Heb je even tijd voor een interview?

(oftewel: "ik ga je een uur van je leven afpakken om iets op te schrijven dat ik ook had kunnen mailen")

Hoeveel uur ben je deze maand als internal audit-functie kwijt geweest aan interviews die je net zo goed met een mail of een datacheck had kunnen afhandelen: terwijl datzelfde auditbewijs net zo hard, en veel sneller, boven tafel komt? Houd dat getal vast.

Het interview is voor internal audit wat "druk" is voor de rest van de organisatie: het gebeurt automatisch, er wordt zelden bij stilgestaan, en als je vraagt waarom, krijg je een antwoord dat nergens op slaat. "Zo doen we dat altijd." "Dat is de methodologie." "Anders mis je context." Ja. Of je had gewoon een mail kunnen sturen.

Soms is een interview precies het juiste instrument. Verderop lees je wanneer. Maar voor compliance- en risicogerichte audits is het dat meestal niet.

Even scherp. Internal audits zijn doorgaans risico- of compliancegericht. Er is een norm, er is een beheersmaatregel (control), en jij moet vaststellen of die beheersmaatregel wordt uitgevoerd. Geen filosofie, geen diepte-interview, geen therapeutische sessie over hoe iemand zich voelt bij het vier-ogenprincipe. Gewoon: gebeurt het, ja of nee? Die vraag past in een mail. In één regel.

Maar waarom doen we het dan?

Omdat het er hardnekkig is ingesleten. In mijn ervaring hebben veel auditors het idee meegekregen dat een audit zonder interview geen echte audit is. Het interview is het ritueel. Je plant het in, je komt met z'n tweeën (want je mist anders wat, toch?), je stelt vragen waarvan je het antwoord al weet, je schrijft alles op, en dan begint het echte werk: nalezen, corrigeren, opsturen, laten valideren, commentaar ontvangen, aanpassen, weer opsturen, opnieuw laten valideren. Voor één bevinding die je ook had gekregen door gewoon in het systeem te kijken.

En dan dat "met z'n tweeën". Alsof een audit-interview een gevaarlijke onderneming is waarvoor je backup nodig hebt. "Ja maar de ander let op non-verbale signalen." Pardon? Je bent een auditor, geen FBI-ondervrager. Je stelt vast of iemand z'n autorisatiematrix bijhoudt. Daar heb je geen gedragsprofiel voor nodig. Als je de vraag niet alleen kunt stellen, weet je waarschijnlijk niet goed genoeg wat je zoekt. En als je het wél weet, waarom zit je dan met twee man aan tafel?

De valkuil van "achtergronden" en "oorzaken"

Dan is er die andere klassieker: het interview om de "achtergrond" of "oorzaak" te achterhalen. Klinkt grondig. Klinkt professioneel. Maar bij een standaard compliance- of risicogerichte audit doet de oorzaak er niet toe. Je stelt vast dat iets niet werkt. Punt. Waarom het niet werkt is een andere vraag, voor een ander type onderzoek, met een andere methodologie. Nuance: bij het evalueren van bevindingen verwachten de Standaarden wél dat je waar mogelijk samen met het management naar grondoorzaken kijkt³. Dat is iets anders dan vooraf uren interviewen om een oorzaak te zoeken die je nog niet kent.

Stel: iemand doet z'n werk niet goed. De beheersmaatregel faalt. Dan is de bevinding: de beheersmaatregel faalt. Niet: "Jan had het druk, de afdeling is onderbemand, en het systeem werkte vorige maand even niet." Dat is geen audit. Dat is een excuusverzameling. En precies dát leveren interviews op. Verhalen. Context. Ruis. Alles behalve het antwoord op de vraag die je had moeten stellen.

Oorzaakanalyses zijn waardevol. Geen twijfel. Maar het zijn andere onderzoeken. Oorzaakgericht in plaats van probleemgericht. Met andere technieken, andere expertise, een ander doel. Als je dat door elkaar haalt, krijg je audits die te lang duren, te veel kosten en te weinig opleveren. Oftewel: de gemiddelde internal audit.

Wat het echt kost

Tel mee. Je plant een interview. De auditee bereidt zich voor (of niet, maar blokkeert wel een uur). Je komt met twee auditors. Het gesprek duurt een uur.

Dan werk je het uit, daar gaat minstens een uur in zitten. Je leest het na, de collega leest het na, je corrigeert, je stuurt het op, de auditee leest het, geeft commentaar ("zo heb ik het niet gezegd"), je past aan, stuurt opnieuw, en ergens drie weken later heb je een document waar iedereen het mee eens is.

Kosten: zes tot acht uur werk. Opbrengst: precies hetzelfde als wat je had gekregen met één mail: "Kun je aantonen dat beheersmaatregel X wordt uitgevoerd? Zo ja, stuur het bewijs. Zo nee, laat me weten waarom niet." Vijf minuten.

Wat dan wel?

