Paape
• Je kunt aan derden in eigen woorden uitleggen:
• Wat interne beheersing is volgens verschillende zienswijzen;
• Waarom interne beheersing van belang is;
• Wat het begrip risico inhoudt;
• Wat risicomanagement is;
• Wat de relatie is tussen risicomanagement en interne beheersing
De definitie van Paape van “In control zijn’ luidt -> Een organisatie is in control als zij beschikt over
een Management Control Systeem (MCS) dat haar in staat stelt binnen een vooraf gedefinieerde
periode in x% van de gevallen/tijd binnen een vooraf gedefinieerde risicotolerantie te blijven. Indien
buiten die risicotolerantiegrens wordt getreden, stelt het MCS de organisatie in staat dat tijdig te
constateren en te herstellen’.
Samenvattend moet aan de volgende punten zijn voldaan;
1. Beschikken over een management control systeem
2. Je moet de X% weten
3. Tijdig constateren en herstellen
Onderstaand zien we dat aan de onderkant buiten de risicotolerantie wordt getreden, zijn we nu niet
meer in control? Dat ligt eraan, als tijdig is geconstateerd en de maatregelen binnen de gestelde X%
zijn hersteld is het bedrijf nog steeds in control. Dit geldt zowel boven als onder.
Maar aan de bovenkant wordt toch meer winst gemaakt dat is toch altijd goed. We zien dat hier dus
meer risico is genomen en dat kan goed uitpakken zoals we onderstaand zien, maar het kan ook
slecht uitpakken dus eigenlijk als je weer niet voldoet aan de X% en je te lang boven de lijn zit kan je
toch niet meer in control zijn.
,Een onderneming kan in de praktijk niet alle risico’s hebben voorzien, hierdoor zal het bedrijf de
afweging moeten maken of zij hun beheersmaatregelen uitbreiden (kost meer geld) of dat zij het
risico accepteren.
Tot slot spreekt Paape nog over een ‘in control verklaring” en dat betekent dat de opzet, bestaan en
de werking van de interne beheersmaatregelen juist zijn.
Paape maakt v.w.b. de in control verklaring onderscheid in 2 varianten: de point in time benadering
(meting op een specifiek moment, bijvoorbeeld 31-12) en de periode-benadering (in control over een
bepaalde periode, bijvoorbeeld een boekjaar). De eerste wordt het meest toegepast volgens Paape,
maar is weinig zinvol omdat het een momentopname is. Zie hieronder de tekst uit zijn inaugurele
rede die erover ging:
“In het fameuze COSO-rapport (1994, pp 132-134) is die discussie indertijd ook gevoerd. Uit
praktische overwegingen werd toen geconcludeerd dat een ‘point-in-time’ rapportage inzake
‘internal control’ het meest voor de hand lag. Dat wil zeggen dat per een bepaalde datum,
meestal einde boekjaar, wordt verklaard dat er op dat moment sprake was van ‘in control’
zijn. De overwegingen daarbij waren eerder praktisch van aard dan principieel. Indien
verklaard diende te worden dat het gehele boekjaar het beheersingssysteem goed had
gewerkt, dan betekende dat er veel verificatieinspanningen dienden te worden geleverd
gedurende het jaar om zeker te stellen dat dit een terechte uitspraak zou zijn. Indien dan ook
nog zekerheid diende te worden gegeven dat het systeem ook in de toekomst goed zou
blijven functioneren, dan was dat in de ogen van velen teveel gevraagd. Dat laatste is
wellicht ook niet zo vreemd als we ons realiseren dat risico’s zeer snel kunnen opkomen en
veranderen waardoor ook het beheersingssysteem zich dient aan te passen. Natuurlijk lijkt
een ‘point-in-time’ verklaring weinig relevant. Slechts ‘in control’ zijn op 31 december van
enig jaar lijkt niet zinvol. Dat zou betekenen dat gedurende de rest van het jaar de zaak niet
op orde zou kunnen zijn. Bovendien is het vanuit professioneel perspectief onmogelijk om op
of rond die ene datum de benodigde verificatiearbeid te verrichten en vast te stellen dat de
risicomanagement en beheersingssystemen op die datum goed functioneerden.”
Het artikel is te linken met Merchant, omdat Merchant een management control systeem is die
probeert om doelcongruentie te behalen. Als medewerkers niet meer gemotiveerd zijn dan zal dit
ervoor kunnen zorgen dat doelstellingen niet worden behaald en dat laat zien dat een bedrijf niet
meer in control is.
,Kaplan en Mikes
Het artikel van Kaplan en Mikes beschrijft dat er 3 verschillende soorten risico’s zijn, te weten
vermijdbare risico’s strategische risico’s en externe risico’s. Vermijdbare risico’s komen vanuit het
bedrijf zelf en zijn controleerbaar en dus te elimineren. Bijvoorbeeld risico op fraude in het
verstrekken van te hoge kortingen door medewerkers -> functiescheidingen met directeur.
