Bent u al in orde met de Sarbanes-Oxley-wet?

In november 2004 werd in Amerika de Sarbanes-Oxley-wet van kracht. Amerikaanse bedrijven moeten nu strenge controlemechanismen en bedrijfsrapporteringen invoeren. Ook honderden Belgische bedrijven zijn onderhevig aan de nieuwe wetgeving. Wat zijn hun verplichtingen en hoe moeten ze de nieuwe regels implementeren?

In het voorjaar van 2002 stond de Amerikaanse Democratische senator Paul Sarbanes in de Senaat zijn wetsvoorstel voor deugdelijk bestuur met grote moeite te verdedigen. Het wilde maar niet lukken: zijn maatregelen waren veel te streng en te drastisch. Zelfs zijn Republikeinse collega Michael Oxley kon met zijn mildere versie geen succes oogsten in de Kamer. Maar toen kwam het WorldCom-schandaal. En Enron. En Arthur Andersen. Een geschenk uit de hemel voor de twee politici, die prompt hun versies naast elkaar legden. Het resultaat: de Sarbanes-Oxley Act (SOX). De status van de beide politici werd versterkt door andere schandalen zoals AOL, Tyco en QWest.

In de naar hun genoemde wet legde het duo tal van regels op aan Amerikaanse beursgenoteerde bedrijven. Tientallen artikelen bedachten ze om de ondeugdelijkheid van de bedrijfswereld aan banden te leggen. Maar ook veel Belgische bedrijven zijn onderhevig aan de nieuwe wet. Bedrijfsrevisor Deloitte deed onlangs een enquête over de implementatie van de SOX-wet in een dertigtal Belgische bedrijven.

Welke bedrijven komen in aanmerking?

Alle Belgische filialen van Amerikaanse ondernemingen worden mee in bad gesleurd. Volgens een schatting van Deloitte zou het over ruim 300 bedrijven gaan. Maar het is eigenlijk nog niet zeker dat alle Belgische filialen voor SOX in aanmerking komen. De Amerikaanse bedrijven moeten voorlopig 70 à 80 % van hun activiteiten onderwerpen aan de SOX-regeling. Een multinatio-nal die het gros van zijn activiteiten afstemt op de nieuwe regels, zou de kleine filialen buiten schot kunnen houden. “Maar daar kan je niet over speculeren,” aldus Joël Brehmen, senior manager en SOX-coördinator bij Deloitte. “Op lange termijn is het de bedoeling dat iedereen zich naar dezelfde standaarden schikt.” Ook Belgische bedrijven die in Amerika een beroep doen op Amerikaans spaargeld, moeten blijk geven van hun goede voornemens. Daar zijn maar weinig Belgische bedrijven aan onderhevig, zoals Delhaize en Icos Vision Systems.

Belgische filialen zullen dus richtlijnen vanuit het moederbedrijf in de Verenigde Staten krijgen. Veel eigen creativiteit komt er niet aan te pas. “We zijn al sinds mei 2003 bezig met de SOX-implementatie volgens de instructies van de hoofdzetel in Chicago,” vertelt Jo Van Eynde, financieel directeur bij Sara Lee, de moedergroep boven Douwe Egberts. “We zijn de pioniers in België geweest. Ondanks alle vertragingen van de Amerikaanse beurswaakhond SEC hebben we ons altijd aan de streefdatum van 30 juni 2004 gehouden.”

Wanneer gaan de nieuwe regels in?

Vanaf 15 juli komen de Belgische bedrijven die hun boekjaar afsluiten in aanmerking. “Maar een volledige implementatie neemt al gauw achttien maanden in beslag,” aldus Brehmen. “Veel van die bedrijven hebben nu pas hun planningsfase afgerond, terwijl ze nog maanden voor de boeg hebben met het echte werk.”

Wat zijn de belangrijkste regels?

Van de 69 artikelen zijn er twee die zwaar doorwegen. Artikel 302 gaat over de controle op informatieverspreiding, de zogenaamde disclosures. Ieder communiqué of bericht dat het bedrijf uitstuurt, moet correct zijn, of het nu om de omzet of het aantal klanten gaat. Brehmen: “Dat kan evident lijken, maar in de telecomsector zijn klantenbestanden de inzet van heuse veldslagen. De drang naar verbloeming is daar groot.”

