Veel adviezen in auditrapporten worden niet opgepakt. Toch blijven auditors ze schrijven. De vraag is wanneer het de moeite waard is, niet óf je advies geeft.
Moet je advies geven in een auditrapport? Het antwoord is minder vanzelfsprekend dan het lijkt. Sommige auditors zijn er fel op tegen, anderen beschouwen het als de kern van hun werk. Beide kampen hebben gelijk.
Met de komst van de Global Internal Audit Standards (GIAS) is het onderscheid tussen assurance en advies explicieter geworden: internal audit levert in de kern onafhankelijke assurance en kan aanvullend adviesdiensten leveren, mits dit transparant gebeurt, past binnen het mandaat en de onafhankelijkheid niet aantast2. Dat maakt de vraag "moet ik eigenlijk wel advies geven in mijn auditrapport?" des te scherper.
Wat zegt de GIAS over advies?
De nieuwe GIAS stuurt op een helder mandaat voor internal audit (charter), een onafhankelijke positie en duidelijke verwachtingen over soorten opdrachten: assurance, advies of een combinatie23. Concreet betekent dat: vooraf met bestuur en auditcommissie afspreken óf en hoe je adviseert, en dat vervolgens consequent doen.
Binnen de GIAS hoort advies geven primair bij "consulting services" of "adviesdiensten": opdrachten waarin management expliciet om jouw hulp vraagt, jij helder maakt dat je geen formele assurance afgeeft, en je bewaakt dat je toekomstige onafhankelijkheid intact blijft24. Standaard adviezen meeschrijven bij elke bevinding past daar slecht bij, tenzij je charter en je stakeholders dat bewust zo hebben ingericht1.
Standaard 14.4: de standaard die iedereen erbij pakt
Zeg in een zaal met auditors dat je geen aanbevelingen meer schrijft en Standaard 14.4 ligt binnen een minuut op tafel. "Aanbevelingen en actieplannen" heet die, en dat klinkt als een plicht om te adviseren. Dat is het niet. De standaard opent met een keuze: schrijf je aanbevelingen, vraag je het management om een actieplan, of werk je samen toe naar acties12? Drie routes, gelijkwaardig. Bij twee ervan ligt de oplossing bij de risico-eigenaar, niet bij jou.
Die acties moeten wel ergens toe leiden. De standaard noemt vier doelen: het gat tussen norm en werkelijkheid dichten, het risico terugbrengen naar een aanvaardbaar niveau, de grondoorzaak aanpakken en de activiteit verbeteren. Over de vorm zegt 14.4 niets. De twee harde eisen die de standaard stelt, gelden pas zodra je zelf aanbevelingen schrijft: dan bespreek je ze met het management van het object, en bij onenigheid volg je een vastgestelde methodologie waarin beide partijen hun standpunt kunnen geven. Schrijf je geen aanbevelingen, dan komen die eisen niet in beeld. Wie 14.4 leest als adviesplicht, leest er iets in wat er niet staat.
Wel of niet adviseren? In één oogopslag
Wél: als advies expliciet is afgesproken in charter of opdracht, als management er zelf om vraagt, als het hun eigen keuzes onderbouwt, en zolang je onafhankelijkheid voor latere audits geborgd blijft.
Niet: ongevraagd bij elke bevinding, zonder onderzoek naar de oorzaak, omdat 'het zo hoort', of als het tijd wegneemt van assurance.
Waarom advies vaak niet werkt: inzichten uit communicatiewetenschap
Veel internal auditors schrijven advies in hun rapport omdat ze denken dat het 'moet'. Zo ging het altijd al. Of ze nemen aan dat het verwacht wordt, zonder die verwachting ooit te toetsen bij de collega's die het rapport ontvangen en er daadwerkelijk mee aan de slag moeten. Mijn tip: denk goed na of je wel advies moet of zelfs wíl geven. In veel gevallen is het beter van niet. Daar zijn stevige communicatiewetenschappelijke en psychologische redenen voor.
