Compliance als dienstverlening
Accountantskantoren verlenen veel diensten die erop zijn gericht cliënten te helpen aan hun wettelijke en andere verplichtingen te voldoen. Drie belangrijke vormen daarvan zijn het samenstellen van financiële informatie, fiscale compliance en salarisdienstverlening. Op het eerste gezicht zijn dat verschillende disciplines. Ze vereisen verschillende vaktechnische kennis, kennen verschillende regels en worden binnen grotere accountantskantoren vaak door verschillende professionals uitgevoerd. Toch hebben ze vanuit complianceperspectief veel met elkaar gemeen.
Compliance-as-a-service
Bij een samenstellingsopdracht ondersteunt de accountant de cliënt bij het opstellen en presenteren van financiële informatie. Daarbij kan het bijvoorbeeld gaan om een jaarrekening die moet voldoen aan de toepasselijke verslaggevingsregels en, waar dat aan de orde is, tijdig moet worden gedeponeerd. Bij fiscale compliance ondersteunt het kantoor de cliënt bij het voldoen aan zijn fiscale verplichtingen, bijvoorbeeld door het verzorgen van aangiften. Bij salarisdienstverlening neemt het kantoor werkzaamheden rond de salarisadministratie over en helpt het de cliënt daarmee te voldoen aan verplichtingen op het gebied van onder meer loonheffingen, sociale verzekeringen, arbeidsvoorwaarden en cao’s.
In zekere zin zijn het daarmee alle drie vormen van compliance-as-a-service. De cliënt is onderworpen aan regels en verplichtingen en schakelt een professionele dienstverlener in om hem te helpen daaraan te voldoen.
Het woord compliance wordt hier dus in een andere betekenis gebruikt dan in de rest van dit boek. De compliancefunctie van een accountantskantoor richt zich op de beheersing van de compliancerisico’s van het accountantskantoor zelf. Bij compliance-as-a-service is compliance juist het product dat aan de cliënt wordt geleverd. Het accountantskantoor moet zelf compliant zijn, maar helpt tegelijkertijd zijn cliënten compliant te zijn.
Dat onderscheid is ook van belang voor de afbakening van dit hoofdstuk. Fiscale advisering kan bijvoorbeeld nauw verbonden zijn met het verzorgen van een fiscale aangifte, maar is een ander soort dienstverlening. Een adviseur helpt een cliënt keuzes te maken, mogelijkheden te onderzoeken of een transactie te structureren. Bij fiscale compliance staat het voldoen aan bestaande verplichtingen centraal. Adviesdiensten komen daarom in het volgende hoofdstuk aan de orde.
Naast de cliënt
Deze vormen van dienstverlening verschillen ook op een ander punt van de controlepraktijk. Bij een controle beoordeelt de accountant informatie waarvoor de cliënt verantwoordelijk is en geeft hij daarover een onafhankelijk oordeel. De noodzakelijke afstand tussen accountant en cliënt is daarmee een wezenlijk onderdeel van de dienstverlening.
Bij samenstel, fiscale compliance en salaris is de verhouding anders. De professional staat veel meer naast de cliënt. Hij ondersteunt de cliënt bij het tot stand brengen van informatie, het verzorgen van aangiften of het uitvoeren van administratieve processen. Die nabijheid is geen onvermijdelijk gevolg van de dienstverlening, maar juist een kenmerk ervan.
De verantwoordelijkheid van de cliënt verdwijnt daardoor niet. Het inschakelen van een accountant, fiscalist of salarisprofessional ontslaat een onderneming niet van haar eigen verplichtingen. Wel krijgt het accountantskantoor door deze dienstverlening vaak een zeer directe blik op het handelen van de cliënt. De samensteller ziet de administratie en de transacties die daarin zijn verwerkt. De fiscale professional ziet de feiten die voor de aangifte relevant zijn. De salarisprofessional ziet werknemers, beloningen en mutaties in het personeelsbestand.
Daarmee ontstaat een bijzondere positie. De professional wordt ingeschakeld om de cliënt te helpen compliant te zijn, maar kan tijdens die werkzaamheden juist constateren dat de cliënt niet compliant is. Nog ingewikkelder wordt het wanneer blijkt dat de cliënt niet alleen een fout heeft gemaakt, maar bewust niet aan zijn verplichtingen wil voldoen. De dienstverlener die de cliënt helpt bij het naleven van regels, kan daardoor tegelijkertijd worden geconfronteerd met gedrag waaraan hij zelf niet mag of wil meewerken.
