Externe toetsing op de GIAS: de eerste ervaringen

Begin 2025 spraken we de leden van het Toezichtsorgaan Kwaliteitstoetsing (TKT) over de invoering van de GIAS en wat deze betekenen voor de externe kwaliteitstoetsingen. Inmiddels zijn de eerste toetsrapporten beoordeeld. Wat valt op? Zijn er verrassingen? We spreken opnieuw met Jac Ponjée, voorzitter van het TKT.

Een korte terugblik: wat is ook alweer de rol van het TKT?

“Het TKT is een van de commissies van IIA Nederland en heeft vier commissieleden. We bewaken dat de externe kwaliteitstoetsingen van interne auditafdelingen in Nederland tijdig plaatsvinden en dat deze kwalitatief goed worden uitgevoerd. Het TKT analyseert alle toetsingsrapporten en beoordeelt of de toetser tot een logisch eindoordeel is gekomen. Daarnaast organiseren we tweemaal per jaar een round table met de toetsers om ontwikkelingen te bespreken en ervaringen uit te wisselen.”

Wat is de impact geweest van de GIAS die in 2025 verplicht zijn gesteld?

“De bedoeling was dat we in oktober 2025 voor het eerst een analyse zouden uitvoeren op de rapporten die waren binnengekomen onder de GIAS. Maar toen hadden we simpelweg nog te weinig rapporten om er iets zinnigs over te zeggen. Begin december hadden we genoeg rapporten gezien om patronen te kunnen herkennen. We hadden er wel rekening mee gehouden dat het aantal binnenkomende rapporten een tijdje lager zou liggen, maar dat heeft nog wel iets langer geduurd dan we hadden voorzien.”

De grote vraag is natuurlijk: leiden de GIAS tot andere, strengere oordelen?

“Dat zien we eigenlijk niet terug in de eindoordelen en dat is ook precies de bedoeling. De GIAS zijn niet bedoeld om strenger of juist soepeler te zijn dan het IPPF, dus de uitkomsten zouden ook niet heel anders mogen zijn dan voorheen. Wat wel is veranderd, is dat er een extra scoringscategorie is bijgekomen: ‘fully compliant’. Die hadden we eerder niet.”

“Kwaliteitstoetsing is geen verplicht nummer, maar een verantwoordelijkheid. Én een kans om het vak verder te professionaliseren”

Zijn er al organisaties met het oordeel ‘fully compliant’?

“Nee, die zijn er niet, maar dat is ook geen verrassing. Volledig compliant zijn op alle standaarden is echt een topprestatie. Wat we wél zien, is dat organisaties op specifieke onderdelen fully compliant scoren. Daar heeft de toetser nu de mogelijkheid om heel duidelijk aan te geven: hier is echt niets op aan te merken en ik heb geen aanbevelingen voor verbetering. Er is dus meer mogelijkheid tot onderscheid in de scores. Dat maakt het rapport veel helderder.”

Zie je specifieke GIAS-onderdelen die vaker terugkomen in de bevindingen?

“De meeste opmerkingen zitten nog steeds in de bekende gebieden. Met name bij principes 9, 13 en 14: het auditplan, de risicobeoordeling en de documentatie van de opdracht. Het gaat vaak niet om wat er is gedaan, maar om hoe expliciet het is vastgelegd. Waarom voer je deze opdracht uit? Welke afwegingen heb je gemaakt? Welke risico’s heb je gezien en hoe heb je daarop gereageerd? De GIAS zijn geen compleet nieuwe eisen, maar leggen wel de lat hoger ten aanzien van aantoonbaarheid.”

Is het voor een kleine auditfunctie realistisch om aan de GIAS te voldoen?

“Onze voorzichtige conclusie is dat het ook voor kleine organisaties mogelijk is om aan de GIAS te voldoen. De relatieve workload is natuurlijk groter. Grote auditafdelingen hebben soms aparte vaktechniekrollen, kleine afdelingen niet. Daarnaast kost het wel tijd, en daarmee geld, om de toetsing goed voor te bereiden. Dat is voor een kleine organisatie vaak lastiger op te brengen. Maar het is zeker mogelijk. We zien helaas wel incidenteel dat een chief audit executive (CAE) zich bewust uitschrijft als lid bij het IIA, omdat de overstap van de IPPF naar de GIAS als te groot wordt ervaren. Dat is jammer, maar wel een realiteit.”

