T I J D S C H R I F T CONTROLLING
WET EN REGELGEVING
Drs. S. van der Smissen (
[email protected]). Drs. W. Bertoen (
[email protected]), management consultants Deloitte, adviesgroep Finance & Control te Utrecht.
To ezicht houden is me er dan me t en v an enkele kenge t allen
nr 11
november 2004
Alles onder controle met pro Geruchtmakende affaires rondom Enron en Ahold zorgden er voor dat goed bestuur, adequaat toezicht en een transparante verantwoording volop in de schijnwerpers staan. Sinds de eind vorig jaar verschenen corporate governance-code van de commissie Tabaksblat erkennen zowel publieke als private organisaties meer dan ooit de noodzaak om het interne toezicht op een juiste manier vorm te geven. Het toezicht op de effectiviteit en efficiëntie van bedrijfsprocessen komt in de praktijk helaas vaak nog onvoldoende uit de verf. Process compliance monitoring biedt uitkomst.
22
SJOERD VAN DER SMISSEN EN WASSILI BERTOEN
De toegenomen aandacht voor governance heeft verstrekkende gevolgen voor de wijze waarop organisaties het interne toezicht vormgeven. Zo is het bestuur onder meer verantwoordelijk voor de naleving van wet- en regelgeving en de risicobeheersing en dient het hierover te rapporteren aan het toezichthoudende orgaan. Dit betekent dat de informatie, op basis waarvan sturing, toezicht en verantwoording plaatsvindt, uiterst betrouwbaar moet zijn. De kwaliteit van het verslagleggingsproces en de cijfers die hieruit voortkomen, staan hierbij centraal. Om zich te verzekeren van de betrouwbaarheid van deze (financiële) informatie, dient het bestuur, ondersteund door het management, toe te zien op de wijze waarop deze informatie tot stand komt. De effectiviteit en de efficiëntie van bedrijfsprocessen zijn hierbij van cruciaal belang. Opzet en werking bedrijfsprocessen In de opzet van bedrijfsprocessen wordt door bestuurders al jarenlang geïnvesteerd. De mogelijke risico’s die de organisatie loopt, worden veelal als uitgangspunt genomen om te bepalen welke bedrijfsprocessen, op welke wijze en met welk detailniveau moeten worden vastgelegd. Hierna volgt de fase waarin het communiceren van de veranderingen en het toegankelijk maken van de procedures centraal staat. Hoewel aan deze
inrichting van bedrijfsprocessen in de meeste organisaties voldoende aandacht wordt besteed, blijft het toezicht op de werking ervan vaak nog onderbelicht. Veelal worden bestuurders en managers wel voorzien van rapportages inclusief kengetallen over de bedrijfsprocessen. Deze geven weliswaar een indicatie van de output en throughput van processen, maar verschaffen geen inzicht in de wijze waarop deze output en throughput tot stand komt. De manier waarop medewerkers invulling geven aan bedrijfsprocessen, komt door het kwantitatieve karakter van de cijfers onvoldoende aan de oppervlakte. Dit brengt het gevaar met zich mee dat niet alle risico’s die in de opzet van procedures zijn afgedekt, kunnen worden gevolgd. In een rapportage over personele mutaties is bijvoorbeeld een foutenpercentage van twee procent opgenomen. Aan de hand hiervan kan worden vastgesteld of dit hoog of laag, dan wel conform afspraak is. De wijze waarop dit cijfer tot stand is gekomen, wordt echter niet inzichtelijk gemaakt. Die informatie is essentieel, omdat dit cijfer het resultaat kan zijn van een goedlopend proces, maar ook van een proces waarbij een aantal tijdrovende correctieslagen op de gegevens noodzakelijk is. Ook over de oorzaken van het herhaaldelijk controleren en corrigeren van gegevens wordt niet gerapporteerd.
T I J D S C H R I F T CONTROLLING
cess compliance monitoring
nr 11 november 2004
23
Houvast Om daadwerkelijk te kunnen toezien op de werking van bedrijfsprocessen is het essentieel dat de kengetallen voldoende houvast bieden om de betrouwbaarheid van de (financiële) informatievoorziening te kunnen borgen. Hiervoor is aanvullende informatie noodzakelijk, op grond waarvan inzichtelijk wordt gemaakt welke knelpunten zich in de procesuitvoering voordoen en welke oorzaken hieraan ten grondslag liggen. Toezicht op de werking van bedrijfsprocessen dient dan ook niet alleen gericht te zijn op het meten van kengetallen, maar moet tevens tot doel hebben om vast te stellen of de uitvoering van bedrijfsprocessen plaatsvindt zoals bedoeld door de organisatie en vastgelegd in procedurebeschrijvingen. Dit wordt ook wel process compliance monitoring (PCM) genoemd, oftewel de mate waarin processen conform verwachtingen, beleid en regels worden uitgevoerd. Bij de inrichting van bedrijfsprocessen is vastgesteld wat voor de uitvoering de meest effectieve en efficiënte werkwijzen zijn. Om te toetsen of die richtlijnen ook worden nageleefd, worden in de PCMsystematiek vragen aan medewerkers voorgelegd over kritische handelingen die zij binnen de bedrijfsprocessen uitvoeren. Terugkoppeling hieromtrent vindt vervolgens plaats in rappor-
Weet de top wat er leeft in de organisatie? Bestuurders en managers moeten meer begrip voor de knelpunten op de werkvloer opbrengen. Alleen dan neemt het draagvlak voor compliance-procedures toe.
