In de afgelopen periode is in opdracht van de regering een groot aantal operational audits opgestart. Een overzicht in Amigoe van 3 septem­ber jl. bracht niet alleen de kosten die hier­mee gemoeid zijn in beeld, maar liet ook de grote verscheidenheid in aard en opzet van de audits zien. Een goede aanleiding om het instrument operational audit eens nader onder de loep te nemen: wat is het en waarvoor is het bedoeld? En hoe wordt het instrument op Curaçao toegepast?

Auditing is een relatief jong specialisme, met wortels in de accounting. Hoewel beide disciplines de feiten onderzoeken, is er wel een verschil in focus. Register Accountants (RA) richten zich vooral op de financiële kant van de organisatie en dragen bij aan de betrouwbaarheid en rechtmatigheid van de financiële verantwoording; ze verschaffen een redelijke mate van zekerheid aan de aandeelhouders. Auditors richten zich op de operationele kant: de kwaliteit van de beheersing van de bedrijfs- of beleidsvoering in relatie tot de doelstellingen van de organisatie; zij hoeven geen RA te zijn.
Een audit is daarmee altijd een integraal onderzoek naar de werking van de operationele èn managementcontrolesystemen met als uiteindelijk doel inzichtelijk te maken hoe de gestelde doelen zo effectief en efficiënt mogelijk bereikt kunnen worden en welke risico’s de organisatie loopt. Het onderzoek kan evenwel een enge of brede focus hebben. Een operationele audit met een brede focus richt zich op de strategische, tactische en operationele beheersingssystematiek van de gehele organisatie, een onderzoek in enge zin richt zich op een specifieke taak, doelstelling, systeem, richtlijn of proces.
Een audit moet een objectief en betrouwbaar beeld schetsen van het functioneren van het managementcontrolesysteem van een organisatie. Het is gericht op de vraag of de onderneming efficiënt is ingericht en of de activiteiten de ondernemingsdoelstellingen ondersteunen. Het onderzoek moet managers zekerheid geven over het verloop van de processen en een indicatie of er voldoende beheersmaatregelen bestaan, zoals functiescheiding, kaders en richtlijnen, bedrijfsprocessen, AO-procedures, etc. Een goede auditor kan ook oordelen over de effectiviteit van de managementstijl.

Dossiers en interviews
Operational audits kennen diverse specialismen. Een integrale audit, of management control audit, richt zich op het functioneren van het management control systeem of de bestuurlijke beheersorganisatie van de organisatie. Een financial audit is gericht op de financiële processen (tot en met de administratie en jaarrekening). Een EDP (of IT) audit is voornamelijk gericht op de betrouwbaarheid van de applicaties voor de (financiële) bedrijfsvoering. Een internal audit is een structurele operational audit, maar dan uitgevoerd door een afdeling binnen de organisatie.
In de praktijk zijn audits vaak een combinatie van twee of meer specialismen. Door het multidisciplinaire karakter en daarmee ook de brede scope is de inzet van een multidisciplinair auditteam raadzaam. Deze bundeling van kennis en specialismen kan leiden tot interessante waarnemingen en nieuwe inzichten. Auditors baseren zich bij hun onderzoek en de rapportage op interviews met medewerkers uit de organisatie en op relevante documenten en dossiers. De resultaten van het onderzoek gaan in op de vraag in hoeverre de manager in opzet ‘zijn zaken op orde’ heeft.

Onderdeel managementcyclus
Omdat het auditrapport in de eerste plaats een instrument is voor het management, ligt het voor de hand dat het verzoek om een audit in de regel vanuit het management komt. De resultaten worden in het verlengde hiervan per definitie aan het management gepresenteerd. Het management kan uiteenlopende redenen hebben om te willen weten of de zaken op orde zijn. De naleving van richtlijnen en procedures zoals die door de organisatie zijn opgesteld, maar ook het leervermogen van de organisatie, de veranderbereidheid in projectsituaties of de integriteit van handelen van het management of de medewerkers.
Audits zijn bedoeld om aan te sluiten op de besturingsfilosofie van de organisatie. Het is een toetsende functie van en voor het management en initieert daarmee de toetsingsfase in de managementcyclus. Toetsen in deze context betekent anticiperend vaststellen (dus vooraf) en niet controleren (dus achteraf vaststellen). Toetsing van beheersing is van belang omdat bij het ontbreken van dergelijke feedbackmaatregelen het risico ontstaat dat de doelstellingen van de organisatie niet of niet effectief en efficiënt worden gehaald.

