Internal auditing: Voor wie het horen wil…

24

25

Leen Paape geeft in MCA van december 2010 aan dat het oorverdovend stil is bij de interne auditors daar waar het externe accountantsberoep onlangs is gestart met een discussie over zijn bestaansrecht en de kwaliteit van de beroepsuitoefening. Ik kan de lezer verzekeren dat het zeker niet oorverdovend stil is bij de internal auditors, wel is het zo dat wij ons geluid wellicht beter kunnen laten horen. Bijvoorbeeld door beter kenbaar te maken dat wij gezamenlijk via de Europese Confederatie van Instituten van Internal Auditors (ECIIA) hebben gereageerd op het rapport Barnier.

Drs. S.J.J. Weisz RO CIA CCSA:

danken overigens iedereen die een ‘steen in de vij- ver’ wil gooien om de beroepsgroep van interne auditors tot verbetering aan te zetten. Wij maken dan ook dankbaar gebruik van de tien punten die Paape aanreikt; hoewel de meeste zaken al door onze beroepsgroep zijn opgepakt. Om de lezers beter inzicht te bieden in de stand van zaken bij het IIA wil ik kort reageren op de door Paape ge- noemde punten.

Punt 1

Paape bepleit dat de RvC/AC opdrachtgever moet worden van de interne auditor om zo de onafhan- kelijkheid beter te kunnen borgen. Ik ben het op dit punt niet met hem eens.

Elke resultaatverantwoordelijke organisatorische entiteit beschikt in beginsel over een feedback- functie. In opdracht van de CEO worden audits uit- gevoerd en wordt daarover gerapporteerd. Naast de primaire rapportagelijn aan de CEO brengt het hoofd internal audit ook periodiek rapport uit aan de auditcommissie. De primaire opdrachtge- ver blijft echter de leiding van de resultaatverant- woordelijke eenheid daar deze de primair belang- hebbende is in het ontvangen van feedback over de inrichting en het functioneren van management control. In deze constellatie kan de internal auditor uiteraard ook werkzaamheden verrichten voor de RvC/AC en zijn escalatiepad naar RvC/AC moet in ieder geval goed geregeld zijn. De best practices in de relatie tussen auditcommissie en internal au- dit zijn onderzocht door IIA en NIVRA in 2008. De resultaten zijn gepubliceerd in het rapport ‘Bond- genoten in Governance’.

Punt 2

Paape pleit tevens voor het zenden van alle (onge- censureerde) onderzoeksrapporten naar de RvC/

AC. Dit is een logische gedachte wanneer de in- ternal auditor primair voor de RvC/AC zou werken.

In de huidige gangbare situatie is dat niet het ge- val en kan de feedbackinformatie uit het systeem, zonder inmenging van dat systeem, niet worden gebruikt door een instantie waarvoor deze niet is bedoeld. Het zou het systeem uithollen en op ter- mijn is de rol van de internal auditor binnen de or- ganisatie uitgespeeld daar hij (deels) wordt gezien als buitenstaander.

Punt 3

Toezicht en handhaving van de kwaliteit van de be- roepsgroep zouden volgens Paape dienen te ge- beuren door een onafhankelijke partij en niet door de beroepsvereniging zelf. Onlangs heeft het IIA met de NBA afgesproken dat het IIA de internal au- ditfuncties waar registeraccountants werkzaam zijn gaat toetsen. Eenzelfde afspraak wordt moge- lijk binnenkort gemaakt met Norea voor de RE’s.

Door het gecombineerd toetsen van IIA-, NBA- en NOREA-leden is een goede slag gemaakt in het efficiënt toetsen van de kwaliteit van beroepsuitoe- fening van internal auditors. Een volgende stap zou kunnen zijn dat betrouwbare externe instanties zo- wel de opleidingsinstituten voor internal auditors als de internal auditfuncties gaan toetsen.

Punt 4

Dit punt richt zich op het kwalitatief beter laten functioneren van het PE-systeem. Dit is een ach- terhaald punt wat mij betreft. Een recente oproep van het IIA om permanente educatie van zijn le- den te bevorderen dan wel af te dwingen heeft na aanvankelijke schroom succes geboekt. Daarbij controleert IIA niet alleen het aantal geregistreer- de punten maar ook steekproefsgewijs de kwaliteit van de gevolgde opleidingen.

