Uitbesteding ontslaat niet van verantwoordelijkheid

Van organisaties wordt verwacht dat zij aantoonbaar ‘in control’ zijn van hun bedrijfsvoering. Dit omvat ook activiteiten die zij hebben uitbesteed aan andere partijen (zogenaamde serviceorganisaties). Hoe vaak lees je echter niet over datalekken, fraudes of andere incidenten in de keten van bedrijfsvoering? Ondanks veelal in opzet effectieve hard controls, gaat het toch mis. Evaluaties hiervan laten zien dat de oorzaak hiervan vaak te vinden is in de kwaliteit van soft controls in de uitbestedende organisatie of de serviceorganisatie. Dit pleit ervoor dat deze partijen meer aandacht besteden aan soft controls.

Verantwoording over uitbesteding raakt vooral nog de hard controls

Het is gebruikelijk dat serviceorganisaties verantwoording afleggen over de kwaliteit van hun interne beheersing via International Standard for Assurance Engagements 3402-rapporten (hierna: ‘ISAE 3402-rapporten’).¹ In deze rapporten wordt de interne beheersing van de organisatie door een onafhankelijk accountant getoetst.

In de meeste ISAE 3402-rapporten van serviceorganisaties ligt de focus echter op hard controls. Er wordt weinig tot geen aandacht geschonken aan het gedrag van de mens, dat over het algemeen het fundament vormt en randvoorwaardelijk is voor de effectiviteit van de harde beheersingsmaatregelen. Dit is opmerkelijk, vandaar dit visiestuk op de verantwoording over soft controls in ISAE 3402-rapporten.

Het belang van cultuur en gedrag wordt inmiddels ook onderkend in Handreiking 1148 ([NBA22]) van de Nederlandse Beroepsorganisatie voor Accountants (NBA). Deze handreiking roept op om meer aandacht te schenken aan cultuur en gedrag in jaarrekeningcontroles en andere werkvelden van de accountant waar de effectiviteit van de interne beheersing relevant is. Omdat serviceorganisaties in een ISAE-rapport verantwoording afleggen aan hun gebruikers over hun interne beheersing, en om de waarde van de rapporten voor hun gebruikers te vergroten, pleiten wij ervoor dat cultuur en gedrag ook in deze rapporten prominenter aandacht krijgen. Dit sluit aan op het vereiste in een ISAE 3402-rapport waarin aandacht wordt gevraagd voor (andere) aspecten van de beheersingsomgeving van de service­organisatie ([NBA16]²; zie ook de vergelijkbare NOREA-richtlijn 3402: [NORE16]). De vraag is op welke wijze en waar cultuur en gedrag in een ISAE 3402-rapport kunnen terugkomen.

Voor het concretiseren en meetbaar maken van cultuur en gedrag kan worden gebruikgemaakt van het algemeen aanvaarde soft-controls-model dat is ontwikkeld door Muel Kaptein ([Kapt03]; [Kapt14]) en dat ook door de NBA als uitgangspunt wordt gebruikt in haar handreiking. Voordat we ingaan op de vraag hoe cultuur en gedrag in ISAE-rapporten terug kunnen komen, lichten we in de volgende paragraaf eerst het hiervoor genoemde soft-controls-model toe.

Gestructureerd model voor het analyseren en meten van soft controls

In het model van Kaptein zijn soft controls gedefinieerd als acht niet-tastbare gedragsbeïnvloedende factoren in een organisatie die van belang zijn voor het realiseren van de organisatiedoelstellingen. In figuur 1 wordt dit model weergegeven met een uitleg van de acht soft controls.

Figuur 1. Soft-controls-model van Muel Kaptein. [Klik op de afbeelding voor een grotere afbeelding]

Wij zien effectieve soft controls als het fundament en als randvoorwaardelijk voor een effectieve werking van hard controls. Het draait dus niet om het vervangen van hard controls door soft controls, maar om het verrijken van het inzicht in de effectiviteit van de interne beheersingsomgeving door de evaluatie van soft controls hier expliciet in mee te nemen.

Effectieve soft controls dragen bij aan een goede interne beheersing

Soft controls zijn weliswaar minder makkelijk meetbaar en kwalificeerbaar, maar zijn wel degelijk van invloed op de effectieve werking van de beheersingsmaatregelen. Onderstaand een aantal voorbeelden die dit laten zien.

Figuur 2. De relatie tussen hard en soft controls. [Klik op de afbeelding voor een grotere afbeelding]

De relatie tussen hard en soft controls geven we in figuur 2 schematisch weer. Soft controls worden hier als het fundament getoond voor effectieve harde beheersingsmaatregelen. De soft-controls-instrumenten in de figuur zijn voorbeelden van middelen die kunnen worden ingezet om soft controls effectiever te laten zijn.

