IT auditing bij splitsing in de energiesector

Transcriptie

1 IT auditing bij splitsing in de energiesector Naam: Robbert van der Pol MSc Business Administration, Erasmus Universiteit Rotterdam Bedrijfscoach: Danny Suykerbuyk MSc Informatics & Economics, Erasmus Universiteit Rotterdam EMITA, CISSP en Manager Deloitte Risk Services Datum: april 2012

2 Inhoud 1. Inleiding Aanleiding Doelstelling Scope Aannames Onderzoeksvragen Indeling referaat 6 2. Literatuuronderzoek Energiemarkt in Nederland Impact wet- en regelgeving: elektriciteitswet, gaswet en wet onafhankelijke netbeheer Impact wet- en regelgeving: invoering van Chinese Walls Bedrijfsprocessen binnen de energiesector met betrekking tot facturatie Aansluitingsregister Meetregister Meetdatacollectie Contractregister Factureren vanuit wettelijk perspectief Rol van facturatie binnen het bedrijf Specifieke opbrengsten verantwoording bij netwerk- en leveringsbedrijven Methodes voor het analyseren en beheersen van risico s Corporate governance IT governance COSO model Inrichten en aanpassen van proces, applicatieve en general IT controls Business Process Analysis (BPA) model Betrouwbaarheid van de financiële informatieverzorging Beheersbaarheid van programma s en projecten MSP Methode PRINCE II Methode Samenvatting literatuurstudie Case studies: bevindingen en analyses Inleiding 27 2

3 3.2 Aanpak case study onderzoek Case studies: bevindingen en analyses voor het leveringsbedrijf Identificatie risico gebieden voor het facturingsproces Methodes voor het analyseren van risico s op het facturingsproces Proces, applicatieve en general IT controls in het facturingsproces Beheersing risico s welke samenhangen met het facturingsproces in het kader van splitsing van netwerk- en leveringsbedrijf voor, gedurende en na het splitsingstraject Case studies: bevindingen en analyses van het netwerkbedrijf Identificatie risico gebieden voor het facturingsproces Methodes voor het analyseren van risico s op het facturingsproces Proces, applicatieve en general IT Controls in het facturingsproces Beheersing risico s welke samenhangen met het facturingsproces in het kader van splitsing van netwerk- en leveringsbedrijf voor, gedurende en na het splitsingstraject Synthese bevindingen en analyses tussen het leveringsbedrijf en het netwerkbedrijf Case studies: conclusies Case studies: conclusies van het leveringsbedrijf Case studies: conclusies van het netwerkbedrijf Synthese Centrale vraagstelling en beantwoording Reflectie en epiloog Reflectie Epiloog Bijlage Literatuuroverzicht: boeken, journals, websites Opgestelde vragenlijst ten behoeve van het uitvoeren van interviews voor de case studies 54 3

4 1. Inleiding 1.1 Aanleiding De energie sector is een sector welke in grote mate afhankelijk is van IT. De inkoop, distributie, registratie en de uiteindelijke facturatie van energie is een zeer complex proces waarbij vele verschillende informatiesystemen van verschillende partijen van elkaar afhankelijk zijn. Voor de facturatie van een energierekening worden zowel de kosten van het meten van het verbruik van energie, het transport van energie en het verbruik van energie in rekening gebracht bij de klant. De registratie van deze componenten vindt plaats in verschillende informatiesystemen van verschillende partijen. Sinds 2006 is de Wet Onafhankelijk Netbeheer (WON), ook wel de splitsingswet genoemd, aangenomen. Deze wet houdt in dat energiebedrijven op grond van deze wet uiterlijk op 1 januari 2011 hun netwerkbedrijven hadden moeten gesplitst van de productie- en leveringstak. Deze wet is in het leven geroepen om meer concurrentie op de energiemarkt te creëren, de machtspositie van energiebedrijven te doorbreken en het veilig stellen van kritieke infrastructuur. Tegen deze WON bestond grote weerstand van de energiebedrijven. Essent, DELTA en Eneco hebben een rechtszaak tegen de Nederlandse staat aangespannen. In eerste instantie gaf de rechter de Staat gelijk, maar in hoger beroep heeft het Gerechtshof te s-gravenhage op 22 juni 2010 anders besloten. Het Hof bepaalde dat de splitsingswet die de bedrijven verplicht tot volledige afsplitsing van hun netwerkbedrijf in strijd is met het Europees recht. Dit alles heeft niet te min tot gevolg gehad dat bijna alle energiebedrijven in Nederland ondertussen, niet afwachtend op het uiteindelijke besluit, hun bedrijven hebben opgesplitst in een energieproductie-, leverings- en netwerkbedrijf. Bij het splitsen van de verschillende bedrijfsonderdelen van het energiebedrijf zijn ook de bedrijfsprocessen en de onderliggende informatie systemen gesplitst. Informatie systemen en proces ketens welke eerder gedeeld werden door verschillende bedrijven binnen het energiebedrijf zijn nu vaak volledig gesplitst. Deze opgesplitste bedrijven zijn echter nog steeds afhankelijk van elkaar met betrekking tot de uitvoering van de bedrijfsprocessen. 1.2 Doelstelling In dit referaat is beschreven op welke wijze een energiebedrijf ervoor gezorgd heeft om de risico s welke samenhangen met het splitsingstraject te beheersen. Er is in het bijzonder bestudeerd hoe de risico s welke samenhangen met het factureren van klanten en leveranciers in het kader van de splitsing in kaart zijn gebracht en getracht zijn te beheersen. De keuze voor het facturingsproces is gekozen op basis van de relevantie ten aanzien van de jaarrekening controle. Bij de jaarrekeningcontrole dienen de processen die gerelateerd zijn aan de facturatie expliciet te worden getoetst door een externe accountant. In het geval van een splitsingstraject is het van belang voor de accountant om vast te stellen er geen additionele risico s zijn ontstaan ten gevolge van deze splitsing voor de betrouwbaarheid van de jaarrekening. Door de splitsing zijn immers meerdere bedrijven afhankelijke geworden van elkaars informatie systemen en de betrouwbaarheid van deze informatie in de informatie systemen. De bedrijven zullen dus moeten waarborgen dat uiteindelijk de factuur, welke naar de klant gaat, een juiste/volledig factuur is. Tevens moet worden gewaarborgd dat alle klanten tijdig gefactureerd worden. Dit referaat brengt in kaart welke beheersmaatregelen de verschillende bedrijven hebben genomen om de betrouwbaarheid van hun eigen en de aansluiting met elkaars processen met betrekking tot de facturatie te waarborgen. 4

