We weten het allemaal nog. De boekhoudschandalen in de jaren negentig van de vorige eeuw – denk aan Enron, Ahold, Vestia – beheersten maandenlang het nieuws. Dit soort misstanden wilde niemand meer. Zo ontstond het In Control Statement (ICS), een verklaring waarin het ondernemingsbestuur verantwoording aflegt over de kwaliteit van de interne beheersing. Ofwel, dat de processen binnen, het toezicht op, en de uitvoering van de doelstellingen van de organisatie ‘in control’ zijn. En, mochten er tekortkomingen zijn op het gebied van interne beheersing, deze keurig worden benoemd, net als de oorzaken en de voorgenomen maatregelen.
Het ‘huis’ zelf op orde hebben
In een wereld waarin juistheid, tijdigheid, volledigheid en rechtmatigheid, én goed bestuur belangrijk zijn, kan een waardedocument als ICS niet ontbreken. Echter, de verantwoordelijkheid voor een goede interne beheersing ligt bij de organisatie zélf. Dus niet leunen op de externe accountant, maar zelf het ‘huis’ op orde hebben. Het herziene COSO-rapport in 2013 geeft de controller een goed fundament voor het ontwerp en de inrichting van een ICS.
Komen tot een goed en betrouwbaar ICS is een ‘ongoing’, dynamisch en volcontinu proces. De rol van de controller is erop toezien dat de bedrijfs- en beheersprocessen overal op orde zijn. De valkuil is dat de controller in de uitvoering terechtkomt. Alertheid is hierbij dan ook geboden, want anders is hij ‘de slager die zijn eigen vlees keurt’. Het 3 lines of defence-model (de controle binnen de lijn, ondersteuning van systemen en procedures vanuit control en de verbijzonderde interne controle) faciliteert de controller in zijn taak. Het is belangrijk dat hij deze drie lijnen bewaakt en niet pas in actie komt als de accountant roept: ‘Jullie hebben code oranje’.
Om directie en management goed te kunnen ondersteunen bij het tot stand komen van een betrouwbare ICS is aandacht van de controller vereist voor:
• De enorme IT-slag. De beheersing van de financiële processen neemt toe. Denk aan data-analyse, blockchain, et cetera.
• De verschuiving van financial naar business control met de nadruk op de integrale informatievoorziening (verbinding tussen de financiële en niet-financiële data).
• De actualiteit: wat zijn de maatschappelijke en technische ontwikkelingen, wetten en regels? Welke risico’s vloeien daaruit voort en hoe beheers je die?
• Permanente innovatie door vernieuwend bezig te zijn; out of the box te denken.
Bovenal moet de controller zich áltijd – maar dan ook áltijd – realiseren dat een ICS een middel is, geen doel op zich!