarmee niet in de uitkomst van die beslissingen, maar in de betrouwbaarheid van de informatievoorziening waarop zij mede zijn gebaseerd.

Dat onderscheid is belangrijk. Het publieke belang is een aantrekkelijk begrip en juist daardoor bestaat het gevaar dat er steeds meer onder wordt gebracht. Klimaat, sociale rechtvaardigheid, goed ondernemingsbestuur, fraudebestrijding, belastingmoraal en economische continuïteit kunnen allemaal maatschappelijke belangen zijn. Daaruit volgt nog niet dat de accountant verantwoordelijk is voor het realiseren daarvan.

Een accountant heeft geen algemeen mandaat om te bepalen wat goed is voor de samenleving. Hij is geen gekozen bestuurder, wetgever of maatschappelijke scheidsrechter. Wanneer hij het publieke belang gelijkstelt aan wat hij zelf maatschappelijk wenselijk vindt, verruilt hij zijn professionele functie voor zijn persoonlijke opvattingen. Dat is niet het dienen van het publieke belang, maar het toe-eigenen ervan.

Dat betekent evenmin dat de accountant maatschappelijke ontwikkelingen kan negeren. Wanneer wet- en regelgeving, professionele standaarden of de aard van een opdracht verlangen dat bijvoorbeeld fraude, continuïteit, duurzaamheid of andere niet-financiële informatie in de werkzaamheden wordt betrokken, behoort dat vanzelfsprekend tot zijn professionele verantwoordelijkheid. Maar de bron van die verantwoordelijkheid is dan zijn functie en het normenkader dat daarbij hoort, niet een zelfstandig recht om maatschappelijke prioriteiten vast te stellen.

Fraude en continuïteit illustreren die begrenzing goed. Beide onderwerpen zijn maatschappelijk belangrijk en beide behoren nadrukkelijk tot het werkterrein van de controlerend accountant. Maar daaruit volgt niet dat de accountant verantwoordelijk is voor het bestrijden van fraude of het bewaken van de continuïteit van ondernemingen.

Bij fraude moet de accountant het risico onderkennen dat de financiële overzichten als gevolg van fraude een afwijking van materieel belang bevatten. Signalen van fraude kunnen aanleiding geven tot aanvullende werkzaamheden en een vermoeden van fraude kan verplichtingen meebrengen om te rapporteren of anderszins op te treden. Maar daarmee wordt de accountant nog geen fraudeonderzoeker. Het doel van de wettelijke controle is niet om alle fraude binnen een onderneming op te sporen en evenmin om vast te stellen of personen zich strafrechtelijk aan fraude schuldig hebben gemaakt. Dat laatste oordeel behoort uiteindelijk tot een geheel ander stelsel van opsporing, vervolging en rechtspraak.

Voor continuïteit geldt iets vergelijkbaars. Het bestuur is verantwoordelijk voor de beoordeling of de onderneming haar activiteiten kan voortzetten en voor de keuze van de daarbij passende grondslagen voor de financiële verslaggeving. De accountant beoordeelt die uitgangspunten omdat zij rechtstreeks van betekenis zijn voor de jaarrekening die hij controleert. Wanneer materiële onzekerheid over de continuïteit bestaat, kan dat bovendien gevolgen hebben voor zijn werkzaamheden en zijn verklaring.

Maar ook daarmee wordt de accountant niet verantwoordelijk voor de gezondheid of het voortbestaan van de onderneming. Een onderneming kan commercieel zwak zijn en toch terecht haar jaarrekening op continuïteitsbasis opstellen. Omgekeerd kan informatie over continuïteitsproblemen zodanig zijn dat de accountant daar in zijn controle niet aan voorbij kan gaan. Zijn verantwoordelijkheid betreft de gevolgen daarvan voor de financiële verslaggeving en zijn oordeel daarover, niet de vraag of de onderneming een goede toekomst heeft.

Juist bij fraude en continuïteit is de verleiding groot om vanuit het publieke belang steeds een volgende stap te zetten. Fraude is maatschappelijk ongewenst, dus de accountant moet fraude ontdekken. Faillissementen veroorzaken maatschappelijke schade, dus de accountant had moeten waarschuwen dat een onderneming ongezond was. Maar tussen maatschappelijk belang en professionele verantwoordelijkheid staat nog altijd de vraag welke functie aan de accountant is toevertrouwd.

Het publieke belang verruimt die functie niet onbeperkt. Het verlangt dat de accountant zijn eigen functie goed vervult.

Daarmee komen we opnieuw dicht bij Limperg. Het maatschappelijk verkeer moet erop kunnen vertrouwen dat de accountant doet wat redelijkerwijs van zijn functie mag worden verwacht. Dat vertrouwen kent tegelijkertijd grenzen. Wie méér van de accountant verwacht dan zijn functie kan waarmaken, vraagt om zekerheid die hij niet kan geven. En een accountant die suggereert die zekerheid wel te bieden, wekt meer vertrouwen dan zijn werkzaamheden kunnen dragen.

Het publieke belang verlangt daarom niet alleen dat accountants hun verantwoordelijkheid nemen, maar ook dat helder blijft waar die verantwoordelijkheid eindigt. Dat klinkt misschien terughoudend, maar het tegendeel is waar. Juist een duidelijke begrenzing maakt het mogelijk de accountant volledig verantwoordelijk te houden voor datgene waarvoor hij wél verantwoordelijk is.

Daarbij is het publieke belang overigens niet beperkt tot wettelijke controles. Ook bij andere assurance-opdrachten en andere professionele diensten kunnen derden of de samenleving vertrouwen ontlenen aan het optreden van een accountant. De aard en omvang van dat vertrouwen verschillen per opdracht. Een samenstellingsverklaring heeft een andere betekenis dan een controleverklaring en een advies aan een ondernemer weer een andere. Het enkele feit dat iemand accountant is, maakt niet iedere handeling die hij verricht tot een handeling in het publieke belang.

Het publieke belang is daarmee geen afzonderlijk doel dat naast kwaliteit staat. Het verklaart waarom kwaliteit ertoe doet. Slecht accountantswerk raakt niet alleen degene die ervoor betaalt. Het kan het vertrouwen schaden van mensen die het werk niet hebben besteld, de accountant niet hebben gekozen en vaak zelfs niet kunnen beoordelen wat hij precies heeft gedaan.

Dat brengt ook een verantwoordelijkheid mee voor accountantsorganisaties. Zij verkopen geen uren aan cliënten. Zij organiseren professionele dienstverlening waaraan ook anderen betekenis kunnen ontlenen. De kwaliteit van die dienstverlening is daarom niet uitsluitend een contractuele aangelegenheid tussen kantoor en cliënt. Zij raakt aan het bestaansrecht van de organisatie zelf.

