Integreer risk en audit te ver en je verliest precies de onafhankelijke toets waar bestuur en toezicht op leunen. Niemand die dat opmerkt, tot de externe kwaliteitstoetsing langskomt.
De spanning in het model
Risicomanagement en audit integreren belooft minder versnippering, meer samenhang en lagere kosten. Die belofte is reëel, maar heeft een keerzijde: naarmate risicomanagement en assurance dichter naar elkaar toe groeien, wordt het steeds lastiger scherp te houden wélke functie nog onafhankelijk toetst en wélke functie meebeslist. Die vraag is niet academisch, hij bepaalt of bestuur en toezicht straks nog kunnen bouwen op een onafhankelijk oordeel.
In een klassiek three-lines-model is de structuur helder. De eerste lijn voert uit, de tweede lijn ondersteunt risicomanagement, Internal Audit toetst onafhankelijk. IIA GIAS en de NL CGC liggen dan voor de hand.
Zodra organisaties meer integratie nastreven, verschuift de bewijslast. Dat hoeft geen probleem te zijn, mits je bewuste keuzes maakt en actief onderbouwt hoe je aan professionele standaarden voldoet.
Hier ligt het omslagpunt. Voorbij een bepaalde mate van integratie verlaat de organisatie het domein van professionele standaarden en maakt zij een bewuste governancekeuze. Zowel de CGC als het bredere governance-denken veronderstellen een herkenbare, onafhankelijke evaluatiefunctie. Hoe minder zichtbaar die functie is, hoe lastiger de verantwoording richting toezicht en aandeelhouders.1
Kostendruk is een reële driver in deze afweging. Maar kosten heffen de governance-logica niet op. Ze maken de afweging explicieter: wat levert de bezuiniging op, en wat lever je in?
Vier configuraties
Om te zien waar het wringt, eerst de mogelijke configuraties. Ik onderscheid er vier:
Configuratie 1: Heldere scheiding is het klassieke three-lines-model. De rolverdeling is scherp, Internal Audit is formeel en functioneel onafhankelijk gepositioneerd en rapporteert aan de auditcommissie. Hoog comfort bij zowel GIAS- als CGC-compliance.
Configuratie 2: Slimme bundeling combineert risk en audit in één afdeling onder één hoofd. In de praktijk een veelvoorkomende en onder GIAS toegestane keuze, mits voorzien van expliciete randvoorwaarden en geborgde safeguards. De CAE mag risicomanagementactiviteiten coördineren, maar het management blijft eigenaar van de risico's. Cruciaal: de CAE auditeert niet over domeinen waar hij zelf een coördinerende rol speelt, en de dubbele rol is transparant goedgekeurd door de auditcommissie. Dit is een grijs gebied dat actief gemanaged moet worden.2
Configuratie 3: Stille verschuiving is waar het karakter van Internal Audit fundamenteel kantelt. De functie heet formeel nog “audit”, maar is in de praktijk verworden tot onderzoeksinstrument van de directie. Het auditplan volgt de prioriteiten van het management, niet een onafhankelijke risicoanalyse die door directie en auditcommissie is goedgekeurd. De scope wordt bepaald door wat de directie op dat moment wil weten. IA schuift aan bij risicocomités, stuurgroepen en verbetertrajecten met inhoudelijke inbreng. Daarmee wordt zij medeverantwoordelijk voor uitkomsten die zij later geacht wordt te toetsen. De grens tussen adviseren en toetsen verdampt. De informatievoorziening naar de auditcommissie loopt feitelijk via de directie. Het probleem zit in het gedrag: Internal Audit functioneert als verlengstuk van de tweede lijn. Op dat punt voldoet de auditfunctie niet meer aan GIAS. In de praktijk helaas ook de configuratie die vanuit kostenoogpunt het meest verleidelijk is.