Het zwaargewicht van de SOX-regels zit in artikel 404. Dat regelt de interne controle en de financiële rapportering. De nieuwigheid zit ‘m hierin: het management moet een expliciete uitspraak doen over de betrouwbaarheid van de interne controles. Het idee achter dit artikel is dat mogelijke problemen dan nog kunnen worden opgelost. Een negatief auditrapport daarentegen kan het bedrijf naar de verdoemenis schrijven.

De chief executive officer (CEO) en de chief financial officer (CFO) moeten hun handtekening zetten onder de plechtige verklaring dat alle controles waterdicht zijn. “Topmensen in die positie doen er alles aan om de controles sluitend te maken. Niemand wil de gevangenis in voor een financieel schandaal,” aldus Joël Brehmen. De revisor moet, naast zijn gebruikelijke cijfertaak, expliciet verklaren dat hij zich schaart achter de uitspraken van de bedrijfsleiders.

Vooral de scheiding van functies en slecht opgezette structuren zijn de zwakke schakels. “Hoe kan een bedrijf efficiënt zijn als het zijn facturen spreidt over drie diensten met verschillende verwerkingsmethodes?” vraagt Brehmen zich af. “Alles moet goed geïnventariseerd worden.”

Hoe moeten de SOX-regels worden geïmplementeerd?

Het klassieke stramien voor de implementatie van de SOX-regels is: planning, documentatie en tests. Het geheel neemt volgens specialisten achttien maanden in beslag. Bij de planning komt het erop aan om alle etappes vast te leggen en ze in een tijdskader te passen. De documentatiefase is de zwaarste. Dan nemen de SOX-verantwoordelijken alle processen in het bedrijf onder de loep om de kosten- en informatie-stromen in kaart te brengen. Nauwkeurigheid is de boodschap: op deze basisgegevens moeten alle verdere controlemodellen functioneren. Tot en met de receptionistes moeten ze vragen hoe zij bijvoorbeeld hun viltstiften bestellen. Dat is de enige manier om na te gaan waar de achterpoortjes voor fraude zitten.

De testfase ten slotte brengt alle gegevens bij elkaar zodat controleprogramma’s op hun efficiëntie getest kunnen worden. Deze fase is het brein van de SOX-wet. “Een CEO moet zweren dat zijn interne controles functioneren en dat kan hij alleen na voldoende tests. Dus moet er genoeg tijd en mankracht voor die fase uitgetrokken worden,” aldus Brehmen.

Volgens de Deloitte-studie heeft 90 % de planningsfase voltooid, is 40 % procent klaar met de documentatiefase en heeft nog maar 20 % de tests voltooid. Voor 80 % van de bedrijven begint de tijd dus te dringen.

Het moeilijke punt is vooral de mentaliteitswijziging. “We moeten af van het idee als zou de SOX-problematiek een zaak zijn van boekhouders met een gilet aan en een potlood achter het oor. We moeten tot een situatie komen waarbij iedere arbeider op de werkvloer kan uitleggen wat SOX is,” vindt Brehmen. Hij wijst erop dat sommige bedrijven op de evaluatiefiche al een vakje voorzien om de medewerkers op hun SOX-kwaliteiten te beoordelen. “Het feit dat er op papier geresponsabiliseerd wordt, is zeer belangrijk. Dat betekent dat een promotie staat of valt met SOX-engagement.”

Wie coördineert de SOX-implementatie?

Deloitte adviseert om een projectmanager aan te stellen die de hele SOX-implementatie coördineert. Zoals bij Sara Lee. Jo Van Eynde: “We hebben één interne projectmanager die voltijds met het systeem bezig is. Daarnaast zijn er procesverantwoordelijken in iedere afdeling. En als financieel directeur draag ik de eindverantwoordelijkheid. Ik besteedde tijdens de implementatie één volle dag per week aan het opvolgen van dat proces.” Daarmee lopen de kosten natuurlijk snel op.