Tegelijkertijd moeten we ook hier oppassen voor een te gemakkelijke tegenstelling. Dat een accountantsorganisatie een publiek belang dient, betekent niet dat zij ophoudt een commerciële onderneming te zijn. Zoals we eerder zagen, kan juist een economisch gezonde organisatie investeren in deskundigheid, mensen en systemen die nodig zijn om haar publieke functie duurzaam te vervullen.

Het publieke belang en het commerciële belang ontmoeten elkaar daarmee opnieuw in kwaliteit. Dat neemt niet weg dat zij in concrete situaties kunnen botsen. De vraag is dan niet of commerciële prikkels bestaan, maar hoe een accountantsorganisatie voorkomt dat het belang van vandaag de kwaliteit van morgen aantast.

De schijnbare tegenstelling met commercie

Als kwaliteit, publiek belang en het duurzame commerciële belang uiteindelijk in elkaars verlengde liggen, dringt zich een voor de hand liggende vraag op. Waarom wordt commerciële druk dan zo vaak als bedreiging voor kwaliteit gezien? Omdat belangen die op langere termijn samenvallen, op korte termijn heel goed kunnen botsen.

Een accountantsorganisatie investeert in kwaliteit, maar die investering is zelden gratis. Een extra specialist inschakelen kost geld. Een opdracht meer uren geven dan begroot verlaagt het resultaat. Een cliënt weigeren of afscheid nemen van een bestaande cliënt betekent dat omzet verloren gaat. Opleiding kost tijd waarin geen declarabele werkzaamheden worden verricht. Interne kwaliteitsonderzoeken, compliance, vaktechniek en andere ondersteunende functies leveren niet rechtstreeks declarabele uren op.

De kosten daarvan zijn bovendien goed zichtbaar. Ze verschijnen vandaag in de resultatenrekening, in de realisatie van een opdracht of in de performance van een partner of team. De opbrengst is veel moeilijker zichtbaar. Het is lastig vast te stellen welk incident niet heeft plaatsgevonden doordat een specialist tijdig werd geraadpleegd, welke claim is voorkomen door extra controlewerkzaamheden of welke reputatieschade nooit is ontstaan omdat afscheid werd genomen van een verkeerde cliënt. Of, positief geformuleerd, welke opdracht is gewonnen als gevolg van een goede reputatie, welke medewerker voor de organisatie heeft gekozen vanwege haar professionele standaard of welke cliënt bereid was een hogere prijs te betalen omdat hij vertrouwen had in de kwaliteit van de dienstverlening.

Kwaliteit heeft daarmee een economisch probleem: de kosten ervan zijn concreet, terwijl de opbrengsten vaak indirect, uitgesteld en moeilijk aan een individuele investering toe te rekenen zijn. Daarbij speelt nog een al te menselijke denkfout een rol. We zijn geneigd kosten te associëren met geld dat de onderneming verlaat en opbrengsten met geld dat binnenkomt. Bedrijfseconomisch zijn dat verschillende begrippen. Een kasstroom zegt iets over liquiditeit; kosten en opbrengsten zeggen iets over de economische prestaties van een onderneming. Dat onderscheid is niet alleen boekhoudkundige fijnslijperij.

Cash is king. Een onderneming die haar rekeningen niet meer kan betalen, heeft een acuut probleem, ongeacht hoeveel toekomstige winst zij op papier verwacht. Maar sturen op kasstromen alleen zegt weinig over de vraag of een onderneming ook morgen nog geld kan verdienen. Verdiencapaciteit ontstaat doordat vandaag middelen worden ingezet waarvan de opbrengsten soms pas veel later zichtbaar worden.

De kost gaat daarbij letterlijk voor de baat uit. Een onderneming neemt mensen aan voordat zij productief zijn, leidt medewerkers op voordat hun extra kennis iets oplevert, ontwikkelt producten voordat iemand ze koopt en onderhoudt machines voordat ze kapotgaan. Wie alleen kijkt naar de kasstroom van vandaag ziet in al die gevallen geld verdwijnen. Wie bedrijfseconomisch kijkt, ziet dat met die uitgaven toekomstige verdiencapaciteit wordt opgebouwd of behouden.

Voor kwaliteit in een accountantsorganisatie geldt hetzelfde. Opleiding, vaktechniek, compliance, interne reviews, specialistische ondersteuning en tijd voor professionele oordeelsvorming kosten vandaag geld. Hun economische betekenis ligt voor een belangrijk deel in het vermogen van de organisatie om ook morgen professionele dienstverlening te leveren waaraan cliënten en anderen vertrouwen ontlenen.

Dat maakt niet iedere uitgave aan kwaliteit automatisch verstandig. Investeringen kunnen slecht worden gekozen en ondersteunende functies kunnen inefficiënt worden ingericht. Het etiket ‘kwaliteit’ ontslaat niemand van de verplichting bedrijfseconomisch na te denken. Maar de vraag of iets geld kost, is een andere dan de vraag of het economische waarde vernietigt. Soms vernietigt juist het níét maken van kosten de toekomstige verdiencapaciteit.

Dat maakt commerciële prikkels niet verkeerd. Integendeel. Een accountantsorganisatie die structureel meer geld uitgeeft dan zij verdient, heeft geen duurzaam verdienmodel en zal uiteindelijk ook geen kwaliteit meer kunnen leveren. Productiviteit, bezettingsgraad, tarieven en rendement zijn daarom legitieme onderwerpen van sturing. Wie kwaliteit wil leveren zonder zich om de economische werkelijkheid te bekommeren, heeft op termijn geen organisatie meer waarin die kwaliteit geleverd kan worden.

Het probleem ontstaat wanneer een indicator voor commercieel succes wordt verward met het commerciële belang zelf. Declarabele uren zijn daarvan een eenvoudig voorbeeld. Uren kunnen nodig zijn om capaciteit te plannen, opdrachten te begroten en prijzen te bepalen. Maar accountantsorganisaties verkopen geen uren. Uren zijn een productiefactor. Het product is professionele dienstverlening.

Hetzelfde geldt voor omzet en marge. Zij zeggen iets belangrijks over de economische prestaties van een organisatie, maar niet alles over haar vermogen om op langere termijn waarde te creëren. Een opdracht waarop vandaag een hoge marge wordt gerealiseerd doordat te weinig tijd of deskundigheid wordt ingezet, kan economisch slechter zijn dan een opdracht waarop bewust extra kosten worden gemaakt om het werk goed te doen.

Daarmee ontstaat een klassiek probleem van lokale optimalisatie. Wat rationeel is voor een individuele opdracht, partner of vestiging hoeft niet rationeel te zijn voor de accountantsorganisatie als geheel. Een partner die een risicovolle maar winstgevende cliënt behoudt, beschermt zijn omzet. De eventuele gevolgen van een incident worden later echter door de hele organisatie gedragen. Hetzelfde geldt voor het uitstellen van investeringen in opleiding, vaktechniek of systemen. De besparing is onmiddellijk en vaak goed zichtbaar; de prijs wordt elders en later betaald.

