74
De in control -verklaring geeft schijnzekerheid, is vaak gebakken lucht en kan heel gevaarlijk zijn, zo betogen niet de minste deskundigen. Immers, tientallen bedrijven die zeiden in control te zijn, vielen in de crisis om. Toch moeten we hem niet bij het grof vuil zetten, zo werd duidelijk op het in control congres IIR afgelopen zomer. Als er een goed risicobeheersingssysteem achter zit, kan het streven naar in control de organisatie sterker maken, zegt congresvoorzitter Simone Heidema. In control het risico van een verplicht nummer Jan Schoenmakers Als je in control bent, ga je niet hard genoeg zegt autocoureur Jan Lammers. Hij schetst in een paar simpele woorden het dilemma waar iedere ondernemende organisatie telkens weer voor staat. Net als bij het racen kun je niet succesvol ondernemen zonder risico s te nemen. Maar wie risico neemt is per definitie niet zeker van de uitkomst van zijn handelen. Die onzekerheid leidt tot het streven naar beheersing, control. Wie in control is, heeft geen onzekerheid meer. Maar staat tegelijkertijd stil. Gevaarlijke illusie De in control -verklaring, in de code-tabaksblat voorgeschreven en door de Monitoring commissie- Frijns geherformuleerd en verduidelijkt, is het sluitstuk van het risicomanagement. De bestuurders die de verklaring afgeven, zeggen ermee dat zij, in de formulering van Frijns, een redelijke mate van zekerheid hebben dat de financiële verslaggeving geen onjuistheden van materieel belang bevat. Verder dienen de 75
risicobeheersings- en controlesystemen naar behoren te hebben gewerkt en eventuele tekortkomingen te worden gemeld. Maar in control lijkt een gevaarlijke illusie. Tientallen ondernemingen die zijn bezweken aan de gevolgen van te riskant ondernemen verklaarden vorig jaar nog welgemoed dat zij in control waren. Op de conferentie over in control, georganiseerd door het IIR, gaven vele deskundigen hun mening over de paradox van het streven naar zekerheid door organisaties die bewust risico s (moeten) nemen om hun rendementsdoelen te bereiken. Eén conclusie van de conferentie was in ieder geval dat er een grote kloof gaapt tussen de verwachtingen die de in control-regels wekken en de Randstad en Vedior; integratie in crisis Albert Weenink, hoofd Group Business Risk & Audit van Randstad, beschrijft de overname van Vedior in 2007 vanuit het oogpunt van risicomanagement. De twee uitzendorganisaties hebben heel verschillende businessmodellen. De autonoom gegroeide organisatie van Randstad, bestaande uit 22 onderdelen in twintig landen, is gecentraliseerd en kent een show me -cultuur. Vedior daarentegen, dat door overnames is gegroeid tot 120 onderdelen in 52 landen, heeft een decentrale structuur en kent een tell me -cultuur op gebied van control. Deze verschillen hebben consequenties voor de rapportagestructuur. Randstad heeft inmiddels de rapportagecultuur aangescherpt en Weenink spreekt nu van een show me and prove me -benadering. De opgave voor de nieuwe, veel grotere Randstadorganisatie was om een effectieve controle- en rapportagestructuur op te zetten en ook nog de crisis door te komen, want die had in 2008 inmiddels hard toegeslagen. Alle verantwoordelijkheden en procedures binnen het control- en risicomanagement van de nieuwe organisatie zijn op één lijn gebracht en er is een risk advisory committee opgericht. Dit jaar stelt Randstad een Code of Conduct en een Klokkenluidersregeling op, stelt diverse best practices vast en elimineert de overlap in documenten. In 2010 moeten volgens Weenink het risicobeleid, het risico awareness-programma en het compliancebeleid in de hele organisatie, zowel in het hoofdkantoor als in de tientallen lokale entiteiten, uniform zijn. werkelijke bescherming tegen rampen die de ondernemingen bereiken door de regels toe te passen. In control is weinig meer dan wishful thinking, zegt bijvoorbeeld Leen Paape, hoogleraar aan businessuniversiteit Nyenrode. Hij wijst erop dat het begrip internal control vooral gedijde in de wereld van de pragmatische consultants, maar wetenschappelijk niet kan bogen op enig relevant onderzoek. Hij verwondert zich over het feit dat het begrip desondanks dankbaar is aangegrepen in allerlei regelgeving waar het een eigen leven kon gaan leiden. In control moet je altijd definiëren ten opzichte van wat anders. Een goed zicht op de risico s die je bereid bent te nemen om bepaalde