tages. Een voorbeeld ter illustratie. Controleert de salarisadministrateur altijd de berekening van nieuwe salarisgegevens voordat de mutatie in het systeem wordt doorgevoerd? Wanneer het antwoord ‘nee’ is, levert dit belangrijke informatie op. Uit de toelichting van de medewerker kan namelijk blijken dat het ontbreken van een dergelijke controle er toe leidt dat gegevens achteraf moeten worden gecorrigeerd. Process compliance monitoring biedt bestuurders en managers concrete handvatten die nodig zijn om de werking van bedrijfsprocessen effectief en efficiënt te kunnen borgen. Voor een succesvolle toepassing moet aan een drie voorwaarden worden voldaan. Allereerst het op een juiste manier selecteren van indicatoren en vragen, ten tweede het inrichten van betrouwbare en relevante rapportages en tot slot een goede inbedding in de organisatie. Selecteren van indicatoren Voor optimale sturing en toezicht is een goede informatievoorziening over de meest kritische onderdelen van bedrijfsproces-
T I J D S C H R I F T CONTROLLING
FIGUUR 1: Toetsing
Toetsen dat procedures worden nageleefd De meeste organisaties stoppen hier! Toetsen output- en throughput-indicatoren
Werking
Inplementeren bedrijfsprocessen
nr 11
november 2004
- Eigen beleidskaders - Wet- en regelgeving - Toezichtskaders - Richtlijnen OCW - Afspraken - Informatievragen - Et cetera
24
Ontwerpen bedrijfsprocessen
Opzet
Bepalen reikwijdte en risico's bedrijfsprocessen
sen essentieel. Omdat medewerkers dagelijks binnen deze processen werkzaam zijn, is het van belang hen te vragen hoe zij bepaalde kritische handelingen uitvoeren. Het selecteren van deze handelingen en het formuleren van de vragen kan al tijdens het beschrijven van de processen plaatsvinden, maar is ook in een later stadium mogelijk. De werkwijze is in beide gevallen identiek (zie figuur 1). Om goede indicatoren en vragen te kunnen selecteren, is het allereerst noodzakelijk de doelstelling van de afdeling of administratie (bijvoorbeeld de salarisadministratie) te formuleren. Deze doelstelling vormt de basis om de risico’s, die het bereiken ervan in de weg staan, in kaart te brengen. Sturing en toezicht dienen plaats te vinden op deze risicogebieden. Daarom wordt ten aanzien van elk risico een of meer PCM-indicatoren benoemd. Omdat deze indicatoren niet direct meetbaar zijn, worden deze vervolgens vertaald in concrete vragen aan medewerkers over kritische handelingen die zij binnen de bedrijfsprocessen uitvoeren. Periodiek krijgen de medewerkers hierover digitaal een aantal vragen voorgelegd. De frequentie waarmee dit gebeurt, is van groot belang. Voor de actualiteit en om vast te kunnen stellen of verbetering heeft plaatsgevonden, zijn jaarlijks minimaal zes meetmomenten noodzakelijk. Bedrijfsprocessen zijn immers voortdurend aan verandering onderhevig, bijvoorbeeld door wijzigingen in wet- en regelgeving. Daarnaast zorgen wisselingen in het personeelsbestand of organisatieveranderingen ervoor dat de wijze waarop invulling wordt gegeven aan bedrijfsprocessen kan verschillen. Om die reden is een continu proces van verbeteren en actualiseren van de bedrijfsprocessen een absolute voorwaarde. Met een (twee)jaarlijks toets van de bedrijfsprocessen kan dan ook zeker niet worden volstaan. Betrouwbare en relevante rapportages Op basis van de vragen en antwoorden (zie figuur 2) worden volledig geautomatiseerd rapportages samengesteld. Deze geven
weer of de uitvoering van bedrijfsprocessen plaatsvindt zoals bedoeld door de organisatie en vastgelegd in procedurebeschrijvingen (compliance). De rapportages bevatten in ieder geval de scores per process compliance-indicator. Afhankelijk van de wensen van gebruikers kunnen ook de resultaten per vraag of medewerker worden opgenomen. Omdat medewerkers tevens een toelichting geven op eventuele knelpunten die zij tijdens het werk ervaren, kan ook deze informatie worden weergegeven. Goede stuurinformatie is tijdig, volledig, juist en betrouwbaar. Het antwoord van één medewerker geeft slechts zelden een waarheidsgetrouw en actueel beeld van de werkelijkheid. Daarom wordt elke vraag aan verschillende medewerkers voorgelegd. Op de eerste plaats aan de medewerker die de betreffende handeling