5 HERZIENING VAN DE IN-CONTROLVERKLARING 1 Inleiding
5.4 Kanttekeningen bij de beoogde in-controlverklaring
5.4.3 De voorgestelde uitbreiding is kostbaar
Een verplichte in-controlverklaring zorgt er voor dat bestuurders van een vennootschap zoveel mogelijk zekerheid willen verschaffen over de vraag of de risico’s waar de verklaring op ziet onder controle zijn. Dit vergt een intensieve verificatie van de informatie die de interne risicobeheersings- en controlesystemen ter zake van de voor de verklaring relevante risico’s hebben gegeven.306 Met een dergelijke controle zijn als gezegd extra kosten gemoeid. Het maatschappelijke belang dat aan een juiste en volledige financiële verslaggeving wordt gehecht, rechtvaardigt de additionele kosten die bij de verificatie van die financiële verslaggeving moeten worden gemaakt.307 Deze kosten kunnen hoog oplopen. Hoewel er geen onderzoek voorhanden is naar de gemiddelde jaarlijkse kosten die Nederlandse vennootschappen moeten maken om best practice II.1.5 Code Frijns na te leven, bieden Amerikaanse onderzoeken naar de jaarlijkse kosten van de Section 404-verklaring uit de SOx-Act daar een mooi inzicht in. Ook in de VS ziet de in-controlverklaring immers alleen op de financiële verslaggeving. Hoewel er geen consensus bestaat over de precieze hoogte van de compliance-kosten, variëren de geopperde bedragen tussen gemiddeld USD 2 miljoen en USD 2,5 miljoen per jaar.308 Dat wil uiteraard niet zeggen dat deze kosten in Nederland even hoog zijn. Het biedt echter wel een goed perspectief van hoe hoog compliance-kosten voor een in- controlverklaring kunnen zijn. Als dat controlebouwwerk moet worden uitgebreid om niet alleen controle over de financiële verslaggevingsrisico’s, maar ook over de strategische, operationele en compliance-risico’s te verkrijgen, dan zal dat bedrag alleen maar hoger worden. Het systeem zal immers moeten worden verbreed, uitgediept en gedetailleerd om uiteindelijk van de risico’s in al die categorieën te kunnen verklaren
306 Dumoulin, ‘Het voorstel voor een nieuwe Nederlandse Corporate Governance Code’,
Ondernemingsrecht (2016) afl. 9, nr. 69, 326.
307 Commissie Frijns, De Nederlandse corporate governance code (2009) Verantwoording overweging
26, 52.
308 B. Fischer, B. Gral & O. Lehner, ‘Evaluating SOx section 404. Costs, benefits and earnings
management’, ACRN Journal of Finance and Risk Perspectives (2014) vol. 3, nr. 1, 43-55; Securities and Exchange Commission, Study of the Sarbanes-Oxley Act of 2002 Section 404 Internal Control over Financial Reporting Requirements (Washington 2009) 4.
dat ze daadwerkelijk beheerst zijn.309 De vraag is of deze kosten dan zullen opwegen tegen het voordeel dat met de verklaring behaald kan worden. Zeker nu nooit absolute zekerheid ter zake van de meeste risico’s te verkrijgen is, en het probleem van de informatieasymmetrie tussen bestuur en belanghebbenden al wordt opgelost door de overige rapportageverplichtingen, lijkt het er op dat de kosten flink boven de baten zullen uitstijgen. Met het oog op de extra compliance-kosten is de beoogde uitbreiding van de in-controlverklaring dus ongewenst.
5.5 Tussenconclusie
Commissie van Manen wenst de in-controlverklaring op twee punten uit te breiden. Allereerst moet het bestuur in het bestuursverslag verklaren dat de interne risicobeheersings- en controlesystemen naar behoren hebben gewerkt ten aanzien van alle vennootschappelijke risico’s – zowel financieel als niet-financieel. Met de beoogde herziening zal de reikwijdte van de verklaring dus flink worden uitgebreid. Bovendien wil de commissie dat het bestuur verklaart dat het verwacht dat de continuïteit van de komende twaalf maanden is gewaarborgd. Daarmee doet het bestuur van de vennootschap in feite een ongeclausuleerde toezegging dat de vennootschap al haar activiteiten in het aankomende boekjaar zal blijven voortzetten. Indien deze uitbreiding wordt doorgevoerd, zal de Nederlandse in-controlverklaring niet meer in overeenstemming zijn met de Section 404-verklaring uit de VS – de bepaling waar de verklaring in de huidige vorm op is gebaseerd. Bovendien wordt de Nederlandse verklaring door de wijziging, ondanks de inspiratie die Commissie van Manen heeft opgedaan bij het lezen van de UK CGC, ook niet in overeenstemming gebracht met de bepalingen die in het VK gelden. Als de door Commissie van Manen beoogde in- controlverklaring ongewijzigd wordt doorgevoerd, heeft dat tot gevolg dat de Nederlandse verklaring geen raakvlakken meer met soortgelijke risicobeheersingsverplichtingen uit de Angelsaksische rechtssystemen vertoont.