Strategische risico’s zijn risico’s die niet per definitie slecht zijn omdat dit ook kansen kunnen zijn. Het
bedrijf dient deze risico’s te beoordelen met behulp van riskmanagers, workshops en experts. Hier
dienen de kosten ook weer in overweging te worden genomen. Tot slot de externe risico’s, dit zijn
risico’s die buitenaf ontstaan en waar de onderneming geen invloed op heeft. Hierbij kan gedacht
worden aan natuurrampen, politieke omstandigheden etc. Deze zijn te beheersen middels stress
testing, war gaming en scenario planning.
War gaming betekent op korte termijn (2jaar) een team strategieën en acties te laten bedenken om
met de situatie om te gaan. Scenario planning lijkt op wargaming, echter is ligt hier de focus op lange
termijn (5-10 jaar). Stress testen zijn testen waar word uitgaan van verschillende mogelijkheden zoals
dat olie drie keer zo duur zou worden etc. Daarnaast kan een partij deze risico’s ook verzekeren of al
vroegtijdig contracten afsluiten etc.
Vermijdbare risico’s zien voornamelijk toe op
de COSO ICF en zijn met dit model goed te
beheersen. De strategische en externe
risico’s zijn veel meer te beheersen met
COSO ERM. COSO ICF kijkt veel meer naar de
verantwoording van informatie en kan dus
goed interne problemen verhelpen. COSO
ERM kijkt veel meer naar de strategische
kant en is dus makkelijk in te zetten op
risico’s behorende bij de strategie of van een
externe bron.
, COSO ICF
Toelichten betekenis BIV en IB en BIV IB
De betekenis van BIV kan door middel van twee begrippen worden omschreven, de Starreveld variant
en de Romney variant. Starreveld luidt: Het systematisch verzamelen, vastleggen, verwerken van
gegevens gericht op het verstrekken van informatie ten behoeve van het besturen in engere zin, doen
functioneren, beheersen van een hushouding en t.b.v. de verantwoording die daarover moet worden
afgelegd. Starreveld doet dit door te toetsen aan een nom.
Romney: Een systeem dat het bedrijf gebruikt om informatie te verzamelen, opslaan, beheersen,
ophalen en te rapporteren.
IB luidt: a process, effected by an entity's board of directors, management and other personnel,
designed to provide reasonable assurance regarding the achievement of objectives in the following
categories: Effectiveness and efficiency of operations, Reliability of financial reporting, Compliance
with applicable laws and regulations.
Nederlandse vertaling: een proces dat wordt uitgevoerd door de raad van bestuur, het management
en ander personeel van een entiteit en dat bedoeld is om een redelijke mate van zekerheid te
verschaffen met betrekking tot het bereiken van doelstellingen in de volgende categorieën:
Effectiviteit en efficiëntie van de bedrijfsvoering, Betrouwbaarheid van de financiële verslaglegging,
Naleving van de toepasselijke wet- en regelgeving
Kan BIV hebben zonder IB? Nee want om betrouwbare informatie te kunnen hebben heb je interne
beheersing nodig. Kan je IB hebben zonder BIV, Nee want als je geen informatie hoeft te hebben om
je onderneming te sturen dan is interne beheersing ook niet nodig.
Waarom is er een nieuwe versie van het coso model 1992 ontstaan? Door de technologische
veranderingen en het complexer worden van de omgeving en de betrokkenheid van stakeholders
over het mitigeren van fraude.
Er zijn twee soorten Coso -> COSO ICF en COSO ERM beide hebben ook een eigen definitie:
COSO ICF: Internal control is a process, effected by an entity's board of directors, management and
other personnel, designed to provide reasonable assurance regarding the achievement of objectives
in the following categories: Effectiveness and efficiency of operations. Reliability of financial
reporting. Naleving van de toepasselijke wet- en regelgeving
Dus: Interne beheersing is een proces dat wordt uitgevoerd door de raad van bestuur,
het management en ander personeel van een entiteit en dat bedoeld is om redelijke
zekerheid te verschaffen over het bereiken van doelstellingen in de volgende
categorieën: Effectiviteit en efficiëntie van de bedrijfsvoering. Betrouwbaarheid van
de financiële verslaglegging. Naleving van de toepasselijke wet- en regelgeving
COSO ERM: Het proces waarbij de organisaties risico’s managen en daarmee waarde creëren,
behouden en realiseren door te vertrouwen op een goede integratie van Cultuur,
vaardigheden/middelen en de uitvoering in de strategiebepaling en prestaties.
Toelichting Kubus COSO ICF
De Kubus is in 2013 ontstaan en focust zich voornamelijk op verantwoording afleggen over de
kwaliteit van interne beheersing. Op de bovenkant van de kubus staan de doelstellingen in ->