5 1.3 Scope In dit referaat zijn de risico s op programma- en project niveau behandeld. Ook zijn risico s in kaart gebracht op proces-, applicatie- en infrastructureel niveau en de totstandkoming hiervan. Deze risico s zijn in de mate van relevantie van het facturingsproces bepaald. Voor het onderzoek is gekozen om een energiebedrijf welke opereert in de Nederlandse markt te bestuderen. De liberalisering van de Nederlandse energiemarkt is in gang gezet door de introductie van Europese regelgeving en richtlijnen. Verschillende landen in Europa hebben deze regelgeving en richtlijnen zelf vertaald naar eigen specifieke nationale wetgeving. Om te borgen dat het onderzoek voldoende diepgang heeft en voldoende relevantie biedt aan de Register IT Auditor gemeenschap is gekozen om een energiebedrijf in de Nederlandse context (bijv. wet- en regelgeving) als onderzoeksobject te nemen. Verder is in dit referaat gekozen om onder de term energie de elektriciteit en gas te beschouwen. De toelevering van water is in dit referaat buiten beschouwing gelaten aangezien de toelevering van water gefactureerd wordt door een apart bedrijf dan het energiebedrijf welke bestudeerd is in de case study. 1.4 Aannames In dit referaat is gekozen voor het facturingsproces als onderzoeksobject aangezien dit een groot materiaal belang vertegenwoordigd op de jaarrekening van het netwerk- en leveringsbedrijf. 1.5 Onderzoeksvragen Het doel van het referaat is om inzicht te bieden op welke manier netwerk- en leveringsbedrijven de sturing en de risicobeheersing hebben ingericht voor de splitsing van het facturatiesysteem en bijbehorende processen. Dit leidt tot de volgende centrale vraagstelling: Centrale vraagstelling: Centrale vraagstelling: Welke beheersmaatregelen dienen te worden ingericht bij ontvlechting van een facturatiesysteem in de situatie van een splitsing van het netwerk- en leveringsbedrijf en hoe worden deze beheersmaatregelen gemonitord? Onder beheersmaatregelen verstaan wij maatregelen op programma- en project niveau, maar ook op proces-, applicatie- en infrastructureel niveau. Business verantwoordelijken kunnen mogelijk in hun aanpak van de splitsing tot de conclusie komen dat bepaalde stappen in het facturatieproces efficiënter en effectiever kunnen worden ingericht in een nieuw informatie systeem. Wanneer bepaald wordt dat de processen dienen te worden heringericht, kan dit mogelijk leiden tot andere of additionele risico s. Om deze risico s te beheersen dienen additionele controles te worden ingericht op proces-, applicatieen infrastructureel-niveau te worden genomen. Dit leidt tot de volgende deelvraag: Deelvraag 1.1: Welke risicogebieden dienen te worden geïdentificeerd in het kader van ontvlechting van het facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? Om risicogebieden vervolgens te analyseren en evalueren zijn er methodes beschikbaar. Dit leidt tot de volgende deelvraag: 5

6 Deelvraag 1.2: Welke methodes worden er gebruikt bij het analyseren en evalueren van risico s van het facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? Op basis van de geëvalueerde risico s kan vervolgens worden bepaald welke specifieke functionele applicatieve en general IT controls dienen te worden ingericht ten behoeve van het waarborgen van een juiste, volledig en tijdige facturatie. Bij het uitvoeren van functionele controles dient men te denken aan procedures, werkwijzen of controles die worden uitgevoerd door de medewerkers ten behoeve van de facturatie. Onder applicatieve controles worden controles verstaan welke binnen de informatie systemen aanwezig zijn. De general IT controls zijn maatregelen die ingericht zijn in de IT beheersomgeving. Een voorbeeld van een methode is BPA (Business Process Analysis) welke bedrijven helpt om op efficiënte wijze de in het bedrijfsproces én in het informatie systeem getroffen beheersmaatregelen ten behoeve van de betrouwbaarheid, effectiviteit en/of efficiëntie vast te stellen, te beoordelen en te implementeren. Dit leidt tot de volgende deelvraag: Deelvraag 1.3: Welke proces, applicatie en general IT controls dienen te worden ingericht en aangepast bij de ontvlechting van facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? Tenslotte is de vraag hoe de risico s welke gedurende het splitsingsproject ontstaan worden gemonitord en daarmee worden geïdentificeerd, geanalyseerd en geëvalueerd. Gedurende een splitsingsproject kunnen additionele risico s van zowel binnen de organisatie als buiten de organisatie ontstaan. Dit leidt tot de laatste deelvraag: Deelvraag 1.4: Hoe worden risico s welke samenhangen met het facturingsproces voor, gedurende en na de splitsing van een netwerk- en leveringsbedrijf in de energiesector gemonitord? 1.6 Indeling referaat Om de centrale vraagstelling en de deelvragen te beantwoorden is de volgende indeling van het referaat opgesteld welke ook weergegeven is in figuur

