Verantwoording over risicobeheersing
Externe verslaggeving

Verantwoording over risicobeheersing
Wat willen aandeelhouders, banken en ondernemingsraden weten?

Willem Peter de Ridder en Jeroen Steggink
SAMENVATTING De Nederlandse code-Tabaksblat kent concrete bepalingen met
betrekking tot de verantwoording over risicobeheersing en de ‘in control’-verklaring
die in het jaarrapport moet worden opgenomen. Ondanks de aanvullende aanbevelingen
die de Monitoring Commissie sinds 2005 ter verduidelijking en aanscherping jaarlijks
uitvaardigt, blijkt naleving van deze bepalingen nog niet 100 procent te zijn. In de discussie
over het nut van de in-controlverklaring hebben wij verschillende stakeholders bij de
onderneming, namelijk aandeelhouders, banken en centrale ondernemingsraden, in een
serie interviews gevraagd naar hun informatiebehoefte. De informatieverstrekking over
risicobeheersing blijkt nog niet toereikend om een rol te spelen in besluitvormingsprocessen. Uit het onderzoek komen ook suggesties naar voren ten aanzien van de inhoud van
de in-controlverklaring en de wijze van handhaving van de naleving van de bepalingen in
de code-Tabaksblat.
RELEVANTIE VOOR DE PRAKTIJK Inzicht in het gebruik van de in-controlverklaring
door verschillende stakeholders bij de onderneming is van belang voor zowel de ondernemingen die de verklaring opstellen als voor regelgevers en toezichthouders die de wettelijke en maatschappelijke eisen aan de in-controlverklaring formuleren.
 1 Inleiding
Risicobeheersing blijft een bijzonder actueel thema. Sinds
het begin van de jaren negentig van de vorige eeuw zijn
wereldwijd corporate governance codes ingevoerd die
beogen het vertrouwen in ondernemingen te herstellen na
diverse geruchtmakende bedrijfsschandalen. In de
Nederlandse code-Tabaksblat zijn concrete bepalingen
met betrekking tot de verantwoording over risicobeheersing opgenomen. Eén van deze bepalingen stelt dat het
bestuur in het jaarrapport duidelijk onderbouwd dient te
verklaren dat de risicobeheersingsystemen adequaat en
effectief zijn. Deze in-controlverklaring geldt als één van
de belangrijkste bepalingen om de kans op herhaling van
bedrijfsschandalen te verkleinen. Om de naleving van de
code-Tabaksblat vast te stellen en benodigde aanpassingen

in de code te kunnen aanbrengen, is de Monitoring
Commissie geïnstalleerd. Deze commissie heeft de naleving van de code-Tabaksblat in de jaarrapporten vanaf
boekjaar 2004 beoordeeld en vastgesteld dat de code en de
bijbehorende best practice-bepalingen weliswaar nog niet
overal volledig worden nageleefd, maar dat de verantwoording over risicobeheersing wel sterk is verbeterd.
Tegen deze achtergrond staat in dit artikel de vraag
centraal in hoeverre de informatie die ondernemingen
verstrekken over hun risicobeheersing toereikend is voor
de verschillende stakeholders en op welke wijze deze informatie wordt gebruikt. Vertrouwen kan worden hersteld als
de informatieverstrekking over risicobeheersing voldoet
aan de verwachtingen van de verschillende actoren in het
maatschappelijke verkeer. Hoewel de code-Tabaksblat
primair geschreven is voor de versterking van de zeggenschap en de bescherming van aandeelhouders, gaat de
verantwoording over risicobeheersing ook andere stakeholders bij de onderneming aan.
 Dit artikel sluit aan bij eerdere publicaties over de
in-controlverklaring in het MAB. In 2005 beschreven
Sampers (2005) en Diekman (2005) de inhoud van de rapportage over de interne controle volgens respectievelijk de
Nederlandse code-Tabaksblat en de Amerikaanse Sarbanes
Oxley Act. Vervolgens zijn in diverse artikelen aanbevelingen gedaan voor aanpassing en verbetering van de codeTabaksblat, onder anderen door De Groot (2006), De Groot
en Koolstra (2006) en Van Leeuwen en Wallage (2007).
Groenland, Daals en Von Eije (2006) hebben onder anderen
vastgesteld dat uit de risicorapportage voortvloeiende variabelen het rendement van ondernemingen niet konden
verklaren. Wij kiezen in dit artikel het perspectief van de
gebruikers van de in-controlverklaring en hebben interviews gehouden met (vertegenwoordigers van) aandeelhouders, banken en ondernemingsraden. Op basis van hun
verklaringen komen wij tot aanbevelingen ten aanzien van
de verantwoording over risicobeheersing door ondernemingen.
De opbouw van dit artikel is als volgt. Paragraaf 2 geeft een