Ook de verdeling van opbrengsten en kosten speelt dus een rol. Degene die ‘nee’ zegt tegen een aantrekkelijke cliënt ziet de gemiste omzet. Het voordeel dat daarmee een mogelijk toekomstig incident is voorkomen, verschijnt nergens in zijn resultatenrekening. Wie extra uren besteedt aan een ingewikkelde controle ziet zijn marge dalen. Dat daarmee mogelijk een foutieve verklaring is voorkomen, levert geen zichtbare opbrengst op.

Dat verklaart waarom organisaties die oprecht kwaliteit belangrijk vinden toch prikkels kunnen creëren die daartegenin werken. Daar is geen kwade wil voor nodig. Het is voldoende dat wordt gestuurd op datgene wat gemakkelijk meetbaar is en dat de gevolgen die moeilijker meetbaar zijn buiten beeld blijven.

Juist daarom is het te eenvoudig om commerciële prikkels als zodanig als bedreiging voor kwaliteit te beschouwen. De relevante vraag is niet óf een accountantsorganisatie commercieel wordt gestuurd. Natuurlijk wordt zij dat. De vraag is welke economische horizon zij hanteert en welke belangen zij in haar besluitvorming meeneemt.

Een duurzame accountantsorganisatie zal rendement moeten maken. Zij zal cliënten willen behouden, productief willen werken en haar capaciteit efficiënt willen inzetten. Maar zij zal tegelijkertijd begrijpen dat deskundigheid, reputatie en vertrouwen productiemiddelen zijn die kunnen worden uitgeput. Wie daarop bezuinigt, kan tijdelijk een beter resultaat laten zien terwijl hij zijn toekomstige verdienvermogen aantast.

Daarmee lijkt kwaliteit in economisch opzicht op onderhoud. Een onderneming kan onderhoud uitstellen en daarmee vandaag haar resultaat verbeteren. Machines blijven vaak nog enige tijd draaien. Dat maakt het uitstellen van onderhoud niet gratis; het verschuift alleen de kosten naar de toekomst en vergroot ondertussen het risico dat de schade uiteindelijk veel groter wordt.

Voor kwaliteit geldt hetzelfde, met één belangrijk verschil. Een machine laat zich uiteindelijk nog betrekkelijk eenvoudig vervangen. Vertrouwen veel minder.

De tegenstelling tussen kwaliteit en commercie is daarom reëel waar het gaat om concrete beslissingen en kortetermijnprikkels, maar misleidend wanneer zij wordt toegepast op het duurzame belang van de accountantsorganisatie. Een organisatie die kwaliteit structureel ondergeschikt maakt aan het resultaat van vandaag handelt niet te commercieel. Zij handelt commercieel onverstandig.

De uitdaging is dan ook niet commerciële prikkels uit de accountantsorganisatie te verwijderen. Zij horen bij iedere onderneming en zijn noodzakelijk voor haar voortbestaan. De uitdaging is ervoor te zorgen dat de prikkels binnen de organisatie aansluiten bij haar duurzame belang.

En daarmee verschuift de vraag opnieuw. Niet langer of commercie en kwaliteit met elkaar verenigbaar zijn, maar hoe een accountantsorganisatie kwaliteit zodanig organiseert dat het belang van morgen voldoende gewicht krijgt in de beslissingen van vandaag.

Kwaliteit organiseren

Kwaliteit ontstaat uiteindelijk in het handelen van individuele professionals. Het is de accountant die risico’s onderkent, informatie beoordeelt, professioneel-kritisch moet blijven en uiteindelijk zijn naam onder een verklaring zet. Toch legt de Wta, zoals we eerder zagen, een belangrijke verantwoordelijkheid voor kwaliteit bij de accountantsorganisatie. Dat is geen tegenstelling.

Professioneel handelen vindt nooit in een vacuüm plaats. De accountant werkt binnen een organisatie die bepaalt welke mensen op een opdracht worden ingezet, hoeveel tijd beschikbaar is, welke hulpmiddelen worden gebruikt en wanneer specialistische kennis beschikbaar is. Die organisatie leidt mensen op, beoordeelt en beloont hen, accepteert cliënten en bepaalt uiteindelijk onder welke omstandigheden de individuele accountant zijn professionele verantwoordelijkheid moet waarmaken.

Een accountantsorganisatie kan kwaliteit daarom niet produceren, maar zij kan de omstandigheden waaronder kwaliteit ontstaat wel beïnvloeden.

Dat is de essentie van kwaliteitsbeheersing. Het stelsel van kwaliteitsbeheersing is geen fabriek waar aan het einde kwalitatief goede opdrachten uit rollen. Het is een samenhangend geheel van maatregelen waarmee de organisatie probeert de kans te vergroten dat professionals goed werk leveren en de kans te verkleinen dat tekortkomingen onopgemerkt blijven.

Die gedachte is ook terug te vinden in de ontwikkeling van kwaliteitsbeheersing naar kwaliteitsmanagement. Met de NVKM en Standaard 1, SKM1, is nadrukkelijk gekozen voor een risicogerichte benadering. Het uitgangspunt is niet dat iedere organisatie hetzelfde voorgeschreven stelsel van maatregelen implementeert, maar dat zij kwaliteitsdoelstellingen vaststelt, de risico’s identificeert die het bereiken daarvan kunnen bedreigen en daarop passende maatregelen formuleert.

Dat verschil is wezenlijk. Een kwaliteitsmaatregel heeft geen waarde omdat zij bestaat, maar omdat zij een kwaliteitsrisico beheerst. Welke maatregelen nodig zijn, hangt daarom af van de aard en omstandigheden van de organisatie en van de opdrachten die zij uitvoert. Een groot kantoor dat wettelijke controles van internationale beursfondsen uitvoert, heeft andere kwaliteitsrisico’s dan een accountantskantoor dat voornamelijk samenstellingsopdrachten voor lokale mkb-ondernemingen uitvoert. Het kwaliteitsmanagementsysteem behoort dat verschil te weerspiegelen.

De risicogerichte benadering dwingt de organisatie bovendien na te denken over causaliteit. Niet: welke procedure kunnen we toevoegen? Maar: welk kwaliteitsdoel willen we bereiken, wat kan verhinderen dat we dat doel bereiken en welke maatregel verkleint dat risico? Vervolgens moet worden gemonitord of die maatregel daadwerkelijk werkt en moet het systeem worden aangepast wanneer dat niet het geval blijkt.

Daarmee is kwaliteitsmanagement zelf een toepassing van risicomanagement. Dat klinkt vanzelfsprekend, maar heeft belangrijke consequenties. Het betekent bijvoorbeeld dat een geconstateerde tekortkoming niet automatisch bewijst dat een nieuwe maatregel nodig is. Eerst moet worden begrepen waardoor de tekortkoming is ontstaan en of bestaande maatregelen hebben gefaald, verkeerd zijn toegepast of misschien helemaal niet relevant waren voor de oorzaak.

