My Essay

Categorie: Accountancy

  • Verantwoording en toezicht

    Macht vraagt om rekenschap

    Macht wordt toevertrouwd

    Geen enkele bestuurder bezit macht. De bevoegdheden waarover hij beschikt zijn hem door anderen toevertrouwd.

    Dat lijkt misschien een merkwaardige constatering. Een bestuurder bepaalt immers de koers van de organisatie. Hij neemt besluiten over investeringen, stelt prioriteiten, sluit overeenkomsten en verdeelt middelen. Daarmee beschikt hij onmiskenbaar over macht. Toch is die macht nooit van hemzelf.

    Neem een onderneming. Het bestuur beslist waaraan het beschikbare kapitaal wordt besteed. Er wordt geïnvesteerd in nieuwe activiteiten, personeel aangetrokken of juist gereorganiseerd, machines aangeschaft of vestigingen geopend. Maar waar komt dat kapitaal eigenlijk vandaan? Niet van het bestuur. Het is door aandeelhouders, leden of financiers aan de organisatie beschikbaar gesteld, in de verwachting dat het zorgvuldig en overeenkomstig het doel van de organisatie zal worden aangewend. Het bestuur neemt die beslissingen daarom niet op eigen titel, maar namens degenen die het beheer over dat vermogen aan hem hebben toevertrouwd.

    Hetzelfde geldt voor werknemers. Door een arbeidsovereenkomst aan te gaan, stellen zij hun tijd, kennis, ervaring en vaardigheden ter beschikking aan de organisatie. Gedurende de overeengekomen werktijd bepalen bestuur en management hoe deze worden ingezet om de doelstellingen van de organisatie te realiseren. Ook deze bestuurlijke bevoegdheid ontstaat dus niet vanzelf. Zij berust op het vertrouwen dat werknemers een belangrijk deel van hun professionele autonomie aan de organisatie toevertrouwen.

    Sommige bevoegdheden hebben bovendien een nog bredere oorsprong. Accountantsorganisaties vervullen een rol in het maatschappelijk verkeer die door wet- en regelgeving wordt erkend en begrensd. Opdrachtgevers vertrouwen accountants hun opdrachten toe. De wetgever vertrouwt hen, direct of indirect, een rol toe bij de bescherming van het maatschappelijk verkeer. Ook deze bevoegdheden zijn niet vanzelfsprekend. Zij bestaan omdat anderen erop vertrouwen dat zij zorgvuldig, deskundig en overeenkomstig hun doel worden uitgeoefend.

    De bevoegdheden waarover bestuurders beschikken zijn daarmee niet hun eigendom, maar hun door anderen toevertrouwd. Vanuit dat eenvoudige gegeven laten zich de beginselen van governance, verantwoording en toezicht vrijwel vanzelf verklaren.

    Gedelegeerde macht

    Dat bestuurders bevoegdheden van anderen ontvangen, betekent nog niet dat zij deze ook persoonlijk kunnen uitoefenen. Integendeel. Naarmate een organisatie groeit, wordt duidelijk dat dit onmogelijk is. Een bestuurder kan onmogelijk iedere opdracht aannemen, iedere investering beoordelen, iedere medewerker aansturen of iedere operationele beslissing zelf nemen. Zou hij dat wel proberen, dan zou de organisatie al snel onbestuurbaar worden.

    De oplossing is delegatie. Het bestuur draagt bevoegdheden over aan anderen binnen de organisatie. Managers krijgen de ruimte om afdelingen aan te sturen, teamleiders organiseren de dagelijkse werkzaamheden en professionals nemen binnen de grenzen van hun functie en verantwoordelijkheid zelfstandig beslissingen. Zonder deze overdracht van bevoegdheden zou een moderne organisatie eenvoudigweg niet kunnen functioneren. Delegatie is daarmee geen uitzondering op het beginsel van toevertrouwde macht, maar juist de wijze waarop dat beginsel binnen organisaties vorm krijgt.

    De manager beschikt daarbij niet over eigen macht. Hij oefent bevoegdheden uit die hem door het bestuur zijn gedelegeerd. Het bestuur beschikt op zijn beurt over bevoegdheden die haar door aandeelhouders, opdrachtgevers, de wetgever of andere belanghebbenden zijn toevertrouwd. De bron van de bevoegdheid blijft daarmee steeds dezelfde; alleen degene die haar uitoefent verandert.

    Binnen accountantsorganisaties bestaat daarnaast een bijzondere categorie bevoegdheden. De openbaar accountant ontleent zijn vaktechnische verantwoordelijkheid niet aan het bestuur, maar rechtstreeks aan wet- en regelgeving. Zijn bevoegdheid om een controleverklaring af te geven, een samenstellingsverklaring te ondertekenen of andere voorbehouden werkzaamheden uit te voeren, wordt hem niet door het bestuur gedelegeerd, maar door de wetgever toegekend. Die bevoegdheid is bovendien verbonden aan een eigen professionele verantwoordelijkheid en een eigen tuchtrecht.

    Dat betekent niet dat het bestuur hierbij geen rol speelt. Integendeel. Het bestuur is verantwoordelijk voor de inrichting van de organisatie, de kwaliteitssystemen, de randvoorwaarden waarbinnen accountants hun beroep kunnen uitoefenen en het toezicht op de naleving daarvan. Het bestuur is daarmee niet de bron van de vaktechnische bevoegdheden van de accountant, maar wel medeverantwoordelijk voor de omstandigheden waaronder deze worden uitgeoefend.

    Niet iedere bevoegdheid binnen een accountantsorganisatie ontstaat dus op dezelfde wijze. Sommige bevoegdheden worden hiërarchisch gedelegeerd. Andere worden rechtstreeks door wet- en regelgeving aan professionals toegekend. Gemeenschappelijk is echter dat geen van beide vormen van bevoegdheid vrijblijvend is.

    Macht vraagt om rekenschap

    Waar bevoegdheden worden toevertrouwd of gedelegeerd, ontstaat onvermijdelijk de behoefte aan rekenschap. Niet omdat degene die de bevoegdheid heeft overgedragen iedere beslissing zelf wil controleren. Integendeel. Het doel van een organisatie is om talloze afzonderlijke beslissingen samen te brengen bij een bestuurder of andere functionaris die deze in onderlinge samenhang kan nemen.

    Een aandeelhouder wil niet zelf beslissen over iedere investering. Een opdrachtgever wil niet betrokken zijn bij iedere professionele afweging van de accountant. Werknemers willen niet gezamenlijk bepalen hoe iedere werkdag wordt ingericht. Zij vertrouwen deze beslissingen juist toe aan anderen, omdat daarmee samenhang, continuïteit en doelgerichtheid ontstaan.

    Rekenschap is noodzakelijk. Niet om iedere afzonderlijke beslissing achteraf opnieuw te beoordelen, maar om inzicht te geven in de wijze waarop de toevertrouwde bevoegdheden als geheel zijn uitgeoefend. Rekenschap brengt honderden of duizenden afzonderlijke beslissingen terug tot beleid, afwegingen en resultaten. Zij maakt het mogelijk om het handelen van een bestuurder of professional te beoordelen zonder iedere beslissing afzonderlijk opnieuw te hoeven nemen.

    Rekenschap is daarmee geen uiting van wantrouwen, maar een voorwaarde voor verantwoord vertrouwen. Zij stelt degene die bevoegdheden heeft toevertrouwd in staat zich een oordeel te vormen over de wijze waarop daarmee is omgegaan. Een bevoegdheid zonder rekenschap is uiteindelijk niets anders dan willekeur.

    Verantwoording: plicht en recht

    Rekenschap en verantwoording

    In het voorgaande is vooral gesproken over rekenschap. Dat is niet hetzelfde als verantwoording, al worden beide begrippen in de praktijk vaak door elkaar gebruikt.

    Rekenschap heeft betrekking op de inhoud. Zij bestaat uit het inzicht geven in de wijze waarop bevoegdheden zijn uitgeoefend, welke afwegingen daarbij zijn gemaakt en welke resultaten daarmee zijn bereikt. Rekenschap geeft antwoord op de vraag wat is gedaan en waarom.

    Verantwoording is het proces waarin die rekenschap wordt afgelegd, besproken en beoordeeld. Zij veronderstelt een relatie tussen degene die bevoegdheden uitoefent en degene die deze bevoegdheden heeft toevertrouwd of daarop toezicht houdt. Verantwoording is daarmee meer dan het verstrekken van informatie. Zij maakt het mogelijk dat over het handelen een oordeel wordt gevormd.

    Het onderscheid is van belang. Rekenschap kan worden afgelegd zonder dat daadwerkelijk verantwoording plaatsvindt. Pas wanneer degene die rekenschap aflegt en degene die daarover een oordeel vormt met elkaar in relatie treden, ontstaat verantwoording in de betekenis die governance daaraan geeft.

    Verantwoording als plicht

    De plicht tot verantwoording vloeit rechtstreeks voort uit de wijze waarop macht binnen moderne organisaties is georganiseerd. Wie iets van waarde aan een ander toevertrouwt, zal uiteindelijk willen weten hoe daarmee is omgegaan. Aandeelhouders willen weten hoe het door hen beschikbaar gestelde kapitaal is aangewend. Werknemers willen weten hoe de organisatie omgaat met hun inzet, kennis en ervaring. Opdrachtgevers willen weten hoe hun opdracht is uitgevoerd. De overheid legt maatschappelijke taken neer bij organisaties, maar moet zich op zijn beurt weer kunnen verantwoorden aan parlement en samenleving over de wijze waarop die taken worden uitgevoerd. Op ieder niveau van de samenleving ontstaat zo dezelfde behoefte: degene die bevoegdheden overdraagt, verlangt uiteindelijk rekenschap over de wijze waarop deze zijn gebruikt.

    Daarmee is verantwoording meer dan een administratieve verplichting. Zij is het mechanisme waarmee gedelegeerde macht haar legitimiteit behoudt. Wie bevoegdheden ontvangt, krijgt immers de ruimte om zelfstandig beslissingen te nemen. Juist daarom hoeft degene die deze bevoegdheden heeft overgedragen zich niet met iedere afzonderlijke beslissing te bemoeien. Verantwoording brengt de veelheid aan individuele beslissingen terug tot beleid, afwegingen en resultaten. Zij maakt het mogelijk een oordeel te vormen over het geheel, zonder iedere afzonderlijke beslissing opnieuw te hoeven nemen.

    De plicht tot verantwoording beschermt daarmee niet alleen degene die bevoegdheden heeft toevertrouwd, maar ook de organisatie zelf. Een organisatie waarin macht geen rekenschap hoeft af te leggen, verliest uiteindelijk haar legitimiteit. Bevoegdheden worden dan niet langer uitgeoefend namens anderen, maar uitsluitend op gezag van degene die ze uitoefent. Verantwoording maakt zo het verschil tussen gedelegeerde bevoegdheid en autonome macht.

    Verantwoording is de prijs die macht betaalt om geen willekeur te worden.

    Verantwoording als recht

    Een bestuurder heeft niet alleen de plicht zich te verantwoorden. Hij heeft ook het recht zich te verantwoorden.

    Die gedachte lijkt op het eerste gezicht minder vanzelfsprekend. Verantwoording wordt immers vaak gezien als een instrument van toezicht. De nadruk ligt dan op de bevoegdheid van de toezichthouder om vragen te stellen en het handelen van bestuurders of andere functionarissen te beoordelen. Daarmee dreigt echter uit het oog te worden verloren dat een verantwoordingsrelatie altijd twee partijen kent.

    Wie over het handelen van een ander een oordeel wil vormen, zal die ander eerst in de gelegenheid moeten stellen rekenschap af te leggen. Bestuurders moeten kunnen uitleggen welke informatie hun destijds ter beschikking stond, welke belangen zij hebben afgewogen, welke onzekerheden zij onderkenden en waarom uiteindelijk voor een bepaalde koers is gekozen. Pas wanneer die rekenschap is afgelegd, kan een zorgvuldig oordeel worden gevormd. Zonder die mogelijkheid bestaat het risico dat besluiten uitsluitend worden beoordeeld met de kennis van achteraf.

    Verantwoording beschermt daarmee niet alleen degenen aan wie bevoegdheden zijn toevertrouwd, maar ook degenen die deze bevoegdheden uitoefenen. Zij waarborgt dat het handelen van bestuurders, managers en professionals wordt beoordeeld op basis van de feiten en omstandigheden waaronder de besluiten zijn genomen, en niet uitsluitend op basis van de uiteindelijke uitkomst.

    Decharge, het sluitstuk van verantwoording

    Wanneer eindigt verantwoording?

    Wanneer een bestuurder of andere functionaris verantwoording heeft afgelegd, is daarmee de verantwoordingsrelatie dan ook beëindigd? Het antwoord op die vraag is minder vanzelfsprekend dan het lijkt.

    Zolang bevoegdheden worden uitgeoefend, zal steeds opnieuw rekenschap moeten worden afgelegd. Verantwoording is daarom geen eenmalige gebeurtenis, maar een voortdurend proces. Dat betekent echter niet dat iedere afzonderlijke verantwoordingscyclus oneindig blijft voortduren. Zou dat wel het geval zijn, dan zou een bestuurder zich tot in lengte van jaren moeten blijven verantwoorden voor iedere beslissing die hij ooit heeft genomen. Dat zou niet alleen onwerkbaar zijn, maar ook afbreuk doen aan het recht dat die verantwoording tot een oordeel leidt. Een verantwoording die nooit tot een oordeel komt, blijft immers onafgemaakt.

    Daarom kent goed bestuur niet alleen een begin van een verantwoordingsrelatie, maar ook een einde daarvan. Nadat rekenschap is afgelegd, verantwoording heeft plaatsgevonden en een oordeel is gevormd, moet ook duidelijk zijn wat de betekenis van dat oordeel is. Is het vertrouwen bevestigd? Zijn er consequenties? Of is de verantwoordingsrelatie voor de betreffende periode afgerond?

    Het ondernemingsrecht kent voor die afronding een bijzonder begrip: decharge.

    Decharge als afronding

    In het ondernemingsrecht wordt de formele afronding van een verantwoordingscyclus aangeduid met het begrip decharge. Decharge is veel meer dan een juridisch instrument. Zij markeert het moment waarop wordt vastgesteld dat over een bepaalde periode rekenschap is afgelegd, verantwoording heeft plaatsgevonden en daarover een oordeel is gevormd. Daarmee wordt de verantwoordingsrelatie voor die periode afgesloten.

    Misschien laat de betekenis van decharge zich nog het beste begrijpen aan de hand van een persoonlijke relatie. Stel dat twee partners samen op vakantie zijn geweest. Tijdens de reis zijn honderden, misschien wel duizenden kleine beslissingen genomen. Waar gaan we eten? Welke route rijden we? Welke bezienswaardigheden slaan we over? Wanneer gaan we terug naar de camping? Achteraf komt het fotoboek terug van de HEMA. Samen bladeren zij het nog één keer door. Niet om iedere afzonderlijke beslissing opnieuw te beoordelen, maar om terug te kijken op de reis als geheel. Hebben we bereikt wat we wilden? Was het een mooie vakantie? Zijn er dingen die we een volgende keer anders zouden doen?

    Wanneer dat gesprek is gevoerd, gaat het fotoboek terug in de kast. Niet omdat de vakantie wordt vergeten, maar omdat zij een plaats heeft gekregen. Natuurlijk kan het album jaren later nog eens worden gepakt om herinneringen op te halen. Maar een gezonde relatie haalt het niet telkens opnieuw uit de kast om oude discussies alsnog te beslechten. Dan zou de vakantie nooit werkelijk zijn afgelopen.

    Decharge vervult binnen governance precies dezelfde functie. Zij markeert het moment waarop een verantwoordingsperiode wordt afgesloten. Niet omdat het verleden wordt uitgewist, maar omdat het is besproken, beoordeeld en een plaats heeft gekregen. Pas daarna ontstaat de ruimte om met hernieuwd vertrouwen aan een nieuwe verantwoordingscyclus te beginnen.

    Decharge is geen vrijbrief

    Decharge betekent niet dat het verleden wordt uitgewist. Ook na decharge kunnen nieuwe feiten aan het licht komen, kunnen eerder verborgen tekortkomingen zichtbaar worden of kan blijken dat de afgelegde verantwoording onvolledig of onjuist was. Decharge is daarom geen vrijbrief en evenmin een garantie dat over een bepaalde periode nooit meer vragen zullen worden gesteld.

    Dat doet echter niets af aan haar betekenis. Decharge brengt tot uitdrukking dat op basis van de informatie die op het moment van de verantwoording beschikbaar was, een zorgvuldig oordeel is gevormd. Juist daarom vormt zij het sluitstuk van een verantwoordingscyclus. Niet omdat iedere onzekerheid is verdwenen, maar omdat de verantwoordingsrelatie op dat moment zorgvuldig is doorlopen.

