Vele kleine stapjes maken één grote

Internal audit bij een onderwijsinstelling is niet voor alle auditors bekend terrein. Brayn Alibaks is sinds 2015 hoofd Interne Audit Dienst bij Zadkine en geeft een inkijkje in de governance, belangrijke risico’s en de voor hem ideale interne-auditthema’s.

Wilt u zichzelf even voorstellen?

“Ik ben Brayn Alibaks en werk als hoofd Interne Audit Dienst bij Zadkine. In 2000 ben ik bij de Lotto begonnen, daar heb ik verschillende rollen gehad op het snijvlak van organisatie, ICT en risicomanagement. Uiteindelijk heb ik daar de interne auditafdeling opgezet. Ik vond het altijd al leuk om zaken te onderzoeken en wil niet per se één discipline dienen, daarom heb ik gekozen voor het vakgebied interne auditing. Zo kreeg ik de mogelijkheid om breed te kijken naar operationele, financiële, compliance en IT-verbetermogelijkheden binnen de organisatie.”

En na de Lottoperiode?

“Daarna heb ik een tijd als zelfstandige gewerkt en voerde ik opdrachten uit in de ICT, audit en het onderwijs. Ik merkte dat ik meer balans in werk en privé wilde en mijn vriendin – nu mijn vrouw – zei toen: ‘Leuk al dat geld verdienen, maar we hebben geen tijd om leuke dingen te doen…’ Dat heeft me aan het denken gezet. Ik ben uiteindelijk weer het bedrijfsleven ingestapt om zo regelmaat in ons leven te brengen.”

Hoe kwam u bij Zadkine terecht?

“Ik kende Zadkine uit mijn freelanceperiode en heb daar ook als docent lesgegeven. Ik was blij dat ik gevraagd werd om auditor te worden en de internal auditfunctie (IAF) in te richten bij Zadkine. Daarvoor deed ik vooral interim-opdrachten, maar ik kreeg ook de behoefte om een meer duurzame bijdrage te leveren en het opbouwen van een IAF was een mooie uitdaging. Om mijn kennis op peil te houden en voeling met het vakgebied en branche te houden, ben ik lid van verschillende leergemeenschappen en kwaliteitsnetwerken als het IIA, stichting Kwaliteitsnetwerk mbo en de Inspectie van het Onderwijs.”

Hoe ziet de IAF van ROC Zadkine eruit?

“In 2015 ben ik alleen gestart op de IAF van Zadkine. De afdeling is inmiddels uitgegroeid tot vijf fte. Om deze vijf fte heen hebben we verschillende vaste en flexibele schillen vanuit de organisatie, guest auditors, alumni, een inhuurschil en een externe auditpool in samenwerking met andere ROC’s. Ik heb stevige gesprekken moeten voeren om de goede positionering van de auditfunctie te realiseren. Het maakte mij in het begin niet uit waar de afdeling hiërarchisch gepositioneerd was, als de rapportages maar rechtstreeks bij het college van bestuur (CvB) terechtkomen en ook passend gereageerd kan worden door het bestuur.”

“Na drie jaar is in 2018 de formele auditfunctie geplaatst onder het CvB en zijn de banden met de raad van toezicht (RvT) zichtbaar. Met de RvT spreken we minstens één keer per jaar. Met het CvB spreken we ook maandelijks. Relatiemanagement vind ik erg belangrijk. Iedereen in ons managementteam (MT) heeft eigen colleges, diensten en thema’s waarin ontwikkelingen worden gevolgd.”

“Je bent als auditor eigenlijk een collega die helpt om bij te dragen aan inzichten op het gebied van kansen en bedreigingen”

Welke ontwikkelingen heeft de IAF doorgemaakt?

“Gaandeweg heb ik de afgelopen jaren naar mijn missie en visie op de IAF toegewerkt. Ik wilde graag een auditfunctie opzetten die breed naar de organisatie kan kijken. In 2015 hadden we de focus op onderwijs, die focus is daarna verschoven naar examinering en bedrijfsvoering. Dit past ook bij de ontwikkeling die we willen doormaken van onderzoeken van operationeel niveau naar strategisch en tactisch niveau. In 2021 heeft een herijking plaatsgevonden van de interne auditdienst en is het audit charter geformaliseerd. We hebben iedere keer stapjes gezet om de kwaliteit van onze dienstverlening steeds beter te laten aansluiten op behoefte en de volwassenheid van de organisatie.”