Voor de compliance officer is niet in de eerste plaats van belang of hij zelf kan beoordelen of een jaarrekening juist is samengesteld, een fiscale aangifte vaktechnisch juist is of een loonberekening overeenkomstig de toepasselijke cao is uitgevoerd. Daarvoor zijn inhoudelijk deskundige professionals verantwoordelijk. De compliance officer moet wel begrijpen hoe de organisatie ervoor zorgt dat dergelijke werkzaamheden betrouwbaar worden uitgevoerd en hoe wordt gehandeld wanneer daarbij afwijkingen of integriteitsrisico’s zichtbaar worden.
Terugkerende dienstverlening
Samenstel, fiscale compliance en salaris hebben ten slotte nog een belangrijk kenmerk gemeen. Een belangrijk deel van de werkzaamheden is terugkerend. Jaarrekeningen worden ieder jaar samengesteld, aangiften worden periodiek ingediend en salarissen iedere maand verwerkt. Hoewel iedere cliënt en iedere opdracht zijn eigen bijzonderheden kent, bestaan de werkzaamheden voor een belangrijk deel uit processen die zich herhalen.
Dat maakt deze dienstverlening wezenlijk anders dan veel advieswerk. Niet iedere opdracht hoeft vanaf het begin opnieuw te worden ontworpen. Werkzaamheden kunnen worden gestandaardiseerd, geprotocolleerd en in toenemende mate geautomatiseerd. Dat is niet alleen een mogelijkheid, maar bij grote aantallen opdrachten ook een economische noodzaak.
Daarmee ontstaat voor compliance een bijzondere opgave. De eisen die in de voorgaande hoofdstukken zijn besproken, verdwijnen niet omdat werkzaamheden vaak voorkomen of tegen relatief lage tarieven worden uitgevoerd. Cliëntacceptatie, risicoclassificatie, deskundigheid, documentatie, kwaliteitsbeheersing en monitoring blijven van belang. Tegelijkertijd kan niet aan iedere aangifte, iedere loonmutatie of iedere andere administratieve handeling dezelfde hoeveelheid menselijke aandacht worden besteed als aan een complexe controle- of adviesopdracht.
De vraag is daarom niet welke kwaliteits- en compliance-eisen bij deze dienstverlening kunnen worden losgelaten. De vraag is hoe aan die eisen kan worden voldaan zonder dat de beheersing meer kost dan de dienstverlening zelf.
Kwaliteit moet schaalbaar zijn
De eenvoudigste manier om kwaliteit te verhogen lijkt vaak het toevoegen van controles. Een medewerker voert een werkzaamheid uit, een tweede medewerker controleert deze en bij werkzaamheden met een groter risico kan eventueel nog een derde beoordeling plaatsvinden. Bij complexe of incidentele opdrachten kan dat een verstandige manier zijn om risico’s te beheersen. Bij grote aantallen relatief kleine administratieve handelingen loopt deze benadering echter al snel tegen haar grenzen aan.
De economische ruimte per afzonderlijke handeling is bij samenstel, fiscale compliance en vooral salarisdienstverlening beperkt. Een salarisberekening kan niet worden belast met een uur extra kwaliteitscontrole en ook een relatief eenvoudige aangifte kan niet meerdere keren volledig opnieuw worden beoordeeld. Dat zou de dienstverlening onbetaalbaar maken. Hetzelfde geldt voor allerlei beheersingsmaatregelen die op zichzelf verstandig zijn, maar waarvan de kosten zich bij iedere opdracht of handeling opnieuw voordoen.
Dat betekent niet dat de kwaliteitseisen lager kunnen zijn. Integendeel. Een cliënt die zijn salarisadministratie uitbesteedt, verwacht dat zijn werknemers het juiste bedrag ontvangen. Een cliënt die zijn aangifte laat verzorgen, verwacht dat deze juist en tijdig wordt ingediend. De prijs van de dienstverlening verandert niets aan die verwachting.
De uitdaging is daarom om kwaliteitsbeheersing schaalbaar te maken.