Regels en kaders
Voor audits op Curaçao is de Nederlandse regelgeving van toepassing. In Nederland is de onderzoekstaak van de auditors beschreven in de Comptabiliteitswet uit 2001. Artikel 20 van die wet gaat over (periodieke onderzoeken naar) het beleid en artikel 21 gaat over (periodieke onderzoeken naar) de bedrijfsvoering. Hoewel de taken van de auditor zijn vastgelegd in de Comptabiliteitswet, zijn dit geen wettelijke taken, wat betekent dat deze in overleg met het management kunnen worden aangepast of uitgebreid.
Wie een accountant of auditor voor een bepaalde dienst inschakelt, moet ervan op aan kunnen dat de dienstverlening voldoet aan de geldende kwaliteitseisen. Accountants en auditors worden daarom in de uitvoering van de werkzaamheden gestuurd door regels en richtlijnen van de beroepsgroep over vaktechnische normen en standaarden die, indien nodig, worden afgedwongen via tuchtrechtspraak. De gedragscode van het Koninklijk Nederlands Instituut van Registeraccountants geeft zelfs uitvoering aan hetgeen is bepaald in artikel 19 van de Wet op de Registeraccountants.
Deugdelijkheid, zorgvuldigheid, vertrouwelijkheid en integriteit zijn belangrijke waarden voor beide beroepsgroepen. Volgens de richtlijnen dienen zelfs de schijn van vooringenomenheid, partijdigheid en belangenverstrengeling vermeden te worden en moet men zich houden aan de beginselen van behoorlijk bestuur, met name fair play. Indien de op­dracht­gever niet tevreden is over de inhoud van het werk of de wijze waarop men is behandeld, dan kan de klacht of het geschil aan één van de daarvoor in het leven geroepen instanties worden voorgelegd.
De op Curaçao gevestigde accountants en auditors vallen onder de regels en richtlijnen van het Koninklijk Nederlands Instituut van Registeraccountants en de Nederlandse Vereniging van Register Operational Auditors. De richtlijnen van deze beide organisaties zijn afgeleid van de internationale richtlijnen zoals die zijn opgesteld door de International Accounting Education Standards Board van de International Federation of Accountants en de Internal Auditing Standards Board van de Institute of Internal Auditors.

Uitvoering van een audit
De uitvoering van een audit kent een vast verloop. Voorafgaand aan het onderzoek maken alle betrokkenen heldere afspraken over het doel van het onderzoek, de hieraan verbonden onderzoeksvraag en de planning. In deze fase wordt ook aandacht besteed aan de verwachtingen over het onderzoek en de resultaten. Dit wordt bereikt door in onderling overleg de te beoordelen objecten (wat te on­derzoeken), de kwaliteitscriteria (hoe te beoordelen), de gekozen referentiemodellen (op basis waarvan te beoordelen) en de wijze van (tussentijds) rapporteren te bepalen.
De auditwerkzaamheden starten met het vooronderzoek. Deze fase kan gezien worden als kennismakingsfase. In deze fase wordt informatie over de organisatie en de specifieke processen die onderwerp van onderzoek zijn, verzameld. Deze informatie is de basis voor de auditors om de producten, processen en de activiteiten van de organisatie tijdens het onderzoek in het juiste perspectief te plaatsen. Op basis van de uitkomsten kan worden vastgesteld met welke medewerkers zal worden gesproken en tevens welke vragen zullen worden gesteld.
De volgende fase is de onderzoeksfase. Gedurende deze fase worden het referentiemodel enerzijds en de werkelijke situatie anderzijds met elkaar vergeleken. In deze fase van het auditproces worden gegevens verzameld die nodig zijn om tot bevindingen en aanbevelingen te kunnen komen. De referentiemodellen bepalen voor een belangrijk deel de aanpak. Om tot de juiste inzichten te komen, wordt vooral gebruik gemaakt van interviews en documentstudie, maar alle andere activiteiten die nodig zijn voor het verzamelen van gegevens kunnen worden ingezet.
De volgende fase draait om het resultaat van de audit: het eindrapport. Dit rapport presenteert goed onderbouwd de resultaten, bevindingen en aanbevelingen van de voorgaande stappen, eventueel voorafgegaan door een managementsamenvatting en wordt altijd afgesloten met een conclusie die een antwoord geeft op de onderzoeksvraag. De manager verantwoordelijk voor het onderzoeksonderwerp heeft recht op hoor en wederhoor. Dit betekent dat de manager, voor het rapport officieel wordt uitgebracht, commentaar kan geven, wat verwerkt wordt in de tekst zelf en door opname als bijlage.

