Leidraad. Interne Controle Organisatiebeheersing

Transcriptie

1 Leidraad Interne Controle Organisatiebeheersing

2 Coördinatie en eindredactie Technische werkgroep interne controle Carolina Stevens, Herman Panneels, Kurt Debruyne, Leo Van Loo, Lieven Tydgat, Mark Vandersmissen, Rita Berckmans, Tina Ponjaert, Willy Verschuere. Verantwoordelijke uitgever Departement Bestuurszaken Luc Lathouwers Secretaris-generaal Boudewijnlaan Brussel Lay-out Agentschap voor Facilitair Management Digitale Drukkerij Bestuurszaken Nadia De Braekeler Wettelijk depotnummer D/2007/3241/322 Uitgave Januari 2008

3 Leidraad Interne Controle / Organisatiebeheersing

4 Werkgroep Verfijning leidraad interne controle Luc Lathouwers, secretaris-generaal departement Bestuurszaken Hedwig Van der Borght, secretaris-generaal departement Financiën en Begroting Eddy Guilliams, administrateur-generaal Interne Audit van de Vlaamse Administratie Mark Vandersmissen, Interne Audit van de Vlaamse Administratie Carolina Stevens, departement Bestuurszaken Willy Verschuere, departement Financiën en Begroting Jan Debucquoy, Rekenhof Marc De Wolf, Rekenhof Lieven Tydgat, Rekenhof Tina Ponjaert, beleidsdomein Onderwijs en Vorming Rita Berckmans, VDAB Leo Van Loo, Kind en Gezin Kurt Debruyne, Inspectie van Financiën Bert Maertens, kabinet Minister Bourgeois Martin Ruebens, kabinet Minister-President Peeters Karel Hauman, kabinet Viceminister-President Van Mechelen Bijgewerkt tot 1 december

5 Woord Vooraf Het hervormingsproces Beter Bestuurlijk Beleid besteedt veel aandacht aan interne controle of organisatiebeheersing. Meer operationele autonomie houdt ook in dat elke organisatie verantwoordt welk beleid is gevoerd en welke doelstellingen zijn behaald. Een goede organisatiebeheersing zorgt ervoor dat een organisatie is afgestemd op het behalen van haar doelstellingen en biedt een redelijke zekerheid dat die doelstellingen ook werkelijk worden bereikt. Organisatiebeheersing of interne controle betekent geen extra werk bovenop de normale werking. Binnen iedere organisatie bestaan al heel wat maatregelen al is zij zich daar niet altijd even bewust van. De voorliggende leidraad biedt een referentiekader om het bestaand interne controlesysteem te identificeren, in kaart te brengen én verder te ontwikkelen. Daarnaast wordt ook een evaluatierooster ter beschikking gesteld als hulpmiddel bij de uitvoering van een zelfevaluatie. De verantwoordelijkheid om een degelijke organisatiebeheersing uit te bouwen ligt bij de lijnmanager. Hij of zij kan dit echter niet alleen. Interne controle is, net als kwaliteit, een zaak waar iedereen in de organisatie elke dag opnieuw mee bezig hoort te zijn. Een organisatie kan de leidraad gebruiken om alle neuzen in dezelfde richting te krijgen en alle medewerkers nog bewuster te maken van het belang van interne controle en hen te betrekken bij een stelselmatige verbetering van de organisatie(beheersing). Veel succes met het gebruik van deze leidraad. Kris Peeters Dirk Van Mechelen Geert Bourgeois Minister-President van Viceminister-President van Vlaams Minister van de Vlaamse Regering de Vlaamse Regering Bestuurszaken, Vlaams Minister van Vlaams Minister van Financiën Buitenlands Beleid, Institutionele Hervormingen en Begroting en Media en Toerisme Havens, Landbouw, Zeevisserij Ruimtelijke Ordening en Plattelandsbeleid 3