7 1. Inleiding 2. Literatuuronderzoek 3. Case studies: bevindingen en analyses 4. Case studies: conclusies 5. Synthese: integrale conclusies 6. Centrale vraagstelling en beantwoording 7. Reflectie en epiloog Figuur 1.1 Indeling referaat In hoofdstuk 1 wordt de aanleiding voor het referaat beschreven. Hierin zijn tevens de doelstelling, de scope (afbakening), de aannames en de onderzoeksvragen weergegeven. Vervolgens is in hoofdstuk 2 een overzicht gegeven van de literatuur welke samenhangt met de onderzoeksvragen. In hoofdstuk 3 worden de resultaten van de case studies beschreven. Voor het onderzoek is een case study methode gebruikt om een dieper inzicht te krijgen in de problematiek welke samenhangt met de onderzoeksvragen. Voor de case study selectie zijn de volgende selectie criteria gehanteerd: Het dient een netwerk- en leveringsbedrijf te zijn waarbij een grootschalige systeemwijziging voor de facturatie wordt uitgevoerd met ongeveer een doorlooptijd van +/- 6 tot 12 maanden. Het dient een netwerk- en leveringsbedrijf te zijn waarbij een systeemwijziging ten grondslag aan het facturatieproces impact heeft op business units en gerelateerde bedrijfsprocessen. Het case study onderzoek is kwalitatief van aard. Op basis van deze kwalitatieve onderzoeksmethode is inzichtelijk gemaakt wat de onderlinge relaties zijn tussen de theorie en de praktijk. Tevens zijn in dit hoofdstuk de bevindingen en analyses beschreven welke voortkomen uit het case study onderzoek. Voor het case study onderzoek is zowel de impact van de splitsing voor het facturatieproces van het leveringsbedrijf als voor het netwerkbedrijf geanalyseerd. In hoofdstuk 4 worden de conclusies, welke zijn getrokken uit de case studies voor het leveringsbedrijf en het netwerkbedrijf, behandeld. In hoofdstuk 5 Synthese: integrale conclusies worden de overeenkomsten tussen de conclusies voor het leveringsbedrijf en het netwerkbedrijf behandeld. In hoofdstuk 6 wordt de beantwoording van de centrale vraagstelling van dit referaat gegeven. In hoofdstuk 7 wordt de reflectie gegeven over het uitgevoerde onderzoek voor dit referaat. Daarnaast wordt in dit hoofdstuk de epiloog beschreven waarin de onderzoeker een zelfreflectie geeft op de uitvoering van het onderzoek. 7

8 2. Literatuuronderzoek In deze sectie wordt de literatuur behandeld welke relevant is voor het beantwoorden van de centrale vraagstelling en de verschillende deelvragen. In paragraaf 2.1 wordt de noodzaak van het splitsen van het netwerk- en het leveringsbedrijf binnen de energiesector beschreven. Er zal een overzicht worden gegeven hoe de energiemarkt is ingeregeld. Er zal hierbij worden ingegaan op de ontwikkeling van het liberaliseren van de energiemarkt en de onderliggende factoren. Er zal tevens een overzicht worden gegeven welke spelers er actief zijn op de energiemarkt en wat ieders verantwoordelijkheid binnen deze energiemarkt is. Daarnaast zal de Elektriciteits- en Gaswet en de Wet Onafhankelijk Netbeheer (WON) worden behandeld en wordt bepaald welke impact deze regelgeving heeft gehad op het organiseren van de bedrijfsprocessen gerelateerd aan de facturatie van het netwerk- en leveringsbedrijf in de energiemarkt. Tevens zal er worden behandeld wat de impact van de WON is op het IT landschap van het netwerk- en leveringsbedrijf. Hierin wordt o.a. de invoering van de Chinese Walls behandeld. Vervolgens zal in paragraaf 2.2 de literatuur worden behandeld welke antwoord geeft op deelvraag 1.1. Deze deelvraag luidt als volgt: Deelvraag 1.1: Welke risicogebieden dienen te worden geïdentificeerd in het kader van ontvlechting van het facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? In deze paragraaf zijn de risicogebieden welke samenhangen met de facturatie van netwerk- en leveringsbedrijven aan groot- en kleinverbruikers uiteengezet. Allereerst wordt inzicht gegeven in de onderliggende bedrijfsprocessen welke noodzakelijk zijn voor het factureren van klanten in de energiesector. Hierbij worden de processen rondom het beheer van aansluitregister, meetregister, data collectie en validatie behandeld. Daarnaast worden de wettelijke regels beschreven welke gelden voor het factureren van klanten van netwerk- en leveringsbedrijven. Tenslotte zal de rol van facturatie binnen het bedrijf en de specifieke controles met betrekking tot opbrengsten verantwoording bij netwerk- en leveringsbedrijven worden behandeld. In paragraaf 2.3 wordt de literatuur behandeld welke van toepassing is op de beantwoording van deelvraag 1.2. Deze deelvraag luidt als volgt: Deelvraag 1.2: Welke methodes worden er gebruikt bij het analyseren en evalueren van risico s van het facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? Allereerst zal de rol van governance worden behandeld in het beheersbaar houden van bedrijfsprocessen in de energiesector. Hierbij wordt een onderscheid gemaakt tussen corporate governance en IT governance. Vervolgens wordt dieper ingegaan op interne beheersings aspecten. Middels het COSO-framework worden de verschillende aspecten van internal control belicht. In paragraaf 2.4 wordt de literatuur behandeld welke van toepassing is op de beantwoording van deelvraag 1.3. Deze deelvraag luidt als volgt: 8

9 Deelvraag 1.3: Welke proces, applicatie en general IT controls dienen te worden ingericht en aangepast bij het ontvlechten van facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? In deze paragraaf wordt de theorie over BPA (Business Process Analysis) uiteengezet. BPA helpt bedrijven om op efficiënte wijze de in het bedrijfsproces én in het informatie systeem getroffen beheersmaatregelen ten behoeve van de betrouwbaarheid, effectiviteit en/of efficiëntie vast te stellen, te beoordelen en te implementeren. In paragraaf 2.5 wordt de literatuur behandeld welke van toepassing is voor de beantwoording van deelvraag 1.4. Deze deelvraag luidt als volgt: Deelvraag 1.4: Hoe worden risico s welke samenhangen met het facturingsproces voor, gedurende en na de splitsing van een netwerk- en leveringsbedrijf in de energiesector gemonitord? In deze paragraaf worden de methodes behandeld welke beschikbaar zijn om de risico s welke samenhangen met de splitsing van het facturatieproces, zowel op programma- als op projectniveau, te beheersen. 2.1 Energiemarkt in Nederland In deze sectie wordt de noodzaak van het splitsen van het netwerk- en het leveringsbedrijf binnen de energiesector beschreven. Rond 1990 bestond de Nederlandse energiemarkt vooral uit een aantal grootschalige nutsbedrijven. Deze bedrijven hadden een monopolie op zowel het produceren, transporteren en het leveren van energie aan de klanten (Stuart 2004). De gehele waardeketen was in handen van deze nutsbedrijven. In 1998 is middels een Europese richtlijn 92/96/EC en het aannemen van de Elektriciteitswet 1998 een aanzet gegeven tot het liberaliseren van de energiemarkt. Het historische verticale geïntegreerde energiebedrijf zou onder deze richtlijn moeten worden opgedeeld in een commercieel leveringsgedeelte en het netwerkbedrijf. Deze splitsing geldt niet alleen voor de operationele processen maar ook voor de ondersteunende processen zoals o.a. IT, HR en financiën (Energy Valley 2005). Het resultaat is dat heden ten dagen het energiebedrijf in Nederland in vier aparte ketenonderdelen is opgedeeld: productie van energie, handel in energie, transport en metering van energie. De eerste stap in de energieketen is de productie van elektriciteit en exploratie en winning van gas. Dit kan gebeuren middels o.a. kolen- en gascentrales of windmolens. Vervolgens wordt de energie welke geproduceerd is verhandeld ( trading ) op de beurs. Voor Nederland gebeurt dit via APX- ENDEX waar vraag en aanbod van elektriciteit en gas samenkomen. Daarna wordt de elektriciteit en gas gedistribueerd via het transportnetwerk naar de klanten. Dit wordt uitgeoefend door de netbeheerder welke verantwoordelijk is voor het functioneren van het transportnetwerk binnen een bepaalde regio. Het leveringsbedrijf is verantwoordelijk voor het inkopen van de juiste hoeveelheid energie voor zijn klanten. Tevens is het leveringsbedrijf het eerste afspreekpunt nog vaak voor de klant. Het 9

