Informatie, financiën en risicobeheersing

Informatievoorziening en -behoefte

De moderne toezichthouder wacht niet af welke informatie hij krijgt – hij speelt een actieve rol in het bepalen van wat hij nodig heeft. De informatiebehoefte hangt af van de rol die de Raad van Toezicht op dat moment vervult: toezichthouder, klankbord, werkgever of ambassadeur. Naast vaste rapportagesets – die het risico dragen een comfortabele routine te worden – is er altijd informatie die actief moet worden gehaald.

De rol van de toezichthouder

De eigen expertise van toezichthouders speelt een belangrijke rol bij het formuleren van de informatiebehoefte van de raad als geheel. Een toezichthouder met een IT-achtergrond kan bij een complexe digitaliseringsbeslissing zonder meer de rol van sparringpartner vervullen; zonder die kennis is er behoefte aan specifiek toegespitste informatie of ondersteuning van derden. De vaste rapportagesets brengen het risico mee dat ze op den duur comfort-informatie worden, waarvan de regelmatige beschikbaarheid belangrijker lijkt dan de inhoud. Betrokken toezichthouders blijven zich continu afvragen welke informatie zij aanvullend nodig hebben.

Te veel informatie

Als de Raad van Toezicht om steeds meer informatie vraagt, is dat een signaal dat er iets anders aan de hand is. De taak van de Raad van Toezicht is toezicht houden op het proces van besluitvorming door het bestuur – niet de besluitvorming overdoen. Als een discussie uitmondt in het vragen om steeds meer informatie, is dat een signaal dat toezichthouders zich richten op het besluit zelf in plaats van op de kwaliteit van de totstandkoming ervan.

Intern en extern

Informatie voor toezichthouders kan worden onderverdeeld in interne informatie (uit de organisatie zelf) en externe informatie (van buiten). Externe informatie verschaft de context om interne informatie te duiden. Een nuttig onderscheid is: intern brengen (vaste rapportages), intern halen (gesprekken met OR/MR), extern brengen (jaarverslagen van peers, benchmarks) en extern halen (publicaties, gesprekken met andere toezichthouders).

Geen verrassingen

Als toezichthouder kun je van alles regelen, maar buiten kijf staat dat je geen verrassingen wilt. Spreek dit duidelijk uit: beter een keer te veel aan de bel getrokken dan te weinig. En misschien nog belangrijker: werken aan een goede sfeer en aanmoediging, zodat een klimaat van ‘geen verrassingen’ wordt gecreëerd.

(Meerjaren)begroting

De begroting is de financiële vertaling van de meerjarenstrategie voor het komende jaar: een actieplan met een bijbehorend budget om de langetermijnstrategie te realiseren. De Raad van Toezicht keurt de begroting goed en toetst of de gestelde doelen realistisch en ambitieus zijn, of ze passen binnen de strategie en of er voldoende draagvlak voor is in de organisatie. Relevante vragen zijn: zijn de doelen reëel, worden omgevingsfactoren tijdig onderkend, past de organisatiestructuur bij de gemaakte keuzes en hoe is de organisatie aangehaakt? Met de meerjarenprognose beoordeelt de raad of het bestuur de langetermijnontwikkelingen weet te vertalen in financiële consequenties. Instellingen met majeure investeringen (waarbij de investering 15 procent of meer bedraagt van de totale jaarlijkse baten) of volledige doordecentralisatie van huisvesting moeten een vijfjarig perspectief opnemen. De Raad van Toezicht beoordeelt de begroting ook met de bril van externen: het ministerie van OCW en andere stakeholders kijken mee.

Jaarcyclus

Om een transparante en effectieve besturing mogelijk te maken, werken instellingen met een planning- en controlcyclus gebaseerd op de kwaliteitscirkel van Deming:

• Plan (formuleren van doelstellingen)
• Do (acties om de doelen te realiseren)
• Check (monitoren van de realisatie)
• Act (nemen van actie op gevonden afwijkingen).

Dit cyclische proces vormt de ruggengraat van het financiële toezicht.

Prestatiesturing en monitoring

• De manier waarop de Raad van Toezicht toezicht houdt, beïnvloedt direct de focus van het bestuur. Wie zich beperkt tot compliance, stimuleert het bestuur tot rapportagegetrouwheid. Wie ook oog heeft voor de factoren die bepalend zijn voor de gezondheid van de organisatie, stimuleert het bestuur tot toekomstgericht denken. Toezicht kan op die manier daadwerkelijk waarde toevoegen.