Het normale standaardiseren
Dat begint met standaardisering. Wanneer dezelfde werkzaamheden regelmatig worden uitgevoerd, is het niet efficiënt en ook niet noodzakelijk veiliger om iedere professional steeds opnieuw te laten bepalen hoe hij die werkzaamheden uitvoert. Processen kunnen worden beschreven, beslissingen kunnen waar mogelijk worden geprotocolleerd en terugkerende handelingen kunnen worden geautomatiseerd.
Daarbij moet onderscheid worden gemaakt tussen variatie en afwijkingen. Niet iedere cliënt is hetzelfde en niet ieder dossier bevat dezelfde gegevens. Een groot deel van die variatie heeft echter geen betekenis voor de manier waarop de dienstverlening moet worden uitgevoerd. Waar verschillen niet relevant zijn, kunnen zij binnen een gestandaardiseerd proces worden opgevangen.
Afwijkingen die wél betekenis hebben, moeten juist zichtbaar worden gemaakt. Een transactie die niet past bij het normale patroon, een bijzondere fiscale positie of een loonmutatie die buiten vooraf bepaalde grenzen valt, kan aanleiding zijn voor menselijke beoordeling. De kunst is niet om iedere handeling door een professional te laten beoordelen, maar om het proces zo in te richten dat professionele aandacht terechtkomt waar zij werkelijk nodig is.
De ideale administratieve dienstverlening verwerkt daarom het normale zo veel mogelijk zonder bijzondere menselijke tussenkomst en maakt het uitzonderlijke zichtbaar voor menselijke beoordeling.
Kwaliteit in het proces
Automatisering wordt daarbij soms vooral gezien als middel om kosten te besparen. Vanuit complianceperspectief is minstens zo belangrijk dat automatisering menselijke fouten kan voorkomen. Een systeem vergeet geen verplichte stap omdat het haast heeft, slaat niet per ongeluk een cliënt over en wordt niet afgeleid tijdens het overnemen van gegevens. Waar een handeling betrouwbaar kan worden geautomatiseerd, kan automatisering daardoor tegelijkertijd de kosten verlagen en de kwaliteit verhogen.
Hetzelfde geldt voor protocollering. Een protocol beperkt de professionele vrijheid, maar dat is niet noodzakelijk een nadeel. Professionele oordeelsvorming heeft waarde waar werkelijk een professioneel oordeel nodig is. Waar de juiste handelwijze vooraf kan worden bepaald, voegt het weinig toe om iedere medewerker opnieuw dezelfde afweging te laten maken. De beschikbare deskundigheid kan beter worden ingezet voor situaties waarin de standaard niet volstaat.
Daarmee verandert ook de plaats van kwaliteitsbeheersing. Kwaliteit wordt minder afhankelijk van controles op iedere afzonderlijke uitkomst en meer van het ontwerp van het proces waarmee die uitkomsten tot stand komen. Preventieve maatregelen krijgen daarbij waar mogelijk de voorkeur boven herstel achteraf. Een fout die niet wordt gemaakt, hoeft immers ook niet te worden gevonden en hersteld.
Voor de compliancefunctie betekent dit dat zij terughoudend moet zijn met beheersingsmaatregelen die bij iedere individuele handeling opnieuw capaciteit vragen. Natuurlijk blijven controles achteraf nodig. Maar wanneer dezelfde fout structureel door een betere inrichting van het proces kan worden voorkomen, is het weinig efficiënt om medewerkers die fout telkens opnieuw te laten maken en een andere medewerker vervolgens te laten constateren dat hij is gemaakt.
Rendement door kwaliteit
Standaardisering, protocollering en automatisering zijn daarmee niet alleen middelen om de kosten van dienstverlening te verlagen. Zij vormen de basis van het bedrijfsmodel. Aan grote aantallen relatief kleine opdrachten kan alleen duurzaam geld worden verdiend wanneer de hoeveelheid menselijke arbeid per opdracht beperkt blijft.
Daar hoort nog een tweede dimensie bij: fouten moeten eveneens tot een minimum worden beperkt. Herstelwerk is duur. Een fout die in enkele minuten wordt gemaakt, kan uren kosten om te onderzoeken, te herstellen, met de cliënt te bespreken en waar nodig tegenover derden te corrigeren. Daarnaast kunnen rente, boetes, herstelbetalingen of aansprakelijkheidsclaims juist in dit soort dienstverlening eenvoudig ontstaan.
