De vraag komt in vrijwel elk gesprek terug: "we moeten toch eens in de vijf jaar extern getoetst worden?" Dat klopt, maar het is het kleinste deel van wat de Global Internal Audit Standards op dit punt vragen. De externe toetsing is het sluitstuk van een programma dat het hele jaar door loopt — en dat programma is waar de meeste auditfuncties tekortschieten.
Wat GIAS verplicht stelt
Standaard 8.3 Kwaliteit legt de basis: het hoofd van de internal auditfunctie moet een programma voor kwaliteitsborging en -verbetering ontwikkelen, implementeren en onderhouden dat alle aspecten van de functie omvat. Dat programma kent twee soorten toetsingen:
- Interne toetsingen (Standaard 12.1);
- Externe toetsingen (Standaard 8.4).
Daar hoort een communicatieplicht bij. De resultaten van de interne kwaliteitstoetsing moeten ten minste eenmaal per jaar naar het bestuur en het senior management; die van een externe toetsing na afloop. In beide gevallen moet die communicatie in elk geval de conformiteit met de Standaarden bevatten en de realisatie van de prestatiedoelstellingen.
De externe kwaliteitstoetsing
Standaard 8.4 Externe kwaliteitstoetsing is op vier punten concreet:
- de CAE ontwikkelt een plan voor de externe toetsing en bespreekt dat met het bestuur;
- de toetsing vindt minimaal eens per vijf jaar plaats;
- ze wordt uitgevoerd door een gekwalificeerde, onafhankelijke toetser of toetsingsteam;
- ten minste één persoon in dat team heeft een actieve Certified Internal Auditor®-titel.
Een zelfevaluatie met onafhankelijke validatie (self assessment with independent validation, SAIV) voldoet eveneens aan de eis. Dat is voor kleinere auditfuncties vaak de begaanbare route: de functie doet het voorwerk zelf, een onafhankelijke validator toetst de uitkomst. Het scheelt kosten, maar niet vrijblijvendheid — de validator moet de conclusie kunnen dragen.
Twee dingen worden hierbij structureel onderschat. Het plan moet vooraf met het bestuur worden besproken, niet achteraf ter kennisgeving worden aangeboden. En "minimaal eens per vijf jaar" is een maximumtermijn, geen ritme: bij een ingrijpende reorganisatie of een wisseling van CAE is eerder toetsen verstandiger dan wachten tot het jaartal klopt.
De interne toetsing is er twee, geen één
Hier gaat het in de praktijk het vaakst mis. Standaard 12.1 Interne kwaliteitstoetsing vraagt om een methodologie die drie elementen bevat:
- Voortdurende monitoring van de conformiteit met de Standaarden en van de voortgang richting de prestatiedoelstellingen;
- Periodieke zelfevaluaties, of toetsingen door andere personen binnen de organisatie die genoeg kennis van internal auditpraktijken hebben om conformiteit te beoordelen;
- Communicatie met bestuur en senior management over de uitkomsten.
Voortdurende monitoring is iets anders dan een jaarlijkse zelfevaluatie. Het zit in het dagelijkse werk: supervisie op opdrachten, reviews van werkprogramma's, de vaststelling dat een dossier de conclusie draagt. Standaard 12.3 maakt dat expliciet — de CAE of de opdrachtsupervisor moet tijdens de opdracht begeleiden, verifiëren dat werkprogramma's compleet zijn, en bevestigen dat de werkdocumenten de bevindingen, conclusies en aanbevelingen afdoende ondersteunen.
Wie alleen een jaarlijkse zelfevaluatie doet, mist dus de helft van de eis — en merkt dat pas tijdens de externe toetsing.
Prestatiedoelstellingen horen erbij
Standaard 12.2 Prestatiemeting koppelt kwaliteit aan prestatie. De CAE moet doelstellingen ontwikkelen om de prestatie van de functie te evalueren, en daarbij rekening houden met de input en verwachtingen van bestuur en senior management. Er moet een methodologie zijn om de voortgang te beoordelen, er moet zo nodig feedback worden gevraagd, en er moet een actieplan komen om verbeterpunten aan te pakken.
Conformiteit en prestatie zijn dus twee verschillende dingen die in dezelfde rapportage thuishoren. Een functie kan volledig conform zijn en tegelijk niet leveren wat het bestuur nodig heeft. Wij hebben dat onderscheid uitgewerkt in het artikel over een toetsingskader voor foresight onder GIAS.
Wat betekent "conform" eigenlijk?
Een kwaliteitstoetsing eindigt in een oordeel per standaard. De IIA hanteert daarvoor drie niveaus, die in het Nederlandse taalgebied meestal onvertaald blijven: generally conforms, partially conforms en does not conform. Dat oordeel gaat over aantoonbaarheid, niet over inspanning. De vraag is niet of de auditfunctie zorgvuldig werkt, maar of ze per vereiste kan laten zien dat ze eraan voldoet — in methodologieën, in dossiers, in vastgelegde communicatie met het bestuur.
Dat is ook de reden dat een toetsing zelden struikelt over de inhoud van het auditwerk. Ze struikelt over vastlegging: een charter dat niet is geactualiseerd, een risicoanalyse die niet herleidbaar is naar het jaarplan, een kwaliteitsprogramma dat wel bestaat maar niet is gedocumenteerd. Wat er in het rapport zelf hoort te staan, hebben we beschreven in Het auditrapport: opbouw, bevindingen en oordeel onder GIAS.
Van standaarden naar praktijk: waar te beginnen
Voor auditfuncties die GIAS nog aan het implementeren zijn, is dit een werkbare volgorde:
- Begin bij het charter. Het legt mandaat, positionering en onafhankelijkheid vast en is het document waar een toetser als eerste naar vraagt. Een uitgewerkt vertrekpunt staat in ons Internal Audit Charter template.
- Leg de methodologieën vast. De Standaarden verwijzen er voortdurend naar: voor opdrachten, voor rapportage, voor kwaliteitsborging. Zonder vastlegging is conformiteit niet aantoonbaar. Zie het Audit Manual template.
- Richt de interne toetsing in vóór de externe. Zonder voortdurende monitoring en periodieke zelfevaluatie levert een externe toetsing alleen een lijst met verrassingen op.
- Maak de rapportage aan het bestuur expliciet. Jaarlijks over de interne toetsing, na afloop over de externe — inclusief conformiteit en prestatiedoelstellingen.
- Toets klein en vaak. Eén standaard per maand doorlopen levert na een jaar een compleet beeld op, zonder dat er ooit een groot project van gemaakt hoeft te worden.
Kleinere auditfuncties lopen hierbij tegen eigen vragen aan; die hebben we apart behandeld in De GIAS en kleine internal audit functies.
Hoe kan Audirium u helpen?
Audirium voert externe kwaliteitstoetsingen en validaties van zelfevaluaties uit, en ondersteunt auditfuncties bij het inrichten van hun kwaliteitsborgings- en verbeterprogramma. Met AQUA kunt u bovendien zelf per standaard bepalen waar u staat, als voorbereiding op een toetsing of als onderdeel van de periodieke zelfevaluatie. Neem gerust contact op om te bespreken wat in uw situatie past.