10 leveringsbedrijf stelt de factuur op welke naar de klant wordt gestuurd voor de afgenomen energie in het geval het leveranciersmodel wordt gehanteerd voor de wijze van facturatie. Het meetbedrijf is verantwoordelijk in de keten voor het plaatsen en het onderhouden van energiemeters bij de klant. Tevens zorgt het meetbedrijf ervoor dat energiemeters worden uitgelezen en dat deze informatie terecht komt bij de netbeheerders. Kleinverbruikers dienen hun meter standen jaarlijks door te geven aan het meetbedrijf. Eéns in de 3 jaar wordt de meterstand door het meetbedrijf ter plekke bij de kleinverbruiker opgenomen (NMa, 2005). Voor grootverbruikers worden elke maand automatisch de meterstanden uitgelezen op afstand middel telemetrisch meters. Dit gebeurt elke 15 minuten middels telemetrie. Daarnaast zijn er ook zogenaamde programmaverantwoordelijken welke verantwoordelijk zijn voor het in balans houden van in- en verkoopvolumes van elektriciteit en gas aanwezig in de energiemarkt. Zij dienen ervoor te zorgen dat op elk moment van de dag het aanbod en vraag van elektriciteit en gas in balans is en dat er geen overbelasting wordt gecreëerd op het netwerk. De onderlinge transactiestromen (informatie, geld en goederen) tussen de verschillende partijen in de energiesector zijn weergegeven door Prof. Dr. J. Strikwerda (Energy Valley, 2005) in het onderstaande schema. Figuur 2.1 Structuur van transacties in energiesector (Energy Valley, 2005) Voor de splitsingswet waren veel energiebedrijven zo ingericht dat ze ieder van deze stappen in de keten beheersten. Zij hadden dus een monopolie positie in Nederland binnen de energiesector. De splitsingswet heeft ervoor gezorgd dat deze zogenaamde verticale integratie niet meer mogelijk was voor energiebedrijven. De consumenten van energie hebben tot op heden nog geen vrije keuze tot het kiezen van hun netwerkbedrijf. Dit komt omdat het netwerk waarover energie wordt geleverd in handen is de netwerkbedrijven. De monopolie positie van het netwerkbedrijf is binnen de energiesector ondanks de liberalisering van de energiemarkt in stand gebleven. De splitsingswet heeft ervoor gezorgd dat de zelfstandige bedrijven binnen de sector onderling sterker afhankelijk van elkaar zijn geworden ten aan zien van de betrouwbaarheid van de processen (Lof, 2005). De energieleverancier en de netbeheerder zijn gedwongen samen te werken met elkaar met 10

11 betrekking tot de uitwisselingen van gegevens welke noodzakelijk zijn voor het factureren van de klant Impact wet- en regelgeving: elektriciteitswet, gaswet en wet onafhankelijke netbeheer De Europese Unie heeft middels regelgeving en richtlijnen erop aangedrongen dat er binnen Europa een grote interne markt zou ontstaan voor de opwekking, het transporteren en het leveren van energie. Vervolgens zijn in verschillende Europese landen, waaronder Nederland, liberaliseringsinitiatieven uitgevoerd waaronder de Elektriciteits- en Gaswet in Nederland. Deze wetten hadden als doelstelling om meer concurrentie te creëren voor de productie en levering van energie binnen Nederland (EnergieNed, 2011). Het liberaliseren van de energiesector is in drie fases gegaan. In 1998 zijn allereest de grootverbruikers van energie (voornamelijk bedrijven) in staat gesteld om te veranderen (ook wel switchen genoemd) van leverancier. Vervolgens is in 2002 de middelzakelijke markt hiervoor geopend en in 2004 konden kleinverbruikers (voornamelijk huishoudens) switchen van leverancier (Hofman, 2005). Door deze maatregelen tot het liberaliseren van energiemarkt in Nederland is er een grote consolidatie slag ontstaan in Nederland. De Wet Onafhankelijk Netbeheer (WON), ook wel de splitsingswet genoemd, is een Nederlandse wet die in aanvulling op de Elektriciteitswet 1998 en de Gaswet nadere regels voorschrijft over onafhankelijk netbeheer. De wet is op 21 november 2006 aangenomen en bevat drie hoofdelementen: de overdracht van het beheer van de hoogspanningsnetten met een spanningsniveau kv aan TenneT; creatie van zogenaamde vette netbeheerders die tevens over de economische eigendom van het net beschikken; invoering van het groepsverbod. Dit groepsverbod houdt in dat het beheer en eigendom van energienetwerken en de levering van energie (gas en elektriciteit) via netwerken per 1 januari 2011 moeten zijn ondergebracht bij aparte bedrijven. De eerste twee elementen zijn per 16 januari 2007 in werking getreden. De WON bepaalt dat beheer en eigendom van energienetwerken (o.a. hoogspanningsnet) en levering van energie (aardgas en elektriciteit) via deze netwerken per 1 januari 2011 moeten zijn ondergebracht bij aparte onderneming. Tegen deze WON bestond grote weerstand van de energiebedrijven. Essent, DELTA en Eneco hebben een rechtszaak tegen de Nederlandse staat hierover aangespannen. In eerste instantie gaf de rechter de Staat gelijk, maar in hoger beroep heeft het Gerechtshof te s-gravenhage op 22 juni 2010 anders besloten. Het Hof bepaalde dat de splitsingswet die de bedrijven verplicht tot volledige afsplitsing van hun netwerkbedrijf in strijd is met het Europees recht Impact wet- en regelgeving: invoering van Chinese Walls In de Elektriciteit- en Gaswet is vastgelegd dat een netwerkbedrijf geen enkel lid van de groepsmaatschappij mag bevoordelen en de gegevens van de netbeheerder uitsluiten voor het werk van en voor de netbeheerder zelf gebruikt mogen worden. Binnen de groepsmaatschappij, waar vaak het leveringsbedrijf en het netwerkbedrijf deel vanuit maken, worden de netbeheerstaken en leveringsactiviteiten deels binnen dezelfde organisatie uitgevoerd. Om dit binnen de wet- en regelgeving mogelijk te maken, zijn maatregelen noodzakelijk om de vereiste scheiding van 11