83E JAARGANG JULI/AUGUSTUS 2009 247

korte uiteenzetting van de in-controlverklaring en de relevante regelgeving op dat gebied. In paragraaf 3 beschrijven
we de behoeften van stakeholders bij de in-controlverklaring, die op basis van eerder onderzoek mogen worden
verwacht. Naar aanleiding hiervan hebben wij onze onderzoeksvragen geformuleerd. Paragraaf 4 beschrijft de resultaten van de interviews met de verschillende stakeholders
en paragraaf 5 sluit af met de conclusies.
 2 De in-controlverklaring
Omdat er spanning kan bestaan tussen de belangen van de
aandeelhouders en van de bestuurders van de onderneming, bekend uit de agency- theorie, zijn regels voor corporate governance opgesteld. Vooral voor beursgenoteerde
ondernemingen met een gespreid aandelenbezit zijn eisen
aan de wijze waarop bestuurders verantwoording afleggen
nodig. In Nederland is hiervoor sinds 2004 de code-Tabaksblat van toepassing. Deze stelt dat besturen van een
vennootschap onder meer de verantwoordelijkheid
inhoudt voor de realisatie van de doelstellingen van de
vennootschap, de strategie met het bijbehorende risicoprofiel, de resultatenontwikkeling en de voor de onderneming
relevante maatschappelijke aspecten van ondernemen. De
in-controlverklaring is een belangrijk onderdeel van corporate governance en ook in de code-Tabaksblat zijn hierover
specifieke best practice-bepalingen opgenomen.
Voordat we naar de in-controlverklaring gaan, is het goed
de vraag te beantwoorden wat ‘in control’ betekent.
Emanuels (2006) definieert interne beheersing als het
systeem (in de zin van een doelmatig geordend geheel van
bij elkaar horende entiteiten en hun onderlinge relaties)
dat het management in staat stelt om de risico’s die het
behalen van doelstellingen van de organisatie bedreigen, te
identificeren, te prioriteren, te analyseren en te beheersen.
Volgens Paape (2008) is een organisatie in control als zij
beschikt over een management (of internal) controlsysteem dat haar in staat stelt binnen een vooraf gedefinieerde periode in x% van de gevallen/tijd binnen een vooraf
gedefinieerde risicotolerantie te blijven. Indien risicotolerantiegrenzen worden overschreden, stelt het controlsysteem de organisatie in staat dat tijdig te constateren en
te herstellen. Voor de operationalisering hiervan wordt
meestal verwezen naar de COSO-modellen voor Internal
Control en Enterprise Risk Management. Deze bieden een
goed algemeen kader, maar voor effectieve toepassing is
een organisatiespecifieke invulling vereist.
 In de laatste update van de code-Tabaksblat (Monitoring
Commissie, 2008b) is best practice-bepaling II.1.4, die ziet
op de in-controlverklaring, aanzienlijk gewijzigd en uitgebreid. Waar het bestuur in de oorspronkelijke code van
2003 werd gevraagd te verklaren dat de interne risicobeheersing- en controlesystemen adequaat en effectief zijn, is

248 83E JAARGANG JULI/AUGUSTUS 2009

nu verduidelijkt wat daarmee wordt bedoeld. Expliciet is
benoemd dat een beschrijving moet worden gegeven van
de voornaamste risico’s gerelateerd aan de strategie, van
zowel de opzet als het bestaan van de interne risicobeheersing- en controlesystemen en van de eventuele belangrijke
tekortkomingen. In de toelichting wordt aanvullend opgemerkt dat in de beschrijving aandacht moet worden
besteed aan het risicoprofiel van de vennootschap: de
houding ten opzichte van de genoemde risico’s (risk appetite) en de gevoeligheid voor verwezenlijking van de risico’s. Ten aanzien van de financiële verslaggeving is in een
nieuwe bepaling II.1.5 opgenomen dat moet worden
verklaard dat die met een redelijke mate van zekerheid
geen onjuistheden van materieel belang bevat.
3 Naleving en nut
Met ingang van boekjaar 2004 is naleving van de code
verplicht en sindsdien zijn verschillende onderzoeken
uitgevoerd naar de naleving van de code in zijn geheel en
ten aanzien van de specifieke bepalingen voor verantwoording over risicobeheersing in het bijzonder. In het evaluatierapport van de Monitoring Commissie (2008a) van juni
2008, dat zich laat lezen als de balans van drie jaar monitoren, wordt de ontwikkeling van de naleving van de code
en de aanvullende aanbevelingen geschetst. De in-controlverklaring behoorde in 2004 nog tot één van de bepalingen
die veelvuldig werd uitgelegd in plaats van toegepast.
 Sinds 2005 nemen alle vennootschappen een in-controlverklaring op en verschuift de aandacht meer naar de inhoud
daarvan. In de jaarlijkse rapporten van de Monitoring
Commissie betreffende de naleving van de code zijn meermalen aanvullende aanbevelingen gedaan, omdat ondernemingen behoefte hadden aan meer guidance ten aanzien
van de verklaring van adequaatheid en effectiviteit. Dit
heeft uiteindelijk geleid tot de aanpassingen in de code,
zoals hierboven beschreven, en heeft de Monitoring
Commissie gemaakt tot de meest gezaghebbende bron in
Nederland voor de eisen die aan de bestuursverklaring
moeten worden gesteld.
 Eén van de meest recente onderzoeken naar de risicoparagrafen in de jaarverslagen van de Nederlandse beursfondsen is van Mertens en Blij (2008) en gemaakt in
opdracht van het NIVRA en Eumedion. Zij constateren dat
risicomanagement volop in de belangstelling staat en in
het jaarverslag aan belang wint, maar dat nog geen enkele
onderneming alle vereiste aspecten in haar jaarverslag
heeft opgenomen. In de verslaggeving over risicobeheersing bestaat een grote variëteit ten aanzien van de mate
van diepgang, de beschrijving van de beheersingssystemen,
de beschrijving van de risico’s en de in-controlverklaringen. Bestuurders lijken voorzichtig in de gekozen
bewoordingen voor de in-controlverklaring. Door juridische invloeden kunnen twijfels over de reikwijdte van deze

