De ontwikkeling van de IAF in Amsterdam: van uitdaging naar succes

Een incident dat het gebrek aan interne beheersing blootlegde: dat zorgde in 2018 voor de oprichting van een internal auditfunctie (IAF) in Amsterdam. Het resultaat? Een stevige interne auditafdeling om de organisatie te verbeteren. Koos van Diepen, voormalig afdelingsmanager van Interne Audit, deelt zijn inzichten en ervaringen over deze uitdagende reis.

Een incident en de oprichting van de IAF. Hoe ging dat?

“Vaak is de oprichting van iets nieuws het gevolg van een crisis of iets wat helemaal is misgegaan. In Amsterdam was dat een onterechte uitbetaling van € 180 miljoen in 2018. Dat leidde tot veel vragen: hoe kon dit gebeuren? Wat ontbrak er in de interne beheersing? Het werd duidelijk dat een gemeentebrede interne auditafdeling noodzakelijk was. En ik stapte in de rol van afdelingsmanager. Ik had veel ervaring in het verleden met audit, compliance, risicobeheersing en governance. Het is belangrijk om iets van jezelf te kunnen meenemen waardoor je een verschil kunt maken.”

Hoe was dat in het begin?

“Er was een projectplan, maar verder was er nog weinig, in ieder geval geen afdeling. Collega’s stapten vanuit verschillende plekken in de organisatie over naar de nieuwe afdeling. Ik heb heel veel door de stad gefietst om ze te ontmoeten. Je kunt je afvragen of al deze collega’s enig gevoel hadden waar we naartoe wilden. Maar tegelijkertijd trof ik veel enthousiasme aan, ze waren nieuwsgierig naar de nieuwe afdeling, hun eigen afdeling. Voor mij was de belangrijkste vraag: hoe breng ik dit allemaal bij elkaar?”

Wat was de focus?

“We werkten met een duidelijke focus aan drie richtingen. Ten eerste was het belangrijk om een kader te scheppen voor vragen als: wat is interne beheersing? En: wat verstaan we daar precies onder, en wanneer is het goed? Ten tweede moesten we auditors aantrekken. En ten derde lag de focus op het bouwen van een afdeling die de interne beheersing moest gaan toetsen.”

“In het begin is er nog niet zoveel concreets. Dan is de vraag: hoe krijg je het vliegwiel draaiend?”

Start je dan met een plan?

“In het projectplan werd vooral ingegaan op wat de afdeling zou moeten doen, de bemensing en dat er geld beschikbaar was. Maar hoe we ons werk zouden inrichten, dat was er nog niet. Zo hadden we bijvoorbeeld geen auditjaarplan en was er geen structuur voor rapportages en verantwoording. Dus begonnen we met kleinschalige onderzoeksvragen, gingen we bedrijfsprocessen inventariseren en de auditors trainen. De concerncontroller en het gemeentelijk managementteam hebben ons altijd ondersteund in de stappen die we gingen zetten. Dat is enorm belangrijk in de bouwfase. Je hebt de opdracht om iets neer te zetten en daar ga je aan werken. Maar in het begin is er nog niet zoveel concreets. Dan is de vraag: hoe krijg je het vliegwiel draaiend? Het kost tijd voordat je echt iets kunt neerzetten. Daar is vertrouwen voor nodig. Stapje voor stapje zijn we op reis gegaan. Ik wil benadrukken dat we dit echt met elkaar hebben gedaan.”

Hoe hebben jullie de organisatie meegenomen?

“Ik vond het belangrijk om de organisatie te informeren over de nieuwe afdeling. We hebben een bericht op intranet geplaatst, een flyer gemaakt en zelfs een filmpje in elkaar gezet. Hiermee wilden we de organisatie uitleggen wie interne audit is en wat die doet.”

En de afdeling zelf?

“Intern waren we vooral praktisch bezig. We moesten een governance opzetten, een goede personeelsbezetting regelen, een teamleider, IT-auditors en gedragswetenschappers aanstellen. We ontwikkelden een structuur voor onze rapportages. En zijn mensen op schrijfcursus gegaan om zo iedereen mee te krijgen in het stramien. Er kwam een auditjaarprogramma, een workflow managementsysteem, et cetera. We hebben vooral geïnvesteerd in onze mensen, zodat we gezamenlijk stappen konden zetten. Altijd in de wetenschap dat we wisten waar we naartoe wilden.”

Dat doel is belangrijk?

“Ja, dat doel is erg belangrijk. We zochten woorden die resoneren om onze stip op de horizon over te brengen. Dan moet je denken aan woorden als ‘vertrouwen, professionaliseren, impact, verbinding’. Dat gaat allemaal stap voor stap, en op een gegeven moment gaat het harder. Vervolgens werkten we als team aan het verbeteren van onze kwaliteit van dienstverlening om te voldoen aan de IIA-beroepsregels. We hebben een zeer intensief proces met elkaar doorlopen om uiteindelijk de certificering te mogen ontvangen. Daar waren en zijn we supertrots op.”

