Het intern toezicht speelt een steeds grotere rol bij het controleproces. Dit hangt samen met de professionaliseringsslag die in de governance van de (semi)publieke sector is en wordt gemaakt, wat zich heeft vertaald naar onder meer een toename in zelfregulering (WRR 2014). Een voorbeeld hiervan is het verlenen van de opdracht tot onderzoek van de jaarrekening. Eerder was het in de onderzochte sectoren gebruikelijk om als bestuurder de accountant opdracht te geven tot het onderzoek van de jaarrekening, waarmee een risico ontstaat dat de accountant niet onafhankelijk kritiek kan geven op de werkzaamheden van het bestuur. De accountant werkt immers voor het bestuur. Dit onafhankelijkheidsrisico kan in belangrijke mate worden gemitigeerd als de commissaris de opdracht tot onderzoek van de jaarrekening geeft (Glover and Prawitt 2013; Koster 2012; NBA 2011; De Bos and Leonards 2014). In lijn met deze redenatie verleent in de woningcorporatiesector de RvC sinds 2015 deze opdracht aan de accountant, zoals opgenomen in de sectorspecifieke code en Woningwet.⁸ Hetzelfde geldt voor de zorgsector, waar sinds 2017 in de code is opgenomen dat de RvC bevoegd zou moeten zijn om de accountant te benoemen.⁹ Daarentegen wordt in de Code Pensioenfondsen omschreven dat het bestuur de controle opdraagt aan de accountant.¹⁰ Dit voorbeeld illustreert veranderingen in de governance, waarbij een toename in communicatie tussen de RvC en de accountant verwacht kan worden, maar ook dat de sectoren vooralsnog niet op één lijn liggen.

Als de opdracht is verleend en de accountant van start is gegaan hebben de accountant en de RvC idealiter op meerdere momenten contact. Onzes inziens is de gewenste situatie omschreven in het communicatiemodel dat is opgesteld door De Bos et al. (2020). Hierin is opgenomen dat (een deel van) het intern toezicht het controleplan van de accountant bediscussieert en goedkeurt. Daarna bespreekt (een deel van) het intern toezicht gedurende de controle de bevindingen met de accountant, evenals het accountantsverslag dat apart met de gehele RvC en de accountant wordt besproken. Tot slot bespreekt (een deel van) het intern toezicht de kernpunten en conclusies van de controleverklaring met de accountant. Wat de accountant dient te communiceren aan ‘de met governance belaste personen’ (lees: intern toezicht) is opgenomen in Standaard 260 “Communicatie met de met governance belaste personen” (NBA 2017). Ook in de NCGC staat opgenomen dat de RvC in aanvulling op haar wettelijke taak jaarlijks met de accountant de reikwijdte en materialiteit van het auditplan bespreekt (evenals de belangrijkste risico’s van de jaarverslaggeving die naar voren komen in het auditplan), de bevindingen en de uitkomsten van de controlewerkzaamheden en de managementletter.¹¹

In de codes van de onderzochte sectoren is nauwelijks aandacht besteed aan de communicatie tussen de RvC en de accountant. Tot aan de (eind)rapportage van de accountantrapportage van de accountant aan de RvC (en het bestuur) is over het contact tussen hen enkel beschreven dat de RvC een zogeheten ‘informatiehaalplicht’ bij de accountant heeft.¹² In de pensioensector is deze plicht niet opgenomen in de regels. Hoe de ‘informatiehaalplicht’ in de praktijk tot uitdrukking komt is niet onderzocht. Wel is onderzocht hoe transparant de RvC is over de communicatie met de accountant, wat tot uitdrukking zou moeten komen in het jaarverslag.

In de onderzochte sectoren hebben de commissarissen zelf geen verplichting om te rapporteren over interacties met de accountant. Wel zijn de commissarissen verplicht om te rapporteren in de jaarstukken en is het wenselijk dat de commissarissen – net zoals zij dat verlangen van het bestuur over haar bedrijfsvoering – transparant zijn over haar toezicht.¹³ Belangrijk om hierbij in gedachte te houden, is dat de accountant en commissaris een parallel belang hebben, namelijk het vaststellen of het jaarverslag het vereiste inzicht geeft. In dat verband kan de accountant ook wel gezien worden als de ‘oren en ogen’ van het intern toezicht (TIAS 2015).