Configuratie 4: Governance op papier brengt risicobeheersing vrijwel volledig in de lijn onder. Internal Audit als herkenbare functie verdwijnt, of wordt zo minimaal bemand dat van systematische onafhankelijke toetsing geen sprake meer is. Buiten GIAS, en in strijd met wat de CGC als basisverwachting stelt.3
Wat er wringt bij configuratie 3 of 4: twee praktijkbeelden
De spanning tussen kostendruk en governancecomfort is concreet.
Een beursgenoteerd bedrijf in de technologiesector.
Dit bedrijf heeft de internal auditfunctie in het kader van een efficiencyprogramma samengevoegd met de risk & compliance afdeling, onder één gecombineerd hoofd. Het auditplan wordt jaarlijks afgestemd met de CFO en daarna ter goedkeuring voorgelegd aan de auditcommissie. In de praktijk volgt de auditplanning echter sterk de thema's die het management prioritair acht: digitale transformatie, ERP-implementatie, werkkapitaalbeheer. Een onafhankelijke risicoanalyse door de IAF zelf, zoals GIAS Standard 9.4 vereist, vindt nauwelijks plaats. De auditcommissie ontvangt de rapporten, maar de agenda wordt feitelijk door de CFO bepaald.
Dit is configuratie 3 in de praktijk. Formeel bestaat de functie en rapporteert zij aan de auditcommissie. Functioneel is zij verworden tot een gestructureerd managementinstrument. Het bedrijf voldoet aan de letter van CGC Principe 1.3 (er ís een “interne auditfunctie”), maar niet aan de geest ervan.4 De vijfjaarlijkse externe kwaliteitstoetsing (bpb 1.3.2) zal dit vermoedelijk blootleggen.
Een niet-beursgenoteerde onderneming in de logistieke dienstverlening.
Dit familiebedrijf heeft nooit een formele internal auditfunctie gehad. De controller vervult de tweede lijn: financiële planning en control, risico-inventarisatie en interne controle op processen. De RvC is klein, zonder formele auditcommissie, en steunt voor haar informatievoorziening vrijwel volledig op de controller en de externe accountant. Een in-control-verklaring is nooit overwogen; de CGC is niet van toepassing.
Dit is configuratie 4, maar zonder de bijbehorende governance-spanning: de CGC geldt niet, aandeelhouders zijn familie en akkoord met de inrichting (en mogelijk niet eens bekend met de beperkingen). Externe toezichthouders stellen geen eisen aan de IAF. De enige echte toets is of de RvC zichzelf voldoende onafhankelijk gepositioneerd acht ten opzichte van de directie. Zodra dit bedrijf externe financiering aantrekt, een overname doet of toetreedt tot een gereguleerde markt, kantelt dat plaatje.
De governancekeuze hangt af van de configuratie én van het toetsingskader dat van toepassing is. Een organisatie die de CGC volgt, vrijwillig of verplicht, heeft minder bewegingsruimte dan een organisatie die dat niet doet. En eenmaal aanvaarde CGC-verplichtingen laten zich niet selectief negeren wanneer het goedkoper uitkomt.
Drie wringpunten
De beheersingsgrondslag
Integratie of afzwakking van de auditfunctie werkt alleen als de eerste en tweede lijn volwassen genoeg zijn om op te vertrouwen. In beide voorbeelden ontbreekt precies die toets.
Het In Control Statement traject
Een In Control Statement (ICS) is de formele verklaring van het bestuur dat de interne risicobeheersing adequaat functioneert. Het is het sluitstuk van een volwassen beheersingssysteem. Wanneer Internal Audit verschuift naar een directie-gestuurd onderzoeksinstrument, verdwijnt een van de belangrijkste bronnen van onafhankelijke zekerheid die dat statement moet onderbouwen. De kostenbesparing van vandaag creëert een governance-schuld voor morgen.
De verantwoordingsrelatie
Een onderneming die de CGC toepast, heeft zich gecommitteerd richting aandeelhouders, toezichthouders en andere stakeholders. Configuratie 3 of 4 verdraagt zich slecht met dat commitment. Kostendruk is geen afdoende rechtvaardiging.