Financiële gezondheid Belangrijk voor de Raad van Toezicht is informatie die duidelijk maakt aan welke activiteiten de instelling het geld besteedt. Periodieke rapportages van slechts de staat van baten en lasten zijn beslist ontoereikend. Liquiditeitsprognoses over een periode van drie tot vijf jaar zijn essentiële informatie, zeker bij geplande bouwprojecten. Drie scenario’s zijn relevant: het blijft zoals het is, het valt enigszins tegen, of het wordt veel minder. De signaleringswaarden van de Inspectie van het Onderwijs zijn eveneens zeer relevant: zij zijn geen normen, maar aanleiding om met het bestuur te bezien of er financiële risico’s zijn.

Operationele prestaties

Naast financiële gezondheid dient de raad te weten welke kernactiviteiten de toekomstige resultaten gaan bepalen. KPI’s – zowel kwantitatieve als kwalitatieve – worden opgenomen in maand- of kwartaalrapportages. Een veel gebruikte methode is de balanced scorecard, die naast financiële criteria ook het klantperspectief (studenten, overheid, samenleving), interne bedrijfsprocessen en lerend vermogen meet. De Raad van Toezicht houdt ook toezicht op de doelmatige besteding van publieke middelen.

Financieel toezicht

Financiële rapportages van het bestuur zijn onmisbaar voor het toezicht op het gevoerde beleid. Aandachtspunten omvatten: de realisatie van doelstellingen, de strategie en bijbehorende risico’s, de opzet en werking van interne risicobeheersings- en controlesystemen, het verslaggevingsproces, de naleving van wet- en regelgeving, en de verhouding met stakeholders. Kengetallen helpen de voortgang kernachtig te rapporteren, maar toezichthouders kunnen niet volstaan met het uitsluitend monitoren van cijfers. Zichtbaar moet zijn hoe de gerapporteerde kengetallen zich verhouden ten opzichte van jaarbudgetten en voorgaande perioden. De Raad van Toezicht stelt mede de kengetallen vast waarop hij wil sturen, bij voorkeur in een brainstormsessie met het bestuur. Uitgangspunt is ook dat de instelling een goed functionerende administratieve organisatie en interne beheersing (AO/IC) heeft: dit gaat over de veelgehoorde vraag of ‘het bestuur in control is’.

Essentie in rapportages

Het bestuur rapporteert doorgaans maandelijks of per kwartaal de resultaten aan de Raad van Toezicht. Voor een behoorlijk inzicht beantwoorden goede rapportages aan de Raad van Toezicht aan het navolgende:

• Inzicht in de gerealiseerde baten, lasten en kasstromen in de rapportageperiode;
• Spiegelen de cijfers aan de begroting en aan dezelfde periode in voorgaande jaren;

Bevatten een toelichting op afwijkingen én de maatregelen die zijn getroffen. Bijzondere aandacht verdienen year-end estimates, rolling forecasts met gevoeligheidsanalyses en liquiditeitsprognoses – met name bij bouwprojecten. Ook niet-financiële ratio’s, zoals de ontwikkeling van studentenaantallen of huisvestingratio’s, zijn relevant. Het jaarverslag wordt jaarlijks goedgekeurd door de Raad van Toezicht. In de passage ‘Verslag van de Raad van Toezicht’ doet de raad zelf verslag van het uitgevoerde toezicht in het jaar, inclusief de manier waarop hij het bestuur heeft ondersteund en geadviseerd over beleidsvraagstukken en financiële problematiek.

De auditcommissie

De auditcommissie houdt toezicht op het functioneren van het interne systeem van planning en control, de getrouwheid en rechtmatigheid van financiële gegevens, de werking van interne risicobeheersings- en controlesystemen, en de relatie met de externe accountant. De leden moeten kennis hebben van financiële verslaggeving, interne beheersing, wet- en regelgeving, juridische geschillen en compliance. De taken en verantwoordelijkheden van de auditcommissie zijn omvangrijk en stellen hoge eisen aan het profiel van haar leden, ook qua tijdsbeslag. Er is bovendien een tendens om auditcommissies met steeds meer taken te belasten. Daarom wordt aanbevolen de taken van de commissie kritisch te bezien tijdens de jaarlijkse evaluatie van de raad. De auditcommissie moet voor haar taken dicht bij de organisatie staan en op regelmatige basis gesprekken voeren met de financieel directeur, interne accountant, IT-manager, hoofd Juridische Zaken en externe accountant.