Hoe belangrijk is cultuur daarin?

“Dat is hierin steeds belangrijker. De rollen van adviseur en sparringspartner voor de organisatie krijgen meer aandacht. De focus van onze producten ligt nu meer op het geven van inzichten en bijdragen en de verbetering van de werking van de organisatie als geheel. Het gaat niet om het oordeel, maar om de beweging die daarna op gang komt. Een vraag die hierbij gesteld kan worden is: geef ik hiermee inzicht waarmee management de volgende stap kan maken?”

“Er wordt dus niet alleen assurance gegeven. Dit geeft ruimte voor maatwerkopdrachten. Het eigenaarschap moet volgens het CvB ook meer liggen in de organisatie. Deze ontwikkeling vind ik mooi. Hierdoor kijken ze niet alleen naar de beheersmaatregel, maar ook naar de manier waarop activiteiten worden ingericht om doelen te realiseren.”

U beschrijft drie rollen (auditor, adviseur en sparringpartner), maar hoe ziet de organisatie jullie?

“Voorheen werd audit weleens gezien als controleur en politieagent. In mijn eerste jaar gaf ik al aan dat wij interne audit zijn en daarom kijken naar kansen en bedreigingen van binnenuit. Je bent eigenlijk een collega die helpt om bij te dragen aan inzichten op het gebied van kansen en bedreigingen. Op deze wijze kunnen wij de opdrachtgevers helpen nog krachtiger invulling te geven aan de eigen managementverantwoordelijkheid.”

“Daarnaast kunnen de onderzoeken ook helpen om voorbereid te zijn op een externe audit van bijvoorbeeld de Inspectie van het Onderwijs. Vertrouwen is erg belangrijk om de boodschap over te brengen. Ik heb meerdere notities geschreven om draagvlak te creëren voor onze rol als IAF. Vanaf het tweede jaar werd onze rol meer duidelijk, maar het was wel spannend, consistentie in je visie is wel de key voor doelrealisatie.”

Spannend zegt u. Hoe gaat audit daarmee om?

“Wij leggen continu uit wat we doen en waarom we dat doen. Medewerkers kunnen eigen vragen inbrengen in ons onderzoek. We geven aan dat ons onderzoek eraan wil bijdragen dat hun eigen werk effectiever, leuker en efficiënter wordt. Het moet iets opleveren waarmee zij een stap verder kunnen. Dat kost wel uitleg, tijd en geduld om die win-win te laten zien. Inmiddels wordt onze toegevoegde waarde gezien, maar we moeten blijven uitleggen en ons laten zien.”

Hoe dan?

“We hebben bijvoorbeeld filmpjes gemaakt, ook voor studenten. We hebben een relatiemanagementfunctie opgezet binnen het MT, en met behulp daarvan hebben we altijd informeel contact binnen de organisatie. Communicatie en relatiemanagement zijn belangrijke succesfactoren.”

Wat is de impact op het team van de shift van operationele audits naar meer strategische en tactische audits?

“Er is een shift geweest qua werk en training. Iedereen heeft een training gevolgd met het thema ‘auditen vanuit de bedoeling’. Veel auditors dachten: wat is de norm, wat moeten we toetsen? Hier horen gesprekstechnieken bij en oprechte interesse. We hebben geprobeerd onze eigen check- en actfase te bekijken. We kunnen met onze nieuwe werkwijze (van meer operationele audits naar strategische en tactische audits) meerdere entiteiten raken, waardoor we een bredere trend kunnen aangeven. We zullen meer focussen op de processen en de randvoorwaarden om te komen tot kwaliteit en de bijbehorende dialogen.”

“Er vindt nu een shift plaats van structuur naar cultuur. Eerder werd afgevinkt of alles er was: checklisten, examenplan, et cetera. Maar het zijn de mensen die doelen realiseren”

Wat onderscheidt IAF Zadkine van andere IAF’s?

“Wij geven meer aandacht aan het three lines model dan andere onderwijsinstellingen. Bij veel instellingen is een deel van de tweede lijn gecombineerd met de derde lijn: kwaliteit en audit. Kwaliteit valt in mijn optiek niet onder aanvullende zekerheid, dat is geen derdelijnsactiviteit. Eerder viel audit bij Zadkine onder het Onderwijsplein. Zij waren belast met het bedenken en implementeren van het beleid. De IAF is nu onafhankelijk gepositioneerd onder het CvB.”