uitvoert, vervolgens aan de medewerker die de hierop volgende handeling uitvoert (en als input hiervoor de output van de eerste medewerker gebruikt) en als laatste aan de directe leidinggevende van de medewerkers. De antwoorden van medewerkers kunnen overigens ook uitstekend worden geverifieerd aan de hand van de periodiek door de (externe) accountant uitgevoerde audit. Meta-indicatoren De resultaten van bijvoorbeeld een dossiercontrole kunnen uitwijzen of declaratieformulieren ook echt in alle gevallen worden ondertekend door de hiertoe bevoegde personen. Goede stuurinformatie is bovendien relevant. De mate van diepgang van de rapportages dient daarom aan te sluiten op de behoefte van zowel bestuurders als managers. Binnen de systematiek van process compliance monitoring is daarom een gelaagdheid aangebracht tussen indicatoren en vragen. Zo kunnen de globale resultaten met betrekking tot de indicatoren aan bestuurders worden gerapporteerd. De meer gedetailleerde antwoorden op de vragen voorzien weer in de behoefte van managers die veelal specifiekere informatie wensen. Een andere mogelijkheid is om alle indicatoren die betrekking
FIGUUR 2: Vragen en antwoorden
Doelstelling Salarisadministratie
Risico 1
Het juist, tijdig en volledig betalen en verwerken van salarissen, alsmede het juist, tijdig en volledig verwerken van salarisgegevens in de administratie en rapportages.
Het onjuist, niet volledig of niet tijdig aanleveren en verwerken van declaraties
Risico 2
Process Compliance Indicator 1
Juistheid en volledigheid van de aanlevering van declaraties door budgethouders
Process Compliance Indicator 2
Vraag 1
Worden declaraties altijd voorzien van de juiste handtekening (conform parafenlijst)?
Vraag 2
Het onjuist, niet volledig of niet tijdig verwerken van voorschotten
Tijdigheid van de aanlevering van declaraties door budgethouders
Worden declaraties altijd voorzien van de benodigde bescheiden (bonnen, nota’s)?
T I J D S C H R I F T CONTROLLING
FIGUUR 3: Voorbeelden PCM-scores
Afdeling Financiële administratie (gemiddelde PCM-score)
Oranje
Financiële administratie Huidige situatie 1e kwartaal 2004 Groen
PCM-indicatoren Juistheid en volledigheid aanlevering declaraties
Rood
Overige indicatoren
Groen
Vragen Zijn declaraties altijd voorzien van de juiste handtekening?
Rood
Zijn declaraties altijd voorzien van de juiste bescheiden?
Rood
Deze meta-indicatoren maken het tevens mogelijk verschillende afdelingen of administraties onderling te vergelijken. Zo kan de ene regio tegen de andere worden afgezet, of de salarisadministratie tegen de financiële administratie. Overigens zijn ook vergelijkingen in de tijd mogelijk, zodat vast kan worden gesteld of verbeteringen zijn opgetreden. Figuur 3 toont enkele resultaten op verschillende detailniveaus. Inbedding Het succes van process compliance monitoring staat of valt natuurlijk met de inbedding in de organisatie. Dit vergt duidelijkheid over de rollen van alle betrokken partijen, maar betekent ook dat het hele proces van vragen en antwoorden, het rapporteren tot en met het formuleren van de verbeterpunten gestructureerd plaats moet vinden. Hiertoe dient zoveel mogelijk aansluiting te worden gezocht bij de systematiek van plannen, uitvoeren, meten, verantwoorden en bijsturen in de reguliere planning & control-cyclus. Zo kunnen de PCM-rapportages worden toegevoegd aan de reguliere (management)rapportages, zodat bestuurders en managers structureel inzicht krijgen in de werking van bedrijfsprocessen. Op basis van deze informatie kan vervolgens (bij)sturing en verbetering plaatsvinden. Als de resultaten uit de PCM-rapportages niet op een structurele manier worden besproken, bestaat het risico dat verbeteringen in de bedrijfsprocessen niet beklijven. Regelmatig overleg, zowel tussen bestuurders en managers als tussen managers en medewerkers, is dan ook een vereiste. In het gesprek tussen bestuurders en managers komen de resultaten, vorderingen en richtlij-
Financiële administratie 1e kwartaal 2003 Groen
Oranje
Rood
Groen
Oranje
Rood
Financiële administratie 4e kwartaal 2003 Groen
Oranje
Rood
