Er blijkt onduidelijkheid te zijn over de tweede lijn, zeker bij overheids- en non-profitorganisaties. Waar past bijvoorbeeld de public controller of de business controller in het plaatje? Voorkom dat de tweede lijn een gatenkaas wordt.
Het three-lines-of-defensemodel wordt door veel organisaties, in Nederland en ook daarbuiten, gehanteerd als blauwdruk voor de inrichting van het risicomanagement- en/of beheermodel. Het wordt gezien als een simpele én effectieve manier om essentiële rollen en verantwoordelijkheden te verhelderen en met elkaar het gesprek daarover aan te gaan. Minder duidelijk is echter wat dan precies die rollen en verantwoordelijkheden zijn. Er is met name veel discussie over de invulling van de zogeheten tweede lijn, zeker binnen overheids- en non-profitorganisaties.
Three-linesmodel
Zoals de naam al suggereert, worden in het three-lines-of-defensemodel verschillende lines onderscheiden. Over wat een goede vertaling is van het Engelse woord lines lopen de meningen uiteen. Sommigen stellen dat dit (simpelweg) vertaald kan worden met (verdedigings)linies, anderen gebruiken neutralere woorden, zoals ‘lijn’. Dit lijkt wellicht een semantische discussie, maar dat is het niet. Het is namelijk illustratief voor een discussiepunt dat speelt rond het three lines of defense model: is het niet te veel gericht op het verdedigen en cultiveren van de huidige situatie in plaats van het creëren van nieuwe kansen en waarde? Mede vanwege dit kritiekpunt is in de zomer van 2020 een herzien model gepresenteerd door het Institute of Internal Auditors (IIA, 2020), waarbij het ‘defense’ element uit de titel is verdwenen. Het herziene model heet dan ook simpelweg het ‘three-linesmodel’ (zie Wassenaar & Budding, 2020). Overigens is niet alleen de titel is gewijzigd, ook diverse andere elementen zijn aangepast. Zo worden in het herziene model de eerste en tweede lijn dichter bij elkaar geplaatst, terwijl de derde lijn meer op afstand wordt gepositioneerd. Hiermee wordt aangeduid dat juist van de derde lijn onafhankelijke tegenkracht verwacht mag worden.
Verantwoordelijkheden
Het three-lines-of-defensemodel (en niet het three-linesmodel) wordt in de praktijk nog steeds het meest gehanteerd. Voor de rollen en verantwoordelijkheden die daarbinnen onderscheiden worden geven Arif en Molenkamp (2011) een goed overzicht (figuur 1). De eerste lijn, die wordt ingevuld door het lijnmanagement, is primair verantwoordelijk voor het realiseren van de strategie en de daarvan afgeleide doelstellingen. Ook moet zij zorgen voor een goede sturing en beheersing van de organisatie, het managen van de risico’s en de volledigheid en betrouwbaarheid van de verantwoordingsinformatie.
De tweede lijn ondersteunt de eerste lijn bij het identificeren en bewaken van risico’s. Daarnaast ontwikkelt zij diverse beheersingssystemen, zoals op het vlak van planning en control, risicomanagement en verantwoording. Zij worden hiermee ook wel als ‘architecten’ voor deze beheersingssystemen gezien. De derde lijn ten slotte voorziet de hoogste leiding van aanvullende zekerheid over de kwaliteit van sturing en beheersing en de mate waarin de organisatie risico’s beheerst. Zij is hiermee derhalve niet in directe zin verantwoordelijk voor de kwaliteit van het in control zijn van de organisatie, dat is immers de eerste lijn al, maar de derde lijn heeft wel een eigenstandige en onafhankelijke verantwoordelijkheid om zwakheden en inconsistenties in de beheersingssystemen op het spoor te komen en bespreekbaar te maken. Naast deze drie lijnen worden ook wel een vierde en vijfde lijn onderscheiden, die gevormd worden door respectievelijk de externe accountant en de toezichthouder.
Spanningen
Spiegeling van het model op de praktijk blijkt de nodige vragen op te roepen, zoals wie verantwoordelijk is voor een effectieve opzet en inrichting van het three lines of defense model, of rollen en verantwoordelijkheden wel worden opgepakt en of er wel genoeg afstemming is tussen de lijnen. Maar ook de relatie met de reeds bestaande planning- en controlactiviteiten, gericht op het verstrekken van informatie aan management, bestuur en toezichthouder, is diffuus.
