Bij Société Générale ging alles mis

FINANCIËLE MARKTEN
Bij Société Générale
ging alles mis
Onwaarachtige risicoposities bij Société Générale bleven onzichtbaar voor het
controleapparaat. De fraude bij de Franse bank verdient nader onderzoek, maar we
kunnen nu al stellen dat opnieuw een groot deel van de organisatie meewerkte aan
de fraude.1 Het gevaar bij banken schuilt momenteel in de overgang op ‘straight
through processing’-systemen. Financiële instellingen laten tijdens de verbouwing
de achterdeur voortdurend openstaan.
De auteurs L.J. (Rens)
Koster en R.H.A. (Raoul)
Schepers RA zijn
directeur, respectievelijk
senior associate bij
Orchard Finance.
D
at Jérome Kerviel alleen heeft gehandeld bij
het veroorzaken van een verlies van 4,9 miljard euro2 voor SocGen, is even onwaarschijnlijk als irrelevant. Een handelaar in een professionele organisatie kan niet in zijn eentje handelen.
Het hele apparaat werkt mee aan zo’n verlies. De
gewraakte transacties zijn afgesloten, gecontroleerd,
bevestigd en gesetteld. Anders kan SocGen onmogelijk de contractpartij zijn die het verlies lijdt. Deze organisatie heeft een risk management policy, werkt
met zeven vormen van functiescheiding, wordt gecontroleerd door accountants en staat onder toezicht van
diverse financiële autoriteiten. En toch gebeurt het.
Juist daarom gebeurt het. Iedereen denkt dat de ander
de controles wel uitvoert, zet een paraafje en daar
gaat het geld.
Het evenwicht is zoek
Toezichthouders zijn gespitst op het beheersen van
risico’s in de fi nanciële sector. Autoriteiten, maar
ook fi nancial controllers en controlerend accountants volgen spoedcursussen over de nieuwe
fi nanciële instrumenten. Alle soorten risico’s zijn
benoemd: valuta-, rente-, krediet-, settlement-, systeem-, operationele, politieke risico’s, enzovoorts.
Risk managers en risk controllers zijn niet aan te
slepen. Er wordt fantastisch beleid gemaakt, maar
onvoldoende gekeken naar de kwaliteit van het dagelijkse controleapparaat. De onbalans tussen enerzijds de aard van de snelgroeiende risico’s en de aansturing van het transactieapparaat, en anderzijds de
soliditeit van het controle- en controlapparaat
14 | maart 2008 | ControllersMagazine
nemen schrikbarend toe. Risico en rendement zijn
uit evenwicht.
Een belangrijke oorzaak van problemen is dat de organisatie van de fi nanciële instituten kwalitatief
niet snel genoeg mee groeit met de verandering in
de aard van het productieproces (de handel), terwijl
de organisatie kwantitatief telkens afneemt. Vroeger
had je een frontoffice en een backoffice. De frontoffice ging het contract aan met de tegenpartij, de
backoffice controleerde de transactie en wikkelde
deze af. Functiescheiding was gemakkelijk in te
bouwen. Het ‘vierogenprincipe’, niets bijzonders.
Dat gaat vandaag de dag veel te langzaam. Een groot
deel van de controles is overgenomen door systemen. Daardoor raakt de verantwoordelijkheid voor
een goede controle weg bij de backoffice. Kennis van
zaken ontbreekt, maar ook de fysieke mogelijkheid
om een transactie tegen te houden. Dit stelt dus
hoge eisen aan de processen in de frontoffice, nog
meer aan de systemen en bovenal aan het management. Het probleem is: de systemen zijn nog niet af
en het management is niet adequaat, niet betrokken, of heeft het te druk met andere dingen. De controller staat in vele gevallen aan de zijlijn en wacht
af. Op papier ziet het er goed uit. In de praktijk is
het een rommeltje. Want zolang er winst wordt gemaakt, bestaat risico toch niet?
