De GIAS en kleine internal audit functies

1: Inleiding

Kleine Audit Functies (KAFs) — internal auditafdelingen met één tot vijf auditors — hebben vanwege hun beperkte omvang een aantal serieuze uitdagingen bij het voldoen aan professionele standaarden. Met de komst van de Global Internal Audit Standards (GIAS) is het framework fundamenteel veranderd. De impact van deze standaarden is bijzonder groot voor kleine internal audit functies. Wereldwijd rapporteerde 51% van de Chief Audit Executives (CAE's) dat hun functie vijf of minder medewerkers telde. In Europa laat de Chartered IIA Benchmarking Survey (december 2024) zien dat 23,6% van de internal audit functies minder dan 4 FTE heeft, en 38,9% tussen 4 en 10 FTE. In de non-profitsector heeft maar liefst 51,85% minder dan 4 FTE. Voor organisaties met minder dan 1.000 werknemers heeft 43,86% van de auditteams minder dan 4 FTE. De Nederlandse context voegt hier een extra dimensie aan toe. De Nederlandse Corporate Governance Code (2022, bijgewerkt maart 2025) vereist in Principe 1.3 dat organisaties beschikken over een internal audit functie die "de opzet en werking van de interne risicobeheersings- en controlesystemen beoordeelt.". Best practice 1.3.2 schrijft een jaarlijkse beoordeling door het bestuur voor en een externe beoordeling elke vijf jaar — in lijn met GIAS Standaard 8.4. IIA Nederland faciliteert de implementatie actief met een Nederlandse vertaling van de GIAS, transitietabellen (Two-way Mapping), de Conformance Readiness Assessment, en het Document Oordeelsvorming o.b.v. GIAS (DO) — dat sinds 9 januari 2025 verplichte guidance vormt voor externe kwaliteitstoetsingen in Nederland. Dit document identificeert de moeilijkste standaarden voor functies met 1–5 FTE en biedt praktische oplossingen vanuit een Nederlands en Europees perspectief.

2: De Vijf Domeinen in Vogelvlucht

De GIAS zijn opgebouwd uit vijf domeinen die samen het volledige spectrum van internal auditing bestrijken. De onderstaande tabel vat de kern van elk domein samen.

Domein	Naam	Kern
I	Purpose of Internal Auditing	Missie en mandaat van internal audit; ethische verwachtingen
II	Ethics and Professionalism	Integriteit, objectiviteit, competentie, vertrouwelijkheid, professioneel oordeelsvermogen
III	Governing the IA Function	Rollen van board en senior management; Essential Conditions voor onafhankelijkheid
IV	Managing the IA Function	Strategie, planning, resources, kwaliteitsbewaking, communicatie met stakeholders
V	Performing IA Services	Plannen, uitvoeren en rapporteren van audit- en adviesdiensten

Belangrijkste wijzigingen ten opzichte van IPPF 2017

Onderwerp	Wijziging t.o.v. 2017
Domein III (nieuw)	Volledig nieuw domein met „Essential Conditions" — verantwoordelijkheden van board en senior management voor de IAF
Strategie (Std 9.2)	Verplichte meerjarenstrategie (3–5 jaar) voor de internal audit functie
Topical Requirements	Nieuw instrument voor verdieping in specifieke onderwerpen (cybersecurity, third-party risk, organisatiecultuur)
Kwaliteitsraamwerk	Uitgebreidere eisen voor interne en externe kwaliteitsbeoordeling (Standaarden 12.1 en 8.4)
Technologie	Expliciete eis voor technologische resources (Standaard 10.3) — dit was impliciet in 2017

De Nederlandse en Europese dimensie

De GIAS opereren niet in een vacüum. In Nederland en Europa versterken meerdere kaders en initiatieven de implementatie:

• Nederlandse Corporate Governance Code: De Code versterkt meerdere GIAS-vereisten. Best practice 1.3.2 vereist een jaarlijkse beoordeling door het bestuur en een externe beoordeling elke vijf jaar — dit sluit direct aan bij GIAS Standaard 8.4.
• ECIIA: De European Confederation of Institutes of Internal Auditors publiceerde in november 2024 specifieke guidance voor implementatie van de GIAS in de Europese publieke sector.
• IIA Nederland — Document Oordeelsvorming (DO): Sinds 9 januari 2025 is het DO verplicht als kader voor externe kwaliteitstoetsingen in Nederland, met een vierpuntsschaal: Full Conformance (FC), General Conformance (GC), Partial Conformance (PC), Does Not Conform (DNC).
• Risk in Focus 2025: Dit ECIIA-onderzoek — een samenwerking tussen 19 Europese IIA-instituten en 985 CAE-respondenten — identificeert de belangrijkste Europese risico's: digitale disruptie en AI, cybersecurity, human capital, macro-economische en geopolitieke onzekerheid, en klimaatverandering.

3: De Moeilijkste Standaarden voor Kleine Internal Audit Functies

Niet alle 52 standaarden wegen even zwaar voor kleine Internal Audit Functies. Dit hoofdstuk identificeert de standaarden die de grootste uitdaging vormen voor IAF's met 1–3 FTE, en biedt per standaard praktische oplossingen.

Uitdagingsmatrix: GIAS 2025 voor KAFs

Onderstaande matrix geeft een overzicht van de standaarden die voor KAFs de meeste uitdaging opleveren, geordend op moeilijkheidsgraad.

Standaard	Onderwerp	Uitdaging	Kernprobleem voor KAFs
8.4	Externe kwaliteitstoetsing	Hoog	Budget voor externe review ontbreekt of is niet proportioneel
9.2	Internal audit strategie	Hoog	Bandbreedte voor meerjarenstrategie ontbreekt
10.2	Management van personele middelen	Hoog	Brede competentie nodig, smalle bezetting
10.3	Technologische middelen	Hoog	Specifieke auditsoftware kostbaar en tijdrovend
12.1	Interne kwaliteitstoetsing	Hoog	Te weinig mensen voor onafhankelijke interne review
12.3	Kwaliteit op opdrachtenniveau	Hoog	Solo-auditor kan zichzelf niet reviewen. Ook bij 2-3 auditors is dit lastig aangezien de CAE altijd zelf zal auditen.
2.2	Objectiviteit waarborgen	Midden	Nauwe relaties, beperkte rotatiemogelijkheden
3.1	Competentie	Midden	Één persoon moet alles kunnen
7.1	Organisatorische onafhankelijkheid	Midden	CAE rapporteert vaak niet aan bestuur/AC
9.4	Internal auditplan	Midden	Capaciteit voor risicogebaseerd plan ontoereikend
10.1	Management van financiële middelen	Midden	Beperkt budget, geen ruimte voor tooling
13.1–13.6	Opdrachten plannen	Midden	Formele planning kost relatief veel tijd
14.1–14.6	Opdrachten uitvoeren	Midden	Supervisie en review moeilijk intern te organiseren
1.1–1.3	Integriteit	Laag	Persoonlijk, niet afhankelijk van omvang
6.2	Internal audit charter	Laag	Klein document, eenmalig effort
11.1–11.5	Communicatie	Laag	Korte lijnen in kleine organisatie
15.1	Definitieve communicatie opdracht	Laag	Template-gestuurd, goed standaardiseerbaar

Uitdagingsgraad: Hoog = structurele beperking; Midden = oplosbaar met inspanning; Laag = niet afhankelijk van omvang.

