Gelet op ontwikkelingen in de aard van ondernemingen, in het bijzonder de steeds belangrijkere rol van immateriële activa en informatie, groeit er een vraag naar het ex-ante beoordelen van strategie, bestuur en bedrijfsvoering, ex-post beoordelingen schieten te kort. Daarmee moet de functie van internal audit niet door de bril van de eigen functie proberen te kijken naar wat er van de internal auditor zal worden gevraagd, maar door de brillen van de maatschappelijke vraag en die van de veranderende aard van de onderneming en de veranderende aard van activa. De traditionele kennis voor de auditfunctie is dan niet meer voldoende. Ook de internal auditor zal zich meer en bredere kennis eigen moeten maken om nieuwe situaties op een juiste wijze te toetsen.

internal audit, compliance, performance, immateriële activa, ex-ante assurance

Hoe zal de functie van internal auditor zich de komende jaren moeten ontwikkelen om van betekenis te zijn en relevant te blijven? Moet internal audit reflecteren op manifest maatschappelijke vragen naar risicomanagement, compliance en integriteit of moet internal audit reflecteren op de diepere maatschappelijke behoefte aan assurance en vertrouwen in bestuurders en in ondernemingen en instellingen? Wat worden de onderwerpen van internal audit? Verbreedt de functie zich van compliance audit naar performance audit?

Om deze vragen te beantwoorden worden eerst in paragraaf 2 drie perspectieven uiteengezet vanuit welke deze vragen benaderd zouden kunnen worden: het perspectief van het vakgebied internal audit zelf, het perspectief van de theory of the firm en het perspectief van ondernemingsbestuur. De strekking van deze paragraaf is, wil de internal audit geprepareerd zijn op de toekomst, deze door de bril van de new theory of the firm naar zijn functie en bijdragen zal moeten kijken. Omdat in de vraagstelling van het artikel performance wordt genoemd, wordt in paragraaf 3 een verduidelijking van de aard van performance management gegeven met als strekking dat performance management een ex-ante component kent, meer omvat dan financiële performance en dat het resource allocation process hierin een centrale rol speelt, met de nodige implicaties voor de onderwerpen van internal audit. In paragraaf 4 worden de implicaties van de paragrafen 2 en 3 voor de door de internal auditor benodigde vakkennis uiteengezet. In een heel korte paragraaf 5 wordt uitgelegd dat de toegevoegde waarde van de internal audit ook is om in de mist van vernieuwingen in organisaties betrokkenen te helpen de koers helder te houden in een wereld van conflicterende eisen. In de laatste paragraaf, paragraaf 6. wordt een conclusie geformuleerd, niet alleen op de vraagstelling van het artikel, maar wordt de functie van de internal auditor ook in een breder maatschappelijk perspectief geplaatst. Immers uiteindelijk vormt een maatschappelijke vraag de legitimiteit van de functie van internal auditor, niet alleen of deze met de juiste operationele vraagstukken bezig is.

Om antwoorden te vinden op deze vragen is het van belang vanuit welk perspectief, door welke bril naar de functie van internal audit wordt gekeken.

Wat impliceert nu de veranderende aard van de onderneming, zoals uitgedrukt in de new theory of the firm, maar ook de negatieve ervaring met een op zich goed geformuleerd bestuursinstrument, het resource allocation process, nu voor de vraag of internal audit zich moet richten op compliance audit of op performance audit?

Omdat de functie van internal audit genoemd wordt in de Nederlandse Corporate Governance Code impliceert dit een verwachting vanuit de samenleving ten aanzien van de functie van internal audit in de onderneming. Die verwachting is niet gearticuleerd, hooguit zou gesteld kunnen worden dat die verwachting besloten ligt in de opvatting van de Monitoring Commissie Corporate Governance dat de Nederlandse Corporate Governance Code (2016) “zal bijdragen aan het vertrouwen in goed en verantwoord bestuur van ondernemingen en hun inbedding in de maatschappij” (NCGC – Preambule). Hierbij zou gedacht kunnen worden aan dat bestuurders zich houden aan wet- en regelgeving en overigens beschikken over een goed moreel kompas, maar de legitimiteit van een onderneming ligt er in de eerste plaats in dat een onderneming goederen en diensten voortbrengt zoals gevraagd door de samenleving en deze op een verantwoorde wijze ontwikkelt, produceert en distribueert. Het vertrouwen daarin geldt niet de ex-post beoordeling, immers dan zijn er de feiten, maar juist in de ex-ante beoordeling, als er nog geen feiten zijn, maar wel beslissingen genomen moeten worden.