STP: zelden straight
De druk op de snelle afhandeling van fi nanciële
transacties is zo groot geworden dat vrijwel elke
bank, elke professionele belegger, custodian (be-
waarder) of clearing broker een hoge mate van
straight through processing (STP) nastreeft: de systemen en procedures worden zo ingericht dat een
gedane transactie geheel geautomatiseerd door het
proces loopt, tot en met de afwikkeling (settlement)
toe. In stukken en in geld. Dit is noodzakelijk omdat
mensen het grote aantal transacties fysiek niet meer
op tijd kunnen verwerken. Maar ook economisch
niet; daarvoor liggen de arbeidskosten te hoog,
schijnbaar. Het besef ontbreekt nu al vaak dat de
frontoffice verantwoordelijk is voor beheersing van
rente- en valutarisico’s of het behalen van rente- en
valutaresultaten, en de backoffice verantwoordelijk
is voor de bewaking van de hoofdsommen waarmee
de frontoffice handelt. Onder normale omstandigheden kan beter rendement worden gemist dan hoofdsommen. Wanneer de rendementen (verliezen) door
leveraged producten nog eens vele malen hoger kunnen zijn dan de hoofdsommen of daar niets meer
mee te maken hebben, kan de klassieke verhouding
tussen de beheersverantwoordelijkheden van fronten backoffice zelfs volkomen zoekraken. Besparing
op de backoffice (in kwantitatieve of kwalitatieve
zin) kan onder die omstandigheden leiden tot exponentiële toename van de operationele risico’s. STP
kan de taken van de backoffice in belangrijke mate
overnemen en tot enorme besparingen op het dure
bancaire backofficeapparaat leiden, maar mag niet
louter als een economische noodzaak worden beschouwd. STP dient zodanig te worden opgezet en
ingericht dat de relevante controles en beheersingsmaatregelen in het proces worden opgenomen en
continu werken. Zelfs voordat het start.
De werkelijkheid van vandaag is echter dat vrijwel
geen enkel proces geheel STP is. Systemen sluiten
nog niet goed op elkaar aan, waardoor toch nog allerlei handmatige interventies nodig zijn. De
‘human interface’ moet de gegevens handmatig aanvullen of overzetten van het ene systeem in het andere. 3 Tussenrapportages komen uit gammele
spreadsheetapplicaties. Electronic banking-systemen kennen afwijkende veiligheidsvoorzieningen.
En de vaste gegevens zoals waarderingsregels, bankrekeningen en settlement-instructies liggen verspreid door de organisatie. Stapels beveiligingscalculatoren en passen slingeren in de bureauladen.
De overgang naar STP gaat daarnaast gepaard met
frequente aanpassingen van bestaande processen,
waardoor onduidelijkheden en mogelijke interpretatieverschillen ontstaan, samenhangen worden
doorbroken en controles kunnen worden omzeild.
Een walhalla voor fraudeurs.
Gaten in de vangrail
Commerciële afdelingen staan onder hoge druk om
nieuwe instrumenten te introduceren. Geen opportunities missen en het rendement op het gebruikte
kapitaal moet verder omhoog. Dit legt een >>
Sommige processen zijn
zo slecht georganiseerd dat
je moeilijk van fraude
kunt spreken, maar eerder
van uitlokking
maart 2008 | ControllersMagazine | 15
enorme claim op de flexibiliteit van organisatie
en systemen. Noodzakelijke veiligheidsmaatregelen
zoals strikte, door het systeem afgedwongen functiescheidingen blijven dan even afwezig. Iedereen is
bezig de dagproductie weg te werken en intussen de
systemen om te bouwen naar STP. Maar een STPsysteem is (met opzet) inflexibel. Daardoor groeit
tijdelijk de noodzaak van uitzonderingsprocedures.
En iedereen heeft dus tijdens de verbouwing de achterdeur gewoon openstaan.
De situatie kan het best worden vergeleken met een
tolweg waarvan de vangrail gaten vertoont. Het
grootste deel van het snelverkeer rijdt keurig van
De overgang naar STP gaat gepaard met
frequente aanpassingen van bestaande
processen; een walhalla voor fraudeurs
tolpoort naar tolpoort. De noodzakelijke gegevens
voor de afrekening van de tol worden geregistreerd
en uitsluitend snelverkeer wordt toegelaten: STP.
Maar wanneer halverwege enkele gaten in de vangrail zitten, waardoor lokaal verkeer ook de snelweg
op kan komen, ontstaan twee gevaren. Snelverkeer
gaat buiten de tolpoorten om rijden, waardoor opbrengsten worden gemist. Maar erger nog, ook voetgangers en fietsers kunnen gebruikmaken van de
snelweg. Door het enorme snelheidsverschil tussen
de verkeersstromen ontstaan onaanvaardbare risico’s. Een enkele politiesurveillance kan dat onmogelijk beheersen.
Middle office
Een middle-office moet de snelheids- en kennisverschillen tussen front- en backoffice opvangen.
Snelle rekenarij ter ondersteuning van de frontoffice,
snelle controles ten behoeve van de backoffice en
snelle rapportages over risico en rendement voor het
management. Al gauw bestaat behoefte aan eigen systeemondersteuning en eigengemaakte spreadsheets
zolang de STP-systemen nog niet alle belangrijke
functionaliteiten bevatten. Mid-officers kunnen een
groot deel van het proces overzien en weten dus waar
de gaten in de vangrail zitten. Een vergissing is makkelijk gemaakt en kan ook makkelijk weer gecorrigeerd worden. Als je eenmaal door hebt hoe het
werkt, moet je sterk in je schoenen staan om niet
eens een foutje weg te poetsen. Voor een handelaar,
een boekhouder of voor jezelf. Wanneer vooraan in
een STP-systeem een foute transactie de controles
passeert, zorgt het systeem er vanzelf voor dat die
fout onopgemerkt blijft. En zonder dat zij het zich realiseren, worden de medewerkers in de backoffice
medeplichtig aan de fraude. Sommige processen zijn
zo slecht georganiseerd dat je moeilijk van fraude
kunt spreken, maar eerder van uitlokking, waarvoor
16 | maart 2008 | ControllersMagazine
de hoogste leiding en het management verantwoordelijk en potentieel aansprakelijk zijn. En denk erom
dat zij dan controllers, controlerend accountants en
toezichthouders in hun val meetrekken.