De vergroting van de reikwijdte van de verklaring brengt daarnaast nog een aantal problemen met zich mee. In de eerste plaats conditioneert de verplichting tot het afgeven van een in-controlverklaring het gedrag van bestuurders. De lage drempel voor persoonlijke aansprakelijkheid heeft immers tot gevolg dat bestuurders risico-avers
309 Vereniging Effecten Uitgevende Ondernemingen, Reactie VEUO inzake Consultatie Monitoring
gedrag zullen gaan vertonen. Met betrekking tot de financiële verslaggeving is dit gewenst, nu het maatschappelijke belang op dat vlak wordt gediend door een grotere mate van zorgvuldigheid. Op operationeel en strategisch gebied is het echter onwenselijk dat bestuurders zich teveel laten beïnvloeden door defensieve overwegingen. Met betrekking tot die risico’s biedt het huidige juridische risicobeheersingskader bovendien genoeg waarborgen om er voor te zorgen dat bestuurders zorgvuldig opereren en in het gareel blijven. Wat de noodzaak van een continuïteitsverklaring betreft, volstaat het te vermelden dat in het BW al een aantal verplichtingen zijn opgenomen die het bestuur verplichten om bepaalde toekomstige risico’s in kaart te brengen en uitspraak over de verwachte gang van zaken te doen. De noodzaak voor de uitbreidingen van de in-controlverklaring en de maatschappelijke wenselijkheid daarvan blijken derhalve gering. Bovendien correspondeert de beoogde verklaring niet met de opvatting dat bestuurders en commissarissen een gezamenlijke verantwoordelijkheid ter zake van het risicomanagement binnen de vennootschap dragen.
Daarnaast is het onredelijk om van het bestuur te eisen dat het verklaart dat de operationele, strategische en compliance-risico’s in het afgelopen boekjaar zijn beheerst. Controle over die risico’s is in de meeste gevallen simpelweg niet haalbaar. Zelfs wanneer bestuurders hun taken ter zake van risicobeheersing naar beste kunnen hebben vervuld en zij uiterst zorgvuldig te werk zijn gegaan, garandeert dit nog niet dat alle risico’s ook daadwerkelijk onder controle zijn. De omvang van de vennootschap, de aard van de risico’s en de door de subjectiviteit van bestuurders beperkte interne risicobeheersings- en controlesystemen maken het namelijk onmogelijk om volledige zekerheid omtrent de controle over de operationele, strategische en compliance-risico’s te verkrijgen. Zelfs als alle informatie over die risico’s nog eens wordt geverifieerd, zal het nog steeds een onmogelijke opgave blijken die zekerheid te verschaffen. Omdat een garantie over de toekomst ten slotte naar haar aard niet kan worden gegeven en bestuurders daarnaast geen mogelijkheid hebben hun afgelegde verklaring met betrekking tot toekomstige gebeurtenissen zoveel mogelijk dicht te timmeren, kan in redelijkheid niet van hen worden verwacht dat zij een dergelijke garantie geven.
Tot slot zal de beoogde uitbreiding van de in-controlverklaring een kostbare aangelegenheid zijn. Dat een dergelijke controle veel kosten met zich mee brengt, blijkt
uit de bedragen die met SOx 404-compliance zijn gemoeid. Daar gaat het echter nog om de kosten die aan het verkrijgen van controle over de financiële verslaggevingsrisico’s zijn verbonden. Omdat het bestuur geneigd zal zijn om zoveel mogelijk te controleren of alle risico’s van de vennootschap aan de hand van het interne systeem zijn beheerst, zal het er voor zorgen dat het controlesysteem naar alle risicogebieden wordt uitgebreid. Bovendien zal het dat bouwwerk willen uitdiepen en detailleren, wat een kostbare aangelegenheid kan zijn. Omdat het probleem van de informatieasymmetrie omtrent de vennootschappelijke risico’s al door andere rapportageverplichtingen wordt opgevangen, en het verkrijgen van absolute controle over deze risico’s in feite onmogelijk is, lijkt het dat het beoogde voordeel dat met de verklaring behaald wordt niet tegen de kosten op zal wegen.