Kwaliteit en rendement staan bij deze dienstverlening daarom niet tegenover elkaar. Zij komen voor een belangrijk deel uit dezelfde bron. Een goed ontworpen proces verlaagt de kosten per handeling en verkleint tegelijkertijd de kans op fouten.
Juist daarin schuilt echter een nieuw risico. Naarmate meer cliënten afhankelijk worden van hetzelfde gestandaardiseerde proces, dezelfde protocollen en dezelfde geautomatiseerde systemen, kunnen ook de gevolgen van een fout groter worden. Een menselijke vergissing kan één dossier raken. Een fout in het systeem kan zich herhalen zonder dat iemand hem opnieuw hoeft te maken.
Schaal maakt kwaliteit mogelijk. Maar schaal maakt fouten óók schaalbaar.
Als één fout er duizend worden
Standaardisering, protocollering en automatisering verkleinen de kans op veel menselijke fouten. Daar staat tegenover dat zij een ander soort risico introduceren. Wanneer veel opdrachten volgens hetzelfde proces worden uitgevoerd, kunnen fouten in dat proces zich eveneens herhalen. De medewerker die een verkeerd bedrag invoert, maakt één fout. Een verkeerd ingerichte geautomatiseerde regel kan dezelfde fout maken bij iedere cliënt waarop die regel wordt toegepast.
Daarmee verandert niet alleen de kans op fouten, maar vooral de mogelijke omvang van de gevolgen. Naarmate de dienstverlening verder wordt gestandaardiseerd en meer cliënten van dezelfde systemen en processen gebruikmaken, ontstaat concentratierisico. Een fout hoeft niet langer op iedere opdracht afzonderlijk te worden gemaakt om een groot aantal opdrachten te raken.
Dat maakt het onderscheid tussen een uitvoeringsfout en een ontwerpfout belangrijk. Een uitvoeringsfout ontstaat terwijl een op zichzelf goed ontworpen proces wordt uitgevoerd. Een gegeven wordt verkeerd ingevoerd, een voorgeschreven stap wordt overgeslagen of een medewerker beoordeelt een uitzondering verkeerd. Een ontwerpfout zit in het proces zelf. Een beslisregel is onjuist, een protocol houdt geen rekening met een relevante uitzondering of software is verkeerd geconfigureerd. Wie vervolgens het proces correct volgt, produceert toch een onjuiste uitkomst.
Bij grootschalige administratieve dienstverlening kan die tweede categorie veel ernstiger zijn. Hoe betrouwbaarder en efficiënter het proces wordt uitgevoerd, hoe consequenter ook de fout wordt gereproduceerd.
Een korte weg naar schade
Daar komt bij dat fouten bij deze dienstverlening relatief gemakkelijk tot directe en kwantificeerbare schade kunnen leiden. Bij een fout in een wettelijke controle is de relatie tussen de fout en eventuele schade vaak niet rechtstreeks. Een onvoldoende onderbouwde controleverklaring leidt niet automatisch tot financieel verlies. De verklaring kan immers nog steeds juist zijn, en zelfs als ze onjuist is leidt dat pas tot schade als derden er een onjuiste beslissing op baseren. Daarvoor moet doorgaans nog iets anders gebeuren, bijvoorbeeld doordat fraude niet wordt ontdekt, een onderneming failliet gaat of een derde bij een transactie op de onjuiste informatie vertrouwt.
Ook bij een samenstellingsopdracht kan een vergelijkbare afstand tussen fout en schade bestaan. Bij fiscale compliance en salarisdienstverlening kan die afstand veel kleiner zijn. Een onjuiste aangifte kan leiden tot correcties, rente, boetes en herstelkosten. Een fout in de salarisverwerking kan betekenen dat werknemers te veel of te weinig betaald krijgen, dat bedragen moeten worden teruggevorderd of nabetaald of dat aangiften moeten worden gecorrigeerd.
Dat betekent niet dat iedere fout automatisch tot aansprakelijkheid leidt. De juridische vraag of schade daadwerkelijk op de dienstverlener kan worden verhaald, is afhankelijk van onder meer de gemaakte afspraken, de aard van de fout, causaliteit en de omstandigheden van het geval. Voor de beheersing is vooral van belang dat de financiële gevolgen van een fout vaak snel zichtbaar en relatief eenvoudig meetbaar kunnen zijn.
