Noblesse oblige, ook bij kleine IAF’s

Bijdrage van IIA voorzitter Vincent Moolenaar voor de nieuwsbrief van de PAS commissie augustus 2015

Ik zeg wel eens in mijn directe omgeving dat het mijn ambitie is dat de Internal Audit Functie (IAF) waarvoor ik verantwoordelijk ben zo klein mogelijk is. Sterker nog, ik droom ervan dat ik ooit de enige werknemer ben van die afdeling en dat ik slechts sporadisch word teruggeroepen van langdurige vakantie om audit werkzaamheden te verrichten. Natuurlijk wordt deze gedachte alleen maar versterkt doordat ik zelf weer een heerlijke vakantie heb gehad en, hopelijk, met mij vele anderen.

Het is echter ook een gedachte die gebaseerd is op mijn overtuiging dat organisaties die volgens het 'three lines of defence model' opereren, zo veel als mogelijk zouden moeten investeren in de kwaliteit van de eerste en de tweede linies. Hoe meer management zelf de verantwoordelijkheid neemt voor adequaat risicomanagement en het toezicht daarop, hoe beter dit is voor de organisatie. Het managen van kansen en risico’s zou daarbij evenzeer een integrale managementverantwoordelijkheid moeten zijn als het managen van mensen en budgetten. Net zo min als het managen van die laatste twee zaken kan worden afgeschoven aan respectievelijk de Human Resources of de Finance afdeling, kan management van kansen en risico’s op het bordje van een verbijzonderde Risicofunctie (2e lijn) worden gelegd. De rol van de Internal Auditor zou zich grotendeels moeten beperken tot een toets van het systeem en niet van individuele controles. In deze ideale wereld resulteert dus een kleine, maar hoogwaardige IAF.

Echter, ook buiten deze welhaast utopische wereld komen kleine IAF’s voor. Dat kan de juiste uitkomst zijn voor een relatief kleine en ‘volwassen’ organisatie. Een IAF dient immers ‘fit for purpose’ te zijn; te weten, goed toegerust voor de taak (3e lijn!) die aan de afdeling is toebedeeld en, zeg ik met nadruk, die in staat is om al doende de standaarden van het IIA ten volle toe te passen. Om dit te waarborgen is een minimale kritische massa in zowel kwantiteit als kwaliteit wel een randvoorwaarde. Een minimale kwantiteit moet waarborgen dat er voldoende supervisie en functiescheiding is, maar ook dat de continuïteit is gewaarborgd. Daarnaast dagen collega’s elkaar ook uit tot betere prestaties. Een minimale kwaliteit zou zich moeten uiten in een passende diversiteit van het team. Deze diversiteit zou erin moeten resulteren dat de IAF naast vakbekwaamheid op het gebied van auditing ook over die competenties beschikt die cruciaal zijn voor het succes van de gehele organisatie; bijvoorbeeld: projectmanagementcompetenties in een projectgedreven organisatie; kredietspecialisten bij een bank of ingenieurs in de procesindustrie.

Indien een IAF niet aan deze minimale randvoorwaarden kan voldoen door bijvoorbeeld budgetaire beperkingen dan is de ‘fitness’ van de IAF voor de organisatie in het geding. Een moedig Hoofd Internal Audit (de CAE) adresseert dit aan zijn/haar belangrijkste stakeholders. Indien die niet bereid zijn de middelen vrij te maken om een passende IAF in te richten dan geeft de CAE, mijns inziens, een sterk signaal af ter verbetering van de governance van de organisatie door afstand te doen van zijn of haar functie. In mijn optiek zijn wij dat aan onze ‘stand’ verplicht: noblesse oblige! De strekking van een dergelijke beslissing zou nog groter kunnen zijn als opvolging wordt gegeven aan de oproep van Pieter Couwenbergh in Het Financieele Dagblad van 31 juli jongstleden, om de organisatie te verplichten tot een persbericht in geval van een tussentijds vertrek van een CAE.