De assurance gap: de bestuursbeslissing die de meeste auditjaarplannen verzwijgen

I. Van universe naar jaarplan: het proces en de instrumenten

Elk jaar, ergens in het najaar, gaat ergens een hoofd internal audit zitten om het jaarplan op te stellen. Er worden gesprekken gevoerd met het management, een risicolijst wordt doorgenomen, en na enig delibereren verschijnt er een overzicht van vijftien, twintig, soms dertig onderwerpen die in het komende jaar worden geaudit. Het plan wordt aan de auditcommissie gepresenteerd, goedgekeurd, en daarna begint de echte werkelijkheid: er is capaciteit voor twaalf, misschien veertien.

Dat gat, tussen wat er in het plan staat en wat er werkelijk wordt uitgevoerd, is de assurance gap. En in het overgrote deel van de auditjaarplannen die ik heb gezien, bestaat dat gat niet expliciet. Het staat er gewoon niet in. De zeven onderwerpen die van de kandidatenlijst zijn afgevallen vanwege capaciteitsgebrek, de processen die al drie jaar op de lijst staan maar er steeds af worden geschoven, de nieuwe wetgeving waarop niemand zekerheid geeft: ze zijn verdwenen. Het plan toont alleen wat wordt gedaan, en verzwijgt daarmee wat niet wordt gedaan.

Dat is een fundamenteel probleem, en het is niet alleen een communicatieprobleem. Het is ook een bestuursprobleem. Een auditcommissie die een plan goedkeurt zonder de bewust-niet-gedekte objecten te kennen, kan de toereikendheid van de coverage niet beoordelen. Ze weet niet wat ze goedkeurt. Meer nog: ze weet niet wat ze al dan niet expliciet heeft geaccepteerd. Als er later een incident is op een terrein dat al twee jaar op de kandidatenlijst stond maar er steeds af viel, dan is de vraag gerechtvaardigd: heeft de auditcommissie bewust geaccepteerd dat dit terrein ongedekt bleef? In de meeste gevallen is het antwoord: nee, ze wist het niet eens. Dat is het probleem dat dit essay adresseert.

Een auditjaarplan is een risicobeslissing, en die beslissing omvat per definitie ook de risico's waarop bewust geen zekerheid wordt gegeven. Wie dat tweede deel weglaat, presenteert een halve verklaring. Maar voordat we bij die conclusie aankomen, moeten we eerst het bouwproces begrijpen.

Het jaarplan begint niet met een spreadsheet. Het begint met begrip.

Wat GIAS-standaard 9.1 vraagt, is niet bureaucratisch maar inhoudelijk: het hoofd van de auditfunctie moet de organisatie, haar strategie, haar risicoprofiel en haar beheersomgeving werkelijk kennen. Dat vereist regelmatige gesprekken met bestuur en senior management, toegang tot de risicoregisters van de tweede lijn, kennis van de strategische agenda en inzicht in lopende projecten en veranderingen. De organisatie die vorig jaar stabiel was, kan dit jaar een grote overname verwerken, een nieuwe IT-infrastructuur uitrollen of te maken hebben met gewijzigde toezichtverwachtingen. Al die bewegingen zijn potentiële nieuwe risico-introducerende objecten.

Vanuit dat begrip bouw je de audit universe op als een meervoudige, volledige verzameling van auditable objects. Niet alleen de bekende processen, maar ook de ketens met externe partijen, de systemen die onderliggen aan kritieke besluitvorming, de wetten en regelgeving die verplichtingen scheppen, de strategische thema's die dwars door de organisatie lopen. Je ordent die verzameling langs meerdere structuren naast elkaar, en je wisselt van lens totdat je overtuigd bent dat er geen categorieën ontbreken.

Een voorbeeld-universe voor een fictief logistiek bedrijf

Om abstract te maken concreet: hieronder staat een geschematiseerde universe voor een middelgrote Nederlandse logistieke dienstverlener met circa 800 medewerkers, vijf warehouses en een internationale wegtransportdivisie. De objecten zijn verdeeld over vijf lenzen. Dit is niet uitputtend; het is een illustratie van de breedte die een volledige universe heeft.

Zestien objecten, vijf lenzen, en al direct een patroon zichtbaar: bij vier Top-risico's is helemaal geen externe assurance beschikbaar (transportplanning, subcontractors, strategische overname, arbowetgeving beperkt). Die objecten zijn de kernkandidaten voor het eigen auditplan. De anderen verdienen een reliance-beoordeling: leunt de ISAE 3402 van de IT-outsourcingpartner voldoende op de juiste control objectives, of dekt hij slechts de algemene IT-omgeving en niet de transportspecifieke processen?

Modelmatige zuiverheid is hierbij een zorg van de tweede orde. De eerste zorg is volledigheid. Wie de universe pas echt serieus neemt, merkt al snel dat de combinatie van lenzen dingen naar boven brengt die in een enkelvoudige procesindeling onzichtbaar blijven: de douane-verplichting zit niet in een intern proces maar wel in de keten met de witte vloot, en valt dus in de keten-lens zichtbaar maar in de proceslens onzichtbaar.

Een tweede observatie over de voorbeeld-universe: de kolom "externe assurance beschikbaar" is kritisch, maar er zit een valkuil in hoe die kolom wordt ingevuld. Wie "Deels (ISAE 3402 leverancier)" invult bij het orderverwerkingsproces, heeft nog geen reliance-beslissing genomen. Hij heeft alleen geconstateerd dat er een rapport bestaat. De reliance-beslissing, de conclusie dat het rapport afdoende is om op te steunen voor de eigen assurancebehoefte, vergt de actieve toetsing die in het kader over ISAE 3402 hierboven is beschreven. Die stap wordt in de praktijk veelvuldig overgeslagen. Het gevolg is een assurance map die er compleet uitziet maar intern hol is: de "deels"-velden zijn niet gevuld met inhoudelijke reliance maar met het bestaan van een rapport.