12 klantgegevens te waarborgen. Deze maatregelen worden Chinese Walls genoemd. Deze Chinese Walls maatregelen hebben tot doel de scheiding te waarborgen van regulatorische en niet regulatorische activiteiten, en daaraan gerelateerde gegevens, in de informatiestromen die door zowel het netwerk- als het leveranciersbedrijf gebruikt worden. Vaak worden er binnen de groepsmaatschappij klantensystemen gebruikt die zowel voor het netwerkbedrijf als het leveringsbedrijf toegankelijk zijn. De Chinese Wall inrichting bij zowel het netwerkbedrijf als het leveringsbedrijf dient ervoor te zorgen dat informatie van klanten niet onterecht kunnen worden misbruikt voor commerciële doeleinden. Hierbij valt bijvoorbeeld te denken dat een leveringsbedrijf gegevens van een netwerkbedrijf klant onbevoegd kan inzien en daaruit zijn commerciële voordeel kan halen. Bijvoorbeeld, een klant betaalt zijn transportkosten aan het netwerkbedrijf maar heeft een ander leveringsbedrijf dan het leveringsbedrijf van de groepsmaatschappij. Wanneer het leveringsbedrijf van de groepsmaatschappij nog toegang heeft tot klantgegevens van deze klant, is het mogelijk dat deze, op basis van het verbruik van de klant, een zeer gericht aanbod doet aan de klant. Toezicht op de naleving van Chinese Walls wordt uitgevoerd door de Nederlandse Mededingings Autoriteit (NMa). 2.2 Bedrijfsprocessen binnen de energiesector met betrekking tot facturatie In deze sectie wordt de literatuur behandeld welke antwoord geeft op deelvraag 1.1: Deelvraag 1.1: Welke risicogebieden dienen te worden geïdentificeerd in het kader van ontvlechting van het facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? In deze sectie wordt inzicht verschaft in de risicogebieden welke samenhangen met de facturatie van netwerk- en leveringsbedrijven aan groot- en kleinverbruikers. Tevens worden in deze sectie de verschillende bedrijfsprocessen behandeld welke als basis dienen voor het creëren van factuur welke uiteindelijk wordt opgesteld en naar de klant wordt verstuurd. Allereerst wordt er beschrijving gegeven van de verschillende informatiebronnen en -processen die van belang zijn bij het juist en volledig factureren van klanten Aansluitingsregister Iedere afnemer van energie is aangesloten op het transportnetwerk. De gegevens met betrekking tot deze aansluiting worden beheerd in een zogenaamd aansluitregister. Dit gebeurd aan de hand van een EAN-code. Aan deze EAN-code zijn de NAW gegevens van de klant gekoppeld en de meetverantwoordelijk en leverancier van de energie Meetregister In het meetregister wordt de registratie beheerd door de meetverantwoordelijk van de meters welke zijn geplaats van de klant. Hierin worden ook de EAN-code van de aansluiting vermeld. Per aansluiting is aangegeven hoeveel meters op deze specifieke aansluiting zijn geïnstalleerd. Het is namelijk mogelijk dat op een aansluiting meerdere meters zijn aangesloten (denk bijvoorbeeld aan een bedrijfspand waar meerdere bedrijven gevestigd zijn) Meetdatacollectie Het meetbedrijf is verantwoordelijk voor het uitlezen, valideren en verder verwerken van de meetgegevens van de meters. Het meetbedrijf bepaalt allereerst welke meters dienen te worden 12

