Het effect van de kwaliteitstoetsing

Elk jaar besluiten verschillende internal auditfuncties om zich voor het eerst te laten toetsen op de kwaliteitsstandaarden van het IIA. Wat is het effect van een toetsing op een IAF? Die vraag stelde Audit Magazine aan Patrick Beekhuizen, teamleider Interne Audit bij DICTU en aan Martine Hunink, hoofd Internal Audit bij EY.

Patrick Beekhuizen , DICTU: “De toetsing was de afronding van een traject waarin we onze functie op allerlei vlakken verder hebben geprofessionaliseerd”

Wat is de impact geweest van de toetsing op de internal auditfunctie?

Patrick: “De toetsing en de certificering daarna waren voor ons eigenlijk het sluitstuk van een professionaliseringsslag die in 2022 is ingezet. Daarvoor was besloten om internal audit volledig onafhankelijk te positioneren en te bemensen met interne, goed opgeleide auditoren. De basis was gelegd, maar nog niet stevig.”

“In 2022 zijn we gestart met een ambitieus verbetertraject met als doel in 2024 de toetsing succesvol af te ronden. In dat traject hebben we ons hele kwaliteitssysteem herontworpen. Daarbij hebben we onder meer een nieuw audit charter opgesteld waarin we, samen met de directie, de rol van internal audit als derde lijn opnieuw bevestigden. Dat leidde tot waardevolle gesprekken over verantwoordelijkheden. Die van internal audit, maar ook die van het management als opdrachtgever.”

“Daarnaast hebben we in ruim een half jaar onze interne werkwijzen, processen en dossiervorming herzien en zoveel mogelijk gestandaardiseerd. Tegelijkertijd zijn we ons meer gaan richten op de strategische risico’s van de organisatie. Onze auditprogrammering is flexibeler geworden: we prioriteren nu meerdere keren per jaar, zodat we ons kunnen concentreren op de meest actuele risico’s. Naast de IIA-normen zijn we in dit traject ook getoetst aan de regelgeving van de Norea.”

Welke inzichten vind je het meest waardevol?

Patrick: “De toetsing bevestigde wat we zelf ook al zagen: we zijn op veel gebieden op de goede weg. Uiteraard was er ook een beperkt aantal bevindingen. Die zaten deels intern, bijvoorbeeld rondom sommige vastleggingen. Maar ook is opgemerkt dat wij breder kunnen kijken dan IT. Die ambitie hebben we al, maar zo’n opmerking helpt zeker. Ten slotte viel op dat het systeem van opvolging van bevindingen uit onze onderzoeken nog sterker kan worden ingericht. Iets wat voor auditoren geen onbekend thema is. Hierover zijn we het gesprek met de directie aangegaan. Interessant detail: we waren waarschijnlijk iets te snel met onze overtuiging. In onze templates hadden we al opgenomen dat we voldeden aan de standaarden van het IIA en Norea, terwijl de toetsing toen nog moest plaatsvinden. Gelukkig kunnen we dat nu met recht zeggen.”

Worden jullie nu anders bezien door de buitenwereld?

Patrick: “In feite was de toetsing de afronding van een traject waarin we onze functie op allerlei vlakken verder hebben geprofessionaliseerd. Daarmee groeiden ook de geloofwaardigheid en het vertrouwen in ons werk. Zowel bij het bestuur als bij andere stakeholders. Het neerzetten van een ambitieus plan en daar koersvast naartoe werken, dat maakt mij trots. Samen met het team hebben we in nog geen twee jaar tijd een interne auditfunctie neergezet die voldoet aan de standaarden van meerdere beroepsverenigingen. Dat is echt een prestatie. Tegelijk blijven we ontwikkelen. Op dit moment werken we hard verder aan onze groei, zodat we ook voldoen aan de huidige GIAS-normen.”

Wat is de impact geweest van de toetsing op de internal auditfunctie?