    Ook in persoonlijke relaties geldt dat vertrouwen nooit absoluut is. Wie samen terugkijkt op een vakantie, sluit daarmee niet uit dat jaren later nieuwe herinneringen of inzichten bovenkomen. Wel spreken beide partners uit dat de reis als geheel een plaats heeft gekregen. Alleen wanneer later blijkt dat essentiële informatie ontbrak of bewust is achtergehouden, ontstaat aanleiding die gezamenlijke conclusie opnieuw ter discussie te stellen.

    Zo is het ook met decharge. Zij beschermt niet degene die misleidt of informatie achterhoudt. Zij beschermt wel degene die openheid van zaken heeft gegeven en zich naar eer en geweten heeft verantwoord. Daarmee bewaakt decharge niet alleen de belangen van degenen aan wie verantwoording wordt afgelegd, maar ook het recht van degene die verantwoording aflegt dat een zorgvuldig doorlopen verantwoordingsrelatie daadwerkelijk wordt afgerond.

    Toezicht geeft verantwoording betekenis

    Verantwoording vraagt om een ontvanger

    Verantwoording is, zoals hiervoor is besproken, een relationeel begrip. Zij kan alleen bestaan wanneer er niet alleen iemand is die verantwoording aflegt, maar ook iemand die deze ontvangt. Zonder ontvanger blijft rekenschap niet meer dan een verklaring. Pas wanneer een ander bereid en bevoegd is deze te beoordelen, ontstaat verantwoording in de betekenis die governance daaraan geeft.

    Die ontvanger vertegenwoordigt daarbij niet zichzelf, maar degene aan wie uiteindelijk rekenschap verschuldigd is. Wie bevoegdheden heeft toevertrouwd, hoeft de verantwoording niet noodzakelijk zelf te ontvangen. Dat zou in veel gevallen zelfs onpraktisch of onmogelijk zijn. In plaats daarvan kan hij een ander aanwijzen om namens hem toezicht te houden, vragen te stellen en uiteindelijk een oordeel te vormen. Daarmee ontstaat een nieuwe verantwoordingsrelatie, waarin de ontvanger optreedt als vertegenwoordiger van een achterliggend belang.

    Dat is ook de manier waarop grote, anonieme groepen een stem krijgen. Aandeelhouders, kapitaalverstrekkers, burgers of het maatschappelijk verkeer kunnen zich doorgaans niet persoonlijk met het bestuur van een organisatie bezighouden. Hun belangen worden daarom vertegenwoordigd door toezichthouders. Die geven als het ware een gezicht aan een collectief belang, of misschien beter nog: een telefoonnummer. Zij maken het mogelijk dat een organisatie zich niet hoeft te verantwoorden aan een anonieme massa, maar aan een herkenbare vertegenwoordiger die namens die massa vragen stelt, antwoorden ontvangt en een oordeel vormt.

    Daarin ligt de essentie van toezicht. Toezicht is niet het uitoefenen van macht over degene die verantwoording aflegt, maar het vertegenwoordigen van degene die bevoegdheden heeft toevertrouwd. De toezichthouder beoordeelt niet vanuit een persoonlijk belang, maar namens een ander. Daardoor krijgt verantwoording betekenis en kan uiteindelijk worden vastgesteld of het geschonken vertrouwen terecht is geweest.

    Toezicht is zelf ook een verantwoordelijkheid

    Wie toezicht houdt, ontvangt daarmee zelf een bijzondere vorm van macht. De bevoegdheid om vragen te stellen, informatie op te vragen, een oordeel te vormen en soms zelfs in te grijpen, is immers eveneens een bevoegdheid die anderen raakt. Ook deze macht is echter niet van de toezichthouder zelf. Zij is hem toevertrouwd omdat hij geacht wordt een achterliggend belang te vertegenwoordigen.

    Daarin schuilt de eerste verantwoordelijkheid van iedere toezichthouder. Hij moet zich voortdurend afvragen namens wie hij eigenlijk toezicht houdt. Een toezichthouder die handelt vanuit persoonlijke voorkeuren, eigen overtuigingen of de behoefte controle uit te oefenen, verliest gemakkelijk uit het oog welk belang hij behoort te dienen. Goed toezicht begint daarom niet met het stellen van vragen, maar met het besef dat die vragen altijd namens een ander worden gesteld.

    Dat betekent ook dat toezicht nooit een doel op zichzelf mag worden. De taak van de toezichthouder is niet zoveel mogelijk informatie te verzamelen of zoveel mogelijk tekortkomingen te vinden. Zijn taak is zich ervan te vergewissen dat degene aan wie bevoegdheden zijn toevertrouwd, deze zorgvuldig heeft uitgeoefend. Dat vraagt niet alleen om een kritische houding, maar ook om het vermogen te luisteren, context te begrijpen en uiteindelijk een zorgvuldig oordeel te vormen. De toezichthouder vertegenwoordigt niet zijn eigen belang, maar dat van degenen die hem deze taak hebben toevertrouwd.

    Interne toezichthouders

    Binnen organisaties kunnen verschillende interne toezichthouders worden onderscheiden. Hier worden drie daarvan besproken: de Raad van Commissarissen (of, afhankelijk van de rechtsvorm, de Raad van Toezicht), de ondernemingsraad en interne toezichtfuncties zoals Compliance, Risk Management en Internal Audit. Hoewel zij alle drie een toezichthoudende rol vervullen, doen zij dat vanuit een wezenlijk verschillend perspectief en vertegenwoordigen zij verschillende belangen.

    De Raad van Commissarissen neemt daarbij een bijzondere positie in. Hoewel hij deel uitmaakt van de governance van de organisatie, vertegenwoordigt hij primair belangen die buiten de dagelijkse leiding van de organisatie liggen. De ondernemingsraad vertegenwoordigt daarentegen een specifieke groep belanghebbenden binnen de organisatie: de werknemers. Interne toezichtfuncties zoals Compliance, Risk Management en Internal Audit vertegenwoordigen weer een ander perspectief. Zij ondersteunen bestuur en toezichthouders bij het vervullen van hun verantwoordelijkheid voor een integere en beheerste organisatie.

    Deze verschillen maken duidelijk dat intern toezicht niet vanuit één gezichtspunt kan worden begrepen. Toezicht ontleent zijn betekenis niet aan de plaats van een orgaan in het organogram, maar aan het belang dat het vertegenwoordigt. Dat verklaart waarom verschillende toezichthouders binnen dezelfde organisatie soms verschillende vragen stellen, zonder dat zij daarmee verschillende doelen nastreven. Uiteindelijk dienen zij allen hetzelfde uitgangspunt: ervoor zorgen dat bevoegdheden zorgvuldig worden uitgeoefend en dat daarover op een betekenisvolle wijze verantwoording wordt afgelegd.

    De RvC, intern namens de buitenwereld

    De Raad van Commissarissen neemt binnen de governance van een organisatie een bijzondere positie in. Enerzijds maakt hij onmiskenbaar deel uit van de organisatie. Hij kent de onderneming, spreekt met het bestuur, heeft toegang tot interne informatie en is nauw betrokken bij belangrijke strategische beslissingen. Anderzijds is zijn rol nadrukkelijk niet die van bestuurder. De Raad van Commissarissen vertegenwoordigt juist degenen die hun belangen aan de organisatie hebben toevertrouwd, zonder zelf deel uit te maken van de dagelijkse leiding.

    Daarmee staat de Raad van Commissarissen als het ware met één been binnen en met één been buiten de organisatie. Hij staat dicht genoeg bij het bestuur om de afwegingen en dilemma’s waarvoor het zich gesteld ziet te begrijpen, maar voldoende op afstand om daarover onafhankelijk een oordeel te kunnen vormen. Die bijzondere positie maakt de Raad van Commissarissen tot de natuurlijke ontvanger van de verantwoording van het bestuur.

    Doordat de Raad van Commissarissen geen onderdeel is van de dagelijkse besluitvorming, kan hij het achterliggende belang blijven vertegenwoordigen waarvoor het bestuur zijn bevoegdheden uitoefent. Hij beoordeelt niet of hij zelf dezelfde beslissing zou hebben genomen, maar of het bestuur de aan hem toevertrouwde bevoegdheden zorgvuldig heeft uitgeoefend en daarover overtuigend rekenschap heeft afgelegd.

    De Raad van Commissarissen is daarmee veel meer dan een intern toezichtsorgaan. Hij is de geïnstitutionaliseerde vertegenwoordiger van de buitenwereld binnen de governance van de organisatie. Daardoor kan hij de schakel vormen tussen het bestuur, dat bevoegdheden uitoefent, en degenen die deze bevoegdheden uiteindelijk aan de organisatie hebben toevertrouwd.

    De OR, vertegenwoordiger van toevertrouwde arbeid

    Wanneer over governance wordt gesproken, gaat de aandacht al snel uit naar aandeelhouders, financiers en andere kapitaalverschaffers. Dat is begrijpelijk, want zonder kapitaal kan een organisatie niet functioneren. Maar een organisatie kan evenmin bestaan zonder de mensen die dagelijks hun tijd, kennis, ervaring en vaardigheden inzetten om haar doelstellingen te realiseren. Ook werknemers vertrouwen daarmee iets van grote waarde aan de organisatie toe.

    In hoofdstuk 8.1 is al betoogd dat werknemers, door een arbeidsovereenkomst aan te gaan, een belangrijk deel van hun professionele autonomie aan de organisatie toevertrouwen. Gedurende de overeengekomen werktijd bepalen bestuur en management immers hoe hun kennis, ervaring en inzet worden aangewend. Daarmee ontstaat een verantwoordingsrelatie die niet wezenlijk verschilt van die tussen kapitaalverschaffers en bestuur. Alleen het object van vertrouwen is anders. Waar de één kapitaal toevertrouwt, vertrouwt de ander arbeid toe.

    De ondernemingsraad geeft dat belang een stem binnen de governance van de organisatie. Daarmee vertegenwoordigt hij een groep belanghebbenden die individueel vaak slechts beperkte invloed kan uitoefenen, maar gezamenlijk van wezenlijk belang is voor het functioneren van de organisatie. De ondernemingsraad zorgt ervoor dat de belangen van werknemers niet afhankelijk zijn van de toevallige bereidheid van het bestuur om daarnaar te luisteren, maar een vaste plaats krijgen binnen de verantwoordingsstructuur van de organisatie.

    De ondernemingsraad is meer dan een medezeggenschapsorgaan. Hij is de geïnstitutionaliseerde vertegenwoordiger van de werknemers als groep en de natuurlijke ontvanger van verantwoording over de wijze waarop de organisatie met hun toevertrouwde arbeid omgaat.

    Compliance, Risk en Internal Audit

    Compliance, Risk Management en Internal Audit nemen binnen de governance van een organisatie opnieuw een andere positie in. Anders dan de Raad van Commissarissen vertegenwoordigen zij niet primair de buitenwereld. Anders dan de ondernemingsraad vertegenwoordigen zij ook niet een specifieke groep belanghebbenden binnen de organisatie. Hun primaire taak is het ondersteunen van bestuur en toezichthouders bij het invullen van hun eigen verantwoordelijkheid.

    Dat betekent niet dat deze functies geen toezicht houden. Integendeel. Doordat zij onafhankelijk kunnen onderzoeken, analyseren en rapporteren, vervullen zij een belangrijke rol binnen het interne stelsel van checks and balances. Hun toezicht is echter niet gericht op het overnemen van bestuurlijke verantwoordelijkheid, maar op het versterken daarvan. Zij helpen bestuur en toezichthouders vast te stellen of de organisatie haar bevoegdheden zorgvuldig uitoefent, risico’s voldoende beheerst en haar maatschappelijke en wettelijke verantwoordelijkheden nakomt.

    Daarmee vertegenwoordigen deze functies uiteindelijk niet zozeer een specifieke belanghebbende, maar de kwaliteit van de governance van de organisatie zelf. Zij dragen eraan bij dat bestuurders zich daadwerkelijk kunnen verantwoorden en dat toezichthouders hun oordeel kunnen vormen op basis van betrouwbare informatie. Hun toegevoegde waarde ligt daarom niet in het nemen van besluiten, maar in het vergroten van de kwaliteit van de besluitvorming en de verantwoording daarover.

    Compliance, Risk Management en Internal Audit behoren niet tegenover bestuur en toezichthouders te staan, maar naast hen. Onafhankelijk waar dat moet, ondersteunend waar dat kan, en steeds gericht op hetzelfde doel: een organisatie waarin bevoegdheden zorgvuldig worden uitgeoefend en verantwoording meer is dan een formaliteit.

    Extern toezicht

    Ook een goed functionerend stelsel van intern toezicht kent zijn grenzen. Niet omdat interne toezichthouders tekortschieten, maar omdat sommige belangen zich naar hun aard niet lenen om uitsluitend binnen de governance van een organisatie te worden vertegenwoordigd.

    In sommige gevallen gaat het om belangen die een zodanig specialistische kennis vragen dat daarvoor een afzonderlijke toezichthouder is aangewezen. Het toezicht op de naleving van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) is daarvan een voorbeeld. In andere gevallen zijn de belangen zo groot dat de wetgever heeft geoordeeld dat zij niet uitsluitend aan de interne governance van organisaties kunnen worden toevertrouwd. Het publieke vertrouwen in accountantsorganisaties is daarvan een illustratie. Dat raakt niet alleen de cliënten van een accountantsorganisatie of haar bestuur, maar het functioneren van het economische verkeer als geheel.

    Externe toezichthouders ontlenen hun positie daarom niet aan de organisatie waarop zij toezicht houden, maar rechtstreeks aan de wetgever. Zij vertegenwoordigen geen intern belang en vullen ook geen leemte in de interne governance op. Hun taak is het bewaken van belangen waarvan de samenleving heeft geoordeeld dat deze een eigen, onafhankelijke vorm van toezicht vereisen.

    Dat verklaart ook waarom externe toezichthouders een andere positie innemen dan interne toezichthouders. Zij beoordelen niet in de eerste plaats of het bestuur zijn organisatie goed bestuurt, maar of de organisatie voldoet aan de maatschappelijke en wettelijke normen die de wetgever daarvoor heeft gesteld.

    Goed toezicht is meer dan controleren

    In het dagelijks taalgebruik worden toezicht en controle vaak als synoniemen gebruikt. Dat is begrijpelijk, maar doet geen recht aan de aard van toezicht. Controle is een middel; toezicht is een verantwoordelijkheid. Wie toezicht houdt, beperkt zich niet tot het vaststellen of regels zijn nageleefd, maar beoordeelt of bevoegdheden zorgvuldig zijn uitgeoefend en of daarover op betekenisvolle wijze verantwoording is afgelegd.

    Goed toezicht begint daarom niet met het zoeken naar fouten. Het begint met het begrijpen van de verantwoordelijkheid die de ander draagt. Een toezichthouder moet zich verdiepen in de context waarin besluiten zijn genomen, de belangen die zijn afgewogen en de dilemma’s waarmee bestuurders en professionals werden geconfronteerd. Pas daarna kan hij beoordelen of de uitgeoefende bevoegdheden zorgvuldig zijn gebruikt en of de afgelegde verantwoording overtuigt.

    Dat vraagt om een kritische houding, maar evenzeer om terughoudendheid. De toezichthouder is geen medebestuurder en behoort de bestuurlijke afweging niet over te doen. Zijn taak is niet te beoordelen welke beslissing hij zelf zou hebben genomen, maar of de genomen beslissing binnen de grenzen van een zorgvuldige taakuitoefening kon worden genomen. Toezicht respecteert daarmee de ruimte die eerder bewust aan bestuurders en professionals is toevertrouwd.

    Goed toezicht vraagt tenslotte ook om de bereidheid een oordeel te vormen. Wie eindeloos blijft controleren zonder ooit tot een conclusie te komen, vervult uiteindelijk geen toezichthoudende rol meer. Toezicht krijgt pas betekenis wanneer vragen leiden tot een zorgvuldig oordeel en een verantwoordingscyclus daadwerkelijk kan worden afgerond.

    Het stelsel van intern en extern toezicht

    In de voorgaande paragrafen zijn verschillende vormen van toezicht besproken. Op het eerste gezicht lijken zij sterk van elkaar te verschillen. De Raad van Commissarissen vervult een andere rol dan de ondernemingsraad. Compliance, Risk Management en Internal Audit hebben een andere positie dan externe toezichthouders zoals de AFM of het Bureau Financieel Toezicht. Toch zijn deze verschillen minder fundamenteel dan zij op het eerste gezicht lijken. Uiteindelijk maken zij alle deel uit van één samenhangend stelsel van intern en extern toezicht.

    Dat stelsel vindt zijn oorsprong in de manier waarop organisaties zijn ingericht. Bevoegdheden worden door verschillende groepen aan de organisatie toevertrouwd. Kapitaalverschaffers vertrouwen hun vermogen toe, werknemers hun arbeid, kennis en ervaring, de wetgever de uitvoering van publieke taken en de samenleving haar vertrouwen in een goed functionerend economisch verkeer. Uit die verschillende vormen van toevertrouwen ontstaan evenzovele verantwoordingsrelaties. En waar verantwoording moet worden afgelegd, ontstaat de behoefte aan toezicht.