Een organisatie die governance-verplichtingen heeft aanvaard, versterkt configuratie 2 in plaats van te vereenvoudigen richting 3. Het bestuur dat op de governance-inrichting wil besparen, stelt eerst vast wat de organisatie inlevert, en of de RvC en de aandeelhouders bereid zijn dat risico te dragen zodra de externe toetsing komt.
Waarom geldt de GIAS als norm voor Internal Audit?
Staat GIAS in de CGC? Nee.
De CGC 2022 noemt de IIA of de GIAS niet met naam. Principe 1.3 beschrijft de taken en positie van de interne auditfunctie, maar schrijft geen specifieke standaard voor. Inhoudelijk is de CGC wel steeds dichter naar de IIA-standaarden toegegroeid: in 2022 zijn elementen als een onafhankelijke vijfjaarlijkse kwaliteitsbeoordeling en de auditcommissie als functionele rapportagelijn expliciet opgenomen. Dat zijn bepalingen die rechtstreeks aansluiten bij wat de GIAS al langer vereiste.
Waarom geldt GIAS dan toch als de norm?
Ten eerste is de GIAS de mondiale professionele standaard: de Standaarden zijn een verplicht onderdeel van het International Professional Practices Framework en gelden voor elke functie of persoon die internal auditdiensten levert (IIA, 2024). Elke functie die zich als IAF profileert, is gehouden aan deze standaard. Of de CGC die noemt is daarbij irrelevant.
Ten tweede verlangt de CGC (bpb 1.3.2) dat de IAF periodiek extern wordt getoetst door een onafhankelijke derde partij. Die toetsing, in de praktijk een External Quality Assessment, vindt altijd plaats tegen de GIAS. CGC-verplichting en GIAS zijn daarmee functioneel onlosmakelijk verbonden, ook al staat de naam er niet in.
Kunnen ook andere normen gehanteerd worden?
In theorie wel. Alternatieven die soms langskomen: ISAE 3000 (assurance-opdrachten), ISO 9001 (procesborging), het Referentiekader Rijksinterne Audit (overheid) en sectorspecifieke kaders zoals die van DNB. Maar wie als IAF opereert in een CGC-context, kan nauwelijks om de GIAS heen. Een IAF die een alternatief kader hanteert, moet uitleggen waarom dat kader gelijkwaardige bescherming biedt voor onafhankelijkheid, objectiviteit en kwaliteit.
Configuraties en governancecomfort: overzicht
| Configuratie | Kenmerk | GIAS | CGC | Governance-comfort |
|---|---|---|---|---|
| 1. Heldere scheiding Klassieke three-lines-model |
Heldere rolverdeling; audit formeel en functioneel onafhankelijk | Hoog | Hoog | Hoog: structuur spreekt voor zichzelf |
| 2. Slimme bundeling Risk & audit gecombineerd |
Een afdeling; onafhankelijkheid expliciet geborgd via auditcommissie | Middel-hoog grijs gebied | Middel-hoog | Verdedigbaar mits actief gemanaged en transparant verantwoord |
| 3. Stille verschuiving IA als directie-instrument |
IA volgt management-agenda; functioneel geen derde lijn meer | Non-compliant GIAS | Laag: omslagpunt CGC | Wringt: beheersing onvolledig; ICS vrijwel onmogelijk; CGC-achterstand vergroot |
| 4. Governance op papier Minimale assurance |
Risicobeheersing in de lijn; IA verdwijnt als herkenbare functie | Buiten GIAS | Bewuste keuze vereist | Onverantwoord: strijdig met CGC; RvC zonder onafhankelijke informatiepositie |
Kostendruk is een reële driver richting configuratie 3 of 4, maar geen argument dat de governance-logica opheft. Aanvaarde governance-verplichtingen laten zich niet selectief negeren wanneer het goedkoper uitkomt. Dat gesprek begint bij de auditcommissie.