6 4

7 Inhoudsopgave I. InleidinG 7 I ALGEMENE SITUERING 9 2 DOEL EN FILOSOFIE VAN DE LEIDRAAD 10 3 RAAMWERKEN COSO, ERM en INTOSAI Deugdelijk overheidsbestuur Relatie met het CAF-model Beleid en doelstellingen 13 4 STRUCTUUR LEIDRAAD 14 5 DE LEIDRAAD ALS ZELFEVALUATIE-INSTRUMENT 16 II. Thema s van organisatiebeheersing 17 1 DOELSTELLINGEN, PROCES- EN RISICOMANAGEMENT Beschrijving Doelstellingen en beheersmaatregelen m.b.t. 22 doelstellingen, proces- en risicomanagement 1.3 Relevante documenten en websites 27 2 BELANGHEBBENDENMANAGEMENT Beschrijving Doelstellingen en beheersmaatregelen m.b.t. 30 belanghebbendenmanagement 2.3 Relevante documenten 31 3 MONITORING Beschrijving Doelstellingen en beheersmaatregelen m.b.t. monitoring Relevante documenten en websites 36 5

8 4 ORGANISATIESTRUCTUUR Beschrijving Doelstellingen en beheersmaatregelen m.b.t. 40 organisatiestructuur en projectmanagement 4.3 Relevante documenten 45 5 HUMAN RESOURCES MANAGEMENT (HRM) Beschrijving Doelstellingen en beheersmaatregelen m.b.t. HRM Relevante documenten en websites 54 6 ORGANISATIECULTUUR Beschrijving Doelstellingen en beheersmaatregelen m.b.t. organisatiecultuur Relevante documenten en websites 61 7 INFORMATIE EN COMMUNICATIE Beschrijving Doelstellingen en beheersmaatregelen m.b.t. informatie 64 en communicatie 7.3 Relevante documenten en websites 67 8 FINANCIEEL MANAGEMENT Beschrijving Doelstellingen en beheersmaatregelen m.b.t. financieel 70 management 8.3 Relevante documenten en websites 73 9 FACILITYMANAGEMENT Beschrijving Doelstellingen enbeheersmaatregelen m.b.t. facilitymanagement Relevante documenten en websites INFORMATIE EN COMMUNICATIETECHNOLOGIE (ICT) Beschrijving Doelstellingen en beheersmaatregelen m.b.t. ICT Relevante documenten VERANDERINGSMANAGEMENT Beschrijving Doelstellingen en beheersmaatregelen m.b.t. veranderingsmanagement Relevante documenten en websites VERKLARENDE WOORDENLIJST 95 6