Evaluatie en vervolg
Nadat de audit is afgerond, kan de uitvoering gezamenlijk worden geëvalueerd om vast te stellen of zij heeft voldaan aan de verwachtingen; het is vooral de auditor die hiervan kan leren. Daarnaast kunnen de aanbevelingen doorlopen worden en worden voorzien van een prioriteitsstelling. Hierna begint feitelijk het echte werk voor het management. Het management kan een plan van aanpak opstellen waarmee die beheersingsmaatregelen geïmplementeerd worden die nodig zijn om de bedrijfsdoelstellingen te kunnen realiseren en de risico’s te minimaliseren.
Wanneer het management aan de slag is gegaan met de resultaten van de audit, zal één of twee jaar na de uitvoering van de audit een inventarisatie kunnen worden uitgevoerd naar de wijze waarop het plan van aanpak is gerealiseerd. Dit is geen volledige audit, maar een manier om vast te stellen of de gestelde doelen en acties zijn gerealiseerd en of zij hebben geleid tot een daadwerkelijke verbetering van de beheersing in de organisatie. Deze vervolgonderzoeken zijn belangrijk om de voortgang en daarmee de mate van realisatie van de gewenste beheersing en de strategie te monitoren.

Recente operational audits op Curaçao
Op Curaçao worden audits, bij het ontbreken van gespecialiseerde auditbureaus, vaak uitgevoerd door accountantsbureaus en soms adviesbureaus. De Stichting Overheidsaccountantsbureau (SOAB), als interne accountant van de overheid, is een voor de hand liggende keuze, maar het komt ook voor dat private accountantsbureaus de opdracht krijgen een audit uit te voeren. Bij audits met een brede scope moet de financiële kennis, waar nodig, aangevuld worden met kennis van een van de andere specialismen om een multidisciplinair team te kunnen garanderen om het onderzoek uit te voeren.

Audits op Curaçao worden vaak aangevraagd door de Raad van Commissarissen van de organisatie of de bestuurder en slechts sporadisch door de organisatie zelf. Wanneer de organisatie gedurende de voorbereidende fase weinig invloed kan uitoefenen op de onderzoeksvraag, de te beoordelen objecten en het referentiemodel, krijgt een audit een repressief karakter. Door een dergelijke toepassing van het instrument zal er slechts beperkt sprake kunnen zijn van een verbetertraject en is de kans klein dat de uitkomsten bij de besluitvorming voor nieuwe ontwikkelingen betrokken worden.

Vanuit de ervaring dat audits op Curaçao tot op heden bijna altijd leiden tot het (gedwongen) ontslag van (een deel van) het management wordt het eindrapport door de organisatie altijd bestreden en, waar mogelijk, volledig afgewezen. Dit leidt tot lange formele verweren – in sommige gevallen is het verweer langer dan het eindrapport van de audit – waarin wordt getracht de conclusies en aanbevelingen, soms tegen beter weten in, te weerleggen. Na afloop van de audit volgt meestal een rechtszaak over een afvloeiingsregeling.

Hoewel audits een nuttig instrument zijn in het kader van de verbetering van de bedrijfsvoering, zijn ze door de manier waarop ze worden ingezet en de resultaten die ze vaak genereren, verworden tot een instrument om met (politieke) tegenstanders af te rekenen. Wanneer de resultaten ook nog eens voortijdig in de publiciteit komen, zijn de gevolgen voor de betrokken manager op persoonlijk vlak en de organisatie op zakelijk gebied, groot. Blijkbaar zijn de uitgebreide tuchtbepalingen van de beroepsgroepen waartoe auditors en accountants behoren, niet voldoende om deze gevolgen te voorkomen.

Relevante documentatie online
International Standards for the Professional Practice of Internal Auditing van de Internal Auditing Standards Board
www.theiia.org

Gedrags- en Beroepsregels Register Operational Auditors van de Nederlandse Vereniging van Register Operational Auditors
www.iia.nl

Code of Ethics for Professional Accountants van de International Ethics Standards Board for Accountants
www.ifac.org

Verordening Gedragscode van het Koninklijk Nederlands Instituut van Registeraccountants
www.nivra.nl

Klacht- en tuchtrecht voor accountants van het Koninklijk Nederlands Instituut van Registeraccountants
www.nivra.nl