Waarom wordt IIA-certificering belangrijk gevonden?

“Dit biedt steun in discussies over methodologie en onderstreept dat onze werkwijze betrouwbaar is. Dit helpt enorm. Een IIA-certificering richt zich op de kwaliteit waaraan iedereen op de afdeling moet voldoen. De beroepsgroep zegt hiermee: jullie voldoen. Daarmee hebben we iets achter ons staan. Maar tegelijkertijd geldt: je bent er niet alleen met kwaliteit. Want uiteindelijk gaat het erom dat directies hun interne beheersing goed op orde hebben. Dat ze efficiënt kunnen werken, proactief zijn en sneller en goedkoper hun doelen weten te realiseren. Onze audits zijn voor hen een hulpmiddel. Effectiviteit = kwaliteit x acceptatie zeg ik altijd tegen mijn collega`s.”

Had het ook effect op hoe je buiten de afdeling gezien wordt?

“Nee niet direct. Maar wel indirect, omdat het zich vertaalt in de kwaliteit van onze producten. In hoe ons jaarplan is opgebouwd en de inhoud van onze rapportages. Daarom vond ik het zo belangrijk om de lat hoog te leggen: op die manier leveren we kwalitatief hoogwaardige ondersteuning aan de organisatie. En dat wordt bevestigd door de feedbackformulieren die we van de directies ontvangen na afronding van audits. Nog niet alle directies zijn zich bewust van onze toegevoegde waarde. Maar er zijn ook directies die ons aanraden aan anderen. En dat is een groot compliment.”

Wat hebben jullie bereikt?

“Wat ik zie als onze grootste meerwaarde voor de gemeente is dat er veel meer wordt gesproken over de kwaliteitsverbetering van de interne beheersing. Compliance, procesbeheersing en governance krijgen veel meer aandacht. We kunnen inmiddels voor vele processen aantonen dat de beheersing op orde is. En voor sommige dat er werk aan de winkel is. De organisatie is meer en meer in control.”

“Het stellen van kritische vragen werd soms als confronterend ervaren. Maar het gaat erom dat je ook weer bij elkaar komt en dat is gelukt”

Had je te maken met weerstand?

“Audit is een vak van de lange adem. We hebben te maken met auditvragen die zeven keer heen en weer gaan. Soms denk je dat alles afgestemd is, maar worden zaken toch opnieuw ter discussie gesteld. Zelfs wanneer een conceptrapport al bij gemeentelijk management ligt. Dan moet je als auditafdeling sterk in je schoenen staan. Je moet die discussie echt aan willen gaan. Het belangrijkste is dat alles wat je als auditor schrijft en doet voor 100% onderbouwd en bewezen kan worden. En dat kunnen we.”

Wat waren lastige audits?

“De audit naar de rechtmatigheidsverantwoording van financiële uitgaven 2023 leidde tot gevoelige discussies. Het stellen van kritische vragen werd soms als confronterend ervaren. Maar het gaat erom dat je ook weer bij elkaar komt en dat is gelukt.”

Ziet de IAF zich als waakhond of als partner van de gemeentelijke organisatie?

“Dat is wel een gewetensvraag. Want eigenlijk heb je allebei een beetje in je. Als waakhond houd je scherp toezicht, laat je niets door. Je ‘blaft’ en ‘bijt’ waar nodig. Zo zie ik ons niet. Maar als auditor houden we wel onze oren en ogen goed open. Dat betekent dat we oog houden voor wat er binnen de organisatie gebeurt en wat er op ons afkomt. De ontwikkelingen die er spelen, wat zien we bij afdeling X en of dit ook bij afdeling Y zou kunnen spelen. Het is een kwestie van voelsprieten hebben voor potentiële bedreigingen. Deze houding moeten we als afdeling en organisatie gezamenlijk blijven ontwikkelen. De praktijk is vaak dat je dit maar een keer per jaar doet, waarna het afgedaan lijkt te zijn. Maar eigenlijk moet dit een continu proces zijn. Dat vraagt iets van internal auditors. Het bredere perspectief zien en signaleren. Dat je nadenkt over morgen en over manieren om te verbeteren.”

Wat is jullie grootste toegevoegde waarde?