De relatie met het ministerie van OCW en financiers

Het ministerie van OCW is doorgaans de enige financier van onderwijsinstellingen. Een goede relatie is dan ook essentieel. De Raad van Toezicht ziet erop toe dat het bestuur de verantwoording aan het ministerie op orde heeft, professioneel communiceert en tijdig signaleert als de relatie aandacht vraagt. De raad dient te worden geïnformeerd als het ministerie de instelling benadert: duiden de vragen op aandachtspunten? Treedt het bestuur op een goede en professionele manier in contact? Ook in de relatie met het ministerie geldt het adagium: werk aan een voorspelbaar proces, zodat men over en weer niet wordt verrast. Bij bouwprojecten kan bankfinanciering worden aangetrokken; ook die trajecten verdienen zorgvuldige begeleiding vanuit de raad.

Relatie met de accountant

Accountants vervullen een publieke, wettelijk verankerde functie en zijn in feite de ogen en oren van de raad van toezicht. De raad van toezicht — niet het bestuur — is leidend bij de selectie van de accountant en heeft een beslissende stem bij de vaststelling van het jaarlijkse controleplan. De accountant controleert de betrouwbaarheid van de door het bestuur opgestelde cijfers en rapporteert zijn bevindingen via de controleverklaring, het accountantsverslag en doorgaans ook de managementletter. Daarmee vervult de accountant een spilfunctie in de governancedriehoek van de instelling — niet alleen richting bestuur en toezichthouder, maar ook richting stakeholders als de OR/MR, de overheid en de samenleving, die op basis van de jaarrekening vertrouwen moeten kunnen stellen in de doelmatige en rechtmatige besteding van publieke middelen. De toezichthoudende taak van de raad van toezicht ten aanzien van de financiële verslaglegging omvat de monitoring van het verslaggevingsproces, de doeltreffendheid van de administratieve organisatie en interne controle, de controle van de jaarrekening en de onafhankelijkheid van de accountant. Het advies is om twee tot drie keer per jaar met de accountant af te stemmen: bij de start van de controle, eventueel tussentijds na de interim-controle, en bij de bespreking van de jaarrekening en de uitkomsten daarvan. De relatie tussen de raad van toezicht en de accountant is formeel en wettelijk gereguleerd, maar dient ook een natuurlijk en open karakter te hebben. Het gesprek gaat immers verder dan cijfers alleen: ook risicomanagement, governance, de kwaliteit van de financiële functie, de samenstelling van het controleteam en de bevindingen van de Inspectie van het Onderwijs kunnen aan bod komen. De accountant heeft een veel ruimer inzicht in de positie en het functioneren van de organisatie dan een puur cijfermatig beeld, en dat inzicht is voor de raad van toezicht van wezenlijke waarde. Best practice is dat de auditcommissie ten minste eenmaal per jaar zonder aanwezigheid van het bestuur overleg voert met de accountant. De accountant woont de Raad van Toezicht-vergadering bij waarin het jaarverslag wordt behandeld. Bij geconstateerde onregelmatigheden is de Raad van Toezicht voor de accountant het eerste aanspreekpunt. Vaste vragen aan de accountant: zijn er zaken relevant voor toezichthouders die niet in het accountantsverslag worden genoemd, en welke posten in de jaarrekening wijken af van het concept van het bestuur?

Plan van aanpak

Jaarlijks wordt een planning gemaakt voor de controle en de onderwerpen die daarin aan de orde komen: het algemene beeld van de instelling, uitgangspunten voor interne beheersing, risicomanagement, IT-audit en specifieke situaties. Dit plan van aanpak wordt ter bespreking en goedkeuring voorgelegd aan de auditcommissie. Ook in de relatie met de accountant geldt: werk aan een voorspelbaar proces, zodat men over en weer niet wordt verrast.

Accountantsverslag

Het verslag bevat de toelichting op bevindingen tijdens de controlewerkzaamheden, aandacht voor kritische waarderingsposten, de fiscale positie, compliance, eventuele fraudekwesties en de onafhankelijkheid van de accountant. Het mondt uit in een goedkeurende, afkeurende of beperkte verklaring, of een verklaring van oordeelonthouding.