verklaring ontstaan. Mertens en Blij (2008) stellen vast dat
slechts 10 procent van de ondernemingen inzicht geeft in
de belangrijkste risico’s. Geen van de onderzochte ondernemingen heeft aangegeven wat de kans is dat een risico
zich voordoet. Verder worden nagenoeg alleen de financiële risico’s gekwantificeerd. Operationele en financiële
risico’s worden veelvuldig weergegeven, maar wet- en
regelgevingrisico’s worden beduidend minder frequent
weergegeven. Ook geeft slechts 15 procent van de onderzochte ondernemingen een indicatie van haar risicobereidheid (risk appetite). In vrijwel alle jaarverslagen wordt
melding gemaakt van een periodieke evaluatie, maar in
minder dan 5 procent wordt daadwerkelijk informatie over
de uitkomsten hiervan verstrekt. De AEX-fondsen zijn
hierin volledig ontransparant en geven geen inzicht in
mogelijke tekortkomingen van risicobeheersing- en
controlesystemen. Ten slotte heeft 24 procent van de
ondernemingen geen verklaring opgenomen dat er geen
indicatie bestaat dat het systeem het komende jaar niet
naar behoren zal functioneren.
 Als de naleving van de code minder dan de ook door
Monitoring Commissie onverminderd verlangde 100
procent is, moeten we ons ook afvragen wat het nut is van
de in-controlverklaring. Groenland, Daals en Von Eije
(2006) constateren in een onderzoek onder 125 Nederlandse
beursgenoteerde ondernemingen dat er geen significant
verband bestaat tussen de inhoud van de risicoparagraaf in
het jaarrapport 2004 en het rendement van het aandeel van
die ondernemingen in de eerste helft van 2005. Alleen het
vermelden van het bestaan van een risicobeheersing- en
controlesysteem had een significant positief effect.
Motivaction (2005) concludeerde aan de hand van een
kwalitatief onderzoek ook dat stakeholders vooral interesse
hebben in een beschrijving van de ondernemingsrisico’s en
het risicobeheersingsysteem. Voor investeringsbeslissingen is de in-controlverklaring minder relevant en praktisch onbruikbaar. Bij incidenten zal daar echter in juridische procedures wel op worden teruggegrepen. Volgens
Van Leeuwen en Wallage (2007) heeft een in-controlverklaring veel kenmerken van een onbereikbaar doel. Zij zien
liever een beschrijving van de risico’s en controls en
bepleiten terughoudendheid ten aanzien van het wettelijke vereiste voor een stellige verklaring van het management. Paape (2008) stelt dat de in-controlverklaring veel
gebakken lucht is en vanuit wetenschappelijk perspectief
de toets der kritiek niet kan doorstaan. Hij gaat echter niet
zover als Van de Ven (2008), die pleit voor afschaffing van de
in-controlverklaring, omdat die averechts zou werken en
het vertrouwen in organisaties ondergraaft.
 Veel debat is er ook over de wijze waarop naleving van de
code-Tabaksblat moet worden gehandhaafd. De code is