6 CONCLUSIE
De recentelijk voorgestelde wijziging van de in-controlverklaring moet een van de nieuwste bouwstenen binnen het Nederlandse juridische risicobeheersingskader gaan vormen. Commissie van Manen heeft zich voorgenomen om de reikwijdte van de verklaring flink uit te breiden. In dit onderzoek is bestudeerd of de door de commissie beoogde uitbreiding wenselijk is. Dat is aan de hand van de volgende onderzoeksvraag onderzocht:
Is de uitbreiding van de reikwijdte van de in-controlverklaring een wenselijke uitbreiding van het Nederlandse juridische risicobeheersingskader?
Om die vraag te beantwoorden is eerst gekeken naar de opkomst van regels omtrent risicomanagement in Nederland. Bij die analyse kwam aan het licht dat de juridisering van risicomanagement in de eerste plaats wordt gerechtvaardigd door de aanname dat goede vennootschappelijke risicobeheersing de potentie heeft om de continuïteit van de vennootschap te waarborgen. Het stelt de onderneming namelijk in staat om continu de juiste verhouding tussen risico en rendement te bepalen. Daarnaast wordt aangenomen dat goede en regelmatige risicorapportage het vermogen heeft om de informatieasymmetrie tussen bestuurders en belanghebbenden van de vennootschap op te heffen. Risicobeheersingsregels kunnen daarmee een positieve uitwerking hebben op de stabiliteit en het vertrouwen in de markt. In Nederland is er op grond van die premissen een uitgebreid juridisch risicobeheersingskader ontwikkeld bestaande uit jurisprudentie, wet- en regelgeving. Uit de bestudering daarvan bleek dat daar voor zowel bestuurders als commissarissen duidelijke verplichtingen en gedragsnormen ter zake van hun taakvervulling op het gebied van de risicobeheersing uit voortvloeien. Zo zijn bestuurders onder meer verplicht om een op de aard van de vennootschap toegesneden en goed functionerend intern risicobeheersings- en controlesysteem te implementeren en te onderhouden. Het systeem moet bestuurders in staat stellen om goed geïnformeerde beslissingen te nemen met betrekking tot de vennootschappelijke risico’s. Bij het afwegen van de relevante risico’s moet het bestuur bovendien zorgvuldigheid betrachten. De RvC dient actief toezicht te houden op deze processen. Bestuurders en commissarissen dragen zodoende de gezamenlijke verantwoordelijkheid voor adequaat risicomanagement binnen de vennootschap.
Vervolgens bleek dat wanneer bestuurders en commissarissen hun plichten op dat gebied verzaken en de vennootschap en/of derden dientengevolge schade leiden, de kans aanwezig is dat zij persoonlijk voor die schade aansprakelijk kunnen worden gesteld.
Bovenop deze verplichtingen rust voor het bestuur een extra verplichting om een in- controlverklaring in het bestuursverslag op te nemen. Daarin verklaart het dat de interne risicobeheersings- en controlesystemen een redelijke mate van zekerheid geven dat de financiële verslaggevingsrisico’s in het afgelopen boekjaar zijn beheerst. De bestuurders geven daarmee in feite een garantie af dat de financiële verslaggeving geen onjuistheden van materieel belang bevat. Indien de verslaggeving na het afleggen van die verklaring toch onjuist blijkt te zijn, wordt aansprakelijkheid wegens een misleidend bestuursverslag relatief eenvoudig gevestigd. De beoordeling van de aansprakelijkheid voor een onjuiste verklaring is immers niet aan het gedrag van die bestuurders gekoppeld; het komt neer op een feitelijke beoordeling van de afgelegde verklaring. Het opleggen van de verplichting om een dergelijke verklaring af te geven, vormt daardoor een belangrijke prikkel voor bestuurders om zich er zoveel mogelijk van te verzekeren dat de financiële verslaggeving klopt. Zij zullen geneigd zijn om op het gebied van die verslaggeving extra voorzichtigheid te betrachten en zo min mogelijk risico’s te nemen. De verplichtstelling van een dergelijke verklaring is gerechtvaardigd nu de juistheid en volledigheid van de financiële verslaggeving het maatschappelijk belang dient. Risico- avers gedrag van bestuurders wordt ter zake van die verslaggevingsrisico’s daarom alleen maar toegejuicht.