Aangezien in de (semi)publieke sector de wijze van rapportage niet nader is ingevuld, nemen wij in deze beschrijving mee wat op basis van de NCGC en Richtlijnen voor jaarverslaggeving (hierna: RJ) geldt voor beursgenoteerde ondernemingen. Op grond van de NGCG dient de RvC verslag te doen van de uitvoering van de taakopdracht van de auditcommissie, waar onder meer de belangrijkste onderwerpen die in de vergadering aan de orde zijn gekomen worden beschreven.¹⁴ Ter invulling van deze bepaling staat in de RJ als best practice-bepaling opgenomen dat dit kan bevatten: de belangrijkste gespreksonderwerpen met de accountant naar aanleiding van de door de accountant verstrekte relevante verslagen, evenals een beschrijving van hoe de accountant is geselecteerd en hoe zijn onafhankelijkheid is gewaarborgd.¹⁵ In de literatuur bestaat kritiek op de regels omtrent de rapportage van de RvC en wordt bepleit dat dit meer moet worden uitgewerkt om de kwaliteit van de verslagen te verhogen (zie hierover: Hijink et al. 2019; De Bos et al. 2019).

Daarbij wordt door de NBA (2012) eveneens de aandacht voor de ‘zachte kant’ onderstreept, aangezien zij beschrijft dat de maatschappelijke relevantie van de accountant kan worden verhoogd door meer aandacht te besteden aan de toon aan de top binnen een organisatie. De toon aan de top betreft onder meer het (voorbeeld)gedrag van het bestuur. Juist omdat de (semi)publieke sector het publieke belang dient, en de risico’s niet altijd door de organisatie zelf worden gedragen, is het juiste (voorbeeld)gedrag aan de top, wat vervolgens weer doorstroomt naar de andere lagen van de organisatie, van groot belang. In de pensioensector liggen de risico’s bijvoorbeeld voornamelijk bij de deelnemers en de pensioengerechtigden (Boot and Cools 2014). De accountant kan hier een rol innemen door zijn observaties (wat is de smell of the place?)¹⁶ te delen met het bestuur en de commissaris (Spelbos and Vark 2013). Juist voor de commissaris is deze informatie relevant om goed toezicht uit te kunnen oefenen op het bestuur en het kan helpen bij het beschrijven van het gehouden toezicht op de ‘zachte kant’ in het RvC-verslag. Wel dient hierbij in aanmerking te worden genomen dat gewaakt moet worden voor het zien van cultuur en gedrag als taak van de accountant (Van Manen 2017). De groeiende betrokkenheid van de RvC bij de accountant vraagt om meer aandacht. Vaak wordt in een dergelijke situatie gebruik gemaakt van een auditcommissie. Echter, in de onderzochte sectoren is deze speler (nog) niet altijd een vanzelfsprekendheid.

Ten tijde van dit onderzoek bestond geen verplichting voor de sectoren om een auditcommissie in te stellen. Inmiddels is deze situatie gedeeltelijk gewijzigd. Uit het Besluit aanwijzing organisaties van openbaar belang volgt dat ‘grote’ pensioenfondsen en woningcorporaties per 1 januari 2020 worden aangemerkt als organisaties van openbaar belang (hierna: OOB; zie ook NBA 2020).¹⁷ De inwerkingtreding van het besluit heeft in beginsel gevolgen voor de governance-structuur van ‘grote’ organisaties binnen de pensioen- en woningcorporatiesector en draagt bij aan de verdere deskundigheid van het intern toezicht, omdat een OOB verplicht is tot het aanstellen van een auditcommissie of een orgaan met gelijksoortige taken.¹⁸ Het takenpakket van de auditcommissie bestaat onder meer uit: de RvC op de hoogte brengen van het resultaat van de wettelijke controle, het monitoren van de externe en interne controles, het beoordelen en monitoren van de onafhankelijkheid van de externe accountants, het waarborgen van de selectieprocedure en het voordragen van een externe accountant.¹⁹