Performance is steeds de resultante van beslissingen en initiatieven in het verleden; wordt op enig moment geconstateerd dat de performance niet is wat deze had kunnen of moeten zijn, dan kan aan de oorzaken niets meer worden gedaan. Dit impliceert dat performancemanagement in de eerste plaats proactief dient te zijn en op basis van backward planning gericht moet zijn op het tijdig organiseren van mensen, kennis, informatie, materieel, materiaal, een juiste organisatie (materieel en sociaal) zoals dat moet leiden tot de beoogde performance. In het systeem van performancemanagement worden financiële en niet-financiële parameters en numerieke waarden daarvoor gebruikt met betrekking tot de input, throughput (processen), output en outcome als ook de omgeving (Simons 2000, p. 60). De keuze van die parameters is kritisch en moet per specifieke situatie bepaald worden.

De idee van performance heeft niet alleen betrekking op de financiële prestaties van de onderneming, winst, aandeelhouderswaarde, maar evenzeer heeft de performance van de onderneming betrekking op de effecten van het beleid op de medewerkers, op toeleveranciers, op effecten voor de institutionele, de sociale en de fysieke omgeving (duurzaamheid), op het zijn van de onderneming als een goed vennootschappelijk burger, en op de bijdrage van de onderneming aan het maatschappelijk welzijn, economische groei en groei van de arbeidsproductiviteit en daarmee op langetermijnwaardecreatie.

Het nagestreefde vertrouwen in goed en verantwoord bestuur zal dus gebaseerd moeten zijn op een ex-ante beoordeling van de kwaliteit van de bestuurders, de kwaliteit van het beleid (de strategie), de kwaliteit van de organisatie, de kwaliteit van de uitvoering van de strategie, de kwaliteit van de bedrijfsvoering, et cetera. Immers, al deze factoren resulteren in de toekomstige performance van de onderneming in zowel de smalle, financiële betekenis als in brede zin.

Het beoordelen van de kwaliteit van bestuurders is een taak van de raad van commissarissen, een taak die begint met de selectie van de juiste personen naar kennis, inzicht en ervaring voor de specifieke situatie van de onderneming. Hierbij speelt het risico voor de raad van commissarissen van het perfect agent syndroom (Jensen and Meckling 1998), maar dat risico is voor rekening van de raad van commissarissen. Het beoordelen van de kwaliteit van de strategie respectievelijk het beleid is eveneens een aangelegenheid van de raad van commissarissen zoals vastgelegd in BW2: 140/250 tweede lid (Strikwerda 2009). Echter, in de ontwikkeling van de strategie spelen, mede afhankelijk van de aard van de beoogde nieuwe strategie ten opzichte van de bestaande, organisatorische aspecten, die te maken hebben met de hiervoor genoemde intellectuele openheid voor nieuwe ontwikkelingen en de interpretatie daarvan. In de uitwerking van een strategie is er sprake van een endogene relatie tussen de beoogde strategische doelen en de bestaande organisatie. Het bestuur heeft de plicht er voor te zorgen dat in de zogeheten systemic context van de organisatie, dat zijn al die materiële factoren die het denken en initiatiefnemen van medewerkers beïnvloeden, zodanige omstandigheden worden gecreëerd dat medewerkers ook met transformationele initiatieven komen, ontwikkelingen in de omgeving niet wegredeneren, het belang van de onderneming als geheel als uitgangspunt nemen, niet slechts dat van de eigen afdeling, et cetera (Bower and Gilbert 2005; Simons 2005; Sull 2005). De praktijk leert dat bestuurders hierin of nalatig zijn of anderszins tekortschieten. Omdat een juiste vertaling van een nieuwe strategie naar een nieuwe systemic context bepalend is voor de kwaliteit van de uit te werken strategie, moet dit onderwerp zijn van toezicht door de raad van commissarissen. Het beginsel van self-control (dit is dat een gezond mens in staat is zijn of haar gedrag zelfstandig zo te reguleren dat gestelde doelen zelfstandig worden gerealiseerd en dat die mens dit ook eerst zelf wil beoordelen voordat een superieur dat beoordeelt, zodat omgekeerd geldt dat een systeem voor control zo opgezet moet zijn dat betrokkenen de gelegenheid hebben voor self-control) impliceert dan, mede gelet op de intrinsieke complexiteit van de noodzakelijke bestuursmaatregelen, juist ook voor allerlei afdelingen, dat het bestuur er behoefte aan zal hebben dat eerst intern, door internal audit wordt beoordeeld of maatregelen goed worden ontworpen, besloten en geïmplementeerd, alvorens de raad van commissarissen zich daarover buigt. Dit vormt dan een eerste aspect van de ex-ante performance audit. Het betekent wel dat internal audit zich de hiervoor benodigde vakkennis moet eigen maken in het bijzonder over het vakgebied strategy execution (Strikwerda 2017). Deze kennis is voorhanden (bijvoorbeeld in Kaplan and Norton 2008; Simons 2000). Maar deze kennis maakt onderdeel uit van het vakgebied management control en daarmee van de opleiding tot registercontroller, niet van de opleiding tot registeraccountant noch die van internal audit. Hierdoor krijgt deze kennis niet de aandacht die nodig is in het systeem van corporate governance.

