Het auditrapport: opbouw, bevindingen en oordeel onder GIAS

Een auditrapport dat niemand leest, is duur betaald papierwerk. Toch is de opbouw ervan zelden onderwerp van gesprek: de meeste auditfuncties hanteren een sjabloon dat ooit is ontstaan en dat sindsdien niemand meer heeft getoetst. Dit artikel loopt langs wat er in moet, waarom, en waar het in de praktijk misgaat.

Het uitgangspunt is de Global Internal Audit Standards (GIAS). Die zijn op dit punt concreter dan veel auditors denken: Standaard 15.1 somt letterlijk op wat de definitieve communicatie over een opdracht moet bevatten.

Wat moet er volgens GIAS in het rapport staan?

Standaard 15.1 Definitieve communicatie over de opdracht verplicht voor elke opdracht een definitieve communicatie met de doelstellingen, de scope, de aanbevelingen en/of actieplannen indien van toepassing, en de conclusies.

Voor assurance-opdrachten komt daar nog bij:

• de bevindingen, met hun significantie en prioritering;
• een uitleg van beperkingen in de scope, als die er zijn;
• een conclusie over de effectiviteit van de governance-, risicomanagement- en beheersprocessen van de beoordeelde activiteit.

Daarnaast moet het rapport per bevinding de verantwoordelijke persoon en de geplande einddatum noemen. Heeft het management al actie ondernomen voordat het rapport uitgaat, dan moet dat erin worden erkend. En als de opdracht niet volgens de Standaarden is uitgevoerd, moet het rapport vermelden om welke standaard het gaat, waarom er niet aan is voldaan, en wat dat betekent voor de bevindingen en conclusies.

Dat laatste punt wordt in de praktijk vrijwel altijd overgeslagen. Het is wel de enige manier waarop een lezer kan wegen hoeveel gewicht hij aan het oordeel mag geven.

De zeven eisen aan de kwaliteit

Standaard 11.2 Effectieve communicatie vraagt om communicatie die nauwkeurig, objectief, duidelijk, beknopt, constructief, volledig en tijdig is. Zeven woorden die makkelijk over je heen glijden, maar die zich prima laten gebruiken als eindcontrole vóór verzending:

• Nauwkeurig — klopt elk cijfer, elke datum, elke functienaam? Eén fout feit kost het hele rapport zijn gezag.
• Objectief — staat er iets in dat je niet kunt onderbouwen met dossiermateriaal?
• Duidelijk — begrijpt iemand buiten het vakgebied wat er staat, zonder toelichting?
• Beknopt — kan er iets weg zonder dat de lezer iets mist? Meestal wel.
• Constructief — helpt de formulering de ontvanger vooruit, of alleen de auditor?
• Volledig — ontbreekt er iets dat de lezer nodig heeft om te kunnen handelen?
• Tijdig — een rapport dat drie maanden na de veldwerkfase verschijnt, gaat over een organisatie die niet meer bestaat.

Hoe je een bevinding opbouwt

Een bevinding is pas compleet als vier elementen expliciet in de tekst staan. Dit is geen GIAS-vereiste in deze bewoording, maar het is de structuur die de standaarden veronderstellen en die in vrijwel elke auditmethodologie terugkomt:

• Criterium — waaraan toets je? Beleid, wetgeving, een normenkader, een contractuele afspraak. Zonder criterium is een bevinding een mening.
• Feitelijke situatie — wat trof je aan, onderbouwd met wat je hebt gezien, gemeten of getest.
• Oorzaak — waarom wijkt de situatie af van het criterium? Dit is het element dat het vaakst ontbreekt, en juist het element waar het management iets mee kan.
• Gevolg — welk risico loopt de organisatie hierdoor, en hoe groot is dat?

Ontbreekt het criterium, dan leest de bevinding als een persoonlijke voorkeur. Ontbreekt de oorzaak, dan bestrijdt de aanbeveling een symptoom. Ontbreekt het gevolg, dan kan de ontvanger niet prioriteren en belandt de bevinding onder aan de stapel.

Significantie is een oordeel dat je samen vormt

Standaard 14.3 Evaluatie van bevindingen vraagt om elke mogelijke bevinding te evalueren op significantie, en om daarbij samen met het management de grondoorzaken te identificeren en de mogelijke gevolgen vast te stellen. De significantie zelf bepaal je met de waarschijnlijkheid dat het risico zich voordoet en de impact ervan op de governance-, risicomanagement- of beheersprocessen.

Dat "samen met het management" is geen beleefdheidsformule. Het is de reden dat een bevinding bij de bespreking niet meer onderuitgehaald hoeft te worden: de feiten en de oorzaakanalyse zijn dan al gedeeld. Auditors die de significantie pas achteraf alleen bepalen, voeren die discussie alsnog — maar dan in de vergadering waar het rapport wordt vastgesteld.

