CASE Provincie Utrecht: Grip op Corona effecten met de verbijzonderde interne controle

Een nieuw fase begint!
De jaarrekeningcontrole van de Provincie Utrecht is afgerond en de vakantieperiode is voorbij. Dit is doorgaans het moment voor onze klanten om de verbijzonderde interne controleplannen voor het nieuwe boekjaar op te stellen. Bij het herijken van deze plannen en bijbehorende risico’s wordt er teruggeblikt op de trends, ontwikkelingen van het afgelopen jaar en de verwachtingen voor het nieuwe jaar. Bij de Provincie Utrecht zijn dit jaar de risico’s m.b.t. Corona (COVID-19) meegenomen in de inrichting van de verbijzonderde interne controle (VIC). Een trend die wij zien meer bij onze klanten en laat zien wat de meerwaarde van de VIC voor de bedrijfsvoering van een organisatie is. Dit maakt mij nieuwsgierig naar de effecten van Corona als het gaat om de inrichting van de VIC.

Corona effect op de VIC?
Vanuit welk perspectief kan een organisatie de Corona effecten meenemen in de VIC? De pandemie van dit jaar zal tenslotte flink impact hebben, maar hoe is uiteraard onzeker. Niet alleen op het gebied van risicobeheersing zal dit moeten worden meegenomen, maar ook binnen de administratieve organisatie en interne beheersing (AO/IB). Hoe duurzaam zijn de diverse bedrijfsprocessen en hoe corona bestendig? Tijdens het herijken van de processen bij de Provincie Utrecht, worden de risico’s en de gevolgen van corona direct doorvertaald naar wat dat betekent voor de bedrijfsprocessen.

We spreken met Daniël Visser van onze partner BMC. Daniël is bij de Provincie Utrecht bezig om een proces te ontwikkelen waarbij de Provincie in de toekomst zelfstandig een rechtmatigheidsverantwoording (RMV) afgeeft. Dit met het oog op de aanstaande wetwijziging waarbij de externe accountant geen afzonderlijk oordeel meer afgeeft over het onderwerp rechtmatigheid. Daniël geeft aan dat de effecten van Corona op meerdere plekken terug te zien zijn in de bedrijfsprocessen van de provincie Utrecht en daarbij ook effect heeft op de inrichting van de verbijzonderde interne controle.

Wat voor effect heeft Corona op de inrichting van de VIC?
De maatregelen van de intelligente lockdown zijn na het landelijk verkondigen per direct ingegaan. Dit heeft ervoor gezorgd dat de provincie Utrecht direct een andere werkwijze moest toepassen, zonder dat daar een verandertraject aan is voorafgegaan. Door het direct “verplicht” thuiswerken zijn processen gewijzigd, waarbij er mogelijk voor de organisatie aanvullende risico’s zijn.

Het effect op de inrichting van de VIC op de korte termijn is dat risicosessies van de processen op een eerder moment moeten plaatsvinden. Dit is van belang om tijdig belangrijke procesveranderingen en/of risico’s in beeld te brengen. Voor de langere termijn is het relevant om in beeld te brengen wat voor effecten eventuele (bezuinigings-)maatregelen, naar aanleiding van de Corona crisis, hebben op de bedrijfsprocessen en de daarbij behorende risicoanalyse van de gehele organisatie.

Waarom is het handig om Corona risico’s op te voeren?
Om op een goede wijze in te spelen op de Corona effecten is een actuele risicoanalyse noodzakelijk. Het is handig om Corona risico’s in ieder geval tijdelijk op te nemen, zodat je expliciet aandacht besteed aan de veranderende procesgangen en het daarbij veranderend en/of nieuwe beleid van de organisatie. De risico’s met een tijdelijk karakter verdienen hierbij ook een plek. Tevens kan de VIC als signaalfunctie tijdig inspelen op actuele relevante ontwikkelingen en de daarbij behorende risico’s of de gewenste extra beheersing.

Welke risico’s kom je tegen?
Bij het merendeel van de bedrijfsprocessen zie je terug dat deze na de intelligente lockdown zijn gewijzigd. Van deze proceswijzigingen is niet altijd een analyse gemaakt over de impact die dit heeft op de onderkende risico’s en beheersmaatregelen. Door het thuiswerken gaan bijvoorbeeld meer goedkeuringen per e-mail. Daarnaast is controle informatie niet altijd direct beschikbaar omdat dit op locatie is bewaard. Naast de proceswijzigingen en toegang tot informatie zijn er ook aanvullende risico’s onderkend op basis van het nieuwe beleid. Zo zijn er bijvoorbeeld nieuwe beleidsregels vastgesteld die inspelen op situaties waarbij activiteiten van subsidieontvangers niet of gedeeltelijk konden doorgaan. Verder kunnen partijen met hulpvragen zich aandienen bij de Provincie Utrecht. Voor deze voorbeelden geldt dat de Provincie Utrecht achteraf moet kunnen nagaan in hoeverre zij rechtmatig heeft gehandeld.

Conclusie
Corona heeft effect op zowel de risico’s binnen de organisatie als op de inrichting van de bedrijfsprocessen. Proceswijzigingen kunnen voorkomen op verschillende stappen en organisatieonderdelen. Het opvoeren van deze wijzigingen en het treffen van passende beheersmaatregelen en deze zichtbaar beheersen zorgt voor inzicht in de betrouwbaarheid van de processen voor controlejaar 2020 en zal een goed startpunt bieden m.b.t. de risico’s van 2021.

Hoe kan het Key Control Dashboard u helpen?
Het Key Control Dashboard geeft u de mogelijkheid om uw risico’s en beheersmaatregelen effectief te beheersen en biedt daarbij data-gedreven inzicht in de In Control Status van uw bedrijfsprocessen.

Maakt u al gebruik van het Key Control Dashboard? Dan is het mogelijk uw procesinrichting actief aan te passen en risico’s en beheersmaatregelen real-time te monitoren. Via het organisatie risico’s dashboard kunt u de risico’s beheersen en implementeren om via de heat-map een totaaloverzicht te creëren van alle risico’s die zich voordoen in 2020. Hierdoor worden de risico’s met betrekking tot het effect van corona ook zichtbaar binnen uw organisatie.

Wilt u een vrijblijvende demo ontvangen? Vraag deze dan hier aan.

Auteur: Priscilla Bhoelai werkt als Consultant bij het Key Control Dashboard. Zij is verantwoordelijk voor de support desk. Daarnaast is zij betrokken bij de implementatie van het GRC, IRM en ISMS software platform Key Control Dashboard met als focusarea changemanagement.