13 uitgelezen. Het opnemen van de meterstanden kan aan de hand van handmatige opnames of op basis van uitlezen op afstand (telemetrie). De wijze waarop meterdata wordt is bepaald aan de hand van type energieverbruiker. Kleinverbruikers (voornamelijk huishoudens) dienen 1 keer per jaar de meterstand door te geven aan het leveranciersbedrijf. Bij gebrek aan een meterstand wordt een schattig gehanteerd. Eens per drie jaren dient de meetverantwoordelijk de meterstand op te nemen. Grootverbruikers hebben een aansluiting met een digitale meter welke uitgelezen kan worden op afstand door het meetbedrijf. Om de 15 minuten registreren deze meters het verbruik en eenmaal per dag worden uitgelezen door het meetbedrijf. Vervolgens worden de meterstanden gevalideerd door het meetbedrijf aan de hand van vooraf opgestelde validatieregels welke binnen de meetregistratie applicaties zijn ingesteld. Deze validatie regels valideren of een verbruik van een klant in lijn is de afname welke verwacht kan worden van de klant met een betreffend verbruikersprofiel. Wanneer de meetdata niet valide blijkt te zijn dan wordt deze gevalideerd en eventueel gecorrigeerd door het meetbedrijf. Wanneer de evaluatie van de meterstanden is afgerond worden deze meterstanden doorgestuurd naar de netbeheerders, programma verantwoordelijken en leveringsbedrijven. In 2005, na het liberaliseren van de energiemarkt, is onderzoek verricht door de NMa (2005) m.b.t. de verwerking van meetgegevens tussen de netbeheerder en de leverancier waarbij de volgende bevindingen zijn geconstateerd: verschillen in registers: de gegevens welke worden uitgewisseld komen uit verschillende bronsystemen (aansluitregister, meetdataregister en contractregister) welke beheerd worden door verschillende bedrijven. Hierdoor komt het voor dat de gegevens niet altijd op elkaar aansluiten. het vastgestelde verbruik is onjuist of niet plausibel: leveranciers ontvangen niet altijd een juist vastgesteld verbruik van de netbeheerders. Het komt voor dat meerdere vastgestelde verbruiken van een klant worden ontvangen van dezelfde periode, waarbij het voor de leverancier niet duidelijk is op basis van welk verbruik de factuur dient te worden opgemaakt. Tevens komt het voor dat verbruiksperiodes niet aansluiten op de gegevens van de leverancier. dynamiek in de processen: klanten van leveringsbedrijven schakelen relatief vaker over naar andere leveringsbedrijven. Hierdoor is de kans groter dat in de periode dat de jaarafrekening wordt opgesteld de klant zich in een switchproces (klant gaat over naar een andere leverancier) bevindt Contractregister In het contractregister worden o.a. gegevens met betrekking tot het gehanteerde capaciteitstarief opgeslagen van de klanten. Daarnaast worden contractgegevens opgeslagen van de klant (zoals o.a. NAW-gegevens) Factureren vanuit wettelijk perspectief De NMa houdt toezicht op de energiesector aangezien er niet in alle delen van de markt sprake is van concurrentie. In Nederland is het vanaf 2004 voor bedrijven en particulieren mogelijk om zelf te bepalen bij welk bedrijf men elektriciteit of gas afneemt. Het echter niet mogelijk nog om zelf te bepalen welk bedrijf de elektriciteit of gas transporteert. Om zorg te dragen dat er een redelijke prijs wordt gehanteerd door de netwerkbedrijven houdt de NMa hierop toezicht. 13

14 De NMa beoordeelt tevens of de factuur begrijpelijk genoeg is opgesteld voor de klant. Hier is echter geen wettelijke verplichting over opgesteld. Er is wel een richtlijn Energierekening voor consumenten 2010 opgesteld met als doel dat de consument zijn energierekening beter kan begrijpen en om de energierekening voor de consument beter controleerbaar te maken (NMa, 2010). Op basis van deze richtlijn dient een beknopte energierekening te bestaan uit de volgende informatie: Richtlijn energierekening voor consumenten 2010: informatie elementen van beknopte energierekening a. De gegevens van de leverancier (naam en contactgegevens voor vragen). b. De naam van de contractant, factuuradres, leveringsadres en EAN-code(s) van de aansluiting(en). c. Datum en nummer van de energierekening. d. De periode waarop de energierekening betrekking heeft. e. De begin- en eindstanden van de meters, de opnamedata, de wijze van opname van de meterstanden, het verbruik van elektriciteit en gas en, indien van toepassing, de hoeveelheid teruggeleverde elektriciteit. f. De geleverde producten en de totaal bedragen per geleverd product. Hierbij wordt ten minste onderscheid gemaakt naar: - elektriciteit (exclusief de verschuldigde energiebelasting) - gas (exclusief de verschuldigde energiebelasting) - vastrecht levering - verschuldigde energiebelasting op elektriciteit - verschuldigde energiebelasting op gas - wettelijk verplichte vermindering van de energiebelasting en netwerkkosten g. Het totale factuurbedrag van de energierekening. h. Het totaal van de in rekening gebrachte termijnbedragen. i. Het per saldo te betalen/ontvangen bedrag. j. Het BTW saldo (alleen verplicht voor zakelijke, BTW plichtige klanten). k. Het nieuwe termijnbedrag. l. Het algemeen storingsnummer. m. De NAW gegevens van de netbeheerder. n. De vermelding dat de leverancier op aanvraag een uitgebreide energierekening beschikbaar stelt met daarin een specificatie over de opbouw van de energiekosten en het verbruik. Figuur 2.2: informatie elementen beknopte energierekening (NMa, 2010) In de beginperiode van de splitsing zijn er veel administratieve problemen en fouten gemaakt door de energiebedrijven met betrekking tot het factureren van klanten (Energy Valley, 2005). Klanten kregen te laat of onjuiste facturen van verschillende energiebedrijven. Tevens waren vooral de kleinverbruikers het vaak niet eens met geschatte of berekende meterstand. Het proces om vervolgens de meterstanden te corrigeren en de factuur corrigeren is een erg intensief administratief proces welke een lange doorlooptijd vergt. Dit is ook o.a. opgemerkt door de NMa welke vervolgens een onderzoek heeft laten uitvoeren en verbeteringseisen heeft opgelegd aan de Nederlandse energiebedrijven (NMa, 2005). De NMa concludeert dat de uitwisseling van (meet)gegevens tussen de netbeheerders en leveranciers één van 14

15 de belangrijkste oorzaken is geweest van de problemen in administratieve processen rondom de facturatie. De Nederlandse energiemarkt staat niet alleen in haar problemen in deze. In veel andere landen (zoals Verenigde Staten, Zweden en Duitsland) bleken deze effecten zeker in de eerste fase van marktliberalisering ook te spelen (Energy Valley, 2005) Rol van facturatie binnen het bedrijf Voor de administratieve functie is het vastleggen van de werkelijkheid één van de belangrijkste taken (Starreveld, 2002). De administratieve functie dient te waarborgen dat wat wordt geregistreerd overeenkomstig is aan de werkelijkheid. De taken van de administratieve functie zijn als volgt weer te geven: het inrichten van het financiële informatie systeem, inclusief de hiermee verband houdende procedures. het uitvaardigen van regels en richtlijnen voor het voeren van de administratie. het uitvoeren van administratieve en controlerende taken. Dit betreft het vastleggen van gegevens over het bedrijfsgebeuren. Tevens dient de administratieve functie maatregelen te nemen en handelingen te verrichten waardoor mutaties betrouwbaar worden verwerkt. het opstellen van verslaggeving. Dit betreft de tot stand koming van verslagen over de gang van zaken in de organisatie, waarvoor basis gegevens veelal in de administratie kunnen worden gevonden. Het informatieverwerkingsproces welke wordt uitgevoerd door de administratie functie kan worden gepositioneerd in de waardekringloop (Starreveld, 2004) in de figuur hieronder: Inkopen Voorraden Verkopen Schulden Verzamelen, verwerken, controleren, rapporteren Vorderingen Betalen Geld Innen Figuur 2.3: Plaats van het informatieverzoringsproces in de waardekringloop (Starreveld, 2002) Met betrekking tot de methoden van facturatie kunnen in hoofdlijnen de volgende typen worden onderscheiden: Voorfacturatie 15

