Sox levert concrete winst op

Dankzij SOX is de kwaliteit van de financiële rapportage toegenomen en zijn organisaties zich bewuster dan ooit van het belang van een eff ectief raamwerk voor interne beheersing. Dit geldt niet alleen voor bedrijven die aan de Ame rikaanse beurs genoteerd staan, maar bijvoorbeeld ook voor bedrijven die van die beurs zijn vertrokken: daar waart de geest van SOX nog rond en wordt door het management kritischer naar het gebouwde raamwerk van interne beheersing gekeken dan vroeger.

Overal in het bedrijfsleven vindt een omslag plaats naar het opzetten van een effi ciënt en eff ectief continu pro ces rondom bredere business controls en processen. Een recente studie van het Amerikaanse onderzoeksbureau Glass, Lewis & Co onderbouwt die stelling. In 2006 waren er 14 procent minder herzieningen van fi nan ciële cijfers van beursgenoteerde ondernemingen in de Verenigde Staten.

Dat cijfer geldt voor ondernemingen die aan sectie 404 van de SOX-wetgeving moesten vol doen. In sectie 404 staat dat ondernemingen in hun jaarverslag duidelijk moeten maken hoe ze de interne beheersing op de fi nanciële verslaglegging hebben gere geld. Daarnaast moeten ondernemingen dat raamwerk van interne beheersing op eff ectiviteit laten controleren door een onafhankelijke derde partij.

Werkt de controle inderdaad? De daling als gevolg van invoering van sectie 404 is precies wat de senatoren Paul Sarbanes en Michael Oxley en beurswaakhond SEC voor ogen had den.

MEER BETROKKEN
SOX blijkt dus – ondanks het gemopper erop in raden van bestuur – te werken. Daarnaast heeft de fi nanciële functie, met de CFO voorop, als gevolg van de com pliance aan Sarbanes-Oxley aan kracht gewonnen. De CFO is het immers die het raamwerk van interne beheersing moet opzetten en ervoor moet zorgen dat in het proces van verslaglegging kritieke controlemo menten zijn ingebouwd.

Aansluitend zien we dat ook de raad van commissarissen meer betrokken is geraakt. Deze heeft een toezichthoudende rol en beoordeelt in die hoedanigheid de rol van het uitvoerende manage ment. Het kernpunt is dat de RvC en met de name het auditcomité door meer aandacht voor governance en de bijbehorende regelgeving een minder vrijblijvend karakter hebben.

Het auditcomité heeft een cruciale rol in het controleren van het topmanagement waar het gaat om fi nancial reporting, governance en fraudepreventie. Toegegeven, dat ging tegen veel – héél veel – kosten. De kosten van invoering van sectie 404 bedroegen voor ondernemingen met omzetten boven de 10 miljard dollar in het eerste jaar van toepassing van de sectie 0,06 procent van de omzet.

Bedrijven met omzetten onder de 100 miljoen dollar legden al snel 2,65 procent van hun omzet op tafel. Uit het onderzoek blijkt verder dat 85 procent van de CFO’s in maart 2006 vond dat in het geval van sectie 404 de kosten uitstegen boven de baten. Veel ondernemingen vertellen dat hun personeel moe is van de vereisten van dit deel van Sarbanes-Oxley.

Daar naast moeten sommige bedrijven een inhaalslag maken met hun automatisering en de integratie van bedrijfs onderdelen na een overname. Die aspecten leggen nog eens een extra druk op de ondernemingen. Het gevaar dreigt dat de organisatie het vervolgens als een check the box-principe gaat zien. Als we maar aan de vereisten voldoen, is het goed. We doen niet meer, maar ook niet minder.

Dat is een wat sceptische houding, waardoor het implementeren van sectie 404 in de bedrijfsvoering slechts een tijdelijk project dreigt te worden in plaats van een ingebakken onderdeel van het dagelijkse han delen.

Wie zijn processen goed op orde heeft, deze juist heeft beschreven en goede risicoassessments en controlepunten heeft ingebouwd, kan er zijn voordeel mee doen. Niet alleen voldoet de organisatie dan aan de ei sen voor het raamwerk van interne beheersing, maar ze boekt ook winst in de kwaliteit van de interne processen waarmee concreet tijd en kosten worden bespaard.