Tweede lijn bij overheids- en non-profitorganisaties
Het belang van de tweede lijn in overheids- en non-profitorganisaties is de afgelopen jaren sterk toegenomen. Dit hangt onder meer samen met issues rond informatiebeveiliging en AVG en de invoering van de rechtmatigheidsverantwoording bij gemeenten en provincies. Daarnaast blijken juist bij overheids- en non-profitorganisaties veel aandachtspunten over de tweede lijn te bestaan. Zo is er de nodige discussie over wie nu precies de tweede lijn invullen en hoe de tweede-lijnsactiviteiten met elkaar verband houden. In het door het Institute of Internal Aditors (IIA, 2013) uitgetekende three-lines-of-defensemodel (zie figuur 1) worden financial controllers, maar ook functionarissen die zich bezighouden met security, risk management, quality, inspection en compliance aangeduid als functies binnen de tweede lijn. De functie van public controller of business controller ontbreekt echter, terwijl juist deze functionaris in de praktijk veelal een prominente rol wordt toebedacht.
De public controller
De public controller is een functionaris die zowel gevraagd als ongevraagd advies geeft. Dit roept dan vervolgens meteen de vraag op: zit de public controller als gevraagde adviseur (richting het management, maar ook richting anderen in de organisatie) meer in de buurt van de eerste lijn of impliceert de ongevraagde, onafhankelijke adviesfunctie meer een plaatsing in de derde lijn?
Onderzoek
Bij het behandelen van de aandachtspunten voor de tweede lijn maken de auteurs gebruik van de uitkomsten van een webinar dat op 3 juni 2021 plaatsvond en dat in het teken stond van het three-lines-of-defensemodel. Tijdens dit webinar is aan de deelnemers een aantal vragen voorgelegd via mentimeter. Aan de meeste stemmingen hebben een kleine 50 personen deelgenomen, vrijwel allen werkzaam bij een gemeente.
Figuur 1. Three-lines-of-defensemodel
Eigenaarschap en samenwerking
De tweede-lijnsfunctionarissen nemen, zoals in figuur 1 aangegeven, diverse activiteiten ter hand die inhoudelijk op elkaar aansluiten en elkaar aanvullen. De opsomming van activiteiten suggereert wellicht dat het hier om een limitatieve lijst van activiteiten gaat, maar in de praktijk blijkt dat onder de tweede lijn nog meer activiteiten kunnen vallen. Zo neemt ook een juridische controller diverse risico’s waar die financiële consequenties kunnen hebben en mede daarom relevant zijn voor de business of public controller. Samenwerking tussen deze tweede-lijnsfunctionarissen zou dan ook voor de hand liggen. Dat blijkt echter lang niet altijd het geval te zijn. Maar liefst twee derde van de deelnemers aan het webinar (69 procent) geeft aan dat de samenwerking binnen de tweede lijn onvoldoende van de grond komt. Deze uitkomst hangt mogelijk ook samen met een andere belangrijke uitkomst van het webinar, namelijk dat in de praktijk het eigenaarschap binnen de tweede lijn niet altijd duidelijk belegd is. Illustratief is dat één op de drie deelnemers (36 procent) aangeeft geen specifieke functionaris te kunnen noemen die het eigenaarschap heeft van de tweede lijn. Kan deze wel benoemd worden, dan is dat in de meerderheid van de gevallen (30 procent) het hoofd bedrijfsvoering. Een tweede en derde plaats worden ingenomen door respectievelijk de concerncontroller (17 procent) en het hoofd finance & control (11 procent).
Het middelste kind
De tweede lijn kan dus misschien worden gezien als het ‘middelste kind’, het hangt wat tussen de eerste en derde lijn in. Om er meer zicht op te krijgen hoe dit in de praktijk wordt ervaren, is de deelnemers gevraagd aan te geven hoe zij vinden dat de tweede lijn is gepositioneerd. Neigt deze meer richting de eerste of meer richting de derde lijn? Minder dan een kwart van de deelnemers (21 procent) geeft aan dat de tweede lijn naar hun perceptie keurig in het midden zit. Het overgrote deel (72 procent) geeft aan dat de tweede lijn meer richting de eerste dan richting de derde lijn is gepositioneerd. Bijna een kwart (23 procent) geeft zelfs aan dat de tweede lijn ‘heel dicht tegen de eerste lijn’ aanzit. Slechts drie respondenten (6 procent) vinden dat de tweede lijn zich meer richting de derde lijn dan richting de eerste lijn bevindt. Kortom, de tweede lijn neigt in de praktijk bij de bij het webinar betrokken organisaties meer naar de eerste dan naar de derde lijn.
