“Het gaat om de allerbeste zorg: nu en in de toekomst”

UMC Utrecht heeft sinds 2017 een interne auditfunctie (IAF). Mirjam Velthuizen-Lomans is lid van de raad van bestuur met als aandachtsgebied bedrijfsvoering. Ze vertelt over haar eerste ervaringen met de IAF.

Kunt u iets over uzelf vertellen?

“Sinds vijf jaar ben ik lid van de raad van bestuur van het UMC Utrecht. Ik beheer daarbinnen de portefeuille bedrijfsvoering. Voor het UMC Utrecht betreft dit de onderwerpen: financiën, informatietechnologie, vastgoed & huisvesting en duurzaamheid. Wanneer ik invulling geef aan mijn werkzaamheden staat de vraag centraal hoe ik het best toegevoegde waarde kan leveren aan de medewerkers en patiënten. Zo begin ik elke week met mijzelf de vraag te stellen wat ik de komende week ga toevoegen voor de mensen die ons nodig hebben. Het gaat om de allerbeste zorg: nu en in de toekomst. Dus om continu vernieuwen.”

“Ik ben van mening dat de bedrijfsvoering minstens net zo innovatief moet zijn als de medische zorg. Denk bijvoorbeeld aan het steeds meer thuis organiseren van de zorg met behulp van ICT, zodat een ziekenhuisbezoek niet meer of minder nodig is. Dit vergt vergaande vernieuwingen op ICT-gebied. En als je dat organiseert, moet je ook weer kijken naar de gevolgen hiervan voor je gebouw: de patiënten die nog komen, vragen ook dan een specifiek type zorg. Zo hebben we bijvoorbeeld een pilot, genaamd ‘save@home’, bij kritische zwangerschappen.”

“Met behulp van e-health en thuismonitoring hoeven patiënten veel minder vaak naar het ziekenhuis. Zij voelen zich beter begeleid, minder belast en we denken dat het op termijn goedkoper is. Bedrijfsvoering raakt in die zin het hart van het primaire proces, namelijk de zorg, het onderzoek en het onderwijs. Ik vind dan ook dat bij elk type bedrijfsvoering de medewerkers zich af moeten vragen wat zij toe kunnen voegen aan betere zorg. Dat geldt ook voor de interne auditor.”

Wat waren de motieven om een IAF in te richten bij UMC Utrecht?

“Aan het inrichten van een eigen IAF lagen zowel externe als interne motieven ten grondslag. De interne motieven hebben alles te maken met zelf vast willen stellen in hoeverre wij in control zijn. Wij als UMC hebben te maken met veelheid aan extern toezicht. Vaak met een wettelijke basis. Diverse externe toezichthouders beoordelen de kwaliteit van onze zorg en de bedrijfsvoering. Het gevolg is legio inspecties en certificeringen, denk bij de bedrijfsvoering bijvoorbeeld aan brandveiligheid en voedselveiligheid. Als raad van bestuur vonden we het daarbij belangrijk dat we niet alleen door externe onderzoeken een beeld krijgen van de kwaliteit, maar dat wij als bestuur zelf ook een feedbackmechanisme hebben. Daarbij willen wij internal audit inzetten als verbeterinstrument. Het beter worden staat centraal: het gaat niet zozeer om een bepaalde hoeveelheid rapporten op te leveren (lees: productie draaien) maar juist om wat het in en rondom de zorg kan worden verbeterd. De IAF moet echt iets bijdragen.”

Wat zijn de interne motieven?

“We kunnen nooit 100% in control zijn. Dit is ook geen doel op zich, het is juist om je steeds af te vragen wat je nog beter kunt doen om beter in control te geraken. Die vraag stelden we ons als bestuur ook. Daarbij hebben we gekeken wat we van het bedrijfsleven konden leren en zo kwam het oprichten van een IAF in beeld.”

“De volgende vragen staan centraal: waar heb je al goed zicht op en waar heb je nu buikpijn van?”

“Daarbij sluiten de motieven om een IAF in te richten ook aan op het genoemde principe dat iedereen in de organisatie blijvend moet nadenken hoe ze hun toegevoegde waarde kunnen vergroten. Ik vind het belangrijk dat we ons continu afvragen hoe we kunnen verbeteren op de gebieden zorg, onderzoek en onderwijs. Voor vandaag en voor de toekomst. Dit was misschien wel de belangrijkste reden om een IAF op te richten. Interne audit moet je helpen om de blinde vlekken binnen de organisatie aan te stippen en je zo er op te wijzen waar je kunt verbeteren. Eigenlijk vind ik audit een instrument om je als organisatie continu te verbeteren.”

Wat zijn de externe motieven?

“De externe motieven om een IAF in te richten hebben te maken met de ontwikkeling dat de maatschappij geen fouten meer accepteert en altijd een schuldige aan wil wijzen. Het is dan belangrijk om je te realiseren dat als er iets fout gaat, je bestuurlijk verantwoordelijk bent, maar dat je tegelijkertijd niet alles kunt weten. Waar mensen werken worden fouten gemaakt en van die fouten moet je kunnen leren. Als je wilt dat je organisatie leert, dan moet je beginnen met te accepteren dat fouten gemaakt worden. Alleen dan kun je bevorderen dat er van fouten wordt geleerd. Als je fouten afstraft, gaan mensen fouten verdoezelen en wordt leren onmogelijk.”

