Go bananas en zoek het grijze gebied!

Wat maakt internal audit écht impactvol? Volgens auditfunctionarissen Annarie Oosthuizen (Prosus), Maya Avital (Legacy Viterra/Bunge) en Yoram Adriaanse (IKEA) ontstaat impact vooral in de manier waarop auditors samenwerken met de organisatie. In dit drieluik delen zij hun visie op hoe internal audit verandering kan realiseren. Van luisteren en relaties opbouwen tot kritisch denken en actief sturen op verandering.

Yoram Adriaanse, auditor bij IKEA, deelt zijn visie op impact, het belang van stakeholdermanagement, cultuur, lef en hoe gamification kan bijdragen aan verandering binnen organisaties.

Wat doen jullie als internal auditfunctie (IAF)?

“We zijn een groep van acht mensen, verspreid over de hele wereld: vier in Nederland, een in Zweden, een in India, een in de VS en een in China. We zijn een zeer gemixte groep qua achtergronden, met relatief veel vrouwen. Onze focus ligt op het geven van assurance aan de management board, dat is waarom we audits uitvoeren. We hebben een aantal terugkerende focusonderwerpen zoals dataprivacy, cybersecurity en anti-bribery en corruption. Op deze onderwerpen zijn we echt de derde lijn en werken we met name op basis van compliance. Op andere thema’s zijn we als IAF meer gericht op transformatie, zoals bij de implementatie van een tool of acquisities van bedrijven of vastgoed.”

Aan hoeveel audits op jaarbasis moet ik denken?

“We doen minder audits dan voorheen. Nu ongeveer vijftien per jaar waar dit een aantal jaren geleden nog vijfentwintig audits op jaarbasis waren. De kwaliteit en het leveren van toegevoegde waarde gaat boven kwantiteit. We willen dieper kunnen graven in de audits die we doen. Door vaker de waaromvraag te stellen, komen we tot bevindingen die daadwerkelijk impact hebben. Soms betekent dat dat we keuzen moeten maken. Waar kunnen we het meeste winst behalen? Voorheen produceerden we zoveel audits dat rapporten sneller werden opgeleverd dan ze gelezen konden worden. Dat gaat ten koste van impact. Nu kiezen we bewust voor meer focus en meer diepgang.”

Wat betekent impact voor jou, zowel persoonlijk als in je werk?

“Impact is een verandering maken ten goede die er anders niet was gekomen. In mijn werk betekent dat iemand anders laten denken, bijvoorbeeld door bepaalde informatie die je verstrekt of door actievere vormen van verandermanagement. Maar ook door actiever beslissingen ter discussie te stellen of een workshop te faciliteren of mee te denken met de auditee. Daarmee kun je dan impact maken. Daarvoor moet je soms dieper gaan dan puur op grond van de IAF verlangd wordt, denk aan het actief meedenken over de implementatie van veranderingen na het opleveren van een auditrapport. Soms betekent het dat je het grijze gebied opzoekt, voorbij de lijn die formeel hoort, omdat je dan pas echt verandering kunt realiseren. Je hebt als auditor een unieke ingang in de organisatie, dus waarom zou je die niet benutten om verder te gaan dan alleen rapporteren? Zelf beweeg ik mij vaker in het grijze gebied dan mijn collega’s. Ik ben wat ‘roder’ dan de gemiddelde auditor. Ik wil graag sneller resultaat behalen.

“We proberen altijd de vertaalslag te maken naar waarom een audit voor de auditee waardevol is”

Heb je daar een voorbeeld van?

“Ik had een audit gedaan waarna een teammeeting plaatsvond de auditresultaten te bespreken. Ik was daar niet voor uitgenodigd. Toch heb ik zelf besloten om het vliegtuig te pakken naar Zweden en aan te haken. Om daar als neutrale behartiger van de IKEA- belangen deel te nemen aan het gesprek. Dat is niet iets wat als standaard wordt gezien, maar soms is het nodig om echt impact te maken.”

Welke rol speelt impact binnen de IAF?

“Impact maken is de reden van bestaan van de IAF. Ons uiteindelijke doel is om de management board zekerheid te bieden. Dat heeft betrekking op het bieden van duidelijkheid over of risico’s zijn afgedekt, zodat zij zich kunnen focussen op andere zaken. We zoeken altijd naar manieren om echt het verschil te maken, en passen onze auditonderwerpen aan op basis van de strategische behoeften van het bedrijf. Soms betekent dat dat we onze focusgebieden aanpassen als de strategie daarom vraagt.”

Wat zijn de grootste drivers voor het maken van impact?

“Bijna alles draait om verandermanagement, wat weer sterk samenhangt met stakeholdermanagement van begin tot eind. Het is belangrijk om vanaf de start mensen mee te krijgen en intrinsieke waarden bloot te leggen. We proberen altijd de vertaalslag te maken naar waarom een audit voor de auditee waardevol is. Zo zorg je ervoor dat er een intrinsieke motivatie ontstaat om te veranderen. Hoe je het beste impact kunt maken is ook afhankelijk van de cultuur. Ik was vorig jaar in Japan en interviewde twee mensen, een senior en een junior. De junior zal in die situatie niets zeggen. Dat maakt het managen van alle stakeholders gecompliceerder. Maar tegelijkertijd geldt in dit soort landen dat juist het feit dat je als internal audit binnenkomt met een opdracht van de management board, ervoor zorgt dat ze in een heel meewerkende modus zitten. Zo willen ze juist zelf een risk rating ‘high’ omdat ze een noodzaak voelen om te verbeteren.”

Heb je een voorbeeld waarin internal audit bij IKEA écht het verschil maakte?

