Tussen de Internal Audit Monitor 2017 en de Internal Audit Monitor 2021 verscheen een vervolgonderzoek in het Maandblad voor Accountancy en Bedrijfseconomie (MAB). Robert Bogtstra en Inge Garretsen (toen nog onder de naam FSV Risk Advisory, nu ONE Risk Advisory) en Remko Renes (Nyenrode Business Universiteit) volgden daarin de Internal Audit functie bij Nederlandse beursvennootschappen over de jaren 2016 tot en met 2018, de eerste jaren onder de herziene Corporate Governance Code. Het artikel, met de titel “Compliant in principle! and in practice?”, verscheen op 22 april 2020. Naast de ontwikkeling in aantallen beoordeelt het de kwaliteit van de uitleg van vennootschappen zonder Internal Audit functie.
Van 53% naar 64% in twee jaar
Eind 2016 had 53% van de in Nederland gevestigde beursvennootschappen op Euronext Amsterdam een Internal Audit functie, eind 2018 64%. In 2017, het eerste jaar onder de herziene Code, kwamen er acht nieuwe functies bij, in 2018 nog twee. In 2018 had ruim de helft van alle vennootschappen (53%) een eigen, onafhankelijke functie. De andere vennootschappen met een functie kozen voor uitbesteding, een combinatie met risicomanagement of een functie met een beperkte reikwijdte.
| Vorm | 2016 | 2017 | 2018 |
|---|---|---|---|
| Eigen functie | 41 | 46 | 51 |
| Uitbesteed | 4 | 7 | 6 |
| Gecombineerd met risicomanagement | 5 | 5 | 4 |
| Beperkte reikwijdte | 1 | 2 | 1 |
| Geen functie, volgend jaar wel | 7 | 1 | 1 |
| Geen functie, met uitleg | 24 | 32 | 31 |
| Geen functie, zonder uitleg | 14 | 4 | 3 |
| Met Internal Audit functie | 51 (53%) | 60 (62%) | 62 (64%) |
| Totaal | 96 | 97 | 97 |
Alle AEX-fondsen hadden een Internal Audit functie. Bij de AMX ontbrak die eind 2018 nog bij één vennootschap, tegen vier in 2016. Bij de AScX steeg het aandeel van 39% naar 57%, bij de lokale fondsen van 10% naar 24%. Het aandeel vennootschappen dat het ontbreken van een functie helemaal niet uitlegde, daalde van 15% in 2016 naar 3% in 2018.
Hoe goed is de uitleg?
De Code werkt volgens pas toe of leg uit. Wie geen interne auditdienst heeft, licht volgens best practice bepaling 1.3.6 toe welke alternatieve maatregelen er zijn. Volgens de Code bevat een uitleg bij afwijking in ieder geval hoe en waarom de vennootschap afwijkt, of de afwijking tijdelijk is, en welke alternatieve maatregel is genomen en hoe die het doel van de bepaling bereikt of bijdraagt aan goed ondernemingsbestuur. De onderzoekers beoordeelden de uitleg van de 34 vennootschappen zonder Internal Audit functie over 2018 op een schaal van vijf niveaus, ontleend aan eerder nalevingsonderzoek van Nyenrode Business Universiteit.
| Niveau | Wat de uitleg bevat | Aantal |
|---|---|---|
| Evaluatief | De alternatieve maatregelen, met uitleg hoe die het doel van de bepaling bereiken of bijdragen aan goed ondernemingsbestuur | 3 |
| Argumentatief | Een beschrijving van de alternatieve maatregelen | 7 |
| Informatief | Een reden voor het ontbreken van een functie, zonder concrete alternatieve maatregelen | 19 |
| Onjuist | Wel een tekst, maar geen reden en geen alternatieve maatregelen | 5 |
| Niet uitgelegd | Geen enkele vermelding van de Internal Audit functie | 0 |
| Totaal | 34 |
Slechts drie vennootschappen gaven een uitleg die voldoet aan de norm van de Code. De meest gegeven uitleg was een korte verwijzing naar de omvang van de organisatie, zonder te zeggen welke alternatieve maatregelen er dan zijn. Vennootschappen die die maatregelen wel beschreven, noemden onder meer werkzaamheden die een externe dienstverlener op onderdelen uitvoert, self-assessments, peer reviews, ISO- of NEN-certificaten en de cultuur van de organisatie. Een goed voorbeeld beschreef bezoeken van de directie aan buitenlandse dochterondernemingen, aanvullende werkzaamheden van lokale accountants bovenop de wettelijke controle, regelmatige bezoeken van de financiële afdeling van de groep, en de conclusie van het bestuur dat de bevindingen geen materiële tekortkomingen in de interne beheersing lieten zien.
Omvang alleen is geen argument
Het argument dat een organisatie te klein is, houdt volgens de onderzoekers geen stand. De toelichting bij de Code maakt een eigen interne auditdienst tot uitgangspunt en noemt uitbesteding een passend alternatief als de omvang van de vennootschap zich daar niet voor leent, waarbij raad van commissarissen en auditcommissie betrokken blijven. Een organisatie is volgens de onderzoekers nooit te klein voor een Internal Audit functie: met co-sourcing, een eigen hoofd internal audit aangevuld met externe specialisten, of met outsourcing is een functie ook met weinig eigen mensen kostenefficiënt in te richten.
Pas toe én leg uit
De onderzoekers pleitten voor pas toe én leg uit, naar het voorbeeld van de Zuid-Afrikaanse corporate governance code King IV. Uitleg helpt organisaties om corporate governance niet als afvinkoefening te zien, maar bewust en met oog voor de eigen situatie toe te passen. Bestuurders lichten dan ook bij naleving toe hoe zij onafhankelijke zekerheid krijgen over governance, risicomanagement en interne beheersing.
Het onderzoek sloot af met vragen voor vervolgonderzoek: wat is de werkelijke reden dat kleinere vennootschappen geen Internal Audit functie hebben, hoe hangt dat samen met de volwassenheid van de onderneming, en zijn vennootschappen met een functie effectiever of succesvoller dan vennootschappen zonder?
Hoe de reeks verderging
Dit onderzoek bouwde voort op de Internal Audit Monitor 2017. Volgens de Internal Audit Monitor 2021 was het aandeel beursvennootschappen met een IAF eind 2020 gestegen naar 67%, en volgens de Internal Audit Monitor 2025 naar circa 72% in 2024. Ook daarin bleef de kwaliteit van de uitleg een aandachtspunt.
Over het onderzoek
Het onderzoek is gebaseerd op deskresearch in publieke bronnen over de jaren 2016 tot en met 2018: jaarverslagen, reglementen van bestuur en auditcommissie, corporate governance-verklaringen, persberichten, LinkedIn-profielen en vacatures. De populatie bestond uit de vennootschappen met statutaire zetel in Nederland die op Euronext Amsterdam genoteerd zijn, ingedeeld naar de samenstelling van de indices aan het eind van elk jaar; beleggingsinstellingen tellen niet mee. De latere Internal Audit Monitors herberekenden de cijfers op een gewijzigde populatie, waardoor die licht afwijken, bijvoorbeeld 52% in plaats van 53% voor 2016. Het artikel verscheen in het Maandblad voor Accountancy en Bedrijfseconomie, jaargang 94, nummer 3/4 (2020), en is vrij toegankelijk.
Wilt u weten hoe u het ontbreken of de inrichting van een Internal Audit functie goed onderbouwt en uitlegt? Neem gerust contact met ons op.