Een actieplan met een deadline is geen afgesloten bevinding. Dat wordt het pas met bewijs dat de maatregel is uitgevoerd, en tot die tijd staat er een risico open dat iemand, ergens, heeft geaccepteerd. Meestal zonder dat op te schrijven.
De Global Internal Audit Standards zijn op dit punt concreter dan op vrijwel elk ander onderdeel van het opdrachtwerk. Waar veel Standaarden ruimte laten voor een eigen methodologie, schrijft Standaard 15.2 vier concrete handelingen voor: informeren naar de voortgang, vervolgbeoordelingen uitvoeren op basis van risico, de status bijwerken in een volgsysteem, en bij het uitblijven van voortgang een verklaring van het management vastleggen12. Wie opvolging behandelt als een lijstje dat ergens wordt afgevinkt, mist precies dat laatste punt: het gaat om vastgelegd bewijs, niet om een indruk dat het wel goed zal zitten.
Wat GIAS aan opvolging verplicht
De opvolging begint niet bij Standaard 15.2, maar bij 14.4. Bij het afsluiten van de opdracht kiest de internal auditor tussen drie routes: zelf aanbevelingen opstellen, een actieplan van het management opvragen, of samen met het management naar overeenstemming toewerken over de te nemen acties1. Welke route ook wordt gekozen, het resultaat moet hetzelfde zijn: een maatregel, een eigenaar en een einddatum, vastgelegd vóórdat het opdrachtdossier sluit. Zonder die drie is er niets om op te volgen.
Standaard 15.2 pakt het van daaruit op. De professional bevestigt, volgens een vastgestelde methodologie, dat het management de aanbevelingen of het eigen actieplan heeft geïmplementeerd2. Dat is een cyclus van vier stappen:
- informeren naar de voortgang, vóór de afgesproken datum, niet erna;
- vervolgbeoordelingen uitvoeren met een risicogebaseerde aanpak, dus niet elke bevinding op dezelfde manier hertoetsen;
- de status van de acties bijwerken in een volgsysteem;
- de omvang van dit alles laten meebewegen met de significantie van de bevinding.
Dat laatste punt wordt vaak overgeslagen. Een bevinding met een beperkt risico verdient een korte check van de voortgang; een bevinding die aan een norm, een risicotolerantie of een sleutelcontrole raakt verdient een vervolgbeoordeling met eigen bewijsvoering. Dezelfde diepgang voor beide is tijdverspilling aan de ene kant en te weinig zekerheid aan de andere.
Geen voortgang op de datum: wat dan
Standaard 15.2 voorziet expliciet in het scenario waarin de deadline verstrijkt zonder resultaat. De internal auditor verkrijgt en documenteert dan een verklaring van het management, en bespreekt de kwestie met het hoofd van de internal auditfunctie2. Die twee stappen, verklaring vastleggen en escaleren binnen de functie, staan vast in de Standaard: de professional volgt ze, en weegt ze niet zelf af.
Het hoofd van de internal auditfunctie (CAE) bepaalt vervolgens of het senior management, door uitstel of door niets te doen, een risico heeft geaccepteerd dat de risicotolerantie van de organisatie te boven gaat2. Concludeert de CAE dat dit zo is, dan bespreekt die dat met senior management. Blijft de kwestie daar liggen, dan gaat ze naar het bestuur3. Het oplossen van het risico is op geen van beide niveaus de taak van de CAE: die communiceert, het management en het bestuur beslissen.
Dat maakt de escalatieladder in de praktijk vier stappen kort:
- Auditor: legt de verklaring voor het uitstel vast, met datum en onderbouwing.
- CAE: weegt of hier een risico is geaccepteerd dat de tolerantie te boven gaat.
- Senior management: bespreekt de kwestie, met de CAE.
- Bestuur: als de kwestie bij senior management niet wordt opgelost.