9 I. Inleiding 7

10 8

11 ALGEMENE SITUERING I. Algemene situering Het hervormingsproces Beter Bestuurlijk Beleid kent het lijnmanagement meer operationele autonomie toe en koppelt daaraan een grotere responsabilisering. Het management is verantwoordelijk om, binnen de beleids- en beheerscyclus, de activiteiten op het vlak van sturen, beheersen, verantwoorden en toezicht houden met de nodige openheid, integriteit en verantwoordingsplicht uit te voeren. Dat geheel van beheersmaatregelen wordt ook interne controle of organisatiebeheersing genoemd. Het kan worden omschreven als het proces dat door het management én het personeel wordt ondernomen om redelijke zekerheid te krijgen dat de doelstellingen van de organisatie worden gerealiseerd. Interne controle of organisatiebeheersing is niet nieuw. Iedereen is er dagelijks mee bezig, ook al is dat niet altijd bewust. Met behulp van de leidraad kan het bestaande interne controlesysteem worden geëxpliciteerd en verfijnd. Interne controle / organisatiebeheersing is immers, net als het kwaliteitsbewustzijn, een zaak van iedereen. Artikel 33 van het kaderdecreet bestuurlijk beleid (hierna kaderdecreet genoemd) bepaalt dat de departementen, de intern verzelfstandigde agentschappen en de extern verzelfstandigde agentschappen moeten instaan voor de interne controle van hun bedrijfsprocessen en activiteiten. Interne controle is volgens het decreet in het bijzonder gericht op: u het effectief en efficiënt beheer van risico s u de betrouwbaarheid van de financiële en beheersrapportering u de naleving van de regelgeving en de procedures u de effectieve en efficiënte werking van de diensten u de bescherming van activa. Op 1 september 2006 keurde de Vlaamse Regering de nota De generieke elementen van de beheersovereenkomsten in de vernieuwde Vlaamse overheid goed. Die nota bepaalt dat iedere beheersovereenkomst onderstaande formulering inzake interne controle moet bevatten. Tevens werd beslist dat ook de departementen deze generieke principes via de individuele planning of managementovereenkomst moeten opnemen. Uiterlijk één jaar na aanvang van de beheersovereenkomst beschikt het agentschap over een uitgeschreven en gedocumenteerd systeem van interne controle, opvraagbaar door de functioneel bevoegde minister en de ministers bevoegd voor Financiën & Begroting en Bestuurszaken, dat in minstens de elementen zoals bepaald in artikel 33 van het kaderdecreet Bestuurlijk Beleid behelst. Vanaf het tweede jaar na aanvang van de beheersovereenkomst wordt het proces van interne controle minstens één maal per jaar door het management geëvalueerd op zijn actualiteit, eventueel bijgewerkt en opnieuw gevalideerd. Op 20 juli 2007 (VR/2007/20.07/MED.12) werd deze generieke bepaling gewijzigd. Een entiteit die eind 2008 beschikt over een stappenplan dat aangeeft hoe zij een uitgewerkt systeem van interne controle / organisatiebeheersing (minstens maturiteitsniveau 3) zal behalen, krijgt ruimte tot eind 2010 in plaats van tot eind De voorliggende leidraad is opgesteld door de werkgroep verfijning leidraad interne controle op basis van de leidraad van de Interne Audit van de Vlaamse Administratie. De departementen Bestuurszaken, Financiën en Begroting, Interne Audit van de Vlaamse Administratie, het Rekenhof, Inspectie van Financiën en vertegenwoordigers van de verzelfstandigde agentschappen en departementen werkten hieraan mee. De betrokkenheid van deze controle-instanties geeft aan dat zij deze leidraad als een volwaardig instrument voor organisatiebeheersing beschouwen. 9

12 2. Doel en filosofie van de leidraad De leidraad interne controle / organisatiebeheersing wil het begrip interne controle op een bevattelijke wijze schetsen. De leidraad geeft aan de hand van een aantal doelstellingen aan welke elementen aanwezig moeten zijn om te komen tot een redelijke beheersing van de activiteiten of processen. De leidraad steunt daarvoor op het concept van de organisatiebeheersing, dat synoniem is voor interne controle op organisatieniveau. Organisatiebeheersing omvat de wijze waarop een organisatie (departement, EVA, IVA met en zonder rechtspersoonlijkheid) haar doelstellingen bepaalt, hoe zij zich organiseert om die doelstellingen op een efficiënte, effectieve, ethische en kwaliteitsvolle manier tot stand te brengen, op te volgen en tijdig bij te sturen waar nodig en hoe zij verantwoording aflegt aan haar belanghebbenden. In een top-down benadering van interne controle / organisatiebeheersing is het raadzaam dat eerst de algemene voorwaarden omtrent aansturing en beheersing van een organisatie vervuld zijn alvorens te focussen op de proces- en taakgebonden controles. Om de mate van organisatiebeheersing te beoordelen, wordt de volledige management control cyclus doorlopen. Die cyclus wordt in de Angelsaksische literatuur kort aangeduid met plan, do, check, adjust (of act) (PDCA-cyclus). u Plan: het plannen focust op de organisatiedoelstellingen zelf en de wijze waarop deze doelstellingen tot stand zijn gekomen. u Do: na vastlegging van de organisatiedoelstellingen wordt de organisatie zo uitgebouwd dat ze deze doelstellingen kan realiseren op een efficiënte, effectieve, ethische en kwaliteitsvolle manier. u Check: om erover te waken dat de ontplooide activiteiten maximaal gericht zijn op de realisatie van de doelstellingen is een regelmatige opvolging noodzakelijk. u Adjust/act: op basis van de vergaarde opvolgingsinformatie zal waar nodig bijsturing plaats vinden. De leidraad interne controle / organisatiebeheersing is bedoeld als referentiekader om een zelfevaluatie van de organisatiebeheersing uit te voeren. Met behulp van de beheersmaatregelen of stellingen kan elke organisatie per deelthema nagaan in welke mate de eigen beheersmaatregelen al voldoende zijn of dat verdere uitwerking vereist is. Deze zelfevaluatie dient steeds met de nodige kennis van de organisatie uitgevoerd te worden. Het documenteren van de maatregelen inzake organisatiebeheersing is geen doel op zich, maar een hulpmiddel voor de organisatie om zich ervan te verzekeren dat alle nodige beheersmaatregelen genomen zijn, om nieuwe mensen op te leiden, om op terug te vallen wanneer iets fout gaat, enzovoort. De inhoud van de leidraad is misschien vanzelfsprekend voor grote organisaties die al vertrouwd zijn met de begrippen interne controle en organisatiebeheersing, maar kan kleine organisaties afschrikken. Een goede organisatiebeheersing is afgestemd op het type van organisatie, haar opdracht of andere specifieke organisatiekenmerken. Deze zelfevaluatie vormt de basis voor een actieplan om het organisatie-/beheersinstrumentarium te verbeteren en het maturiteitsniveau van de organisatiebeheersing stelselmatig te verhogen. 10