Selectiemethodologie

De selectie van de meest uitdagende standaarden is gebaseerd op vijf criteria:

• Resource-intensiteit. Standaarden die activiteiten vereisen welke bij grotere functies over meerdere medewerkers worden verdeeld, maar bij 1–3 FTE op één of twee personen neerkomen.
• Disproportionele kosten. Standaarden die significante financiële investeringen vragen die niet proportioneel schalen met de omvang van de functie. Een externe kwaliteitsbeoordeling (EQA) kost € 15.000–€ 40.000, ongeacht of het team 2 of 200 FTE heeft.
• Structurele spanning. Standaarden die iets vereisen dat structureel lastig is bij kleine bezetting. Zo vereist Standaard 12.3 supervisie en review door een andere persoon — maar als de CAE de enige auditor is, wie reviewt dan het werk?
• Bronbevestiging. De selectie is gekruist met wat gezaghebbende bronnen als problematisch identificeren: het Chartered IIA Small Functions Guidance, de GIAS zelf en het ECIIA-paper over implementatie in de Europese publieke sector.
• Nederlandse en Europese context. Specifieke nationale vereisten — zoals de verplichtstelling van het Document Oordeelsvorming (DO), het toezicht van het TKT, en de Corporate Governance Code — maken sommige standaarden in de Nederlandse praktijk zwaarder dan elders.

3.2 Standaard 8.4 — External Quality Assessment

Domein III, Principe 8 — Overseeing the Internal Audit Function Vereiste: Een externe kwaliteitsbeoordeling (EQA) moet minimaal eens per vijf jaar worden uitgevoerd, door een gekwalificeerde en onafhankelijke beoordelaar of beoordelingsteam. Nederlandse context: In Nederland is de externe kwaliteitstoetsing verplicht gesteld door IIA Nederland, in lijn met de Corporate Governance Code (best practice 1.3.2). Het Toezichtsorgaan op de Kwaliteitstoetsingen (TKT) houdt toezicht op de uitvoering. Het Document Oordeelsvorming (DO) is verplicht als beoordelingskader. Uitdaging: Een volledige EQA kost € 15.000–€ 40.000 en vereist aanzienlijke voorbereiding. Voor een solo-CAE kan dit een onevenredige belasting zijn, zowel financieel als qua tijdsinvestering. Praktische oplossingen:

• Self-Assessment with Independent Validation (SAIV) is kosteneffectiever dan een volledige EQA en wordt erkend door de GIAS
• Organiseer peer-review pools met minimaal drie organisaties — dit voldoet aan de onafhankelijkheidseisen
• Vier KAFs van vergelijkbare grootte kunnen externe evaluaties zo organiseren dat geen twee organisaties elkaar wederzijds beoordelen
• Bouw vanaf dag één een „conformance dossier" op: documenteer alle werkzaamheden, beslissingen en afwegingen
• Plan de EQA ruim van tevoren (12–18 maanden) en reserveer budget

3.3 Standaard 9.2 — Internal Audit Strategy

Domein IV, Principe 9 — Planning Strategically Vereiste: De CAE dient een meerjarenstrategie (3–5 jaar) op te stellen die de visie, doelstellingen en middelen van de internal audit functie beschrijft, afgestemd op de organisatiestrategie. Uitdaging: Kleine functies opereren vaak reactief en missen de bandbreedte voor strategisch denken. Een meerjarenstrategie kan „overkill" voelen wanneer het audituniversum al beperkt is. Tegelijk is risicogebaseerde planning (Standaard 9.4) bij beperkte capaciteit des te pijnlijker: je móet scherpe keuzes maken en transparant communiceren over wat je niet kunt raken. Praktische oplossingen:

• Houd het proportioneel: 2–3 pagina's is voldoende voor een kleine functie
• Gebruik het Ambition Model van IIA Nederland (geactualiseerd juni 2025) als vertrekpunt — het biedt een gestructureerd kader voor ambities en volwassenheidsniveaus
• Stem de strategie af op de organisatiestrategie en de vereisten van de Corporate Governance Code
• Bespreek de strategie informeel met de voorzitter van het auditcomité
• Communiceer helder over auditobjecten die niet geraakt kunnen worden vanwege capaciteitsbeperkingen (Standaard 11.5 biedt het escalatiepad)