De communicatiewetenschap kent het begrip psychological reactance: zodra mensen het gevoel krijgen dat hun vrijheid of autonomie wordt ingeperkt ("jij moet nu dit doen"), ontstaat er een automatische tegenreactie5. Hoe autonomer iemand zichzelf vindt, hoe sneller goedbedoeld advies overkomt als betuttelend of bevoogdend. Het wordt afgewezen, ook als de inhoud klopt6. Professionals en bestuurders hebben een sterke autonome beroepsidentiteit. Ongevraagd advies in een auditrapport vertaalt zich bij hen bijna vanzelf in weerstand in plaats van beweging.
Self-Determination Theory laat zien dat duurzame motivatie ontstaat als drie psychologische basisbehoeften worden vervuld: autonomie (zelf keuzes maken), competentie (je bekwaam voelen) en verbondenheid (je serieus genomen voelen in de relatie)78. Advies dat overkomt als "voorschrift van de auditor" ondergraaft precies autonomie en competentie. Een scherp normenkader, goede bevindingen en ruimte om zélf oplossingen te kiezen versterken die behoeften juist7.
Onderzoek naar de intention-action gap bevestigt wat ervaren auditors allang weten: tussen weten en doen gaapt een kloof. Professionals hebben uitstekende intenties, maar komen niet in beweging910. Het probleem is zelden onbekendheid met het advies. De omgeving, prioriteiten of routines blokkeren de uitvoering9. Je voegt als internal auditor meer waarde toe door helder te maken wáár het schuurt en management te helpen condities te scheppen waarin hun eigen goede voornemens uitvoerbaar worden, dan door nóg een lijstje maatregelen aan het rapport toe te voegen10.
Uit de praktijk: redenen om géén advies te geven
1. Wie ben jij dan wel helemaal? Of: het komt belerend over...
Als ik als auditor advies ga geven aan een goedbetaalde directeur die verantwoordelijk is voor de beheersing van zijn risico's, kan die directeur beter naar huis gaan zodat ik zijn werk overneem. Want dat is toch precies wat een directeur hoort te doen? Risico's beheersen door maatregelen te implementeren? Veel meer verantwoordelijkheid heeft hij niet.
Psychologisch raken adviezen aan de autonomie van professionals: zodra iemand ervaart dat zijn handelingsvrijheid wordt ingeperkt, ontstaat psychological reactance, de neiging om weerstand te bieden tegen op zichzelf zinnig advies5. Hoogopgeleide professionals en bestuurders hebben een sterk zelfbeeld als competente beslisser. Goedbedoelde adviezen worden daardoor snel als betuttelend ervaren6.
2. Advies zorgt voor wrijving en discussie
Advies geven is zelden alleen een kwestie van opschrijven. Zodra de aanbeveling op papier staat, ontstaat er onderhandeling: is dit wel de juiste oplossing, wie voelt zich aangesproken, en hoe moet het precies verwoord worden zonder de directeur voor het hoofd te stoten. Die wrijving in de samenwerking kost tijd binnen de opdracht zelf, los van de bredere kosten- en capaciteitsafweging die in reden 7 aan bod komt.
Bij klanten met structurele budgetoverschrijding op internal audits teken ik regelmatig dit plaatje. De groene lijn toont de ideale urenverdeling: het meeste werk zit in voorbereiding en uitvoering, de afronding is binnen een dag klaar. De rode lijn toont wat er gebeurt bij audits die over budget gaan. In mijn ervaring is de boosdoener meestal hetzelfde: eindeloos overleg en afstemming over de adviezen.
Bij veel van mijn klanten werken directeuren die het bepaald niet waarderen als opeens blijkt dat ze hun zaakjes niet op orde hebben. En al helemaal niet als een wijsneuzige auditor ook nog zout in de wond gaat strooien door te vertellen wat ze moeten doen. Dat weten ze zelf wel. Bij die klanten zijn we acuut gestopt met advies geven. Het resultaat: uren bleven binnen budget en de beoordelingen van directeuren en managers schoten omhoog.