13 3. Raamwerken De leidraad verenigt de thema s van het COSO- 1 / ERM-model 2 (zie 3.1 COSO, ERM en INTOSAI) en de principes van deugdelijk overheidsbestuur (zie 3.2 Deugdelijk Overheidsbestuur) om een zo ruim mogelijke invulling te geven aan het begrip interne controle / organisatiebeheersing. Deze raamwerken leveren de theoretische onderbouw voor een efficiënte, effectieve, kwaliteitsvolle en ethische organisatie(beheersing). De praktische uitwerking van de thema s voor organisatiebeheersing maakt zoveel mogelijk gebruik van normen die algemeen aanvaard zijn binnen de Vlaamse administratie. Er dient opgemerkt te worden dat de raamwerken zoals COSO en INTOSAI 3 interne controle niet alleen organisatiebreed benaderen, maar ook vragen dat de interne controle op lagere niveaus van de organisatie (zoals afdelingen, budgetcentra, ) op orde is. In deze leidraad worden voor die lagere niveaus geen te behalen minima of prioriteiten vooropgesteld. 3.1 COSO, ERM en INTOSAI Het COSO-model is een internationaal aanvaard referentiekader voor interne controle. Volgens het COSOraamwerk bestaat interne controle uit vijf componenten die elkaar wederzijds beïnvloeden en die er samen voor zorgen dat het management de organisatie op een degelijke manier beheerst. Die componenten zijn: de controleomgeving, de risicoanalyse, de controleactiviteiten, informatie en communicatie, en tenslotte monitoring. Het ERM-raamwerk (ook COSO II genoemd) is een model voor geïntegreerd risicomanagement. Het beschrijft het proces van identificatie, evaluatie, beheersing en communicatie van risico s vanuit een geïntegreerd en organisatiebreed perspectief. Het raamwerk bevat acht componenten: interne omgeving, bepalen van doelstellingen, identificatie van risico s, inschatten van risico s, beheersen van risico s, implementeren van interne controlemaatregelen, informatie en communicatie en monitoring. Het ERM-raamwerk beschouwt interne controle, zoals uitgewerkt in het COSO-raamwerk, als één van de manieren om risico s te beheersen. INTOSAI heeft het COSO-raamwerk aangepast voor de publieke sector. Het legt meer nadruk op ethisch gedrag, voorkomen van fraude en corruptie en vrijwaren van overheidsmiddelen. 3.2 Deugdelijk overheidsbestuur Volgens de toelichting bij het kaderdecreet houdt deugdelijk overheidsbestuur (government governance) in dat alle activiteiten van de beleids- en beheerscyclus (sturen, beheersen, verantwoorden en toezicht houden) met de nodige openheid, integriteit en verantwoordingsplicht worden uitgevoerd. De overheidssector staat vanuit de maatschappij onder druk om met minder middelen een betere dienstverlening aan te bieden. De burger wil waar voor zijn belastinggeld. Daarbij moet de overheid ook het algemeen belang en de individuele rechten van de burgers beschermen. Haar dienstverlening moet dan ook op een ethisch verantwoorde wijze gebeuren, met respect voor de 3 R s (rechtmatigheid, rechtszekerheid en rechtsgelijkheid). Daarom legt deze leidraad bij de doorlichting van de organisatiebeheersing de klemtoon op de mate waarin de organisatie effectief, efficiënt, ethisch en kwaliteitsvol werkt. Dat veronderstelt een duidelijke verantwoordelijkheidsafbakening tussen de betrokken actoren (parlement, regering, administratie en burger) en het verschaffen van transparante verantwoordingsinformatie aan de overheid en de burger over het bereiken van de doelstellingen. Een recente trend is de groeiende aandacht voor duurzame ontwikkeling 4 (sustainability). Het beheersen van de organisatie, het werken aan kwaliteit en het behouden van een externe focus (omgevingsanalyse en belanghebbendenmanagement) gaan immers hand in hand. 1 Internal Control Integrated Framework van the Commitee of Sponsoring Organizations of the Treadway Commission (1992). 2 ERM: Enterprise Risk Management Framework. 3 INTOSAI: International Organisation of Supreme Audit Institutions: 4 Voor het in kaart brengen van de duurzame ontwikkeling binnen de organisatie en het beleidsdomein is er de DOMA handleiding (met scoreblad). Duurzame ontwikkeling werd bovendien decretaal verankerd op 9 november 2007: 11

