Actief en met compassie luisteren

Impact. Het is een woord dat vaak valt in gesprekken over internal audit, maar wat betekent het in de praktijk? Hoe zorg je ervoor dat een auditafdeling niet alleen controleert, maar daadwerkelijk bijdraagt aan de koers van de organisatie? Voor dit vierluik delen Maya de Waal en Robert Langbroek, Judith Collier, Jean-Jacques Bistervels en Arwen Zadelaar  hun visie op impact.

“Het is cruciaal te luisteren naar medewerkers die de controles dagelijks uitvoeren, en cultuurindicatoren mee te nemen in de beoordeling en het begrijpen van de context.” Aldus Judith Collier-Westerhof, deputy chief audit executive bij Deloitte.

Welke rol speelt internal audit in de strategie van de organisatie?

“De strategie van Deloitte is impact maken die ertoe doet. Dit gebeurt door het adviseren van organisaties om hun weerbaarheid te vergroten en door te ondersteunen bij grote veranderingen zoals het in gebruik nemen van AI. De interne auditfunctie (IAF) speelt een adviserende en toetsende rol binnen de organisatie. Wij leveren onafhankelijke, objectieve assurance op de kernprocessen die goed moeten lopen om deze strategie te realiseren. Dit betekent dat wij risk based audits uitvoeren op processen en besturingselementen die dit mogelijk maken, zodat deze goed ingericht zijn, efficiënt functioneren en naar behoren werken. Zoals risicomanagement, financiële onderwerpen, kernprocessen en continuïteit van data en operations. Daarmee ondersteunt de IAF het bestuur bij het realiseren van strategische doelstellingen en de auditcommissie bij haar toezichthoudende taak.”

Heb je een voorbeeld waar internal audit aantoonbaar het verschil maakte?

“Het verschil is aantoonbaar wanneer aanbevelingen door het management worden erkend en daadwerkelijk worden opgevolgd. We hebben geconstateerd dat veranderingen sneller en proactiever worden doorgevoerd, wanneer er duidelijke acties met eigenaren zijn besproken en heldere termijnen voor implementatie zijn vastgelegd. Dit leidt tot verbeterde beheersing en meetbare resultaten, zoals bijvoorbeeld acties op bestuursniveau en richting werknemers door middel van publicaties op intranet. De echte impact zit dus niet in het rapport alleen, maar in de uitvoering van de verbetermaatregelen en de daarmee samenhangende reductie van risico’s.”

Wanneer is een auditafdeling volgens jou écht impactvol?

“Wanneer zij door het bestuur en de organisatie wordt gezien als een betrouwbare, onafhankelijke partner en men ook informeel en buiten het plan om naar haar inzichten vraagt. Wij worden actief gevraagd om advies te geven op thema’s die er voor de board echt toe doen. Dit betekent zowel het leveren van gedegen assurance als het bieden van overstijgende inzichten door het verbinden van thema’s en procesoverstijgende verbanden te leggen. Op die manier kan een internal auditfunctie met inachtneming van de onafhankelijkheid, een bredere rol vervullen die de organisatie ondersteunt bij het verbeteren van de bedrijfsvoering.”

Wat moet een auditafdeling nadrukkelijk niet doen?

“Als interne auditfunctie mag je geen managementtaken overnemen of beleidsbeslissingen uitvoeren. Dat ondermijnt de onafhankelijkheid. Evenmin hoort de interne auditfunctie de rol van de tweede lijn over te nemen. Wel kunnen wij op een verantwoorde manier advies geven (advisoryopdrachten) over gebieden waar nog geen raamwerk bestaat of tijdens grote projecten tussentijds inzichten delen. Op die manier blijf je relevant, zonder daarbij de onafhankelijkheid of objectiviteit te compromitteren. Tot slot mag de auditfunctie cultuuraspecten niet negeren. De organisatiecultuur beïnvloedt in sterke mate de werking van operationele controls. Naast het beoordelen van formele controles is het daarom cruciaal te luisteren naar medewerkers die de controles dagelijks uitvoeren en cultuurindicatoren mee te nemen in de beoordeling en het begrijpen van de context.”

Welk advies geef je andere auditafdelingen om hun impact te vergroten?

“Investeer in relaties: leer je stakeholders goed kennen, begrijp hun doelstellingen (zowel strategisch als persoonlijk) en hoe zij succes meten. Doe dit door formele en informele contactmomenten, waarbij je actief en met compassie luistert naar hun verhaal. Gebruik die inzichten bij de auditplanning en wees praktisch en flexibel waar nodig, binnen de grenzen van de onafhankelijkheid. Zo bouw je vertrouwen op, komen lastige boodschappen beter aan, neemt de acceptatie van bevindingen toe, en bevordert het de proactieve implementatie van aanbevelingen.”