Juist daarin ligt de kracht van een risicogericht kwaliteitsmanagementsysteem. Het probeert niet iedere denkbare fout onmogelijk te maken. Het probeert de risico’s voor kwaliteit te begrijpen en de beschikbare middelen daar in te zetten waar zij het meeste bijdragen aan het bereiken van de kwaliteitsdoelstellingen.

Een deel van de maatregelen die daaruit voortvloeien ligt voor de hand. De organisatie moet voldoende deskundige mensen aantrekken en opleiden. Zij moet ervoor zorgen dat opdrachten adequaat worden gepland en bemenst, dat waar nodig specialisten beschikbaar zijn en dat accountants kunnen consulteren wanneer zij tegen moeilijke vaktechnische vragen aanlopen. Zij moet methodologie, hulpmiddelen en systemen beschikbaar stellen waarmee werkzaamheden zorgvuldig kunnen worden uitgevoerd en vastgelegd.

Maar kwaliteit organiseren gaat verder dan het beschikbaar stellen van middelen. Een organisatie maakt voortdurend keuzes over wat zij belangrijk vindt. Welke cliënten worden geaccepteerd? Hoeveel tijd krijgt een opdracht? Wanneer is consultatie verplicht? Wie kan besluiten dat een verklaring nog niet mag worden afgegeven? Hoe wordt omgegaan met iemand die een deadline mist omdat hij vindt dat nog onvoldoende werk is verricht? En misschien nog belangrijker: wat gebeurt er met degene die commercieel buitengewoon succesvol is maar structureel de grenzen van het kwaliteitsstelsel opzoekt?

In de antwoorden op zulke vragen wordt het kwaliteitsbeleid van een organisatie uiteindelijk zichtbaar. Niet in wat zij over kwaliteit opschrijft, maar in de keuzes die zij maakt wanneer kwaliteit iets kost.

Daarbij is een kwaliteitssysteem noodzakelijkerwijs onvolmaakt. Geen procedure kan voorzien in iedere situatie waarmee een accountant wordt geconfronteerd. Hoe gedetailleerder het systeem wordt, hoe groter bovendien het gevaar dat naleving van het systeem wordt verward met het leveren van kwaliteit. Dan verschuift de aandacht van de vraag of het werk deugt naar de vraag of aantoonbaar alle voorgeschreven stappen zijn gezet.

Dat betekent niet dat vastlegging, procedures en controles onbelangrijk zijn. Integendeel. Een professionele organisatie moet achteraf kunnen vaststellen wat is gedaan, waarom bepaalde keuzes zijn gemaakt en of haar eigen stelsel functioneert. Maar het bewijs dat een proces is gevolgd is niet hetzelfde als het bewijs dat een goed professioneel oordeel is gevormd.

Een goed kwaliteitssysteem moet daarom ruimte laten voor professionele oordeelsvorming en tegelijkertijd grenzen stellen waar dat nodig is. Dat is een ongemakkelijke combinatie. Te weinig structuur maakt kwaliteit afhankelijk van individuele opvattingen en toevallige deskundigheid. Te veel structuur maakt van professionals uitvoerders van een procedure.

Het organiseren van kwaliteit vraagt bovendien om meer dan preventieve maatregelen. Ook waar deskundige mensen binnen een goed ingericht systeem werken, zullen fouten worden gemaakt. Een volwassen kwaliteitsstelsel probeert niet de fictie in stand te houden dat tekortkomingen niet voorkomen, maar zorgt ervoor dat zij worden gevonden, onderzocht en gebruikt om de organisatie te verbeteren.

Daarom zijn interne kwaliteitsonderzoeken, monitoring en root cause analysis zo belangrijk. Een geconstateerde tekortkoming is daarbij niet alleen een fout die moet worden hersteld. Zij is informatie over het functioneren van het systeem. Was de norm onduidelijk? Ontbrak deskundigheid? Was er onvoldoende tijd? Functioneerde consultatie niet? Speelden commerciële prikkels een rol? Of heeft een professional ondanks een goed werkend systeem eenvoudigweg een verkeerd oordeel gevormd?

Die laatste mogelijkheid verdient nadrukkelijk een plaats. Niet iedere fout bewijst dat het systeem heeft gefaald. Waar mensen professioneel oordeel moeten toepassen, zullen ook goede professionals soms tot een verkeerd oordeel komen. Een kwaliteitssysteem dat iedere tekortkoming automatisch vertaalt in een nieuwe regel, procedure of checklist wordt daardoor niet noodzakelijk beter. Het kan juist steeds complexer worden zonder dat de kwaliteit toeneemt.

Dat is misschien wel een van de moeilijkste aspecten van kwaliteitsbeheersing: leren zonder iedere fout onmiddellijk te reguleren.

Een goed kwaliteitsstelsel zoekt daarom niet naar de illusie van foutloosheid. Het probeert een organisatie te bouwen waarin professionals de middelen en ruimte krijgen om goed werk te leveren, waarin afwijkingen tijdig zichtbaar worden en waarin van fouten wordt geleerd zonder het professionele oordeel weg te organiseren.

Daarmee wordt kwaliteit ook een governancevraagstuk. Iemand moet bepalen hoeveel middelen de organisatie aan kwaliteit beschikbaar stelt, welke risico’s zij bereid is te accepteren en hoe wordt gehandeld wanneer commerciële en professionele belangen op korte termijn botsen. Kwaliteit organiseren betekent daarom uiteindelijk ook verantwoordelijkheden verdelen.

En precies daar verschijnt compliance opnieuw in beeld.

De rol van compliance

Na alles wat hiervoor is gezegd, ligt een misverstand voor de hand. Als kwaliteit zo belangrijk is en kwaliteitsmanagement in belangrijke mate draait om het beheersen van risico’s, dan zou compliance verantwoordelijk kunnen worden gemaakt voor kwaliteit.

Dat zou een vergissing zijn.

Kwaliteit ontstaat in het professionele handelen. De accountant is verantwoordelijk voor zijn werkzaamheden en zijn professionele oordeel. De accountantsorganisatie en haar bestuur zijn verantwoordelijk voor de inrichting en werking van het kwaliteitsmanagementsysteem. Die verantwoordelijkheden kunnen niet worden overgedragen aan een compliancefunctie. Zodra compliance eigenaar van kwaliteit wordt, moet zij uiteindelijk haar eigen werk gaan beoordelen.

Hier is een begrip behulpzaam dat in de NVKS nog expliciet voorkwam, maar met de komst van de NVKM uit de regelgeving is verdwenen: de kwaliteitsbepaler. Dat de term niet langer wordt gebruikt, betekent niet dat de functie die ermee werd aangeduid niet meer bestaat. Iedere accountantsorganisatie moet uiteindelijk bepalen welke kwaliteit zij nastreeft, welke professionele normen zij stelt en hoe die in de organisatie worden vertaald.