Bij het begin beginnen
De eigen interne controle, maar helaas ook de accountant en de toezichthouder laten zich te gemakkelijk met een kluitje in het riet sturen. Als het er
op papier mooi uitziet, wil dat nog niets zeggen over
de praktijk. Een onervaren accountant kijkt daar
simpelweg niet doorheen. Die geeft vaak te snel een
goedkeurende verklaring af, terwijl de treasuryprocessen onacceptabele risico’s impliceren en de verantwoordingsinformatie pas na afloop van de maand
wordt opgeleverd. Intussen kan de organisatie allang
in default zijn.
Boeven moet je met boeven vangen, dus je doet er
verstandig aan operationele (handelaars)ervaring toe
te voegen aan het controleteam. Dat voorkomt lange
en theoretische discussies tussen de gecontroleerde
handelaars en de controlerende accountants. Onderschat het vernietigende effect van het cultuurverschil tussen die twee niet.
Maar het zit hem niet zozeer in de controle achteraf;
het gaat om de opzet en inrichting van de organisatie en de processen. Bij de snelle ontwikkeling van
het instrumentarium zit daar de bottleneck, eenvoudig omdat administratieve organisaties niet snel
genoeg mee veranderen. Het management en de controller daarbij inbegrepen.
Wanneer je overstapt naar STP-processen moet je de
beheersings- en controlemaatregelen verder naar
voren in het proces verleggen. Strikt genomen leg je
de maatregelen al vast bij je beleidsbepaling en dat
betekent dus dat het management zijn doelstellingen en beleidsgrenzen moet expliciteren. Keuzen
maken, met uitsluiting van een bepaalde flexibiliteit, blijkt echter voor veel managers echt lastig. Is
die barrière eenmaal genomen, dan is het in de praktijk vaak ineens weer opvallend gemakkelijk om de
organisatie en de processen goed in te richten.
Kritische vraagstukken in dit verband zijn bijvoorbeeld:
• Het opnemen van maatstaven voor procesbeheersing in de beloningsstructuur van het management
(het belonen van risicobeperking in aanvulling op
winstafhankelijke bonussen).
• Erkennen dat gesepareerde front- en backofficeprocessen niet meer bestaan. Beleggen, effecten- en
derivatenhandel en treasury management zijn integrale (STP-)processen, waar commercie (ex-frontoffice) en risicobeheersing (ex-backoffice) even
zwaar moeten wegen. Zo moeten opleidingen en
beloningen gelijk worden getrokken, want anders
zal een risk manager of controller nooit opgewassen zijn tegen een handelaar. Dit heeft ook grote
voordelen voor carrièreverloop en doorstroming,
•
•
omdat functiewisseling gemakkelijker wordt.
Het aanpassen van controlemaatregelen en functiescheidingen aan de aard van de processen.
Nieuwe risico’s vergen nieuwe controle- en beheersingsmethoden, maar ook het afschaffen van oude
methoden, waardoor weer capaciteit vrijkomt. Het
kan natuurlijk wel betekenen dat nieuwe mensen
moeten worden aangenomen en de oude ontslagen
als zij zich niet op tijd omscholen.
Het moderniseren van autorisatie- en procuratieregelingen, zodanig dat men uitsluitend de bevoegdheid heeft om te tekenen voor zaken, waarvoor men
inhoudelijk de verantwoordelijkheid kan nemen
(deelprocuratie naar een lager niveau in de organisatie, weg bij het management). Een controller die
zich verantwoordelijk voelt voor de kwaliteit van de
organisatie zou het voortouw moeten nemen bij het
moderniseren van de procuratieregels, omdat die
vaak een belemmering vormen voor aanpassing van
de processen aan de echte risico’s.
Confrontatie aangaan
In een situatie zoals bij SocGen tref je vaak het primaat van de handelaar aan; degene die de winst
maakt heeft het voor het zeggen. Het management
realiseert zich dat zijn bonus afhankelijk is van de
expressieve jongelieden op de vloer en accepteert van
hen een meer dan gemiddeld grote mond. Daarin ligt
veelal een basis voor problemen. Dan staat men al
snel toe dat ‘windows of opportunity’ worden benut,
zonder de noodzakelijke voorbereiding. Hier is een
gezamenlijke inspanning nodig van alle betrokkenen: management, interne en externe toezichthouders. De controller speelt dus een cruciale rol. Wie
die confrontatie niet aandurft, moet plaats maken.