14 3.3 Relatie met het CAF-model De leidraad interne controle / organisatiebeheersing vertoont een aantal gelijkenissen en parallellen met het CAF-model 5. Toch zijn er een aantal essentiële verschillen en belangrijke nuances. u Zoals aangegeven vindt de leidraad zijn oorsprong in COSO en ERM, raamwerken voor interne controle. Het CAF-model is afgeleid van het EFQM-model 6, een managementmodel voor kwaliteit in brede zin (zie u De leidraad focust op organisatiebeheersing, terwijl het CAF-model zich richt op organisatieverbetering. Vanzelfsprekend leidt ook de leidraad tot organisatieverbetering, maar door de verschillende invalshoek en finaliteit, kan het resultaat van een zelfevaluatie verschillend zijn naargelang het gehanteerde model (bv. een maatregel ter verbetering van de klantgerichtheid kan in conflict komen met een principe van interne controle zoals functiescheiding ). u De leidraad resulteert in een actieplan met betrekking tot de aanwezigheid en aangepastheid van instrumenten om de organisatie te beheersen, terwijl het CAF-model zich richt op acties om de resultaten te verbeteren ten aanzien van de burger/klant, de medewerkers, de omgeving en de kernactiviteiten. u De leidraad gaat vooral in op de organisatorische randvoorwaarden ( factoren in CAF-jargon), maar minder op de resultaatsgebieden. Die randvoorwaarden worden gedetailleerder uitgewerkt dan in het CAF-model. Naast de aangehaalde verschillen zijn er ook opvallende gelijkenissen tussen beide modellen. u Zowel de leidraad als het CAF-model maken een foto van de organisatie. Op basis van die momentopname worden zowel de sterke punten als de verbeterpunten van de organisatie in kaart gebracht en wordt een actieplan met verbeteracties opgesteld. u Beide modellen gebruiken de PDCA-cyclus (plan, do, check, act) om de maturiteit in te schatten (bij de leidraad) of scores toe te kennen (bij het CAF). u Door de zelfevaluatie periodiek te herhalen, is het mogelijk de eigen ontwikkeling van de organisatie bij beide modellen op te volgen. Informatie verzameld bij een CAF-zelfevaluatie, is bruikbaar bij een zelfevaluatie op basis van de leidraad (zie verder), én omgekeerd. Om dubbel werk te vermijden, zijn er vertaalmatrices uitgewerkt 7 om van het ene model naar het andere over te stappen. Vanzelfsprekend is de afdekking niet 100%. Men moet bij deze oefening blijvend rekening houden met het verschil in invalshoek en finaliteit van beide modellen. Meestal zullen een aantal nuanceringen en aanvullingen noodzakelijk zijn om het beeld te vervolledigen Het CAF-model (Common Assessment Framework) is een generiek Europees gemeenschappelijk zelfevaluatiekader voor overheidsdiensten. 6 EFQM = European Foundation for Quality Management. 7 Deze documenten zijn beschikbaar op de website interne controle/organisatiebeheersing: of

