Er is al veel geschreven over de rechtmatigheidsverantwoording door gemeenten. Deze zal naar verwachting vanaf 2022 van kracht gaan. In dat kader is bij veel gemeenten het bekende “Three Lines of Defence” model ingevoerd. Daarmee lijken gemeenten in ieder geval op papier te zijn voorbereid op de rechtmatigheidsverantwoording. Er komt echter meer bij kijken dan alleen de structuur te hebben ingericht. Maar functioneert dit Three Lines of Defence model in de praktijk wel? En pakken deze drie lijnen wel hun rol? We zien nog (te) vaak dat de zogeheten derde lijn in de rol terecht komt die zij niet hoort te hebben. En dat deze derde lijn gaten in de interne beheersing compenseert en daarmee al dan niet bedoeld afdekt.

Stand van zaken

Onder voorbehoud van de parlementaire goedkeuring zullen gemeenten vanaf het verslagjaar 2022 voor de eerste keer een rechtmatigheidsverantwoording moeten opnemen in de jaarrekening. Over deze rechtmatigheidsverantwoording is al veel geschreven.

Zo hebben de VNG en IPO een handreiking opgesteld met adviezen en best practices en heeft de commissie BADO een notitie uitgebracht over de uitwerking van de rechtmatigheidsverantwoording. Ook hebben verschillende commerciële partijen artikelen, brochures, quick scans en dergelijke over dit onderwerp gemaakt. Daarbij wordt vooral ingegaan op de vaktechnische aspecten en vraagstukken zoals: wat zijn de te onderscheiden rechtmatigheidscriteria, met welke verantwoordingsgrens moet er rekening mee gehouden worden, hoe ziet een controleplan eruit etc.

In de handreiking van de VNG en IPO wordt opgemerkt dat bij gemeenten veelal interne controles worden uitgevoerd door een interne controlefunctie en dat de  inrichting hiervan per gemeente verschilt. Daarbij wordt vaak de zogeheten Three Lines of Defence model gehanteerd. In een eerder artikel van EFK wordt op hoofdlijnen uitgelegd wat dit model inhoudt. Klik op de titel om het artikel Three Lines of Defence: een beknopte uitleg te lezen.

Valkuilen bij toepassing van het Three Lines of Defence model?

In het Three Lines of Defence model worden drie lijnen onderscheiden. Iedere lijn heeft een eigen rol en verantwoordelijkheid voor de interne beheersing van de organisatie. 

Deze keer gaan wij in op een aantal valkuilen die wij vaak tegenkomen bij de toepassing van dit model. Deze valkuilen hebben meestal te maken met de invulling van de onderscheiden rollen. Bijvoorbeeld een discrepantie tussen een rol zoals deze bedoeld is en de rol zoals deze daadwerkelijk vorm wordt gegeven. Ook kan het gaan om een vermenging van rollen en verantwoordelijkheden.

Deze keer staan wij stil bij de eerste lijn die in het model wordt uitgewerkt. De eerste lijn is de functie die primair verantwoordelijk is voor de uitvoering van een (deel)proces of (deel)processen zoals die in een gemeentelijke organisatie kunnen worden onderscheiden. Bijvoorbeeld bij het verstrekken van een bouwvergunning of een bijstandsuitkering.

Maar wat is een belangrijk kenmerk van de eerste lijn? De eerste lijn is een primair verantwoordelijke functie is voor een goede interne beheersing (control) van het betreffende proces. Dat lijkt een vanzelfsprekendheid. Echter in de praktijk wordt vaak niet voldaan aan de voorwaarden die daarbij horen. Een paar voorbeelden:

  • Wie bepaalt bijvoorbeeld de kwaliteitscriteria waar het proces aan moet voldoen? Een criterium zoals rechtmatigheid wordt meestal gezien als “iets van financiën (interne controle, concerncontrol etc.)”. Belangrijke uitwerkingen worden daarom overgelaten aan de specialisten. Namelijk de definitie en reikwijdte van rechtmatigheid, de uitwerking daarvan in criteria, het bepalen van normen (zoals voor het aantal toegestane procesfouten of -afwijkingen). Daarmee laten sommige proceseigenaren echter de kans liggen om daar echte invloed op uit te oefenen.
  • Wie meet (laat meten) of voldaan is aan de gestelde kwaliteitsnormen? Het is een veelvoorkomend misverstand dat deze vraag alleen beantwoord kan worden door het achteraf uitvoeren van een audit. Bovendien wordt dit veelal overgelaten aan een gespecialiseerde functie. Soms wordt zelfs de externe accountant hiervoor ingeschakeld. Ook is het een inefficiënte manier om vast te stellen of een proces wordt uitgevoerd zoals bedoeld. Daarom is het aan te bevelen om bij de inrichting van een proces (ook wel de opzet genoemd) daar al rekening mee te houden. En laat de eerste lijn nu degene zijn die verantwoordelijk is voor de inrichting van een proces.
  • Wie analyseert de resultaten van de metingen of het proces verloopt zoals bedoeld? De eerste lijn is de functie die het beste inhoudelijk op de hoogte is van de eigen processen. Zij zijn bij uitstek de materiedeskundige. Toch worden analyses van oorzaken van procesfouten gemaakt door generalisten zoals procesdeskundigen. Uiteraard kunnen dergelijke specialisten toegevoegde waarde hebben zoals adviseren en kritisch meedenken over mogelijke procesverbeteringen. Maar naar onze mening mag dit niet in plaats van de proceseigenaar zijn. Een proceseigenaar die actief de uitvoering van de eigen processen monitort, zal immers al over die informatie moeten beschikken. Op deze manier kan hij tijdig bijsturen.

Conclusie

In het Three Lines of Defence model worden drie lijnen onderscheiden met elk een eigen rol en verantwoordelijkheid. De eerste lijn is de functie die verantwoordelijk is voor de uitvoering van een proces. Daarmee is deze ook verantwoordelijk voor het borgen dat het proces verloopt zoals het de bedoeling is. Oftewel voor de interne beheersing of control van het proces. Dat betekent dat de eerste lijn de rol heeft van proceseigenaar. Dat houdt in dat de eerste lijn verantwoordelijk is voor zaken zoals het definiëren van de kwaliteitscriteria en -normen, het monitoren (meten) van de uitvoering van het proces, de managementinformatievoorziening daarover, het analyseren van procesfouten etc. Toch laten sommige proceseigenaren dergelijke aspecten over aan andere functies. Daarmee laten zij niet alleen een kans liggen om die elementen op te kunnen pakken waarvoor zij verantwoordelijk zijn. Ook komen andere functies bij wie deze taken komen te liggen zelf in een rol terecht waarvoor zij eigenlijk niet zijn bedoeld. Binnenkort schrijven wij over de rol van de tweede lijn van het Three Lines of Defence Model.