Hoe is de IAF organisatorisch gepositioneerd?

“De IAF valt direct onder de raad van bestuur en heeft een lijn naar het audit comittee. Het hoofd Audit neemt deel aan vergaderingen van het audit committee en heeft ook altijd toegang daartoe indien nodig. Binnen het bestuur ben ik het eerste aanspreekpunt voor de IAF. Zo wordt bijvoorbeeld het auditjaarplan eerst met mij afgestemd. We zetten audit breed in op de gebieden zorg, onderzoek, onderwijs en bedrijfsvoering. De uitkomsten van de audits worden altijd afgestemd met de betreffende portefeuillehouder binnen de raad van bestuur.”

“Met de invoering van de IAF zijn we ook gestart met het three-lines-of-defensemodel. De IAF vormt de derde lijn. De tweede lijn is verantwoordelijk voor het maken van het overkoepelende beleid en het monitoren en ondersteunen van de eerste lijn. De tweede lijn bestaat uit afdelingen zoals recruitment, planning & control, finance, ICT, en het onderzoeksbureau. Bij de tweede lijn staat de kwaliteit en veiligheid centraal. We hebben in de tweede lijn geen afzonderlijke afdeling Risicomanagement.”

“Om de IAF op te zetten hebben we een kwartiermaker gezocht die enerzijds wist wat interne audit inhoudt, en anderzijds ook in staat was de verbinding te maken met de lijnafdelingen om zo specifiek op zoek te gaan naar de toegevoegde waarde die interne audit ons zou kunnen bieden.”

Hoe komt het auditjaarplan (van de IAF) tot stand?

“Aan de basis van het auditjaarplan ligt het audit universe. Het audit universe bestaat bij ons uit een matrix waarin alle processen van de organisatie zijn genoemd. We verrichten ten aanzien van deze processen een risicoanalyse, via gesprekken met de directies en het divisiemanagement. Daarbij staan de volgende vragen centraal: waar heb je al goed zicht op en waar heb je nu buikpijn van? Uit die gesprekken kwam een lijst met onderwerpen die we konden opnemen in het auditjaarplan. Deze is vervolgens voorgelegd aan de raad van bestuur en het audit comittee. Bij de start is besloten om de scope niet te groot te maken, om het instrument internal audit te kunnen leren gebruiken binnen de organisatie. Dat is enigszins strijdig met de wens van de auditor, die graag gelijk volledig wil zijn.”

Welke typen audits staan op de planning?

“Het type audits dat wordt verricht is sterk wisselend en afhankelijk van de uitkomsten van de risicoanalyse. We hebben daarbij de audits niet ingedeeld naar de meer traditionele bloedgroepen: financial, IT en operational. We verrichten audits naar medicatieveiligheid, informatiebeveiliging, trials bij onderzoek (onderzoek samen met de industrie), energie en water en tijdschrijven. Zeer uiteenlopende onderwerpen. Dit maakt het noodzakelijk dat onze auditors ook breed inzetbaar zijn. Daar zitten natuurlijk ook grenzen aan. Per audit wordt dan ook gekeken of we expertise moeten aantrekken, uit de tweede lijn of via externe inhuur. Wat wel als belangrijke basis voor onze auditors geldt is kennis van auditmethodologie en kennis van de organisatie. Je moet de belangen van het bedrijf goed kennen en het auditobject goed snappen. Het UMC is een brede en complexe organisatie, dit is dan ook een blijvende uitdaging.”

“Ik vind het relevant dat de auditor zich altijd goed uitspreekt zonder het spreekwoordelijke opgeheven vingertje”

Hoe zijn de eerste auditrapporten ontvangen?

“Hoewel het even wennen was voor de organisatie zijn de eerste auditrapporten goed ontvangen. Het ‘wennen’ zit enerzijds erin dat het nieuw is voor de medewerkers dat ze nu beoordeeld worden door collega’s, en anderzijds dat de rollen (en bijkomende taken en verantwoordelijkheden) niet altijd even duidelijk zijn. De organisatie is ook nieuwsgierig naar deze nieuwe functie, dus dat is positief. Ik denk dat we het instrument interne audit puur als faciliterend voor organizational learning hebben ingezet, daaraan heeft bijgedragen. In de gevallen dat er wel sprake was van frictie, had dit te maken met onbekendheid van de auditors met de processen binnen de organisatie. De auditee is dan van mening dat de auditor te weinig kennis heeft van het auditobject. Kritiek die we op dit punt hebben gehad was bij de opstart ook niet altijd onterecht.”