Het IIA heeft het model herzien: wat dat betekent voor deze configuraties
Op 8 juli 2026 heeft het IIA twee Statements of Position uitgebracht die de basis onder dit artikel raken. De eerste, over het Three Lines Model, vervangt het position paper uit 2020. De tweede, over de rol van de auditfunctie in enterprise risk management, vervangt het paper uit 2009, inclusief de bekende waaierfiguur met kernrollen, legitieme rollen met waarborgen en rollen die internal audit niet zou moeten vervullen.5 Beide zijn vastgestelde documenten, geen consultatieversies, en beide zijn geschreven voor een bestuurlijk publiek in plaats van voor auditors.
Dat laatste is voor de praktijk belangrijker dan het klinkt. De discussie over configuratie 2 of 3 wordt zelden gevoerd in de taal van de GIAS, en een auditcommissie leest die standaard ook niet. Nu ligt er een document dat wel voor haar geschreven is en tot dezelfde grenzen komt.
Twee scenario’s naast vier configuraties
Waar ik hierboven vier configuraties onderscheid, hanteren de Statements twee scenario’s. Ze snijden het probleem anders aan en dat maakt ze complementair.
Scenario A beschrijft een auditfunctie die het risicowerk feitelijk uitvoert: zij houdt het register bij, ontwerpt de methodiek, levert het beleid aan. In mijn indeling is dat configuratie 2 die naar de operationele kant is doorgeschoten, en het is de variant waar het IIA de meeste voorwaarden aan verbindt. Die voorwaarden draaien om een enkele gedachte: een oordeel over je eigen bouwwerk moet zichtbaar en tijdelijk zijn. Zichtbaar betekent een vastgelegde motivering en een bestuur dat precies weet welk werk is overgenomen en welk risico daaraan kleeft. Tijdelijk betekent dat de constructie een overbrugging is en geen bestemming. Zolang zij duurt, hoort het oordeel over dat terrein van buiten de functie te komen.
Scenario B beschrijft de constructie waarin risicomanagement en audit onder dezelfde leidinggevende vallen, maar als afzonderlijke eenheden blijven werken. Dat is configuratie 2 zoals ik haar bedoelde. Het IIA laat deze inrichting uitdrukkelijk toe. Interessanter is hoe het document haar vervolgens behandelt: het doorloopt de vijf fasen van de risicocyclus en signaleert bij elke fase dezelfde kwetsbaarheid, namelijk de twijfel of een team scherp kan blijven tegenover een eenheid die dezelfde baas heeft. Er hoort dan ook een terugkerende toets van buitenaf bij op het terrein waar die dubbele verantwoordelijkheid ligt. De ruimte is er dus wel, maar zij komt met een permanente bewijslast.
Een auditfunctie die configuratie 2 wil verdedigen, vindt in deze Statements dus ruimere dekking dan een paar jaar geleden. Dat is een reële verschuiving en het is eerlijker om die te benoemen dan hem stilzwijgend te incasseren. Waar het IIA geen ruimte laat, is bij de besluitvorming zelf: over risicoresponsen beslist de auditfunctie niet, en zij kan er evenmin op worden afgerekend. Precies daar loopt de scheidslijn tussen configuratie 2 en configuratie 3. Zodra de functie meebeslist over wat er met een risico gebeurt, is de bundeling een verschuiving.
Een fijner raster dan vier configuraties
De grootste winst zit in de vervanging van de waaier. In plaats van drie zones staat er nu een cyclus met vijf fasen, identificeren, beoordelen, beheersen, monitoren en rapporteren, en per fase vier categorieën: assurance, advies, administratieve activiteiten van internal audit, en besluitvorming die aan het management is voorbehouden.