3.4 Standaard 10.2 — Human Resources Management

Domein IV, Principe 10 — Managing Resources Vereiste: De CAE moet ervoor zorgen dat de internal audit functie over voldoende en gekwalificeerd personeel beschikt om het auditplan uit te voeren, met de juiste mix van competenties. Competentie (Standaard 3.1) en voortdurende vaktechnische ontwikkeling (Standaard 3.2) zijn onder de GIAS expliciete vereisten — ook voor kleine teams. Europese context: Risk in Focus 2025 identificeert human capital als een top-3 risico voor Europese organisaties. Kleine teams kunnen onmogelijk over diepgaande expertise in alle relevante domeinen beschikken — van cybersecurity tot ESG, van data-analyse tot regelgeving. Praktische oplossingen:

• Zet gastauditors in vanuit andere afdelingen (met onafhankelijkheidswaarborgen)
• Cosourcing voor gespecialiseerde audits (cybersecurity, IT, ESG/duurzaamheid)
• Participeer actief in lokale IIA Nederland chapters en ECIIA-netwerken voor kennisdeling
• Documenteer resource-beperkingen en de impact op auditdekking formeel richting het bestuur en het auditcomité
• Standaard 9.5 (Coördinatie en vertrouwen) biedt een uitweg: werk samen met andere assurance-aanbieders om de totale dekking te vergroten

3.5 Standaard 10.3 — Technological Resources

Domein IV, Principe 10 — Managing Resources Vereiste: De CAE moet vaststellen dat de internal audit functie beschikt over adequate technologische middelen om haar werkzaamheden effectief uit te voeren. De GIAS verwachten een bewuste keuze en documentatie van technologische middelen. Uitdaging: Specifieke auditsoftware is kostbaar en de implementatie tijdrovend. Kleine functies werken vaak met Excel en Word — technisch voldoende maar niet optimaal. Praktische oplossingen:

• Begin met gratis of betaalbare tools: AI-ondersteund onderzoek, data-analyse, workflowtools
• Documenteer huidige technologie en beperkingen formeel in het auditdossier
• Werk samen met IT aan gedeelde GRC-systemen
• Overweeg outsourcing van data-intensieve audits
• Presenteer een technologie-roadmap aan het bestuur — ook als die bescheiden is

3.1 Standaard 12.1 — Internal Quality Assessment

Domein IV, Principe 12 — Quality Assurance and Improvement Program Vereiste: De CAE moet een intern kwaliteitsborgingssysteem opzetten en onderhouden, inclusief doorlopende monitoring en periodieke zelfevaluaties. De GIAS erkennen expliciet dat one-member functions hiervoor externe hulp nodig kunnen hebben. Uitdaging: Wie beoordeelt de beoordelaar? Een eenpersoonsfunctie kan zichzelf niet onafhankelijk evalueren. Zonder gestructureerd kwaliteitsprogramma mist de functie leermogelijkheden en riskeert zij non-conformance. In een kleine organisatie liggen relaties bovendien dicht bij elkaar, wat de objectiviteit van zelfevaluatie bemoeilijkt. Praktische oplossingen:

• Gebruik de Conformance Readiness Assessment van IIA als gratis zelfbeoordelingstool
• Neem het Document Oordeelsvorming (DO) als raamwerk voor interne evaluatie — de vierpuntsschaal biedt een gestructureerd beoordelingskader
• Automatiseer kwaliteitscontroles waar mogelijk (gebruik checklists)
• Pas een risicogerichte aanpak toe: volledige review op hoog-risico-audits, lichtere toetsing op overige

3.6 Standaard 12.3 — Kwaliteit op opdrachtenniveau

Domein IV, Principe 12 — Quality Assurance and Improvement Program Vereiste: De CAE moet de prestaties op opdrachtniveau bewaken en verbeteren, inclusief supervisie, coaching en feedback op werkpapieren en rapportages. De standaarden voor planning (13.1–13.6), uitvoering (14.1–14.6) en rapportage (15.1–15.2) zijn even veeleisend voor een KAF als voor een grote afdeling. Uitdaging: Een solo-auditor kan zichzelf niet reviewen. Zonder tweede paar ogen missen werkpapieren en rapporten de kwaliteitscontrole die bij grotere functies vanzelfsprekend is. Formaliteit mag lager zijn bij kleine functies, maar de kern moet er zijn. Praktische oplossingen:

• Gebruik de voorzitter van het auditcomité als klankbord voor concept-rapportages
• Schakel externe mentoren of coaches in via IIA Nederland of Chartered IIA-netwerken
• Organiseer peer review met andere Nederlandse of Europese auditfuncties
• Gebruik gestructureerde werkpapiertemplates en checklists — dat bespaart tijd én waarborgt kwaliteit

3.7 Domein III — Essential Conditions voor Board en Senior Management

Domein III — Governing the Internal Audit Function Vereiste: Het bestuur en de raad van commissarissen moeten de „Essential Conditions" voor effectieve internal audit waarborgen: onafhankelijkheid, autoriteit, positionering, en voldoende middelen. Standaard 7.1 (Organisatorische onafhankelijkheid) vereist dat de internal auditfunctie onafhankelijk is gepositioneerd en functioneel rapporteert aan het bestuur. Nederlandse context: De Nederlandse Corporate Governance Code versterkt Domein III aanzienlijk. Best practice 1.3 vereist toezicht door de raad van commissarissen, goedkeuring van benoeming en ontslag van de CAE door de RvC, en jaarlijkse beoordeling van de IAF. In het Nederlandse two-tier bestuursmodel zijn de rollen helder verdeeld: het bestuur is verantwoordelijk voor de IAF, de RvC houdt toezicht. Uitdaging: Dit domein beschrijft verantwoordelijkheden die bij het bestuur en de RvC liggen — niet bij de CAE zelf. De CAE kan deze condities niet afdwingen, maar moet ze wel faciliteren. Bij KAFs in kleine organisaties komt het voor dat het hoofd van de auditfunctie niet functioneel aan het bestuur rapporteert maar aan een persoon die uitvoerend is op gebieden die object van audit zijn. Bij kleinere, niet-beursgenoteerde organisaties zonder formeel auditcomité is extra educatie nodig. Praktische oplossingen:

• Begin met educatie: presenteer Domein III aan het bestuur als onderdeel van de GIAS-transitie
• Gebruik de Corporate Governance Code als hefboom — de Code en de GIAS versterken elkaar
• Stel een intern charter op (of actualiseer het bestaande) dat de Essential Conditions vertaalt naar de specifieke organisatie
• Documenteer eventuele tekortkomingen en rapporteer deze aan het auditcomité
• Investeer in de directe relatie met het bestuur — Standaard 8.1 (Interactie met het bestuur) biedt het kader, ongeacht de formele rapportagelijn

4: Topical Requirements — Een Extra Uitdaging

Naast de 52 standaarden introduceert de GIAS een nieuw instrument: Topical Requirements. Dit zijn verplichte verdiepingseisen voor specifieke onderwerpen die de standaarden aanvullen.

Tijdlijn

Topical Requirement	Publicatiedatum	Effectief
Cybersecurity	5 februari 2025	5 februari 2026
Third-Party Risk	2025 (verwacht)	15 september 2026
Organizational Behavior (Culture)	2025 (verwacht)

Impact op kleine functies

Topical Requirements verhogen de lat aanzienlijk, met name voor kleine functies die al moeite hebben de kernstandaarden volledig na te leven. De Cybersecurity Topical Requirement — als eerste effectief per 5 februari 2026 — vereist diepgaande technische kennis die zelden in-house beschikbaar is bij een 1–3 FTE functie. Praktische aanpak:

• Cosourcing: schakel externe specialisten in voor cybersecurity- en IT-audits
• Scoping: focus op de meest relevante aspecten op basis van het risicoprofiel van de organisatie
• Samenwerking: werk samen met de IT-afdeling en de CISO voor cybersecurity-gerelateerde werkzaamheden
• Gerichte training: investeer in één of twee specialisaties in plaats van alle gebieden te bestrijken
• Documenteer beperkingen: leg vast waar de functie niet volledig kan voldoen en communiceer dit transparant aan het bestuur

5: Omgaan met Non-Conformance

Non-conformance is geen falen — het is een realiteit voor veel kleine functies. De GIAS erkennen dit en bieden ruimte voor proportionaliteit. De sleutel ligt in transparantie en continue verbetering.