    Niet iedere toezichthouder vertegenwoordigt daarbij hetzelfde belang. Een moderne organisatie kent verschillende vormen van toezicht, die elkaar aanvullen zonder elkaar te vervangen. Interne toezichthouders zijn verweven met de governance van de organisatie en beoordelen of bevoegdheden zorgvuldig worden uitgeoefend vanuit de belangen die zij vertegenwoordigen. Externe toezichthouders bewaken maatschappelijke en wettelijke belangen waarvan de wetgever heeft geoordeeld dat zij een zelfstandige vorm van toezicht vereisen. Samen zorgen zij ervoor dat geen enkel wezenlijk belang buiten beeld raakt.

    Het stelsel van intern en extern toezicht is daarmee geen verzameling losse organen of functies, maar een netwerk van vertegenwoordigde belangen. Iedere toezichthouder heeft daarin een eigen verantwoordelijkheid, een eigen perspectief en een eigen plaats binnen de verantwoordingsstructuur van de organisatie. Zo bezien vormt toezicht geen beperking van macht, maar de voorwaarde waaronder toevertrouwde macht haar legitimiteit behoudt.

    Terug naar de inhoudsopgave

    Klik hier voor de inhoudsopgave.

  • De twee zonden van de compliance officer

    Inleiding

    Ik heb een wat bizarre fascinatie voor de film Gettysburg. Als het stormt in mijn hoofd kijk ik naar deze film en vind ik rust. De film ken ik inmiddels uit mijn hoofd. De veldslag zelf is een historisch nogal bekende.

    Misschien is dat juist de reden. Te midden van de chaos zie je duizenden mensen worstelen met plicht, moed, angst, verantwoordelijkheid en toeval.

    Op de eerste dag van die veldslag, op 1 juli 1863, reed de Noordelijke generaal John Reynolds naar voren om de situatie te beoordelen. Hij was een van de meest gewaardeerde bevelhebbers van het leger van de Unie. Kort daarna werd hij door een Zuidelijke scherpschutter in de nek getroffen en gedood.

    Historici discussiëren nog altijd over de vraag hoeveel invloed zijn dood heeft gehad op het verdere verloop van de slag. Reynolds was een ervaren commandant, geliefd bij zijn mannen en gerespecteerd door zijn collega’s. Zijn overlijden veranderde de bevelsstructuur op een cruciaal moment.

    De naam van Reynolds kennen we nog steeds.

    De naam van de scherpschutter niet.

    Toch is het heel goed mogelijk dat de onbekende soldaat meer invloed heeft gehad op het verloop van Gettysburg dan de generaal die hij doodschoot. De geschiedenis onthoudt de zichtbare spelers. Causaliteit trekt zich daar weinig van aan.

    Organisaties kennen een vergelijkbaar verschijnsel. Wie de organogrammen bekijkt, ziet bestuurders, directeuren en managers. Zij hebben formele macht. Hun namen staan op besluiten, beleidsstukken en jaarverslagen. Maar wie goed kijkt, ziet ook een andere werkelijkheid. Een opmerking tijdens een vergadering, een kritische vraag, een risicoanalyse of een advies kan gevolgen hebben die veel verder reiken dan op dat moment zichtbaar is.

    Juist compliance officers hebben soms moeite om hun positie in dat krachtenveld goed te begrijpen. Sommigen onderschatten hun invloed en verschuilen zich achter het argument dat zij slechts adviseren. Anderen overschatten hun belang en gaan zich gedragen alsof zij de organisatie mede besturen.

    Dat zijn twee tegenovergestelde fouten.

    De eerste is denken dat je geen invloed hebt.

    De tweede is denken dat de organisatie om jou draait.

    Misschien zijn dat wel de twee belangrijkste zonden van de compliance officer.

    De eerste zonde: ontkennen dat je invloed hebt

    De eerste zonde van de compliance officer is niet hoogmoed.

    Het is valse bescheidenheid.

    Vrijwel iedere compliance officer heeft wel eens een variant uitgesproken van dezelfde zin:

    “Ik geef alleen advies.”

    Daarmee wordt meestal bedoeld dat de verantwoordelijkheid voor besluiten bij het management ligt. En dat is natuurlijk waar. Een compliance officer neemt geen commerciële besluiten, stelt geen strategie vast en bestuurt geen organisatie. Dat behoort ook niet tot zijn rol. Het probleem ontstaat wanneer deze constatering ongemerkt verandert in een vrijbrief.

    Ik geef alleen advies. Het management beslist. Dus ben ik niet verantwoordelijk voor wat er vervolgens gebeurt.

    Dat klinkt redelijk. Maar het klopt niet.

    Invloed verdwijnt niet doordat je haar ontkent.

    Een risicoanalyse die niet wordt uitgevoerd, kan een investering tegenhouden. Een kritisch gesprek kan een bestuurder aan het twijfelen brengen. Een rapport kan leiden tot een onderzoek, een disciplinaire maatregel of juist tot het besluit om ergens van af te zien. Zelfs wanneer een advies niet wordt opgevolgd, heeft het vaak invloed op de discussie die eraan voorafgaat en de verantwoording die erop volgt.

    Compliance officers beschikken meestal over weinig formele macht. Maar formele macht is niet hetzelfde als invloed. Wie jarenlang bestuurders, partners, directeuren en managers adviseert, beïnvloedt onvermijdelijk de manier waarop besluiten tot stand komen.

    Juist daarom is de gedachte “ik geef alleen advies” gevaarlijk. Niet omdat zij getuigt van te veel ambitie, maar omdat zij de eigen betekenis kleiner maakt dan zij werkelijk is.

    De politieke filosofe Hannah Arendt wees erop dat grote maatschappelijke misstanden vaak niet ontstaan doordat mensen bewust kwaad willen doen, maar doordat zij weigeren hun eigen handelingsruimte onder ogen te zien. Zij beschouwen zichzelf als radertjes in een machine, uitvoerders van besluiten, mensen zonder echte invloed.

    Dat mechanisme beperkt zich niet tot de geschiedenis. Het komt ook voor in organisaties.

    Wie zichzelf overtuigt dat hij geen invloed heeft, zal die invloed ook niet zorgvuldig gebruiken.

    En juist daarin schuilt het gevaar.

    De tweede zonde: jezelf overschatten

    De tweede zonde van de compliance officer is het spiegelbeeld van de eerste. Waar de eerste zonde voortkomt uit een onderschatting van de eigen invloed, ontstaat de tweede juist uit een overschatting ervan. Dat gebeurt zelden van de ene op de andere dag.

    Veel compliance officers zijn intelligente, betrokken en ervaren professionals. Zij zien patronen. Zij herkennen risico’s voordat anderen ze zien. Zij zien hoe regels, processen, cultuur en gedrag met elkaar samenhangen. Vaak zien zij ook problemen aankomen die pas maanden of jaren later zichtbaar worden voor de rest van de organisatie.

    Dat zijn waardevolle eigenschappen. Maar juist daarin schuilt een gevaar.

    Wie vaak gelijk krijgt, loopt het risico te gaan geloven dat hij niet alleen risico’s beter begrijpt dan anderen, maar ook de organisatie zelf. De compliance officer begint zich te ergeren aan commerciële afwegingen. Aan bestuurlijke compromissen. Aan besluiten die naar zijn oordeel niet optimaal zijn. Langzaam ontstaat de overtuiging dat de organisatie beter zou functioneren als men maar wat beter luisterde naar compliance.

    Dat is een begrijpelijke gedachte. En uiteindelijk altijd de verkeerde.

    Een compliance officer ziet risico’s beter dan de meeste mensen. Dat is immers zijn vak. Maar organisaties bestaan niet uitsluitend om risico’s te vermijden. Zij moeten ook ondernemen, investeren, innoveren, groeien, concurreren, mensen aannemen en soms zelfs bewust risico’s accepteren.

    Wie alleen naar risico’s kijkt, ziet een belangrijk deel van de werkelijkheid. Maar niet de hele werkelijkheid.

    Juist daarom is compliance een tweedelijnsfunctie en geen bestuursfunctie. Het is de taak van de compliance officer om risico’s zichtbaar te maken, ongemakkelijke vragen te stellen en bestuurders te confronteren met mogelijke gevolgen van hun keuzes. Het is niet zijn taak om die keuzes zelf te maken. Invloed is geen eigenaarschap.

    De strategie is niet van compliance.

    De commerciële koers is niet van compliance.

    De organisatie is niet van compliance.

    Dat betekent niet dat de compliance officer onbelangrijk is. Integendeel. Zijn invloed kan groot zijn. Maar invloed en verantwoordelijkheid zijn niet hetzelfde. Wie dat onderscheid uit het oog verliest, loopt het risico zich met alles te gaan bemoeien en uiteindelijk de geloofwaardigheid van de functie te ondergraven.

    De compliance officer is geen verborgen bestuurder. En hij hoeft dat ook niet te zijn.

    Sterker, hij mag dat niet zijn.

    De eer van de tweede lijn

    Na de eerste twee zonden blijft een ongemakkelijke positie over. De compliance officer heeft invloed, maar geen beslissingsmacht. Hij draagt verantwoordelijkheid, maar niet de eindverantwoordelijkheid. Hij ziet risico’s, maar bepaalt niet welke risico’s worden geaccepteerd.

    Veel mensen ervaren dat als frustrerend.

    Dat is begrijpelijk. Vrijwel iedereen heeft liever duidelijkheid. Of je beslist zelf, of iemand anders beslist. De tweede lijn bevindt zich precies tussen die twee werelden. Misschien is dat de reden waarom goede compliance officers zo zeldzaam zijn.

    Het vak vraagt om eigenschappen die elkaar lijken tegen te spreken.

    Je moet overtuigd genoeg zijn om een bestuurder tegen te spreken. Maar niet zo overtuigd dat je denkt zelf bestuurder te zijn.

    Je moet onafhankelijk genoeg zijn om weerstand te bieden. Maar niet zo onafhankelijk dat je jezelf buiten de organisatie plaatst.

    Je moet vasthoudend zijn. Maar niet koppig.

    Bescheiden. Maar niet timide.

    In een inmiddels oud computerspel komt een personage voor genaamd Kreia. Een van haar terugkerende thema’s is dat mensen zelden begrijpen welke gevolgen hun handelen heeft. Een klein gebaar kan onverwachte gevolgen hebben. Een grote beslissing kan uiteindelijk betekenisloos blijken. Wie invloed wil begrijpen, moet leren leven met onzekerheid.

    Daarin schuilt misschien een onverwachte verwantschap met compliance. De compliance officer ziet nooit het hele bord.

    Net als bestuurders.

    Net als toezichthouders.

    Net als medewerkers.

    Zijn taak is niet om de toekomst te beheersen, maar om zo goed mogelijk te handelen met de kennis die hij vandaag bezit. Dat klinkt minder heroïsch dan de verhalen die organisaties soms over zichzelf vertellen.

    Maar het is eervol.

    Want uiteindelijk wordt een organisatie niet alleen gevormd door grote visies, strategische plannen en moedige besluiten. Zij wordt ook gevormd door mensen die op het juiste moment de juiste vraag stellen.

    Slot

    John Reynolds kennen we nog steeds. De naam van de scherpschutter kennen we niet. Misschien is dat maar goed ook.

    Want die soldaat had invloed zonder iets te dragen. Hij koos niet. Hij woog niet af. Hij verantwoordde zich niet. Hij haalde de trekker over en verdween in de naamloosheid. Er valt niets aan hem te onthouden, omdat er niets te dragen viel. Alleen de handeling blijft, de mens is vergeten.

    Dat is precies wat de compliance officer niet gegund is.

    Zijn invloed komt nooit zonder gewicht. Hij ziet wie hij raakt. Hij weegt af. Hij moet zich verantwoorden, ook als zijn advies niet wordt opgevolgd. En juist daarom zijn beide zonden zo verleidelijk. Ontkennen dat je invloed hebt, of jezelf tot verborgen bestuurder maken, het zijn twee manieren om aan datzelfde gewicht te ontsnappen. De een legt het bij het management, de ander eigent het zich helemaal toe. Geen van beide houdt het vast waar het hoort: in het midden, waar invloed en verantwoordelijkheid niet samenvallen en toch allebei van jou zijn.

    Daar staan is niet comfortabel. Maar het is wel eervol.

    Invloed is geen beloning. Invloed is geen erkenning. Invloed is ook geen functie. Invloed is eenvoudigweg het vermogen om verschil te maken in de wereld om je heen. Soms zichtbaar. Vaker onzichtbaar.

    De meeste compliance officers zullen nooit een organisatie leiden. Hun naam zal niet verbonden worden aan een fusie, een strategie of een reorganisatie. Hun foto komt niet in het jaarverslag en hun afscheid zal zelden een hoofdstuk krijgen in de geschiedenis van de onderneming.

    En dat hoeft ook niet.

    Hun taak is belangrijker en bescheidener tegelijk. De juiste vraag stellen. Het juiste risico benoemen. Het juiste gesprek voeren.

  • Reputatie is uitgestelde causaliteit

    Reputatierisico hoort erbij, maar doet niet mee

    Accountants praten graag over risico. Kwaliteitsrisico’s, integriteitsrisico’s en compliance-risico’s worden in toenemende mate systematisch in kaart gebracht, geanalyseerd en beheerst. In modellen, risicoraamwerken en interne rapportages krijgen deze categorieën een duidelijke plek, met bijbehorende maatregelen en verantwoordelijken. Reputatierisico hoort formeel in dat rijtje thuis maar krijgt vaak nauwelijks een plaats in de risicomatrix van accountantsorganisaties.

    Het neemt in de praktijk een andere positie in. Waar kwaliteit en integriteit worden vertaald naar concrete normen, processen en controles, blijft reputatie vaak hangen in abstracties. Het wordt benoemd, soms zelfs zwaar aangezet, maar zelden op dezelfde manier uitgewerkt en beheerst als de andere risico’s. Daarmee doet reputatierisico wel mee op papier, maar veel minder in de dagelijkse praktijk van risicobeheersing.

    Belangrijk, maar ongrijpbaar

    Dat heeft alles te maken met de aard van reputatie zelf. Anders dan kwaliteit of integriteit laat reputatie zich moeilijk objectiveren. Er bestaat geen normenkader, geen toetsingskader en geen eenduidige maatstaf. Reputatie is per definitie extern en ontstaat in de perceptie van anderen, vaak pas op afstand van het moment waarop de onderliggende gebeurtenissen zich voordoen.

    Daarmee onttrekt reputatie zich aan de gebruikelijke logica van risicobeheersing. Waar andere risico’s kunnen worden teruggebracht tot processen, controles en meetbare afwijkingen, blijft reputatie diffuus. Dat maakt het verleidelijk om het wel te benoemen, maar niet echt te analyseren. Het is belangrijk genoeg om niet te negeren, maar te ongrijpbaar om stevig te verankeren.

    Een risico dat geen risico is

    In die ongrijpbaarheid schuilt een hardnekkige misvatting. Reputatie wordt behandeld als een zelfstandig risico, iets dat je naast kwaliteit, integriteit en compliance kunt positioneren en op vergelijkbare wijze kunt beheersen. Het krijgt een plek in risicoregisters, wordt benoemd in rapportages en duikt op in gesprekken met bestuur en toezichthouders. Daarmee lijkt het alsof reputatie een eigen bron van onzekerheid is, die je kunt identificeren, analyseren en mitigeren.

    Maar die veronderstelling houdt geen stand. Reputatie kent geen eigen oorzaak en geen eigen mechanisme. Er is geen gebeurtenis die op zichzelf een reputatierisico vormt. Wat als reputatierisico wordt aangeduid, is altijd terug te voeren op iets anders: een kwaliteitsgebrek, een integriteitsschending, een fout in de uitvoering of een verkeerd besluit. Zonder zo’n onderliggende gebeurtenis bestaat er geen reputatierisico.

    Toch wordt het vaak los daarvan benoemd en behandeld. Dat leidt tot een merkwaardige vorm van risicobeheersing, waarin iets wordt gemanaged dat geen zelfstandige bron heeft. In het beste geval blijft het bij abstracte formuleringen. In het slechtste geval verschuift de aandacht naar communicatie en beeldvorming, alsof reputatie daar zou ontstaan. Daarmee wordt niet alleen het probleem verkeerd gepositioneerd, maar ook de plek waar ingrijpen zinvol is.

    Reputatie is uitgestelde causaliteit

    Wat reputatie dan wel is, laat zich eenvoudiger beschrijven dan vaak wordt gedacht. Reputatie is geen zelfstandig risico, maar het zichtbare gevolg van eerdere gebeurtenissen. Of scherper geformuleerd: reputatie is uitgestelde causaliteit.

    Gedrag, besluiten en tekortkomingen in kwaliteit of integriteit werken niet altijd direct door naar de buitenwereld. Ze bouwen zich op, blijven soms lange tijd onder de radar en worden pas later zichtbaar. Op het moment dat ze zichtbaar worden, volgt het oordeel. Niet als een nieuwe gebeurtenis, maar als reactie op wat al eerder heeft plaatsgevonden.

    Daarmee verschuift ook het perspectief. Reputatie ontstaat niet op het moment dat er over gesproken wordt, maar op het moment dat de onderliggende oorzaak zich voordoet. Wat later zichtbaar wordt, is geen nieuw risico, maar de vertraagde manifestatie van een bestaande realiteit.