Door oog te hebben voor soft controls in de uitvoering van – en het rapporteren over – de interne beheersing kan een serviceorganisatie aan de klanten van haar dienstverlening een completer beeld geven van haar beheersing. Dit draagt bij aan de preventieve kant, door te zorgen voor de juiste omstandigheden voor de uitvoering van hard controls. Daarnaast draagt het ook in detectieve zin bij, door bij bevindingen aandacht te schenken aan de context waarin constateringen worden gedaan. Een paar voorbeelden:

• Mogen fouten worden gemaakt?
• In welke mate wordt er geleerd van incidenten die plaatsvinden?
• In welke mate worden medewerkers in staat gesteld hun werk goed uit te voeren, waardoor de kans op fouten afneemt?

Het soft-controls-model is heel effectief om het ‘waarom’ van bevindingen te analyseren en de root cause te identificeren. Het identificeren van de root cause leidt tot duurzamere oplossingen en daarmee tot een structureel betere interne beheersing. Dit draagt bij aan meer onderling vertrouwen tussen de serviceorganisatie en haar klant. Zij zijn zo aantoonbaar beter ‘in control’ van de processen.³

Suggesties voor soft controls in een ISAE 3402-rapport

Wanneer een organisatie risico’s identificeert, worden (harde) interne controlemaatregelen geïmplementeerd om de risico’s te beheersen. In een ISAE 3402-rapport worden deze vervolgens getest op hun effectieve werking. Een ISAE 3402-rapport bestaat grofweg uit twee onderdelen: de beschrijving van de serviceorganisatie en het hoofdstuk met de beheersingsdoelstellingen, de gerelateerde beheersingsmaatregelen en de bevindingen van de auditor naar aanleiding van de testwerkzaamheden. Hierna geven we een aantal suggesties hoe soft controls in deze twee onderdelen van een ISAE-rapport kunnen worden opgenomen.

Soft controls in de beschrijving van de serviceorganisatie

In de beschrijving van de serviceorganisatie zien we in de praktijk dat een aantal soft-controls-instrumenten worden benoemd (zoals een gedragscode, personeelsbeleid, regelingen rondom integriteit of klokkenluidersregelingen). In onze visie zou je als organisatie niet alleen het instrumentarium moeten toelichten dat wordt gebruikt om op cultuur en gedrag te sturen, maar juist de kwaliteit en effectiviteit van dit instrumentarium. Denk hierbij bijvoorbeeld aan de uitkomsten van een jaarlijks medewerkerstevredenheidsonderzoek. Het gaat er hierbij niet om dat er een onderzoek is, maar dat bijvoorbeeld uit het onderzoek blijkt dat het merendeel van de medewerkers onduidelijkheid ervaart in wat van hen verwacht wordt. Een dergelijke uitkomst geeft context aan bevindingen op de interne beheersingsmaatregelen.

Een goed voorbeeld van hoe je reflecteert op een instrumentarium is wat ons betreft het jaarverslag 2021 van Nationale Nederlanden. Hierin wordt bijvoorbeeld op pagina 54 duidelijk beschrijven hoe zij hun waarden en normen monitoren en levend houden in het kader van hun ‘Living our Values’-programma ([NN22]).

Zoals hiervoor al benoemd, zijn soft controls ook heel effectief voor root-cause-analyses. In de beschrijving van de serviceorganisaties kan bijvoorbeeld worden uitgelegd in hoeverre root-cause-analyses worden uitgevoerd, inclusief een omschrijving van wat deze analyse omvat, wat de resultaten hiervan zijn en wat de ondernomen acties zijn. Dit zou bijvoorbeeld met de volgende tekst kunnen worden gerealiseerd:

Soft controls in het hoofdstuk over de beheersingsdoelstellingen

Ook in het tweede deel van het rapport, het hoofdstuk over de beheersingsdoelstellingen, kunnen soft controls worden geïntegreerd. Het is gebruikelijk in dit hoofdstuk gesignaleerde bevindingen van de auditor te voorzien van managementcommentaar, veelal als bijlage in het rapport.

In de praktijk zien wij vaak managementreacties die gaan over de harde component van een control, bijvoorbeeld: ‘Wij onderkennen de bevinding van de accountant en hebben de procedure voor komend jaar aangepast.’ Positief hieraan is dat de bevinding wordt erkend door het management en dat er actie op wordt ondernomen. Het commentaar bevat echter geen reflectie op de context van de bevinding, zoals een antwoord op de vragen waarom er überhaupt sprake was van een bevinding en hoe de organisatie hiervan heeft geleerd. Een voorbeeld van een sterkere reactie is wat ons betreft:

Een stap verder met soft controls als onderdeel van het controleraamwerk

Door het laatste voorbeeld komt de vraag op of soft controls ook onderdeel kunnen zijn van de interne beheersingsmaatregelen in het controleraamwerk waarop de auditor zijn testwerkzaamheden uitvoert. In onze optiek zou dit op twee manieren kunnen:

• Ten eerste kun je specifieke gedragsrisico’s koppelen aan een beheersingsdoelstelling. Vanuit dit gedragsrisico kan worden aangegeven op welke wijze soft controls de effectieve werking van de hard controls ondersteunen.
  