wettelijke verankerd, maar niet opgenomen in het strafrecht, waardoor er geen directe mogelijkheid voor sanctionering bij het niet naleven van de code bestaat. Ook het
‘pas toe of leg uit’-principe geeft ondernemingen veel
speelruimte. In de Verenigde Staten is de druk op naleving
van de Sarbanes-Oxley Act vele malen groter. In Nederland
wordt ook geen specifieke accountantscontrole ten aanzien
van de in-controlverklaring geëist, maar slechts een grove
mededeling in het jaarverslag over het naleven van de
principes en best practice-bepalingen (NIVRA, 2008). In
Amerika dient de accountant een specifieke accountantsverklaring af te geven bij de bestuursverklaring, waarna
deze samen met de accountantsverklaring bij de jaarrekening openbaar wordt gemaakt. Van Ees et al (2007)
vermoeden dat de beoogde gedragsverandering van
bestuurders, die moet leiden tot vergroting van de kwaliteit en integriteit van het bestuur van de onderneming,
eerder te verwachten is indien striktere eisen worden
gesteld. Mouthaan (2007) relativeert het belang van regelgeving nog verder. Hij stelt dat formele governance niet de
belangrijkste oorzaak is van incidenten en beursschandalen en dat ondernemingen bewust en gestructureerd op
cultuur en ethiek binnen de organisatie moeten sturen.
Met de geactualiseerde corporate governance code streeft
ook de Monitoring Commissie (2008) expliciet een gedragsverandering na en wordt het belang van integraal risicomanagement meer benadrukt. De commissie geeft
aandeelhouders de opdracht mee een ‘afvinkmentaliteit’ in
de beoordeling van de corporate governance-structuur te
vermijden. De nadruk moet meer liggen op het gedrag en
de taakuitvoering in de praktijk dan op de wijze waarop
verantwoording wordt afgelegd.
 De centrale vraag in ons onderzoek is welke rol de in-controlverklaring speelt bij (investerings)beslissingen. Op basis van
bovenstaande discussie werken we deze vraag verder uit. Ten
aanzien van de inhoud van de in-controlverklaring willen
we weten of de stakeholders een in-controlverklaring willen
of een gedetailleerde beschrijving van de bedrijfsrisico’s en
de risicobeheersingsystemen. Ook willen wij weten hoe zij
aankijken tegen de verantwoording over de risicomanagementfilosofie en risk appetite van de onderneming. Ten
aanzien van de handhaving van de naleving van de eisen die
in de code-Tabaksblat worden gesteld, zijn de onderzoeksvragen of striktere sanctionering de integriteit van bestuurders helpt bevorderen, of een afzonderlijke accountantsverklaring bij de in-controlverklaring gewenst is en of de
code-Tabaksblat meer of minder rule based moet worden.
De antwoorden op deze vragen komen in de volgende paragraaf aan de orde.
 4 Resultaten van het stakeholderonderzoek
De code-Tabaksblat (Monitoring Commissie, 2008b, p. 6)

83E JAARGANG JULI/AUGUSTUS 2009 249

Externe verslaggeving

gaat uit van ‘het in Nederland gehanteerde uitgangspunt
dat de vennootschap een langetermijnsamenwerkingsverband is van diverse bij de vennootschap betrokken partijen
(..): werknemers, aandeelhouders en andere kapitaalverschaffers, toeleveranciers, afnemers, de overheid en maatschappelijke groeperingen. Het bestuur en de raad van
commissarissen hebben een integrale verantwoordelijkheid voor de afweging van deze belangen, doorgaans
gericht op de continuïteit van de onderneming. Daarbij
streeft de vennootschap naar het creëren van aandeelhouderswaarde op de lange termijn.’
Tegen deze achtergrond hebben wij ons onderzoek niet
beperkt tot (vertegenwoordigers van) aandeelhouders, maar
zijn ook banken, als verschaffers van vreemd vermogen, en
leden van de ondernemingsraad in hun functie als vertegenwoordigers van werknemers betrokken. In de groep aandeelhouders is gesproken met beleggingsexperts van Robeco
(belegger voor enerzijds de Rabobank en anderzijds eindklanten), Fortis OBAM (beursgenoteerd beleggingsfonds
met een belegd vermogen van circa 5,5 miljard euro) en
Reggeborgh Invest (family office dat actief belegt in vastgoed, private equity en beursgenoteerde aandelen).
 Daarnaast zijn vertegenwoordigers van Eumedion (sinds
1 januari 2006 de opvolger van de Stichting Corporate
Governance Onderzoek voor Pensioenfondsen en belangenbehartiger op het terrein van corporate governance
voor in Nederland gevestigde institutionele beleggers) en
Dutch Sustainability Research (advies- en onderzoeksbureau
voor institutionele beleggers inzake sociaal verantwoord
investeringsbeleid en corporate governance-vraagstukken)
geïnterviewd. Voor de banken is gesproken met drie verantwoordelijken voor de beoordeling van kredietaanvragen van
grootzakelijke, veelal beursgenoteerde, klanten van ABN
Amro/RBS, Rabobank en ING. Voor de visie van werknemers
hebben wij allereerst drie vakbonden benaderd, die echter
niet tot medewerking bereid waren. Eén van de vakbonden
gaf hier een reden voor aan, namelijk dat men zich vooral
bezighoudt met arbeidsvoorwaarden en salarisonderhandelingen en geen aandacht besteedt aan de verantwoording
over risicobeheersing. Als alternatief is gesproken met de
voorzitters van de centrale ondernemingsraden (COR) van de
Koninklijke BAM Groep (beursgenoteerde bouwonderneming met 30.000 medewerkers), Koninklijke Boskalis
Westminster (beursgenoteerde aanbieder van baggerdiensten met 8.500 medewerkers) en Koninklijke Volker Wessels
Stevin (bouwconcern met meer dan 17.000 medewerkers, dat
er vrijwillig voor kiest de code-Tabaksblat na te leven).
De interviews hebben plaatsgevonden in het derde kwartaal
van 2008 op het kantoor van de stakeholders. Aan alle respondenten is dezelfde serie van vooropgestelde vragen in dezelfde
volgorde voorgelegd (volgens de gestructureerde interviewmethode). Hieronder zijn de onderzoeksresultaten per onderzoeksvraag en per stakeholdergroep weergegeven.
 250 83E JAARGANG JULI/AUGUSTUS 2009