Vervolgens voer je de assurance mapping uit. Per object breng je in kaart welke assurance er al van elders bestaat. ISO-certificeringen die externe partijen periodiek valideren. Toezichthouders die bepaalde domeinen onderzoeken. De externe accountant die via de managementletter bevindingen produceert over relevante controlemaatregelen. ISAE 3402- en SOC 2-rapportages van dienstverleners die kritieke processen uitvoeren. Compliance-activiteiten en AVG-werkzaamheden van de functionaris voor gegevensbescherming. En de monitoring vanuit de tweede lijn, voor zover die volwassen genoeg is om op te vertrouwen.

Na de mapping wordt de prioritering bepaald. En hier zit een methodologische valkuil die in de praktijk breed verspreid is: de pseudo-risicoscore. Auditfuncties die hun universum rangschikken op "inherent risk" of "restrisico" op basis van een model, doen iets merkwaardigs. Het werkelijke restrisico van een object ken je pas nadat je het hebt geaudit: pas dan weet je of de beheersmaatregelen effectief werken en welk risico daarna nog overblijft. Een risicoscore voor de audit is per definitie een schatting, en die schatting is in de meeste gevallen een weerspiegeling van het oordeel van de lijnmanager. Je gebruikt de uitkomst van een meting die je nog niet hebt gedaan als selectiecriterium voor de meting zelf.

De betere aanpak is een impactanalyse of relevantieanalyse als selectiebasis. Daarin spelen bruto blootstellingen mee: de inherente, nog niet door beheersing beïnvloede grootte van het risico, want die ken je wel vooraf. Strategische relevantie weegt mee, actuele thematiek telt, en recente ontwikkelingen ook. En de tijd sinds de laatste audit: voor onderwerpen die lang onaangeroerd zijn gebleven kan dat reden zijn om ze hoger te prioriteren, ook als ze qua bruto risico niet bovenaan staan.

De GIAS-implementatieguidance bij 9.4 somt de factoren op die de CAE bij het opstellen van het plan moet meewegen: verplichte opdrachten op grond van wet of regelgeving, opdrachten die kritisch zijn voor de missie of strategie van de organisatie, domeinen met een significant risiconiveau, de vraag of alle significante risico's voldoende zijn gedekt door assuranceproviders, ad-hoc verzoeken van het bestuur en het management, de tijd en middelen per potentiële opdracht, en het potentieel van elke opdracht om de governance-, risicomanagement- en beheersprocessen te verbeteren. Dat laatste is een onderschat criterium: een audit op een onderwerp waar de bevindingen tot structurele verbeteringen leiden, levert meer waarde dan een audit op een stabiel onderwerp waar de bevindingen voorspelbaar nihil zijn. Wie dat in de selectie meeneemt, optimaliseert niet op volledigheid maar op impact.

Bij de inroostering van de opdrachten spelen operationele prioriteiten mee: wanneer is het object beschikbaar voor review, hoe verhoudt de timing zich tot de externe accountant, zijn de juiste auditors beschikbaar met de benodigde competenties? De GIAS-implementatieguidance noemt dit expliciet: "schedule of external audit engagements and regulatory reviews, competencies and availability of internal auditors, ability to access the activity under review." Dat laatste, toegang tot het object, is een praktische beperking die in de planningsfase zelden expliciet wordt gemaakt maar in de uitvoering regelmatig tot vertragingen leidt. Een audit die in het tweede kwartaal is gepland maar pas in het derde kwartaal kan starten omdat het object dan pas beschikbaar is, heeft een stille capaciteitsval gecreëerd die andere opdrachten verdringt.

Daarna volgt de trechter. Vanuit de universe met alle objecten wordt een bruto lijst gemaakt, met een score per object op impact, complexiteit en beschikbare assurance van anderen. Objecten met enorm veel externe coverage die afdoende en gedocumenteerd is, schuiven naar beneden; objecten waarop niemand zekerheid geeft en die een groot inherent gewicht hebben, schuiven naar boven.

Vervolgens worden de kandidaten geselecteerd: de objecten boven een bepaalde drempel die in aanmerking komen voor dit jaar. En ten slotte wordt de netto lijst bepaald: wat past er werkelijk in de capaciteit?

Capaciteit is een harde beperking, geen planningstool. Per auditor geldt: FTE vermenigvuldigd met het aantal bruto werkuren per jaar, gecorrigeerd voor verlof en andere afwezigheid en voor de productiviteitsfactor, levert de directe netto uren op. De som van alle auditors is de totale capaciteit. Daarin moet ook een contingency-buffer worden gereserveerd voor onverwacht werk: follow-up op eerdere bevindingen, ad-hoc onderzoeken op verzoek, bijspringen bij incidenten. Wie die buffer weglaat, plant zijn ruimte voor onverwacht werk impliciet weg en levert aan het einde van het jaar een plan dat structureel achterblijft.

Rekenvoorbeeld: van FTE naar netto auditcapaciteit

Laten we het concreet maken aan de hand van een uitgewerkt rekenvoorbeeld, want de abstracte redenering over "capaciteitsgebrek" verliest haar scherpte als ze niet is verankerd in getallen die een auditcommissie kan beoordelen.

Wat dit rekenblok duidelijk maakt, is niet dat capaciteitsgebrek erg is. Dat wist iedereen al. Wat het duidelijk maakt, is dat het een kwantitatieve feitelijkheid is die in het plan thuishoort: niet als klaagzang, maar als bouwsteen voor het gesprek met de auditcommissie over middelen. GIAS 8.2 verlangt dat het bestuur de toereikendheid van de middelen ten minste jaarlijks beoordeelt. Dat kan alleen als de middelen in uren en objecten zijn gespecificeerd en de gap is benoemd.