Managementletter

De managementletter gaat dieper in op de interne risicobeheersing en mogelijke verbeteringen, en bevat early warning signals die de accountant met het bestuur wil delen. Het is goed gebruik dat het bestuur uit zichzelf de Raad van Toezicht over de managementletter informeert. De managementletter heeft geen formele status en kan niet dienen als substituut voor het accountantsverslag.

Risicobeheersing

De maatschappij verwacht van bestuurders dat zij tijdig anticiperen en reageren op voor de continuïteit van de organisatie/instelling relevante ontwikkelingen en daarmee gepaard gaande risico’s. Tegelijkertijd is sprake van een complexer wordende omgeving en een hoog verwachtingspatroon van alle stakeholders. Dit leidt ertoe dat voor de Raad van Toezicht, zowel in zijn toezichthoudende als in zijn adviserende rol, het belang van risicomanagement toeneemt. Zo dient het bestuur in het jaarverslag onder meer een beschrijving te geven van de voornaamste risico’s en onzekerheden.

Code goed bestuur

Per sector bestaan governancecodes die aanwijzingen geven over de wijze waarop de Raad van Toezicht zijn toezicht moet uitvoeren en hoe hij georganiseerd moet zijn. Ze benadrukken het belang van onafhankelijkheid, integriteit en transparantie over nevenfuncties. Managen van risico’s Risicomanagement is het continue proces waarin risico’s die het behalen van organisatiedoelstellingen kunnen beïnvloeden, worden geïdentificeerd, geprioriteerd, geanalyseerd en beheerst. Het is een integraal onderdeel van de bedrijfsprocessen, systematisch, transparant en dynamisch. De ontwikkeling gaat van reactief naar proactief: van traditioneel risicomanagement, primair gebaseerd op beheersmaatregelen, naar een early warning system met continue risico-informatie op basis van risicosymptomen, geïntegreerd in de planning- en controlcyclus en met soft controls als belangrijke basis. De ontwikkelingen op dit terrein worden gekenmerkt door een beweging van reactief naar proactief risicomanagement. Dit laat zich als volgt in beeld brengen:

Verantwoording risicobeheersing

Onderwijsinstellingen leggen ook extern verantwoording af over hun risicobeheersing. Het bestuur neemt in het bestuursverslag een rapportage op over de aanwezigheid en werking van het interne risicobeheersings- en controlesysteem, de belangrijkste risico’s en onzekerheden, en de maatregelen die worden getroffen.

Rol van de Raad van Toezicht

De raad van toezicht dient zicht te hebben op de risicobereidheid van de organisatie in relatie tot haar strategische doelstellingen, en zich de vraag te stellen of hij deze aanvaardbaar acht. Dat vraagt om inzicht in de belangrijkste risico's die het behalen van die doelstellingen kunnen doorkruisen — niet alleen op het gebied van procedures en financiën, maar nadrukkelijk ook op het vlak van gedrag en cultuur. De tone at the top is daarvoor het vertrekpunt. Naast goede informatievoorziening vanuit het bestuur geldt hier een zekere haalplicht voor toezichthouders: het actief inleven in en ontwikkelen van gevoel voor de bedrijfscultuur, verder gaand dan het opvragen van documenten. Risicobeheersing vraagt om een samenhangend systeem waarin gedefinieerde risico's, inschattingen, maatregelen en procedures zijn ondergebracht, zodat witte vlekken en overlappingen zichtbaar worden. Vanaf welke omvang of complexiteit een dergelijk systeem onmisbaar is, laat zich niet in algemene termen vaststellen — aansluiting bij de criteria voor het instellen van een ondernemingsraad biedt daarvoor een bruikbaar vertrekpunt. Voor de raad van toezicht komen de belangrijkste aandachtspunten neer op het volgende:

• Zorg voor voldoende kennis van de organisatie, haar activiteiten en omgeving;
• Bespreek de uitkomsten van risico-identificatie en -weging, en wees alert op elkaar versterkende risico's;
• Bevraag zowel de interne als externe accountant over hun bevindingen;
• Bespreek met het bestuur veranderingen in het risicoprofiel en beoordeel of de reactie op accountantsbevindingen toereikend is;

Laat periodiek toetsen of de organisatie adequaat verzekerd is tegen bedrijfsschade, aansprakelijkheid en andere risico's.