Die kwaliteitsbepalende rol kan op verschillende plaatsen worden belegd. Op strategisch en tactisch niveau kan zij onderdeel zijn van een bestuurdersrol. Op operationeel niveau kan een vaktechnische of andere staffunctie normen uitwerken, methodologie ontwikkelen, consultatie ondersteunen en richting geven aan professioneel handelen. De precieze inrichting is afhankelijk van de aard en omvang van de organisatie. Essentieel is vooral dat duidelijk is wie de kwaliteitsnorm bepaalt.

Juist die rol laat zich slecht combineren met compliance. Wie bepaalt wat de norm is, kan moeilijk onafhankelijk beoordelen of de organisatie die norm naleeft en de risico’s rond die norm voldoende beheerst. Hetzelfde probleem ontstaat wanneer kwaliteitsbepaling wordt vermengd met risk of integriteitsbewaking. Het zijn functies die elkaar nodig hebben, maar vanuit verschillende perspectieven naar de organisatie moeten kunnen kijken.

Daarbij is compliance zelf evenmin één ongedifferentieerd geheel. In de praktijk liggen compliance, risk en integriteit vaak dicht bij elkaar en kunnen zij organisatorisch binnen dezelfde functie of afdeling worden ondergebracht. Inhoudelijk vervullen zij echter verschillende rollen.

Risk bevindt zich als het ware vóór compliance. De organisatie is zelf eigenaar van haar risico’s. Een riskfunctie neemt die verantwoordelijkheid niet over en bepaalt ook niet hoeveel risico het bestuur bereid moet zijn te accepteren. Zij helpt de organisatie wel haar risico’s systematisch te identificeren, analyseren en volgen. De risicomatrix is daarom niet van de risk manager in de betekenis dat hij eigenaar is van de risico’s, maar hij kan wel de beheerder ervan zijn: degene die bewaakt dat risico’s worden beschreven, gewaardeerd, voorzien van beheersmaatregelen en periodiek opnieuw worden beoordeeld.

Compliance kijkt vervolgens naar de vraag of de organisatie binnen de normen opereert die op haar van toepassing zijn en of de risico’s van niet-naleving voldoende worden beheerst. Daarbij gaat het niet alleen om de vraag of regels formeel worden gevolgd, maar ook om de vraag of de inrichting en feitelijke werking van de organisatie voldoende waarborgen bieden dat zij haar verplichtingen kan nakomen.

Integriteit heeft weer een ander karakter. Waar risk vooral vooruitkijkt en compliance naar beheersing en naleving kijkt, heeft integriteitsbewaking ook een zuiverende functie. Een accountantsorganisatie moet voorkomen dat niet-integere elementen onderdeel van haar organisatie worden en moet kunnen optreden wanneer zij die toch aantreft. Dat begint bij de cliëntacceptatie en -continuatie, maar eindigt daar niet. Het betreft ook medewerkers, partners, leveranciers en andere relaties die de integriteit van de organisatie kunnen aantasten.

Die zuiverende functie kan ingrijpend zijn. Een cliëntrelatie kan moeten worden beëindigd. Een medewerker kan onderwerp worden van een integriteitsonderzoek en uiteindelijk niet binnen de organisatie kunnen blijven. Juist omdat zulke beslissingen grote commerciële en persoonlijke gevolgen kunnen hebben, moeten signalering, onderzoek, besluitvorming en sanctionering zorgvuldig worden ingericht. Integriteit is geen synoniem voor compliance, maar zonder geloofwaardige integriteitsbewaking kan compliance evenmin effectief zijn.

Kwaliteitsbepaling, risk, compliance en integriteit raken elkaar daarmee voortdurend, maar mogen niet gedachteloos in elkaar worden geschoven. De kwaliteitsbepaler formuleert en concretiseert wat professioneel goed handelen inhoudt. Risk helpt zichtbaar maken wat het bereiken van doelstellingen kan bedreigen. Compliance beoordeelt of normen worden nageleefd en de daaraan verbonden risico’s worden beheerst. Integriteitsbewaking richt zich specifiek op gedrag en relaties die de zuiverheid en betrouwbaarheid van de organisatie aantasten.

De grenzen zijn in de praktijk niet altijd scherp en hoeven dat ook niet te zijn. Zeker in kleinere organisaties kan één persoon verschillende rollen vervullen. Functiescheiding betekent niet noodzakelijk dat voor iedere functie een andere medewerker nodig is. Zij betekent wel dat bij de inrichting bewust moet worden nagedacht over mogelijke conflicten tussen rollen. Iemand kan verschillende petten dragen, maar moet weten welke pet hij op welk moment draagt en voorkomen dat hij zijn eigen normen, besluiten of onderzoeken onafhankelijk moet beoordelen.

Vanuit die positie kan compliance zich op enige afstand houden van het individuele professionele oordeel. Een compliance officer hoeft niet te bepalen of een accountant in een concrete controle voldoende en geschikte controle-informatie heeft verkregen of precies de juiste conclusie heeft getrokken. Daarvoor zijn vaktechnische beoordeling, kwaliteitsonderzoek en uiteindelijk eventueel tuchtrechtelijke toetsing veel geschikter.

Compliance kan wel vragen stellen over de omstandigheden waarin dat oordeel tot stand kwam. Was voldoende tijd beschikbaar? Waren de juiste deskundigen betrokken? Heeft verplichte consultatie plaatsgevonden? Werden signalen uit eerdere kwaliteitsonderzoeken opgevolgd? Zijn terugkerende tekortkomingen zichtbaar in de risicoanalyse? En misschien vooral: heeft de organisatie maatregelen getroffen die passen bij de risico’s die zij zelf zegt te willen beheersen?

Daarmee kijkt compliance niet primair naar de kwaliteit van één dossier, maar naar patronen. Een individuele tekortkoming kan een professionele fout zijn. Dezelfde tekortkoming bij tien verschillende opdrachten kan iets zeggen over opleiding, methodologie, capaciteit, aansturing of cultuur. Waar de eerste lijn naar de opdracht kijkt, moet compliance juist belangstelling hebben voor wat afzonderlijke opdrachten gezamenlijk over de organisatie vertellen.

Dat vraagt om meer dan het controleren van naleving. Wanneer compliance zich beperkt tot de vraag of procedures zijn gevolgd, dreigt precies dezelfde verwarring die we eerder zagen bij kwaliteit: compliance wordt dan gelijkgesteld aan het afvinken van compliance. Een organisatie kan uitstekend aantonen dat iedere voorgeschreven stap is gezet en toch belangrijke risico’s onvoldoende beheersen.

De compliancefunctie moet daarom zelf eveneens risicogericht werken. Niet iedere regel, procedure of afwijking verdient dezelfde aandacht. Een administratieve onvolkomenheid zonder wezenlijk risico is iets anders dan een patroon waaruit blijkt dat commerciële druk professionele oordeelsvorming beïnvloedt. Het vermogen om dat onderscheid te maken is juist een belangrijk onderdeel van volwassen compliance.

