Een toetsingskader voor foresight onder GIAS

De Global Internal Audit Standards noemen vier dingen die internal audit moet leveren: assurance, advies, insight en foresight. Foresight is nieuw in dat rijtje. De GIAS introduceert het woord in de Purpose Statement, maar legt het nergens uit. En juist foresight is het lastigst hard te maken.

Insight is al een eind onderweg. De interessante IIA NL Practice Guide "Insight & Foresight" (2026) wijdt er een vol hoofdstuk aan, en in de praktijk levert 65% van de auditfuncties het als apart product. Insight gaat over begrijpen wat er speelt en waarom. Dat kun je vandaag beoordelen, want de analyse ligt er. Foresight gaat over wat nog moet komen, en daar levert maar 35% van de internal-auditfuncties een herkenbaar product. Dit stuk gaat over die moeilijke helft.

Iets wat je niet kunt toetsen, kun je ook niet naleven

De GIAS verwacht foresight, maar definieert het zelf nergens. De Practice Guide doet wel een poging: ze leent de woordenboekdefinitie zoals wij dat ook doen en wijdt er een heel hoofdstuk aan, met methoden en voorbeelden. Maar dat is een beschrijving, geen toetsbare definitie. En wat je niet kunt toetsen, kun je ook niet naleven: het wordt geen vaste praktijk. Die 35% uit het onderzoek is daar een mogelijke oorzaak van.

Op de enige plek waar de GIAS foresight noemt, de Purpose Statement, kiest de officiële Nederlandse vertaling voor "vooruitzichten":

Internal auditing versterkt het vermogen van de organisatie om waarde te creëren, te beschermen en te behouden door het bestuur en het management te voorzien van onafhankelijke, op risico gebaseerde en objectieve assurance, advies, inzicht en vooruitzichten.

Maar een vooruitzicht is het toekomstbeeld zelf, het wát. Foresight is in het Engels juist de vaardigheid/capability om dat te zien aankomen en je erop voor te bereiden. De vertaling benoemt dus wat je ziet en laat de vaardigheid of het vermogen om het te zien weg, nog voordat iemand het definieert.

Die vertaalkeuze werkt door in alles wat erna komt. Lees je foresight als een opbrengst, dan probeer je het na te leven door een product te leveren, en toets je het door dat product te beoordelen. Lees je het als een vermogen of vaardigheid, dan vraagt het een heel andere operationalisatie. Die werken we in dit stuk uit.

De auteurs van de Practice Guide hebben 31 CAE's ondervraagd. De grootste belemmering die zij noemen is competentie, door bijna 90% van de respondenten. Daarna komt de bewijslast. En daar zit bij foresight een probleem dat bij gewoon auditwerk niet speelt: de standaarden eisen voldoende bewijs, ook voor foresight, terwijl foresight zich juist slecht laat bewijzen. De paper stipt dat aan en laat de oplossing open. Voor wie een kwaliteitssysteem inricht en beoordeelt, is dat niet genoeg. Omdat wij precies dat doen, GIAS-kwaliteitssystemen inrichten en beoordelen, gaan wij hier verder op in.

Waarom je foresight niet op de uitkomst kunt toetsen

Internal audit kijkt drie kanten op. Terug (hindsight), naar het nu (insight) en vooruit (foresight). Voor alle drie heb je vaardigheden nodig, maar er is een verschil dat alles bepaalt.

Een foresight-product is een voorspelling. Een scenario, een vroeg signaal, een ingeschat risico dat over twee jaar materieel wordt. Of die voorspelling klopte, weet je pas als de toekomst binnen is. Op het moment dat je hem levert, is het een redenering op basis van aannames.

Daar wringt het met Standaard 4, due professional care. Die vraagt dat je de zorgvuldigheid nú aantoont, niet achteraf. Een auditor die zegt "mijn horizon scan was goed, want het risico werd later reëel" levert bewijs van na de wedstrijd. En andersom klopt het ook niet: een risico dat uitbleef kan een geslaagde interventie zijn, of het was er nooit. Je kunt een voorspelling niet bewijzen op het moment dat je hem doet.