3. Het 'heurt' niet zo (en zeker niet volgens de hardliners)
Internal auditors onderzoeken de kwaliteit van interne beheersing in een organisatie. Het is probleemgericht onderzoek: voldoet de beheersing, ja of nee. Voldoet het niet? Dan constateer je dat. Laat de organisatie zelf de boel fixen. De auditor kan een tijdje later prima vaststellen of dat inderdaad is gebeurd.
De GIAS is hier helder: internal audit draait om assurance. Het doel is stakeholders meer vertrouwen geven in governance, risicomanagement en interne beheersing2. Advies valt daar niet onder, tenzij het expliciet als aparte adviesdienst is gepositioneerd14.
4. Je weet de oorzaak helemaal niet
Elk advies waarvoor je geen onderzoek hebt gedaan naar de oorzaak is kansloos. En dat is iets fundamenteel anders dan een onderzoek met de vraag "is er een probleem?". Zonder die onderbouwing is de kans groot dat je advies nergens op slaat, of erger: dat de organisatie je gebruikt om een richting in te slaan die hen goed uitkomt maar de oorzaak niet wegneemt.
Stel, je constateert dat functiescheiding ontbreekt of dat het ontwerp van een IT-systeem niet deugt. Wat is de oorzaak? Geen budget? Incompetentie? Hoge werkdruk? Mijn advies (oei, wat zeg ik nu?): blijf zoveel mogelijk weg van oorzakenanalyses zonder onderzoek dat die kan onderbouwen.
Onderzoek naar advies-acceptatie laat zien waarom: mensen wegen andermans advies structureel lichter dan hun eigen oordeel, omdat ze wel toegang hebben tot hun eigen overwegingen maar niet tot die van de adviseur11. Dat effect lijkt sterker naarmate het advies minder aansluit bij hun eigen kijk op het probleem. Presenteer jij de "oplossing" zonder dat de ander zich herkent in jouw analyse van de oorzaak, dan wordt het beleefd aangehoord en vervolgens genegeerd.
5. Het beste advies is een goed normenkader
Als je een goede audit uitvoert, heb je een degelijke risicoanalyse gemaakt en is duidelijk wat per risico de belangrijkste controls zijn. In de bijlage van je rapport zit hopelijk ook het normenkader met per control een score of aanduiding of het goed of niet goed is (of er tussenin). Dan is het enige zinvolle advies dat je nog kunt geven: "los de bevindingen op, zie bijlage".
6. Als ze advies nodig hebben, dan vragen ze er wel om
Stel je constructief en meehelpend op. Het wordt heus wel aan je gevraagd als ze er niet uitkomen. Zet in je rapport dat je bereid bent om te helpen, als je je daar prettig bij voelt.
Vanuit de Self-Determination Theory is dat verschil goed te verklaren: gevraagd advies ondersteunt de autonomie en competentiebeleving van de ontvanger, terwijl ongevraagd advies die juist ondermijnt en defensiviteit oproept7. Door in je rapport expliciet je bereidheid tot meedenken te benoemen, maar de keuze bij de ander te laten, versterk je hun gevoel van regie. En daarmee de kans dat ze je later wél uitnodigen.
7. Het kost tijd en geld
Elke adviesparagraaf is een keuze: die tijd en dat budget had je ook aan assurance of aan een ander onderzoek kunnen besteden. Veel adviezen zijn open deuren; in het slechtste geval wordt er helemaal niets mee gedaan, dan is het rendement op die geïnvesteerde audit-capaciteit nul. Nog erger is een extern ingehuurde auditor die per se adviezen wil schrijven, tegen het duurste tarief van de opdracht. Vraag in plaats daarvan gewoon of iemand een uurtje langs wil komen om te praten over wat er moet gebeuren.