Dit gaat niet over het afschaffen van contact. Het gaat over alternatieven die hetzelfde doel bereiken, sneller en goedkoper. Een online walkthrough met screenshots bijvoorbeeld. De auditee laat zien hoe het proces werkt, maakt screenshots, en jij bekijkt het op je eigen tijd. Geen vergaderruimte, geen uitwerking, geen validatieronde. Bewijs, zonder omwegen.

Of nog simpeler: kijk zelf in het systeem. Wil je weten of de autorisatiematrix klopt? Open het systeem en check het. Wil je weten of er tijdig gereviewed wordt? Trek een rapport. Data liegt niet, heeft geen voorbereiding nodig, wordt niet nerveus en geeft geen sociaal wenselijke antwoorden.

Het interview is niet per definitie fout. Het is per definitie inefficiënt voor het doel waarvoor het meestal wordt ingezet. En inefficiëntie is, voor een vakgebied dat organisaties efficiënter zou moeten maken, een gênant probleem.

Even theorie: wat voor soort methode is een interview eigenlijk?

In onderzoekstaal is een interview een kwalitatieve methode: bedoeld om open vragen te stellen, betekenissen te verkennen en verhalen op te halen die zich niet in hokjes laten vangen. Je zet het in wanneer je wilt begrijpen wat mensen ervaren, vinden of voelen. Niet wanneer je alleen wilt vaststellen óf iets gebeurt. Gesloten ja/nee-vragen en harde normen horen bij gestandaardiseerde, kwantitatieve methoden: checklists, vragenlijsten, rapportages, data-extracten. Resultaten die je één-op-één kunt turven en herhalen.

De Global Internal Audit Standards (GIAS) vragen in Standaard 14.1 (Informatie verzamelen voor analyse en evaluatie) om passende technieken om voldoende en geschikt auditbewijs te verzamelen¹. Niet om een standaardset van verplichte procedures. De nadruk ligt op professional judgment: kies de methode die past bij je vraag, je norm en het soort bewijs dat je nodig hebt. Niet de methode die je ooit hebt geleerd omdat het "nou eenmaal zo hoort".

Wanneer wél en wanneer níet interviewen?

Wanneer géén interview

1. Als er een harde, eenduidige norm en beheersmaatregel is en jouw opdracht in de kern luidt: gebeurt dit aantoonbaar, ja of nee. Dan heb je een ja/nee‑vraag die perfect past bij gestandaardiseerde, herhaalbare middelen (data, verslaglegging, rapportages, dossiers), niet bij een uur praten².
2. Als je met een korte, gerichte vraag per mail of via een checklist precies hetzelfde bereikt: "toon aan dat beheersmaatregel X wordt uitgevoerd" of "stuur bewijs van Y". Dan is een interview vooral een dure manier om hetzelfde antwoord te krijgen, mét extra ruis, sociaal wenselijke toelichtingen en interpretatieproblemen.

Wanneer wél een interview

1. Als je wilt begrijpen waarom mensen iets wel of niet doen: gedrag, cultuur, ongeschreven regels, belemmeringen, overtuigingen. Dan is het juist de bedoeling dat iemand een verhaal vertelt, nuance toevoegt en jij kunt doorvragen op wat er onder water speelt.
2. Als je expliciet oorzaakonderzoek of een verbetertraject doet, en je verder moet dan "de beheersmaatregel faalt" naar de onderliggende drijvers. Dan past een kwalitatief gesprek, eventueel in combinatie met andere methoden, bij je doel, maar dan bén je dus óók geen standaard compliance‑audit meer aan het doen.

Interviews zijn dus niet "slecht". Ze worden vaak verkeerd ingezet: een kwalitatieve, tijdrovende methode voor een simpele ja/nee-vraag die om harde, herhaalbare gegevens vraagt^{1, 2}.

Even in de spiegel

Wees eerlijk: wanneer heb je voor het laatst iets ontdekt in een interview dat je niet al wist? Wanneer was het écht nodig om met twee man aan tafel te zitten? En als je terugkijkt op je laatste audit: hoeveel uur zat er in interviews en interviewverslagen? Hoeveel daarvan had je kunnen besparen met een gerichte mail en een screenshot?

Probeer het eens: stel jezelf bij het volgende interview één vraag: "Kan ik dit ook per mail, met data of via een walkthrough krijgen?" Als het antwoord ja is, en dat is het meestal, doe het dan. Je auditee is je dankbaar. Je planning is je dankbaar. En je rapport is er geen dag later door.

En als iemand je vertelt dat het "nou eenmaal zo hoort"? Dan weet je genoeg. Dat is de auditor-versie van "ik ben druk."

Referenties

[1] The Institute of Internal Auditors. (2024). Global Internal Audit Standards, Standaard 14.1; Informatie verzamelen voor analyse en evaluatie. https://www.theiia.org/en/standards/2024-global-internal-audit-standards/

[2] The Institute of Internal Auditors. (2024). Global Internal Audit Standards, Standaard 14.2; Analyses en mogelijke bevindingen in de opdracht. https://www.theiia.org/en/standards/2024-global-internal-audit-standards/

[3] The Institute of Internal Auditors. (2024). Global Internal Audit Standards, Standaard 14.3; Evaluatie van bevindingen. theiia.org