Bij insight ligt dat anders, en dat verschil is het hele punt. Insight gaat over het heden. Was de oorzakenanalyse raak, snijdt de thematische analyse hout? Dat beoordeel je nu, op het werk zelf. Foresight heeft daar niks mee te maken, foresight gaat over iets wat nog moet gebeuren. Daarom heeft het een andere manier van toetsen nodig.

Foresight is een capability, geen dienst

In de praktijk glijdt het gesprek al snel naar de dienstencatalogus. Bied je foresight aan als apart product, ja of nee? Die vraag klinkt logisch, maar hij is verkeerd geformuleerd. Een bestuurder kan geen "foresight-opdracht" bestellen zoals hij een IT-audit bestelt. Hij kan wel verwachten dat de auditfunctie hem op tijd vertelt wat eraan komt. Dat is een eigenschap van de functie zelf, geen afgebakend product: een capability.

Het helpt om twee assen uit elkaar te halen. Assurance en advies zijn het werk; insight en foresight de waarde die daaruit voortkomt. Foresight is dus geen aparte dienst die je bestelt, maar een vooruitkijkende vorm van die waarde, die zowel in assurance- als in advieswerk kan zitten.

De standaarden vormen zelf de bevestiging. De paper koppelt foresight aan Standaard 9.2, over strategische planning en omgevingsscanning, en aan 9.4, over risico-gebaseerde planning. Allebei gaan ze over hoe de auditfunctie is ingericht, niet over één opdracht. Wie foresight toetst aan 9.2, beoordeelt dus (het vermogen van) de functie zelf. Foresight hoort daarmee thuis in het volwassenheidsdenken van de functie, niet in haar productenlijst.

Een internal auditfunctie kan één keer een scherp toekomstbeeld neerzetten. Maar als het team de sectorontwikkelingen niet bijhoudt, als de analytische capaciteit aan één vertrekkende collega hangt, en als het auditplan door tijdgebrek reactief is, dan was dat toekomstbeeld toeval. Capability is het verschil tussen het die ene keer doen en het structureel kunnen doen.

Een toetsingskader voor foresight

Als je de uitkomst niet kunt toetsen, en bij foresight kan dat niet, toets dan het vermogen om foresight te leveren. Dat vermogen is wél zichtbaar te maken en met bewijs te staven. Het te beoordelen object is niet de voorspelling zelf (zoals de uitkomst van een audit kan worden beoordeeld), maar de vaardigheden van de functie die basis vormen voor de voorspelling. Wij hebben dat uitgewerkt in een toetsingskader langs drie aspecten, elk met concrete indicatoren en een eigen normbasis in de GIAS: methoden, competenties en randvoorwaarden.

Die drie aspecten zijn niet willekeurig, en ook niet zomaar uit de gids overgenomen. Ze volgen de gewone anatomie van een vermogen, dezelfde logica als people-process-technology. De methoden zijn het kunnen: het gereedschap waarmee je vooruitkijkt. De competenties zijn de mensen die dat gereedschap beheersen. En de randvoorwaarden zijn de ruimte om het in te zetten, het bewijs, de afstemming en de tijd. De meeste indicatoren komen rechtstreeks uit de paper en de survey onder 31 CAE’s. Een aantal hebben we toegevoegd, omdat die survey vooral beschrijft wat functies nu doen en niet beschrijft wat ze niet doen. De survey dekt dus niet alles wat een volwassen foresight-functie nodig heeft.

Herkomst: PG = de IIA NL Practice Guide, met de sectie waar de indicator wordt genoemd (methoden uit §4.2, competenties uit §5.1.2, randvoorwaarden uit §5.1.1 en §5.1.3); Audirium = door ons toegevoegd.