BEWUSTWORDING
Elimineren van risico’s, versimpelen van processen, deze stroomlijnen, focussen op wat echt belangrijk is en daar waar het kan automatiseren. Daar draait het om bij het verbeteren van processen. Daarbij is de kwaliteit van de fi nanciële rapportage toegenomen en organisaties zijn zich bewuster dan ooit van het raamwerk voor interne beheersing binnen een onderneming.

En dat is ook precies waar het om gaat. Management dat zijn bedrijf daar bewust van maakt, krijgt medewerkers die niet sceptisch tegenover deze wet- en regelgeving staan, maar deze juist zien als een kans om te verbeteren. Daar moet dan ook de nadruk op liggen bij de top-down communicatie.

De planning voor de transitie naar een raamwerk dat echt in control is, kan niet vroeg genoeg beginnen. In een ideale situatie gaat deze vergezeld van de jaarlijkse budgetcyclus, zodat verwachtingen en acties meteen in de plannen en budgetten voor het komende jaar ingebakken zijn. Dat is vele malen beter dan een opzet waarbij een compliancemechanisme rondom het bestaande (oude) raamwerk is gebouwd en de twee disciplines dus in meer of mindere mate los van elkaar staan.

Nee, dé weg is een verbetering van het bestaande raamwerk om vervolgens compliance een integraal onderdeel daarvan te maken. Daarna wordt het een kwestie van beoordelen: voldoet het raamwerk echt aan de verwachtingen van onze organisatie en de toezichthouders buiten onze onderneming?

Sarbanes-Oxley krijgt meer inhoud door een breder blikveld gericht op meer dan sec het financiële rapportageproces. Door bijvoorbeeld niet alleen de risico’s in de financiële rapportage mee te nemen, maar ook de risico’s van de business, is de acceptatie van het model vele malen groter.

De business heeft er immers belang bij dat die risico-inschatting serieus wordt opgepakt. Men zal dan ook minder moeite hebben met de ingebouwde controlepunten, omdat men de daaruit verkregen data weer teruggekoppeld ziet in concrete informatie. Daar is in de dagelijkse manier van zakendoen weer wat mee te doen. Zo is SOX geen op zichzelf staand proces meer dat eenmalig moet worden uitgevoerd.

De organisatie heeft SOX voor de langere termijn in zijn bedrijfsvoering geïntegreerd en dat is pure winst. Invoeren van bredere business controls en procesmanagement krijgt meerwaarde voor de business.

UP-TO-DATE
Staat het interne proces, dan is het een kwestie van up-to-date houden. Wijs voor specifieke deelgebieden proceseigenaren aan. Wie onderhoudt alle documentatie? Wie schat de gevolgen van organisatie- en systeemveranderingen in en toetst deze aan het raamwerk voor business controls? Wie voert de veranderingen door in het raamwerk naar aanleiding van deze toetsen? Wie pakt de evaluatie van het raamwerk op? Dat zijn concrete vragen die op dat moment komen bovendrijven.

Het management speelt een hoofdrol in het verdelen van de verantwoordelijkheden en taken. Wie doet wat wanneer en hoe? De keuze voor de manier waarop het proces wordt opgebouwd en onderhouden is daarin leidend. Het feit dat het management achter de invoering en het onderhoud van het interne raamwerk staat, geeft het belang voor de organisatie aan. Medewerkers accepteren het raamwerk daardoor eerder.

Kortom, om winst te halen uit de gedane Sarbanes-Oxley-investeringen moet het management de organisatie uit haar schulp trekken en laten zien dat er meer is dan alleen aan wet- en regelgeving voldoen. Een continu proces van business controls en procesmanagement kan daadwerkelijk de business helpen, de financiële rapportage verbeteren en ook kosten en tijd besparen. Al met al is dat pure winst.

DRS. CAROLINA WIELINGA RA is director Protiviti; DRS. JAAP GERKES RA, BBA is senior manager Protiviti