    Als het zichtbaar wordt, ben je te laat

    Die tijdsdimensie maakt reputatie fundamenteel anders dan de meeste risico’s waar accountants mee werken. Waar kwaliteits- en integriteitsrisico’s in principe direct te adresseren zijn, openbaart reputatie zich pas nadat de onderliggende oorzaak al effect heeft gehad.

    Op het moment dat reputatierisico zichtbaar wordt, is het in feite geen risico meer maar een gebeurtenis. De beoordeling vindt plaats, de reactie volgt en de schade wordt zichtbaar. Wat resteert is schadebeperking: toelichten, herstellen, communiceren. De beheersing zelf had eerder moeten plaatsvinden.

    De metafoor van lont en kruitvat is hier treffend. De ontploffing trekt alle aandacht, maar de lont is al veel eerder aangestoken. Wie zich pas op dat moment op reputatie richt, is per definitie te laat. De werkelijke sturing ligt in het moment waarop de lont nog zichtbaar en bereikbaar was.

    Van integriteit naar verlies

    Reputatie staat daarmee niet los van andere risico’s, maar verbindt ze in de tijd. Wat begint als een kwestie van kwaliteit of integriteit, ontwikkelt zich via reputatie tot een financieel en strategisch vraagstuk. Fouten in de uitvoering, gebrekkige oordeelsvorming of het overschrijden van normen werken eerst intern door, worden vervolgens extern zichtbaar en vertalen zich uiteindelijk in verlies van vertrouwen.

    Dat verlies van vertrouwen blijft zelden zonder consequenties. Opdrachtgevers haken af, toezichthouders verscherpen hun toezicht en de ruimte om professioneel te opereren neemt af. Wat begon als een inhoudelijk probleem, eindigt als een beperking van de organisatie zelf.

    In die zin is reputatie geen losstaand risico, maar de schakel tussen inhoud en impact. Integriteit en kwaliteit bepalen wat er gebeurt. Reputatie bepaalt hoe dat wordt gezien. En die perceptie vertaalt zich, vaak met vertraging, in financiële en strategische gevolgen.

    Geen magie, maar gevolg

    Daarmee verliest reputatie ook haar ogenschijnlijke grilligheid. Wat vaak wordt ervaren als een plotselinge kanteling, is in werkelijkheid het zichtbaar worden van een ontwikkeling die al langer gaande was. Reputatie is geen fragiel bezit dat van het ene op het andere moment kan worden beschadigd, maar de uitkomst van een keten van oorzaken en gevolgen die zich in de tijd ontvouwt.

    Die tijdsfactor werkt echter twee kanten op. Wat zich later manifesteert, ontstaat eerder, en is in die fase vaak nog beïnvloedbaar. Zolang de lont nog brandt en het kruitvat nog niet is bereikt, bestaat er ruimte om bij te sturen, te corrigeren en fouten recht te zetten. Wie die fase benut, kan voorkomen dat een inhoudelijk probleem uitgroeit tot een reputatieprobleem.

    Dat heeft consequenties voor de manier waarop ermee wordt omgegaan. Reputatie laat zich niet rechtstreeks managen en onttrekt zich aan pogingen om haar via communicatie of beeldvorming te sturen. Wie zich daarop richt, reageert op het effect en niet op de oorzaak. Daarmee verschuift de aandacht naar het verkeerde moment in de tijd.

    De enige manier om reputatie werkelijk te beïnvloeden, is door vooruit te kijken en de onderliggende causaliteit serieus te nemen. Dat betekent dat kwaliteit en integriteit niet alleen als op zichzelf staande risico’s worden gezien, maar ook als de bronnen van toekomstige reputatie. Reputatierisico wordt daarmee geen aparte categorie, maar een dimensie die in andere risico’s besloten ligt en zich pas later manifesteert.

  • Did I Become What I Hated as a Kid?

    As a teenager, I was drawn to punk. Not the fashion or the noise, but the music and the attitude: autonomy, distrust of authority, and a deep resistance to anyone who claimed the right to watch, judge, or control others. In that world, people who enforced rules or monitored behavior were not neutral. They were the problem. There is a song by the Dead Kennedys called I Am the Owl that captured that feeling perfectly. It is a satirical monologue from the perspective of someone who sees everything, knows everything, and quietly observes others under the guise of ordinary roles. The message was unmistakable: these are not protectors, but watchers. Not allies, but something closer to predators.

    At the time, that felt obviously true to me. If someone needs to watch you to make sure you do the right thing, something is already broken.

    That belief wasn’t just about music. It was a simple worldview. Good people don’t need supervision. If you have to monitor behavior, you are not dealing with integrity but with compliance, and that already feels like a loss. Trust should be the default, not something that has to be enforced. And if someone breaks that trust, that is a failure of character, not a reason to build systems around it. In the back of my mind, there was also a quieter idea, one I would not have called it that at the time: that your word matters, that you do what you said you would do, and that you don’t need anyone watching to hold you to it. In that sense, rules and oversight always felt like a kind of surrender, an admission that we had already given up on expecting people to do the right thing on their own.

    That view held up surprisingly well for a while. It felt clean, almost elegant. But over time, small cracks started to appear. Not because I suddenly encountered bad people, but because I kept running into situations where good people did things they themselves would not defend if you asked them directly. Nothing dramatic. Corners cut, responsibilities postponed, uncomfortable truths avoided. Not out of malice, but out of convenience, pressure, or simple human weakness. It had something of what Hannah Arendt once described: not evil as something monstrous, but as something ordinary. And that was harder to dismiss. If people who genuinely see themselves as decent can still drift into behavior they would not openly endorse, then the problem is not just character. Something else is at play.

    It took me a while to see what that “something else” was. It is tempting to explain it in terms of bad intentions or weak character, but that is too easy and, more importantly, incomplete. People do not just act based on what they believe is right. They also respond to incentives, to pressure, to ambiguity, and to what they think will or will not be noticed. Left entirely to themselves, even well-intentioned people will sometimes choose the easier path over the right one. Not because they reject integrity, but because integrity is often not the path of least resistance. That is where my earlier belief started to shift. Maybe the absence of oversight is not a sign of trust, but a test that systems, and people, do not always pass.

    At some point, I realized what that meant for me. The people I once saw as “the owl” were not necessarily the enemy. Not because surveillance suddenly became virtuous, but because the absence of it turned out to be less innocent than I had assumed. If people respond to what is visible and what is not, then making behavior visible is not just control. It is also a way of preventing the quiet drift that no one intends but still happens. In that sense, the owl is not only a watcher. It is also a witness.

    And somewhere along the way, I became part of that. Not the anonymous, all-seeing presence I once rejected, but someone whose role it is to make sure that what people think goes unseen, does not always remain unseen.

    So did I become what I hated as a kid? In a superficial sense, yes. I am now, in part, one of the people who watch, who ask questions, who make things visible that others might prefer to keep out of sight. But that is only half the story, and the least interesting half. What I hated was not the act of seeing. It was the idea of being watched by people who had no standards of their own. What changed is not that I abandoned that instinct, but that I redirected it. The problem was never visibility itself. It was visibility without integrity. And, perhaps more importantly, visibility is not there to replace integrity, but to support it, to make it easier for people to live up to the standards they already believe in, rather than to force behavior through control alone.

    I still understand the instinct I had back then. Part of me still shares it. There is something fundamentally uncomfortable about being watched, and that discomfort is not entirely misplaced. But I no longer see it as a simple opposition between freedom and control. What matters is not whether someone is watching, but who is watching, why, and whether they are bound by the same standards they expect from others.

    This is also where my work sits. In organizations, we cannot rely on integrity alone, and we should not try to replace it with control either. The role of compliance, at its best, is somewhere in between: not to force behavior, but to make it visible, to support people in living up to their own standards, and to step in where that proves insufficient.

    In the end, I did not abandon the idea of an inner code. If anything, I came to rely on it more. The difference is that I no longer believe it can stand entirely on its own.

  • The Illusion of the True & Fair view

    1. The comfort of the “true and fair view”

    Few phrases in the professional vocabulary of accountants carry as much authority as true and fair view.

    It appears reassuringly precise. Solid. Almost self-explanatory. Financial statements, we are told, must present a true and fair view of the entity’s financial position and performance. The wording suggests a direct relationship between numbers and reality, as if the figures themselves possess an intrinsic capacity to mirror the world they describe.

    Yet this apparent clarity conceals a remarkable ambiguity.

    What is true?
    What is fair?
    And perhaps most intriguingly: what exactly is a view?

    The modern reporting environment complicates these questions further. Financial information no longer originates on paper but in digital structures, taxonomies, and data models. Under frameworks such as IFRS, the conceptual foundation is not truth but faithful representation, a term that subtly but decisively shifts the emphasis. The objective is not to reproduce reality, but to represent it in a manner that is complete, neutral, and free from material error.

    Representation, however, is not a passive act.

    Between economic events and the polished coherence of a set of financial statements lies a dense layer of classification, aggregation, measurement, estimation, labeling, formatting, and presentation. Data are selected, ordered, structured, and rendered. Only then does something emerge that users recognize as a “financial picture”.

    This raises an uncomfortable possibility.

    What we routinely describe as a true and fair view may not be a reflection of reality, but the outcome of a series of interpretative transformations applied to underlying data. The “view” is not discovered; it is constructed.

    And once that thought is entertained, an unsettling question follows:

    If a view is constructed, in what sense can it be true?

    2. Before numbers become a picture

    It is tempting to think of accounting as the simple translation of reality into numbers.

    Something happens, it is recorded, aggregated, and eventually presented. The process appears linear: events → data → financial statements. Numbers, in this view, are treated as neutral carriers of fact.

    But reality does not become numbers directly.
    It first becomes value.

    Before a figure appears in a balance sheet or income statement, an act of valuation has already taken place. Assets are measured, liabilities estimated, revenues recognized, costs allocated. Physical objects, contractual relationships, and uncertain future outcomes are translated into monetary terms. The world of facts is transformed into a world of economic representations.

    Valuation is therefore not a technical afterthought.
    It is the decisive interpretative step.

    A building is not inherently worth €12 million.
    An impairment loss is not a naturally occurring quantity.
    Even historical cost, often perceived as solid and objective, is anchored in conventions about recognition, timing, and measurement.

    Each number presupposes a framework.

    Fair value, value in use, amortized cost, expected credit loss: these are not merely calculation techniques but structured lenses through which economic reality is made commensurable, comparable, and reportable. What emerges is not a direct imprint of the world, but a quantified interpretation of it.

    Only after this transformation do numbers begin to function as data.

    They are classified, aggregated, structured, and rendered into what users recognize as financial statements. Tables, subtotals, line items, ratios; the visual coherence of reporting is layered on top of values that were themselves layered on top of judgments, estimates, and assumptions.

    This reveals a double abstraction at the heart of financial reporting:

    Reality → valuation → numbers
    Numbers → presentation → picture

    By the time we encounter a “financial view”, we are already several conceptual steps removed from the underlying phenomena. The picture is constructed from numbers, but the numbers themselves are constructed from valuations.

    Which makes the familiar phrase true and fair view far less straightforward than it appears.

    If the numbers are interpretations,
    what exactly is the view true to?

    3. Data is not a picture

    In a digital reporting environment, financial information does not exist primarily as a document.

    It exists as data.

    Under standards such as XBRL, financial statements are encoded as structured datasets: tagged elements, taxonomies, relationships, definitions. The familiar visual form of a balance sheet or income statement, columns, subtotals, headings, is no longer the source but the output of reporting. What users see is a rendering, not the underlying reality.

    This distinction is easy to overlook, precisely because modern systems perform the transformation so seamlessly.

    A set of financial statements appears on a screen.
    Numbers align neatly.
    Labels make sense.
    A coherent picture emerges.

    Yet nothing in the data itself contains that picture.

    An XBRL instance document does not inherently display a balance sheet. It contains elements and relationships that allow software to construct one. The ordering, grouping, labeling, and visual hierarchy are imposed at the moment of presentation. Different renderings may produce different emphases, structures, or interpretations, while drawing from exactly the same dataset.

    Data, in other words, are pre-representational.

    They enable pictures.
    They do not constitute them.

    This has a subtle but profound implication.

    If the visual coherence of financial reporting arises only through acts of structuring and rendering, then the “view” encountered by users is not embedded in the numbers but emerges from the way those numbers are organized. The picture is neither discovered nor extracted; it is assembled.

    What appears self-evident, the financial position of the entity, the performance of the period, is inseparable from choices about classification, aggregation, and display.

    Even in a world of perfectly accurate data,
    the picture remains a construct.

    Which returns us, once again, to the language of accounting.

    Financial statements are said to provide a true and fair view.
    But a view is not the data.
    A view is what results from presenting the data.

    And presentation is never neutral.

    4. Classification is interpretation

    Financial reporting presents itself as a system of measurement.

    But before anything can be measured, it must first be classified.

    An expenditure becomes either an expense or an asset.
    An obligation becomes either a liability or a provision.
    A fluctuation becomes either volatility or noise.

    These distinctions appear technical, yet they are irreducibly interpretative. Classification determines not only where a number appears, but what kind of economic reality it is taken to represent. Recognition, aggregation, and presentation all depend on prior acts of categorization.

    IFRS makes this explicit, though its implications are rarely fully acknowledged.

    The standards define assets, liabilities, income, and expenses not as self-evident facts but as constructs shaped by criteria: control, probability of future economic benefits, reliable measurement. Economic phenomena do not announce their classification. They are assigned one.

    This assignment is not neutral.

    To classify is to decide what something counts as within the logic of reporting. The same underlying event may legitimately produce different accounting treatments depending on assumptions about intent, timing, uncertainty, or materiality. What changes is not the event itself, but the interpretative frame applied to it.

    Aggregation introduces a second layer of abstraction.

    Individual transactions disappear into line items. Line items dissolve into subtotals. Subtotals merge into performance indicators. Each step increases coherence while decreasing granularity. What is gained in readability is traded against visibility of underlying variation.

    Materiality functions as a further filter.

    Information judged immaterial is omitted, aggregated, or simplified. This is neither error nor manipulation; it is an operational necessity. Yet it reinforces a crucial insight: financial statements are not exhaustive representations of reality, but structured selections shaped by thresholds of significance.

    By this point, the notion of a “view” becomes increasingly layered.

    The picture is constructed from presented numbers.
    The numbers are constructed from valuations.
    Valuations are constructed from classifications.

    What users encounter is therefore not reality translated into financial statements, but reality as it becomes visible through successive acts of interpretation. The apparent solidity of reporting lies not in its direct correspondence with the world, but in the stability of the frameworks that organize it.

    5. Faithful to what?

    The language of financial reporting suggests a reassuring ambition.

    Financial statements are expected to provide a true and fair view. IFRS, more cautiously, speaks of faithful representation. Both expressions imply a relationship between reporting and reality; a promise that what is presented corresponds, in some meaningful sense, to the world it claims to describe.

    Yet neither term resolves the central ambiguity.

    Faithful to what?

    To the underlying economic phenomena?
    To the measurement techniques applied?
    To the classification decisions embedded in the standards?
    Or to the framework itself?

    Faithful representation, as defined in IFRS, does not require perfect accuracy. It requires completeness, neutrality, and freedom from material error. This formulation is both pragmatic and revealing. The objective is not to eliminate interpretation, but to discipline it. Representation is acknowledged as constructed, yet governed by criteria designed to produce comparability and decision-usefulness.

    But governance does not eliminate relativity.

    The ambiguity becomes more visible when comparing reporting frameworks. IFRS and US GAAP, while broadly aligned in purpose, embody different philosophies of recognition, measurement, and presentation. Identical economic events may yield different accounting outcomes, not because one system captures reality and the other distorts it, but because each framework defines relevance, reliability, and representation through its own internal logic.

    Reality, in this sense, is not merely reported. It is rendered.

    The “faithfulness” of financial statements cannot therefore be understood as a simple correspondence with an objective, framework-independent world. Faithfulness operates within a structured space defined by standards, definitions, thresholds, and conventions. What is achieved is not truth in an absolute sense, but coherence within a system of representation.

    A faithful representation is faithful not to raw reality, but to reality as filtered, measured, classified, and valued through the architecture of the reporting framework. The credibility of the view lies not in its immediacy, but in the transparency, consistency, and acceptability of the rules that shape it.

    Which leaves us with a subtly different understanding of what financial statements provide.

    Not a window onto reality itself, but a disciplined interpretation of reality; one that remains opaque without a genuine understanding of that discipline.

    6. The illusion of objectivity

    The interpretative nature of financial reporting is not a secret.

    It is embedded in standards, debated in academic literature, and acknowledged in professional education. Accountants, auditors, and regulators are trained to understand recognition criteria, measurement uncertainty, aggregation effects, and the limitations of representation.

    Yet outside those contexts, a different narrative quickly takes hold.

    Numbers acquire an aura of objectivity. Financial statements are treated as if they were direct reflections of reality rather than structured interpretations of it. Precision is confused with certainty, and quantification with truth. The presence of figures creates an impression of solidity that often exceeds the epistemic strength of what is being presented.