Die derde categorie is nieuw en lost een misverstand op dat in elk gesprek met een risicomanager terugkomt. De auditfunctie doet zelf risicowerk: zij onderhoudt het audituniversum, beoordeelt risico’s om haar engagements te prioriteren, volgt opkomende risico’s om te herprioriteren en consolideert assurance-resultaten. Dat lijkt op ERM, maar het is eigen planningswerk en geen tweedelijnstaak. Zonder dat onderscheid komt de auditfunctie in de discussie “jullie doen toch al aan risicomanagement” nooit verder.
De verboden zijn nu ook per fase geformuleerd in plaats van als algemene lijst: geen risicoresponsen bepalen of bezitten bij identificeren, niet prioriteren bij beoordelen, niet selecteren en implementeren bij beheersen, geen eigenaarschap van de managementopvolging bij monitoren, en geen eigenaarschap van de rapportage aan externe partijen. Voor wie een configuratie moet toetsen is dat aanzienlijk bruikbaarder dan een waaier: u kunt per fase nagaan waar uw organisatie staat.
Wat u concreet moet nalopen
Er zit een praktische consequentie aan die weinig aandacht krijgt. Elk internal audit charter, ERM-beleidsstuk en opleidingsprogramma dat naar de waaier van 2009 verwijst, of naar het Three Lines Model van 2020, verwijst vanaf nu naar een vervangen bron. Dat is zelden een inhoudelijk probleem, want de kern is hetzelfde gebleven, maar het is wel het eerste dat opvalt bij een externe kwaliteitstoetsing.
Twee inhoudelijke wijzigingen zijn de moeite van het doorvoeren waard. De eerste is dat compliance overal als vierde element is toegevoegd: het gaat nu consequent over governance, risicomanagement, compliance en beheersing. De tweede is subtieler en gaat de andere kant op dan u zou verwachten. Het model van 2020 sprak bewust over rollen en niet over afdelingen, juist om het silodenken van de oude verdedigingslinies te doorbreken. De versie van 2026 zet de lijnen weer als kolommen neer en bevat een paragraaf over het in stand houden van de lijnen. Dat is een halve stap terug richting het structuurdenken van 2013. Het woord verdediging komt er gelukkig nergens in voor, maar wie het model gebruikt om rollen vloeiend te houden, vindt in de nieuwe tekst iets minder steun dan in de oude.
Woningcorporaties: een bijzondere positie
Waarom deze sector een aparte blik verdient
Een ander referentiekader: de Governancecode Woningcorporaties 2025
Voor woningcorporaties geldt een ander kader: de Governancecode Woningcorporaties (Aedes/VTW). De meest recente versie is per 1 januari 2025 van kracht. De code kent vijf principes. Principe 5 gaat over risicobeheersing: “Woningcorporaties hebben te maken met grote (financiële) risico's. Het bestuur is verantwoordelijk voor goede risicobeheersing en de RvC houdt hierop toezicht.” Bepaling 5.3 verplicht het bestuur om de RvC alle relevante informatie te verschaffen voor toezicht op de risicobeheersing. Een verplichte internal auditfunctie schrijft de code niet voor. De Autoriteit woningcorporaties (Aw) houdt extern toezicht en weegt het al dan niet volgen van de Governancecode mee in haar risicobeoordeling.
De rol van de controller
Bij woningcorporaties vervult de controller vaak de rol van de tweede lijn, eventueel gecombineerd met een risicomanagementfunctie. Een eigenstandige derde lijn in de vorm van een internal auditfunctie ontbreekt vaak, zeker bij kleinere en middelgrote corporaties. De controller is daarmee in de praktijk de enige interne toetser van de beheersing. Die positie is functioneel kwetsbaar: de controller rapporteert doorgaans aan de directeur-bestuurder, niet functioneel aan de RvC of auditcommissie. Wanneer de controller ook de internal audit rol op zich neemt, worden tweede en derde lijn feitelijk in één persoon gecombineerd, zonder de expliciete waarborgen die GIAS stelt voor rolcombinaties.
