Verantwoording is van steeds groter belang. De roep om transparantie, verantwoording én het behalen van goede resultaten klinkt harder dan ooit tevoren. Van auditors wordt daarbij veel gevraagd. De tijd dat alleen naar de hard controls wordt gekeken ligt achter ons. Van een operational auditor wordt ook verlangd dat de zogenaamde soft controls in de scope van de audit worden betrokken.
Reden om Ron de Korte, managing partner ACS, directeur van de post-initiële opleidingen Internal Auditing & Advisory en IT-Auditing & Advisory van de Erasmus Universiteit, en docent van de opleiding Operational Auditing, te vragen naar deze hard & soft controls en tips voor auditors.
Wat is het belang van een integrale audit van hard én soft controls?
“Naar ons idee zijn hard en soft controls niet eenduidig te definiëren en bovendien niet goed te scheiden. Geen van de vele definitiepogingen hebben tot een helder onderscheid geleid. Het gemak waarmee naleving van beheersmaatregelen is aan te tonen lijkt de basis te zijn van het onderscheid in hard en zacht, maar ook dat is een glijdende schaal. Veel organisatie-inrichtingsmaatregelen hebben tevens een beheerseffect en de maatregelen die vaak onder soft worden geschaard zijn veelal een randvoorwaarde voor de waarde van hard controls. Als je er even langer over nadenkt gaat het onderscheid mank en leidt het beperken van audit-aandacht tot één van beide, tot inzicht in maximaal de helft van wat we management control noemen. Dit inzicht heeft ons eens gebracht tot het schijven van een artikel met de titel: ‘Soft controls: wie het begrijpt heeft niet goed nagedacht (Bos en De Korte 2008)’. Ook daarin maken we ons sterk voor een andere scoping op het vlak van management control als auditobject dan gebaseerd op wat auditors en controllers reeds gewend zijn te onderzoeken.
Wat is de toegevoegde waarde van het auditen van houding en gedrag naast de gebruikelijke audits van informatie en processen?
Het beperken van de auditscope tot soft controls is misschien net zo onverstandig als de beperking tot hard controls. Verstandiger is te onderzoeken wat de belangrijke oorzaken zijn van de constatering dat beheersmaatregelen niet effect zijn, niet worden nageleefd of controles slechts worden verricht omdat ze door wetgeving of een toezichthouder zijn voorgeschreven.
Oorzaken daarvan zijn veelal:
– het management vindt het niet belangrijk (leiderschap, tone at the top),
– het past niet bij de werkwijze van medewerkers (afdelingscultuur),
– medewerkers weten niet waarom het voor de organisatie belangrijk is (communicatie),
– et cetera.
Uiteindelijk kom je alle onderdelen van management control tegen die auditors en controllers (wel belangrijk maar) oh zo lastig te onderzoeken vinden en (daarom?) soft controls noemen.
Welke do’s en dont’s uit de praktijk komt u vaak tegen?
De controller of auditor weet dat hij niet meer kan volstaan met het benoemen van die randvoorwaardelijke aspecten. Maar in plaats van hier deugdelijk onderzoek naar te doen, schiet hij nogal eens door in (ver)oordelende teksten: onvolwassen management, niet-in-control, slechte afdelingscultuur, gebrek aan communicatie, …..
Een positieve ontwikkeling is dat de tijd van alleen praten over soft controls over is en opdrachtgevers van auditors het belang van het onderzoeken van houding en gedrag onderkennen. Nog lang niet altijd hebben ze het vertrouwen dat de controller en de auditor die daar jaren voorbij liep nu de meest geschikte onderzoeker is van dat deel van management control. Hij moet op dat vlak nog het vertrouwen winnen. Je daar gedegen voor opleiden is geen overbodige luxe.
Ook belangrijk is het inzicht dat bij auditors en controllers ontstaat als ze zich verdiepen in de social kant van management control, dat het oordelen over houding- en gedragsaspecten gemakkelijk een negatief effect heeft op het leereffect van managers. Wel effectief is het creëren van een spiegel op basis van deugdelijk onderzoek, in de vorm van een presentatie, verhalende rapportage of een gefaciliteerde groepssessie waarin medewerkers thematisch hun ervaringen en ideeën daarover delen. Er zijn zo veel alternatieven voor het oordelende rapport! Wel heeft elke rapportagevorm zijn eigen randvoorwaarden om effectief te kunnen bijdragen aan de beoogde verbeteringen van de management control.
Waarom is de aandacht voor gedragsaspecten zo belangrijk?
Jaar in jaar uit rapporteren dat weer niet alle beheersmaatregelen zijn nageleefd leidt niet tot verbeteringen. Je gelijk halen bij toezichthouders, ‘commitment van de leiding’ eisen en het afdwingen dat de lijst met aanbevelingen wordt afgewerkt kost veel negatieve energie en is een doodlopende weg. Onderken dat er redenen zijn voor de ontstane situatie. Dat het schort aan randvoorwaarden voor het effectief laten zijn van de beoogde beheersmaatregelen. Onderzoek wat maakt dat de organisatie op dit vlak moeilijk verder komt en vervolgens wat moet worden doorbroken. Negen van de tien keer kom je uit bij houding en gedragsaspecten, of zo je wil: soft controls.”
Opleiding Operational Auditing
Ron de Korte is één van de docenten van de 5-daagse opleiding Operational Auditing. Tijdens deze opleiding leert u hoe u zowel hard als soft controls in uw organisatie op een deugdelijke en efficiënte wijze audit en daarover met de juiste impact rapporteert.
Bekijk het uitgebreide opleidingsprogramma, de docenten en een introductievideo op www.euroforum.nl/financieel/opleiding-operational-auditing/.
