Hoe volwassen is jouw auditfunctie?

1Mandaat en onafhankelijkheid

GIAS domein III (Governance)

Is er een auditcharter dat door het bestuur of de auditcommissie is vastgesteld?

Nee, er is geen vastgelegd charterEr is een document, maar niet formeel vastgesteldVastgesteld, maar al langer dan drie jaar niet herzienVastgesteld en periodiek herzien

Aan wie rapporteert de auditfunctie functioneel?

Aan een directielid dat zelf onderwerp van audits isAan de algemeen directeur, zonder aparte lijn naar toezichtAan de auditcommissie, maar alleen bij de jaarrapportageFunctioneel aan de auditcommissie of raad van toezicht, met vaste momenten

Kan de auditfunctie zelf bepalen wat er wordt onderzocht?

Onderwerpen worden aangedragen door de directieIn overleg, maar de directie heeft het laatste woordDe functie stelt voor, het toezicht stelt vastDe functie stelt het plan op en kan tussentijds vrij onderzoeken

2Risicogestuurd plannen

GIAS domein IX (Planning)

Is er een auditsuniverse: een overzicht van wat er te auditen valt?

NeeEen lijst met processen, niet actueelJa, jaarlijks bijgewerktJa, met risicoweging én de onderwerpen die dwars door processen lopen

Waarop is het jaarplan gebaseerd?

Op wat vorig jaar ook gedaan isOp verzoeken vanuit de organisatieOp een eigen risicoanalyseOp een risicoanalyse die is afgestemd met risicomanagement en toezicht

Is het jaarplan getoetst aan de beschikbare capaciteit?

Nee, dat blijkt gaandewegGlobaal ingeschatJa, met een urenraming per opdrachtJa, en bij overschrijding wordt expliciet aan het toezicht voorgelegd wat afvalt

3Uitvoering en dossier

GIAS domein IV en V (Uitvoering)

Werk je met een werkprogramma waarin risico en toets aan elkaar gekoppeld zijn?

Nee, de aanpak groeit tijdens de opdrachtEr is een checklist, niet herleidbaar naar risico'sJa, per opdracht opgesteldJa, en de keten doelstelling-risico-beheersing-toets is zichtbaar

Is achteraf vast te stellen waarop een conclusie is gebaseerd?

Grotendeels op basis van gesprekkenDeels; het dossier is niet compleetJa, het bewijs is opgeslagenJa, en een collega kan de conclusie zelfstandig navolgen

Hoe wordt de omvang van een deelwaarneming bepaald?

Op gevoelVast aantal, ongeacht de populatieOnderbouwd per opdrachtOnderbouwd, met vastgelegde aanname over foutkans en zekerheid

4Rapportage en opvolging

GIAS domein V (Rapporteren en opvolgen)

Wat gebeurt er met een bevinding nadat het rapport is opgeleverd?

Die ligt bij de lijn; wij horen het welWe vragen er af en toe naarEr is een opvolglijst die periodiek wordt bijgewerktEr is een opvolgsysteem met eigenaar en termijn, en escalatie bij overschrijding

Krijgt het toezicht een beeld van het geheel, of alleen losse rapporten?

Alleen losse rapportenLosse rapporten plus een jaaroverzichtEen periodieke samenvatting met thema'sEen periodiek totaalbeeld, inclusief wat níet is onderzocht en wat dat betekent

Wordt er een uitspraak gedaan over de mate van beheersing?

Nee, we beschrijven bevindingenPer bevinding, niet over het geheelJa, per opdracht een conclusieJa, met een expliciete koppeling aan de doelstelling van de organisatie

5Kwaliteitsborging en vakbekwaamheid

GIAS domein VIII (Kwaliteit)

Is er een kwaliteitsprogramma (interne toetsing van het eigen werk)?

NeeInformeel: we lezen elkaars werk somsJa, met vastgelegde interne reviewsJa, met interne reviews én periodieke zelfevaluatie tegen de standaarden

Is er ooit een externe kwaliteitsbeoordeling (EQA) uitgevoerd?

Nee, en die staat ook niet geplandNee, maar we denken eroverJa, langer dan vijf jaar geledenJa, binnen de afgelopen vijf jaar

Hoe wordt vakbekwaamheid op peil gehouden?

Ad hoc, als er tijd isLosse cursussen zonder planEen opleidingsplan per medewerkerEen opleidingsplan gekoppeld aan de risico's in het jaarplan