Een dienst met een geringe opbrengst per afzonderlijke verwerking kan daardoor een aanzienlijk financieel risico bevatten.
Als het systeem bijna altijd gelijk heeft
Automatisering brengt nog een ander risico mee. Naarmate systemen betrouwbaarder worden, neemt de neiging toe om op hun uitkomsten te vertrouwen. Dat vertrouwen is meestal terecht en is zelfs noodzakelijk om de voordelen van automatisering te kunnen benutten. Een geautomatiseerd proces dat na iedere stap volledig door een mens moet worden gecontroleerd, is immers nauwelijks geautomatiseerd.
Juist daardoor kunnen uitzonderingen moeilijker zichtbaar worden. Een medewerker die honderden keren heeft gezien dat een systeem de juiste uitkomst produceert, heeft weinig reden om bij de volgende uitkomst spontaan te vermoeden dat het systeem zich vergist. Het risico bestaat dat een uitkomst wordt geaccepteerd omdat het systeem haar heeft geproduceerd, ook wanneer er aanwijzingen zijn dat nadere beoordeling nodig is. Dit risico verdient extra aandacht bij het gebruik van kunstmatige intelligentie. AI kan overtuigend ogende maar inhoudelijk onjuiste uitkomsten produceren, waardoor ook moet worden bepaald wanneer en hoe die uitkomsten door een deskundige worden gevalideerd.
De oplossing kan niet zijn om iedere geautomatiseerde uitkomst alsnog handmatig te controleren. Daarmee zouden de schaalbaarheid en een belangrijk deel van de kwaliteitswinst uit het vorige deel weer verdwijnen. Het proces moet daarom zo worden ingericht dat relevante uitzonderingen zelf aanleiding geven tot menselijke aandacht. Dat vereist niet alleen betrouwbare automatisering, maar ook een bewuste keuze over de grenzen daarvan: welke situaties mogen automatisch worden verwerkt en wanneer moet het systeem stoppen en een deskundige inschakelen?
Efficiëntie concentreert risico
De economische kracht van deze dienstverlening en het belangrijkste operationele risico komen daarmee uit dezelfde bron. Door werkzaamheden te standaardiseren kan een kantoor grote aantallen opdrachten betrouwbaar en tegen beperkte kosten uitvoeren. Maar dezelfde standaardisering zorgt ervoor dat cliënten afhankelijk worden van dezelfde processen, protocollen en systemen.
Dat maakt fouten in het ontwerp van die dienstverlening potentieel belangrijker dan fouten in de uitvoering van één afzonderlijke opdracht. De beheersing kan zich daarom niet uitsluitend richten op medewerkers die de werkzaamheden uitvoeren. Zij moet ook betrekking hebben op de vraag of het product en het proces waarin zij werken goed zijn ontworpen.
Wie pas bij de duizendste fout ontdekt dat de eerste 999 volgens hetzelfde protocol zijn gemaakt, heeft niet zozeer een probleem met de uitvoering. Hij heeft een probleem met het ontwerp.
Daarmee verschuift een belangrijk deel van de compliancevraag naar een moment waarop nog geen enkele opdracht is uitgevoerd: de ontwikkeling en goedkeuring van de dienstverlening zelf.
Kwaliteit vooraf: PARP
De meest efficiënte fout is de fout die niet wordt gemaakt. Dat geldt in het bijzonder voor dienstverlening waarbij grote aantallen vergelijkbare handelingen tegen beperkte kosten worden uitgevoerd. Een fout achteraf vinden betekent immers dat zij moet worden onderzocht, hersteld en mogelijk met de cliënt of derden moet worden besproken. Wanneer dezelfde fout bovendien in een gestandaardiseerd proces zit, kan herstel nodig zijn bij alle opdrachten waarop dat proces is toegepast.
Compliance moet daarom niet pas beginnen wanneer de dienstverlening al wordt uitgevoerd. Een belangrijk deel van de beheersing moet plaatsvinden bij het ontwerpen, introduceren en wijzigen van de dienstverlening zelf.
Een geschikt instrument daarvoor is een Product Approval and Review Process (PARP). De term product moet daarbij ruim worden opgevat. Het kan gaan om een nieuwe dienst die het kantoor aanbiedt, maar ook om een belangrijke wijziging in een bestaand proces, de invoering van nieuwe software, verdere automatisering of het gebruik van kunstmatige intelligentie. Steeds is de centrale vraag dezelfde: is voldoende nagedacht over de risico’s voordat cliënten afhankelijk worden van de gekozen werkwijze?