In die benodigde vakkennis schuilt wel een probleem. Artikel 9 BW2 impliceert dat zowel de bestuurder als de commissaris over de vereiste kennis, inzichten en begrip moet beschikken zoals nodig voor een behoorlijk toezicht op beleid en dus ook de uitvoering daarvan. Waar het gaat over de inhoud van de strategie kunnen inzichten worden ontleend aan het vakgebied strategisch management als onderdeel van het vakgebied bedrijfskunde. De technieken en inzichten zoals nodig voor een goede strategy execution maken geen onderdeel uit van het vakgebied strategisch management, maar van het vakgebied management control. De functie van strategy execution is onderdeel van de subfunctie van business control als onderdeel van de functie van management control en is daarmee deel van de financiële functie in de onderneming. Meer specifiek heeft de subfunctie van business control tot taak het beleid, de strategie, te vertalen in task control, dat wil zeggen, in subdoelen en subtaken, allocatie van middelen, attributie van beslissingsrechten, de organisatie van informatie en andere faciliterende functies, alsmede de monitoring taak op initiatieven, voortgang en prestaties, als voorwaarde voor een effectieve en efficiënte performance (Anthony and Govindarajan 2007). Dit betekent dat voor de subfunctie van business control meer en andere kennis nodig is dan bedrijfseconomische kennis, er is vakkennis nodig. Illustratief is dat in de industrie voor deze functie de meest geschikte personen die met een ingenieursopleiding zijn (Goretzki and Strauss 2018). De deelfunctie business control moet overigens niet worden verward met de positie van business controller zoals die vaak wordt aangetroffen op het niveau van de business unit. De praktijk leert, zeker bij de wat minder grote ondernemingen, dat de drie deelfuncties van management control, financial control, business control en process control, niet separaat georganiseerd zijn en dat als gevolg van de nadruk op corporate governance, risicomanagement en compliance, de nadruk wordt gelegd op financial control en process control (AO/IC) met verwaarlozing van de functie van business control. Waarbij aangetekend moet worden dat ook in de opleidingen voor registercontroller de aandacht voor business control tekortschiet. De externe accountant beoordeelt de kwaliteit van business control hooguit marginaal, omdat deze, in tegenstelling tot de twee andere deelfuncties, niet essentieel is voor een betrouwbare jaarrekening, los ervan dat de externe accountant niet gekwalificeerd is business control te beoordelen.

Omdat de registercontroller niet aan tafel zit bij het schrijven van codes voor corporate governance zien we dat daarin wel wordt gerept over de AO/IC, maar de veel kritischer functie van business control en in het bijzonder de kritieke functie van het middelenallocatieproces, wordt niet genoemd.

Er is dan het gevaar, bijvoorbeeld te zien in het Amarantis expert-rapport (Commissie Onderzoek Financiële Problematiek Amarantis 2012) dat dan accountants, ingeschakeld om een expert-rapport te schrijven, eigen normen hanteren voor beleidsuitvoering (in technische termen het vertalen van strategie in task control), dat is onjuist. Immers een auditor mag nooit zelf de normen opstellen waartegen een situatie of proces geaudit wordt, die normen moeten worden ontleend aan wat gangbaar is in het maatschappelijk verkeer en aan de wet. In de eerste plaats geldt dat die normen als gevolg van ontwikkelingen in de aard van de onderneming, van waardecreërende processen in ontwikkeling zijn, denk aan de historische van Joseph Bower en de moderne van Kaplan and Norton, daarover heen komt een nieuwe stroming gebaseerd op big data en op goedkope sensoren.

