in 2003 is de 'in control statement' vanuit de ... - Houthoff Buruma

FinAnciën
Trefwoorden: risicomanagement | Corporate governance | Code tabaksblat
in 2003 is de ‘in control statement’ vanuit de verenigde staten overgewaaid naar nederland.
volgens de toen verschenen code tabaksblat moet het bestuur van een beursgenoteerde
onderneming in het jaarverslag verklaren dat de interne-risicobeheersings- en
controlesystemen adequaat en effectief zijn. na de eerste schrik en daarmee gepaard gaande
vrees voor Amerikaanse toestanden is het rustig geworden rondom de ‘in control’-verklaring.
dat komt omdat de betekenis van de best-practicebepalingen over interne risicobeheersings-
en controlesystemen langzamerhand is uitgekristalliseerd. tijd voor een overzicht
van de stand van zaken.
Bas Visée
46 ManageMent eXeCUtIVe maart/april 2008 WWW.KlUWErmaNaGEmENt.Nl
beeldArcHieF: (m/v) ontWerp

Hoe krijg je controle
over ‘in control’?
Korte terugblik
In 1992 verscheen in het Verenigd Koninkrijk het zogenaamde
Cadbury-rapport The Financial aspects of corporate governance, waarin
aandacht werd besteed aan internal control. In dit rapport werd er op
gewezen dat het bestuur van een vennootschap verantwoordelijk
is voor het handhaven van adequate accounting records. Om aan deze
verantwoordelijkheid te voldoen heeft het bestuur in de praktijk
een systeem van interne controle over het financiële management
nodig, daaronder begrepen procedures om het risico van fraude te
minimaliseren. Daarom meenden de opstellers van het Cadburyrapport
dat het bestuur een juist systeem van interne controle in
gebruik moest hebben. Tevens werd aangeraden om het bestuur in
de jaarrekening een verklaring te laten afgeven over de effectiviteit
van het interne controlesysteem. Overigens is in de Engelse Combined
Code over corporate governance uiteindelijk geen verplichting
voor het bestuur opgenomen om zo’n verklaring af te geven.
In Nederland ontstaat in 1997 met het verschijnen van het rapport
Corporate Governance in Nederland van de commissie-Peters serieuze
aandacht voor corporate governance in het algemeen en risicobeheersing
in het bijzonder. Volgens de commissie-Peters houdt
het besturen van de vennootschap onder meer in dat het bestuur
verantwoordelijk is voor de effectuering van ondernemingsdoelstellingen,
de strategie en het beleid en de daaruit voortvloeiende
resultatenontwikkeling. De commissie beveelt aan dat het bestuur
aan de raad van commissarissen dient te rapporteren over de ondernemingsdoelstellingen,
de strategie en de daaraan verbonden
risico’s, en de mechanismen tot beheersing van risico’s van financiële
aard. Hoewel de 40 aanbevelingen van de commissie-Peters
primair bedoeld zijn voor beursgenootschappen, kunnen deze aanbevelingen
volgens de commissie ook worden toegepast op nietbeursvennootschappen.
In 2002 werd in de Verenigde Staten de Sarbanes-Oxley Act van
kracht. Volgens section 404 van deze wet dienen de CEO en de
CFO van Amerikaanse beursfondsen ieder jaar te verklaren dat zij
Hoe krijg je controle over ‘in control’?
in control zijn. De 404-verklaring moet worden opgenomen in het
jaarverslag. Daarin zal een intern controlerapport worden opgenomen
waarin wordt verklaard dat het management verantwoordelijk
is voor een adequate interne controlestructuur en voor procedures
voor de financiële verslaglegging. Verder dient het rapport per
einde van het laatste boekjaar een beoordeling in te houden van de
effectiviteit van het interne-controlesysteem en van de procedures
voor de financiële verslaggeving. Daarnaast moet ook nog worden
verklaard of er essentiële zwakheden in het systeem zitten.
Code Tabaksblat en wetswijzigingen
Op 9 december 2003 verscheen het rapport van de commissie-
Tabaksblat met de door haar opgestelde Nederlandse Corporate
Governance Code. In het hoofdstuk over de taak en de werkwijze
van het bestuur stelt de commissie-Tabaksblat als principe voorop
dat het bestuur verantwoordelijk is voor de naleving van alle relevante
wet- en regelgeving, het beheersen van de risico’s gebonden
aan de ondernemingsactiviteiten en voor de financiering van de
vennootschap. Het bestuur dient hierover te rapporteren aan en de
interne-risicobeheersings- en -controlesystemen te bespreken met
de raad van commissarissen en zijn auditcommissie. Dit principe
is nader uitgewerkt in een tweetal hierna te bespreken best-practicebepalingen.