nen voor verbeteringen aan de orde. Het gesprek tussen managers en medewerkers is hét kanaal om knelpunten te analyseren, verbeteringen te formuleren en de implementatie ervan te bewaken. Om draagvlak te behouden, is het essentieel dat er actie volgt op de door medewerkers aangegeven knelpunten en verbetervoorstellen. Figuur 4 bevat de totale PCM-cyclus. De hierin weergegeven stappen bevatten de meest essentiële voorwaarden voor een succesvolle toepassing van het concept. Voordelen Uiteindelijk draait het natuurlijk om de toegevoegde waarde van process compliance monitoring. Voor veel bestuurders en managers is het werken met de PCM-systematiek een eye opener. Worden bedrijfsprocessen conform de afgesproken procedures uitgevoerd? Wordt hieraan in de praktijk efficiënt invulling gegeven? Zijn de risico’s binnen de bedrijfsprocessen voldoende geborgd? Op deze en andere vragen geven de PCM-rapportages een pasklaar antwoord. De uitkomsten bieden bestuurders, managers en medewerkers daarnaast de mogelijkheid om verbeterpunten in de werking van bedrijfsprocessen te signaleren. Door een koppeling met de planning & control-cyclus en een periodieke toetsing van de vorderingen, is bovendien de realisatie van deze verbeterpunten goed geborgd. Het inzicht in prestaties en de mogelijkheid om tijdig bij te sturen, stelt bestuurders in staat de uitvoering van bedrijfsprocessen en de betrouwbaarheid van de
FIGUUR 4: PCM-cyclus Medewerkers en (lijn)managers uitvoeren processen Kaders en toezicht
verbeteringen implementeren
beantwoorden vragen
Bestuurders PCM cyclus Resultaten en vorderingen
genereren rapportages
formuleren verbeteringen analyseren resultaten
november 2004
Toezicht op werking bedrijfsprocessen blijft vaak onderbelicht
Rood
nr 11
hebben op een proces samen te vatten in een algemene metaindicator, zoals de indicator ‘salarisadministratie’. Het voordeel hiervan is dat bestuurders in een oogopslag zien hoe het met de uitvoering van een bedrijfsonderdeel of administratie is gesteld.
Oranje
Financiële administratie Prognose: 2e kwartaal 2004
25
T I J D S C H R I F T CONTROLLING
a dve r t e nti e
Che ck l is t
nr 11
november 2004
• Voldoet de stuurinformatie die u over de bedrijfsprocessen ontvangt aan uw verwachtingen? • Weet u wat er leeft in de organisatie? • Bent u er zeker van dat werkzaamheden effectief en efficiënt worden uitgevoerd? • Is uw organisatie in staat knelpunten in bedrijfsprocessen te identificeren en ten aanzien hiervan verbeteringen door te voeren? • Bent u er zeker van dat medewerkers geen dubbele handelingen verrichten? • Weet u zeker dat de bedrijfsprocessen, zoals vastgelegd in handboeken, door medewerkers daadwerkelijk worden gevolgd?
26
informatievoorziening te garanderen. Betrouwbare informatie is tevens een belangrijke voorwaarde voor het afleggen van externe verantwoording. Daarnaast is tijdens de totale PCM-cyclus sprake van een grote betrokkenheid van managers en medewerkers. Daardoor komen belangrijke bewustwordingsprocessen in de organisatie op gang. Zo ontstaat bij managers begrip voor de problematiek op de werkvloer, doordat zij gestructureerd en helder krijgen weergegeven met welke knelpunten medewerkers te maken hebben. Doordat ook de medewerkers kunnen aangeven welke knelpunten zij ervaren, neemt het draagvlak voor compliance-procedures toe. Dit geldt tevens voor kennis van bedrijfsprocessen en de te volgen werkwijzen. Door medewerkers te vragen naar specifieke procesonderdelen, worden zij gestimuleerd zich regelmatig af te vragen of de beschreven werkwijzen (nog steeds) het meest efficiënt zijn én na te denken over mogelijke oorzaken en oplossingen.
Goede stuurinformatie is tijdig, volledig, juist en betrouwbaar Door gebruik te maken van standaardapplicaties, hoeft het voorleggen van vragen en beantwoorden door medewerkers overigens niet veel tijd te kosten. Ook het genereren van rapportages kan geautomatiseerd en dus uiterst efficiënt plaatsvinden. Process compliance monitoring zorgt kortom met een relatief geringe inspanning voor grote efficiencyvoordelen. Bestuurders en managers beschikken met dit instrument op de juiste tijd over de juiste informatie over bedrijfsprocessen. Dit maakt dat effectieve sturing, adequaat toezicht daarop én een transparante verantwoording naar alle stakeholders te allen –C tijde is gewaarborgd.