Punt 5

Paape stelt: ‘Bepleit een titel die – net als bij de externe accountantsopleiding – op Master- of Scienceniveau ligt. Nu is dat niet het geval en zijn

Internal auditing:

Voor wie het horen wil…

24

25

Internal auditing:

Voor wie het horen wil…

we soms al tevreden met de Certified Internal Audit titel, een titel die zeker niet op dat niveau ligt’. Deze passage vind ik vreemd. Ten eerste:

Waarom mag iemand niet tevreden zijn met de CIA-titel? Ten tweede: De RO-titel is gekoppeld aan onze tweejarige postdoctorale opleidingen. De postdoctorale opleidingen voor internal/operational auditing zijn recent niet door de accreditatiepro- cedure gekomen en zijn daardoor niet geaccredi- teerd op het Master- of Scienceniveau. De oplei- dingen zijn daar uiteraard niet blij mee en beraden zich nu op de wijze waarop zij hun programma ver- der vorm zullen geven.

Punt 6

De professionele scepsis die verwacht wordt van internal auditors is beschreven in de Performance Standards die onderdeel uitmaken van het Interna- tionale Raamwerk voor de Beroepsuitoefening van Internal Auditing. Specifieke onderwerpen worden besproken in de IIA rondetafelbijeenkomsten per bedrijfstak.

Punt 7

De oproep tot het afgeven van een transparantie- verslag over de kwaliteitsborging is een goede vol- gende stap voor onze beroepsgroep. IIA is nu hard bezig met het verder professionaliseren en stroom- lijnen van het toetsen van de kwaliteitsborging bij onze leden (zie ook punt 3). Een volgende stap zou kunnen zijn dat wij over de resultaten daarvan transparant rapporteren.

Punt 8

Dat kleine interne auditafdelingen vaak te klein zijn voor een hoogwaardige auditfunctie is mijns in- ziens onzin. Uiteraard kan een afdeling met een

dergelijke omvang geen groot kwaliteitsborging- systeem hanteren, maar ook kleine afdelingen kun- nen de feedbackfunctie goed vormgeven op een professioneel niveau. Het IIA heeft de afgelopen ja- ren bijeenkomsten georganiseerd voor kleine au- ditafdelingen en er zijn voorstellen gedaan om de standaarden geschikt te maken voor kleine afde- lingen. Binnen het IIA is een commissie werkzaam die zich specifiek op deze doelgroep richt.

Punt 9

Ik denk dat de zaken door elkaar lopen waar Paape stelt dat de internal auditor jaarlijks een overall rapportage over het systeem van interne beheersing en risicomanagement moet aanleve- ren aan de RvC/AC. Indien aan de orde verstrekt de internal auditor uiteraard aanvullende zeker- heid aan de CEO en RvC/AC over de kwaliteit van bijvoorbeeld het systeem van management con- trol of de inbedding van riskmanagement. Deze feedback door de auditfunctie staat echter los van een rapportage/verklaring van het lijnmanage- ment/de CEO over het feitelijk functioneren van het beheersingssysteem.

Punt 10

Het IIA heeft periodiek overleg met de NBA en werkt daarmee samen. Voorbeelden zijn het geza- menlijk uitvoeren van projecten en het namens de NBA uitvoeren van de kwaliteitsbeoordeling. Op in- dividueel niveau kan de relatie tussen de externe accountant en de interne auditor uiteraard verbe- terd worden. Handvatten daarvoor zijn aangereikt in het rapport ‘Impact op Governance’ uit 2009 dat door het IIA en het NIVRA is opgesteld.

U hoort van ons … wellicht in een discussie over het bestaansrecht en de beroepsuitoefening van de internal auditor …

Drs. S.J.J. Weisz RO CIA CCSA is voorzitter IIA Nederland.

‘Als de RvC opdrachtgever wordt van de

internal auditor,

is zijn rol snel

uitgespeeld’