Daarbij heeft compliance een bijzondere positie. Zij staat voldoende dicht bij de organisatie om te begrijpen hoe besluitvorming werkelijk plaatsvindt, maar moet voldoende afstand bewaren om patronen te kunnen benoemen die voor betrokkenen zelf normaal zijn geworden. Dat geldt vooral wanneer formeel beleid en feitelijk gedrag uiteenlopen.

Een organisatie kan bijvoorbeeld vastleggen dat kwaliteit altijd voor commercie gaat. Dat zegt weinig wanneer partners tegelijkertijd uitsluitend worden aangesproken op omzet, marge en declarabiliteit. Zij kan een uitgebreide consultatieprocedure hebben, maar wanneer professionals ervaren dat consultatie vooral vertraging oplevert en carrièretechnisch niet wordt gewaardeerd, zal het bestaan van die procedure weinig zeggen over de beheersing van het risico.

Voor compliance is daarom niet alleen van belang welke regels bestaan, maar ook welke prikkels de organisatie daadwerkelijk creëert. Welke gedragingen worden beloond? Welke worden stilzwijgend geaccepteerd? Wat gebeurt er wanneer iemand omzet opgeeft vanwege een professioneel bezwaar? En welke boodschap geeft het bestuur wanneer kwaliteit en commercieel resultaat daadwerkelijk met elkaar botsen?

Daarmee komen cultuur, governance en kwaliteitsmanagement bij elkaar. Compliance kan geen goede cultuur voorschrijven en evenmin kwaliteit produceren. Zij kan wel zichtbaar maken waar de feitelijke werking van de organisatie afwijkt van haar formele uitgangspunten en waar daardoor risico’s ontstaan.

Dat vraagt soms ook terughoudendheid van compliance. Niet ieder risico moet worden opgelost met een nieuwe regel. Niet iedere tekortkoming vraagt om een nieuwe controle. En niet iedere professionele afweging moet vooraf door compliance worden goedgekeurd. Een compliancefunctie die ieder risico probeert uit te sluiten, maakt de organisatie niet noodzakelijk veiliger. Zij kan professionals juist het gevoel geven dat verantwoordelijkheid kan worden vervangen door het volgen van procedures.

De kunst is daarom niet om zoveel mogelijk beheersmaatregelen te creëren, maar om te beoordelen of de organisatie de juiste risico’s kent, daar passende maatregelen tegenover heeft gezet en leert wanneer die maatregelen onvoldoende blijken te werken.

Daarmee is compliance uiteindelijk geen tegenkracht van commercie en ook geen eigenaar of bepaler van kwaliteit. Samen met risk en integriteitsbewaking helpt zij de organisatie voorkomen dat kortetermijnbelangen, lokale optimalisatie, niet-integer gedrag of blinde vlekken haar duurzame belang aantasten.

Niet door kwaliteit te leveren of te bepalen, maar door eraan bij te dragen dat de organisatie waarin kwaliteit moet ontstaan zichzelf niet in de weg zit.

Vertrouwen als kapitaal

Een accountantsorganisatie erft iedere ochtend een deel van haar verdienvermogen uit het verleden. Zij profiteert van de reputatie die eerdere generaties hebben opgebouwd, van cliënten die goede ervaringen hebben gehad, van medewerkers die hun vak serieus namen en uiteindelijk ook van het vertrouwen dat het accountantsberoep als geheel in de samenleving heeft verworven.

Dat vertrouwen is kapitaal. Het bijzondere is dat dit kapitaal nauwelijks zichtbaar is. Het staat niet als afzonderlijk actief op de balans en er wordt niet op afgeschreven. Toch draagt het bij aan toekomstige kasstromen en baten. Een goede reputatie helpt opdrachten te winnen en te behouden, maakt een organisatie aantrekkelijk voor goede professionals en zorgt ervoor dat cliënten bereid zijn een passende prijs voor haar dienstverlening te betalen.

Juist doordat het niet zichtbaar is, kan erop worden ingeteerd zonder dat dit onmiddellijk in de cijfers verschijnt. Een organisatie die minder investeert in opleiding, vaktechniek of kwaliteitsmanagement verlaagt vandaag haar kosten. Wie opdrachten structureel te krap bemenst, verbetert mogelijk de realisatie. Wie een winstgevende maar riskante cliënt behoudt, beschermt zijn omzet. Wie compliance reduceert, interne onderzoeken oppervlakkiger uitvoert of signalen van niet-integer gedrag laat liggen, kan daar op korte termijn financieel zelfs voordeel van hebben.

Geen van die beslissingen hoeft morgen tot een incident te leiden. Dat maakt vertrouwen vergelijkbaar met ander productief kapitaal. Een onderneming kan onderhoud aan machines uitstellen en daardoor tijdelijk een beter resultaat presenteren. De machine blijft meestal nog wel even draaien. Het resultaat lijkt verbeterd, terwijl in werkelijkheid vermogen wordt geconsumeerd dat eerder is opgebouwd. De rekening verschijnt pas later.

Bij vertrouwen is dat mechanisme nog verraderlijker. Een versleten machine begint te trillen. Erosie van vertrouwen kan lange tijd onzichtbaar blijven. Kapitaalbescherming vraagt daarom om een langere tijdshorizon dan de gebruikelijke resultaatmeting gemakkelijk biedt. De kosten van bescherming zijn vandaag zichtbaar; de waarde die ermee wordt beschermd meestal niet.

Dat is geen argument voor onbeperkte uitgaven aan kwaliteit, risk, compliance of integriteit. Kapitaal beschermen kan zelf inefficiënt worden georganiseerd. Een beheersmaatregel moet niet worden verdedigd met de mededeling dat zij ‘voor de kwaliteit’ is. Ook zij moet een aantoonbaar redelijk antwoord zijn op een werkelijk risico.

Daarin ligt een belangrijke gezamenlijke functie van kwaliteitsmanagement, risk, compliance en integriteitsbewaking. Zij zijn niet het kapitaal zelf en evenmin eigenaar ervan. Zij helpen voorkomen dat de organisatie ongemerkt inteert op de voorwaarden waaronder zij ook morgen nog haar beroep kan uitoefenen.

Kwaliteitsmanagement beschermt het vermogen om professioneel goed werk te leveren. Risk maakt zichtbaar waardoor doelstellingen en daarmee toekomstige waarde worden bedreigd. Compliance bewaakt dat de organisatie niet door normoverschrijding haar eigen positie aantast. Integriteitsbewaking voorkomt dat cliënten, medewerkers of andere relaties binnen de organisatie schade kunnen veroorzaken die veel verder reikt dan hun directe economische bijdrage.

Daarmee krijgen deze functies ook een andere plaats in het commerciële denken. Zij staan niet tegenover de onderneming alsof zij van buitenaf grenzen stellen aan het verdienen van geld. Zij beschermen mede het kapitaal waarmee dat geld in de toekomst moet worden verdiend.