rendementsdoelen te bereiken, is daarbij essentieel. Een onderneming dient aan te geven welke risicotolerantie in acht is genomen bij de verklaring dat men in control is. Zonder die aanduiding zegt de verklaring weinig. Sterker nog, de kans is bepaald niet uitgesloten dat het maatschappelijk verkeer meer zekerheid veronderstelt dan is gerechtvaardigd, waarmee een nieuwe verwachtingskloof zou worden gecreëerd. Mandarijnenwetenschap Paape hanteert de volgende definitie van in control: Een organisatie is in control als zij beschikt over een Management Control Systeem (MCS) dat haar in staat stelt om binnen een vooraf gedefinieerde periode in een vooraf vastgesteld percentage van de gevallen binnen een vooraf gedefinieerde risicotolerantie te blijven. Indien buiten die risicotolerantiegrens wordt getreden, stelt het MCS de organisatie in staat dat tijdig te constateren en te herstellen. Het bovenstaande vergt kwantificering van risico s, benadrukt Paape. Het kwantificeren is op zich al een complexe zaak en komt nog weinig voor, met uitzondering van banken en verzekeraars. Resultaten van onderzoek zijn op dat punt bepaald niet hoopgevend, vindt hij. Risicomanagement is echter een mandarijnenwetenschap geworden, vindt Sven Dumoulin, group secretary van Unilever en adviseur van de monitoring commissie Corporate Governance. Risicomanagement is zo technisch geworden, dat niet-experts er geen raad 76
Risicomanagement is een mandarijnenwetenschap geworden. Het is zo technisch geworden, dat nietexperts er geen raad mee weten mee weten. Gewone ondernemers vragen zich af of dit soort hogere wetenschap voor hen is weggelegd. Het verband met de praktijk gaat daardoor verloren. Hij vindt een in control -verklaring wel nuttig, omdat het helpt het risicomanagement wat weg te halen van de specialisten en het het bestuur dwingt om zich een mening te vormen. Simone Heidema, partner van het bureau CPI Governance, is de formele benadering van het voldoen aan corporate governance codes een doorn in het oog. In die zin is zij het eens met de critici die zeggen dat het in control-statement op zichzelf een nietszeggende mededeling is. Je zou toch van een bestuurder mogen verwachten dat hij bij de rapportage aan de aandeelhouder kan beschrijven hoe hij tot de conclusies die in de verklaring zijn genoemd, gekomen is. Heidema hamert erop dat bestuurders de principes van good governance moeten gebruiken om waarde voor de onderneming te creëren, in plaats van checklists af te werken om een formele compliance te bereiken met regels en wetten die er nu eenmaal zijn. En zo mag van een ondernemingsleiding ook worden verwacht dat de risico s waaraan de onderneming blootstaat redelijk bekend zijn en dat men ook weet hoe ze moeten worden aangepakt. Niet om ze te elimineren, want dat is onmogelijk. Maar om ze hanteerbaar te maken. Volgens Kees Cools, hoogleraar in Groningen, schort het daar nu juist aan. Hij betoogt dat risicomanagement geen kwestie is van kunnen, maar van willen. Als je de grootste wilt worden en het hoogste salaris wilt krijgen, past een goede analyse van de risico s niet zo goed. We moeten bij de analyse van de crisis niet kijken naar het systeem en of dat wellicht heeft gefaald, maar naar het gedrag van de mensen. Wat willen gebruikers? De gebruikers van informatie over risico s hebben op de conferentie ook hun mening laten horen. De in control -verklaring zelf heeft volgens veel analisten weinig toegevoegde waarde. Des te belangrijker is inhoudelijke informatie over risico s voor beleggers, zegt Carola van Lamoen, corporate governance specialist bij Robeco. Die informatie moet relevant, begrijpelijk en tijdig zijn, zegt zij. Daar schort het echter vaak aan. Wij verwachten niet alleen inzicht te krijgen in de risico s zelf, maar ook in een goede prioritering van de risico s. Dat vergeten bedrijven nog al eens wanneer zij een hele waslijst tot wel dertig mogelijke risico s opnoemen. Volgens van Lamoen heeft de financiële en economische crisis bij veel bedrijven geen enkel gevolg gehad voor de risicoparagraaf. Aan de andere kant geeft zij toe dat beleggers zelf op aandeelhoudersvergaderingen slechts zelden vragen stellen over de risico s. Het gaat er dus zozeer om dat ondernemingen moeten blijven streven naar zekerheid, maar veeleer dat zij goede, hanteerbare informatie geven over hun risico s en onzekerheden en over de manieren waarop zij die monitoren. Daarbij hoort een analyse en rapportage over hun risk appetite. De informatie over risicotolerantie is nog lang niet op het gewenste peil. Het bureau Shareholder Support, dat de naleving van de code-tabaksblat en de Monitoring Commissie heeft onderzocht, constateerde vorig jaar op het punt van de risicotolerantie dat slechts een derde van de aan de AEX genoteerde fondsen aan de eisen voldoet. Van de aan de AMX genoteerde fondsen voldeed slechts 22 procent. 77