De gap-bijlage: het tweede deel van het tweeluik op papier

De trechter maakt de gap zichtbaar. De vraag is wat je daarmee doet. Mijn antwoord is eenvoudig: je schrijft hem op. Niet als bijlage die niemand leest, maar als formeel tweede deel van het auditplan, dat even serieus wordt behandeld als de netto lijst.

Hieronder staat een voorbeeld van hoe die gap-bijlage eruitziet voor de fictieve logistieke onderneming. De objecten zijn niet willekeurig geselecteerd: het zijn de kandidaten met de hoogste impact die toch buiten het netto plan vallen, hetzij door capaciteitsgebrek, hetzij doordat voldoende externe assurance beschikbaar is om dit jaar op te leunen.

Zeven objecten, zeven expliciete bestuursbeslissingen. De auditcommissie die dit overzicht ontvangt, weet precies waarop zij geen onafhankelijke zekerheid krijgt, en kan beoordelen of zij daarmee wil leven of bereid is te investeren in aanvullende capaciteit. Dat is het gesprek dat GIAS 9.4 beoogt.

Het plan wordt ter goedkeuring voorgelegd aan het bestuur en de auditcommissie (GIAS 9.4), en geactualiseerd wanneer de omstandigheden dat vergen. Niet als jaarlijks ritueel dat in oktober wordt vastgesteld en pas het volgende oktober opnieuw wordt bekeken, maar als rollend document met vooraf afgesproken herzieningscriteria. Een grote overname die in maart wordt afgerond, een incident in juni dat een nieuw onderwerp urgent maakt, een toezichthouder die in september nieuwe prioriteiten aankondigt: al die gebeurtenissen zijn potentiële aanleidingen voor een tussentijdse herziening. GIAS 9.4 staat dat uitdrukkelijk toe en GIAS 8.1 verlangt dat het bestuur onmiddellijk wordt geïnformeerd als risico's een planwijziging noodzakelijk maken voordat een formele bestuursvergadering kan worden gepland.

De frequentie-dimensie verdient apart aandacht. Een meerjarencyclus voorkomt dat het jaarplan een jaarlijkse herhaling wordt van dezelfde selectie. Objecten die vorig jaar zijn geaudit, hoeven dit jaar niet opnieuw op de lijst; objecten die al drie jaar niet zijn beoordeeld terwijl de impact hoog is, verdienen een expliciete reden waarom ze opnieuw worden overgeslagen.

II. Wat GIAS en de Corporate Governance Code verlangen

De Global Internal Audit Standards structureren de verplichtingen rond het auditjaarplan langs vijf standaarden in Principe 9, aangevuld door de governance- en middelenstandaarden in Principes 7 en 8.

GIAS-standaard 9.1 verplicht het hoofd van de auditfunctie tot een grondig inzicht in de governance-, risicomanagement- en beheersprocessen van de organisatie, inclusief het risicoprofiel en de strategische prioriteiten. Standaard 9.2 vraagt om een meerjarige auditstrategie die aangeeft hoe de auditfunctie haar mandaat vervult. Standaard 9.3 is kritisch en gaat over methodologie: de procedures, technieken en tools die worden gebruikt om auditopdrachten uit te voeren in overeenstemming met de standaarden. In de context van het jaarplan betekent dit dat het selectie- en planningsproces zelf methodologisch geborgd moet zijn, gedocumenteerd en periodiek beoordeeld.

GIAS 9.4: de "next set of engagements" als wettelijke gap-eis

Standaard 9.4 (Internal auditplan) is de kern van dit hoofdstuk. Het hoofd van de auditfunctie stelt een op risico gebaseerd auditplan op, gebaseerd op een gedocumenteerde risicobeoordeling die ten minste jaarlijks plaatsvindt, na overleg met senior management en bestuur, en ter goedkeuring voorgelegd aan het bestuur. De standaard vereist bovendien uitdrukkelijk dat het plan de beschikbare middelen en de gevolgen daarvan voor de dekking expliciet maakt. Maar het meest concrete element is wat de standaard over de inhoud van het plan zegt.

De GIAS-implementatieguidance bij 9.4 somt letterlijk op wat het voorgestelde plan moet bevatten. Naast de beschikbare uren versus andere activiteiten, de lijst van voorgestelde opdrachten met hun rationale (significantie van het risico, organisationeel thema, wettelijke verplichting, tijd sinds laatste opdracht), het algemene doel en de voorlopige scope per opdracht, en het percentage uren voor contingencies, staat er dit: "The next set of engagements that would have been performed if additional resources were available. Discussion regarding these engagements may help the board assess the adequacy of resources available to the internal audit function."

Dat zinsdeel verplicht de auditfunctie om de assurance gap te documenteren. Het bestuur moet kunnen beoordelen of de beschikbare middelen toereikend zijn; daarvoor moeten de niet-geplande objecten zichtbaar zijn. De discussie over die volgende opdrachten, aldus de guidance, helpt het bestuur de toereikendheid van de middelen te beoordelen. Dat is precies de functie van de gap-bijlage: niet klagen over gebrek aan middelen, maar de auditcommissie in staat stellen een bewuste keuze te maken.

Standaard 9.5, over coördinatie en vertrouwen, verplicht tot de assurance mapping. Niet alleen om dubbel werk te vermijden, maar ook om te documenteren op welke basis wordt vertrouwd op het werk van anderen. Ongedocumenteerde reliance is geen reliance in de zin van GIAS. De GIAS-toelichting bij 9.5 is op dit punt concreet: een reliance-beslissing vereist een beoordeling van de kwalificaties en onafhankelijkheid van de andere provider, de kwaliteit van het geleverde werk, en of dat werk de control objectives dekt die voor de eigen assurancebehoefte relevant zijn. Het hoofd van de auditfunctie houdt daarna toezicht op de kwaliteit van dat werk zolang er op wordt gesteund. Een ISAE 3402-rapport dat bij binnenkomst in de archiefmap verdwijnt, voldoet niet aan die eis.