Rol van de in-controlverklaring bij (investerings)beslissingen
De aandeelhouders zijn eensgezind van mening dat door
invoering van de code-Tabaksblat het risicobewustzijn bij
ondernemingen is toegenomen en dat gestructureerd
wordt gewerkt aan risicobeheersing en de wijze van
rapportering daarover. Zij merken op dat kwaliteit van de
informatieverstrekking niet evenredig is toegenomen met
de kwantiteit van de informatieverstrekking over risicobeheersing. Door onder andere de juridische invloeden zijn
de teksten wolliger geworden, hetgeen niet betekent dat de
informatie wordt verschaft die noodzakelijk is om inzicht
te krijgen in de aanwezige risico’s en de daarbij behorende
beheersingsmaatregelen. Het nut van de in-controlverklaring wordt zeer beperkt geacht. Ook degenen die het goed
vinden dat bestuurders hun verantwoordelijkheid tonen
via een aparte verklaring over de werking van de risicobeheersing noemen de in-controlverklaring surreëel of
bekritiseren de beperking van de strekking van de verklaring tot de financiële verslaggevingrisico’s.
De kredietanalisten van de banken geven aan dat de informatie in de in-controlverklaring niet voldoet aan hun
behoefte. Zij menen dat de verantwoording te veel
PR-gedreven is met juridisch correcte statements, wat leidt
tot een minimale gebruikswaarde voor banken. Omdat
banken wel veel waarde hechten aan inzicht in de aanwezige risicobeheersing bij ondernemingen vergaren zij hun
informatie via andere kanalen, zoals persoonlijke
gesprekken met de directie, benchmarkgegevens en
management letters.
Ook de voorzitters van de COR geven aan op basis van
alleen de in de jaarrapporten verstrekte informatie geen
goed oordeel te kunnen vellen over de risicobeheersing. Zij
krijgen hun informatie via hun contacten met de raad van
bestuur en andere interne informatiekanalen.
Alle geïnterviewde experts geven aan dat de in-controlverklaring niet of nauwelijks wordt gebruikt in de
besluitvorming. Alleen het ontbreken van een in-controlverklaring roept vragen bij hen op.
 In-controlverklaring of een gedetailleerde beschrijving van
de bedrijfsrisico’s en de risicobeheersingsystemen?
De aandeelhouders geven de voorkeur aan een concrete
beschrijving van de belangrijkste risico’s en de daarvoor
geldende beheersingssystemen boven de huidige
in-controlverklaring. Een verantwoording van de belangrijkste risico’s (strategisch, operationeel, financieel en
compliance), inclusief een kwantificering van zowel de
kans als de impact op resultaat en vermogen van het risico,
zou een degelijk inzicht in de onderneming verschaffen.
Uitbreiding van de strekking van de in-controlverklaring,
zodat deze geldt voor alle soorten risico’s, zou een verbetering kunnen zijn, maar ondervangt niet de behoefte aan
een gedetailleerde beschrijving van de risico’s.
De banken zouden graag zien dat de huidige beschrijving
van risico’s en risicobeheersingsystemen in plaats van een
algemene opsomming specifieker wordt met een gevoeligheidsanalyse waaruit de impact van de risico’s blijkt. Dit
leidt tot meer focus op de echt belangrijke risico’s.
De voorkeur van de COR-voorzitters is dat naast een goede
en concrete beschrijving van de belangrijkste risico’s eveneens een in-controlverklaring wordt opgenomen. Zij geven
aan wel belang te hechten aan de in-controlverklaring,
omdat de raad van bestuur daarmee aangeeft verantwoordelijkheid te nemen voor deze verantwoording.
ring hiervan de informatieverstrekking wordt verbeterd
en/of de integriteit van bestuurders wordt vergroot. De
huidige wijze waarop de code is verankerd in de wet is
voldoende. Voor ernstige zaken is de bestuurdersaansprakelijkheid opgenomen in het strafrecht.
Zowel twee van de drie kredietanalisten als twee van de