15 3.4 Beleid en doelstellingen De doelstellingenhiërarchie binnen de Vlaamse administratie moet ertoe leiden dat het regeerakkoord en de beleids- of strategische doelstellingen van de ministers worden vertaald in strategische en operationele doelstellingen voor de organisaties van de Vlaamse administratie. Contractmanagement zorgt ervoor dat de strategische en operationele doelstellingen van elk departement, IVA en EVA aansluiten bij de beleidsdoelstellingen van de regering. De vertaling naar meetbare doelstellingen gebeurt door middel van beheersovereenkomsten, ondernemingsplannen, managementovereenkomsten, jaaractieplannen, enz. Regeerakkoord Regeerprogramma Strategisch plan minister X Legislatuur Beleidsnota Contractmanagement Departement IVA, EVA input voor Beheersovereenkomst Operationeel plan minister X Jaarlijks Beleidsbrief input voor Ondernemingsplannen Het management van ieder departement, IVA of EVA (N-niveau) communiceert de strategische en operationele doelstellingen binnen de organisatie. Het management schat de risico s in die aan de voorgenomen strategie zijn verbonden en werkt een geïntegreerd risicomanagementsysteem om die risico s te beheersen uit. De maatregelen waarin de organisatie voorziet om de (belangrijkste) risico s te beheersen, vormen de organisatiebeheersing of interne controle. Een goede organisatiebeheersing is een noodzakelijke voorwaarde om de vooropgestelde doelstellingen van de organisatie te realiseren. De organisatiebeheersing geeft richting en inhoud aan de verschillende beheersings- en sturingsprocessen op niveau van de volledige organisatie, maar ook op onderliggende niveaus. Het is dus van primordiaal belang dat de organisatiebeheersing een adequate en effectieve invulling krijgt. 13

16 4. Structuur leidraad Het begrip organisatiebeheersing wordt benaderd vanuit 11 verschillende thema s, gebaseerd op het COSO/ ERM-model en de principes van deugdelijk overheidsbestuur: u Doelstellingen, proces- en risicomanagement (DPR) u Belanghebbendenmanagement (BHM) u Monitoring (MON) u Organisatiestructuur (ORG) u Human resources management (HRM) u Organisatiecultuur (CUL) u Informatie en communicatie (ICO) u Financieel management (FIM) u Facility management (FAM) u Informatie- en communicatietechnologie (ICT) u Veranderingsmanagement (VER) Een degelijke en coherente invulling van elk van deze thema s, afgestemd op de opdracht van de organisatie, leidt tot een goede organisatiebeheersing die een effectief antwoord biedt aan de strategische risico s. Schematisch kan het model voor organisatiebeheersing als volgt voorgesteld worden: EFFECTIVITEIT PLAN Belanghebbendenmanagement Doelstellingen, proces- en risicomanagement INTEGRITEIT ACT DO HRM FIM ORG CUL ICO FAM ICT Veranderingsmanagement KWALITEIT CHECK Monitoringsystemen EFFICIENTIE De elf thema s van organisatiebeheersing staan niet los van elkaar. Elk thema heeft tal van raakpunten met de andere thema s. Tussen de thema s bestaat een voortdurende wisselwerking. Centraal staat het thema doelstellingen, proces- en risicomanagement dat de inhoud van de andere thema s aanstuurt. Elk thema levert een eigen bijdrage aan de realisatie van deze organisatiedoelstellingen. 14