Dat maakt hun positie soms ondankbaar. Kapitaalbescherming is het meest succesvol wanneer er weinig gebeurt. Het incident dat wordt voorkomen komt niet in de jaarrekening. De cliënt die tijdig wordt geweigerd veroorzaakt geen claim waarvan achteraf kan worden berekend hoeveel geld is bespaard. De medewerker van wie vroegtijdig afscheid wordt genomen veroorzaakt niet het integriteitsschandaal dat anders misschien jaren later zichtbaar was geworden. Het succes bestaat voor een belangrijk deel uit gebeurtenissen die niet plaatsvinden.

Daarmee ontstaat ook een gevaar. Wat niet zichtbaar rendeert, wordt gemakkelijk als overhead beschouwd. Zodra kwaliteit, risk, compliance en integriteit uitsluitend als kostenpost worden benaderd, ligt de vraag voor de hand hoeveel erop kan worden bespaard. De betere vraag is welk kapitaal ermee wordt beschermd en welk risico de organisatie loopt wanneer die bescherming wordt verminderd.

Dat is uiteindelijk een bestuurlijke afweging. Geen enkele organisatie kan ieder risico uitsluiten en niet iedere euro die aan beheersing wordt besteed creëert waarde. Maar een bestuur dat alleen de kosten van kapitaalbescherming ziet en niet het kapitaal dat ermee wordt beschermd, kan een uitstekend resultaat presenteren terwijl het ondertussen zijn toekomstige verdienvermogen consumeert.

Daarmee krijgt ook de tegenstelling waarmee dit hoofdstuk begon een andere betekenis. Kwaliteit, publiek belang en commercieel belang hoeven niet steeds opnieuw met elkaar te worden verzoend. Op de langere termijn ontmoeten zij elkaar in hetzelfde vermogen: het vertrouwen waarop de accountantsorganisatie haar maatschappelijke positie én haar toekomstige verdienvermogen baseert.

De duurzame accountantsorganisatie kiest daarom niet tussen kwaliteit en commercie. Zij beschermt het kapitaal waarmee zij haar geld verdient.

Terug naar de inhoudsopgave

Klik hier voor de inhoudsopgave.

Inleiding

Ik heb een wat bizarre fascinatie voor de film Gettysburg. Als het stormt in mijn hoofd kijk ik naar deze film en vind ik rust. De film ken ik inmiddels uit mijn hoofd. De veldslag zelf is een historisch nogal bekende.

Misschien is dat juist de reden. Te midden van de chaos zie je duizenden mensen worstelen met plicht, moed, angst, verantwoordelijkheid en toeval.

Op de eerste dag van die veldslag, op 1 juli 1863, reed de Noordelijke generaal John Reynolds naar voren om de situatie te beoordelen. Hij was een van de meest gewaardeerde bevelhebbers van het leger van de Unie. Kort daarna werd hij door een Zuidelijke scherpschutter in de nek getroffen en gedood.

Historici discussiëren nog altijd over de vraag hoeveel invloed zijn dood heeft gehad op het verdere verloop van de slag. Reynolds was een ervaren commandant, geliefd bij zijn mannen en gerespecteerd door zijn collega’s. Zijn overlijden veranderde de bevelsstructuur op een cruciaal moment.

De naam van Reynolds kennen we nog steeds.

De naam van de scherpschutter niet.

Toch is het heel goed mogelijk dat de onbekende soldaat meer invloed heeft gehad op het verloop van Gettysburg dan de generaal die hij doodschoot. De geschiedenis onthoudt de zichtbare spelers. Causaliteit trekt zich daar weinig van aan.

Organisaties kennen een vergelijkbaar verschijnsel. Wie de organogrammen bekijkt, ziet bestuurders, directeuren en managers. Zij hebben formele macht. Hun namen staan op besluiten, beleidsstukken en jaarverslagen. Maar wie goed kijkt, ziet ook een andere werkelijkheid. Een opmerking tijdens een vergadering, een kritische vraag, een risicoanalyse of een advies kan gevolgen hebben die veel verder reiken dan op dat moment zichtbaar is.

Juist compliance officers hebben soms moeite om hun positie in dat krachtenveld goed te begrijpen. Sommigen onderschatten hun invloed en verschuilen zich achter het argument dat zij slechts adviseren. Anderen overschatten hun belang en gaan zich gedragen alsof zij de organisatie mede besturen.

Dat zijn twee tegenovergestelde fouten.

De eerste is denken dat je geen invloed hebt.

De tweede is denken dat de organisatie om jou draait.

Misschien zijn dat wel de twee belangrijkste zonden van de compliance officer.

De eerste zonde: ontkennen dat je invloed hebt

De eerste zonde van de compliance officer is niet hoogmoed.

Het is valse bescheidenheid.

Vrijwel iedere compliance officer heeft wel eens een variant uitgesproken van dezelfde zin:

“Ik geef alleen advies.”

Daarmee wordt meestal bedoeld dat de verantwoordelijkheid voor besluiten bij het management ligt. En dat is natuurlijk waar. Een compliance officer neemt geen commerciële besluiten, stelt geen strategie vast en bestuurt geen organisatie. Dat behoort ook niet tot zijn rol. Het probleem ontstaat wanneer deze constatering ongemerkt verandert in een vrijbrief.

Ik geef alleen advies. Het management beslist. Dus ben ik niet verantwoordelijk voor wat er vervolgens gebeurt.

Dat klinkt redelijk. Maar het klopt niet.

Invloed verdwijnt niet doordat je haar ontkent.

Een risicoanalyse die niet wordt uitgevoerd, kan een investering tegenhouden. Een kritisch gesprek kan een bestuurder aan het twijfelen brengen. Een rapport kan leiden tot een onderzoek, een disciplinaire maatregel of juist tot het besluit om ergens van af te zien. Zelfs wanneer een advies niet wordt opgevolgd, heeft het vaak invloed op de discussie die eraan voorafgaat en de verantwoording die erop volgt.

Compliance officers beschikken meestal over weinig formele macht. Maar formele macht is niet hetzelfde als invloed. Wie jarenlang bestuurders, partners, directeuren en managers adviseert, beïnvloedt onvermijdelijk de manier waarop besluiten tot stand komen.

Juist daarom is de gedachte “ik geef alleen advies” gevaarlijk. Niet omdat zij getuigt van te veel ambitie, maar omdat zij de eigen betekenis kleiner maakt dan zij werkelijk is.

De politieke filosofe Hannah Arendt wees erop dat grote maatschappelijke misstanden vaak niet ontstaan doordat mensen bewust kwaad willen doen, maar doordat zij weigeren hun eigen handelingsruimte onder ogen te zien. Zij beschouwen zichzelf als radertjes in een machine, uitvoerders van besluiten, mensen zonder echte invloed.

Dat mechanisme beperkt zich niet tot de geschiedenis. Het komt ook voor in organisaties.

Wie zichzelf overtuigt dat hij geen invloed heeft, zal die invloed ook niet zorgvuldig gebruiken.