Eerst ontwerpen, dan produceren
Een PARP is geen vaktechnische goedkeuring door compliance. De compliance officer hoeft niet te bepalen hoe een fiscale aangifte moet worden opgesteld, welke verslaggevingsregel in een specifieke situatie moet worden toegepast of hoe een bijzondere looncomponent moet worden verwerkt. Daarvoor zijn vaktechnisch deskundigen nodig.
De rol van compliance is een andere. Zij moet kunnen vaststellen dat bij het ontwerp van de dienstverlening de relevante risico’s zijn geïdentificeerd, dat duidelijk is wie voor de inhoud verantwoordelijk is en dat passende beheersingsmaatregelen zijn ingericht. Compliance beoordeelt dus niet zelf alle vaktechnische keuzes, maar stelt wel de vraag of de juiste deskundigen die keuzes hebben gemaakt en of hun oordeel aantoonbaar in het ontwerp is verwerkt.
Daarbij begint een PARP bij een eenvoudige vraag: wat is eigenlijk het product? Voor welke cliënten is het bedoeld, welke werkzaamheden worden uitgevoerd en welke juist niet? Welke gegevens zijn daarvoor nodig, welke uitkomsten worden geleverd en waar blijft de verantwoordelijkheid van de cliënt liggen? Zonder een heldere afbakening kan ook niet goed worden bepaald welke risico’s moeten worden beheerst.
Vervolgens moet worden vastgesteld welke wet- en regelgeving, beroepsregels en interne normen op de dienstverlening van toepassing zijn. Dat vraagt opnieuw om inhoudelijke deskundigheid. De compliancefunctie hoeft die expertise niet allemaal zelf te bezitten, maar moet wel organiseren dat zij beschikbaar is.
Ontwerpen voor fouten
Bij het ontwerpen van het proces moet niet alleen worden nagedacht over hoe het behoort te verlopen. Minstens zo belangrijk is de vraag hoe het kan misgaan. Welke invoer kan onjuist of onvolledig zijn? Welke uitzonderingen passen niet binnen de standaard? Welke handelingen zijn gevoelig voor menselijke fouten? Waar kan een geautomatiseerde regel een verkeerde uitkomst produceren? Welke wijzigingen in wetgeving, software of cliëntgegevens kunnen gevolgen hebben voor de werking van het proces?
Daaruit volgen de beheersingsmaatregelen. Sommige fouten kunnen worden voorkomen door invoercontroles of verplichte processtappen. Andere kunnen automatisch worden gedetecteerd door grenswaarden, aansluitingen of uitzonderingsrapportages. Voor bepaalde beslissingen kan functiescheiding of een vierogenprincipe nodig zijn. En waar professionele oordeelsvorming noodzakelijk blijft, moet duidelijk zijn wanneer een dossier uit het standaardproces wordt gehaald en aan een deskundige wordt voorgelegd.
Het uitgangspunt daarbij is niet dat zoveel mogelijk controls moeten worden toegevoegd. Iedere control kost tijd en geld en kan bovendien nieuwe complexiteit veroorzaken. De vraag is welke combinatie van maatregelen voldoende zekerheid biedt tegen zo laag mogelijke structurele kosten. Een control die één keer goed in een systeem kan worden ingebouwd, kan aantrekkelijker zijn dan een controlehandeling die vervolgens bij iedere opdracht opnieuw moet worden uitgevoerd.
Daarmee wordt compliance onderdeel van het ontwerp van de dienstverlening in plaats van een controle achteraf.
Testen voordat de cliënt test
Een goed ontwerp is nog geen bewijs dat het proces ook werkt. Voordat een nieuwe of ingrijpend gewijzigde dienstverlening breed wordt ingezet, moet daarom worden vastgesteld of de belangrijkste aannames uit het ontwerp in de praktijk standhouden.
Dat kan betekenen dat systemen en interfaces worden getest, dat uitzonderingssituaties bewust worden nagebootst of dat een nieuwe werkwijze eerst op beperkte schaal wordt toegepast. Daarbij moet niet alleen worden gekeken of normale gevallen goed worden verwerkt. Juist de situaties waarin het proces moet stoppen, waarschuwen of menselijke beoordeling moet inschakelen verdienen aandacht.