Principes 7 en 8 flankeren op de governance: standaard 7.1 verplicht tot organisatorische onafhankelijkheid en functionele rapportage aan het bestuur. Wie als auditfunctie werk buiten de auditkern doet, advies geeft of bijdraagt aan risk management, moet waarborgen treffen voor de objectiviteit. Standaard 8.1 schrijft directe, regelmatige communicatie met het bestuur voor, inclusief de toereikendheid van de middelen. Standaard 8.2 bepaalt dat het bestuur de toereikendheid van de middelen ten minste jaarlijks beoordeelt en toezicht houdt op de budgettaire beslissingen.

Het bestuur dat dit bespreekt zonder een expliciete gap-bijlage heeft niet kunnen oordelen. In de meeste organisaties brengt de CAE het plan in en vraagt instemming. Maar standaard 8.2 trekt die verantwoordelijkheid nadrukkelijk naar het bestuur toe: het bestuur houdt toezicht op de budgettaire beslissingen. Dat is alleen mogelijk als de consequenties van het budget, inclusief wat er niet wordt geaudit, zichtbaar zijn op bestuursniveau. Het bestuur dat 8.2 nooit agendeert, heeft de middelenbeoordeling feitelijk aan de CAE overgelaten, terwijl de standaard die verantwoordelijkheid expliciet bij het bestuur legt.

Naast standaard 9.4 verdient ook de rol van standaard 10.2 aandacht in de context van capaciteitsplanning. Standaard 10.2 verplicht het hoofd van de auditfunctie tot een formele capaciteitsplanning om de behoefte aan personele middelen vast te stellen. Die capaciteitsplanning is niet alleen een intern HR-instrument; ze is de empirische onderbouwing van het budget dat bij het bestuur wordt gevraagd. Een CAE die zegt "wij hebben meer mensen nodig" zonder een gedocumenteerde capaciteitsberekening, vraagt het bestuur om een beslissing die het bestuur niet kan onderbouwen. Een CAE die de berekening wél presenteert, in de vorm van het rekenblok dat hierboven staat, geeft het bestuur het materiaal om de afweging "meer budget versus grotere gap" echt te maken.

Op opdrachtsniveau werkt standaard 13.2 de risicobeoordeling verder uit: voor elke afzonderlijke opdracht voeren internal auditors een risicobeoordeling uit om de doelstellingen van de opdracht te informeren en het werkprogramma te ontwikkelen. Dit is de tweede laag: de risicobeoordeling op organisatieniveau werkt selectief, de risicobeoordeling binnen de opdracht werkt diepte-sturend.

De Verklaring Omtrent Risicobeheersing en de CGC

Naast de GIAS-verplichtingen is er inmiddels een externe verankering bijgekomen. De Verklaring Omtrent Risicobeheersing (VOR) is opgenomen in de geactualiseerde Nederlandse Corporate Governance Code. De Code werkt via het pas-toe-of-leg-uit-mechanisme: een beursgenoteerde vennootschap past de bepalingen toe of legt verantwoording af waarom zij dat niet doet. Dat is juridisch iets anders dan een directe wettelijke plicht in enge zin, maar de praktische werking voor de auditfunctie is in veel opzichten identiek: het bestuur legt verantwoording af over het niveau van zekerheid, en die verantwoording is gefundeerd op wat de assuranceketen dat jaar daadwerkelijk heeft gedekt. De feitelijke datum van inwerkingtreding en de eerste rapportagejaren zijn te ontlenen aan de gepubliceerde Code; wie zekerheid over de exacte timing nodig heeft voor juridische doeleinden, consulteert de Code zelf of de bijbehorende monitoringinformatie van de Monitoring Commissie Corporate Governance Code.

Bestpracticebepaling 1.4.3 verlangt dat het bestuur expliciet verantwoording aflegt over het niveau van zekerheid dat de systemen geven dat operationele risico's en compliancerisico's effectief worden beheerst. Bepaling 1.4.2 vraagt verantwoording over opzet, werking en effectiviteit van de risicobeheersings- en controlesystemen. De auditcommissie rapporteert onder bepaling 1.5.3 (iv) aan de raad van commissarissen over de onderbouwing van die verklaring.

Dat maakt de assurance gap (zie sectie I) geen interne planningscategorie meer, maar het gat waarover het bestuur zich extern verantwoordt. Voor niet-beursgenoteerde organisaties, zorginstellingen, pensioenfondsen, woningcorporaties en semi-overheidsinstellingen geldt de Code niet, maar de logica verspreidt zich als best practice via sectorale governancecodes. De onderliggende redenering is sectoronafhankelijk: bestuurders die zekerheid claimen over risico's waarop geen assurance is geleverd, doen een niet-onderbouwde mededeling.

Combined assurance en de ISAE 3402-grens

De assurance mapping is meer dan een administratieve oefening; ze is de basis voor wat GIAS 9.5 "reliance" noemt. De vraag is concreet: op welk werk van anderen kun je steunen, en tot welke grens? En wat vraag je op bij een ISAE 3402 om die beoordeling te kunnen maken?

Bij een ISAE 3402 type II-rapport, de meest voorkomende vorm van externe IT-assurance bij dienstverleners, is de eerste vraag welke control objectives zijn beschreven en getoetst. Een ISAE 3402 van een IT-outsourcingpartner toetst doorgaans de algemene IT-controls: toegangsbeveiliging, wijzigingsbeheer, back-up en recovery. Als jouw assurancebehoefte betrekking heeft op de juistheid en volledigheid van de transactieverwerking voor specifieke processen, dan dekt de ISAE 3402 die control objectives mogelijk niet. Het rapport zegt dan iets over de infrastructuur, maar niets over het verwerkingsproces dat jouw organisatie daar bovenop draait.