“Dat kan zitten in een verandering van de governancestructuur of de configuratie van software. Soms stellen we voor om een configuratie te herzien, wat leidt tot een soepeler proces. Of een audit op het cybersecuritynetwerk, waardoor de kans op incidenten kleiner wordt. Maar het kan soms ook frustrerend zijn als laaghangend fruit niet wordt geplukt, terwijl het op een presenteerblaadje wordt aangereikt. Als ik terugkijk op de momenten dat het mij niet lukte om veranderingen te bewerkstelligen, dan blijkt de oorzaak vrijwel altijd te liggen in de relatie met de stakeholder. Het kan daarom heel nuttig zijn om af en toe te wisselen van auditor omdat er soms geen match is. De grootste mislukkingen zijn vaak te herleiden tot een slechte relatie met de stakeholder.”

Opvolging kun je niet altijd sturen. Hoe zorg je dat bevindingen leiden tot acties?

“Dat is een zoektocht waar niet altijd een antwoord de juiste is. Per auditee en per auditonderwerp kan een andere route de juiste zijn. Soms zorgt alleen de aankondiging van een audit al voor verandering. Bij andere onderwerpen denken we actief mee en organiseren we workshops. Hoe beter je de auditee kent, hoe beter je kunt sturen op impact. Soms is het nodig om externe experts in te schakelen om tot de beste oplossing te komen. Hoe specifieker je aanbevelingen, hoe makkelijker het is voor de business om ermee aan de slag te gaan. Soms is het zelfs beter om een hele box weg te nemen dan om kleine aanpassingen te doen aan die box.”

Beïnvloedt de IKEA-pijler: ‘Anders met de bedoeling’ ook de impact die je maakt?

“‘Anders met de bedoeling’ is een belangrijke waarde van IKEA. We hebben er in totaal acht. De zoon van de oprichter reist de wereld over om deze waarden actief uit te dragen. Wij toetsen dit ook door middel van onze gedragsaudits waarin we het gedrag van auditees onderzoeken. In hoeverre zien wij daarin terugkomen dat ‘nieuwe ideeën welkom zijn’, er een ‘happy rebel spirit’ is? ‘Anders met de bedoeling’ betekent dingen anders doen dan de standaard, maar het kan ook misbruikt worden. Om niets te doen terwijl actie nodig is bijvoorbeeld. Als IAF proberen we dat dan aan de orde te stellen.”

Meten jullie de impact van internal audits?

“We proberen impact zoveel mogelijk in geld uit te drukken, maar dat is niet altijd mogelijk. Wat is en kost reputatieschade bijvoorbeeld? Maar we doen wel een poging om impact zoveel mogelijk in geld uit te drukken. Als dat niet kan, beschrijven we het effect van interne controle. Uiteindelijk draait het om aantoonbare verandering, maar het blijft een uitdaging om dat altijd meetbaar te maken.”

Vergt het maken van impact specifieke vaardigheden?

“Ik denk wel dat traditionele auditors klassiek denken en bepaalde persoonseigenschappen hebben zoals risico-aversie. Zij kiezen er sneller voor om een rol meer aan de zijkant in te nemen. Dat mag, maar het kan zijn dat je hierdoor de kans mist om impact te maken omdat je minder stuurt op het inzetten van veranderingen. Cultuur kan ook een rol spelen. Het is belangrijk om elkaars sterke punten te kennen en in te zetten.”

“Internal auditors zijn vaak risicomijdend en houden zich strikt aan hun functieomschrijving”

Je bent voorstander van gamification. Hoe kun je dat toepassen om meer impact te maken?

“Ik zie gamification inderdaad als kans om de impact te vergroten. Het is een verandermanagementtechniek, een manier om op een speelse manier verandering te motiveren. Ik zou graag zien dat bevindingen inzichtelijk worden gemaakt voor de hele organisatie, zodat er interne competitie kan ontstaan om bevindingen op te lossen. Teams of landen kunnen bijvoorbeeld strijden om een bepaalde key performance indicator (KPI) te verbeteren. Internal audit beschikt over veel informatie die hiervoor gebruikt kan worden. Belangrijk daarbij is wel om een gelijk speelveld te creëren waarin ook kleine teams ergens in kunnen uitblinken. Ik denk dat dit de motivatie verhoogt om veranderingen teweeg te brengen. Het past niet altijd bij IKEA, maar op sommige punten kan het denk ik heel goed werken.”

Wat heeft richting de toekomst impact op het internal auditvak?

“Op het vlak van stakeholdermanagement en verandermanagement is nog veel te winnen. Als internal auditor zie je veel in een organisatie. Het zou nuttig zijn als internal auditors deze kennis inzetten in projecten om bevindingen om te zetten in actie en verandering, en daarna weer terugrollen in de IAF. Zo maak je de stap van assurance naar verandermanagement. Als internal auditor weet je van de hoed en de rand als het gaat over risico en controle. In een vervolgproject kun je veel tastbaarder maken wat dat in de praktijk betekent. En dit ook laten zien, om zo actief een verandering teweeg te brengen.”

Wat wil je de lezers van Audit Magazine nog meegeven?

“Internal auditors zijn vaak risicomijdend en houden zich strikt aan hun functieomschrijving. Mijn advies zou zijn om eens wat anders te doen. Laat de teugels los en ga het grijze gebied in. Stel je flexibeler en responsiever op. Vraag jezelf eens het volgende af. ‘Stel dat jouw baan ervan af zou hangen dat een bevinding wordt opgevolgd, wat zou je dan anders doen?’ Ga je dan all the way om iets te bereiken? Zoals onze CEO ooit zei ‘go bananas’. Het is misschien niet altijd goed, maar lukt het niet, dan heb je het in elk geval geprobeerd. Dat alleen is al winst. Dus: go bananas!”