Ook moet duidelijk zijn wat er gebeurt wanneer tijdens de test tekortkomingen worden gevonden. Een PARP heeft weinig betekenis wanneer goedkeuring slechts een formele stap is die een reeds genomen besluit bevestigt. Degene die verantwoordelijk is voor goedkeuring moet daadwerkelijk kunnen verlangen dat het product wordt aangepast, aanvullende maatregelen worden getroffen of de introductie wordt uitgesteld.
Goedkeuring is geen eindpunt
De R van PARP is minstens zo belangrijk als de A. Een product dat bij introductie verantwoord was, hoeft dat enkele jaren later niet nog steeds te zijn. Wet- en regelgeving verandert, software wordt aangepast, cliëntpopulaties verschuiven en processen worden in de praktijk anders gebruikt dan bij het ontwerp was voorzien.
Daarom moet bij de goedkeuring ook worden bepaald wanneer het product opnieuw wordt beoordeeld en welke gebeurtenissen aanleiding geven tot een tussentijdse review. Een belangrijke wetswijziging, een nieuwe softwareversie, een verandering in de doelgroep, een ernstig incident of een patroon van fouten kan reden zijn om niet te wachten op de volgende periodieke beoordeling.
Daarbij moet ook informatie uit de uitvoering worden gebruikt. Klachten, herstelwerkzaamheden, incidenten, uitzonderingen en andere signalen kunnen laten zien dat aannames uit het oorspronkelijke ontwerp niet langer kloppen.
Een PARP is daarmee geen dossier waarmee achteraf kan worden aangetoond dat ooit toestemming is gegeven. Het is een mechanisme waarmee een accountantskantoor gedurende de levensduur van een dienst blijft beoordelen of die dienst verantwoord kan worden aangeboden.
Een compliancefunctie die bij massale administratieve dienstverlening vooral achteraf fouten vindt, is zelf onderdeel van een te duur beheersingssysteem. Haar grootste toegevoegde waarde ligt hier eerder: helpen zorgen dat fouten die vooraf voorzien hadden kunnen worden, niet duizenden keren de kans krijgen om te ontstaan.
Kwaliteit achteraf: IKO
Een goed ontworpen proces biedt geen garantie dat iedere opdracht goed wordt uitgevoerd. Medewerkers kunnen afwijken van procedures, uitzonderingen kunnen verkeerd worden beoordeeld en omstandigheden kunnen ontstaan waarmee bij het ontwerp geen rekening is gehouden. Bovendien kan een proces dat op papier goed is ontworpen in de praktijk anders functioneren dan verwacht.
Naast preventieve beheersing blijft daarom onderzoek achteraf nodig. Niet om iedere uitgevoerde handeling opnieuw te controleren, maar om vast te stellen of het stelsel daadwerkelijk de kwaliteit oplevert waarvoor het is ontworpen.
Een belangrijk instrument daarvoor is het interne kwaliteitsonderzoek (IKO). Daarbij worden uitgevoerde opdrachten onderzocht om vast te stellen of zij voldoen aan de eisen die de organisatie daaraan stelt. Een IKO is daarmee geen extra stap in het productieproces. De opdracht is al uitgevoerd. Het onderzoek heeft een andere functie: informatie verzamelen over de werking van het kwaliteitsstelsel.
Compliance hoeft geen fiscalist te zijn
Een IKO maakt ook duidelijk waar de grenzen van de deskundigheid van de compliancefunctie liggen. Van een compliance officer kan niet worden verwacht dat hij tegelijkertijd accountant, fiscalist, salarisdeskundige en specialist in alle andere vormen van dienstverlening is. Dat hoeft ook niet.
Compliance kan wel bepalen aan welke voorwaarden een opdracht en het bijbehorende dossier moeten voldoen om onderzoek mogelijk te maken. Een dossier moet bijvoorbeeld voldoende informatie bevatten om een opdracht achteraf te kunnen reconstrueren. Duidelijk moet zijn welke opdracht is overeengekomen, welke cliëntacceptatie en -classificatie heeft plaatsgevonden, welke relevante informatie beschikbaar was, welke werkzaamheden zijn uitgevoerd, welke belangrijke afwegingen zijn gemaakt en hoe de uiteindelijke uitkomst tot stand is gekomen. Ook kan compliance eisen stellen aan de aanwezigheid van bijvoorbeeld de opdrachtbevestiging en informatie uit het proces van cliënt- en opdrachtacceptatie.