    This slippage is subtle but consequential.

    When users forget that numbers emerge from valuation, classification, and presentation choices, disagreement becomes harder to articulate. What is in fact contestable appears self-evident. Judgments embedded in measurement models masquerade as facts. The framework recedes from view, leaving only the reassuring surface of quantified outcomes.

    The effect is amplified by scale.

    Large numbers, complex models, and highly formatted reports enhance the perception of authority. A figure expressed in millions or billions appears more real, more factual, more immune to doubt. The discipline behind the number disappears precisely as the rhetorical force of the number increases.

    This is not merely a communication problem.
    It is a cognitive one.

    Human beings are predisposed to treat quantified information as inherently more reliable than qualitative reasoning. Numbers feel neutral, detached, and resistant to bias, even when they are the products of assumptions, estimates, and methodological choices. The interpretative labor that produced them becomes invisible.

    In organizational life, this creates a familiar pattern.

    Dashboards proliferate. Metrics multiply. Decision-making is framed as data-driven. Yet the underlying interpretative layers; what is measured, how it is defined, what is excluded, what is aggregated; are rarely examined with the same rigor as the figures themselves.

    Data displace judgment.
    Quantification displaces reflection.

    The irony is difficult to ignore.

    Financial reporting, designed as a disciplined practice of representation, risks becoming a source of intellectual complacency when its constructed nature is forgotten. The very tools created to structure uncertainty may encourage the illusion that uncertainty has been eliminated.

    Which returns us to the responsibility of those who work closest to the numbers.

    Not to deny their usefulness.
    But to resist the seduction of their apparent self-evidence.

    7. Information and decision potential

    If financial reporting is neither raw reality nor neutral measurement, what then is its function?

    A useful answer may be found in information theory.

    Data, strictly speaking, are merely recorded distinctions. Symbols, values, classifications. They acquire the status of information only when they possess the capacity to alter understanding, expectations, or decisions. Information is not defined by its format or precision, but by its potential to make a difference.

    In this sense, information can be understood as:

    Data + decision potential

    Financial statements do not exist simply to present numbers. Their purpose is to shape judgment under conditions of uncertainty. Concepts such as relevance, materiality, and faithful representation derive their meaning not from descriptive ambition, but from their orientation toward decision-usefulness.

    This perspective reframes the earlier discussion.

    The question is not whether numbers perfectly reflect reality. It is whether they meaningfully influence how reality is interpreted, evaluated, and acted upon. A dataset may be technically accurate yet informationally inert if it leaves judgments and decisions unchanged.

    Not all precision produces insight.
    Not all quantification produces information.

    Classification, valuation, aggregation, and presentation therefore perform a dual function. They structure economic phenomena within reporting, but they also structure the cognitive environment of the user. They determine what becomes visible, comparable, significant, or ignorable.

    Information, in practice, is never neutral.

    A figure disclosed, omitted, emphasized, or aggregated reshapes the landscape of decision-making. It affects perceptions of risk, performance, stability, and value. The influence of financial reporting lies not only in what it represents, but in what it enables, discourages, or renders plausible.

    Which brings us back to the language of accounting.

    A true and fair view, like faithful representation, cannot be understood as a claim of direct correspondence with an objective, framework-independent reality. Its meaning is inseparable from the function of financial statements as instruments of judgment. “Truth” and “fairness” operate not as metaphysical guarantees, but as evaluative criteria within a decision-oriented practice.

    A view is true and fair to the extent that it supports informed and defensible decisions under uncertainty.

    Faithfulness, in this sense, does not imply the absence of interpretation. It implies the disciplined governance of interpretation in the service of decision potential.

    Financial statements do not eliminate ambiguity.
    They structure it.

    They do not replace judgment.
    They inform it.

    Their value lies, ultimately, in their capacity to matter.

    8. Living with constructed realities

    To recognize that financial reporting is constructed is not to weaken it.

    On the contrary, it is to understand its strength more precisely.

    Financial statements remain among the most disciplined and collectively governed representations produced within modern institutional life. Their authority does not rest on naïve assumptions of direct correspondence with reality, but on shared frameworks, transparent methodologies, professional judgment, and the continuous refinement of conceptual standards.

    Construction is not a defect.
    It is an achievement.

    The difficulty arises only when this achievement becomes invisible, when representations harden into apparent facts and interpretation retreats from awareness. At that point, numbers risk acquiring a certainty they were never designed to carry.

    Living with constructed realities requires a particular intellectual posture.

    It requires resisting two symmetrical temptations. The first is credulity: treating numbers as if they were reality itself. The second is cynicism: dismissing them as mere fabrications. Both positions misunderstand the nature of representation. Financial reporting is neither an unmediated mirror nor an arbitrary fiction. It is a disciplined practice of rendering complex economic phenomena intelligible within agreed constraints.

    Within that discipline, uncertainty does not disappear.
    It is organized.

    Judgment is not eliminated.
    It is structured.

    Truth is not delivered in absolute form.
    It is approached through coherence, consistency, and transparency.

    For professionals closest to the preparation, audit, and governance of financial information, this awareness carries a distinct responsibility. Not only to apply standards correctly, but to preserve interpretative integrity. To remain conscious of where assumptions operate, where estimates shape outcomes, and where precision may exceed certainty.

    For users of financial statements, the implication is quieter but no less significant.

    Financial reporting does not resolve ambiguity.
    It offers a disciplined way of inhabiting it.

    It does not replace judgment.
    It provides grounds upon which judgment can be exercised.

    And perhaps this is the most realistic understanding available.

    Not that financial statements present reality as it is, but that they enable reality to be engaged, evaluated, and acted upon. Their value lies not in being unquestionable, but in being sufficiently reliable, sufficiently transparent, and sufficiently meaningful to sustain decision-making within a world that remains irreducibly uncertain.

  • Analyse en beheersing van risico’s

    Risico en risk appetite in context

    Risico’s krijgen pas betekenis wanneer zij worden bezien in relatie tot doelstellingen, context en bestuurlijke keuzes. Risicoanalyse is daarom geen op zichzelf staande exercitie, maar een manier om inzicht te krijgen in waar en waarom de organisatie kwetsbaar is, en in hoeverre die kwetsbaarheid aanvaardbaar wordt geacht.

    Een praktisch hanteerbare risicoanalyse kent in dit verband een samenhangende structuur die begint bij het bruto risico en eindigt bij de beoordeling van het netto risico ten opzichte van de geldende risk appetite.

    Risico

    Een risico kan worden omschreven als de mogelijkheid dat een gebeurtenis of omstandigheid de realisatie van doelstellingen negatief beïnvloedt. In veel benaderingen wordt risico daarbij uitgedrukt als een combinatie van kans en impact. Deze benadering is behulpzaam om risico’s te structureren, maar kent ook duidelijke beperkingen.

    In sectoren waar risico’s goed kwantificeerbaar zijn, zoals in delen van de financiële sector, kan risicoanalyse in belangrijke mate kwantitatief worden ingevuld. Kans en impact laten zich daar vaak in geld, frequenties of bandbreedtes uitdrukken. In professionele dienstverlening, en in het bijzonder in de accountancy, is een dergelijke kwantificering slechts beperkt mogelijk. Veel risico’s hebben betrekking op kwaliteit, oordeelsvorming, gedrag en reputatie, en laten zich niet zinvol reduceren tot cijfers.

    In die context is risicoanalyse primair kwalitatief van aard. Kans en impact worden niet exact berekend, maar ingeschat op basis van professionele ervaring, inzicht in processen en begrip van de organisatorische context. Pogingen om dergelijke risico’s alsnog te kwantificeren, bijvoorbeeld door scores of gewichten toe te kennen, creëren vaak een schijnzekerheid die het inzicht niet vergroot.

    Naast negatieve gevolgen kan risico ook een positieve dimensie hebben. Upside risk ziet op de mogelijkheid dat onzekerheid juist leidt tot kansen, bijvoorbeeld door innovatie, groei of nieuwe dienstverlening. Downside risk betreft de potentiële negatieve gevolgen van diezelfde onzekerheid. In professionele dienstverlening is het doorgaans de downside risk die centraal staat in compliance en risicobeheersing, omdat deze raakt aan kwaliteit, integriteit en publieke belangen. Upside risk speelt vooral een rol in strategische besluitvorming en behoort primair tot het domein van het bestuur.

    Bruto risico

    Het bruto risico betreft het risico dat zich zou voordoen indien geen enkele vorm van risicobeheersing aanwezig zou zijn. Het gaat hierbij om de aard en omvang van potentiële negatieve gevolgen, los van bestaande maatregelen, processen of controles. Bruto risico’s maken zichtbaar waar de organisatie van nature kwetsbaar is, gegeven haar diensten, cliënten, markten en werkwijze.

    Bruto risk appetite

    De bruto risk appetite geeft een indicatie van de mate waarin het bestuur bereid is risico’s te accepteren vóór toepassing van beheersmaatregelen. Deze appetite fungeert niet als directe stuurvariabele, maar als interpretatiekader. Zij zegt iets over de bestuurlijke houding ten opzichte van risico’s en de mate waarin men bereid is “stoer in de wedstrijd te staan”.

    Voor toezichthouders en andere belanghebbenden biedt de bruto risk appetite inzicht in:

    • de risicobereidheid van het bestuur;
    • de mate waarin risico’s bewust worden opgezocht of juist vermeden;
    • en het risico dat men bereid is te lopen indien beheersmaatregelen (tijdelijk) falen.

    De combinatie van een hoge bruto risk appetite met een lage netto risk appetite duidt op een organisatie die bereid is risico’s aan te gaan, maar sterk inzet op beheersing. Een lage bruto risk appetite wijst juist op een defensieve houding, waarbij risico’s al in een vroeg stadium worden vermeden.

    Interne risicobeheersing

    Interne risicobeheersing omvat het geheel aan maatregelen, processen, controles en gedragsnormen dat is ingericht om risico’s te mitigeren. Deze beheersing kan zowel formeel als informeel van aard zijn en strekt zich uit over verschillende organisatieniveaus. De effectiviteit van interne beheersing bepaalt in belangrijke mate in hoeverre bruto risico’s worden teruggebracht.

    Opzet, bestaan en werking

    Bij de beoordeling van interne risicobeheersing is het van belang onderscheid te maken tussen opzet, bestaan en werking van beheersmaatregelen. Dit onderscheid voorkomt dat conclusies worden getrokken op basis van schijnbare effectiviteit en maakt inzichtelijk waar beheersing daadwerkelijk tekortschiet.

    Opzet ziet op de vraag of een beheersmaatregel, indien deze correct zou functioneren, het onderliggende risico daadwerkelijk mitigeert. Het gaat hier om de logische en inhoudelijke geschiktheid van de maatregel. Een maatregel kan correct zijn uitgevoerd en consequent worden toegepast, maar alsnog onvoldoende bijdragen aan het beheersen van het beoogde risico wanneer de opzet tekortschiet.

    Bestaan betreft de vraag of de beheersmaatregel daadwerkelijk is geïmplementeerd. Een goed ontworpen maatregel die slechts op papier bestaat, draagt niet bij aan risicobeheersing. Bestaan heeft daarmee betrekking op de feitelijke aanwezigheid van processen, controles of afspraken binnen de organisatie.

    Werking ziet op de vraag of de maatregel in de praktijk functioneert zoals bedoeld. Hierbij gaat het om de effectiviteit van de maatregel zoals deze is geïmplementeerd: wordt de maatregel consistent toegepast, en leidt dit tot het beoogde effect?

    Het onderscheid tussen deze drie aspecten is van belang omdat zij niet vanzelfsprekend samenlopen. In het bijzonder kan een situatie ontstaan waarin een maatregel aantoonbaar werkt, maar in opzet onvoldoende is afgestemd op het onderliggende risico. In dergelijke gevallen bestaat het risico dat incidenten uitblijven door toeval of aanvullende omstandigheden, terwijl het fundamentele risico onvoldoende is beheerst. Dit kan leiden tot een vals gevoel van zekerheid.

    Een zorgvuldige risicoanalyse vereist daarom dat beheersmaatregelen niet alleen worden beoordeeld op hun feitelijke werking, maar ook expliciet worden getoetst op hun opzet en bestaan.

    Netto risico en netto risk appetite

    Het netto risico is het risico dat resteert na toepassing van de interne beheersingsmaatregelen. Dit risico wordt afgezet tegen de netto risk appetite: het niveau van risico dat de organisatie daadwerkelijk bereid is te accepteren.

    De netto risk appetite vormt daarmee het daadwerkelijke toetsingskader. Zij is bepalend voor de vraag of aanvullende maatregelen nodig zijn, of dat het resterende risico als aanvaardbaar wordt beschouwd.

    Gap-analyse

    De vergelijking tussen het netto risico en de netto risk appetite resulteert in een gap-analyse. Deze analyse maakt zichtbaar waar sprake is van een overschrijding van de acceptabele risicogrenzen. Niet de omvang van het risico op zichzelf is daarbij doorslaggevend, maar het verschil tussen gewenst en feitelijk risiconiveau.

    Strategische, tactische en operationele risico’s

    Binnen professionele dienstverlening is het gebruikelijk onderscheid te maken tussen strategische, tactische en operationele risico’s. Dit onderscheid helpt om risico’s te plaatsen binnen verschillende organisatieniveaus en maakt zichtbaar waar keuzes worden gemaakt en waar effecten zich manifesteren.

    Strategische risico’s

    Strategische risico’s hebben betrekking op keuzes die het bestuur maakt ten aanzien van de koers en positionering van de organisatie. Deze risico’s hangen samen met onder meer:

    • het dienstenportfolio;
    • de doelgroepen en markten waarin wordt geopereerd;
    • groeiambities, fusies en overnames;
    • beloningsstructuren en verdienmodellen;
    • en de wijze waarop kwaliteit en integriteit worden gewogen ten opzichte van commerciële doelstellingen.

    Strategische risico’s kenmerken zich doordat zij vaak pas op langere termijn zichtbaar worden. De gevolgen manifesteren zich niet zelden op operationeel niveau, terwijl de oorsprong ligt in bestuurlijke keuzes.

    Tactische risico’s

    Tactische risico’s zien op de inrichting van de organisatie en de vertaling van strategische keuzes naar structuren, processen en systemen. Het betreft onder meer:

    • de inrichting van werkprocessen;
    • de verdeling van verantwoordelijkheden en bevoegdheden;
    • de beschikbaarheid van capaciteit en expertise;
    • de ondersteuning door IT-systemen;
    • en de wijze waarop beleid wordt uitgewerkt in procedures en richtlijnen.

    Tactische risico’s bepalen in belangrijke mate of strategische keuzes uitvoerbaar zijn. Onvoldoende doordachte inrichting kan ertoe leiden dat operationele risico’s structureel toenemen.

    Operationele risico’s

    Operationele risico’s doen zich voor in de dagelijkse uitvoering van werkzaamheden. Zij hebben betrekking op menselijke fouten, drukte, tijdsgebrek, onduidelijke instructies, systeemfouten en afwijkingen van vastgestelde werkwijzen. Operationele risico’s zijn doorgaans het meest zichtbaar, omdat zij zich manifesteren in incidenten, fouten of klachten.

    Operationele risico’s worden in de praktijk vaak afzonderlijk benaderd. Daarbij wordt echter gemakkelijk over het hoofd gezien dat veel operationele problemen het gevolg zijn van strategische of tactische keuzes die eerder zijn gemaakt.

    Risicodomeinen binnen professionele dienstverlening

    Bij de analyse en beheersing van risico’s binnen professionele dienstverleners is het behulpzaam onderscheid te maken tussen verschillende risicodomeinen. Deze domeinen overlappen elkaar in de praktijk regelmatig, maar hebben elk een eigen invalshoek en dynamiek. In deze paragraaf wordt ingegaan op kwaliteit, integriteit en financiële risico’s.

    Kwaliteit als risicodomein

    Kwaliteit vormt binnen professionele dienstverlening een kernrisico. Onvoldoende kwaliteit raakt direct aan het vertrouwen van cliënten, toezichthouders en het maatschappelijk verkeer, en kan leiden tot tuchtrechtelijke, civielrechtelijke en reputatieschade. Om kwaliteit hanteerbaar te maken, is het noodzakelijk dit begrip concreet te operationaliseren.

    Kwaliteit van een geleverde dienst of een product kan in de praktijk langs drie samenhangende vragen worden beoordeeld:

    1. Voldoet de dienst aan de vaktechnische normen die voor die dienst gelden? Dit betreft de inhoudelijke juistheid en zorgvuldigheid van de dienstverlening, bezien vanuit de toepasselijke professionele standaarden, beroepsregels en vaktechnische richtlijnen. Deze normen verschillen per discipline, maar vormen steeds het primaire referentiekader voor de beoordeling van kwaliteit.
    2. Ligt aan de dienst een dossier ten grondslag dat de dienst reproduceerbaar maakt? Reproduceerbaarheid betekent dat een derde, op basis van het dossier, kan begrijpen hoe de dienst tot stand is gekomen. Het gaat daarbij niet uitsluitend om het eindresultaat, maar om de gevolgde redeneringen, gemaakte afwegingen en relevante aannames. Zonder een deugdelijk dossier is kwaliteit niet toetsbaar en daarmee in professionele zin niet aantoonbaar.
    3. Is voldaan aan formele eisen en wettelijke verplichtingen? Dit betreft legal compliance: naleving van toepasselijke wet- en regelgeving, zoals eisen ten aanzien van onafhankelijkheid, privacy, dossierbewaring en andere formele randvoorwaarden. Deze eisen vormen geen substituut voor vaktechnische kwaliteit, maar zijn wel een noodzakelijke voorwaarde.