Per 1 oktober 2004 is aan de artikelen 2:141 en 2:251 van het Burgerlijk
Wetboek een tweede lid toegevoegd: op grond daarvan dient
het bestuur van elke BV of NV de raad van commissarissen tenminste
één keer per jaar op de hoogte te stellen van de hoofdlijnen
van het strategisch beleid, de algemene en de financiële risico’s,
en het beheers- en controlesysteem van de vennootschap. In feite
gaat het hier om een codificatie van de hierboven genoemde aanbevelingen
van de commissie-Peters. Opvallend is dat een norm
die oorspronkelijk bedoeld was voor beursvennootschappen hier
simpelweg geëxtrapoleerd wordt naar alle vennootschappen. Dit
betekent dat een directeur van een kleine vennootschap jaarlijks
aan de raad van commissarissen moet gaan rapporteren over het
ManageMent eXeCUtIVe maart/april 2008 WWW.KlUWErmaNaGEmENt.Nl 47

FinAnciën
iedere vennootschap wordt geacht
een beheers- en controlesysteem
te hebben
beheers- en controlesysteem: de veronderstelling is dus dat ook
een kleine vennootschap over zo’n systeem beschikt!
Per eind 2004 is de Code Tabaksblat wettelijk verankerd. Dit houdt
in dat Nederlandse vennootschappen met een beursnotering in
hun jaarverslag mededeling moeten doen over de naleving van die
principes en best-practicebepalingen uit de Code Tabaksblat die
zijn gericht tot het bestuur of de raad van commissarissen. Als de
vennootschap die principes of best-practicebepalingen niet heeft
toegepast of niet voornemens is deze in het lopende en daaropvolgende
boekjaar toe te passen, doet zij daarvan in het jaarverslag
gemotiveerd opgave. Op zichzelf leidt de wettelijke verankering
dus niet tot juridische gebondenheid van beursvennootschappen
aan de codevoorschriften. Pas als een vennootschap in haar jaarverslag
aangeeft dat zij bepaalde codevoorschriften toepast, legt
zij zich ten opzichte van haar aandeelhouders en de overige bij de
vennootschap betrokkenen vast: het gaat dan om een toezegging
die in principe nagekomen moet worden.
Interne risicobeheersings- en controlesystemen
Als gezegd is het bestuur verantwoordelijk voor het adequaat functioneren
van de risicobeheersings- en controlesystemen. De Code
werkt deze verantwoordelijkheid uit in de volgende best-practicebepalingen:
‘II.1.3 In de vennootschap is een op de vennootschap toegesneden
intern-risicobeheersings- en controlesysteem aanwezig. Als instrumenten
van het interne-risicobeheersings- en controlesysteem
hanteert de vennootschap in ieder geval:
a. risicoanalyses van de operationele en financiële doelstellingen
van de vennootschap;
b. een gedragscode die in ieder geval op de website van de vennootschap
wordt geplaatst;
c. handleidingen voor de inrichting van de financiële verslaggeving
en de voor de opstelling daarvan te volgen procedures;
d. een systeem van monitoring en rapportering.’
‘II.1.4 In het jaarverslag verklaart het bestuur dat de interne-risicobeheersings-
en controlesystemen adequaat en effectief zijn en
geeft hij een duidelijke onderbouwing hiervan. Het bestuur rapporteert
in het jaarverslag over de werking van het interne-risicobeheersings-
en controlesysteem in het boekjaar. Het bestuur
geeft daarbij tevens aan welke eventuele significante wijzigingen
zijn aangebracht, welke eventuele belangrijke verbeteringen zijn
gepland en dat één en ander met de auditcommissie en de raad van
commissarissen is besproken.’
Best-practicebepaling II.1.3 is vanaf het begin in het algemeen goed
nageleefd. Op de websites van de meeste beursvennootschappen
is een gedragscode te vinden: meestal richt die code zich tot de
binnen de onderneming werkzame personen. Soms is er daarnaast
een gedragscode die bestemd is voor bijvoorbeeld toeleveranciers
van de onderneming.