De tweede vraag is over de auditperiode. Een ISAE 3402 type II dekt doorgaans een periode van zes tot twaalf maanden. Als jouw organisatie jaarlijkse verantwoording aflegt over boekjaar X, en het rapport loopt van oktober X-1 tot september X, dan heb je drie maanden ongedekt. Dat gat verdient een expliciete positiebepaling in de assurance map.

De derde vraag is over de toereikendheid van het assurance level. Een ISAE 3402 geeft beperkte zekerheid over de opzet en werking van de beschreven controls. Als het bestuur redelijke zekerheid nodig heeft over de effectiviteit van specifieke beheersmaatregelen, dan is een ISAE 3402 mogelijk niet voldoende, ook al is het rapport er.

Combined assurance is een instrument voor efficiëntie, geen instrument voor het wegpoetsen van coverage-hiaten. GIAS 9.5 maakt dat expliciet: het hoofd van de auditfunctie houdt toezicht op de kwaliteit van het werk dat wordt gebruikt als reliance-basis. Dat is een actieve, oordelende taak, niet het passief archiveren van derdenrapportages.

Een praktisch checklist bij het beoordelen van een ISAE 3402 type II-rapport: zijn de beschreven control objectives gespecificeerd en sluiten ze aan bij jouw assurancebehoefte? Dekt de auditperiode het boekjaar waarover jij zekerheid nodig hebt, of is er een gat van enkele maanden? Heeft de auditor type II-werkzaamheden gedaan (toetsing op de werking van de controls over de periode) of type I (alleen beoordeling van de beschrijving en de opzet)? Zijn er uitzonderingen gerapporteerd in de testresultaten, en zo ja, van welke aard? Als één van deze vragen een onbevredigend antwoord oplevert, dan is de reliance-beslissing niet vanzelfsprekend. Ze vergt dan aanvullende eigen werkzaamheden, een gerichte aanvullende toetsing, of een expliciete documentatie van de resterende onzekerheid in de assurance map.

III. Diepgang, coverage en de risk appetite

Een van de gevaarlijkste illusies in het auditjaarplan is de indruk van brede coverage die in werkelijkheid dunne coverage is.

Stel: een auditfunctie heeft dit jaar twintig onderwerpen in het plan opgenomen. Ze zijn allemaal uitgevoerd. De coverage, gemeten naar aantal objecten, is honderd procent. Maar als die twintig audits allemaal quick scans waren, gericht op de vraag of beheersmaatregelen op papier bestaan, dan is het verkregen assurance level laag. De vraag of die maatregelen over het afgelopen jaar consistent hebben gewerkt, is niet gesteld, laat staan beantwoord.

De eerlijke assurance map vermeldt daarom per object niet alleen of er coverage is, maar ook tot welke diepgang. Een DORA-audit die de Regulatory Technical Standards volledig heeft getoetst inclusief werkingstoetsing over een jaar, staat voor iets wezenlijk anders dan een DORA-quick scan op hoofdlijnen.

De drie diepgang-niveaus naast elkaar

Om de discussie met de auditcommissie concreet te maken, helpt het om de drie niveaus naast elkaar te zetten. Niet als abstracte taxonomie, maar als keuzekader met praktische gevolgen voor het plan.

Wat deze tabel aan het licht brengt, is dat de ambitie om dit jaar vijftien onderwerpen te auditen heel anders is als die vijftien allemaal op werkingsniveau worden onderzocht, dan wanneer het quick scans zijn. Het plan moet per object de beoogde diepgang vermelden, want pas dan kan de auditcommissie beoordelen welk assurance level het resultaat oplevert.

De gap heeft dus twee dimensies. De eerste is de objecten-gap: de onderwerpen die helemaal niet worden geaudit. De tweede is de diepgang-gap: de onderwerpen die formeel zijn beoordeeld maar op onvoldoende niveau om de benodigde zekerheid te geven. Beide dimensies horen in het plan en in het gesprek met de auditcommissie.

GIAS 9.4 ondersteunt dit direct: het voorstel moet "the rationale for selecting each proposed engagement" bevatten, inclusief de "general purpose and preliminary scope of each proposed engagement." Scope en diepgang zijn per definitie onderdeel van het plan; een plan zonder die specificatie voldoet niet aan de informatiebehoefte van het bestuur die 9.4 beoogt te bedienen.

Risk appetite: het bestuur kiest de gap

Wie de besluitvolgorde in het jaarplanproces omkeert, brengt de governance door de war. De veelgemaakte fout is dat de CAE een plan opstelt en daarna vraagt of het bestuur ermee instemt. De correcte volgorde is: het bestuur keurt eerst het auditlandschap goed (de universe, de mapping, de impact-toekenningen), kiest daarna een expliciet risk appetite, en de CAE leidt daar het plan en het bijbehorende budget uit af.

Een risk appetite in de context van het jaarplan ziet er concreet zo uit: het bestuur bepaalt welke impact-niveaus binnen de planperiode van onafhankelijke zekerheid worden voorzien. Alleen de catastrofale risico's, met alles onder die drempel als geaccepteerde gap? De catastrofale en kritische risico's, met de majeure als bewust ongedekte zone? Of een volledige meerjarencyclus die ook de significante risico's over een langere horizon afdekt? Elke keuze kent een eigen budgetomvang en diepgang, en daarmee een eigen gap.

