Verslag bijeenkomst Kwaliteitssystemen

Op 29 oktober 2015 organiseerden de Ledengroep Intern en Overheidsaccountants (LIO) van het NBA en de IIA-commissie Professional Auditors at Small Audit Shops (PAS) hun tweede gezamenlijke vaktechnische bijeenkomst, met als onderwerp kwaliteitssystemen en de (kleine) IAF. Dit evenement vond plaats bij Royal Haskoning/DHV in Amersfoort en de aftrap werd verzorgd door Mark Kokke (CAE en bestuurslid LIO) en Huck Chuah (bestuurslid PAS en IIA).

André Werring, Hoofd Toezicht & Kwaliteit NBA, ging onder andere in op accreditering van de toetsing bij 'koepelorganisaties' (waaronder het IIA) en de normering van de kwaliteitstoetsing. Arjan Man, bestuurslid van het IIA, ging in op zijn ervaringen met de kwaliteitstoetsing van de door hem geleide kleine IAF (4 auditors).

Daarna volgde een paneldiscussie onder leiding van Jan Groenewold, voorzitter van de Commissie Professional Practices van het IIA. Deelnemers waren beide inleiders en Frans Wolf, voorzitter van het IIA College Kwaliteitstoetsing. De onderstaande punten kwamen in de discussie aan de orde:

• Kun je als organisatie je eigen toetser/toetsende instantie kiezen? Bij het IIA is dat mogelijk, mits de toetser/toetsende instantie voldoet aan de vereiste criteria. NBA wijst een eigen keuze van toetser/toetsende instantie van de hand. Een IAF waar een RA/AA werkzaam is die lid is van het IIA valt onder de door de NBA Raad voor Toezicht verleende accreditatie. Accreditatie houdt in dat dat de voorwaarden van de NBA voor toetsing van RA’s en AA’s zijn afgedekt.
• Het besef dat “the auditors have been audited” bijdraagt aan het draagvlak voor toetsing.
• Frans Wolf stelt dat naarmate de omvang van een IAF kleiner wordt, het lastiger is om aan de eisen van de (IIA- en NBA-)regelgeving te voldoen. Het omslagpunt, qua omvang, ligt zijns inziens bij een IAF van drie of minder personen. Beginnende IAF’s hebben overigens recht op een groeifase van drie jaar – in die periode komt er nog geen toetser langs. Bij het uitgroeien tot een professionele IAF kan hulp van collega’s goede diensten bewijzen. Arjan Man stelt dat je na vier jaar een professionele IAF moet kunnen zijn.
• Gevraagd wordt wanneer een IAF, met een RA of AA als werknemer, getoetst moet worden op de NBA-normen. Werring geeft aan dat dit alleen van toepassing is als een IAF ‘assurance’ of ‘aan assurance verwante opdrachten’ uitvoert. Er is verwarring vanuit de zaal omdat de definitie van assurance volgens de NBA breder is dan de definitie volgens de IIA International Professional Practices Framework (IPPF). Volgens de IPPF kan ook een niet-RA of niet-AA assurance geven (conform de IIA-definitie van internal audit), maar bij de NBA is het geven van assurance het domein van de RA of AA en gelden hier strikte NBA-beroepsregels voor. Werring bevestigt dit.
• Gevraagd wordt hoe ver het IIA en NBA moeten en kunnen gaan met een toetsing. Er wordt gecheckt of wordt voldaan aan de minimale eisen van het IPPF, aldus Wolf. Meenemen van sectorspecifieke regelgeving (bv voor de financiële branche) is denkbaar. Dat leidt tot reacties uit de zaal: bij bijvoorbeeld verzekeraars kijkt DNB daar al naar. De Wolf beaamt dat in bepaalde gevallen de normering van de toetsing overlapt met andere toezichtsregels, zoals de Code Banken of de Code Verzekeraars.
• Gevraagd wordt naar de aard van de toetsing bij de kleine IAF: is die formeel of materieel?
  Werring stelt dat de NBA principle-based regelgeving kent. Dat is soms lastig te hanteren bij een toetsing. Kern van de zaak is dat uit de dossiers duidelijk moet zijn af te lezen of de professional die dingen heeft gedaan die op basis van de standaarden gedaan zouden moeten worden, en waarom. Door die vraagstelling wordt wel degelijk geraakt aan het materiële aspect. Wolf vult aan dat het dossierreview een belangrijk deel van het toetsingswerk bij een kleine IAF uitmaakt. Duidelijk moet zijn of alle elementen om tot een goed oordeel te kunnen komen in het dossier zijn opgenomen. Documentatievereisten uit de regelgeving spelen immers een belangrijke rol in de beroepsvereisten. Dat betekent niet dat de toetser het werk van de getoetste IAF over zou moeten doen – hij/zij kan gebruikmaken van de werkzaamheden van de interne toetsing. Daarmee wordt dan tegelijk iets duidelijk over het stelsel van kwaliteitsbeheersing.
• Desgevraagd blijkt dat 25% van de aanwezigen de kosten van de toetsing te hoog vindt.
• Wolf omschrijft een internal assessment als een “beoordeling door een niet bij de audit betrokken persoon” die jaarlijks steekproefsgewijs wordt uitgevoerd. Een eenpitter zou ter voorbereiding van de toetsing een ander (bv een consultant of een collega uit de eigen organisatie of sector voor peer review) kunnen inhuren, om de kwaliteit van de werkzaamheden te beoordelen. Er worden enkele voorbeelden genoemd van kleine IAF’s die samenwerking zoeken, om op die manier gezamenlijk de interne audit te kunnen vormgeven. Groenewold stelt dat het IIA een ledenlijst heeft, die bij dergelijke pogingen bruikbaar kan zijn. Wél moeten er bij dergelijke initiatieven minimaal drie personen (vanuit verschillende IAF’s) betrokken zijn, om te voorkomen dat e.e.a. uitmondt in een “wederzijdse vriendendienst”. Werring wijst op de mogelijkheid, zoals kleine accountantspraktijken die kennen, om in een dergelijke situatie gebruik te maken van de waarnemer.
• Gevraagd wordt in hoeverre er ook in het buitenland reviews worden uitgevoerd (bijvoorbeeld bij internationale bedrijven). Wolf stelt dat het (in moeder- en dochterondernemingen aanwezig vooronderstelde) geïntegreerde kwaliteitssysteem bij de toetsing het uitgangspunt vormt. Dat impliceert toetsing van buitenlandse dossiers (die naar NL zijn opgestuurd) en videoconferences met hoofden IAD. Bij bedrijven met het hoofdkantoor in het buitenland en één tak in Nederland, wordt via maatwerk getoetst op de Nederlandse dossiers.
  Een RO vraagt of hij als éénpitter ook aan de IIA-eisen moet voldoen; hij kreeg van zijn werkgever het verzoek zijn titel in te leveren om aan toetsing door IIA te ontkomen. Het antwoord luidt bevestigend: IPPF geldt ook voor de éénpitter, ook als hij/zij RO of RE is. En uiteraard als men lid is van het IIA. Alle IIA-leden worden gemonitord, zodat steeds in kaart gebracht blijft wie voor toetsing in aanmerking komen en wanneer. Toetsing door een externe partij is (door IIA) toegestaan, mits deze partij onafhankelijk en gecertificeerd is. De extern accountant komt niet in aanmerking, omdat die een doorlopende opdracht heeft.
• De NBA-regelgeving blijkt aanleiding te geven tot verwarring over de definitie van een IAF. Bij gemeenten zouden bepaalde vormen van verbijzonderde interne controle kunnen worden opgevat als IAF-werkzaamheden. In verband daarmee wordt verwezen naar Standaard 610, waarin eisen worden gesteld aan de interne accountant opdat de extern accountant van diens werkzaamheden gebruik kan maken. Wolf acht de combinatie assurance en consultancy voor de definitie van de IAF cruciaal: wie geen assurance doet is zijns inziens géén IAF. Van de internal auditor wordt verwacht dat hij/zij rapporteert aan het hoogste orgaan (Auditcommissie, CEO). Als dat niet het geval is, is er een probleem m.b.t. de governance. Wel acht het IIA het onder bepaalde condities een second best oplossing om aan de CFO te rapporteren.
• Het IIA heeft nog geen standpunt ingenomen over mogelijke consequenties wanneer niet aan de standaarden wordt voldaan. Maar wie een professionele auditor wil zijn, moet aan de vereisten voldoen. En wie weigert om te worden getoetst, zou zich als lid moeten uitschrijven. Het is verstandig om al bij de sollicitatie aan de orde te stellen dat kwaliteitstoetsing onderdeel uitmaakt van de IIA-standaarden.

De succesvolle bijeenkomst werd afgesloten met een borrel waar alle aanwezigen uitgebreid konden bijpraten en netwerken.