Aanbeveling, actieplan, of allebei

Standaard 14.4 Aanbevelingen en actieplannen laat de auditor kiezen: zelf aanbevelingen opstellen, actieplannen van het management opvragen, of samen tot acties komen. Het doel is steeds hetzelfde: het verschil tussen criterium en werkelijkheid oplossen, het risico terugbrengen tot een aanvaardbaar niveau, de grondoorzaak aanpakken, of de activiteit verbeteren.

De standaard vraagt daarnaast expliciet om aanbevelingen te bespreken met het management van de beoordeelde activiteit voordat ze in het rapport belanden.

Of je überhaupt advies moet geven in een auditrapport is een discussie op zich, met goede argumenten aan beide kanten. Die hebben we apart uitgewerkt in De zin en onzin van advies in een auditrapport.

De conclusie: één alinea die het rapport draagt

Voor assurance-opdrachten is een conclusie over de effectiviteit verplicht. Die conclusie is niet de optelsom van de bevindingen, maar een professioneel oordeel dat je erop baseert. Drie middelzware bevindingen kunnen samen een onvoldoende opleveren; ze kunnen ook alle drie naast de hoofdvraag liggen en het oordeel onaangetast laten.

Wat een conclusie bruikbaar maakt:

• ze beantwoordt de doelstelling van de opdracht in dezelfde bewoording als waarin die is gesteld;
• ze benoemt de periode en de scope waarop ze betrekking heeft;
• ze maakt duidelijk waar de grens ligt van wat je hebt onderzocht.

Werkt de auditfunctie met een schaal (voldoende / voldoende met aandachtspunten / onvoldoende, of een variant daarop), leg dan in de auditmethodologie vast wat elke trede betekent. Anders verschilt het oordeel per auditor, en dat merkt de auditcommissie eerder dan u denkt. Een uitgewerkt voorbeeld van zo'n vastlegging staat in het Audit Manual template.

Als u het niet eens wordt met het management

Dit is het moment waarop rapporten worden afgezwakt. Standaard 13.1 Communicatie over de opdracht is er helder over: als auditors en management het niet eens worden over de resultaten, moeten zij het bespreken en proberen tot wederzijds begrip te komen. Lukt dat niet, dan geldt: internal auditors mogen niet verplicht worden om enig deel van de opdrachtresultaten te wijzigen, tenzij er een geldige reden is om dit te doen.

De standaard vraagt bovendien om een vastgestelde methodologie waarin beide partijen hun standpunt kunnen vastleggen, inclusief de reden van het verschil van inzicht. Dat is aanzienlijk sterker dan het compromis dat in de praktijk vaak wordt gesloten: de bevinding blijft staan, de formulering wordt verzacht, en het verschil van inzicht verdwijnt uit het dossier.

Wie het rapport vrijgeeft

Volgens Standaard 11.3 Communicatie van resultaten reviewt en keurt het hoofd van de internal auditfunctie de definitieve communicatie goed, en beslist die aan wie en hoe het rapport wordt verspreid. Delegeren mag, maar de eindverantwoordelijkheid blijft bij de CAE. Gaat het rapport naar partijen buiten de organisatie, dan moet de CAE zo nodig eerst juridisch advies of dat van het senior management inwinnen.

Zes fouten die het vaakst voorkomen

• Geen criterium. "Het proces is onvoldoende beheerst" zonder de norm erbij is een mening, geen bevinding.
• Het rapport als dossier. De lezer krijgt de complete werkzaamhedenverantwoording in plaats van het antwoord. Het dossier hoort in het dossier.
• Aanbevelingen zonder eigenaar of datum. Standaard 15.1 vraagt beide expliciet, en zonder die twee gebeurt er niets.
• Een samenvatting die samenvat. De managementsamenvatting moet het oordeel en de consequentie geven, niet een verkorte weergave van elk hoofdstuk.
• Scope-beperkingen in een voetnoot. Als u iets niet hebt kunnen onderzoeken, bepaalt dat mede de waarde van het oordeel. Dat hoort bij de conclusie te staan.
• Te laat. Tijdigheid is een van de zeven eisen uit Standaard 11.2, geen vrijblijvende wens.

Tot slot

Het auditrapport is het enige product van de auditfunctie dat de meeste stakeholders ooit onder ogen krijgen. De standaarden geven er meer houvast bij dan vaak wordt aangenomen: 15.1 voor de inhoud, 11.2 voor de kwaliteit, 14.3 en 14.4 voor de bevindingen en de acties, en 13.1 voor het moment waarop het spannend wordt. Wie die vier langsloopt vóór verzending, heeft een rapport dat niet alleen conform is, maar ook gelezen wordt.

Hoe kan Audirium u helpen?

Audirium ondersteunt internal auditfuncties bij het inrichten en toetsen van hun rapportageproces: van het vastleggen van de rapportagemethodologie in de audit manual tot een externe kwaliteitstoetsing waarin de conformiteit met Principe 13 en Standaard 15.1 aantoonbaar wordt gemaakt. Neem gerust contact op als u hierover wilt doorpraten.