In de praktijk verloopt dit gesprek zelden zo gestructureerd. Wat ik vaker zie, is een bestuur dat achteraf instemt met het plan en er dan van uitgaat dat de CAE de afwegingen goed heeft gemaakt. Dat is vertrouwen in de professional, en dat vertrouwen is op zijn plaats, maar het is geen uitoefening van bestuurlijk toezicht in de zin van GIAS 8.2. Bestuurlijk toezicht betekent dat het bestuur de capaciteitsafweging begrijpt, de consequenties van de gekozen prioritering kent, en expliciet heeft geaccepteerd welke objecten dit jaar zonder onafhankelijke assurance blijven. Een bestuur dat dat niet kan bevestigen nadat het het plan heeft goedgekeurd, heeft een ritueel voltrokken maar geen bestuursbeslissing genomen.

De CAE die dit wil veranderen, heeft een concrete handgreep: presenteer altijd drie varianten. Variant A: wat kunnen we met de huidige capaciteit, en wat valt er dan buiten? Variant B: wat zouden we toevoegen met 20 procent extra budget, en welke gap verdwijnt daarmee? Variant C: wat kost het om alle Top-risico's op werkingsniveau te auditen, en hoe groot is de investeringssprong? Drie varianten maken de afweging concreet en geven het bestuur een echte keuze. Eén variant ter "goedkeuring" presenteren, is het bestuur vragen om een stempel te zetten op een voorstel waarvan de alternatieven onbekend zijn.

De drie-vergaderingen-cyclus voor de auditcommissie

De besluitvolgorde is alleen werkbaar als ze is ingebed in een concrete vergadercyclus. In de meeste organisaties wordt het auditplan in één auditcommissie-vergadering gepresenteerd ter goedkeuring. Dat is te smal: het bestuur kan niet in één sessie de universe beoordelen, de risk appetite kiezen én het netto plan goedkeuren. Dat vereist minstens drie vergadermomenten met duidelijk verschillende agendapunten.

Het Three Lines-model van het IIA uit 2020 is hierbij het relevante kader: het bestuursorgaan houdt toezicht, het management voert de eerste en tweede lijn, en internal audit levert als derde lijn onafhankelijke assurance aan het bestuur. De organisatorische onafhankelijkheid van de derde lijn (GIAS 7.1) is precies wat die assurance waardevol maakt. Dat model functioneert alleen als de drie lijnen ook echt drie onderscheiden rollen spelen. Een auditfunctie die taken van de tweede lijn overneemt omdat die lijn onvoldoende volwassen is, helpt de organisatie op korte termijn maar ondermijnt haar eigen onafhankelijkheid op langere termijn. Het is beter om in het auditplan expliciet te vermelden dat de onvolwassenheid van de tweede lijn het niet mogelijk maakt om op haar werk te steunen, wat vervolgens extra capaciteit voor de eigen auditfunctie impliceert.

Binnen de geselecteerde coverage kan combined assurance efficiëntie bieden: objecten waarop externe partijen afdoende en gedocumenteerde zekerheid leveren, hoeven door internal audit minder diep of minder frequent te worden geaudit. Maar combined assurance is geen vrijbrief voor het weglaten van coverage: de documentatie moet aantonen dat de externe assurance de juiste vragen beantwoordt, diep genoeg, en over de juiste periode.

Dan zijn er de externe accountant en de toezichthouder. Soms worden deze als extra assurancelijnen aangeduid. Dat framing is misleidend als het ertoe leidt dat het bestuur op hun oordeel leunt voor tijdige bestuurszekerheid. De externe accountant oordeelt pas nadat het boekjaar is afgesloten, doorgaans pas in februari of maart van het volgende jaar. Bovendien is de reikwijdte van de externe accountant primair de jaarrekening. De operationele risicobeheersing en compliancecontrole, waarover het bestuur in de VOR een uitspraak doet, vallen grotendeels buiten het primaire mandaat van de accountant. En de toezichthouder staat nog verder af: extern, gericht op sectornaleving, niet bedoeld als bron van bestuurszekerheid gedurende het jaar.

IV. De valkuilen en de volwassen auditfunctie

De methodiek is helder, maar de praktijk is weerbarstig. De valkuilen in het jaarplanproces zijn herkenbaar en terugkerend. Ik loop er veertien langs, niet om een catalogus van fouten te bieden, maar omdat elk van deze valkuilen in de praktijk schade heeft aangericht die ik heb gezien en die voorkomen had kunnen worden.

Een opmerking over de opbouw van dit overzicht: ik presenteer de valkuilen niet als een ranglijst, waarbij de laatste de zwaarste zou zijn. De zwaarte hangt af van de specifieke context. Maar als ik er één moet uitlichten die ik het vaakst zie en die in de praktijk de meeste schade aanricht, is het de veertiende: de expliciete keuze om de gap niet te benoemen. Alle andere valkuilen zijn methodologische onvolkomenheden; de veertiende is een communicatiefout richting het bestuur.

1. De universe als doel in plaats van middel. Sommige auditfuncties investeren maanden in het verfijnen van de universe-spreadsheet, het toevoegen van subcategorieën, het ophangen van risicotags. Dat is "spreadsheet-theater": activiteit die op zichzelf weinig bijdraagt aan een betere selectie. GIAS verlangt geen perfecte universe; GIAS verlangt een op risico gebaseerd plan. De universe is een middel om die basis zichtbaar te maken, en als die basis zichtbaar is, is de universe goed genoeg.

2. De statische universe. Elk jaar de lijst van vorig jaar kopiëren en alleen de afgeronde items verwijderen, mist de dynamiek van een veranderende organisatie. Nieuwe wetgeving als DORA en CSRD, reorganisaties, nieuwe IT-systemen, incidenten bij vergelijkbare organisaties: dit alles creëert nieuwe auditable objects die in de universe moeten verschijnen. Een universe die drie jaar geleden voor het laatste fundamenteel is herzien, is geen universe meer maar een historisch document.