Gatenkaas?
Moet de tweede lijn beschouwd worden als gatenkaas? Hoewel dit tussen organisaties uiteen zal lopen, duiden een aantal zaken daarop. Binnen de tweede lijn zijn diverse functionarissen actief, met eigen rollen, verantwoordelijkheden en expertises. Deze personen werken in de praktijk veelal onvoldoende met elkaar samen. Daar ligt zeker verbeterpotentieel. Ook zouden veel organisaties er goed aan doen om het eigenaarschap – en dus de aansturing van de tweede lijn – explicieter te beleggen. Hierbij is het gewenst de relatie met de planning- en controlactiviteiten, gericht op het verstrekken van informatie aan management, bestuur en toezichthouder, verder uit te werken.
Ook is in de praktijk de tweede lijn vaak meer richting de eerste dan richting de derde lijn gepositioneerd. Is dat problematisch? Dat is met name afhankelijk van twee elementen: ten eerste in hoeverre de organisatie al ‘in control’ is en ten tweede of en hoe de onafhankelijke advies- en toetsende functie ter hand wordt genomen.
In dat kader is het van groot belang dat de eerste lijn haar taken en verantwoordelijkheden goed oppakt. Daarvoor is het nodig dat deze helder worden gemaakt. De eerste lijn moet erop gewezen worden als zij op enig onderdeel in het nakomen van deze taken en verantwoordelijkheden verzaakt. Tegelijkertijd heeft de eerste lijn op specifieke terreinen behoefte aan ondersteuning om haar rol waar te kunnen maken. De tweede lijn – en dan met name de controller – kan hierbij helpen door de eerste lijn van gevraagd en ongevraagd advies te voorzien.
Wat daarnaast ook speelt is dat bij veel Nederlandse overheids- en non-profitorganisaties de derde lijn een beperkte personele invulling kent. Hiermee lijkt het weinig plausibel dat de derde lijn gaten zal dichten die de tweede lijn laat vallen, daar zijn ze immers qua capaciteit niet toe in staat. De vraag is ook of dit wenselijk is. De derde lijn is namelijk de laatste linie die ‘een eigenstandige en onafhankelijke verantwoordelijkheid heeft om zwakheden en inconsistenties in de beheersingssystemen op het spoor te komen en bespreekbaar te maken’.
Versterk de tweede lijn
Voorkom dus dat de tweede lijn een gatenkaas wordt. Wanneer binnen de tweede lijn onvoldoende coördinatie en samenwerking plaatsvindt, is er een grotere kans op dubbel werk en kan er onvoldoende meerwaarde worden geleverd aan de organisatie. Versterk daarom de aansturing en coördinatie van de tweede lijn. En bewaak de onafhankelijkheid van de tweede lijn. Op die manier kan de tweede lijn meer synergie bereiken én een sterkere positie verwerven ten opzichte van de eerste (en ook de derde) lijn.
Meer lezen?
- Arif, N. en A. Molenkamp, Controller en internal auditor: samen voor organisatiecontinuïteit, Audit Magazine
- Budding, G.T. en M.C. Wassenaar, De veranderende rol van de public controller, 2018 Boom Uitgevers.
- IAA, The three lines of defense in effective risk management and control. Position Paper, 2013.
- IAA, Het three lines model van het IIA, Een update van de ‘Three Lines of Defense’, 2020. Zie https://www.iia.nl/actualiteit/nieuws/belangrijke-update-three-lines-model (laatst geraadpleegd op 8 augustus 2021).
- Wassenaar, M.C. en G.T. Budding, De Three Lines of Defense vernieuwd, Tijdschrift voor public governance audit & control, 2020.
Dr. Tjerk Budding (g.budding@vu.nl) is opleidingsdirecteur van de public controllersopleidingen van het Zijlstra Center, VU Amsterdam; Robert ’t Hart is directeur bij Naris Governance Risk & Compliance software en docent bij het Zijlstra Center en Esther Spetters is zelfstandig adviseur, interim-manager en toezichthouder.
Dit artikel is verschenen in cn: 2021, afl. 9.
Geef een antwoord