In de tweede plaats kunnen in de normen twee niveaus worden onderscheiden. Wat algemeen gangbaar is als norm heeft betrekking op het civiel recht, dan is van goed bestuurlijk handelen in een concrete situatie sprake als een ander redelijk opererende bestuurder hetzelfde zou hebben gedaan. De vraag is wel of dat criterium houdbaar is als op grote schaal fouten worden gemaakt zoals het geval is met het resource allocation process maar ook bijvoorbeeld dat systemen van managementinformatie worden gebaseerd op systemen voor verantwoordingsinformatie (Johnson and Kaplan 1987). Het tweede niveau is dat van de best practice als norm waaraan goed bestuur en bedrijfsvoering wordt getoetst. In de economie is een best practice een voor een functie, fabricageproces, supply chain, een meest efficiënte oplossing die een nieuwe norm stelt in de markt, ook al wordt deze best practice door slechts één onderneming toegepast (denk bijvoorbeeld aan de na-oorlogse best practice van de divisie-organisatie, Peter Drucker’s boek daarover The Concept of the Corporation was gebaseerd op één case, General Motors (Drucker 1946)).

De NCGC hanteert niet dit begrip van best practice maar het civielrechterlijke begrip. Ter vergelijking, in de jaren vijftig kende Nederland als onderdeel van het naoorlogse industrialisatiebeleid een productiviteitsbeleid als basis voor de verhoging van de welvaart. In het kader daarvan waren er tripartiet samengestelde commissies die de wereld rondreisden op zoek naar best practices om die in Nederland in praktijk te brengen, naast overigens andere maatregelen. Die praktijk is zeer succesvol gebleken, eind jaren tachtig stond Nederland nummer één in de wereld wat betreft output per gewerkt uur.

Daarmee komen we op verdere aspecten van een ex-ante audit van performancemanagement, waar gebruikelijk is dat er ex-post wordt geaudit. Met de omslag van de waardebepaling van de onderneming op basis van accounting profit, balanswaarde en historische prestaties, naar een waardebepaling gebaseerd op geprojecteerde toekomstige kasstromen, verschuift de vraag naar assurance ook naar een ex-ante beoordeling van plannen, kwaliteit van mens en organisatie, van de opzet van de uitvoering, ook al weten alle betrokkenen dat nooit met zekerheid uitspraken over de toekomst gedaan kunnen worden. Deze verschuiving weerspiegelt een verschuiving in de samenleving naar proactief gedrag, voorbereid zijn, althans bij bepaalde groepen in de samenleving. De put dempen als het kalf verdronken is wordt steeds minder geaccepteerd. Het veranderende karakter van de onderneming, waarin steeds vaker immateriële activa dominant zijn, impliceert de noodzaak voor andere organisatievormen. Immers de toenemende rol van niet-codificeerbare, persoonsgebonden kennis impliceert dat deze kennis via interacties wordt ingebracht in het ontwikkelings- en productieproces, niet via transacties (Jensen 1998),¹ Deze interacties ter wille van combinatorische innovaties zoals nodig voor de moderne performance worden gefaciliteerd in de vorm van projecten, end-to-end processen en strategische thema’s dwars over afdelingen, business units, en dergelijke heen, en zijn daarmee in termen van de economische theorie van knowledge governance governancemechanismen die toegevoegd moeten worden aan het bestaande systeem van internal governance (Foss and Michailova 2009). Daarbij moet een aantal materiële maatregelen worden doorgevoerd in de systemen voor managementinformatie, rapportage, HR-systemen en -beleid, en in ICT-systemen, wil deze interactieve samenwerking tussen kenniswerkers over afdelingen heen vruchtbaar zijn, maar ook, dat in termen van bestede uren, tussenopbrengsten, de raad van commissarissen adequaat toezicht kan houden op de uitvoering van de strategie. Los ervan dat het goed organiseren van die interactieve samenwerking cruciaal is voor de performance van de onderneming, niet alleen financieel, maar ook in termen van het ontwikkelen van nieuwe kennis en retentie en ontwikkeling van kenniswerkers. Hierbij speelt dan ook nog dat de aard van de kenniseconomie met zich meebrengt dat nieuwe kennis daar ontstaat waar een kenniswerker haar of zijn kennis, gebruikt om nieuwe vragen van afnemers op te lossen. Ofwel, in steeds meer situaties moet de lange termijn en de korte termijn gemanaged worden op het niveau van de individuele kenniswerker. Voor de internal auditor betekent dit dat geaudit moet worden of nodige systeemveranderingen worden gerealiseerd voordat van medewerkers anders denken en handelen wordt gevraagd. Immers het Interactionist Perspective Model uit de leer der sociaal-psychologie van organisaties leert dat voor de meeste mensen geldt dat hun gedrag dominant door de context wordt bepaald, niet door persoonlijke eigenschappen (Greenberg and Baron 2003, p. 82).