De verplichting om een auditcommissie in te stellen is uitgesloten voor pensioenfondsen met een OOB-status. De pensioenfondsen mogen wel, maar “ze behoeven er niet aan te voldoen”, zo luidt de desbetreffende regelgeving.²⁰ De redenatie hierachter is dat pensioenfondsen sinds januari 2019 verplicht zijn een interne auditfunctie te houden en vervullen (één van de drie sleutelfuncties in het kader van de IORP II-richtlijn).²¹ Dit valt op omdat de rol die de auditcommissie en de interne auditfunctie innemen, verschillen in hun aard. De auditcommissie is belast met het intern financieel toezicht (Wezeman 2009), terwijl de interne auditfunctie is belast met het uitvoeren van (interne) audits binnen de bedrijfsvoering van een pensioenfonds.²² Het wringt daarom dat de interne accountant kan worden aangewezen als degene die de rol van de auditcommissie overneemt. De NBA (2020) merkt hierover op dat de interne toezichthouder meer aangewezen lijkt om deze taak op zich te nemen en dat dit bij de pensioenfondsen die onder de nieuwe regelgeving vallen ook een dergelijk orgaan is, die deze taak op zich kan nemen. Op de sleutelfunctie in het kader van de IORP II-richtlijn gaan wij niet nader in, nu dit in beginsel geen onderdeel uitmaakt van intern toezicht. Voor een verdere uitwerking van de problematiek rondom deze sleutelfunctie in het kader van de IORP II-richtlijn verwijzen wij naar Siegman and Smit (2019).

Uit de hier geschetste ontwikkelingen blijkt het krachtenveld in de relatie tussen de accountant en de commissarissen te veranderen. De vraag rijst hoe hier in de praktijk mee om wordt gegaan.

Op meerdere momenten in het controleproces is contact tussen de RvC en de accountant gewenst, zo blijkt uit de resultaten van het onderhavige onderzoek. Allereerst verleent de RvC de opdracht aan de accountant. Zoals in paragraaf 2.1 beschreven komt deze taak in de woningcorporatiesector sinds 2015 en in de zorgsector sinds 2017 toe aan de RvC, terwijl in de pensioensector deze taak (nog steeds) bij het bestuur wordt neergelegd. Wij zouden verwachten dat in iedere sector in beginsel de RvC de opdracht aan de accountant verleent, vanwege de onafhankelijkheidsrisico’s die kunnen ontstaan als het bestuur dit doet (zie paragraaf 2.1). In de interviews is echter naar voren gekomen dat bij sommige pensioenfondsen het gepast kan zijn dat het bestuur aan de accountant de opdracht verleent. Bijvoorbeeld als het pensioenfonds zijn werkzaamheden zowel aan de passief- als actiefzijde uitbesteedt aan derden. Als het pensioenfonds voor eigen rekening handelt, is het wel wenselijk dat de RvC de accountant benoemt, omdat de controle bij het pensioenfonds dan zwaarder zal zijn. Nadat de opdracht aan de accountant is verleend zal het controleplan worden opgesteld. Om de wijze van uitvoering van deze controle en de afspraken daarover helder te hebben is (schriftelijk) contact tussen de commissaris en de accountant waardevol over het controleplan. Hier is echter niets over geregeld in de drie sectoren. Toch verwachten wij dat de commissaris betrokken is bij het opstellen van het controleplan, omdat anders zijn invloed op de werkzaamheden van de accountant beperkt is. Uit de gesprekken met de drie sectoren volgt echter dat de meeste commissarissen niet betrokken zijn bij het controleplan. Desondanks is in de gesprekken met de woningcorporatie- en zorgsector gesignaleerd dat het waardevol is om het controleplan te bespreken met de accountant.

