De GIAS: en nu?

Op dinsdag 9 januari 2024 werden de nieuwe standaarden, de Global Internal Audit Standards (GIAS) voor ons beroep bekendgemaakt. Deze zijn per 9 januari 2025 operationeel.

Er is ruim drie jaar gewerkt aan de nieuwe standaarden. En dat was absoluut geen overbodige luxe: de bestaande regelgeving was een lappendeken geworden met verschillende documenten. In 2023 vond er een uitgebreide consultatieronde plaats.  Er is een drietal lijvige documenten gepubliceerd: de nieuwe GIAS, een samenvatting van de GIAS en een document dat toelichting geeft op hoe is omgegaan met de feedback uit de IIA-gemeenschappen. Het document met toelichting kan ik van harte aanbevelen. Het is prijzenswaardig dat het IIA heel transparant is over hoe men is omgegaan met de zeer uitgebreide terugkoppeling uit de IIA-gemeenschappen. Op alle onderwerpen geeft het IIA gefundeerd aan welke keuzen zijn gemaakt. Soms is dit het volledig opvolgen van het signaal. Andere onderwerpen zijn gedeeltelijk aangepast. Het is een sterk document dat behulpzaam is bij het begrijpen van de definitieve standaarden.

Het is nu tijd dat de Nederlandse auditdiensten gaan bepalen wanneer ze willen voldoen aan de GIAS. Een paar prestigieuze Nederlandse auditdiensten die in 2024 getoetst moeten worden, hebben al aangegeven dit graag te laten doen op basis van de nieuwe GIAS. Uit een eerste inventarisatie blijkt dat dit niet realistisch is. Op zijn vroegst zal IIA Global in april 2024 een nieuw handboek uitbrengen voor externe kwaliteitstoetsingen. Daarna zal IIA Nederland de cursus inrichten voor de kwaliteitstoetsers en moeten hiervoor nieuwe tools-formats worden ontwikkeld. Denk aan het ‘document oordeelsvorming’ dat toetsers in de praktijk al vele jaren gebruiken om de bevindingen op te rollen naar een eindoordeel. Er zal hard moeten worden gewerkt om dit allemaal voor elkaar te hebben voor 9 januari 2025.

Wat in de tweede helft van 2024 wel kan is een gapanalyse uitvoeren. Heb je bijvoorbeeld in 2023 een externe toetsing laten uitvoeren, dan kun je stellen dat je formeel pas in 2028 hoeft te voldoen aan de GIAS, omdat je dan een externe toetsing laat doen. Zelf vind ik dat je vanaf 2025 de jaarlijkse self assessment hoort uit te voeren aan de hand van de GIAS; en je best moet doen om in 2026 te voldoen aan de nieuwe standaarden. Mocht je in 2025 op de rol staan voor een externe toetsing dan is mijn tip: start vooral op tijd. Het is niet waarschijnlijk dat je momenteel als auditfunctie al volledig aan de GIAS voldoet. Inventariseer de verschillen, kijk wat je wel doet en wat niet. Motiveer vooral waarom je gaat afwijken op bepaalde punten en maak een implementatieplan voor de elementen die je gaat aanpassen. Er is nog veel werk te doen het komend jaar.