De intention-action gap laat zien dat het probleem zelden kennis is. Professionals weten doorgaans wát er moet gebeuren, maar krijgen het niet voor elkaar910. Een lijstje adviezen verandert daar niets aan. Een goed gesprek mogelijk wel.
Wanneer past advies wél bij GIAS?
Vanuit de GIAS past advies goed wanneer:
- het expliciet als adviesopdracht is afgesproken (in het charter of per opdracht),
- het doel is om management te helpen hun eigen keuzes beter te onderbouwen,
- en je onafhankelijkheid in toekomstige audits niet wordt ondermijnd24.
In die context kan een kort, scherp advies in of naast het rapport wél waarde toevoegen. Denk aan complexe verandertrajecten of hardnekkige cultuur- en gedragsvraagstukken waar de vraag "wat zijn scenario's om hiermee om te gaan?" is, niet "is er een probleem?"2.
Wat 14.4 van je vraagt als je géén advies geeft
Geen adviesparagraaf is iets anders dan constateren en verder zwijgen. Laat je de oplossing bij de eigenaar, dan neem je route twee of drie uit 14.4: je vraagt het actieplan op en legt het vast. Dat is geen formaliteit. Zonder actieplan heeft de opvolging later niets om op te volgen en blijft je bevinding een mening in een la.
Daar hoort wel wat bij. Je bevinding moet genoeg over de oorzaak zeggen dat het actieplan er iets mee kan, want 14.4 vraagt om acties die de grondoorzaak aanpakken (zie reden 4). En de keuze om geen aanbevelingen te schrijven hoort thuis in je methodologie, niet in je gewoonte. Voor de omgang met onenigheid verwijst 14.4 expliciet naar Standaard 9.3 over methodologieën2. "Wij schrijven principieel geen aanbevelingen" is prima te verdedigen, zolang het is vastgelegd en afgestemd met bestuur en auditcommissie. Als ongeschreven gewoonte is het even onbewust als de adviesparagraaf die je ermee wilde vermijden.
Uit de praktijk: redenen om juist wél advies te geven in een rapport
Er zijn genoeg redenen om juist wél advies te geven in een rapport. Een paar:
8. Ze vragen er om!
Weinig dingen zijn zo bevredigend als mensen écht verder helpen, zeker wanneer ze die hulp ook waarderen. Dus als je de kans krijgt: grijp hem. Ook ik krijg regelmatig adviesvragen. Soms over een hardnekkig probleem, vaak cultuur- of gedragsgerelateerd. Soms over een complexe uitdaging waar iedereen in de details verdwaald is en niemand meer overzicht heeft. Of simpelweg omdat je als internal auditor een van de weinigen bent die dwars door de hele organisatie heen kijkt. Stuk voor stuk goede redenen om wél advies te geven.
In GIAS-termen schuif je dan tijdelijk op richting een adviserende rol, op voorwaarde dat dit vooraf is afgestemd en transparant is naar bestuur en auditcommissie2. Self-Determination Theory bevestigt dat gevraagd advies de autonomie en competentie van de ontvanger versterkt in plaats van ondermijnt7.
9. Men verwacht het van je
Wees hier scherp op. 'Men' is vaak 'de organisatie', en grote kans dat het een ingesleten verwachting is die ooit ergens is ontstaan en nooit meer is heroverwogen. Ga het gesprek aan met bestuur en auditcommissie: willen ze die dure audit-uren hier werkelijk aan besteden? Advies geven betekent minder tijd voor assurance en onderzoek. Dat hoeft geen probleem te zijn, maar regel het dan goed. Leg het vast in het Charter en formuleer vervolgens adviezen waar de organisatie echt iets aan heeft.
Dit sluit direct aan bij de GIAS-eis om een helder charter te hebben waarin staat wat de internal auditfunctie wel en niet doet2. Transparantie voorkomt verwarring en beschermt je onafhankelijkheid.