    Deze drie vragen maken zichtbaar dat kwaliteit meer omvat dan inhoudelijke juistheid alleen. Een dienst kan vaktechnisch correct zijn, maar alsnog tekortschieten wanneer zij niet navolgbaar is vastgelegd of wanneer niet aan formele eisen is voldaan.

    Dossiervorming bij adviesdiensten

    Bij bepaalde adviesdiensten is volledige reproduceerbaarheid van het resultaat niet altijd mogelijk. Strategisch advies, corporate finance-dienstverlening of andere vormen van maatwerkadvies kennen vaak een contextafhankelijk en niet-deterministisch karakter. Dit doet echter niets af aan de eis dat de totstandkoming van de dienst navolgbaar moet zijn.

    Ook bij dergelijke diensten moet het dossier ten minste inzicht geven in:

    • de aard en reikwijdte van de opdracht;
    • de relevante feiten en uitgangspunten;
    • de gehanteerde aannames;
    • de gemaakte afwegingen en keuzes;
    • en de wijze waarop tot het uiteindelijke advies is gekomen.

    Een praktische toetssteen hierbij is de vraag of de dienstverlening, op basis van het dossier, overtuigend kan worden toegelicht tegenover een derde, zoals een toezichthouder of rechter. Wanneer de totstandkoming van een dienst uitsluitend kan worden gereconstrueerd uit losse e-mails of een persoonlijke inbox, ontbreekt een dossier in professionele zin. Dossiervorming is geen archief van communicatie, maar een gestructureerde geschiedschrijving van professioneel handelen.

    Integriteit als risicodomein

    Integriteitsrisico’s hebben betrekking op de wijze waarop professionals omgaan met belangenconflicten, onafhankelijkheid, vertrouwelijkheid en ethische afwegingen. Deze risico’s manifesteren zich niet uitsluitend in incidenten, maar ook in structurele keuzes, beloningsprikkels en cultuur. Integriteit is daarmee zowel een individueel als organisatorisch risicodomein.

    Financiële risico’s

    Financiële risico’s zien op de continuïteit en weerbaarheid van de organisatie. Hieronder vallen onder meer risico’s met betrekking tot verdienmodellen, aansprakelijkheden, claims, financiering en afhankelijkheden van cliënten of markten. Financiële risico’s staan zelden op zichzelf en zijn vaak het gevolg van keuzes binnen andere risicodomeinen, met name kwaliteit en integriteit.

    Compliance als legal compliance

    In dit verband wordt met compliance uitsluitend legal compliance bedoeld: het voldoen aan toepasselijke wet- en regelgeving. Compliance vormt daarmee geen zelfstandig risicodomein naast kwaliteit en integriteit, maar een randvoorwaarde die deze domeinen doorkruist. De compliancefunctie als organisatorische rol wordt in latere paragrafen afzonderlijk besproken.

    Andere perspectieven op kwaliteit

    In de literatuur en praktijk bestaan uiteenlopende perspectieven op kwaliteit. Vanuit het perspectief van de cliënt wordt kwaliteit regelmatig gedefinieerd als het voldoen aan verwachtingen, of als ervaren toegevoegde waarde. Dit debat speelt al decennia binnen de professionele dienstverlening en is in zichzelf legitiem.

    In het kader van dit hoofdstuk wordt dat perspectief echter niet leidend geacht. De hier gehanteerde benadering van kwaliteit is primair normatief en toetsbaar van aard, en sluit aan bij de wijze waarop kwaliteit wordt beoordeeld door toezichthouders, tuchtrechters en in het civiele recht. Het betreft daarmee kwaliteit bezien vanuit het perspectief van compliance en professionele verantwoording, en niet vanuit klanttevredenheid of commerciële waardering.

    Risicoreacties

    Na het identificeren en analyseren van risico’s volgt de vraag hoe met deze risico’s wordt omgegaan. In de praktijk worden vier basisreacties onderscheiden: accepteren, vermijden, overdragen en beheersen. Deze reacties sluiten aan bij verschillende risicoprofielen en organisatieniveaus en zijn niet onderling hiërarchisch. Het kiezen van een risicoreactie is altijd een bewuste afweging.

    Accepteren

    Bij het accepteren van een risico wordt het risico bewust aanvaard zonder aanvullende beheersmaatregelen te treffen. Acceptatie impliceert niet dat het risico wordt genegeerd, maar dat het resterende risico wordt beschouwd als aanvaardbaar binnen de geldende risk appetite. Acceptatie kan zowel het gevolg zijn van een expliciete afweging als van de constatering dat verdere beheersing niet doelmatig of proportioneel is.

    Vermijden

    Vermijden houdt in dat activiteiten of omstandigheden die tot een risico leiden, geheel of gedeeltelijk worden beëindigd of niet worden aangegaan. Deze risicoreactie komt vooral in beeld wanneer risico’s de grenzen van de risk appetite structureel overschrijden of wanneer beheersmaatregelen onvoldoende effectief zijn. Vermijden kan ingrijpende gevolgen hebben voor de dienstverlening of strategische positionering van de organisatie. Vermijden ligt met name voor de hand als keuze wanneer een bruto risico de grenzen van de bruto risk appetite overschrijdt.

    Overdragen

    Bij overdracht wordt het risico geheel of gedeeltelijk bij een derde partij neergelegd. Dit kan bijvoorbeeld plaatsvinden door middel van verzekeringen, contractuele afspraken of uitbesteding. Overdracht betekent niet dat het risico volledig verdwijnt. In veel gevallen resteert een vorm van rest-risico, bijvoorbeeld ten aanzien van toezicht op de derde partij of reputatie-effecten.

    Beheersen

    Beheersen betreft het treffen van maatregelen die erop zijn gericht de kans op of de impact van een risico te verminderen. Dit kan variëren van procesaanpassingen en controles tot opleiding, cultuurmaatregelen en governance-interventies. Beheersing is zelden absoluut en vereist voortdurende aandacht om effectief te blijven.

    PDCA als leer- en beheersingsmechanisme

    De PDCA-cyclus (Plan-Do-Check-Act) wordt binnen professionele dienstverlening veelvuldig gebruikt als kader voor kwaliteitsborging en risicobeheersing. De cyclus biedt een logisch en overzichtelijk model om werkzaamheden te plannen, uit te voeren, te toetsen en waar nodig bij te stellen. In de context van risicobeheersing is PDCA primair te begrijpen als een leer- en verbetermechanisme, en niet als een afzonderlijk controle- of toezichtsinstrument.

    PDCA in de eerste lijn

    De PDCA-cyclus behoort integraal tot de verantwoordelijkheid van de eerste lijn. Het is de lijn die werkzaamheden uitvoert, risico’s veroorzaakt én beheerst. Dat geldt voor alle fasen van de cyclus. Plan, Do, Check en Act zijn geen afzonderlijke functies, maar onderdelen van één doorlopend proces binnen de primaire dienstverlening.

    Het plaatsen van (delen van) de PDCA-cyclus buiten de eerste lijn leidt tot rolverwarring en ondermijnt het leervermogen van de organisatie. In het bijzonder geldt dit voor de Check-fase.

    De Check-fase als interne controle

    De C uit PDCA betreft de interne toetsing van het eigen handelen. Het gaat hierbij om het vaststellen of werkzaamheden zijn uitgevoerd zoals bedoeld, of beheersmaatregelen zijn toegepast zoals ontworpen, en of uitkomsten aansluiten bij de gestelde normen en verwachtingen.

    Voor accountants en aanverwante professionals is deze fase herkenbaar als AO/IB: de administratieve organisatie en interne beheersing zoals die binnen de eerste lijn is ingericht. De Check-fase is daarmee geen externe beoordeling, maar zelfcontrole, ingebed in het primaire proces.

    PDCA en risicobeheersing

    Binnen het kader van risicobeheersing vervult PDCA een dubbele functie. Enerzijds ondersteunt de cyclus het consistent toepassen van beheersmaatregelen. Anderzijds maakt zij zichtbaar waar beheersing tekortschiet en waar bijsturing nodig is. De effectiviteit van risicobeheersing hangt daarmee in belangrijke mate af van de kwaliteit van de Check- en Act-fasen.

    PDCA biedt geen garantie dat risico’s worden uitgesloten. Wel faciliteert de cyclus dat afwijkingen worden gesignaleerd en dat van ervaringen wordt geleerd. In die zin is PDCA geen sluitstuk van risicobeheersing, maar een mechanisme om beheersing voortdurend te toetsen en aan te passen.

    Afbakening ten opzichte van monitoring en assurance

    Het is van belang PDCA scherp te onderscheiden van monitoring en assurance. Monitoring betreft het volgen en analyseren van processen en uitkomsten door een andere lijn dan de uitvoerende. Assurance ziet op het onafhankelijk geven van zekerheid over de opzet en werking van beheersing.

    Deze activiteiten maken geen onderdeel uit van de PDCA-cyclus zelf. Wanneer zij wel als zodanig worden gepositioneerd, ontstaat het risico dat verantwoordelijkheden verschuiven en dat de eerste lijn haar eigen leer- en controlefunctie verliest.

    Monitoring, assurance en de lijnen

    Bij de analyse en beheersing van risico’s wordt vaak onderscheid gemaakt tussen verschillende organisatielijnen. Dit onderscheid is bedoeld om verantwoordelijkheden te verduidelijken, maar leidt in de praktijk regelmatig tot verwarring, met name waar het gaat om monitoring en assurance.

    Monitoring

    Monitoring betreft het volgen, analyseren en signaleren van ontwikkelingen in processen, risico’s en beheersmaatregelen. Monitoring wordt uitgevoerd vanuit een andere positie dan de uitvoerende lijn en heeft tot doel inzicht te geven in de mate waarin beheersing functioneert.

    Monitoring maakt geen onderdeel uit van de PDCA-cyclus zelf. Waar PDCA is gericht op leren en bijsturen binnen de eerste lijn, is monitoring gericht op het verkrijgen van overzicht en het signaleren van patronen en afwijkingen vanuit een meer afstandelijke positie. Monitoring ondersteunt daarmee het bestuur en management bij hun verantwoordelijkheid voor risicobeheersing, maar vervangt deze niet.

    Assurance

    Assurance ziet op het onafhankelijk geven van zekerheid over de opzet, het bestaan en de werking van beheersmaatregelen. Dit vereist een positie die losstaat van zowel uitvoering als monitoring. Assurance veronderstelt daarmee het bestaan van een derde lijn.

    Binnen veel professionele dienstverleners, en in het bijzonder binnen accountantskantoren, is een dergelijke derde lijn in de praktijk beperkt aanwezig of geheel afwezig. Desondanks wordt in rapportages en governance-structuren regelmatig impliciet uitgegaan van een mate van assurance die feitelijk niet wordt geleverd.

    De feitelijke rolverdeling in de praktijk

    In de praktijk vervult de compliancefunctie vaak een hybride rol. In plaats van zich primair te richten op monitoring vanuit de tweede lijn, verschuift de compliancefunctie regelmatig naar activiteiten die behoren tot de Check-fase van de PDCA-cyclus binnen de eerste lijn. Daarmee wordt compliance feitelijk onderdeel van de uitvoering, terwijl de formele verantwoordelijkheid bij de eerste lijn blijft liggen.

    Deze verschuiving leidt tot een diffuus verantwoordelijkheidsbeeld. De eerste lijn verliest een deel van haar eigen leer- en controlefunctie, terwijl monitoring en assurance onvoldoende tot ontwikkeling komen. Het gevolg is dat risico’s wel worden besproken en gedocumenteerd, maar dat het zicht op de daadwerkelijke effectiviteit van beheersing beperkt blijft.

    Gevolgen voor risicobeheersing

    Wanneer monitoring en assurance niet helder zijn gepositioneerd, ontstaat het risico dat een organisatie zichzelf een mate van zekerheid toedicht die niet wordt waargemaakt. Het onderscheid tussen uitvoeren, volgen en beoordelen vervaagt, waardoor tekortkomingen in beheersing pas laat of niet worden onderkend.

    Een zorgvuldige risicoanalyse en -beheersing vereist daarom niet alleen aandacht voor maatregelen en processen, maar ook voor de positie van degene die deze observeert en beoordeelt.

    Audit, onderzoek en RCA

    Binnen het kader van risicobeheersing worden verschillende vormen van toetsing en analyse gebruikt. Audit, onderzoek en Root Cause Analysis (RCA) worden in de praktijk regelmatig door elkaar gehaald, terwijl zij een wezenlijk verschillende functie hebben. Een scherp onderscheid is nodig om deze instrumenten effectief en proportioneel in te zetten.

    Audit

    Een audit is gericht op het toetsen van de opzet, het bestaan en de werking van processen en beheersmaatregelen aan vooraf vastgestelde normen of criteria. De kern van een audit is normgerichtheid: het oordeel ontstaat door vergelijking met een referentiekader.

    Audits zijn bij uitstek geschikt om vast te stellen of beheersing aanwezig is en functioneert, maar minder geschikt om te verklaren waarom afwijkingen optreden. In het kader van risicobeheersing levert een audit daarmee inzicht in de mate van beheersing, niet in de achterliggende oorzaken van tekortkomingen.

    Onderzoek

    Onderzoek richt zich op het vaststellen van feiten en omstandigheden rondom een concrete gebeurtenis, melding of incident. Het doel is reconstructie: wat is er gebeurd, wanneer, door wie en onder welke omstandigheden.

    In tegenstelling tot audit is onderzoek niet primair normatief, maar descriptief. Het resultaat van een onderzoek is een feitelijk beeld, dat als basis kan dienen voor verdere beoordeling of besluitvorming. Onderzoek kan zowel binnen als buiten een formele auditcontext plaatsvinden.

    Root Cause Analysis

    Root Cause Analysis is gericht op het begrijpen van de onderliggende oorzaken van een probleem of incident. Waar audit en onderzoek zich richten op wat er is gebeurd of of beheersing aanwezig is, richt RCA zich op de vraag waarom een afwijking heeft kunnen ontstaan.

    RCA is geen schuld- of sanctiemechanisme, maar een leerinstrument. Het doel is niet het aanwijzen van individuen, maar het identificeren van structurele oorzaken, zoals gebrekkige processen, onduidelijke verantwoordelijkheden, culturele factoren of onjuiste aannames. In die zin sluit RCA direct aan bij het leerkarakter van de PDCA-cyclus.

    Samenhang en toepassing

    Audit, onderzoek en RCA vervullen elk een eigen rol binnen risicobeheersing. Zij zijn complementair, maar niet uitwisselbaar. Het toepassen van het verkeerde instrument op een probleem leidt tot beperkte of misleidende inzichten. Een audit zonder RCA laat oorzaken onverklaard; een RCA zonder feitelijke basis mist richting; onderzoek zonder normatief kader leidt niet tot beheersing.

    Effectieve risicobeheersing vraagt daarom om een bewuste keuze van het juiste instrument, passend bij het doel en de context.

    Terug naar de inhoudsopgave

    Klik hier voor de inhoudsopgave.

  • Compliance in Accountancy


    Introduction

    The role of the Compliance Officer (CO) within accounting firms is relatively young in the Netherlands. It gained prominence with the introduction of the Wta (the Dutch Audit Firms Supervision Act) and continues to evolve. While the Three Lines of Defence model is widely accepted in the financial sector, its application within accountancy remains at an early stage. The compliance function typically fulfills a dual role: on the one hand, supporting the practice and operating close to the first line; on the other, monitoring and controlling, with an orientation toward the third line. In my observation, a genuine third line is largely absent in practice.

    (Note: I do not address Public Interest Entities (PIEs). Everything I write pertains to non-PIE accounting firms, including firms without a Wta license.)

    In this series of articles, I describe what compliance means in accounting practice, the role risk management plays in this context, and how both functions can be effectively integrated within a governance and risk management framework. Central to my view is that the Compliance Officer should report and advise broadly — both upon request and proactively — based on the organization’s objectives, the risks that threaten those objectives, and insights derived from audits, investigations, assessments, and, in practice, anything that comes to the CO’s attention. The interaction between compliance and risk management is a key theme throughout this series, as is the question of the appropriate degree of functional separation between the two.

    Contents

    (Please note: the table of contents below will consist of links to individual chapters once they have been written. Until then, some links will not yet be clickable.)

