en wat boeit me dat als compliance officer?

Om met dat laatste maar te beginnen: als compliance officer heb je een taak in het bevorderen van compliance en in het bewaken van compliance met wet- en regelgeving. Een bepaald niet onbelangrijk deel van de regelgeving voor accountants is de VGBA, in dit verband met name artikel 12 dat luidt: “De accountant houdt zijn vakbekwaamheid op het niveau dat is vereist om een professionele dienst op een adequate wijze te kunnen verlenen.” Uit de toelichting blijkt dat hiermee onder meer het oude begrip “deugdelijke grondslag” wordt bedoeld. Maar hoe kom je tot een deugdelijke grondslag? Dat begint toch echt bij wat je als accountant kan. Je vakkennis.

Specifiek voor controle-opdrachten gaat NV COS 220 nader in op de relatie tussen kwaliteitsbeheersing en deskundigheid van het controleteam. Vast staat dat de accountantseenheid verantwoordelijk is voor een stelsel van kwaliteitsbheersing, de Wta onderstreept dat nog eens voor wettelijke controles. Hier ligt dus ook de directe link naar de compliance officer. Het is niet de primaire taak van de tekenend accountant, maar van de accountantsorganisatie of het accountantskantoor, om een dergelijk stelsel in te richten en te laten werken. Begrijpelijk ook, want het is de accountant die namens de accountantseenheid een verklaring afgeeft.

Wat zegt NV COS 220 nu over die deskundigheid, over wat een accountant moet kunnen? Aardig genoeg, eigenlijk niets. In paragraaf 14 van de standaard staat: “

De opdrachtpartner dient ervan overtuigd te zijn dat het opdrachtteam en eventuele door de accountant ingeschakelde deskundigen die geen deel uitmaken van het opdrachtteam, gezamenlijk over de passende competentie en capaciteiten beschikken teneinde:

1. de controleopdracht overeenkomstig professionele standaarden en in overeenstemming met door wet- en regelgeving gestelde vereisten uit te voeren; en
2. een controleverklaring mogelijk te maken waarvan het in de gegeven omstandigheden passend is dat deze wordt uitgebracht.

”. Dat gaat dus niet over de deskundigheid van de tekenend accountant, maar over de gezamenlijke deskundigheid van het hele team. Opnieuw een duidelijk signaal dat de verklaring niet “van de accountant” is, maar van een team, dat weer past in het grotere geheel van de accountantseenheid.

Maar dat neemt niet weg dat de tekenend accountant vaktechnisch en daarmee tuchtrechtelijk eindverantwoordelijk is voor de verklaring. En dus moet de accountant, die in deze standaard wordt aangeduid als de opdrachtpartner, zich er persoonlijk van overtuigen dat haar of zijn team samen met eventuele overige deskundigen in gezamenlijkheid beschikt over de benodigde deskundigheid.

Het lijkt voor de hand liggend dat die accountant dus ook zelf over enige deskundigheid moet beschikken. Al was het maar om te kunnen inschatten welke deskundigheid nodig is voor de controle-opdracht en welke deskundigheid binnen het team, met eventuele aanvullingen van buiten, beschikbaar is.

Opleidingsinstituten als universiteiten en hogescholen, die studenten opleiden tot accountant, de Commissie Eindtermen Accountantsopleiding die in hoge mate bepaalt wat studenten moeten leren om accountant te kunnen worden, en de Nederlandse Beroepsorganisatie van Accountants die normen stelt aan de permanente educatie van accountants, steken veel energie in wat in essentie de vraag is: “wat moet een accountant kunnen?”

In dit vrij omvangrijke stelsel staat de compliance officer voor de uitdagende taak iets te vinden van de deskundigheid van de accountants en de teams in de organisatie, van de opleiding en de permanente educatie en van de specifieke deskundigheid die voor individuele opdrachten nodig en beschikbaar is, danwel van de interne systemen die moeten garanderen dat uiteindelijk opdrachten met voldoende deskundigheid worden uitgevoerd.

In de basis is de deskundigheid van de accountant, althans van de auditor, tweeledig:

1. Kennis van controle
2. Kennis van administratieve organisatie, ook wel bestuurlijke informatievoorziening genoemd

Dat de meeste accountant-auditors zelf wellicht kennis van externe verslaggeving als belangrijkste kennis domein zouden noemen is niet gek, maar ook niet correct. De eerste twee domeinen betreffen het uitvoeren van controles op informatie geproduceerd door organisaties. Dat is de algemene deskundigheid voor iedere accountant-auditor. Afhankelijk van welke informatie gecontroleerd wordt, is vervolgens een specifieke deskundigheid met betrekking tot die informatie nodig. Dat kan externe verslaggeving zijn, maar ook fiscaliteit, ESG, etcetera.

Het valt wellicht op dat de IT auditor hier niet benoemd wordt. Dat komt omdat deze in feite ofwel een ander soort controles uitvoert, namelijk niet op informatie, maar op informatie-systemen, ofwel slechts de lacunes in de deskundigheid van de accountant opvult. De accountant zelf is immers bij uitstek IT auditor. Het tweede kennisdomein, Administratieve Organisatie is in hoge mate IT. Anders gezegd, IT is niets anders dan geautomatiseerde AO. (Ik veroorloof me daarom een verwijzing naar een stukje opleiding dat tot op heden nog veel te weinig aandacht krijgt in de deskundigheidsbevordering van accountants: hands on deskundigheid met IT )

De compliance officer beschikt over het algemeen over een deskundigheid die deels de deskundigheid van de accountant en diens team overlapt, maar zelden volledig. De reviewers en “okb-ers” waar de compliance officer op steunt hebben veelal al meer overlap, maar opnieuw niet volledig. Waar moet het toezicht op de deskundigheid dan op aangrijpen? Dat kan op een aantal punten:

• De formele opleidingen van accountants en teamleden. Vaak accountantsopleidingen, maar eventueel ook andere opleidingen. Bewijzen hiervan zullen in de HR-functie zijn verzameld en vastgelegd.
• Permanente educatie. Voor de AA en RA kennen we inmiddels een systeem van zelfreflectie, formuleren van een opleidingsbehoefte, een opleidingsplan en vervolgens een evaluatie van bereikte doelen. Voor verschillende andere gecertificeerde deskundigen, zoals de RE, de CISA, de RV, NOB- en RB-leden, etcetera, bestaan eigen systemen van permanente educatie
• Op grond van NV COS 220 dient ieder controledossier een analyse te bevatten van de benodigde en de beschikbare deskundigheden van het controle-team. Deze analyse zal zodanig opgezet moeten zijn dat deze voor een niet bij de opdracht betrokken accountant op juistheid en volledigheid beoordeeld kan worden.