10. Advies geven is het leukste onderdeel van het werk van de internal auditor
Ik vind dat geen sterk argument. De lol zit in het auditen zelf, de toegevoegde waarde in het geven van assurance. Voor mij hoeft het dus niet, dat was ondertussen wel duidelijk. Maar niemand is hetzelfde. Als het je blij maakt: ga je gang. Let dan wel goed op reden 1 t/m 7.
Slotwoord
Er zijn vast meer voors en tegens te bedenken over het geven van advies, los van de vraag wat een advies nu eigenlijk inhoudt. Vrijwel alles aan dit onderwerp is persoons- en organisatieafhankelijk.
Met de GIAS in de hand komt het voor mij hierop neer: wees radicaal helder over je rol. Geef je assurance, houd je dan bij een stevig normenkader, scherpe bevindingen en duidelijke conclusies2. Wil je (of moet je) ook adviseren, zorg dan dat dit expliciet is afgesproken, dat je onafhankelijkheid geborgd blijft en dat je advies de autonomie en professionaliteit van je gesprekspartner versterkt in plaats van ondermijnt157.
Professionals weten doorgaans heel goed wat er moet gebeuren. Wat ze nodig hebben is een scherp beeld van de risico's, ruimte om zelf te kiezen en, als ze erom vragen, een sparringpartner die meedenkt zonder de regie over te nemen57.
Doe wat werkt voor jou en je organisatie, maar maak er een bewuste keuze van. Ik hoop dat dit artikel aanzet tot nadenken. Ik ben benieuwd hoe je volgende auditrapport eruitziet. Reacties zijn welkom.
Dit artikel gaat over de vraag of u advies geeft. Zoekt u de opbouw van het rapport zelf, wat GIAS voorschrijft, hoe u een bevinding opbouwt en wanneer u een oordeel geeft, lees dan Het auditrapport: opbouw, bevindingen en oordeel onder GIAS.
Referenties
[1] The IIA. (2024). Global Internal Audit Standards. https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
[2] IIA Nederland. (2024). Global Internal Audit Standards, Dutch version. https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-dutch.pdf
[3] IIA Nederland. (2025). Effectuering GIAS. https://www.iia.nl/nieuws/effectuering-gias
[4] Wolters Kluwer. (2024). Overview of the new Global Internal Audit Standards 2024. https://www.wolterskluwer.com/en/expert-insights/new-global-internal-audit-standards-overview
[5] Brehm, J. W. (1966). A Theory of Psychological Reactance. Academic Press.
[6] Pavey, L., & Sparks, P. (2009). Reactance, autonomy and paths to persuasion: Examining perceptions of threats to freedom and informational value. Motivation and Emotion, 33(3), 277-290. https://doi.org/10.1007/s11031-009-9137-1
[7] Ryan, R. M., & Deci, E. L. (2000). Self-Determination Theory and the Facilitation of Intrinsic Motivation, Social Development, and Well-Being. American Psychologist, 55(1), 68-78. https://selfdeterminationtheory.org/SDT/documents/2000_RyanDeci_SDT.pdf
[8] Deci, E. L., & Ryan, R. M. (1985). Intrinsic Motivation and Self-Determination in Human Behavior. Plenum Press.
[9] Sheeran, P., & Webb, T. L. (2016). The Intention-Behavior Gap. Social and Personality Psychology Compass, 10(9), 503-518. https://doi.org/10.1111/spc3.12265
[10] Gollwitzer, P. M. (1999). Implementation intentions: Strong effects of simple plans. American Psychologist, 54(7), 493-503. https://doi.org/10.1037/0003-066X.54.7.493
[11] Yaniv, I., & Kleinberger, E. (2000). Advice taking in decision making: Egocentric discounting and reputation formation. Organizational Behavior and Human Decision Processes, 83(2), 260-281. https://www.sciencedirect.com/science/article/abs/pii/S0749597800929091