En juist daarin schuilt het gevaar.

De tweede zonde: jezelf overschatten

De tweede zonde van de compliance officer is het spiegelbeeld van de eerste. Waar de eerste zonde voortkomt uit een onderschatting van de eigen invloed, ontstaat de tweede juist uit een overschatting ervan. Dat gebeurt zelden van de ene op de andere dag.

Veel compliance officers zijn intelligente, betrokken en ervaren professionals. Zij zien patronen. Zij herkennen risico’s voordat anderen ze zien. Zij zien hoe regels, processen, cultuur en gedrag met elkaar samenhangen. Vaak zien zij ook problemen aankomen die pas maanden of jaren later zichtbaar worden voor de rest van de organisatie.

Dat zijn waardevolle eigenschappen. Maar juist daarin schuilt een gevaar.

Wie vaak gelijk krijgt, loopt het risico te gaan geloven dat hij niet alleen risico’s beter begrijpt dan anderen, maar ook de organisatie zelf. De compliance officer begint zich te ergeren aan commerciële afwegingen. Aan bestuurlijke compromissen. Aan besluiten die naar zijn oordeel niet optimaal zijn. Langzaam ontstaat de overtuiging dat de organisatie beter zou functioneren als men maar wat beter luisterde naar compliance.

Dat is een begrijpelijke gedachte. En uiteindelijk altijd de verkeerde.

Een compliance officer ziet risico’s beter dan de meeste mensen. Dat is immers zijn vak. Maar organisaties bestaan niet uitsluitend om risico’s te vermijden. Zij moeten ook ondernemen, investeren, innoveren, groeien, concurreren, mensen aannemen en soms zelfs bewust risico’s accepteren.

Wie alleen naar risico’s kijkt, ziet een belangrijk deel van de werkelijkheid. Maar niet de hele werkelijkheid.

Juist daarom is compliance een tweedelijnsfunctie en geen bestuursfunctie. Het is de taak van de compliance officer om risico’s zichtbaar te maken, ongemakkelijke vragen te stellen en bestuurders te confronteren met mogelijke gevolgen van hun keuzes. Het is niet zijn taak om die keuzes zelf te maken. Invloed is geen eigenaarschap.

De strategie is niet van compliance.

De commerciële koers is niet van compliance.

De organisatie is niet van compliance.

Dat betekent niet dat de compliance officer onbelangrijk is. Integendeel. Zijn invloed kan groot zijn. Maar invloed en verantwoordelijkheid zijn niet hetzelfde. Wie dat onderscheid uit het oog verliest, loopt het risico zich met alles te gaan bemoeien en uiteindelijk de geloofwaardigheid van de functie te ondergraven.

De compliance officer is geen verborgen bestuurder. En hij hoeft dat ook niet te zijn.

Sterker, hij mag dat niet zijn.

De eer van de tweede lijn

Na de eerste twee zonden blijft een ongemakkelijke positie over. De compliance officer heeft invloed, maar geen beslissingsmacht. Hij draagt verantwoordelijkheid, maar niet de eindverantwoordelijkheid. Hij ziet risico’s, maar bepaalt niet welke risico’s worden geaccepteerd.

Veel mensen ervaren dat als frustrerend.

Dat is begrijpelijk. Vrijwel iedereen heeft liever duidelijkheid. Of je beslist zelf, of iemand anders beslist. De tweede lijn bevindt zich precies tussen die twee werelden. Misschien is dat de reden waarom goede compliance officers zo zeldzaam zijn.

Het vak vraagt om eigenschappen die elkaar lijken tegen te spreken.

Je moet overtuigd genoeg zijn om een bestuurder tegen te spreken. Maar niet zo overtuigd dat je denkt zelf bestuurder te zijn.

Je moet onafhankelijk genoeg zijn om weerstand te bieden. Maar niet zo onafhankelijk dat je jezelf buiten de organisatie plaatst.

Je moet vasthoudend zijn. Maar niet koppig.

Bescheiden. Maar niet timide.

In een inmiddels oud computerspel komt een personage voor genaamd Kreia. Een van haar terugkerende thema’s is dat mensen zelden begrijpen welke gevolgen hun handelen heeft. Een klein gebaar kan onverwachte gevolgen hebben. Een grote beslissing kan uiteindelijk betekenisloos blijken. Wie invloed wil begrijpen, moet leren leven met onzekerheid.

Daarin schuilt misschien een onverwachte verwantschap met compliance. De compliance officer ziet nooit het hele bord.

Net als bestuurders.

Net als toezichthouders.

Net als medewerkers.

Zijn taak is niet om de toekomst te beheersen, maar om zo goed mogelijk te handelen met de kennis die hij vandaag bezit. Dat klinkt minder heroïsch dan de verhalen die organisaties soms over zichzelf vertellen.

Maar het is eervol.

Want uiteindelijk wordt een organisatie niet alleen gevormd door grote visies, strategische plannen en moedige besluiten. Zij wordt ook gevormd door mensen die op het juiste moment de juiste vraag stellen.

Slot

John Reynolds kennen we nog steeds. De naam van de scherpschutter kennen we niet. Misschien is dat maar goed ook.

Want die soldaat had invloed zonder iets te dragen. Hij koos niet. Hij woog niet af. Hij verantwoordde zich niet. Hij haalde de trekker over en verdween in de naamloosheid. Er valt niets aan hem te onthouden, omdat er niets te dragen viel. Alleen de handeling blijft, de mens is vergeten.

Dat is precies wat de compliance officer niet gegund is.

Zijn invloed komt nooit zonder gewicht. Hij ziet wie hij raakt. Hij weegt af. Hij moet zich verantwoorden, ook als zijn advies niet wordt opgevolgd. En juist daarom zijn beide zonden zo verleidelijk. Ontkennen dat je invloed hebt, of jezelf tot verborgen bestuurder maken, het zijn twee manieren om aan datzelfde gewicht te ontsnappen. De een legt het bij het management, de ander eigent het zich helemaal toe. Geen van beide houdt het vast waar het hoort: in het midden, waar invloed en verantwoordelijkheid niet samenvallen en toch allebei van jou zijn.

Daar staan is niet comfortabel. Maar het is wel eervol.

Invloed is geen beloning. Invloed is geen erkenning. Invloed is ook geen functie. Invloed is eenvoudigweg het vermogen om verschil te maken in de wereld om je heen. Soms zichtbaar. Vaker onzichtbaar.

De meeste compliance officers zullen nooit een organisatie leiden. Hun naam zal niet verbonden worden aan een fusie, een strategie of een reorganisatie. Hun foto komt niet in het jaarverslag en hun afscheid zal zelden een hoofdstuk krijgen in de geschiedenis van de onderneming.

En dat hoeft ook niet.

Hun taak is belangrijker en bescheidener tegelijk. De juiste vraag stellen. Het juiste risico benoemen. Het juiste gesprek voeren.