Hoe goed ken jij je collega’s echt?

RA, RE, RO, CISA, CIA. Voor buitenstaanders is het een alfabetsoep, voor auditors dagelijkse kost. Zet deze titels bij elkaar aan tafel en je merkt al snel dat ieder een eigen taal spreekt. We doen in de kern vergelijkbaar werk: risico’s doorgronden en de organisatie helpen beter te functioneren. Toch blijkt die gedeelde basis minder vanzelfsprekend dan je zou verwachten.

Als auditor heb ik met IT-auditors, financial auditors en operational auditors gewerkt. Je trekt samen op, stemt planningen af en wisselt bevindingen uit. Toch bekruipt me soms het gevoel dat we vooral naast elkaar werken in plaats van met elkaar. We weten dat de ander er is. Maar weten we ook echt wat die collega doet, hoe hij of zij denkt en waarom bepaalde keuzen vanuit die discipline logisch zijn?

Het is eigenlijk best vreemd. De samenhang tussen IT-audit, financial audit en operational audit is groot en wordt alleen maar groter. Processen zijn digitaal, financiële stromen zijn geautomatiseerd en beheersmaatregelen bestaan vaak uit een combinatie van IT-controls en organisatorische afspraken. Toch blijven we geneigd om vooral door onze eigen bril te kijken. De IT-auditor ziet autorisaties, wijzigingen en application controls. De financial auditor kijkt naar financiële stromen, schattingen en materialiteit. De operational auditor richt zich op processen, gedrag en effectiviteit. Allemaal terecht, maar zelden voldoende op zichzelf.

Juist daarom is het zo waardevol om elkaars denkwijze beter te begrijpen. Voor mij als IT-auditor betekent dat bijvoorbeeld leren denken als een financial auditor. Dus niet stoppen bij de constatering dat er een bevinding is, maar doorvragen: wat betekent dit voor de jaarrekening, is het relevant voor de tekenende accountant? Wanneer wordt een technische bevinding financieel relevant? En net zo belangrijk: wanneer is een IT-bevinding eigenlijk niet van belang voor de financial auditor?

Andersom geldt hetzelfde. Als een financial auditor beter begrijpt hoe afhankelijk financiële processen zijn van IT-systemen, ontstaat er meer begrip voor de impact van zwakke autorisaties of een rommelig wijzigingsproces. En als een operational auditor zicht heeft op zowel IT- als financiële afhankelijkheden, wordt het gesprek over procesverbetering meteen concreter en inhoudelijk sterker.

Die kruisbestuiving vraagt wel iets van auditors. Nieuwsgierigheid. De bereidheid om vragen te stellen die misschien simpel klinken, maar dat niet zijn. En de tijd nemen om eens echt mee te kijken met een collega uit een andere auditdiscipline. Hoe bouw jij je oordeel op? Waar let jij als eerste op? Wanneer ga jij twijfelen? Dat zijn geen details, dat is de kern van ons vak.

De verbinding tussen auditors ontstaat niet alleen in gezamenlijke rapporten of overleggen, maar vooral in het begrijpen van elkaars perspectief. Pas als we weten hoe onze collega’s kijken, kunnen we onze bevindingen scherper maken en beter vertalen. Dan wordt IT-audit geen los technisch verhaal, financial audit geen papieren exercitie en operational audit geen abstract procesplaatje, maar één samenhangend beeld van risico’s en beheersing.

Misschien is dat uiteindelijk de belangrijkste vraag. Niet welke titel er achter je naam staat, maar: hoe goed ken jij je collega’s echt?

Waarover verwonder jij je Thomas Pater? We lezen het graag in de volgende estafettecolumn vanuit YP’s.