Wat betekent dit voor de configuratiekeuze?
Voor woningcorporaties is configuratie 3 (de stille verschuiving) vaak de bestaande praktijk: de controller als directie-instrument, zonder formeel onafhankelijk auditorgaan. Begrijpelijk gezien de omvang en middelen van veel corporaties, maar het vraagt om bewuste compenserende maatregelen: een sterke auditcommissie binnen de RvC, actieve betrokkenheid van de externe accountant bij interne beheersingsvragen, en waar mogelijk periodieke externe kwaliteitstoetsing van de controlefunctie. Corporaties die kiezen voor configuratie 2 (controller en risicomanagement gecombineerd, met expliciete waarborgen voor de onafhankelijkheid van de toetsfunctie richting RvC) zitten in de meest verdedigbare positie.
Noten
1 CGC 2022, Principe 1.3 (letterlijk): “De interne audit functie heeft als taak de opzet en de werking van de interne risicobeheersings- en controlesystemen te beoordelen. Het bestuur is verantwoordelijk voor de interne audit functie. De raad van commissarissen houdt toezicht op de interne audit functie en heeft regelmatig contact met diegene die de functie vervult.” (CGC 2022)
2 GIAS 2024, Standard 2.3 (Disclosing Impairments to Objectivity): “If the objectivity of the chief audit executive is impaired in fact or appearance, the chief audit executive must disclose the impairment to the board.” De Considerations for Implementation bij Standard 9.4 wijzen in dezelfde geest op de noodzaak van een externe beoordeling van ERM wanneer ERM via IA rapporteert, om de objectiviteit te waarborgen (parafrase, KPMG GIAS-analyse 2024).
3 GIAS 2024, Domain I; Purpose of Internal Auditing (letterlijk): “Internal auditing strengthens the organization’s ability to create, protect, and sustain value by providing the board and management with independent, risk-based, and objective assurance, advice, insight, and foresight.” CGC 2022, bpb 1.3.6 (parafrase): als voor de interne audit functie geen aparte interne audit dienst is ingericht, de functie zelf bestaat volgens Principe 1.3 altijd, beoordeelt de raad van commissarissen jaarlijks, mede op basis van een advies van de auditcommissie, of adequate alternatieve maatregelen zijn getroffen en of er behoefte bestaat alsnog een interne audit dienst in te richten.
4 CGC 2022, bpb 1.3.3 (parafrase): de interne audit functie stelt het werkplan op na overleg met het bestuur, de auditcommissie en de externe accountant, met expliciete aandacht voor de interactie met de externe accountant, en legt dit ter goedkeuring voor, eerst aan het bestuur en vervolgens aan de raad van commissarissen. Zie ook GIAS 2024, Standard 9.4 (Internal Audit Plan), Requirements (parafrase): het auditplan moet zijn gebaseerd op een gedocumenteerde, minimaal jaarlijkse beoordeling van de strategieën, doelstellingen en risico’s van de organisatie. De niet-bindende Considerations for Implementation bij Standard 9.4 voegen daaraan toe (parafrase) dat de interne auditfunctie alleen mag steunen op risico-informatie van het management wanneer zij zelf heeft vastgesteld dat de risicomanagementprocessen van de organisatie effectief zijn.
5 The Institute of Internal Auditors, Statement of Position: Three Lines Model, Assurance and Advice in Support of Effective Governance (vervangt het position paper uit 2020) en Statement of Position: The Role of the Internal Audit Function in Enterprise Risk Management (vervangt het position paper uit 2009), beide uitgegeven 8 juli 2026, en beide bewust buiten het IPPF omdat zij voor een bestuurlijk publiek zijn geschreven. Het IIA merkt de voorgangers op zijn eigen site aan als vervangen: het position paper over het Three Lines Model dateert van 8 september 2020, het paper The Role of Internal Auditing in Enterprise-wide Risk Management van 15 januari 2009.