7.3.3.0 Introductie

De Nederlandse Corporate Govemance Code 20081bevat bepaalde voorschriften die verband houden met interne risicobeheersings- en controlesystemen. Waar de Nederlandse Corporate Governance Code (2003)2 de rapportageverplichting over de risicobeheersing nog beperkte tot de werking van het risicobeheersingsen controlesysteem, moet onder Nederlandse Corporate Governance Code 2008 de rapportage van het bestuur in het jaarverslag een beschrijving bevatten van:

Daarnaast dient het bestuur in het jaarverslag ten aanzien van financiële verslaggevingsrisico's te verklaren dat de "interne risicobeheersings- en controlesystemen" een "redelijke mate van zekerheid" geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat en dat de risicobeheersing s- en controlesystemen in het verslagjaar naar behoren hebben gewerkt, met een duidelijke onderbouwing daarvan. Dat laatste is de "in control"-verklaring.5 In de Nederlandse Corporate Governance Code (2003) was de inhoud van de "in control"-verklaring overigens verstrekkender6 namelijk dat deze systemen adequaat en effectiefzijn,7 wat veeleer het karakter had van een garantieverklaring.8 De nieuwe verklaring is beperkt tot financiële verslaggeving en tot een redelijke mate van zekerheid. De thans voorgeschreven "in control"-verklaring gaat verder dan op basis van Europese richtlijnen wordt vereist.9Art. 46bis lid 1 sub c Vierde Richtlijn en art. 36 lid 2 Zevende Richtlijn vereisen immers slechts een beschrijving van de belangrijkste kenmerken van de interne controle- en risicobeheersystemen van de vennootschap, in verband met het proces van financiële verslaggeving en geen kwalitatieve uitspraak terzake.10

In de toelichting op de Nederlandse Corporate Governance Code 2003 wordt aangegeven dat de "in control"-verklaring een onderdeel kan vormen van de verklaring in de zin van art. 5:25c Wft.11 Bedoeld wordt dan de "getrouw beeld"-verklaring in de zin van art. 5:25c 2 Wft, die betrekking heeft op het jaarverslag.

Het aanvankelijk door de Monitoring Commissie Corporate Governance in het consultatie-document voorgestelde forward looking statement dat er "geen indicaties zijn dat de risicobeheersings- en controlesystemen in het lopende jaar niet naar behoren zullen werken" is naar aanleiding van de kritische reacties in de consultatieronde niet in de definitieve herziene versie opgenomen.12

Tenslotte moet in het jaarverslag worden gerapporteerd over de gevoeligheid van de resultaten van de vennootschap voor externe omstandigheden en variabelen.13

Het voorschrift een "in control"-verklaring af te geven is niet opgenomen in art. 2:391 lid 2 BW en geldt dus niet voor alle naamloze vennootschappen. Krachtens de op grond van art. 2:391 lid 5 BW gestelde voorschriften in de Nederlandse Corporate Governance Code 2008 dienen alle beursgenoteerde N.V.'s de bepalingen daaruit toe te passen of uit te leggen waarom zij die niet toepassen. Vennootschappen kunnen er derhalve voor kiezen om de bepalingen over de interne controle niet toe te passen en in het jaarverslag uit te leggen waarom. In de praktijk zijn deze bepalingen al jaren de meest niet-toegepaste voorschriften.14

In het algemeen is de kwaliteit van die paragraaf een belangrijk aandachtspunt, alleen al gegeven het feit dat de AFM in het kader van het verslaggeving stoezicht relatief veel mededelingen geeft aan ondernemingen over de naleving van de best practice bepalingen van de Nederlandse Corporate Governance Code 2008 inzake interne risicobeheersing- en controlesystemen.15 De AFM besteedt overigens geen aandacht aan de opzet en werking van de interne controle en er vindt geen controle plaats van de onderliggende transactiegegevens ten aanzien van een volledige, tijdige en juiste vastlegging.16 In de speerpunten-brief voor het AvA-seizoen 2008 berichtte Eumedion meer belang te hechten aan een brede risicoparagraaf dan de "in control"-verklaring.17

De wet schrijft niet voor dat het jaarverslag ondertekend moet worden. In letterlijke zin is het dus niet zo dat bestuurders de zgn. "in control"-verklaring dienen te ondertekenen; er hoeft geen fysieke handtekening onder. In de praktijk komt het jaarverslag wel voor rekening van het bestuur18— tenminste het bestuur dat op het moment van het opstellen van het jaarverslag in functie is.

In de toelichting op de Nederlandse Corporate Governance Code 2008 is niet aangegeven welke juridische gevolgen er aan de "in control"-verklaring worden verbonden.19 Voor schade geleden door derden tengevolge van een misleidend jaarverslag — waarin de "in control"-verklaring dus is opgenomen zijn bestuurders uit hoofde van art. 2:139 BW hoofdelijk aansprakelijk. Er is nog geen gepubliceerde jurisprudentie over onjuiste "in control"-verklaringen.

Onder het Nederlandse recht zal voor aansprakelijkheid gebaseerd op de "in control"-verklaring primair worden teruggegrepen op een actie uit hoofde van art. 2:139 BW in verband met het misleidende jaarverslag. Een beslissingsmodel voor de beantwoording van de aansprakelijkheidsvraag op grond van art. 2:139 BW zou er als volgt kunnen uitzien: