Audit Manual — Universeel Template

Introductie

Dit Audit Manual beschrijft de werkwijze van de Internal Audit Functie (IAF) van ORGANISATIENAAM. Het handboek is opgesteld conform de Global Internal Audit Standards (GIAS) van het Institute of Internal Auditors (IIA) en vult het Internal Audit Charter aan (CHARTER REFERENTIE).

Waar het charter de positie, het mandaat en de onafhankelijkheid van de IAF vastlegt, beschrijft dit handboek hoe de IAF haar werkzaamheden in de praktijk uitvoert: van strategie en planning tot rapportage, follow-up en kwaliteitsborging.

De gehanteerde auditaanpak is gebaseerd op METHODOLOGIE. Dit handboek treedt in werking per DD-MM-JJJJ en wordt jaarlijks herzien.

Strategie en jaarplanning

De CAE stelt jaarlijks een risicogebaseerd internal auditplan op. Dit plan is gebaseerd op:

• Een actuele risicobeoordeling van het audit universe (alle auditeerbare objecten van ORGANISATIENAAM);
• Input van de RAAD VAN COMMISSARISSEN / BOARD, het AUDIT COMMITTEE en het senior management;
• De strategische doelstellingen van de organisatie;
• Resultaten van voorgaande audits en openstaande aanbevelingen.

Het jaarplan omvat verplichte aandachtsgebieden conform GIAS Standaard 9.2: informatietechnologie en cyberbeveiliging, frauderisico's, en naleving van wet- en regelgeving.

Het auditplan wordt ter goedkeuring voorgelegd aan het AUDIT COMMITTEE. Materiële afwijkingen van het goedgekeurde plan worden eveneens ter goedkeuring voorgelegd. Tussentijdse herziening vindt plaats bij significante veranderingen in de organisatie of het risicoprofiel.

Opdrachtvoorbereiding

Elke auditopdracht start met een gestructureerde voorbereidingsfase. De CAE of aangewezen senior auditor stelt een opdrachtbrief op die minimaal omvat: doelstellingen, scope, auditeerperiode, normenkader, geplande doorlooptijd en de samenstelling van het auditteam.

Onafhankelijkheid en objectiviteit

Vóór aanvang van elke opdracht bevestigen alle betrokken auditors hun onafhankelijkheid en objectiviteit. Bij (dreiging van) belangenconflicten wordt een alternatieve auditor aangesteld.

Risicobeoordeling en werkprogramma

Op basis van de opdrachtscope voert het auditteam een opdracht-specifieke risicobeoordeling uit. De uitkomsten vormen de basis voor het werkprogramma: de gestructureerde beschrijving van uit te voeren werkzaamheden, normenkader, benodigde informatiebronnen en evaluatiecriteria.

Overleg met auditee

De CAE voert voorafgaand aan elke opdracht een openingsgesprek met de verantwoordelijk manager (auditee) om de doelstelling, scope en werkwijze toe te lichten en afstemming te bereiken over de planning. Materiële bezwaren worden geëscaleerd conform sectie 8.

Uitvoering van de opdracht

Informatie verzamelen

Het auditteam verzamelt informatie via de OBW-aanpak: Observatie (directe waarneming van processen en activiteiten), Bevraging (interviews met medewerkers en management) en Waarneming (analyse van documenten, systemen en data). Informatie wordt op betrouwbaarheid, volledigheid en relevantie getoetst.

Bevindingen formuleren

Elke bevinding wordt gedocumenteerd met: omschrijving van de situatie (wat is aangetroffen?), het normenkader (wat had moeten zijn?), de grondoorzaak, het gevolg/risico, en een aanbeveling gericht op de oorzaak. Bevindingen worden geprioriteerd op basis van risicorelevantie (hoog / midden / laag).

Frauderisico's

Het auditteam houdt gedurende de uitvoering alert op indicatoren van fraude of niet-integer gedrag. Bij concreet vermoeden van fraude wordt de CAE onmiddellijk geïnformeerd, die vervolgens bepaalt of en hoe te escaleren.

Supervisie

De CAE of aangewezen superviserende auditor bewaakt de kwaliteit en voortgang van de uitvoering. Significante afwijkingen van het werkprogramma worden gedocumenteerd en ter goedkeuring voorgelegd.

Dossiervorming

De IAF legt per opdracht een auditdossier aan dat voldoende bewijs bevat om conclusies te onderbouwen en te reconstrueren. Het dossier omvat minimaal: de opdrachtbrief, risicobeoordeling, werkprogramma, werktekeningen, interviews/notities, en het eindrapport inclusief de management response.

Auditdossiers worden bewaard gedurende BEWAARTERMIJN na afronding van de opdracht, conform de wettelijke vereisten en het retentiebeleid van ORGANISATIENAAM. Toegang is beperkt tot leden van de IAF en bevoegde toezichthouders. Auditdossiers worden niet aan externe partijen verstrekt zonder expliciete toestemming van de CAE.

Opdrachtrapportage

Conceptrapport en hoor en wederhoor

Na afronding van de uitvoering stelt het auditteam een conceptrapport op. Dit rapport wordt ter review voorgelegd aan de auditee en het verantwoordelijk management (hoor en wederhoor). De auditee heeft de gelegenheid feitelijke onjuistheden te corrigeren en een management response te formuleren op elke aanbeveling.

Definitief rapport

Na verwerking van reacties stelt de CAE het definitieve rapport vast. Het rapport bevat: aanleiding en doelstelling, scope en methodologie, overall auditconclusie, bevindingen met prioritering, aanbevelingen, management responses en een actieplan (ATF).

Distributie

Het definitieve rapport wordt verspreid aan: het verantwoordelijk management, de CAE (archivering), het AUDIT COMMITTEE (significante bevindingen of op verzoek) en de RAAD VAN COMMISSARISSEN (periodieke rapportage). CAE (archivering) en het AUDIT COMMITTEE van de BOARD OF DIRECTORS.

Fouten en omissies / Non-conformiteit

Indien na publicatie een materiële fout of omissie in het rapport wordt geconstateerd, geeft de CAE een gecorrigeerd rapport uit en informeert alle ontvangers. Non-conformiteit met de GIAS wordt gedocumenteerd, gecommuniceerd aan het AUDIT COMMITTEE en opgenomen in de QAIP-rapportage.

Follow-up en monitoring van aanbevelingen

De IAF monitort de implementatie van aanbevelingen via het Action Tracking Form (ATF). Het management is verantwoordelijk voor de implementatie; de IAF bevestigt de uitvoering en de effectiviteit.

De CAE rapporteert kwartaalsgewijs aan het AUDIT COMMITTEE over de stand van zaken van openstaande aanbevelingen, inclusief vertraagde en niet-geïmplementeerde items. Aanbevelingen die na de overeengekomen deadline niet zijn geïmplementeerd worden geëscaleerd conform sectie 8.

Escalatie en risicoacceptatie

Wanneer het management besluit een aanbeveling niet of niet volledig op te volgen, documenteert de CAE dit als formele risicoacceptatie. De risicoacceptatie omvat: beschrijving van het restrisico, de naam van de accepterende manager en de datum. Bij risico's boven de risicobereidheid van ORGANISATIENAAM geldt de volgende escalatieladder:

1. Overleg met de verantwoordelijk manager;
2. Escalatie naar het senior management;
3. Escalatie naar het AUDIT COMMITTEE;
4. Indien nodig: melding aan het voltallig toezichthoudend orgaan.

De CAE legt alle risicoacceptaties en escalatiestappen vast in het auditdossier.

Periodieke rapportage

Kwartaalrapportage

De CAE rapporteert kwartaalsgewijs aan het AUDIT COMMITTEE over: voortgang van het auditplan (% afgerond, verwachte voltooiing), significante bevindingen, status openstaande aanbevelingen, capaciteits- en budgetafwijkingen, en eventuele aantastingen van de onafhankelijkheid.