Na de controle te hebben uitgevoerd rapporteert de accountant over haar bevindingen. Uit de regels van de woningcorporaties volgt dat de accountant dit doet aan de RvC en het bestuur.²⁵ De Governancecode zorg bepaalt dat dit gelijktijdig gebeurt.²⁶ In de pensioensector is hier niets voor geregeld. Uit de gesprekken volgt dat de meeste commissarissen overleg voeren met de accountant, waarbij onder andere de managementletter en de jaarrekening worden besproken. Hierbij is tijdens de round table-bijeenkomsten en de interviews met de commissarissen wel opgevallen dat deze gesprekken vrijwel altijd in mede-aanwezigheid van het bestuur waren, terwijl uit de interviews volgt dat de accountants vrijer spreken als het bestuur afwezig is. Dit in het bijzonder door het vaak bestaande spanningsveld tussen de verwachtingen van het bestuur en die van de accountant. Gedurende de interviews is daarom naar voren gekomen dat een constructief-kritisch gesprek met de accountant in eerste instantie door het intern toezicht zou moeten worden gevoerd. Een tweede gesprek van de accountant zou pas met het bestuur daarbij aanwezig moeten plaatsvinden.

Na afloop van het controleproces kan hierop teruggeblikt worden middels een evaluatie. In de drie codes is de evaluatie verschillend opgenomen. In de woningcorporatie- en pensioensector is in de code beschreven dat een evaluatie door het bestuur (en de auditcommissie) van het functioneren van de accountant ten minste eens in de vier jaar plaatsvindt.²⁷ In de zorgsector is de verantwoordelijkheid om te evalueren neergelegd bij de RvC. Zij dient regelmatig het functioneren van de accountant te evalueren nadat zij daarover advies heeft ingewonnen bij het bestuur.²⁸ Het is opvallend dat de evaluatie van de accountant in de codes zo vrijblijvend is opgenomen. Door ieder jaar na afloop van de controle als commissaris terug te kijken op het proces en het proces te blijven verbeteren kan meer uit de bevindingen van de accountant worden gehaald. Het evalueren van het controleproces is niet separaat onderzocht.

Over het algemeen is in de sectoren aangegeven dat de commissarissen in de woningcorporatie- en zorgsector meer contact hebben met de accountant dan in de pensioensector, zoals te zien in tabel 1. Ook is te zien in de tabel dat de waarde van de accountant als iets groter wordt ervaren in deze twee sectoren dan in de pensioensector, waar het intern toezicht met betrekking tot de accountant over minder bevoegdheden beschikt.

Bij het onderzoeken van de contactmomenten tussen de accountant en de RvC is niet alleen het overleg zelf van belang, maar ook hoe transparant de RvC hierover is. Door te onderzoeken wat in de jaarverslagen is opgenomen over het contact tussen de RvC en de accountant kan een idee worden gevormd bij hoe verantwoording wordt afgelegd over het intern toezicht.

De RvC is zowel in de pensioen- als woningcorporatiesector verplicht om te rapporteren in het jaarverslag. Deze verplichting volgt voor zorginstellingen slechts uit de code, waaruit voortvloeit dat alleen hoeft te worden gerapporteerd over in hoeverre zij de codes naleeft.²⁹ Let wel, in een jaarverslag hoeft in beginsel niet uitgebreid op de interacties tussen het intern toezicht en de accountant te worden ingegaan (De Bos et al. 2019). Niettemin is het onderzoeken van de jaarverslagen een manier om vanuit een andere invalshoek te bezien hoe de relaties vanuit het intern toezicht gestalte krijgen.

Om een indruk van de transparantie in het toezicht te krijgen is onderzocht of in de jaarverslagen (meer specifiek in de bestuursverslagen, verslagen van de raad van toezicht, raad van commissarissen of het verslag van de visitatiecommissie) is gerapporteerd over de relatie tussen het intern toezicht en de accountant. Hierbij zijn de 25 grootste organisaties per sector onderzocht. Aangezien het rapporteren over deze interactie niet verplicht is, verwachten wij dat hierover niet in alle jaarverslagen zal worden gesproken. Desondanks denken wij dat het beschrijven van deze interactie in het jaarverslag de uitgelegen kans is om als RvC transparantie uit te stralen en hierin een voorbeeld te geven aan het bestuur. Daarnaast zijn in iedere sector de grootste organisaties onderzocht, waar wij relatief een hoge mate van transparantie zouden verwachten.