Hoeveel kost de implementatie?

Volgens de Deloitte-studie zouden de kosten voor de SOX-implementatie eerst tot ongeveer 2,5 % van de bedrijfsomzet kunnen oplopen. Wanneer het programma is uitgewerkt en alleen nog een halfjaarlijkse of jaarlijkse update nodig is, zou de kost dalen tot 1 % van de omzet. Het blijven enorme bedragen.

Bovendien bleek uit een andere studie dat de bedrijfstop vaak een blanco cheque ter beschikking stelt om SOX te implementeren. Jo Van Eynde (Sara Lee): “Het is zeker niet zo dat ik een blanco cheque gekregen heb. Maar eigenlijk heb je geen keuze. Je moet je ernaar schikken of je speelt niet meer mee op de markt.” Guy Elewaut, woordvoerder bij Delhaize, twijfelt aan die spectaculaire bedragen. “In een enkel bedrijf zijn die kosten misschien hoog opgelopen en door lobbyisten tot de referentie verheven. Onze kosten waren op voorhand goed begroot en kwamen zeker niet in de buurt van 2,5 % van de omzet.”

Volgens een Amerikaanse studie zouden de auditfees minstens met 25 tot 35 % stijgen. Maar de Deloitte-studie leert dat de bedrijfsleiding verwacht dat die stijging tot 50 % zal oplopen naarmate de eindfase in zicht komt. Evenveel bedrijven zeggen dat ze geen flauw benul hebben van de uiteindelijke kost voor het hele project. Volgens schattingen zouden Belgische filialen van Amerikaanse bedrijven 100.000 tot 1 miljoen euro aan kosten hebben.

En wat levert het op? Brehmen: “Negentig procent van de geënquêteerde bedrijven zegt dat ze voordelen halen uit het project, omdat ze processen beter onder controle krijgen. Bovendien verwachten ze dat het makkelijker wordt om externe investeerders aan te trekken. Ik kan me voorstellen dat banken zullen eisen dat je ‘SOX-conform’ bent voordat ze je nog een krediet verstrekken.”

Wat zijn de gevaren van de SOX-wet?

De voorzitter van de New York Stock Exchange uitte zijn vrees voor minder beursnoteringen, omdat er nu een strenger klimaat voor beursgenoteerde bedrijven is gecreëerd. Hij zegt 50 % minder buitenlandse noteringen te hebben opgetekend, bovenop de 20 % genoteerde bedrijven die overwegen om een delisting aan te vragen, zoals BT. Bij Delhaize is een delisting niet aan de orde. Guy Elewaut: “75 à 80 % van ons personeel is actief in Amerika. Een kwart van onze aandeelhouders zijn Amerikaans. Een beursnotering versterkt onze zichtbaarheid daar.”

En de bedrijven die tekortschieten?

“We weten natuurlijk nog niet hoe heet de soep gegeten zal worden. Eerlijk gezegd verwacht ik dat de toezichthouder weinig delistings zal opleggen. Zo ver zal het in een eerste fase niet komen,” aldus Joel Brehmen. “Maar het staat buiten kijf dat bedrijven die zich niet kunnen verantwoorden voor hun tekortkomingen, geen al te goede beurt bij hun aandeelhouders maken.”

De vraag is wat bedrijven zullen aanvangen met de opgespoorde fouten. Zelfs als ze de impact van de tekortkomingen kunnen kwantificeren, is het niet zeker of die opwegen tegen de mogelijke herstructureringskosten. En of de aandeelhouder aanvaardt dat het bedrijf met die tekortkomingen voortgaat. “De kans is groot dat een aandeelhouder zijn oordeel baseert op de conclusies die de revisor formuleert, eerder dan op een becijfering van mogelijke verliezen,” aldus Brehmen.

Xavier Carbonez

Een volledige implementatie van Sarbanes-Oxley neemt al gauw achttien maanden in beslag.

De kosten voor de Sarbanes-Oxley-implementatie zouden in een eerste fase tot ongeveer 2,5 % van de bedrijfsomzet kunnen oplopen.