In control niet beperken tot intern beheer Hans Strikwerda, hoogleraar organisatieleer en organisatieverandering aan de Universiteit van Amsterdam en directeur van het Nolan Norton Institute, hanteert een heel brede definitie van in control: Een onderneming is in control als ze toegang heeft tot productiemiddelen en die zodanig weet te exploiteren als nodig is voor de continuïteit van die onderneming. Het gaat om onder meer grondstoffen, kennis, distributiekanalen en mensen. Om in control te zijn, moet de leiding weten wat de markt morgen vraagt, moet ze bereid zijn te investeren in andere, nieuwe producten en technologieën, in andere geografische markten. Volgens Strikwerda is het, om in control te realiseren, nodig om marktmacht te bezitten, oftewel het vermogen om de structuur van de markt ten gunste van de onderneming te beïnvloeden. Ook moet de onderneming de publieke opinie, de beleidsmakers en wetgevers kunnen beïnvloeden. Voor in control is dus controle nodig over de omgevingsfactoren van de onderneming, aldus Strikwerda. De voorbeeldverklaring van de commissie-frijns voor in control heeft slechts betrekking op het afwezig zijn van bepaalde risico s in de financiële verslaglegging. Daarmee is deze vorm ronduit misleidend: de meeste ondernemingen die failliet gaan, hebben een keurige administratie en dito jaarrekening. Ze gaan failliet, omdat ze zich niet weten aan te passen aan veranderende omstandigheden in de markt. Dit onvermogen heeft niets met financiële rapportage te maken, maar met het onvermogen, en vaker nog met de onwil, om veranderingen in de markt te zien en daarvan de implicaties voor de onderneming juist te bepalen. Juristen noch accountants hebben daarover iets te zeggen. Daarvoor zijn ze noch opgeleid, noch anderszins gekwalificeerd, vindt Strikwerda. Door nu de nadruk te leggen op een in control -verklaring die beperkt blijft tot intern beheer, interne controle en financiële verslaglegging, wordt de ondernemer, maar ook de aandeelhouder, volkomen op het verkeerde been gezet, vindt hij. Ten eerste wordt niet getoetst of de onderneming een goed werkend systeem voor management control kent, ofwel dat het interne (proactieve) bestuur goed functioneert. De tweede fout in de in control -verklaring is de interne gerichtheid. Ondernemingen die zich concentreren op de verklaring volgens de commissie-frijns houden zichzelf en hun aandeelhouders voor de gek. Geen verandering in risicoparagraaf Dat echter een goede informatievoorziening aan de buitenwereld over de mate van risk appetite de belegger niet immuun maakt voor grote verliezen, bewijst ING. Volgens Johan Scheffe, vaktechnisch medewerker van het NIVRA, rapporteerde ING in 2007 uitgebreid en inzichtelijk over de risico s die de bankverzekeraar bereid was aan te gaan om de beoogde rendementsdoelen te bereiken. Een jaar later moest ING financieel door de Nederlandse staat overeind worden gehouden. De crisis heeft, volgens gegevens van Robeco, bij bedrijven ook niet geleid tot een verandering in de risicoparagraaf. Zo blijkt uit onderzoek van het NIVRA, Eumedion en Shareholder Support, dat aan de vooravond van de kredietcrisis slechts een kleine minderheid van de Nederlandse beursfondsen (negentien procent) liquiditeit en (top)beloningen als risico s noemde. Dit suggereert dat de huidige rapportage over risico s vaak een obligaat karakter heeft en niet werkelijk een weerspiegeling is van een diepgaande analyse. De economische crisis zal echter alleen maar leiden tot een grotere druk op het bedrijfsleven van regelgevers - en stakeholders in het algemeen - om meer transparantie in de rapportage over risico s en de bijbehorende beheersingssystemen. Helaas zullen als gevolg daarvan de verwachtingen nog hoger gespannen worden dan ze (voor de crisis) al waren. En zal de teleurstelling bij een volgende crisis des te groter zijn. 78