  Als voorbeeld: een harde beheersingsmaatregel die omschrijft dat een manager een declaratie moet goedkeuren, is pas effectief op het moment dat die manager met de juiste kennis daadwerkelijk vaststelt dat de declaratie voldoet aan alle voorwaarden die eraan gesteld zijn. De manager moet zich hier verantwoordelijk voor voelen, het moet duidelijk zijn wat er van de manager verwacht wordt en de manager moet hier voldoende tijd voor hebben.
  
  Wat ons betreft is de lastigheid hierbij met name de aantoonbaarheid van soft controls. Een ISAE 3402-onderzoek is erop gericht om een redelijke mate van zekerheid te geven over de effectieve werking van de interne beheersing. Dit vraagt om hoogwaardige documentatie en controles. Bij de meeste organisaties is de aantoonbaarheid van soft controls nog niet op het niveau om hier iets met een redelijke mate van zekerheid over te zeggen. Daarnaast is het ook moeilijk om voor een specifieke periode aan te tonen dat de soft controls effectief waren.
• Een tweede manier om soft controls op te nemen in het controleraamwerk, eentje die makkelijker toepasbaar is, is door een harde beheersingsmaatregel op te nemen op het gebied van cultuur. Denk hierbij bijvoorbeeld aan het jaarlijks uitvoeren van een risicobewustzijnsonderzoek waarbij je bij controleigenaren meet in hoeverre de soft controls ondersteunend of belemmerend zijn als het gaat om effectieve risicobeheersing, en hier vervolgens actiepunten op formuleert.

Concreet aan de slag met soft controls

Hiervoor hebben we geschetst hoe een serviceorganisatie in haar ISAE 3402-rapport zou kunnen beginnen met het rapporteren over soft controls: het beschrijven van soft controls, het integreren van soft controls in managementreacties en het uitvoeren van root-cause-analyses van soft controls als onderdeel van het controleraamwerk.

Om structureel te kunnen rapporteren over soft controls in de interne beheersing en hier als organisatie actief mee bezig te zijn, zou het volgende stappenplan kunnen worden gevolgd:

• Soft controls beginnen bij het management. De eerste stap is het creëren van draagvlak bij het management van de serviceorganisatie: staat het management hiervoor open? Is het bereid zich kwetsbaar op te stellen?
• Het gefaseerd opleiden van de organisatie op het gebied van soft controls. Dit zorgt ervoor dat mensen in de organisatie dezelfde taal gaan spreken als het gaat om cultuur en gedrag. Een goede route hiervoor is te beginnen bij de controleigenaren, compliance en internal audit. Daarna kan als een olievlek worden uitgebreid naar de rest van de organisatie.
• Het inrichten van een model voor het analyseren van root causes. Zoals hiervoor geschetst, leidt een goede root-cause-analyse tot een betere interne controle; hiervoor is wel een robuust proces nodig.
• Het uitvoeren van soft-controls-metingen. Bijvoorbeeld door het uitvoeren van een hiervoor al genoemd onderzoek (via vragenlijsten) onder medewerkers die beheersingsmaatregelen uitvoeren. Neem de reflectie van de organisatie op deze resultaten dan ook op in het ISAE 3402-rapport.

Conclusie

Als een organisatie een bedrijfskritiek proces uitbesteedt aan serviceorganisaties, ontslaat dat die organisatie niet van het ‘in control’ zijn van de uitbestede processen. Aangezien die verantwoordelijkheid veelal wordt ingevuld via ISAE 3402-rapportages, zouden ISAE 3402-rapporten dan wel het volledige beeld moeten geven van de kwaliteit van de interne beheersing. Wij zijn echter van mening dat wanneer er geen aandacht wordt besteed aan soft controls, fundamentele inzichten ontbreken.

Zoals wij aan de hand van voorbeelden in dit artikel hebben geïllustreerd, kun je in onze optiek namelijk niet zeker zijn van de effectiviteit van hard controls als je geen aandacht hebt voor de kwaliteit van soft controls. Daarom pleiten wij ervoor ook te rapporteren over soft controls en zo het onderlinge vertrouwen te versterken, waardoor zowel de uitbestedende organisatie als de serviceorganisatie beter ‘in control’ is.