Heb je advies voor CAE’s die binnenkort getoetst worden?

“Het blijft natuurlijk spannend als je getoetst wordt. Zie een externe toetsing niet als een prestatiebeoordeling. Net zoals auditors geen individuele managers beoordelen, maar processen en beheersing, zo kijkt een toetser naar de mate waarin je voldoet aan de standaarden. Er kunnen allerlei omstandigheden zijn waardoor het niet lukt om helemaal te voldoen aan een standaard. Dat is op zich niet erg, alleen het is wel goed om vast te leggen wat de overwegingen zijn geweest en waarom er niet voldaan kan worden. Er is altijd sprake van comply or explain binnen de GIAS. Het is uiteindelijk aan de toetser om te zeggen of het wel of niet voldoende is uitgelegd. Het helpt daarom enorm als je jaarlijks een goede interne kwaliteitstoetsing doet. Dan kom je zelf al punten tegen en word je bij een externe toetsing niet verrast.”

Welke misvattingen kom je het vaakst tegen?

“Dat de verantwoordelijkheid om je auditafdeling tijdig te laten toetsen bij de externe toetser, het TKT of IIA Nederland ligt. Dat is niet zo. De verplichting om te voldoen aan de GIAS en om een externe toetsing te organiseren ligt echt bij de CAE. Wij sturen reminders, maar dat is meer een extra service. Het is geen ‘startschot’. Je blijft als CAE zelf in de lead. Een andere misvatting is dat er niet meer een gezamenlijke toetsing tegen zowel IIA-, NBA- en NOREA-standaarden kan worden uitgevoerd. Toetsers kunnen dit in principe aanbieden. Echter, de handhaving van NBA- en NOREA-standaarden ligt bij de betreffende beroepsorganisaties.”

Kijken jullie ook kritisch naar jullie eigen rol als TKT?

“Zeker. Met de invoering van de GIAS hebben we ook ons eigen toezicht tegen het licht gehouden. We kijken nu minder naar het ‘herperformen’ van een toets en meer naar de randvoorwaarden: is de toetser deskundig en onafhankelijk? En volgt de eindconclusie van het rapport logisch uit de deelbevindingen? Wij zijn een extra waarborg, geen tweede toetser. We hebben als TKT een unieke positie in de wereld. Er is in geen enkel ander land met een vergelijkbare commissie. Het nadeel daarvan is dat we ook geen vergelijkingsmateriaal hebben. We kunnen geen peer review doen. Dus we kijken met name naar elkaar als clubje. En vragen ons dan zelf af hoe wij ons toezicht kunnen verbeteren. We hebben hier uiteraard ook contact over met de manager Vaktechniek.”

Zijn er nog onderwerpen waar jullie de komende tijd extra aandacht aan besteden?

“Een belangrijk vraagstuk is hoe we omgaan met CAE’s die via serviceproviders werken en die dus voor meerdere organisaties actief zijn. Dat past nog niet goed in het huidige toetsingsmodel. Daarover zijn gesprekken gaande. Daarnaast zijn wij als TKT voor ons werk afhankelijk van de administratie zoals die bekend is bij het IIA. Dat is onze basis. We zien regelmatig dat CAE’s van positie of organisatie wijzigen en dat ze dat niet aangeven in de administratie. Ik wil ieder lid van IIA Nederland daarom oproepen de administratie goed bij te houden! Tot slot wil ik zeggen: kwaliteitstoetsing is geen verplicht nummer, maar een verantwoordelijkheid. Én een kans om het vak verder te professionaliseren. Het is geen formaliteit; het is een mijlpaal. Dat zie je ook terug op LinkedIn: hoofden internal audit die het certificaat trots delen. En terecht. Er zit veel werk in.”