De volgende maatregelen vergen een rechte rug,
maar kunnen veel ellende voorkomen:
• Consequent gedrag afdwingen bij het in productie
nemen van nieuwe instrumenten:
- aanpassen van het beleid (resultaatdoelstellingen
en risicolimieten);
- aanpassen van verantwoordelijkheden, bevoegdheden en beloningsstructuur;
- aanpassen van taakomschrijvingen, opleiden van
staf en management en soms verleggen van werktijden;
- herinrichten van organisatie, systemen en processen (en afsluiten van bypasses);
- upgraden van (management)rapportages en control reporting.4
En dan pas overgaan tot invoering, in plaats van
andersom.
• Afzien van de handel in een instrument indien
men de hiervoor beschreven procedure niet op tijd
rond krijgt.
• Niet in paniek raken als zich toch een verlies
openbaart. Het is vaker voorgekomen dat het management het bestaande verlies in blinde paniek
Tegenwoordigheid van geest en een rechte rug
Voor de controller in een financiële omgeving (banken, verzekeraars, beleggers, toezichthouders) gelden bijzondere functie-eisen. Of eigenlijk niet, want elke controller
wordt verondersteld de aard van het bedrijf waarvoor hij werkt, goed te begrijpen.
Maar kijk eens naar de opleiding en het takenpakket van de gemiddelde controller.
Hoe is het relatieve gewicht van ‘businesskennis’ en ‘administratieve kennis’?
Een controller in een financiële omgeving – waar geld de productiefactor is, niet de
administratieve noemer – dient een uitstekende kennis te hebben van de financiële
producten die verhandeld worden, de specifieke risico’s die daaraan kleven en dus
van de specifieke maatregelen die genomen moeten worden om het proces te
kunnen beheersen (controllen!). Beter dan de handelaar zelf.
Vergelijk hem maar met een procescontroller in de chemische industrie. Als die niet
begrijpt dat sommige stoffen niet gemengd mogen worden, vliegt de fabriek op een
dag de lucht in. Beschouw financiële organisaties als kerncentrales. Bij onvoldoende
koeling overschrijdt het proces de kritische temperatuur en is een meltdown het
gevolg. Het is vrijwel ondenkbaar dat een financial-processcontroller zijn werk goed
kan doen als hij niet – ten minste in een trainings- of simulatieomgeving – zelf
financiële posities heeft moeten beheersen, waardoor hij of zij het hefboomeffect
van derivaten aan den lijve heeft ondervonden. De controller is bij uitstek degene
die het proces van voor tot achter kan overzien. Als hij of zij niet de tegenwoordigheid van geest heeft om brandgevaar te melden, wat heeft het dan voor zin om
brandblussers op te hangen? Handelaren en directieleden die direct belang hebben
bij het tonen van winsten, hebben vaak een grote mond. Voor de controller is dan
een rechte rug onmisbaar. En sla de organisatie niet dood met onzinnige maatregelen, zoals het laten zetten van parafen voor controles op zaken die men niet begrijpt.
heeft vergroot door onkundig afdekken van de ontdekte frauduleuze posities.
En ten slotte: management, controllers en toezichthouders moeten beter luisteren naar de mensen op of
in de omgeving van de vloer. Die hebben al veel eerder gesignaleerd dat het proces niet deugt, al vertellen zij dat niet aan de controlerend accountant. <<
Noten
1 Zie ook: Vierkante Cirkels, Corporate Finance reeks, Van Den Boom Groep 1995.
2 4,9 miljard euro is het netto resultaat van 1,4 miljard initiële winst, 2,7 miljard verlies bij ontdekking en 3,6 miljard euro extra verlies door het geforceerd sluiten van de positie, waardoor de markt negatief werd beïnvloed.
3 Bizarre bijkomstigheid is dat een deel van deze dure human interface
wordt geoutsourcet naar lagelonenlanden, waardoor de noodzaak om
echt te automatiseren weer wordt uitgesteld. Het proces hoeft hierdoor
niet aan kwaliteit in te boeten, maar is wel moeilijker controleerbaar afhankelijk van de formulering van de outsourcecontracten en bijbehorende
in-control statements, bijvoorbeeld SAS70.
4. SocGen-management nam genoegen met nettopositierapportages zonder
zich te bekommeren om de bruto posities die daaronder lagen: een beginnersfout.
www.controllersmagazine.nl
Zie het dossier ‘Treasury’ voor andere artikelen binnen
dit thema.
maart 2008 | ControllersMagazine | 17