17 Zo zorgen de thema s monitoring en financieel management ervoor dat de organisatie stelselmatig kan opvolgen in welke mate de vooropgestelde operationele en financiële doelstellingen worden bereikt. Het thema informatie- en communicatietechnologie voorziet in een geschikte ICT-omgeving om die informatiestromen te ondersteunen. Het personeel dat hiervoor instaat, komt aan bod in het thema Human Resources Management. En zo verder. Een degelijke en coherente invulling van elk van de thema s, afgestemd op de opdracht van de organisatie, leidt tot een goede organisatiebeheersing, die een effectief antwoord biedt op de strategische risico s. Ieder thema speelt een rol met betrekking tot de vier globale doelstellingen inzake organisatiebeheersing: effectiviteit, integriteit, kwaliteit en efficiëntie (EIKE). Bij effectiviteit ligt de focus op organisatorische effectiviteit, waarmee de mate wordt bedoeld waarin een organisatie haar verbintenissen inzake output nakomt. Men kan nagaan in welke mate de organisatie over instrumenten beschikt om haar doelstellingen te kunnen realiseren ( de juiste dingen doen ). De evaluatie van deze globale doelstelling kan gebeuren, hoofdzakelijk op basis van de bevindingen bij de thema s Doelstellingen, proces- en risicomanagement, Belanghebbendenmanagement en Monitoring. Het criterium integriteit richt zich op de mate waarin de organisatie over instrumenten beschikt die gericht zijn op de versterking van de integriteit van de organisatie in haar geheel en van het integer handelen van de individuele personeelsleden. Integriteit zit in meerdere of mindere mate verweven in bijna alle thema s van de leidraad. Kwaliteit slaat op de mate waarin de organisatie voldoet aan de verwachtingen van interne en externe belanghebbenden en streeft hierbij naar voortdurende verbetering. De nadruk ligt in de leidraad vooral op het niveau van de globale organisatiebeheersing en op de kwaliteit van de kernprocessen. De inschatting van deze doelstelling kan men maken op basis van bevindingen dwars door alle thema s heen. Op het vlak van efficiëntie kan nagegaan worden in welke mate de organisatie over instrumenten beschikt die haar toelaten de verkregen middelen zo rationeel mogelijk in te zetten ( de dingen juist doen ). De evaluatie van efficiëntie kan gebeuren op basis van de bevindingen bij de ondersteunende thema s uit het model van organisatiebeheersing, namelijk Organisatiestructuur, Human resources management, Organisatiecultuur, Informatie en communicatie, Financieel management, Facility management, Informatieen communicatietechnologie. De vier globale doelstellingen inzake organisatiebeheersing (EIKE) worden verder niet afzonderlijk uitgewerkt, net omdat een evaluatie ervan afgeleid is van de bevindingen bij de verschillende thema s van het model. Een behoorlijke invulling van elk van de elf thema s, afgestemd op de opdracht van de organisatie, evenals de coherente onderlinge samenhang, moet er toe leiden dat het geheel de nodige omkadering creëert voor een goede organisatiebeheersing en een effectief antwoord biedt aan de globale stuur- en beheersingsrisico s. De inhoud van de afzonderlijke thema s komt in de volgende hoofdstukken aan bod. Ieder thema bestaat uit een aantal subthema s, waarvoor telkens één (of meer) doelstelling(en) inzake organisatiebeheersing worden uitgewerkt. Die doelstellingen zijn algemene principes waaraan een organisatie moet voldoen om een adequate en effectieve invulling van organisatiebeheersing te verkrijgen. Deze doelstellingen worden geïllustreerd met beheersmaatregelen: het gaat om stellingen die aangeven hoe de doelstellingen in de praktijk kunnen worden ingevuld. Die opsomming is zeker niet volledig. Voor de vermelde beheersmaatregelen zijn nog tal van alternatieven mogelijk, die eveneens bijdragen tot een goede invulling van de doelstellingen. Niet alle beheersmaatregelen of stellingen zijn algemeen toepasbaar. De toepasbaarheid hangt af van het type van organisatie, haar opdracht of andere specifieke organisatiekenmerken. Elk hoofdstuk bevat een tabel, die als hulpmiddel gebruikt kan worden bij het bepalen van het eigen maturiteitsniveau inzake organisatiebeheersing. Concreet houdt de (zelf)beoordeling in dat voor elk van de thema s en doelstellingen van organisatiebeheersing een inschatting van 0 tot 5 wordt gegeven. De betekenis van de scores en de relatie met risicomanagement zijn weergegeven in het maturiteitsmodel (zie punt 5 De leidraad als zelfevaluatie-instrument). 15