16 Nafacturatie Van voorfacturatie is sprake wanneer aan de hand van de ontvangen orders de facturen worden vervaardigd. In een aantal gevallen kan het zijn dat de factuur pas kan worden opgesteld nadat goederen of dienst zijn vervaardigd aan de klanten. In de praktijk wordt soms een systeem van nafacturatie toegepast zonder dat dit voortvloeit uit de in het voorgaande aangegeven aard van de goederen of diensten maar alleen om tot een snellere uitlevering van de diensten te kunnen komen. Er zijn echt wel een aantal nadelen van nafacturatie in tegenstelling tot voorfacturatie. Bij voorfacturatie is een preventie control in de procedures ingebouwd met betrekking tot de volledigheid van de facturen van alle uitgaande leveringen. Bij nafacturatie dient, bijvoorbeeld door middel van nummercontrole, vastgesteld te worden dat alle verzonden goederen aan de afnemers in rekening worden gebracht. De registratie van de vordering vormt tevens ook een onderdeel van de administratieve functie binnen een bedrijf. De fase van het waardekringloopproces waarin vorderingen zich bevinden kan als volgt worden weergegeven (Starreveld, 2004). Verkopen Vorderingen Ontvangsten Figuur 2.4: Deel van de waardekringloop vorderingen in een bedrijf (Starreveld, 2004) De werkzaamheden van de debiteurenadministratie kunnen als volgt worden omschreven: het vastleggen van de vorderingen aan de hand van de uitgaande facturen. de incasso van vorderingen. het registeren van de binnenkomende betalingen betreffende de betreffende vorderingen. het manen van achterstallige debiteuren. (het voorbereiden van) de afboeking van oninbare vorderingen. het uit handen geven van vorderingen (gerechtelijke incasso). 16

17 Voor het vastleggen van een debiteurenadministratie worden twee soorten gegevens onderscheiden: het debiteurenstambestand en het debiteurenmutatie bestand. In het debiteurenstambestand worden vaste gegevens zoals ondermeer NAW, debiteur categorie, kredietlimiet, eventuele kortingspercentages en bankrekeningnummer vastgelegd. In het debiteurenmutatie bestand worden variabele gegevens vastgelegd zoals factuurdatum, bedrag en nummer. Een aantal geautomatiseerde controles zijn mogelijk binnen een geautomatiseerde debiteurenadministratie zoals: controletotalen tussen bestanden aansluiten. bestaanbaarheidscontroles (debiteurennaam, nummer etc.). aflettering van betaalde factuurbedragen. specifieke historische overzichten (ouderdoms en bruto marge analyses etc.) Specifieke opbrengsten verantwoording bij netwerk- en leveringsbedrijven Zowel netwerk- als leveringsbedrijven hebben met elkaar gemeen dat de levering van de prestaties aan afnemers geschiedt via vaste leidingen (Starreveld, 2008). Het product dat de afnemer ontvangt draagt in sterke mate het karakter van een dienst die genoten wordt via het aangesloten zijn op een netwerk, waar vervolgens meer of minder gebruik van wordt gemaakt. Het uitgangspunt voor de opbrengsten verantwoording is daardoor bij dit soort bedrijven te vinden in het leidingen- en aansluitingenplan. De aansluitingen worden vastgelegd in een geautomatiseerd aansluitingenbestand (aansluitregister) welke de grondslag vormt voor de facturatie van de afgenomen diensten. De controle van de volledigheid van de facturatie van periodieke vaste vergoedingen vindt plaats via geautomatiseerde controletotalen. Tegenwoordig worden slechts een of enkele malen per jaar de standen opgenomen voor de gas- en elektriciteitsmeter. Ondertussen sturen de netwerk- en leveringsbedrijven voorschotnota s naar de afnemers. Deze voorschotnota s worden geraamd op basis van het standaard jaarverbruik (SJV) welke o.a. gebaseerd is op het verbruik in het voorgaande jaar. Jaarlijks vindt er een jaar notaverrekening plaats waarbij een verrekening plaatsvindt van de voorschotnota s welke zijn vervaardigd en het daadwerkelijke verbruik van de afnemer. Voor de juistheid en de volledigheid van deze nota s wordt gebruik gemaakt van een combinatie van controletotalen (ook wel standenregisters genoemd). Het is namelijk mogelijk dat bij het vaststellen van de meterstanden vergissingen of fouten worden gemaakt (zeker als de aangeslotene zelf de meterstanden opgeeft). Om vast te stellen dat de standen juist worden doorgegeven wordt het berekende verbruik getoetst aan het verbruik van voorgaande jaren en dat van soortgelijke afnemers. Indien het netwerk- of leveringsbedrijf twijfelt over de doorgegeven meterstand van de klant kan men ervoor kiezen om de meteropname zelf uit te voeren. Een totaalcontrole op het verantwoorde verbruik en geproduceerde hoeveelheden energie kan slechts over langere perioden en zeer globaal worden uitgeoefend. Dit komt doordat niet alle meters tegelijk kunnen worden opgenomen en dat tijdens het transport van energie zogenaamde verliezen en winsten kunnen optreden. Elektriciteitsverlies kan optreden aangezien elektriciteit verloren gaat tijdens het transport (afhankelijk van het gehanteerde voltage tijdens het transport). Bij het transport van gas kan er zogenaamde netwinst ontstaan aangezien gas uitzet tijdens het transport. 17