3. Het wensplan. Meer audits opnemen dan de capaciteit toelaat is verleidelijk, want het suggereert ambitie. Maar een plan dat structureel niet haalbaar is, produceert een stille gap: de audits die naar volgend jaar worden doorgeschoven zonder dat iemand dat expliciet heeft besloten. Wie geen contingency-buffer reserveert, plant die buffer impliciet weg en zal hem later missen.

4. Geen combined assurance. Wie de assurance mapping niet uitvoert, belandt in twee valkuilen tegelijk. Enerzijds auditeert hij domeinen die al ruimschoots door anderen zijn gedekt, wat capaciteit kost die beter elders kan worden ingezet. Anderzijds leunt hij op de aanname dat "iemand anders het wel doet" zonder dat te hebben geverifieerd, wat leidt tot gaten in de coverage die niemand heeft gewild maar niemand ook heeft gezien.

5. Op managementrisico leunen zonder validatie. Managementinschattingen zijn een nuttige input voor de risicobeoordeling op organisatieniveau, maar ze zijn geen vervanging voor een onafhankelijke beoordeling. Als het risicomanagement van de tweede lijn niet effectief is bevonden, dan is de risicobeoordelings-output ervan onbetrouwbaar als basis voor de auditselectie. GIAS 9.5 verlangt dat de basis voor reliance op anderen expliciet is gedocumenteerd, en een onvolwassen tweede lijn voldoet niet aan die basis. De auditfunctie die haar selectie baseert op een risicoregister waarvan de kwaliteit nooit is beoordeeld, bouwt op drijfzand. De GIAS-implementatieguidance bij 9.4 formuleert dit helder: "The internal audit function should only rely on management's information about risks if it has concluded that the organization's risk management processes are effective." Dat is een actieve conclusie die documentatie vereist, niet een passieve aanname.

6. Het jaarlijkse ritueel. Een plan dat in het najaar wordt opgesteld en pas het volgende najaar opnieuw wordt beoordeeld, mist de flexibiliteit die de omgeving vereist. Veranderende omstandigheden die halverwege het jaar opduiken, incidenten, nieuwe wetgeving, strategische pivots, moeten leiden tot een tussentijdse herziening met vooraf afgesproken herzieningscriteria. De GIAS-implementatieguidance bij 9.4 is hier expliciet: als de organisatieomgeving dynamisch is, kan het auditplan zo frequent als elk kwartaal of zelfs elke maand aanpassing vragen. Wie dat mechanisme niet heeft, loopt altijd achter de feiten aan.

7. Management de pen geven. Management is een nuttige gesprekspartner bij het opstellen van het plan, maar input is geen zeggenschap. GIAS-standaard 7.1 is helder over de organisatorische onafhankelijkheid van de auditfunctie: zij is onafhankelijk van de activiteiten die ze beoordeelt. Wie auditeert wat comfortabel is voor de organisatie, in plaats van wat relevant is voor het bestuur, heeft haar mandaat opgegeven.

8. Bruto- of netto-blindheid. Wie uitsluitend op netto-risico selecteert, mist de inherent gevaarlijke objecten waar de beheersing simpelweg nog niet is getoetst. Wie uitsluitend op bruto-risico selecteert, mist de weging van beheersingseffectiviteit als mede-selectiecriterium. De selectiebasis is impact gecombineerd met een beoordeling van beheersingseffectiviteit voor zover die te beoordelen is voor de audit.

9. Frequentie als gewoonte. De driejaarlijkse cyclus voor middelgrote risico's is een stelregel, geen wet. Een object dat vorig jaar is geaudit en sindsdien fundamenteel is gewijzigd, verdient opnieuw aandacht. Een object dat al vijf jaar in de cyclus zit zonder dat er ooit iets wezenlijks is gevonden in een stabiele omgeving, kan wellicht naar een langere cyclus. Event-driven triggers, een incident, een nieuwe partner, een grote investering, gaan altijd voor de kalenderritmiek.

10. Coverage zonder diepgang. Een quick scan op opzet telt niet als de bestuursbehoefte redelijke zekerheid over werking is. Een plan dat twintig objecten noemt zonder de beoogde diepgang per object te specificeren, geeft het bestuur geen basis om het assurance level te beoordelen. Dit is de diepgang-gap: niet het ontbreken van een opdracht, maar het uitvoeren van een opdracht op een niveau dat de bestuursbehoefte niet dekt. De diepgang-gap is in zekere zin verraderlijker dan de objecten-gap: ze is onzichtbaar in het plan, want alle geplande objecten staan er in, maar ze is zichtbaar in de rapportage achteraf als het bestuur ontdekt dat "geaudit" iets wezenlijk anders betekende dan verwacht. Het beste moment om die verwachting te kalibreren is vóór de uitvoering, niet erna.

11. Leunen op de externe accountant voor tijdige zekerheid. De externe accountant en toezichthouder zijn te laat, te smal en te ver weg om de rol van tijdige bestuurszekerheid te vervullen. Ze verdienen een plek in de assurance map, maar ze vervangen de derde lijn niet als bron van gerichte bestuursassurance gedurende het jaar.

12. Work-mix die de onafhankelijkheid aantast. Een auditfunctie die significante adviesrollen op zich neemt, bijdraagt aan de inrichting van de tweede lijn of actief meewerkt aan risicomanagement, kan die domeinen niet meer onafhankelijk auditeren (GIAS 7.1). Elk uur dat naar niet-assurance werk gaat, gaat niet naar coverage. Wie de work-mix niet bewust stuurt, laat de coverage slinken zonder dat dat een expliciete beslissing is geweest.

13. De ISAE 3402 als blanco vrijbrief gebruiken. De aanwezigheid van een ISAE 3402-rapport bij een dienstverlener is geen reden om het betreffende object automatisch uit de scope te halen. Pas na een actieve reliance-beoordeling, waarbij de control objectives, de auditperiode en het assurance level zijn getoetst op aansluiting bij de eigen assurancebehoefte, is er een gedocumenteerde reliance-basis. Een ongeopend rapport in de archiefmap is geen reliance.