18 5. De leidraad als zelfevaluatie-instrument De leidraad kan worden gehanteerd als instrument voor zelfevaluatie van de organisatiebeheersing. Dit proces van zelfevaluatie kan flexibel verlopen, afhankelijk van de context van de organisatie (bv. grootte en complexiteit van de organisatie, beschikbaarheid van mensen en middelen). Er is een globaal stappenplan te vinden op de website interne controle/organisatiebeheersing. Dit stappenplan geeft het mogelijke verloop van een proces van zelfevaluatie aan. Een evaluatierooster wordt in een apart document ter beschikking gesteld. Organisaties kunnen zo aan de hand van de leidraad op een gedetailleerde wijze hun sterke punten in kaart brengen en aandachtspunten (zwakke punten, leemtes) op het vlak van organisatiebeheersing aangeven. Bij het uitvoeren van de zelfevaluatie is de leidraad niet op te vatten als een checklist tot op het niveau van de randvoorwaarden/stellingen/voorbeelden. Deze zijn eerder concretiseringen van de controledoelstellingen en voorbeelden van beheersmaatregelen. De subthema s en doelstellingen inzake organisatiebeheersing moeten wel systematisch behandeld worden. De concrete instructies voor het gebruik van het evaluatierooster en het verloop van de zelfevaluatie worden in het evaluatierooster zelf verder toegelicht. Op basis van de bevindingen kan per thema een inschatting van de maturiteit worden gedaan aan de hand van het onderstaande maturiteitsmodel. Dit model is gebaseerd op de principes van COBIT en CAF. Deze maturiteitsinschatting kan richtinggevend zijn voor het bepalen van prioriteiten voor verbeteracties en/ of het invoeren van bijkomende beheersmaatregelen 8. Daarnaast kan een organisatie haar evolutie meten op het vlak van organisatiebeheersing. Bovendien kunnen zo goede praktijken geïdentificeerd worden. Een verdere toelichting over de wijze van inschatten ( Hoe scoren? ) wordt aangegeven in het evaluatierooster. Gradaties Omschrijving Onbestaand Binnen de organisatie bestaan geen of zeer weinig beheersmaatregelen. Het controlebewustzijn is eerder laag en er worden weinig acties ondernomen om te komen tot een adequaat systeem van organisatiebeheersing (interne controlesysteem). Ad-hoc basis Op ad-hoc basis zijn binnen de organisatie beheersmaatregelen uitgewerkt. Het bewustzijn van de nood aan adequate beheersmaatregelen (interne controlemaatregelen) groeit, maar er is nog geen gestructureerde of gestandaardiseerde aanpak aanwezig. Het systeem van organisatiebeheersing (interne controlesysteem) draait meer rond personen dan rond systemen. Gestructureerde aanzet Een gestructureerde aanzet wordt gegeven tot de ontwikkeling van beheersmaatregelen. De beheersinstrumenten zijn bijgevolg in ontwikkeling, maar worden nog niet toegepast ( Plan ). Gedefinieerd (= niveau ) Beheersmaatregelen zijn aanwezig. Zij zijn gestandaardiseerd, gedocumenteerd, gecommuniceerd en worden toegepast ( Do ). Beheerst systeem (= niveau ) De beheersmaatregelen worden intern periodiek geëvalueerd en bijgestuurd ( Check & Act ). Er kan gesproken worden over een levend adequaat en doeltreffend systeem van organisatiebeheersing. Geoptimaliseerd (= niveau ) De beheersmaatregelen worden voortdurend geoptimaliseerd via benchmarking en het behalen van kwaliteitscertificaten of externe evaluaties ( PDCA ). 8 Bepaalde randvoorwaarden/stellingen zijn door de Vlaamse regering als verplichting opgelegd. 16

19 II. Thema s van organisatiebeheersing 17

20 EFFECTIVITEIT PLAN Belanghebbendenmanagement Doelstellingen, proces- en risicomanagement INTEGRITEIT ACT DO HRM FIM ORG CUL ICO FAM ICT Veranderingsmanagement KWALITEIT CHECK Monitoringsystemen EFFICIENTIE 18