Een volgsysteem is geen mailbox
Standaard 15.2 noemt met zoveel woorden een volgsysteem waarin de status van acties wordt bijgehouden2. Dat woord doet werk: een Excel-lijst die per auditor anders wordt bijgehouden, of een mailwisseling waarin "we zijn er bijna" als statusupdate geldt, is geen volgsysteem in de zin van de Standaard. Een volgsysteem legt per actie de eigenaar, de datum, de status en het bewijs vast, en toont dat aan iedereen die het nodig heeft, niet alleen aan wie de mail nog kan terugvinden.
Audirium's Action Tracking is daarop gebouwd: bevindingen en verbeteracties met eigenaar, deadline en voortgang, rol-gebaseerde views voor auditor, management en CAE, en een audit trail die precies bijhoudt wie wat wanneer heeft bijgewerkt. De escalatie van Standaard 15.2 blijft daarbij hetzelfde; het systeem maakt "geen voortgang op de datum" een signaal dat vanzelf naar boven komt, in plaats van iets dat een professional toevallig opmerkt bij het doorbladeren van een dossier.
Tips die tijd schelen
Vijf gewoontes maken het verschil tussen opvolging die de organisatie serieus neemt en een lijst die iedereen negeert:
- Spreek het bewijs vooraf af. Het document, de screenshot of de log die aantoont dat de maatregel werkt, in plaats van "los het op". Dan weet de eigenaar vanaf dag één wat telt.
- Eén datum per actie. "Q3" is geen datum, het is een uitstelmechanisme met drie maanden speling.
- Plan de hertoets meteen. Niet pas wanneer de deadline is verstreken: dan begint de vervolgbeoordeling met vertraging die niemand had gepland.
- Bundel per grondoorzaak. Vier acties die uit dezelfde onderliggende oorzaak komen, verdienen één gesprek met de eigenaar, niet vier losse threads.
- Rapporteer periodiek, niet op verzoek. Een statusoverzicht dat alleen op verzoek verschijnt, hangt af van wie er nog aan denkt om te vragen.
Twee vuistregels vatten het samen. Afgesloten is bewijs plus datum, niet "gereed gemeld". En opvolging is een methodologie in het handboek, niet een gewoonte per auditor: staat de aanpak niet vast, dan bepaalt de agenda van de professional hoe streng een bevinding wordt gevolgd, en dat is precies de willekeur die Standaard 15.2 met "vastgestelde methodologie" wil voorkomen.
Waar het in de praktijk stukloopt
Vier patronen keren terug in auditfuncties waar opvolging op papier goed geregeld is en in de praktijk niet werkt:
- een actielijst die na de opdracht niemand meer bijwerkt, waardoor de status op het moment van de volgende toetsing net zo oud is als het rapport zelf;
- elke bevinding dezelfde hertoets krijgen, ongeacht significantie, wat capaciteit weghaalt bij de bevindingen die het nodig hebben;
- een actie sluiten op een mededeling van de eigenaar, zonder het bewijsstuk zelf te hebben gezien;
- uitstel dat mondeling wordt gehoord en geaccepteerd, zonder de verklaring die Standaard 15.2 vraagt vast te leggen.
Geen van de vier is een uitzonderlijke fout. Het zijn de gewone gevolgen van opvolging die niet als apart proces is ingericht, met een eigen systeem, een eigen ritme en een eigen escalatiepad. Uitstel is ook een besluit. Wie de datum laat passeren accepteert het risico, alleen zonder het op te schrijven, en dat opschrijven is precies waar Standaard 15.2 om vraagt.
Dit artikel gaat over de opvolging ná het rapport: het proces, de escalatieladder en het volgsysteem. Zoekt u hoe het rapport zelf is opgebouwd en wat Standaard 14.4 vraagt bij het opstellen van aanbevelingen en actieplannen, lees dan Het auditrapport: opbouw, bevindingen en oordeel onder GIAS.
Referenties
[1] The IIA. (2024). Global Internal Audit Standards. https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
[2] IIA Nederland. (2024). Global Internal Audit Standards, Dutch version. https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-dutch.pdf
[3] IIA Nederland. (2025). Effectuering GIAS. https://www.iia.nl/nieuws/effectuering-gias