18 2.3 Methodes voor het analyseren en beheersen van risico s In deze sectie wordt de literatuur behandeld welke antwoord geeft op deelvraag 1.2: Deelvraag 1.2: Welke methodes worden er gebruikt bij het analyseren en evalueren van risico s van het facturatiesysteem in het geval van een splitsing van een netwerk- en leveringsbedrijf in de energiesector? Allereerst zal de rol van governance worden behandeld in het kader van de beheersing van de bedrijfsprocessen in de energiesector. Hierbij wordt een onderscheid gemaakt tussen corporate governance and IT governance. Vervolgens zal dieper worden ingegaan op de interne beheersingsaspecten middels uitleg van het COSO-raamwerk Corporate governance Om ervoor te zorgen dat bedrijven op effectieve, efficiënte en verantwoorde geleid worden, evenals het afleggen van verantwoording over het gevoerde beleid richting belanghebbenden, is het noodzakelijk dat een goede governance structuur is ingeregeld. Corporate governance houdt per definitie in dat procedures en processen zijn ingeregeld waardoor een bedrijf bestuurd en gecontroleerd kan worden. De corporate governance structuur specificeert de rechten en verantwoordelijkheden van de verschillende partijen binnen de organisatie (zoals leden van de raad van commissarissen/bestuur, managers, aandeelhouders en andere stakeholders) en bevat regels en procedures voor het uitvoeren van besluiten (European Central Bank, 2004). Tevens kan effectief geïmplementeerde corporate governance ervoor zorgen dat de kwaliteit van de financiële verslaggeving wordt verbeterd (Cohen et al., 2004 en Jiang et al., 2008) IT governance Omdat de rol van IT steeds groter wordt binnen de bedrijfsprocessen is de vraag hoe IT beter kan worden opgenomen in corporate governance structuren. IT governance kan van een aantal verschillende perspectieven worden bekeken. Van Grembergen (2002) geeft aan dat leiderschap, structuur en processen noodzakelijk zijn om de afstemming tussen de business en IT te bewerkstellingen. Dit is nodig om te waarborgen dat informatie systemen de bedrijfsdoelstellingen ondersteunen (IT Governance Institute, 2006). Keynes-Pearce (2002) geeft aan dat er drie dimensies zijn voor IT governance welke als volgt kunnen worden samengevat: structuur-georiënteerd proces-georiënteerd menselijk-georiënteerd Structuur georiënteerde dimensie van IT governance beschrijft hoe de IT functie is georganiseerd binnen een bedrijf. Dit kan aan de hand van een gecentraliseerde, decentraliseerde of een federale manier. Daarnaast is er ook de mogelijkheid voor de instelling van een IT strategie commitee welke op een hoger niveau toezicht houdt dat IT bijdraagt aan de realisatie van de bedrijfsdoelstellingen. Daarnaast is er de proces-georiënteerde dimensie van IT governance. Deze dimensie beschrijft op welke manier IT processen de bedrijfsprocessen ondersteunen. Een goede afstemming tussen IT en de business zorgt ervoor dat IT projecten ook worden afgestemd op de strategische doelen van de 18

19 organisatie en op de juiste wijze worden gefinancierd en geprioriteerd. Om ervoor te zorgen dat bedrijven een goede balans houden tussen IT en business dienen zowel technische als business maatstaven te worden ingericht (van Grembergen 2005). Technische maatstaven kunnen bijvoorbeeld IT downtime of toegangsproblemen tot informatie systemen zijn en een business maatstaaf kan bijvoorbeeld klanttevredenheid zijn. De structuur en proces dimensie van IT governance hebben tot nu toe de meeste aandacht gekregen in de literatuur (van Grembergen 2005). IT governance heeft ook leiderschap nodig om ervoor te zorgen dat IT in staat is de bedrijfsdoelstellingen te halen (IT Governance Institute, 2006). Weill en Ross (2004) benadrukken ook dat toewijding en support van hoger management noodzakelijk is voor succesvolle uitoefening van IT. Wanneer senior management betrokken raakt binnen de besluitvorming rondom IT, veranderd dit ook de cultuur binnen het bedrijf. Het is echter wel noodzakelijk dat senior management voldoende kennis en inzicht heeft in IT governance om een bepalende rol te spelen. Onderzoeken hebben vaak tot nu toe uit gewezen dat kennis en betrokkenheid over IT governance niet altijd aanwezig is bij hoger management (Brown and Gant, 2005). De drie verschillende dimensies van IT governance zijn ook weergegeven door Ko en Fink (2010) in het volgende model: Figuur 2.5 Complimentary en collaborative model van IT governance (Ko en Fink, 2010) COSO model COSO-raamwerk (The Committee of Sponsoring Organizations of the Treadway Commission, 1992) is een risico management model welke de relaties identificeert tussen de bedrijfsrisico s en het interne beheersing systeem. Het COSO-raamwerk kan helpen bij het in kaart brengen van risico s welke invloed kunnen hebben het facturatieproces en hoe deze kunnen worden beheerst. Interne beheersing middels het COSO-raamwerk is gericht op het waarborgen dat de volgende doelstellingen worden bereikt: bereiken van de strategische doelstellingen (Strategic). effectiviteit en efficiëntie van bedrijfsprocessen (Operations). betrouwbaarheid van de (financiële) informatieverzorging (Reporting). 19

20 naleving van relevante wet- en regelgeving (Compliance). Voor het behalen van deze doelstellingen dienen, volgens COSO, een aantal controle componenten te worden ingericht welke als volgt zijn: interne omgeving (de risicobereidheid van een organisatie wordt hierin gedefinieerd, ook wel risk appetite genoemd). bepaling van controledoelstellingen (objective setting). identificatie van de gebeurtenissen (kansen/risico's die een positieve of negatieve invloed kunnen hebben op het behalen van de doelstellingen). de risico-inschatting of de beoordeling van de geïdentificeerde risico s (waarschijnlijkheid dat risico zich zal voordoen en de gevolgen indien het zich voordoet). de risicobeheersingsmaatregelen (risk response) - (risico s elimineren, aanvaarden, delen of verminderen). controleactiviteiten (bijv. hoe wordt functiescheiding gewaarborgd) informatie en communicatie (hoe verloopt de informatie en communicatie binnen de beheersomgeving) Monitoring (hoe worden de risico s periodiek gemonitord door de organisatie). Tenslotte zijn er vier verschillende organisatorische niveaus waarbinnen deze controles kunnen worden ingericht welke als volgt zijn: entiteitsniveau. divisieniveau. business-unitniveau. subsidiair-niveau. Al deze elementen kunnen worden weergegeven in de onderstaande COSO-kubus. Figuur 2.6 COSO model (The Committee of Sponsoring Organizations of the Treadway Commission,1992) 20