    1. Compliance: Judo with Risks
    2. Compliance in Accountancy
    3. Accounting Firms and RV-Regulated Practices
    4. The Regulatory Jungle
    5. Roles and Responsibilities
    6. Culture and Governance: The Playing Field of Compliance
    7. Risk Analysis and Risk Control
    8. Accountability and Oversight
    9. Quality and the Public Interest
    10. Practice Areas: Compilation, Tax, and Payroll
    11. Practice Areas: Advisory and Valuation
    12. Specific Duties and Special Obligations
    13. Internal Reporting and Integrity Systems

  • 6. Cultuur en governance: het speelveld van compliance

    Begrippen en uitgangspunten

    Wie over cultuur en governance spreekt, begeeft zich snel op glad ijs. Begrippen worden vaag gebruikt, normatief ingevuld of gereduceerd tot slogans. Voor compliance is dat riskant. Juist omdat compliance geen abstracte rol vervult, maar opereert binnen organisaties, met reële machtsverhoudingen en belangen, is begripsdiscipline hier geen academische luxe maar een praktische noodzaak.

    In dit hoofdstuk worden daarom drie begrippen functioneel afgebakend: cultuur, governance en compliance. Niet om een theoretisch kader te bouwen, maar om scherp te krijgen waar compliance zich feitelijk bevindt en waarom zij daar soms effectief is en soms niet.

    Cultuur wordt hier niet opgevat als een set waarden of ambities, maar als het geheel van impliciete normen, routines en verwachtingen dat feitelijk gedrag stuurt. Cultuur blijkt niet uit wat organisaties opschrijven, maar uit wat zij belonen, tolereren of negeren. Wie carrière maakt, wie wordt beschermd bij fouten, wie mag afwijken en wie wordt aangesproken: daarin manifesteert zich de werkelijke cultuur van een organisatie. Voor compliance is cultuur geen instrument en geen project, maar een gegeven realiteit waarbinnen zij haar rol moet vervullen.

    Governance wordt in dit hoofdstuk niet benaderd als een organogram of een verzameling reglementen. Governance gaat over de wijze waarop macht, verantwoordelijkheid en tegenmacht zijn georganiseerd en uitgeoefend, waarbij tegenmacht niet primair oppositioneel is, maar corrigerend en begrenzend. Het betreft de verdeling van beslissingsbevoegdheden, toezicht, verantwoording en correctiemechanismen binnen een organisatie. Governance is daarmee niet statisch: zij functioneert in de dagelijkse praktijk, in besluitvorming, escalatie en het al dan niet serieus nemen van signalen.

    Compliance tenslotte wordt hier nadrukkelijk niet gedefinieerd als een normstellende of moraliserende functie. De kern van compliance ligt in een onderzoekende, toetsende en informerende rol. Compliance verzamelt, weegt en duidt relevante normen, feiten en risico’s, en stelt die informatie beschikbaar aan de partijen die binnen de governance verantwoordelijk zijn voor besluitvorming. Compliance neemt daarbij geen eigen bestuurlijk standpunt in. Dat betekent overigens niet dat compliance geen oordeel geeft, maar dat dit oordeel altijd gebaseerd is op normen die van buiten de compliancefunctie komen. Tegenspraak is geen uitgangspunt, maar kan het gevolg zijn van zorgvuldig onderzoek en heldere duiding. Conflict is dus nooit het doel, maar moet ook niet al te nadrukkelijk worden vermeden.

    Deze positionering is essentieel. Wanneer compliance wordt opgevat als interne tegenmacht of als moreel kompas, raakt zij al snel verstrikt in rolverwarring en weerstand. Wanneer compliance daarentegen wordt begrepen als een functie die transparantie creëert over normen, risico’s en consequenties, ontstaat ruimte voor volwassen besluitvorming. Dat maakt compliance minder spectaculair, maar structureel relevanter.

    Vanuit deze begripsafbakening wordt in de volgende paragrafen verkend hoe cultuur en governance het speelveld bepalen waarbinnen compliance opereert. Niet als vrij zwevende functie, maar als onderdeel van een organisatie waarin macht, belangen en verantwoordelijkheid onvermijdelijk samenkomen.

    Governance als verdeling van macht, verantwoordelijkheid en tegenmacht

    Governance bepaalt niet alleen wie formeel beslist, maar vooral hoe besluiten tot stand komen, worden getoetst en zo nodig worden gecorrigeerd. In dat opzicht is governance minder een stelsel van regels dan een ordening van macht, verantwoordelijkheid en tegenmacht. Juist dat kader vormt het speelveld waarbinnen compliance functioneert.

    In veel organisaties wordt governance nog primair begrepen als structuur: bestuur, toezicht, commissies, reglementen. Die structuur is noodzakelijk, maar zegt weinig over de feitelijke werking. Governance manifesteert zich pas in de praktijk, in wie gehoord wordt, welke signalen serieus worden genomen, hoe afwijkingen worden besproken en waar besluitvorming daadwerkelijk stopt. Daarin worden machtsverhoudingen zichtbaar die niet altijd samenvallen met formele posities.

    Voor compliance is dit onderscheid cruciaal. Compliance opereert nooit in een machtsvacuüm. Zij is afhankelijk van de ruimte die governance laat voor onderzoek, toetsing en duiding, én van de bereidheid van bestuur en toezicht om met die informatie iets te doen. Governance kan compliance ondersteunen door transparantie en aanspreekbaarheid te organiseren, maar kan haar ook neutraliseren door signalen te parkeren, te heretiketteren of te verdunnen in besluitvorming.

    Een belangrijk spanningsveld daarbij is dat tussen autonomie en onafhankelijkheid. Autonomie ziet op de handelingsruimte van de compliancefunctie: de mogelijkheid om eigen onderzoeken te doen, prioriteiten te stellen en onderwerpen te agenderen. Onafhankelijkheid ziet op de oordeelsvorming: de mate waarin conclusies kunnen worden getrokken en gedeeld zonder oneigenlijke beïnvloeding of repercussies. In de praktijk zijn deze begrippen niet identiek en zeker niet altijd verenigd.

    Volledige autonomie is voor compliance noch haalbaar, noch wenselijk. Compliance maakt onderdeel uit van de organisatie en functioneert binnen de kaders die bestuur en governance stellen. Functionele onafhankelijkheid daarentegen is essentieel. Zonder die onafhankelijkheid verwordt compliance tot uitvoerder van bestuurlijke voorkeuren of tot verlengstuk van andere functies. Governance moet die onafhankelijkheid expliciet borgen, juist omdat compliance zelf geen beslissingsmacht heeft.

    In organisaties met een Raad van Commissarissen of vergelijkbaar toezichthoudend orgaan krijgt dit spanningsveld een extra dimensie. De aanwezigheid van toezicht creëert een aanvullend referentiepunt voor compliance, los van de dagelijkse bestuurlijke lijn. Daarmee ontstaat overigens niet automatisch betere compliance, maar wel een bredere institutionele context waarin signalen kunnen worden gewogen en waarin betere compliance mogelijk wordt. De precieze invulling daarvan verschilt per organisatie en wordt in de volgende paragraaf nader uitgewerkt.

    Wat hier van belang is, is dat governance geen oplossing is voor compliancevraagstukken, maar een randvoorwaarde. Governance bepaalt of compliance informatie kan verzamelen, delen en laten landen. Waar governance vooral gericht is op snelheid, consensus of het vermijden van ongemak, zal compliance structureel moeite hebben haar rol te vervullen. Waar governance ruimte laat voor reflectie en begrenzing, kan compliance functioneren zonder zichzelf te hoeven overschreeuwen.

    Daarmee is governance geen neutrale achtergrond, maar een actieve factor in de effectiviteit van compliance. Niet door wat zij voorschrijft, maar door wat zij mogelijk maakt – of juist onmogelijk maakt.

    De positie van de compliance officer in de governance-structuur

    De positie van de compliance officer wordt in hoge mate bepaald door de governance-structuur waarbinnen zij opereert. Niet alleen door formele rapportagelijnen, maar door de samenhang tussen gezag, mandaat, toegang en bescherming. Juist omdat compliance geen beslissingsbevoegdheid heeft, is haar effectiviteit afhankelijk van de wijze waarop deze elementen institutioneel zijn geborgd.

    In de praktijk rapporteert de compliance officer doorgaans aan de Raad van Bestuur. Van het bestuur ontvangt zij haar opdracht, haar budget en het gezag om haar rol te vervullen binnen de organisatie. Die bestuurlijke inbedding is noodzakelijk: zonder toegang tot besluitvorming en zonder formele positionering kan compliance haar onderzoekende en toetsende rol niet effectief uitoefenen.

    Tegelijkertijd vraagt de aard van de compliancefunctie om een aanvullende borging. In goed ingerichte governance-structuren wordt de compliance officer daarom vaak benoemd en ontslagen door de Raad van Commissarissen of een daarmee vergelijkbaar toezichthoudend orgaan als dat tenminste bestaat. Bij kleine organisaties zie je vaak een externe compliance officer. Deze is dan weliswaar niet goed beschermd, maar evenmin van het bestuur afhankelijk voor diens carrière. Daarmee wordt onderstreept dat compliance geen verlengstuk is van het dagelijks bestuur, maar een functie met een zelfstandige verantwoordelijkheid binnen het bredere governance-kader.

    Deze constructie creëert een spanning die niet moet worden opgelost, maar beheerst. Enerzijds is compliance afhankelijk van het bestuur voor haar dagelijkse functioneren. Anderzijds biedt de toezichthoudende verankering bescherming tegen situaties waarin signalen structureel worden genegeerd of geneutraliseerd. De mogelijkheid tot escalatie richting toezicht is geen alternatief voor bestuurlijke besluitvorming, maar een noodmechanisme voor uitzonderlijke omstandigheden.

    Van belang is daarbij dat het bestaan van deze escalatieroute vaak belangrijker is dan het feitelijke gebruik ervan. Governance werkt hier preventief, de wetenschap dat signalen niet uitsluitend binnen de bestuurlijke lijn hoeven te blijven, beïnvloedt het gesprek nog vóórdat escalatie aan de orde is. Daarmee draagt governance bij aan de onafhankelijkheid van compliance zonder haar los te maken van de organisatie.

    De positie van de compliance officer wordt daarmee niet gekenmerkt door formele macht, maar door functionele legitimiteit. Die legitimiteit ontstaat uit een combinatie van duidelijke mandatering, bestuurlijke steun en toezichthoudende borging. Waar één van deze elementen ontbreekt, verschuift compliance mogelijk richting symboliek of formaliteit.

    In de volgende paragraaf wordt verkend hoe deze positionering in de praktijk samenkomt met cultuurconflicten die juist in groeiende organisaties zichtbaar worden, en welke spanning dat oplevert voor de dagelijkse invulling van de compliancefunctie.

    Cultuurconflicten in groeiende organisaties

    Cultuurconflicten worden vaak pas zichtbaar wanneer organisaties groeien. Niet omdat cultuur daarvoor afwezig is, maar omdat impliciete normen en informele werkwijzen onder druk komen te staan zodra schaal, complexiteit en externe verwachtingen toenemen. Wat lange tijd werkte op basis van nabijheid en vakmanschap, wordt dan geconfronteerd met de noodzaak tot explicitering, standaardisering en verantwoording.

    In groeiende organisaties bestaat cultuur vaak bij de gratie van persoonlijke relaties, professionele reputatie en wederzijds vertrouwen. Besluiten worden genomen op basis van gedeeld begrip, afwijkingen worden informeel besproken en fouten worden hersteld zonder formele escalatie. Die nabijheid kan krachtig zijn, maar is kwetsbaar. Naarmate de organisatie groeit, nemen afstand en differentiatie toe. Niet iedereen kent elkaar nog, belangen lopen uiteen en impliciete aannames worden minder vanzelfsprekend gedeeld.

    Juist op dat punt ontstaan cultuurconflicten die compliance direct raken. Wat door de één wordt ervaren als gezond professioneel oordeel, wordt door een ander gezien als onduidelijkheid of willekeur. Wat eerder gold als pragmatisme, kan onder externe druk worden herijkt als risico. Compliance bevindt zich in die situaties vaak op het snijvlak: niet als veroorzaker van de spanning, maar als degene die haar zichtbaar maakt.

    Een terugkerend spanningsveld is dat tussen vakmanschap en optimalisatie. Vakmanschap veronderstelt tijd, reflectie en professionele autonomie. Optimalisatie stuurt op snelheid, uniformiteit en schaalvoordelen. Beide zijn legitiem, maar zij verdragen elkaar niet altijd vanzelf. Waar groei leidt tot nadruk op efficiëntie en beheersing, kan dat botsen met bestaande professionele normen. Compliance krijgt dan al snel het verwijt formalistisch of vertragend te zijn, terwijl zij feitelijk wijst op grenzen die eerder impliciet werden gerespecteerd.

    In organisaties van beperkte schaal blijft cultuur vaak sterker bepalend dan formeel beleid. Zelfs bij organisaties die in absolute zin omvangrijk zijn maar met relatief korte lijnen en zichtbare personen wegen informele signalen zwaarder dan procedures. Voor compliance betekent dit dat formele instrumenten alleen effectief zijn wanneer zij aansluiten bij de bestaande cultuur, of wanneer governance expliciet ruimte creëert om die cultuur ter discussie te stellen.

    Deze spanning wordt versterkt wanneer groei gepaard gaat met externe invloeden: nieuwe toezichthouders, aangescherpte regelgeving, investeerders of maatschappelijke verwachtingen. Wat intern logisch en werkbaar was, wordt extern anders gewaardeerd. Compliance fungeert dan vaak als vertaler tussen werelden, maar ontmoet tegelijk weerstand van binnenuit. Niet omdat de boodschap onjuist is, maar omdat zij raakt aan diepgewortelde aannames over hoe het “altijd ging”.

    Het is van belang te onderkennen dat deze cultuurconflicten geen falen van compliance zijn. Zij zijn het gevolg van veranderende omstandigheden waarin bestaande normen niet langer vanzelfsprekend functioneren. Compliance kan deze spanning niet oplossen, maar wel expliciteren. Dat vraagt om bestuurlijke bereidheid om ongemak te verdragen en om governance die ruimte laat voor reflectie, juist wanneer de druk toeneemt.

    In die zin vormt cultuur geen achtergronddecor, maar een dynamisch krachtenveld. Naarmate organisaties groeien, verschuift dat veld. Compliance opereert daarin niet als scheidsrechter, maar als signaalfunctie. Of die signalen vervolgens leiden tot aanpassing, begrenzing of bevestiging van bestaand gedrag, is uiteindelijk een governancevraagstuk.

    Governance als randvoorwaarde voor effectieve compliance

    Governance is geen oplossing voor compliancevraagstukken, maar een noodzakelijke randvoorwaarde voor het functioneren van de compliancefunctie. Zij bepaalt of compliance kan waarnemen, onderzoeken en informeren, en of die informatie vervolgens betekenis krijgt in besluitvorming. Zonder passende governance kan compliance formeel aanwezig zijn, maar materieel tandeloos blijven.

    Binnen organisaties is governance verdeeld over verschillende organen, ieder met een eigen rol en verantwoordelijkheid. Aan de basis staat de aandeelhoudersvergadering of, in partnerschapsstructuren, de partnervergadering. Hier liggen de uiteindelijke zeggenschap en de economische belangen. In sommige organisaties wordt deze laag beïnvloed door externe partijen, zoals private equity, die aanvullende prikkels introduceren gericht op groei, rendement en tijdshorizon. Waar zeggenschap en economisch belang zijn gescheiden, bijvoorbeeld via een STAK, ontstaat een extra governance-laag die zowel stabiliserend als vertragend kan werken.

    Het bestuur draagt de verantwoordelijkheid voor de dagelijkse leiding en is de primaire gesprekspartner van compliance. Hier worden keuzes gemaakt, prioriteiten gesteld en risico’s geaccepteerd of gemitigeerd. De Raad van Commissarissen of een vergelijkbaar toezichthoudend orgaan houdt toezicht op het bestuur en vormt de institutionele tegenmacht. Niet door zelf te besturen, maar door te toetsen, te bevragen en zo nodig te begrenzen. In die gelaagde structuur krijgt compliance haar betekenis, niet als besluitvormer, maar als bron van informatie en duiding voor zowel bestuur als toezicht.

    In sommige organisaties speelt ook de ondernemingsraad een rol in het governance-landschap. Hoewel de OR geen formele rol heeft in compliancebesluitvorming, kan zij signalen afgeven over cultuur, werkdruk en sociale veiligheid die relevant zijn voor het functioneren van compliance. Ook hier geldt dat effectiviteit niet zit in formele bevoegdheden, maar in de bereidheid van andere governance-organen om signalen serieus te nemen.

    De plaats van compliance binnen dit geheel is daarmee niet los te zien van schaal en complexiteit. In grotere organisaties is functiescheiding vaak mogelijk en wenselijk. In kleinere en middelgrote organisaties ligt dat anders. Daar is het gebruikelijk dat compliance wordt gecombineerd met risicomanagement en soms ook met specialistische rollen zoals die van functionaris gegevensbescherming of CISO. Dat is geen tekortkoming, maar een realiteit. Functiescheiding is in zulke contexten een luxe; rolzuiverheid is een vereiste.