14. De gap niet als lijst in het plan. Dit is de overkoepelende valkuil. Alle andere valkuilen kunnen leiden tot een verborgen gap, maar deze valkuil is de expliciete keuze om de gap niet zichtbaar te maken. Een plan dat alleen de netto lijst toont, zonder de bewust-niet-beoordeelde lijst, confronteert het bestuur niet met het gat waarover het zich zou moeten uitspreken. GIAS 9.4 verlangt die lijst uitdrukkelijk, als "the next set of engagements that would have been performed if additional resources were available." Een plan zonder die lijst is non-conform aan standaard 9.4, die dit element expliciet als onderdeel van het voorgestelde auditplan voorschrijft.

De volwassen auditfunctie durft te benoemen wat ze niet dekt

Veel auditjaarplannen worden opgesteld vanuit een begrijpelijk maar misplaatst verlangen naar volledigheid. Het plan moet indrukwekkend ogen, het moet ambitie uitstralen, het moet laten zien dat de auditfunctie actief is op alle relevante terreinen. De valkuil is dat die wens leidt tot een plan dat meer belooft dan het kan waarmaken, en een gap produceert die onbesproken blijft.

De volwassen auditfunctie doet het omgekeerde. Ze stelt vast wat ze werkelijk kan doen, met de beschikbare mensen en de beschikbare uren, op het assurance level dat de organisatie nodig heeft. Ze brengt de universe volledig in kaart, doet de assurance mapping zorgvuldig, selecteert op impact en relevantie, en bepaalt de netto lijst op basis van capaciteit en diepgang. Wat overblijft, benoemt ze expliciet als de assurance gap van dit jaar (zie sectie I). Die gap legt ze op tafel bij de auditcommissie, met de vraag of het bestuur die gap accepteert of bereid is te investeren in meer capaciteit of een andere prioritering.

Die transparantie heeft een merkwaardig neveneffect dat ik in de praktijk herken: de auditfunctie die haar begrenzingen benoemt, wordt geloofwaardiger, niet minder. Een bestuur dat weet dat de CAE zegt wat ze doet en niet doet, heeft meer vertrouwen in de rapportages van die CAE dan in de rapportages van een auditfunctie die altijd volledige dekking suggereert maar achteraf de verrassing levert. Precisie wekt vertrouwen; brede claims wekken wantrouwen zodra de werkelijkheid een ander beeld laat zien.

De instrumenten die dit gesprek ondersteunen, universe, assurance map, capaciteitsberekening, gap-bijlage en meerjarenfrequentie, zijn op zichzelf niet ingewikkeld. Het gaat erom dat ze worden samengebracht in één samenhangend planningsdocument dat het bestuur in staat stelt de vragen te stellen die het moet stellen. "Waarom wordt de witte vloot dit jaar niet geaudit?" is een goede vraag van een auditcommissielid. "We hadden er simpelweg geen capaciteit voor" is een onbevredigend antwoord. "We hadden er geen capaciteit voor, we hebben geen alternatieve assurance, en de impact is Top; de bestuursvraag is of u bereid bent €40.000 in te huren om dit gat dit jaar te vullen" is het antwoord dat het bestuur verdient en dat de auditfunctie in staat stelt haar adviesrol serieus te nemen.

Dat gesprek is ongemakkelijk, en het moet ook ongemakkelijk zijn: het confronteert het bestuur met de financiële consequenties van de gekozen risk appetite.

Onder de CGC en de VOR is dat gesprek voor beursgenoteerde vennootschappen niet langer optioneel. De verklaring die het bestuur ondertekent, is inhoudelijk gefundeerd op de coverage die de auditfunctie dat jaar heeft geleverd. Wie de gap niet expliciet heeft besproken en bestuurlijk heeft geaccepteerd, tekent voor een verklaring zonder afdoende onderbouwing.

Het beste auditjaarplan is niet het plan met de meeste audits. Het is het plan dat de beschikbare zekerheid maximaal inzet op de meest relevante risico's, dat de gap benoemt zonder omheen te draaien, en dat het bestuur in staat stelt een geïnformeerde keuze te maken over wat het accepteert en wat niet. Een jaarplan dat het bestuur vertelt wat internal audit allemaal gaat doen, maar verzwijgt wat ze niet gaat doen, is geen bestuursinstrument. Het is een werkagenda.

De auditfunctie die jaarlijks zegt: "Dit zijn de twaalf onderwerpen die we auditen, en dit zijn de zes onderwerpen die we bewust laten liggen, en hier is waarom, en hier is het risico dat daarmee ongedekt blijft": die functie levert echte waarde. Niet door meer te doen dan anderen, maar door preciezer te zijn over wat ze wel en niet doet, en die precisie te laten leiden tot een bestuursgesprek dat de naam verdient.

Dat is ook de kern van wat de GIAS beogen. De standaarden zijn geen checklist voor conformiteit; ze zijn een professionaliseringsagenda voor een functie die haar toegevoegde waarde verdiept door transparantie, methodologische discipline en eerlijke communicatie over begrenzingen. Een auditfunctie die aan GIAS 9.4 voldoet in de letterlijke zin, met de gap-lijst in het plan, is al een stap voor op de meeste collega's. Een auditfunctie die dat doet en bovendien de drie-vergaderingen-cyclus hanteert, het bestuur drie varianten presenteert, de reliance-basis per object documenteert en de diepgang-ambities per opdracht specificeert: die functie bouwt aan een governancepositie die haar jarenlang van waarde maakt voor het bestuur, ongeacht de samenstelling van de auditcommissie of de wisselingen in het senior management.