Het Nederlandse kader

IIA Nederland biedt specifieke hulpmiddelen om non-conformance te beheersen:

• Conformance Readiness Assessment: een gratis tool om de huidige status te inventariseren en gaps te identificeren
• Transitietabellen (Two-way Mapping): overzicht van de relatie tussen de 2017-standaarden en de GIAS, zodat bestaand werk hergebruikt kan worden
• Helpdesk: bereikbaar via vaktechniek@iia.nl voor specifieke vragen over conformance
• Document Oordeelsvorming (DO): biedt een concreet kader voor hoe non-conformance wordt beoordeeld in de Nederlandse context, met onderscheid tussen Partial Conformance (PC) en Does Not Conform (DNC)

De Nederlandse Corporate Governance Code werkt met het „pas toe of leg uit" (comply or explain) principe. Dit sluit aan bij de proportionaliteitsbenadering van de GIAS: als volledige conformance niet haalbaar is, leg dan uit waarom en welke mitigerende maatregelen getroffen zijn.

Vijf stappen bij non-conformance

1. Identificeer de specifieke standaarden waar non-conformance optreedt
2. Documenteer de oorzaak: is het een resource-, kennis- of governance-issue?
3. Ontwikkel een actieplan met concrete stappen, verantwoordelijken en tijdlijn
4. Communiceer transparant aan het bestuur en auditcomité — inclusief de impact op het mandaat van de functie
5. Monitor voortgang en rapporteer periodiek over verbeteringen

Het is essentieel om non-conformance niet te verbergen. Een open dialoog met het bestuur over beperkingen en verbeterplannen versterkt het vertrouwen in de functie en creërt ruimte voor de benodigde investeringen.

6: Conclusie en Aanbevelingen

De Global Internal Audit Standards vormen een significante stap voorwaarts voor het beroep van internal auditor. Voor kleine functies met 1–3 FTE brengen zij echter reële uitdagingen met zich mee. De standaarden die in dit document zijn geanalyseerd, raken de kern van deze uitdagingen: kwaliteitsborging, strategische planning, resource-management en governance. De kern is niet veranderd met de nieuwe standaarden: het gaat om het toevoegen van waarde met de middelen die je hebt. Voor KAFs betekent dat: slim kiezen, goed communiceren, en durven samenwerken. De standaarden bieden het kader — het is aan de CAE om er praktisch invulling aan te geven. De Nederlandse en Europese context biedt zowel extra verplichtingen als ondersteuning. De Corporate Governance Code, het Document Oordeelsvorming, het Ambition Model en de ECIIA-netwerken vormen samen een ecosysteem dat kleine functies kan helpen bij de transitie.

Zeven aanbevelingen

1. Voer een gap-analyse uit — gebruik de Conformance Readiness Assessment van het IIA en het Document Oordeelsvorming als referentiekader. Begin niet bij nul, maar inventariseer wat er al is.
2. Gebruik proportionaliteit — de GIAS erkennen dat kleine functies niet alles op dezelfde manier kunnen doen als grotere functies. Documenteer hoe de standaarden proportioneel worden toegepast.
3. Investeer in boardrelaties — Domein III en de Corporate Governance Code vereisen actieve betrokkenheid van het bestuur. Begin met educatie over de Essential Conditions en gebruik de Code als hefboom.
4. Overweeg cosourcing — voor cybersecurity, IT, ESG/duurzaamheid en kwaliteitsbeoordeling. Cosourcing is geen zwakte maar een strategische keuze die de GIAS expliciet erkennen.
5. Documenteer alles — non-conformance, resource-beperkingen, technologie-beperkingen. Het DO maakt helder hoe dit beoordeeld wordt bij een externe kwaliteitstoetsing. Transparantie is de beste bescherming.
6. Bouw een Europees netwerk — IIA Nederland chapters, ECIIA-netwerken, peer reviews met andere Nederlandse en Europese auditfuncties. Een klein team hoeft geen geïsoleerd team te zijn.
7. Strategisch denken kost tijd maar levert op — gebruik het Ambition Model van IIA Nederland als uitgangspunt voor de meerjarenstrategie. Een beknopte strategie van 2–3 pagina's is beter dan geen strategie.