drie COR-voorzitters zijn voorstander van striktere sanctionering. Zij menen dat de invoering van sancties een positieve werking zal hebben op zowel de integriteit van
bestuurders als de volledigheid van de informatieverschaffing over risicobeheersing.
 Verantwoording over risicomanagementfilosofie en
risk appetite
De meeste aandeelhouders zijn van mening dat verantwoording over de risk appetite (risicobereidheid) extra
inzicht kan geven. Zij verwachten dat zij op basis van deze
informatie in combinatie met de ondernemingsstrategie
een betere inschatting kunnen maken van het risicoprofiel
van de onderneming. Zij beseffen overigens dat dit geen
ultieme oplossing is, aangezien het jaarverslag ook een
PR-functie heeft.
Bij de bankiers zien we eenzelfde soort reactie. Daarenboven
wordt opgemerkt dat het risk appetite van aandeelhouders
en bankiers tegengesteld kan zijn. Richting aandeelhouders
zullen bestuurders willen laten zien dat zij bereid zijn om
risico’s te nemen om (extra) rendement voor aandeelhouders
te realiseren. Banken zien liever dat bestuurders beperkt
risico’s nemen. Aandeelhouders profiteren immers van de
upside van risico en banken hebben alleen een downside.
De voorzitters van de COR achten verantwoording over de
bereidheid van het bestuur om risico’s te nemen en welke
strategie het bestuur hierbij voor ogen heeft van belang. Zij
zien enerzijds graag dat tegenvallers en daarmee mogelijke
ontslagen worden voorkomen en hebben anderzijds belang
bij een goed renderende onderneming waarvoor het nemen
van risico’s onvermijdelijk is. Bij een te risicomijdende strategie kunnen de rendementen bovendien zodanig onder
druk komen dat aandeelhouders zich gaan roeren en/of de
onderneming een overnamekandidaat wordt.
Een afzonderlijke accountantsverklaring bij de in
control-verklaring
Ten aanzien van de behoefte aan een aparte accountantsverklaring bij de in-controlverklaring verschillen de meningen
van de aandeelhouders. Twee van hen, die vinden dat de
verklaring op zichzelf al weinig toegevoegde waarde heeft,
hebben geen behoefte aan een aparte accountantscontrole.
 Zij wijzen erop dat de huidige in-controlverklaring in het
bijzonder gericht is op de financiële verslaggevingrisico’s die
de accountant al indirect beoordeeld heeft voor de jaarrekeningcontrole. De andere drie aandeelhouders zijn voorstander van een accountantscontrole, mits daarvoor duidelijke kaders worden gesteld. Het moet geen schijnzekerheid
worden en de extra accountantskosten moeten ook niet
onevenredig hoog worden.
Bij de bankiers en COR-voorzitters zien we hetzelfde beeld.
Eén van de bankiers is tegen een accountantsverklaring bij de
in-controlverklaring en wijst erop dat alleen financiële data
objectief en controleerbaar zijn voor een accountant. De informatie die de onderbouwing vormt voor de in-controlverklaring is zodanig subjectief dat het voor accountants onmogelijk
wordt om deze informatie op objectieve wijze te controleren.
Ook onder de COR-voorzitters vinden we twee voorstanders
voor uitbreiding van de accountantscontrole en is er één
terughoudend vanwege de praktische haalbaarheid.
Striktere sanctionering ter bevordering van de integriteit
van bestuurders?
Geen van de geïnterviewde stakeholders is van mening dat
fraude kan worden voorkomen door corporate governanceregels. Een meerderheid is wel van mening dat corporate
governance-regels handvatten verstrekken voor het stellen
van kaders en structuren, die een preventieve functie
vervullen. Ook wordt aangegeven dat corporate governance-regels positief bijdragen aan de risicobewustwording binnen een onderneming.
 Bij geen van de aandeelhouders bestaat behoefte aan stringentere sanctionering. Zij verwachten niet dat door invoe-