Dat dit zo is en zo werkt wordt door bestuurders en betrokkenen ook wel gevoeld, uitgedrukt in instrumentele waarden als ‘samenwerking’, ‘teamwork’, over de afdelingsgrenzen heen kijken, en dergelijke. Ook valt die erkenning daarin te zien dat vernieuwingen en veranderingen met eigen mensen doorgevoerd wil worden en niet met externen. Maar onvoldoende wordt onderkend dat het bestuur een aantal materiële maatregelen dient te nemen, dus geen cultuurprogramma’s, wil dit allemaal goed werken en vooral ook zijn die materiële maatregelen nodig opdat er geen roofbouw op mensen wordt gepleegd (Bower 2003; Kanter 2009; Kaplan and Norton 2008). Bijvoorbeeld, er moeten urenbudgetten worden opgesteld en bewaakt, maar ook moet er managementinformatie zijn om zelf-organisatie, resource mobilization en fast feedback-informatie te faciliteren. Goed bestuur, een efficiënte uitvoering van een strategie, vereist dat een situatie dient te worden voorkomen zoals door Kaplan and Norton (2001, p. 293) omschreven:

“Many organizations fail in strategy implementation because the necessary people, capital, and financial resources are not provided for in the budget, which, in these organization is done completely separately from the [operational] planning process. As a consequence, initiatives get implemented on the cheap, trying to steal time from already busy people and with funding scraped together from small improvements in the operating budget.” (Kaplan and Norton 2001, p. 293).

De praktijk leert dat wanneer aan bijvoorbeeld CFOs, controllers, wordt uitgelegd met welke maatregelen, met welk aangepast resource allocation process dit kan worden voorkómen, dat dan nogal eens, niet altijd, de reactie is: ‘te ingewikkeld, te complex, daar begin ik niet aan, laat mensen dat maar informeel onder elkaar regelen’. Maar er zijn ook voorbeelden van bestuurders die geconfronteerd met hoe het voor de patiënt en medewerker eenvoudiger te maken zich realiseren dat ze zelf meer complexiteit moeten absorberen en daarom benodigde maatregelen niet of halfslachtig nemen. Voor de internal auditor betekent dat deze over corresponderende complexe kennis moet beschikken om situaties op een juiste wijze te kunnen beoordelen.

Performancemanagement is niet het simpel stellen van financiële doelen. Performancemanagement is het proactief, holistisch realiseren van het systeem van inputs, processen, ondersteunende functies, het faciliteren en investeren in mensen, het realiseren van een goede organisatie, et cetera; dit alles doen functioneren in een dynamische context, opdat er sprake zal zijn van beoogde prestaties, waarbij de feitelijke prestaties wel gemeten en getoetst moeten worden, maar dat laatste is niet de taak van de internal auditor. Een belangrijke taak van de bestuurder is tijdig de juiste maatregelen nemen, te investeren in human capital, in information capital, het doorvoeren van noodzakelijke nieuwe organisatievormen (organization capital), maar ook zaken als stijl van leidinggeven, stijl van besluitvorming, het delen van kennis, et cetera, opdat er sprake zal zijn van een goede performance, in de brede zin van het woord. De internal auditor heeft een toegevoegde waarde in de fase van planvorming en van uitvoering, niet aan het eind van de rit, daar staat de externe accountant.