7: Hoe Audirium uw KAF ondersteunt

De uitdagingen die in dit document zijn beschreven, zijn reëel maar niet onoverkomelijk. Audirium biedt een combinatie van advies, coaching, externe review en begeleiding van het traject richting conformiteit met de GIAS. Afhankelijk van de volwassenheid van de auditfunctie kijken wij samen met de klant wat gewenst is.

Advies

Ondersteuning bij het GIAS-compliant maken van auditprocessen, governance, rapportage en documenten als het Charter (Standaard 6.2), het Audit Manual en het jaarplan/jaarrapport. Een combinatie van best practices uit succesvolle auditfuncties — groot en klein — zorgt voor processen die maximaal waarde toevoegen.

Coaching

Waar advies zich richt op structuren en processen, richt coaching zich op het persoonlijke vlak. Competentie (Standaard 3.1) en voortdurende vaktechnische ontwikkeling (Standaard 3.2) zijn onder de GIAS expliciete vereisten — ook voor kleine teams.

Externe review

De GIAS vereisen periodieke externe kwaliteitstoetsing (Standaard 8.4). Onze reviews zijn positief kritisch en zorgen voor een grote leercurve, zodat kennis over de standaarden ook geborgd wordt binnen de KAF zelf.

Coördinatie

Wij helpen bij het opzetten van samenwerkingsverbanden met andere KAFs voor collegiale toetsing (Standaard 9.5), waardoor kosten worden gedeeld en kwaliteit wordt verhoogd.

Referenties

[1] IIA, Global Internal Audit Standards 2024. https://www.theiia.org/globalassets/site/standards/globalinternalauditstandards_2024january9.pdf

[2] IIA Foundation, A Global View of Internal Audit 2022.

[3] Chartered IIA, Internal Audit Benchmarking Part One, December 2024. https://charterediia.org/media/102lwano/internal-audit-benchmarking-part-one.pdf

[4] Monitoring Commissie Corporate Governance Code, Dutch Corporate Governance Code 2025. https://www.mccg.nl

[5] IIA Nederland, Effectuering GIAS. https://www.iia.nl/nieuws/effectuering-gias

[6] ECIIA, Implementing GIAS in European Public Sector, November 2024. https://www.eciia.eu

[7] IIA Nederland, Document Oordeelsvorming o.b.v. GIAS. https://www.iia.nl

[8] ECIIA, Risk in Focus 2025. https://www.eciia.eu/wp-content/uploads/2024/09/Risk-in-Focus-2025-FINAL.pdf

[9] Chartered IIA, Small Internal Audit Functions Guidance. https://charterediia.org

[10] IIA Nederland, Scaling Guidelines. https://www.iia.nl

[11] Wolters Kluwer, Maximizing Internal Audit Effectiveness through EQA. https://www.wolterskluwer.com

[12] IIA Nederland, Updated Ambition Model, June 2025. https://www.iia.nl/nieuws/iia-netherlands-releases-updated-ambition-model-application-guide

[13] Wolters Kluwer, Domains I and IV. https://www.wolterskluwer.com

[14] Wolters Kluwer, Domain III. https://www.wolterskluwer.com

[15] IIA Nederland, IPPF Evolution 2024. https://www.iia.nl/kwaliteit/beroepsnormen/2024

[16] Elliott Davis, Lessons and Action Steps. https://www.elliottdavis.com

[17] Richard Chambers, Small Audit Departments Face Biggest Challenges. https://www.richardchambers.com