“Wat ik ook belangrijk vind bij het opstellen van auditrapporten is de ‘tone of voice’. Ik vind het relevant dat de auditor zich altijd goed uitspreekt zonder het spreekwoordelijke opgeheven vingertje. Voorheen kenden wij geen interne audit en elkaar aanspreken is dan in het begin nog best moeilijk. We zijn allemaal professionals en weten wat goed gaat en wat voor verbetering vatbaar is. Je ziet in de eerste rapporten dat daar nog naar gezocht wordt (niet te scherp), maar ik ben wel tevreden. Het gaat eigenlijk best wel goed.”

“Rapporten worden altijd aangeboden aan de betreffende portefeuillehouder binnen de raad van bestuur. Deze geeft het rapport vervolgens aan de tweede lijn om een managementreactie op te stellen. Daarna gaan het rapport en de managementreactie samen naar de raad van bestuur en het audit comittee. Daarbij hebben wij ervoor gekozen de managementreactie niet op te nemen in het rapport. Hiermee willen wij voorkomen dat de conclusies uit een audit ‘een compromis’ worden. Wij willen, zeker in deze beginfase, dat eventuele tegenstellingen tussen wat de auditor vindt en wat de verantwoordelijke lijnmanager vindt, duidelijk naar voren komen. De auditor moet ook kunnen zeggen wat hij ziet. Iedereen moet echt zijn eigen rol kunnen vervullen.”

Zijn de verwachtingen ten aanzien van de IAF uitgekomen?

“Jazeker! Ik denk dat een IAF het UMC echt helpt en dat het ook zo binnen de organisatie beleefd wordt. Daarbij heeft het invoeren van het three-lines-of-defensemodel ook bijgedragen aan het verder verduidelijken van rollen en verantwoordelijkheden binnen de organisatie. Een van de grote reserves bij de invoering van de IAF was dat we een extra administratieve last zouden creëren. Binnen de zorg is de administratieve last al enorm. Als de IAF als extra administratieve last wordt beleefd doen we het niet goed, het moet een instrument zijn om de professional te helpen.

“Overigens moeten we er scherp op blijven dat externe instanties producten van de IAF niet op een verkeerde manier gaan gebruiken. Omdat we interne audit als lerend instrument inzetten en niet als verantwoordingsinstrument, hoeven niet standaard alle aanbevelingen te worden opgevolgd door de auditee. De auditee kan, gezien zijn verantwoordelijkheden en professionaliteit, zelf ook goed een afweging maken welke aanbevelingen wel en welke (nog) niet worden overgenomen. Als een externe toezichthouder vervolgens de aanbevelingen als een set ‘must-do’ behandelt, dan werkt dit contraproductief. Het moet een leerinstrument zijn waarbij het niet direct noodzakelijk is dat alle aanbevelingen gelijk worden opgepakt. Dan kan het namelijk een zwakte worden.”

Wat is de stip op de horizon voor de IAF van het UMC in 2025?

“De grootste uitdaging voor interne audit is telkens de juiste keuzen maken. Zowel qua te verrichten audits als ten aanzien van de omvang en aard van de aanbevelingen die je doet. Het is daarbij belangrijk dat de kern eruit wordt gelicht. Dit geldt ook voor de uitvoering en opvolging.”

“Een ander belangrijk punt is het vertrouwen, enerzijds specifiek ten aanzien van de IAF en anderzijds breed binnen de hele organisatie. Vertrouwen is cruciaal in het werk dat we met zijn allen doen. Iedereen komt elke dag naar het UMC om zijn werk goed te doen. Dat is de grondhouding, maar waar mensen werken worden fouten gemaakt. Hoe houd je dan dat vertrouwen vast? De IAF moet bijdragen aan dat vertrouwen, anders heeft een IAF geen toegevoegde waarde voor organisatie. Alles driedubbel checken kan simpelweg niet en je moet erop kunnen vertrouwen dat medewerkers hun verantwoordelijkheid nemen. Dat kun je niet met afvinklijstjes bewerkstellingen.”

“We werken aan een cultuur waarin het vanzelfsprekend is dat je vertelt wat je doet, en waarom je het doet. En dat het niet als controle wordt gezien wanneer iemand vraagt hoe je het werk doet”

Waar moet interne audit aan bijdragen volgens u?

“Ik denk dat het heel belangrijk is dat interne audit bijdraagt aan de groei van het vertrouwen dat medewerkers in elkaar hebben. Dit kan door op relevante processen ‘in te prikken’, het gesprek aan te gaan en inzicht te bieden in blinde vlekken die in loop der tijd ontstaan. Dat helpt het vertrouwen te laten groeien. Waar wij aan bouwen is een cultuur waar mensen vertrouwen krijgen en het normaal vinden dat ze verantwoordelijkheid nemen. Het nemen van verantwoordelijkheid hangt sterk samen met vertrouwen: je krijgt vertrouwen op het moment dat je verantwoordelijkheid neemt. We werken aan een cultuur waarin het vanzelfsprekend is dat je vertelt wat je doet, en waarom je het doet. En dat het niet als controle wordt gezien wanneer iemand vraagt hoe je het werk doet, maar juist als iets dat bijdraagt aan het verbeteren van het werk en aan veilig samenwerken. Daar moeten we naartoe en onze IAF draagt daar aan bij!”