Bij het gebruik gelden twee regels. Je geeft per aspect een oordeel over de gereedheid, dus drie aparte uitkomsten, geen opgeteld totaalcijfer. En dat oordeel blijft buiten de volwassenheids- of prestatiescore van de functie. Gereedheid is namelijk niet hetzelfde als goede foresight: een team met alle aspecten op orde kan de plank misslaan door een verkeerde aanname, en een team dat veel aspecten niet beheerst kan een keer raak zitten. Het kader laat zien of het vermogen aanwezig is. Het oordeelt niet of een concrete voorspelling klopte, want dat kan niemand beoordelen op het moment dat de voorspelling gedaan wordt. Een cijfer zou daar een zekerheid suggereren die er niet is. Het niet geven van een cijfer is daarom een vorm van due professional care.

Hoe je het uitvraagt

Een indicator blijft een abstractie tot je hem omzet in een vraag die iemand kan beantwoorden. Daarom hebben wij in onze AQUA-tooling een Insight & Foresight scan opgenomen. Elke indicator wordt een concrete stelling, en je beoordeelt hem op dezelfde vijf volwassenheidsniveaus als de rest van de scan: ad hoc, in opbouw, gestructureerd, geborgd of toonaangevend. Geen open invulveld en geen cijfer van één tot tien, maar een keuze uit vijf die je dwingt positie te kiezen en die je achteraf met bewijs kunt staven.

Een voorbeeld. De indicator early-warning indicators wordt de vraag of de functie werkt met indicatoren die drempelwaarden en escalatieroutes hebben. Het antwoord is niet "ja, een beetje", maar een van de vijf niveaus, met de bijbehorende GIAS-standaard ernaast. Zo wordt elk aspect een korte lijst van zulke vragen, en de stand van die lijst is de gereedheid van dat aspect. De vragen blijven dicht op de praktijk: ze gaan over wat de functie aantoonbaar doet, niet over wat ze zou willen. Boven de losse aspecten leidt de scan één Insight & Foresight-niveau af. Omdat een gemiddelde een blinde vlek kan wegpoetsen (sterke inzicht-methoden, maar geen enkele vooruitblik-methode), kiest de assessor zelf of dat ene niveau de zwakste pijler volgt of het gemiddelde van de aspecten.

Niet elke methode is voor elke functie zinvol. Daarom kun je een indicator op niet van toepassing zetten; die telt dan niet mee in de gereedheid van het aspect. En omdat geen enkele lijst compleet is, kun je per aspect eigen indicatoren toevoegen: een eigen methode of praktijk, in je eigen woorden. Met één klik geeft de AI in de AQUA-tooling daar een onderbouwd niveau bij, dat je zelf kunt overnemen of bijstellen. Zo blijft het kader leidend, maar past de scan zich aan de praktijk van de functie aan.

Hoe zo'n vooruitblik in de praktijk werkt, lees je in De strategische risk radar: van plaatje naar werkende monitoring, waarin horizon scanning en early-warning indicators concreet worden gemaakt tot doorlopende monitoring.

Het AI-verbeterplan

De scan laat zien waar je staat. Het AI-verbeterplan gaat verder: het leest de uitkomst van de scan en stelt per zwak punt een concrete verbeteractie voor, met de bijbehorende GIAS-standaard, een eerste stap, en een inschatting van impact en inspanning. De auditfunctie beslist; de AI doet een onderbouwd voorstel, geen oordeel.

Neem je een actie over, dan landt die meteen in de actie-tracker van de auditfunctie binnen de AQUA-tooling. Daar krijgt elke verbeteractie een eigenaar, een status en een reviewstap, zodat het verbeterplan niet in een document blijft hangen maar door de gewone opvolging loopt.

Tot slot

Foresight is de waarde die het vak de komende jaren onderscheidt. Maar het komt niet vanzelf. Leg het vast in waarneembare praktijken, veranker het in de volwassenheid van de functie, toets het vermogen en niet de voorspelling, en houd die toets zichtbaar als diagnose in plaats van verstopt in een getal. Zo wordt een woord dat de GIAS openliet, iets waar een auditfunctie morgen mee kan werken.