In het militaire bedrijf is er de uitdrukking ‘de mist van oorlogsvoering’ (Von Clausewitz 1833). Daarmee wordt bedoeld dat in weerwil van alle planning, voorbereiding, training, verkenningen en dergelijke, het feitelijk verloop van een militaire actie steeds plaatsvindt in een geheel van niet-voorziene omstandigheden, gebeurtenissen, onduidelijkheden, misverstanden en dergelijke Dat kan ook gezegd worden van de huidige economische ontwikkelingen en veranderingen. Er gebeurt veel, we maken er deel van uit, maar de interpretaties verschillen, er lopen oude en nieuwe opvattingen door elkaar, opvattingen over feitelijkheid en waarheid lopen door elkaar en nieuwe inzichten strijden met het feit van kennisverlies. Dit speelt op het niveau van de samenleving, het speelt op het niveau van de individuele onderneming, het speelt ook in discussies over professionele kennis. Het is in deze mist van fundamentele veranderingen in de economie, verouderde institutionele verhoudingen, onvoldoende investeren in kennis, het ontbreken van de houding van simplicity beyond complexity en de noodzaak van verhoging van de arbeids- of kennisproductiviteit en vermindering van stress en burnout (Strikwerda 2018b), dat de internal auditor een constructieve rol kan spelen. De maatschappelijke functie van de onderneming, impliceert dat een bijdrage wordt geleverd aan de groei van de arbeidsproductiviteit en dat dus met best practices wordt gewerkt.

De rol van internal audit met betrekking tot de performance van de onderneming moet ook gezien worden in het licht van wat er maatschappelijk speelt. Een probleem in onze economie is de stagnerende ontwikkeling van de productiviteit.² Hierin spelen meerdere factoren, een er van is het gebrek aan kennisoverdracht van de wel zeer productieve frontier firms naar de rest, ofwel er is in het bedrijfsleven een probleem om over te stappen op de meer complexe, maar efficiëntere organisatievormen (Andrews et al. 2015). Deels heeft dit met gebrek aan kennis te maken, deels maken bestuurders de fout vast te houden aan de oude eenvoud. Waar in de USA het inzicht grond heeft gevonden dat de financiële functie meer complexiteit moet absorberen om het voor klanten en medewerkers eenvoudig te houden, houden bij ons CFOs liever vast aan GRC-afdelingen³ (Hidalgo 2015; Strikwerda 2015).

Dat plaatst dus vanuit het perspectief van een economisch beleid de internal auditor in een spanningsveld. De governance codes sturen de internal auditor in de richting van risicomanagement en compliance. De NCGC stelt in paragraaf 1.3.5 sub i dat de internal auditfunctie in ieder geval aandacht besteedt aan “gebreken in de effectiviteit van de interne risicobeheersings- en controlesystemen”. Het kan zijn dat er accountants en auditors zijn die dit breed opvatten, maar de vraag is of de gebruikte termen betrokkenen op het spoor zetten van de juiste vakkennis. Het ware beter geweest dat de NCGC had vermeld dat internal audit de opzet, toepassing en werking van het systeem van management control dient te beoordelen; in het bijzonder via de subfunctie van business control wordt dan automatisch de deur geopend naar vakkennis als bijvoorbeeld over strategy execution, de invalshoek van management accounting opent die deur niet. Verder, de samenleving vraagt impliciet aan die internal auditor dat deze behulpzaam is in het helpen doorvoeren van nieuwe organisatievormen met het oog op een duurzame performance van ondernemingen. De NCGC legt terecht de nadruk op langetermijnwaardecreatie, dat te realiseren in een veranderende economie vraagt om nieuwe organisatievormen toe te passen, die inderdaad een graad complexer zijn, maar dat vraagt om andere, dieper ingrijpende maatregelen dan wat in de NCGC wordt gesuggereerd, cultuur en waarden (Strikwerda 2018a, p. 68–69).

Waar in de naoorlogse periode bestuurders gedwongen werden te vernieuwen door het industrialisatiebeleid, de geleide loonpolitiek (waarin de stijging van contractlonen gekoppeld was aan stijging van de arbeidsproductiviteit), gefaciliteerd door de COP-experimenten van de SER⁴, gefinancierd door de gelden uit de Marshall-hulp, moet nu die hulp op het niveau van de onderneming georganiseerd worden, in het systeem van corporate governance. De raad van commissarissen heeft via zijn taak de bestuurder te adviseren, daarin een opgave. In die opgave heeft de raad van commissarissen een trait-d’union naar de organisatie nodig in de vorm van internal audit. Niet vanwege wantrouwen jegens de raad van bestuur, maar om de raad van bestuur te helpen zijn menselijk tekort te overstijgen, en daarmee tekortkomingen in aandacht en in rapportage; in de mist van de huidige veranderingen is het geen enkel individu gegeven een volledig begrip te hebben van al die veranderingen, van wat nodig is om doelen te realiseren en van wat er mis kan gaan (Weick and Sutcliffe 2015).