Wanneer is dit nodig?
Sommige situaties vragen niet om een adviesrapport maar om een werkend systeem. Twee voorbeelden uit de praktijk:
Pensioenfonds — DNB verwacht operationele IA-functie
Een pensioenfonds ontving van DNB de verwachting om binnen zes maanden een internal audit functie operationeel te hebben. Er was geen bestaande IA-infrastructuur: geen charter, geen risk assessment, geen auditplan. Het bestuur wilde geen ontwerptraject van maanden, maar een kant-en-klare opzet die direct functioneerde.
Verzekeraar — Solvency II governance gaps
Een middelgrote verzekeraar constateerde bij een interne review dat meerdere governance-elementen uit Solvency II niet of onvoldoende waren ingericht. De compliance officer had ondersteuning nodig die verder ging dan advies: iemand die de gaps identificeert én direct de inrichting doet.
De 90-dagen aanpak
Audirium werkt met een gestructureerde 90-dagen aanpak die in drie fasen een werkende governance-inrichting oplevert:
Fase 1 — Weken 1–4: Nulmeting en fundament
- Inventarisatie huidige situatie (governance maturity scan)
- Stakeholder mapping en verwachtingenmanagement
- IA Charter en onafhankelijke positionering
- RACI-matrix governance-rollen
- Eerste versie risk register (top-down)
Fase 2 — Weken 5–8: Inrichting en eerste executie
- Risk-based auditplan (12 maanden)
- Eerste audit gestart of afgerond
- Risk appetite framework (in overleg met bestuur)
- KRI-dashboard operationeel
- Rapportageformat AC/bestuur vastgesteld
Fase 3 — Weken 9–12: Operationeel en verankerd
- Tweede audit afgerond
- Issue management en follow-up proces ingericht
- Eerste kwartaalrapportage aan bestuur/AC
- Tooling operationeel (risk heat map, assessment tools)
- Overdrachtsplan en continuïteitsafspraken
Resultaat
"Na drie maanden had ik een werkende IA-functie die ik aan DNB kon laten zien. Niet een plan, niet een rapport — maar een charter, een auditplan met twee afgeronde audits, en een risk dashboard dat het bestuur daadwerkelijk gebruikt."
Wat u krijgt na 90 dagen
| Deliverable | Status na 90 dagen |
|---|---|
| IA Charter | Vastgesteld en goedgekeurd door bestuur |
| Risk register | Operationeel, gekoppeld aan auditplan |
| Auditplan | 12 maanden, risk-based, 2 audits afgerond |
| Risk appetite framework | Bestuur-goedgekeurd, met KRIs |
| RACI governance | Vastgesteld en gecommuniceerd |
| Rapportageformat | AC/bestuur, eerste rapportage geleverd |
| Tooling | Risk heat map + assessment tools operationeel |
| Overdrachtsplan | Gedocumenteerd, klaar voor transitie |
We hadden verwacht dat dit een jaar zou duren. Het stond er in drie maanden.
— Bestuursvoorzitter, Pensioenfonds