In het boekjaar 2004 (het eerste waarin de nalevingsverplichting
– pas toe of leg uit – gold) was best-practicebepaling II.1.4 een
van de slechtst nageleefde bepalingen. Bij de beursfondsen was
grote onduidelijkheid en onrust over de precieze reikwijdte van de
gevraagde bestuursverklaring ‘dat de interne-risicobeheersings- en
controlesystemen adequaat en effectief zijn,’ welke verklaring al
gauw in control statement ging heten. De toelichting in het rapport
van de commissie-Tabaksblat zelf was beperkt tot de enkele opmerking
dat het in de rede ligt dat het bestuur in de verklaring aangeeft
welk normenkader (bijvoorbeeld het COSO-raamwerk voor
interne beheersing) hij heeft gehanteerd bij de evaluatie van het
interne-risicobeheersings- en controlesysteem.
In haar eerste rapport van december 2005 heeft de door het kabinet
ingestelde Monitoring Commissie Corporate Governance
Code als reactie op de geluiden uit de markt nadere aanbevelingen
gegeven omtrent de toepassing van best-practicebepaling II.1.4.
De Monitoring Commissie maakt allereerst onderscheid tussen financiële
verslaggeving risico’s en de overige bedrijfsrisico’s. Verder
beperkt de Monitoring Commissie de in control-verklaring net als
de Sarbanes-Oxley Act tot de financiële verslaggevingrisico’s. Ten
aanzien daarvan moet het bestuur verklaren dat de risicobeheersings-
en controlesystemen een redelijke mate van zekerheid geven
dat de financiële verslaggeving geen onjuistheden van materieel
belang bevat, dat de systemen in het verslagjaar naar behoren hebben
gewerkt en dat er geen indicaties zijn dat de systemen in het
lopende jaar niet naar behoren zullen werken. Tenslotte moeten
eventuele tekortkomingen die materiële gevolgen kunnen hebben
en in het verslagjaar respectievelijk het lopende jaar zijn geconstateerd
worden gemeld, waarbij tevens aangebrachte of geplande
verbeteringen worden aangegeven.
Voorts beveelt de Monitoring Commissie aan dat het bestuur inzicht
geeft in de andere risico’s (operationele/strategische risico’s en
wet- en regelgevingrisico’s). De risicoparagraaf van het jaarverslag
48 ManageMent eXeCUtIVe maart/april 2008 WWW.KlUWErmaNaGEmENt.Nl

moet een beschrijving van de risicobeheersings- en controlesystemen
op basis van de geïdentificeerde belangrijke risico’s bevatten
met een melding, indien van toepassing, van de belangrijke tekortkomingen
die in het verslagjaar zijn geconstateerd, waarbij tevens
aangebrachte of geplande verbeteringen worden aangegeven.
Door de guidance van de Monitoring Commissie is de vereiste ‘in
control’-verklaring ten opzichte van de oorspronkelijke tekst van
Code enerzijds genuanceerd (namelijk beperkt tot de financiële
verslaggevingrisico’s) en anderzijds ruimer geworden omdat het
bestuur zich ook expliciet moet uitlaten over de werking van de
risicobeheersings- en controlesystemen in het lopende boekjaar.
Waarschijnlijk omdat de betekenis van best-practicebepaling II.1.4
is verduidelijkt, is de naleving ervan de laatste jaren verbeterd. Desalniettemin
heeft de Monitoring Commissie het nodig geacht om in
haar derde rapport van december 2007 met nadere aanbevelingen
te komen voor de beschrijving van het risicoprofiel en het interne
risicobeheersings- en controlesysteem. Deze aanbevelingen hebben
betrekking op alle soorten risico’s die op de onderneming van
toepassing zijn. Hierbij dient volgens de commissie het belang van
de gebruiker van het jaarverslag voorop te staan. De inhoud van de
risicoverslaggeving moet aansluiten bij de informatiebehoefte van
aandeelhouders en andere betrokkenen.
Allereerst dient de onderneming in haar risicoverslaggeving aan
te geven met welke risico’s de onderneming in aanraking komt en
kan komen bij het uitvoeren van haar strategie. De onderneming
geeft daarnaast aan welke risico’s zij bereid is te nemen om haar
doelstelling te realiseren (risk appetite) en kwantificeert deze zo mogelijk,
door middel van een gevoeligheidsanalyse. De lezer van het
jaarverslag kan vervolgens bepalen of de risicohouding van de onderneming
aansluit bij de risicohouding van de belanghebbende
gebruiker van het jaarverslag. Naast de beschrijving van het risicoprofiel
dient de vennootschap uiteen te zetten hoe het interne-risicobeheersings-
en controlesysteem is ingericht en hoe dit aansluit
bij het risicoprofiel. De Monitoring Commissie geeft gedetailleerd
aan welke punten tenminste aan de orde moeten komen in de beschrijvingen
van het risicoprofiel en interne-risicobeheersings- en
controlesysteem.
Slotsom
Door de Code Tabaksblat is de aandacht voor risico’s en risicobeheersing
belangrijk toegenomen. De afgelopen jaren is de omvang
van de risicoparagraaf in het jaarverslag van beursgenoteerde ondernemingen
navenant gegroeid. Benadrukt moet worden dat de
uitlatingen van het bestuur in het jaarverslag – uiteraard – niet vrij-
Hoe krijg je controle over ‘in control’?
blijvend zijn. Als het bestuur in het jaarverslag een concrete toezegging
doet – bijvoorbeeld dat hij het interne-risicobeheersings- en
controlesysteem in het lopende boekjaar op een specifiek punt zal
verbeteren – dan kan het bestuur in beginsel aan zo’n toezegging
worden gehouden. Indien door het jaarverslag een misleidende
voorstelling wordt gegeven van de toestand van de vennootschap
– bijvoorbeeld door daarin te verklaren dat het interne-risicobeheersings-
en controlesysteem naar behoren functioneert, terwijl
zo’n systeem feitelijk ontbreekt – dan zijn de bestuurders tegenover
derden hoofdelijk aansprakelijk voor de door hen dientengevolge
geleden schade (artikel 2:139/249 Burgerlijk Wetboek).
Daarnaast kunnen de voorschriften uit de Code Tabaksblat en de
hierboven omschreven guidance van de Monitoring Commissie een
concrete invulling vormen voor open normen in ons vennootschapsrecht,
zoals de regels voor wanbeleid. Indien het bestuur van
een beursgenoteerde onderneming zonder adequate motivering
niet voldoet aan de door de Monitoring Commissie voorgeschreven
good practice ten aanzien van risicobeheersing, dan kan zulks
een aanwijzing vormen voor onbehoorlijke taakvervulling door
de bestuurders, de norm voor interne bestuurdersaansprakelijkheid
(artikel 2:9 Burgerlijk Wetboek). Mijns inziens is de reikwijdte
van de Code Tabaksblat en de nadere invulling daarvan door de
Monitoring Commissie nog groter: de vele open normen in ons
vennootschapsrecht leiden tot reflexwerking van de bepalingen uit
de Code en de guidance van de Monitoring Commissie naar nietbeursgenoteerde
ondernemingen.
De conclusie luidt dat het weliswaar rustig is geworden rondom de
‘in control’-verklaring omdat de betekenis daarvan is verduidelijkt,
maar dat waakzaamheid geboden is bij de toepassing ervan. Immers,
onjuiste of onzorgvuldige uitlatingen van het bestuur over
risicobeheersing kunnen ernstige consequenties hebben in geval
van eventuele aansprakelijkheidsclaims.
Bronnen
• www.commissiecorporategovernance.nl.
• Bier, Barbara, ‘Het risico van de risicobeheersing- en interne controlesystemen:
de “in control”-verklaring van de Code tabaksblat’, Tijdschrift Ondernemingsrecht,
2005/ 6, art. 2.
• Visée, S.W.a.m., ‘Het rechtskarakter van de Code tabaksblat’, in: Markten onder
toezicht, Kluwer, Deventer, 2004, p. 279 e.v. https: hhadm.hosting.tamtam.
nl/documents/rechtskarakter%20code%20tabaksblat.pdf
Mr. S.W.A.M. Visée is advocaat in amsterdam en partner bij Houthoff Buruma. Hij
adviseert grote al dan niet beursgenoteerde ondernemingen uit Nederland en uit
het buitenland op het gebied van corporate governance. Daarnaast spreekt en
publiceert hij regelmatig over dit onderwerp.
b.visee@houthoff.com
ManageMent eXeCUtIVe maart/april 2008 WWW.KlUWErmaNaGEmENt.Nl 49