    Dat betekent dat helder moet zijn vanuit welke rol wordt gehandeld, welke belangen worden gediend en welke waarborgen zijn getroffen om belangenverstrengeling te voorkomen. Juist in gecombineerde functies is governance bepalend. Duidelijke mandaten, transparante rapportagelijnen en toegang tot bestuur en toezicht zijn belangrijker dan formele organisatorische scheiding.

    Effectieve compliance ontstaat daarmee niet door het optuigen van structuren, maar door samenhang. Samenhang tussen organen, tussen rollen en tussen formele bevoegdheden en informele praktijk. Governance creëert die samenhang niet automatisch, maar kan haar wel mogelijk maken. Waar governance fragmentarisch is of primair gericht op beheersing en snelheid, zal compliance moeite hebben haar rol te vervullen. Waar governance ruimte laat voor reflectie, begrenzing en aanspreekbaarheid, kan compliance functioneren zonder zichzelf te hoeven overschreeuwen.

    In die zin is governance geen decor en geen sluitstuk, maar een voorwaarde. Niet voor perfecte compliance, maar voor betekenisvolle compliance: een functie die bijdraagt aan geïnformeerde besluitvorming binnen een organisatie die bereid is haar eigen spanningen onder ogen te zien.

  • Innoveren we nog een beetje?

    Ik lees met enige regelmaat van binnen en buiten de sector commentaren als zou de accountancy niet innovatief zijn. Zit daar iets in?

    Ik denk dat dat vooral een kwestie van perspectief is. Komt het commentaar van mensen die dag in, dag uit in de sector werkzaam zijn of van omstanders en mensen die vanaf de kant hun commentaar geven? Niet dat de een meer gelijk heeft dan de ander, maar het perspectief van waaruit men spreekt is wel een indicatie voor hoe dit soort uitspraken te verstaan.

    Een ander punt dat naar mijn gevoel mee speelt is de leeftijd van de spreker. Als je, zoals ik, een vijftiger bent dan is er een redelijke kans dat je enerzijds ongeduldig bent en anderzijds denkt dat je alles al een keer gezien hebt. De verwondering van de jeugd maakt op enig moment plaats voor berusting of cynisme. Het kan er toe leiden dat je niets meer goed genoeg vindt, maar ook dat je haast begint te krijgen.

    Laat ik wat perspectieven benoemen, zonder daarmee een uitspraak te willen doen over of de sector innoveert, of dat genoeg is, of dat allemaal maar hijgerig gehype is. Gewoon, wat context en perspectief.

    Om met iets te beginnen dat in deze maand relevant is. Als ik terug denk aan de kerstboom die ik me als kleuter herinner, dan was dat een echte spar, met zilveren slingers, zilveren en rode ballen en een zilveren piek. En één “bijzondere” bal, een witte met zilveren en blauwe versierselen. Alle ballen van glas overigens. En verder waren er kaarsjes op kandelaartjes die je aan een tak kon klemmen. Levensgevaarlijk, maar wel mooi. De boom was zonder kluit en stond op een kruis van houten plankjes die op de onderkant van de boom waren gespijkerd.

    De kerstboom die we vandaag in huis hebben is nog steeds een echte spar, met slingers, ballen en een piek.

    Kerstboom

    Niet erg innovatief, zo beschouwd, in 50 jaar tijd gewoon nog hetzelfde concept. Maar, nu met bijzondere kerstballen, herinneringsballen noemen wij ze, die we hebben uitgezocht om bijzondere momenten te markeren. Vorig jaar bijvoorbeeld een kerstbal in de vorm van een tractor om te herinneren dat ik bij aaff ging werken

    aaff

    en dit jaar een kerstbal in de vorm van een rolkoffer ter herinnering aan onze vakantie in Canada en een in de vorm van een verlovingsring om de verloving van mijn oudste zoon en zijn vriendin te memoreren.

    De boom is verder versierd met lichtjes, elektrisch, met instelbare felheid. De kluitloze boom staat in een vernuftige voet die met een soort pedaal om de stam wordt geklemd en die gevuld wordt met water om stevigheid te geven en om de boom te voeden. Wie het wil zien, ziet innovaties genoeg. Wie het niet wil zien, ziet vooral een behoudende traditie.

    Een ander perspectief, om iets aan te geven over specifiek mijn generatie. Toen ik geboren werd was Soyuz 8 net terug uit de ruimte en stond Apollo 12 op het punt naar de maan te vertrekken. De IBM S/360 domineerde het computerlandschap, de S/370 moest nog komen. Het idee van thuiscomputers of computers voor normale kantoormensen was zacht gezegd nog hooguit een absurde gedachte bij een enkeling. 2001: A space odyssey was het toppunt van science fiction met voor de tijd grandioze special effects en een verteltempo waar iedereen nu bij in slaap valt.

    In de afgelopen 56 heb ik een paar dingen meegemaakt. De komst van de thuiscomputer en de PC in kantooromgevingen, de komst van internet, het fenomeen dat iedereen altijd en overal een smartphone (draadloos!!!!) bij zich heeft met internettoegang, ondenkbaar grote opslagcapaciteit, toegang tot media. De evolutie van Yahoo en AltaVista via Google naar ChatGPT. Ik heb het linkse terrorisme en de afscheidingsbewegingen in Europa meegemaakt, van RAF, IRA, ETA, PKK, CCC, Rode Brigades, en wat niet al tot aan de PLO en dergelijke, met bomaanslagen, vliegtuigkapingen en ontvoeringen, de val van de muur in Berlijn en de ondergang van Sovjet Unie en Warschau Pact. Vervolgens de opkomst van, en vooral angst voor, moslim-terrorisme, de hernieuwde agressie van Rusland en het einde van het vertrouwen in de VS binnen NATO-verband. In diezelfde periode ging Nederland van een stevige protestantse en iets lossere katholieke poot met ook nog liberalen en socialisten naar een seculiere samenleving die ineens moest wennen aan moslims, de verzuiling hield op, en na een periode van libertaire vrijheid zagen we de maatschappij weer behoorlijk preuts en conservatief worden. Ik herinner me de zwart/wit tv met daarop Nederland 1, Nederland 2, BRT 1, BRT 2, Duitsland 1, 2 en 3. En nu is TV kijken via kleur en oneindig veel netten alweer op zijn retour ten gunste van online entertainment, streamers en YouTube.

    Als je dat een beetje op je laat inwerken, en je kan dat nog met duizend andere onderwerpen aanvullen, dan valt moeilijk te ontkennen dat er best wat dingen veranderd zijn in de afgelopen decennia. Binnen dat perspectief kan je over alles verwonderd zijn, maar je kan ook alles afdoen als onbelangrijk, en niet groots en meeslepend genoeg om onder de indruk te zijn. Beide visies zijn legitiem, want beide visies zijn geen feitelijke constatering, maar een persoonlijke waardering afhankelijk van je perspectief.

    Zijn er feiten uit onze sector te benoemen? jazeker wel. Ik noem er een paar, en iedereen maakt zelf maar uit of ze innovatief genoeg zijn om verwonderd over te zijn. Ik beperk me tot de ontwikkelingen die ik in mijn professionele leven heb meegemaakt, dus een periode aanzienlijk korter dan mijn totale leven:

    • Definitieve vestiging van het risico-analyse-model en het einde van de synthetische controle-aanpak
    • Opkomst van de computer in de controle
    • Introductie van het elektronische dossier en het einde van het papieren dossier
    • E-mail
    • Electronische agenda’s en PDA’s
    • Mobiele telefoons
    • IFRS
    • Sarbanes-Oxley
    • De Wet computercriminaliteit
    • De Wet ter voorkoming van Witwassen en Financiering van Terrorisme
    • AVG
    • De Wet Toezicht Accountantsorganisaties
    • Afschaffing van de fraudemelding en het loket buiten de wettelijke controle
    • Invoering van de VGC en de VGBA
    • ISQC, ISQM, NVKS, NVKM, SKM
    • IDEA, ACL, Proces Mining, data-analyse
    • Verschuiving van systeemgerichte controle naar gegevensgerichte controle
    • Afbrokkelen natuurlijke adviesfunctie
    • Groei van ERP-systemen
    • Introductie van private equity in de sector
    • Big 8 worden big 5. Ondergang van Arthur Anderson
    • Consolidatie in de nationale kantoren, begin Europese consolidatie
    • CSRD en algeheel bewustzijn van bredere functie dan alleen de financiële functie voor sector en klanten
    • Werken op kantoor, bij de klant, thuis, toch weer op kantoor
    • Zoom. Teams.
    • De bastions van blanke mannen worden bestormd door vrouwen en iets minder blanke mannen
    • TUACC. BST.
    • Samengaan NOVAA en NIVRA tot NBA, ontstaan (nieuwe) NOVAA.

    En ja, ook deze lijst kan tot in het ondenkbare worden aangevuld, het is wat me zo snel te binnen schiet.

    Mijn punt? Innovatie genoeg, als je dat zo wil zien. Alles blijft bij het oude, voor wie dat zo wil zien.

  • Begripsverwarring in compliance

    Recent publiceerde Marcel Pheijffer een opinie over het mede tekenen van de accountantsverklaring door de OKB-er. Ik laat me hier niet uit over dat idee zelf, maar in de discussie die ontstond bleek begripsverwarring over enkele zaken. In een andere context liep ik ook al tegen wat begripsverwarring aan, daarom hier een korte uitleg bij enkele in de wereld van (accountants) compliance relevante begrippen.

    OKB, IKO, Review

    Een OKB is een opdrachtgerichte kwaliteitsbeoordeling. Het is een instrument dat is geïntroduceerd via de Wet toezicht accountantsorganisaties, en later ook een plaats heeft gekregen in de Nadere Voorschriften Kwaliteitssystemen van de NBA. De Wta en Bta bepaalden dat voorafgaand aan het afgeven van iedere verklaring voor een OOB, en voor een aantal op basis van kantoorbeleid te bepalen verklaringen voor niet-OOB’s, een OKB uitgevoerd diende te worden.

    Doel van de OKB is dus preventief vast te stellen dat de externe accountant redelijkerwijs tot diens beoogde verklaring kon komen. Wie exact de opdrachtgever van de OKB is staat niet vast. Anders dan vaker gedacht is het niet vanzelfsprekend de compliance officer. Dat kan ook niet, aangezien bij Reguliere Vergunninghouders een compliance officer niet door de wet wordt voorgeschreven, maar OKB’s wel.

    De OKB is gericht op het bevorderen van de kwaliteit van de accountantsverklaring en is daarmee dus onderdeel van het kwaliteitsstelsel. Daar is de accountantsorganisatie, de vergunninghouder, verantwoordelijk voor. Het lijkt redelijk voor de hand te liggen dat de functionaris die onder NVKS wordt aangeduid als kwaliteitsbepaler dus eindverantwoordelijk is voor de OKB. Dat neemt niet weg dat een compliance officer graag kennis zal nemen van het OKB-verslag en vooral van de verantwoording die de OKB-er aflegt aan de kwaliteitsbepaler.

    Een IKO is een Intern Kwaliteitsonderzoek, ook wel aangeduid als review. Het is in de praktijk een onderzoek met een dubbele functie. Het stelt achteraf vast of de kwaliteit van uitgevoerde controles afdoende was, en waar mogelijkheden zijn tot verbetering. In die zin is het onderdeel van het kwaliteitsstelsel en hoort dus net als de OKB bij de kwaliteitsbepaler. Maar de IKO heeft ook een formele insteek, de toetsing of bij de uitvoering van de controle aan de eisen van het kwaliteitsstelsel is voldaan. Vanuit dat perspectief is de IKO dus eerder een hulpmiddel voor compliance. In de praktijk zal je vaak zien dat beide doelen in één onderzoek worden gecombineerd, en zowel aansturing door de kwaliteitsbepaler, als door de compliance officer komt voor.

    Review is een wat onhandig begrip, omdat het in de accountantspraktijk een aantal betekenissen heeft:

    • De hiervoor genoemde IKO;
    • De beoordeling van het dossier door de tekenend accountant;
    • De beoordeling van secties, working papers, werkzaamheden van assistenten door de opdrachtleider;
    • De beoordeling van delen van de jaarrekening of andere door de klant aangeleverde informatie.

    Audit en onderzoek

    Een ander begrippenpaar dat nog wel eens tot verwarring kan leiden is onderzoek versus audit. Het zijn geen al te strak gedefinieerde begrippen, maar enige consensus kan wel gevonden worden in de volgende omschrijvingen, toegespitst op de rol van de compliance officer:

    Onderzoek betreft activiteiten door of namens de compliance officer waarbij inzicht wordt verkregen over een proces, organisatieonderdeel, informatie, etcetera, zonder dat getoetst wordt aan een norm. Populair is de term “verkennend onderzoek”, maar je mag je afvragen of dat niet vooral een soort verzachtende term is om duidelijk te maken dat het echt niet eng is om onderzocht te worden. Hoe dan ook, een onderzoek kan tot waarnemingen, inzichten, adviezen en allerhande andere rapportages leiden, maar zal in de regel niet tot een betrekkelijk scherp oordeel leiden. Daar is het andere instrument, de audit. Een audit is een gestructureerd onderzoek naar een feitelijkheid ten opzichte van een norm. Het heeft niet noodzakelijk de strikte structuur van assurance in de accountantspraktijk, maar het is wel vergelijkbaar, ook in de uitkomst. Een audit mondt uit in een oordeel door de compliance officer waarbij deze vaststelt dat de onderzochte feitelijkheid voldoet, niet voldoet, of beperkt voldoet aan de gehanteerde norm. Mocht een oordeel onmogelijk zijn, dan zal dat het resultaat van de audit zijn.

    Waar bij een onderzoek het gehanteerde normenkader vrij zacht en subjectief kan zijn, is dat bij een audit niet mogelijk. Althans, in de praktijk wordt een oordeel van het soort “de werkzaamheden van X in casus Y voldoen niet aan mijn onderbuikgevoel” zelden erg nuttig gevonden. De Autoriteit Financiële Markten vraagt, als toezichthouder, in voorkomende gevallen vrijwel altijd naar het gehanteerde normenkader. Ook bij een onderzoek is het alleen al daarom zinvol te overwegen of, en zo ja welk, een normenkader van toepassing is.

    Risico, Verslaggevingsrisico, Integriteitsrisico, Compliancerisico

    Tenslotte een begrippengroepje dat nog wel eens verwarring geeft. In algemene zin is een risico een begrip dat ziet op “iets” dat een bepaalde of inschatbare kans heeft zich voor te doen met een bepaalde of inschatbare impact. In formule gezegd: risico = kans x impact.

    Een verslaggevingsrisico is “iets” dat kan leiden tot een materiële afwijking in de jaarrekening. Zowel de controlerend accountant als de samenstellend accountant die risico-gericht samenstelt, heeft hier mee te maken. De werkzaamheden richten zich op het onderkennen van deze verslaggevingsrisico’s en op het vaststellen of deze zich daadwerkelijk hebben voorgedaan.

    Een integriteitsrisico zegt iets over de integriteit van een klant, een medewerker, een persoon. De impact kan velerlei zijn. Te denken valt aan de risico’s op witwassen en terrorismefinanciering uit de WWFT, of de risico’s die de beheerste en integere bedrijfsvoering van een accountantsorganisatie kunnen raken. Waar de verwarring kan ontstaan is in de impact die een integriteitsrisico kan hebben op de verslaggeving. Dat valt het eenvoudigst te zien via de route van fraude. Een integriteitsrisico leidt dan tot een frauderisico, dat vervolgens weer leidt tot een verslaggevingsrisico. Geen van deze risico’s zijn hetzelfde, maar ze kunnen dus wel samenhangen.

    Wat een compliancerisico precies is, lijkt vooral afhankelijk van degene aan wie je dat vraagt. Een overlappend begrip dat veel terug komt is dat het compliancerisico, mede, het risico betreft dat de organisatie interne en/of externe regels overtreedt. In de praktijk wordt dit regelmatig eng geïnterpreteerd, waarbij een compliancerisico rechtstreeks wordt gekoppeld aan een wet of een regel. Bijvoorbeeld als een WWFT audit wordt uitgevoerd, is voor vrijwel iedereen wel duidelijk dat dit een audit is gericht op een compliancerisico. Maar het begrip is breder. Ook het niet functioneren van interne systemen die niet direct gericht zijn of schijnen op compliance, kan leiden tot een compliancerisico. Stel bijvoorbeeld dat de cultuur binnen een kantoor erg informeel is, dan kan dat heel prettig zijn, maar het kan ook indirect leiden tot een al te losse omgang met vastleggingen die weer nodig zijn om te voldoen aan bepaalde wetgeving. Dan is “cultuur” dus een bron van een compliancerisico.

    Pietluttigheid is troef?

    Het is in dagelijks gebruik natuurlijk niet zo spannend als begrippen niet helemaal scherp zijn, zolang iedereen maar weet wat je bedoelt. In de discussie waarmee ik begon bleek echter dat de spraakverwarring over OKB en IKO wel degelijk tot inhoudelijk ontsporen van de discussie aanleiding gaf. Voor compliance officers is het de kunst pietluttigheid te vermijden maar wel degelijk nauwkeurig te zijn in formuleren.