Jaaroordeel (Overall Opinion)

De CAE brengt jaarlijks een overall opinion uit over de effectiviteit van de governance, het risicobeheer en de interne beheersing van ORGANISATIENAAM. Dit oordeel is gebaseerd op de gezamenlijke resultaten van alle in het jaar uitgevoerde opdrachten.

Thematische rapportages

Naast de periodieke rapportage kan de CAE thematische rapportages uitbrengen over sectoroverstijgende of strategische risico's, op verzoek van het AUDIT COMMITTEE of op eigen initiatief.

Adviesdiensten

Naast assurancediensten verleent de IAF adviesdiensten aan het management van ORGANISATIENAAM. Bij adviesdiensten gelden aanvullende spelregels:

• De IAF neemt geen managementverantwoordelijkheid over;
• Adviesdiensten mogen de objectiviteit van de IAF niet aantasten;
• Bij een latere assurance-opdracht op hetzelfde object meldt de CAE de eerder verleende adviesdienst;
• De CAE informeert het AUDIT COMMITTEE over significante adviesdiensten.

Middelen- en budgetbeheer

Budget

De CAE stelt jaarlijks een budgetvoorstel op, afgestemd op het auditplan. Het budget wordt goedgekeurd door het AUDIT COMMITTEE. Materiële afwijkingen worden gemeld.

Personeel en competenties

De IAF beschikt over de kennis, vaardigheden en overige competenties die nodig zijn voor de uitvoering van het auditplan. De CAE bevordert de continue professionele ontwikkeling van alle medewerkers, inclusief certificering (CIA en sectorspecifieke kwalificaties). Bij ontbrekende kennis voor specifieke opdrachten wordt gebruik gemaakt van co-sourcing of externe expertise.

Technologie en tools

De IAF maakt gebruik van geëigende audit-tools voor planning, dossierbeheer, data-analyse en rapportage. De CAE beoordeelt periodiek of de beschikbare technologie nog passend is voor het mandaat.

Kwaliteitsborging en verbetering (QAIP)

Continue monitoring

De kwaliteit van opdrachten wordt continu gemonitord via supervisie (sectie 4), dossierreviews en tevredenheidsmeting bij auditees na elke opdracht.

Zelfevaluatie

De CAE voert jaarlijks een interne zelfevaluatie uit. De uitkomsten worden, samen met de conformiteit met de GIAS en de realisatie van prestatiedoelstellingen, gerapporteerd aan het AUDIT COMMITTEE.

Prestatiemeting en KPI's

De IAF meet haar prestaties aan de hand van KPI's die jaarlijks worden goedgekeurd door het AUDIT COMMITTEE. Minimale indicatoren: realisatie auditplan (%), gemiddelde doorlooptijd per opdracht, tevredenheidsscore auditees, opvolgingspercentage aanbevelingen en GIAS-conformiteitsoordeel.

Externe kwaliteitstoetsing (EQA)

Ten minste eenmaal per vijf jaar laat de IAF een externe kwaliteitstoetsing uitvoeren door een onafhankelijke, gekwalificeerde partij. De uitkomsten worden gerapporteerd aan het AUDIT COMMITTEE. Bij een significant non-conformiteitsoordeel stelt de CAE een verbeterplan op.

Coördinatie met andere assuranceaanbieders

De CAE coördineert de werkzaamheden van de IAF met die van de externe accountant, de risicomanagementfunctie, de compliancefunctie en andere interne of externe aanbieders van assurancediensten. Doel is: beperken van dubbel werk, borgen van een integrale risicodekking, en vergroten van de gecombineerde toegevoegde waarde.

De CAE beoordeelt in welke mate op het werk van andere aanbieders kan worden gesteund (GIAS Standaard 9.5) en documenteert deze beoordeling in het auditdossier.