De commissie beoogt in haar voorstel de koppeling tussen de in-controlverklaring en de financiële verslaggevingsrisico’s op te heffen. Bovendien wordt van het bestuur verwacht dat het een toezegging over de continuïteitsverwachting van de vennootschap doet. Door de reikwijdte van de verklaring naar alle mogelijke risicocategorieën uit te breiden, wordt de kans op de vestiging van persoonlijke aansprakelijkheid wegens een misleidende verklaring aanzienlijk groter. Bestuurders worden immers niet op hun taakvervulling maar op de juistheid van hun verklaring beoordeeld. Omdat zij zich er daarom van zullen willen vergewissen dat alle risico’s binnen de vennootschap daadwerkelijk zijn beheerst, worden zij gestimuleerd om waar mogelijk risico’s te mijden. Hoe minder risico bestuurders immers nemen, hoe groter de kans dat de
jaarlijks af te geven verklaring achteraf juist blijkt te zijn. Dit kan de groei en waarde van de onderneming in gevaar brengen. Het is bovendien maatschappelijk onwenselijk om bestuurders te stimuleren om telkens risicomijdende beslissingen met beperkt economisch voordeel te nemen.
In de beoogde verklaring klinkt bovendien de veronderstelling door dat op een bepaald moment de zekerheid zou kunnen worden verschaft dat operationele, strategische en compliance-risico’s daadwerkelijk onder controle zijn. In werkelijkheid blijkt echter dat het in de meeste gevallen eenvoudigweg niet haalbaar is om alle risico’s van de vennootschap volledig te beheersen. Met het afgeven van de beoogde verklaring zal het bestuur dan ook worden gedwongen om schijnzekerheid te bieden. Ook een verklaring waarin moet worden gesteld dat de verwachting is dat de continuïteit van de vennootschap voor de komende twaalf maanden is gewaarborgd kan naar zijn aard niet met zekerheid worden afgegeven. Het is immers onmogelijk om enige vorm van zekerheid over de toekomst te verschaffen. De beoogde uitbreiding van de verklaring zal derhalve onredelijke verplichtingen voor bestuurders scheppen. Een brede verklaring vereist tot slot een uitbreiding van het interne controlesysteem naar alle risicocategorieën. De inspanningen om een redelijke mate van controle over alle risico’s van de vennootschap te verkrijgen, zullen de nodige kosten met zich meebrengen. Nu de doelstellingen van de in-controlverklaring grotendeels worden bereikt aan de hand aan de hand van het bestaande juridische risicobeheersingskader, zullen de kosten de baten flink overschrijden.
Het huidige Nederlandse juridische risicobeheersingskader biedt bestuurders en commissarissen de ruimte om risico’s te nemen zonder daarbij continu te moeten vrezen voor de vestiging van vergaande persoonlijke aansprakelijkheid. Het biedt daarnaast voldoende waarborgen om er voor te zorgen dat zij het risicomanagement binnen de vennootschap in het gareel houden. Wanneer blijkt dat het bestuur bijvoorbeeld geen of niet voldoende aandacht aan risicomanagement besteedt, of het de vennootschappelijke risico’s niet zorgvuldig afweegt in zijn beslissingen, dan zal dat een onbehoorlijke taakvervulling opleveren. De beoogde verklaring zal het huidige juridische kader op een onaanvaardbare wijze doorkruisen. Zij is maatschappelijk onwenselijk, onredelijk, niet noodzakelijk en duur. Door de koppeling tussen de in- controlverklaring en de financiële verslaggevingsrisico’s bovendien op te heffen, wordt
de beoordeling van de aansprakelijkheid van bestuurders voor falend risicomanagement losgekoppeld van de wijze waarop zij hun taken hebben vervuld. Daarmee wordt de boete in feite losgekoppeld van de schuld. Dat kan nooit wenselijk zijn.
BRONNENLIJST