“Onze grootste toegevoegde waarde ligt mijn inziens in onze adviserende rol. Directies moeten zich bewust worden van de fouten die gemaakt worden in hun bedrijfsprocessen en van zaken die mis kunnen gaan. Je wil uiteindelijk voorkomen dat deze fouten zich herhalen. Op dat vlak hebben we als afdeling mooie stappen gezet. In het begin hadden we een standaard werkwijze: we beschreven onze bevindingen in een rapport en gaven er aanbevelingen bij. Daar zijn we op een gegeven moment van afgestapt. We zijn met onze bevindingen naar de directies gegaan om het gesprek aan te gaan. Op deze manier creëren we impact. Door echt het gesprek aan te gaan vergroot je bewustwording en werk je samen aan oplossingen. Een rapport alleen kan al snel de indruk wekken dat je op afstand de ‘betweter’ speelt, terwijl je door het gesprek juist als partner wordt gezien.”

Kun je een voorbeeld geven van een audit waar jullie echt die partnerrol hadden?

“Zeker, er zijn verschillende voorbeelden. Een daarvan is de audit rond gemeentelijke begraafplaatsen. De gemeente is wettelijk verplicht om bij het overlijden van een inwoner zonder nabestaanden niet alleen voor de begrafenis te zorgen, maar ook als bewindvoerder op te treden voor de bezittingen van de overledene. Uiteraard is het superbelangrijk dat dit nooit alleen uitgevoerd mag worden. Maar in de praktijk kwam dit voor. We zijn om de tafel gegaan met de medewerkers die hierbij betrokken zijn. Zij waren zich ervan bewust dat dit het niet goed was. Samen kijk je dan naar oplossingen om het te verbeteren. Een ander voorbeeld is een audit over de toegangsbeveiliging van een pand, waar een harde schijf was ontvreemd. De afdeling had zelf veel gedaan om dit in de toekomst te voorkomen. Toch bracht interne audit nieuwe bevindingen aan het licht. En daarmee was de afdeling weer een stap verder geholpen.”

Wat maakt je trots?

“Hoe de organisatie ons inmiddels ziet is heel positief. Vakinhoudelijk hebben we veel bereikt door onszelf te laten certificeren. In korte tijd zijn we een toonaangevende afdeling geworden. In gemeenteland zijn we een van de weinige gecertificeerde afdelingen. We vinden het daarom belangrijk om ons werk en onze kennis uit te dragen. We werken toe naar een platform waar we auditkennis vanuit verschillende gemeenten kunnen uitwisselen. Wat we nu al doen is jaarlijks een dag organiseren voor alle interne auditors van alle gemeenten. Ik geloof erg in een audit community waarin je elkaar helpt, versterkt en inspireert. En zeker ook goed om te zien is hoe het team gegroeid is in het vak. De afdeling telt inmiddels 28 medewerkers, allemaal professionals. Daar ben ik misschien nog wel het meest trots op.”

Wat waren de grootste uitdagingen?   

“De grootste uitdaging was in het begin de vraag of het opzetten van een geheel nieuwe afdeling zou werken. Daarvan denk ik dat we geslaagd zijn. We hebben forse stappen gezet. Een tweede uitdaging was of ik een hecht team kon creëren. Ook daarin zijn we ver gekomen. We bouwden een team op dat altijd in verbinding is met elkaar, zelfs in moeilijke tijden zoals tijdens de coronapandemie. Die uitdaging hebben we ook succesvol overwonnen. Tegelijkertijd blijft er altijd ruimte voor verbetering. Wat ik nog wel moeilijk vind is de opvolging van aanbevelingen. Dat is altijd een dingetje. Daarnaast vind ik dat we op het gebied van IT meer moeten doen. IT is een cruciaal onderdeel van de hele organisatie en we moeten daar veel actiever in worden. Uitdagingen genoeg.”

Wat mis je het meest aan internal audit nu je met pensioen bent?

“De collega’s! En inhoudelijk zijn er ook nog dingen die me blijven interesseren. Bijvoorbeeld een onderzoek van de Rekenkamer naar de effectiviteit van begrotingen. Daarnaast fascineren nieuwe ontwikkelingen me, zoals AI: wat betekent dat voor ons? Hoe kunnen we dat inzetten voor de afdeling en de gemeente? Dat mis ik ook: het nadenken en vertalen van ontwikkelingen naar de auditpraktijk. Het mooie van audit is dat je overal binnenkomt en met iedereen in gesprek raakt. Mijn drive zit in dingen verder brengen en als auditor kun je dat.”

Welk advies zou je het huidige leiderschap van IAF’s willen meegeven?  

“Dat vind ik een ingewikkelde, want iedereen moet het op zijn eigen manier doen. Maar als ik iets mag meegeven, dan zeg ik: koester het mooie vakgebied en je afdeling. Denk niet altijd in problemen, maar sta ook stil bij de successen die je vanuit ambities bereikt hebt. Ga niet overhaast aan de slag, maar neem de tijd en bouw het stap voor stap op.”