In tabel 2 is te zien dat in de pensioensector aanzienlijk minder wordt gerapporteerd over de interactie dan in de woningcorporatie- en zorgsector. In slechts vier van de 25 jaarverslagen wordt gerapporteerd dat commissarissen met de accountant hebben gesproken over het (vaststellen van het) jaarverslag, tegenover 15 van de 25 bij woningcorporaties en 14 van de 23 bij zorginstellingen. Het is opmerkelijk dat niet alle instellingen rapporteren over het contact tussen het intern toezicht en de accountant. Daarnaast speelt het gerapporteerde contact vooral af gedurende het einde van het controleproces. Ook dit is opmerkelijk, zeker aangezien in paragraaf 4.1 is geconstateerd dat het wenselijk is om als commissaris bij het opstellen van het controleplan al betrokken te zijn bij het werk van de accountant, zodat invloed kan worden uitgeoefend op de werkzaamheden die de accountant verricht.

Zoals eerder aangegeven is het niet verplicht om te rapporteren over de relatie tussen de accountant en het intern toezicht, wat een verklaring kan zijn waarom niet alle onderzochte organisaties hierover rapporteren. Het grote verschil in rapportage over het overleg tussen het intern toezicht en de accountant kan wellicht deels worden verklaard door de mindere mate waarin de commissaris contact heeft met de accountant in de pensioensector, zoals volgt uit het resultaat van de round table-bijeenkomst. Daarnaast is tijdens de round table-bijeenkomsten naar voren gekomen dat commissarissen van pensioenfondsen minder bevoegdheden hebben dan de commissarissen in de andere sectoren. Ook dit kan een reden zijn voor de verschillen in rapportage.

Zoals beschreven in paragraaf 2.3 is het hebben van een auditcommissie inmiddels voor (grote organisaties) in de woningcorporatiesector verplicht. In de zorg- en pensioensector is niets geregeld omtrent het instellen van een auditcommissie. Ten tijde van het onderzoek was het hebben van een auditcommissie in geen van de drie sectoren verplicht. Er is geen separaat onderzoek gedaan naar het aantal auditcommissies in de sectoren. Wel zijn elementen, die samenhangen met een auditcommissie bevraagd gedurende de enquête en de interviews.

In de interviews is naar voren gekomen dat voor een auditcommissie een mogelijk belangrijke rol is weggelegd. Enerzijds om te waarborgen dat er voldoende kennis aanwezig is bij de commissarissen. Zo werd benadrukt dat het lezen en begrijpen van bevindingen van de accountant soms lastig kan zijn. Van de betrokken personen vraagt dat financiële kennis of oprechte nieuwsgierigheid naar het werk van de accountant. Uit de enquête (zie tabel 1) volgt dat een deel van de commissarissen, met name in de woningcorporatie- en zorgsector, behoefte heeft aan meer educatie hierover. Hieraan kan de verplichte invoering van een auditcommissie bijdragen, omdat zo gefocust kan worden op educatie van dat deel van de RvC dat hiervoor wordt aangesteld. Anderzijds kan met een auditcommissie meer betrokkenheid van enkele commissarissen bij het gehele auditproces worden gecreëerd. Beide aspecten geven de commissarissen meer mogelijkheden tot het geven van een kritische noot aan de accountant indien nodig. Bovendien kunnen de commissarissen meer informatie verwerven over het functioneren van het bestuur in het gesprek met de accountant. Het is enerzijds aan de commissaris om door te vragen en informatie op te halen bij de accountant, maar anderzijds heeft de accountant zelf ook een brengplicht. Deze informatie geeft de commissaris een beter beeld van de cultuur die heerst bij het bestuur en in de organisatie en van de mate waarin het bestuur in control is. Dit levert mogelijk niet alleen waardevolle inzichten op voor de financiële huishouding, maar ook over de toon aan de top. Daarom denken wij dat de verplichte instelling van een auditcommissie voor grote woningcorporaties een welkome aanvulling is en mogelijk ook van toegevoegde waarde kan zijn voor grote organisaties in de zorg- en pensioensector.

Uit de resultaten van de verrichte onderzoeken volgt dat in de sectoren de relatie tussen de commissaris en de accountant verandert. Desondanks zijn nog steeds slagen te maken om tot verdere professionalisering te komen. Een aantal elementen zijn ons gedurende de onderzoeken opgevallen, die als good practice kunnen worden bestempeld en die hieronder nader worden geduid.