Meer of minder rule based?
Ten aanzien van deze discussie vinden we een zeer
gevarieerd beeld en is de uitkomst niet eenduidig. De
meeste geïnterviewden zijn tegen verdere regulering ten
aanzien van de in-controlverklaring. Alleen voor het
opnemen van de in-controlverklaring op een vaste plek in
het jaarverslag vinden we meerdere voorstanders. Een
meerderheid is er bijvoorbeeld niet voor een standaardtekst
voor de in-controlverklaring, waarbij de overweging is dat
iedere onderneming uniek is en de mogelijkheid moet
hebben om bedrijfsspecifieke informatie in de verklaring
op te nemen. Hetzelfde geldt voor het opleggen van een
evaluatieraamwerk. De voorkeur van de meeste experts is
dat de onderneming zelf een raamwerk kiest en die keuze
verantwoordt. Invoering van standaardkaders zou alleen

83E JAARGANG JULI/AUGUSTUS 2009 251

Externe verslaggeving

Tabel 1
Maatregel

Aandeelhouders

Banken

Ondernemingsraden

Gemiddeld

Verplicht opnemen van een beschrijving van de
risicomanagementfilosofie en risk appetite

1,6

2,0

1,7

1,8

Verplichte kaders stellen voor de in-controlverklaring

2,2

3,0

3,0

2,7

Verplichte accountantscontrole voor de in-controlverklaring

3,2

3,3

3,0

3,2

Sancties instellen bij onvolledige/onjuiste naleving van de
code-Tabaksblat

4,2

3,0

2,7

3,3

Afschaffen van de in-controlverklaring

3,2

3,7

4,7

3,8

werken als internationaal uniforme standaarden worden
ingevoerd, waarmee de mogelijkheid ontstaat om ondernemingen grensoverschrijdend met elkaar te vergelijken.
Na de serie open vragen is de respondenten een vijftal
mogelijke maatregelen in de vorm van stellingen voorgelegd met het verzoek deze te rangschikken met een score 1
(de belangrijkste maatregel die als eerste ingevoerd dient te
worden) tot 5 (de minst belangrijke maatregel). In tabel 1
zijn de gemiddelde scores van de drie groepen stakeholders
weergegeven.
 Deze cijfers illustreren de meningen van de stakeholders
zoals hierboven samengevat. Gelet op de beperkte omvang
van de steekproef zijn deze cijfers uiteraard niet significant
voor grotere populaties.
5 Conclusies
Dit exploratieve/verkennende onderzoek geeft indicaties dat
de in-controlverklaring nog weinig toegevoegde waarde
heeft voor de verschillende stakeholders bij de onderneming:
aandeelhouders, kredietverschaffers en centrale ondernemingsraden. Onze conclusies zijn niet generaliseerbaar
vanwege het ontbreken van een representatieve steekproef
en hebben dan ook alleen betrekking op de groep geïnterviewden. Zij geven aan dat voor hun informatiebehoefte de
informatieverstrekking over risicobeheersing in Nederland
niet toereikend is. Sinds de invoering van de code-Tabaksblat
is de hoeveelheid informatie die ondernemingen verschaffen
ten aanzien van hun risicobeheersing sterk toegenomen.
Desondanks speelt de in-controlverklaring nauwelijks een
rol bij het nemen van (investerings)beslissingen. Het belang
van de in-controlverklaring lijkt vooral te zijn dat er meer
aandacht komt voor risicobeheersing in de ondernemingen
en dat bestuurders hun verantwoordelijkheid tonen voor de
verantwoording.
 Ten aanzien van de inhoud van de informatie die wordt
verschaft, vragen de meeste stakeholders om een specifieke
uiteenzetting van de voor de onderneming belangrijke

252 83E JAARGANG JULI/AUGUSTUS 2009

risico’s (strategisch, operationeel, financieel en compliance)
en de daarvoor geldende risicobeheersingsystemen en niet
om een opsomming van algemene risico’s en beheersingsmaatregelen. De beschrijving dient minimaal een rangorde
te bevatten en bij voorkeur een kwantificering van risico’s
met indicatie van zowel de kans dat een risico zich voordoet
als een analyse van de impact op het resultaat en vermogen
indien het risico zich voordoet. Daarnaast is de beschrijving
over de risicomanagementfilosofie en de risk appetite (risicobereidheid) van de onderneming van belang. Inzichtelijk
moet worden gemaakt hoe de risk appetite zich verhoudt tot
de strategie van de onderneming en het verwachte rendement en dient aangegeven te worden op welke wijze de
belangen van de verschillende stakeholders bij de onderneming zijn afgewogen.
Wij vonden geen duidelijke visie op het nut van striktere
sanctionering voor bestuurders die de code-Tabaksblat
niet correct naleven. Ook ten aanzien van een aparte
accountantsverklaring bij de in-controlverklaring
verschillen de meningen, waarbij vooral twijfels bestaan
bij de praktische haalbaarheid. Opvallend is bovendien dat
ondanks de constatering (van bijvoorbeeld de Monitoring
Commissie) dat de naleving van de code-Tabaksblat nog
niet volledig is en de in-controlverklaring in het bijzonder
nauwelijks een rol speelt in de besluitvorming bij de
diverse stakeholders, we geen duidelijke meerderheid
vinden voor een meer rule based-benadering van corporate
governance in Nederland. Waar banken en ondernemingsraden via hun directe contacten met de onderneming over
verschillende informatiebronnen beschikken, zijn aandeelhouders meer afhankelijk van de jaarrapporten.
Desondanks zien we ook bij hen een duidelijke voorkeur
voor zelfregulering en de huidige principle based-benadering.
 In het kader van de in dit artikel beschreven studie is ons
opgevallen dat in de bestaande literatuur meer onderzoek
is beschreven naar de naleving van de bepalingen in de
Nederlandse corporate governance code dan naar het feitelijk gebruik van de informatie die wel wordt verstrekt.
Meer en grootschaliger onderzoek op dit terrein, bij voorkeur in internationaal perspectief, zou ook de discussie
over het nut van de in-controlverklaring en een effectieve
aanscherping van de eisen in de code-Tabaksblat ten goede
komen. ■