Of de opdracht vervolgens inhoudelijk juist is uitgevoerd, is een andere vraag. Die beoordeling moet worden verricht door iemand die voor het betreffende vakgebied voldoende deskundig is. Dat kan een deskundige uit een andere regio of een ander onderdeel van de organisatie zijn, maar waar nodig ook een externe deskundige. Bovendien moet de onderzoeker voldoende onafhankelijk staan van de opdracht die hij beoordeelt.
De compliance officer hoeft de inhoudelijke kwaliteit dus niet zelf te beoordelen. Hij moet wel organiseren dat zij onafhankelijk en deskundig wordt beoordeeld.
Van dossiers naar patronen
Daarmee is de rol van compliance niet uitgespeeld. Integendeel. Zodra de inhoudelijk deskundige onderzoekers hun bevindingen hebben gedaan, begint een belangrijk deel van het werk van de compliancefunctie.
Een bevinding in één dossier kan een incidentele fout zijn. Dezelfde of vergelijkbare bevinding in meerdere dossiers kan wijzen op een structureel probleem. Compliance moet daarom niet alleen tellen hoeveel dossiers voldoende of onvoldoende zijn, maar onderzoeken wat de bevindingen gezamenlijk vertellen.
Ligt de oorzaak bij één medewerker, een team of een regio? Ontbreekt vaktechnische kennis? Is een procedure onduidelijk? Wordt een protocol niet gevolgd? Is de werkdruk te hoog? Werkt een geautomatiseerde control niet zoals bedoeld? Worden uitzonderingen onvoldoende herkend? Of blijkt het product zelf te zijn ontworpen op basis van een veronderstelling die in de praktijk niet klopt?
Dat onderscheid is belangrijk voor de maatregel die volgt. Een kennisprobleem kan aanleiding geven tot opleiding of begeleiding. Het niet volgen van een duidelijke procedure vraagt mogelijk om andere maatregelen. Een verkeerd ontworpen proces wordt niet opgelost door medewerkers nogmaals uit te leggen dat zij het moeten volgen.
Daarmee verandert het IKO van een verzameling dossierbeoordelingen in informatie over de werking van het kwaliteitsstelsel.
De cirkel sluiten
De uitkomsten van een IKO moeten daarom terugvloeien naar de beheersing aan de voorkant. Wanneer uit onderzoek blijkt dat een fout samenhangt met de inrichting van het product of het proces, kan dat aanleiding zijn om het PARP opnieuw te openen. Procedures kunnen worden aangepast, software anders worden ingericht, aanvullende uitzonderingen kunnen worden gedefinieerd of de doelgroep van een product kan worden beperkt.
Zo ontstaat een voortdurende cyclus. Het product wordt ontworpen en goedgekeurd, vervolgens uitgevoerd, daarna steekproefsgewijs onderzocht en op basis van de uitkomsten waar nodig aangepast. PARP en IKO zijn daarmee geen afzonderlijke compliance-instrumenten, maar twee kanten van dezelfde beheersing.
De eerste probeert voorzienbare fouten te voorkomen. De tweede onderzoekt of dat in de praktijk ook lukt.
Een compliancefunctie die nooit achteraf onderzoekt of het ontworpen systeem daadwerkelijk kwaliteit oplevert, weet alleen dat het ontwerp er goed uitziet. Een compliancefunctie die vooral achteraf fouten probeert te vinden, is bezig een duur tweede productieproces in stand te houden. Goede compliance doet beide niet. Zij helpt de organisatie vooraf een betrouwbaar proces te ontwerpen en gebruikt onderzoek achteraf om vast te stellen waar dat ontwerp beter moet.
Bij samenstel, fiscale compliance en salarisdienstverlening is dat geen theoretisch ideaal, maar een economische noodzaak. Juist omdat de individuele handeling weinig ruimte biedt voor aanvullende beheersing, moet de kwaliteit zoveel mogelijk in het systeem zelf zijn ingebouwd. Ontwerpen, uitvoeren, onderzoeken en verbeteren vormen samen één proces.
Kwaliteit moet schaalbaar zijn. De beheersing daarvan dus ook.