Martine: “Onze IAF bestaat nog niet zo lang, dus dit was onze eerste toetsing. Natuurlijk spannend, maar omdat ik gewend ben aan extern toezicht van de AFM en het Bureau Financieel Toezicht kon ik me goed voorstellen wat ik kon verwachten. We hebben ons heel goed voorbereid op de toetsing door – met behulp van EY Advisory-collega’s, die dit werk ook voor klanten doen – ons stelsel van kwaliteitsbeheersing en onze auditaanpak nog eens goed tegen het licht te houden. Dit kost tijd, maar als je het serieus oppakt en met een open blik naar je eigen werk kijkt, heb je daar veel profijt van.”

“Wij voerden vervolgens eerst zelf een toetsing uit en schakelden daarna een externe partij in om die te laten valideren: de self-assessment with independent validation (SAIV). De externe toetsing was zeer uitgebreid en grondig. Met een stofkam gingen de toetsers ons handboek en formats door, dossiers werden met veel diepgang beoordeeld. Interviews duurden soms een paar uur. Wij waren natuurlijk enorm trots toen we een vrijwel geheel ‘groene’ beoordeling kregen.”

Welke inzichten vond je het meest waardevol?

Martine: “Het was voor mij een bevestiging dat de functie en de kwaliteit van mijn team dik in orde zijn. Om te ontdekken waar we nog konden groeien, heb ik de toetsers gevraagd om naast de reguliere toetsing een analyse te maken van sterke punten en verbeterpotentieel. Daarnaast heb ik gevraagd interviews te houden met onze stakeholders. De interviews, de formele toets en de analyse samen gaven mij inspiratie voor groei en optimalisatie. Wat we bijvoorbeeld al heel goed deden, was onze eigen verbetercyclus levend houden. Waar we sterker in wilden worden, was bijvoorbeeld korter en bondiger rapporteren en de doorlooptijden van de audits inkorten. Ook adviseerden de toetsers om meer producten aan te bieden, zoals een spot check of een quick scan.”

Martine Hunink: “Ik zie trouwens de uitkomst van de toetsing als een startpunt voor doorontwikkeling”

“De toets heeft ons eigenlijk ‘aangezet’ om vooral te blijven leren. We beseffen hoe waardevol het is om goede afstemming met stakeholders te hebben. Een growth mindset in praktijk brengen, levert je als professional en als functie veel op. Die mindset hebben we als team verankerd in onze strategie, met passende prestatie-indicatoren en acties. Zo gaven we meteen invulling aan de nieuwe vereisten in de GIAS. We bespreken ieder kwartaal of we nog op koers liggen.”

“Ik zie trouwens de uitkomst van de toetsing als een startpunt voor doorontwikkeling. Nu ik zeker wist dat de basis, de kwaliteit, op orde was, konden we nieuwe stappen zetten in het gebruik van AI in ons eigen werk. Dat is echt fantastisch! Wij hebben natuurlijk het geluk dat wij werken in een ‘snoepwinkel’ voor internal auditors: we hebben binnen EY zo veel tooling en kennis tot onze beschikking, dat we die ook inzetten om te verbeteren. We bouwden bijvoorbeeld een eigen risk assessment tool en we doen een pilot met ‘Internal audit’. Een tool die EY bouwde voor haar cliënten.”

Worden jullie nu anders bezien door de buitenwereld?

Martine: “Onze auditafdeling is stevig gepositioneerd binnen de governance van EY. Ons extern laten toetsen past bij good governance en een professionele organisatie. Wij hebben ons echt gestimuleerd gevoeld door de raad van bestuur en raad van commissarissen om de toets uit te laten voeren. De audit- en riskcommissie vindt het positief dat wij niet alleen ons auditwerk uitvoeren, maar ook oog hebben voor de eigen kwaliteit en verbetermogelijkheden. De uitkomst van de externe toetsing was voor ons een bevestiging dat wij onze zaken op orde hebben. Iets waar we trots op zijn! Uiteindelijk heeft deze externe toetsing niet alleen onze kwaliteit bevestigd, maar ons dus ook ‘aangezet’ tot verdere groei en innovatie in contact met stakeholders. Dat gun ik iedere IAF.”