Dr. W.P. de Ridder is werkzaam bij AEGON en lid van de
kerngroep BIV-Interne Beheersing en Informatiecontrole
van de NIVRA-Nyenrode School of Accountancy &
Controlling. J. Steggink MSc is business controller bij
Reggeborgh Invest B.V.
Literatuur
 Emanuels, J.A. (2005), Interne Beheersing:
in control of in de krant? Beschouwing over een
crisis, inaugurele rede, Rijksuniversiteit
Groningen.
 NIVRA, Koninklijk Nederlands Instituut van
Registeraccountants (2008), Audit Alert 18: De
verantwoordelijkheid van de accountant bij de
toetsing van in het jaarverslag opgenomen
informatie over de naleving van de Nederlandse
corporate governance code, www.nivra.nl.
 Monitoring Commissie Corporate Governance
Code (2008a), Rapport over de evaluatie en
actualisering van de Nederlandse corporate
governance code, www.corpgov.nl.
 Monitoring Commissie Corporate Governance
Code (2008b), De Nederlandse corporate
governance code. Beginselen van deugdelijk
ondernemingsbestuur en best practice
bepalingen, www.corpgov.nl.
 Paape, L. (2008), in control-verklaringen:
Gebakken lucht of een te koesteren fenomeen?,
inaugurele rede, Nyenrode Universiteit, Breukelen.
 Diekman, P.A.M. (2005), Rapporteren over
interne controle. Sarbanes Oxley, section 404 en
de rol van de interne accountant, Maandblad

voor Accountancy en Bedrijfseconomie, jg. 79,
nr. 10, pp. 512-521.
 Ees van, H., N. Hermes, R. Hooghiemstra en
T. Postma (2007), Zijn beursgenoteerde
ondernemingen in Nederland ‘in control’? Best
practice in interne risicobeheersing- en
controlesystemen, Goed Bestuur, vol. 3, pp.
14-20.
  Groenland, J.T., R.M. Daals en J.H. von Eije
(2006), De Tabaksblat risicoparagraaf in
Nederlandse jaarverslagen: een eerste analyse
van inhoud en effect, Maandblad voor
Accountancy en Bedrijfseconomie, jg. 80, nr. 3,
pp. 93-99.
 Groot de, C. (2006), Risicomanagement en
risicoverslaggeving tegen de achtergrond van
corporate governance, Maandblad voor
Accountancy en Bedrijfseconomie, jg. 80, nr.
1/2, pp. 64-71.
 Groot de, J. en B. Koolstra (2006), De
‘in-contol’ good practice van de Commissie
Frijns lost slechts een deel van de puzzel op,
Maandblad voor Accountancy en
Bedrijfseconomie, jg. 80, nr. 7/8, pp. 392-400.
 Leeuwen van, O.C. en P. Wallage (2007), De

zoektocht naar meer transparantie, Maandblad
voor Accountancy en Bedrijfseconomie, jg. 81,
nr. 10, pp. 469-479.
 Mertens, G.M.H. en I.H.C. Blij (2008), Inzicht
in onzekerheid. Onderzoek naar de
risicoparagrafen in de jaarverslagen 2007 van
beursfondsen, Shareholder Support, Heerlen.
 Motivaction, (2005), Meningen uit de markt
over de risicoparagraaf in het jaarverslag,
onderzoek uitgevoerd opdracht van
PricewaterhouseCoopers.
 Mouthaan, E.H.J. (2007), De balans tussen
regels en waarden, Maandblad voor
Accountancy en Bedrijfseconomie, jg. 81, nr. 12,
pp. 600-607.
 Sampers, P. (2005), Het ‘in control
statement’. Eerste aanzet tot bestuursverklaring
inzake interne beheersing voor Nederlandse
beursfondsen, Maandblad voor Accountancy en
Bedrijfseconomie, jg. 79, nr. 7/8, pp. 361-369.
 Ven, A. van de (2008), Administratieve
Organisatie: praktisch relevant maar ook
wetenschappelijk interessant?, inaugurele rede,
Universiteit van Tilburg, Tilburg.
83E JAARGANG JULI/AUGUSTUS 2009 253.
