Wat is het risico van het risico?
Barbara Bier
De wereld is niet meer hetzelfde. Vroeger, acht jaar geleden, werd er vertrouwd op de intelligentie en fatsoen van de bestuurders en commissarissen van onze beursgenoteerde vennootschappen als het ging om de omgang met de risico’s die zij zoal binnen het bedrijf tegenkwamen. Jaarlijks presenteerden zij de jaarrekening en het jaarverslag over het afgelopen boekjaar en in de jaarvergadering werd kort uit de doeken gedaan hoe het allemaal was verlopen. We leerden van onze Amerikaanse en
Artikel kopen € 79,00 excl. BTW
In plaats van abonneren kunt u dit artikel ook afzonderlijk kopen.
Engelse vrienden dat wij niet alleen op de blauwe en bruine ogen van deze bestuurders en commissarissen moesten vertrouwen. Zij moesten in het jaarverslag van de vennootschap die zij onder hun hoede hadden veel meer gaan vertellen over de risico’s die de vennootschap liep en of zij die allemaal wel in het vizier hadden en beheersten.
De eerste versie van de Nederlandse Corporate Governance code, de Code Tabaksblat, gaf in dat kader een streng voorschrift: in het jaarverslag moest het bestuur verklaren dat de interne risicobeheersings- en controlesystemen van de desbetreffende vennootschap adequaat en effectief waren. Dat was nogal een schrik voor veel bestuurders. Elke vennootschap had in min of meerdere mate wel een soort systeem om te kijken of er geen hele gekke dingen gebeurden, maar om nou in het jaarverslag zoiets te verklaren, dat was toch wel iets anders. Het wekte dan ook geen verbazing dat deze bepaling niet zo heel veel werd nageleefd. Al in haar tweede verslag gaf de Monitoring Committee daarom aan dat het ook wel een tandje minder kon, die verklaring, en zij gaf wat ‘guidance’ over de invulling van de bepaling. Er kon in de verklaring een onderscheid gemaakt worden tussen de financiële verslaggevingsrisico’s en de andere risico’s (operationele/strategische risico’s en wet- en regelgeving risico’s). Langzaam zagen we het aantal vennootschappen dat deze best practice bepaling toepaste toenemen. In de nieuwe Corporate Governance code werd de desbetreffende bepaling aangepast. Het bestuur dient, kort gezegd, voortaan de voornaamste (strategische) risico’s en de opzet en werking van de interne risicobeheersings- en controlesystemen slechts te beschrijven. De ‘in-control’-verklaring die het bestuur dient af te leggen in het jaarverslag is teruggebracht tot een verklaring dat de interne risicobeheersings- en controlesystemen ten aanzien van de financiële verslaggevingsrisico’s een redelijke mate van zekerheid geven dat deze geen materiele onjuistheden bevatten en dat de risicobeheersings- en controlesystemen in het verslag jaar naar behoren hebben gewerkt.1
Is de gebruiker van jaarverslagen nu beter af dan vroeger? Ik weet het niet. Ten eerste kan de lezer (laten we ervan uitgaan dat jaarverslagen ook bedoeld zijn voor mensen met een redelijke intelligentie die geen bedrijfskunde of economie hebben gestudeerd) soms niet zo goed uit het jaarverslag opmaken hoe zwaar de beschreven risico’s door het bestuur worden ingeschat. Eigenlijk wil men graag een lijstje in volgorde van de onderwerpen waar de ceo, de cfo of misschien wel het hele bestuur echt het meest van wakker ligt. Verder wordt er wel geklaagd dat uit de opsomming niet altijd valt op te maken wat de impact voor de vennootschap is als het gevreesde risico zich voordoet. Is dat heel vervelend voor de vennootschap, maar zijn de gevolgen daarvan wel te absorberen of betekent de materialisatie een ernstig risico voor het voortbestaan van de vennootschap?
Dan de systemen zelf. Functioneren ze naar behoren? Ik werd wat somber toen ik het in 2009 verschenen rapport ‘Risicomanagement in tijden van crisis’2 las, waarin wordt opgemerkt dat de respondenten aanzienlijk meer overtuigd waren van de kwaliteit van hun risicomanagement dan gerechtvaardigd was op grond van de inschattingen van de onderzoekers. Wel zien de onderzoekers een significante verbetering ten opzichte van hun onderzoek in 2004. Dat laatste is dan wel weer bemoedigend.
Er is nog een ander puntje van aandacht. Alle risico- en controlesystemen kunnen geheel op orde zijn en naar behoren functioneren, maar je hebt maar één medewerker nodig die gaat sa1.
In het Besluit van 20 maart 2009, Stb. 154 staat die verklaring net weer iets anders weergegeven, zie het artikel ‘Ziet de accountant alle risico’s?’ verderop in dit nummer.
U heeft op dit moment geen toegang tot de volledige inhoud van dit product. U kunt alleen de inleiding en hoofdstukindeling lezen.
Wanneer u volledige toegang wenst tot alle informatie kunt u zich abonneren of inloggen als abonnee.