Scheiding dus van de lijnfuncties?

“Het is goed de tweede en derdelijnsfunctie van elkaar te scheiden om zo rolduideliikheid te creëren en zo meer het objectieve en onafhankelijke karakter van onze onderzoeken te versterken. De bijdrage van audit moet zitten in de inzichten van de werking op de organisatie als geheel. Juist hierom hebben we de toegevoegde waarde van de afdeling zo goed uitgewerkt. We kunnen ons nu meer focussen op de kwaliteit van de check en act van de plan-do-check-actcyclus (PDCA-cyclus) binnen Zadkine.”

Wat zijn de belangrijkste risico’s voor ROC Zadkine?

“Wij zijn erg goed in plan en do van de PDCA-cyclus. We zijn creatief, bedenken nieuwe initiatieven. Als iets is bedacht, kijken we niet altijd goed terug om te zien wat heeft gewerkt en wat niet. Dit vond ik in het begin raar, omdat een ROC een lerende organisatie is. De check- en actfase zijn niet altijd zichtbaar geborgd. Als iets niet werkt, dan wordt iets anders gedaan. Niet altijd wordt de vraag gesteld waarom iets niet werkt.”

Hoe komt dat?

“Dat komt ook doordat er veel op hen afkomt. Er verandert veel in wet- en regelgeving. Er spelen veel verschillende belangen en in vier jaar verandert de focus van de kwaliteitsagenda. Dit maakt dat cirkeltjes niet altijd afgemaakt worden. Soms snap ik dat wel, omdat docenten voor de klas staan omdat ze het leuk vinden, niet voor de rompslomp. Het hoort erbij, maar dat is niet de reden dat ze in het vak zijn gestapt. Ik probeer dan duidelijk te maken dat bij elk werk dingen horen die minder leuk zijn. Ik stel dan vragen als: ‘Hoe is de les tot stand gekomen?’ ‘Hoe vraag je feedback bij leerlingen?’”

“Er vindt nu ook een shift plaats van structuur naar cultuur. Eerder werd afgevinkt of alles er was: checklisten, examenplan, et cetera. Nu komt er een shift naar cultuur: het zijn de mensen die doelen realiseren. Er wordt niet gevraagd om een document, maar naar de manier waarop kwaliteit wordt beheerst. Het doel van de beheersmaatregel is belangrijker dan de beheersmaatregel an sich. Externe prikkels en verantwoordingsvragen maakten dat eerder meer op structuur werd gefocust.”

Welke audits voeren jullie momenteel voornamelijk uit?

“Wij voeren onderzoeken uit naar de kwaliteit van onderwijs, examinering, bedrijfsvoering en bekostiging. Kwaliteitscultuur is tegenwoordig belangrijk, wij willen ons daar meer op richten. Vertrouwen en eigenaarschap zijn hierin belangrijke kernwoorden. Hoe zorg je voor balans tussen monitoring en vertrouwen? Als iemand zegt dat we elkaar niet aanspreken, kun je je afvragen of en hoe groot het vertrouwen is. Je kunt iemand ook niet zomaar vertrouwen, dat is blind vertrouwen. Krachtiger kan werken een setting van geïnformeerd of verdiend vertrouwen. De organisatie zet daarnaast nu ook volop in op verdere professionalisering.”

Hoe bedoelt u?

“We zien dat veel leidinggevenden niet zijn opgeleid als leidinggevenden, maar groeien in die functie. Daar mag meer aandacht naartoe, de organisatie zet dan ook volop in op verdere professionalisering. We kunnen medewerkers meer begeleiden naar hun veranderende rol. We willen investeren in mensen, ook als het even niet goed gaat. Mensen zijn hierin nog wel koppig: ‘Wij weten zelf wel hoe we het best kunnen werken, wij zijn de professionals.’ Er wordt niet altijd om hulp gevraagd. Want wat zal de ander daarvan denken? Deze angsten mogen weg. Daarom wordt er nu veel meer ingezet om een veilige, aantrekkelijke en krachtige leer- en werkomgeving te creëren voor studenten en medewerkers.”

“Er zijn mooie stappen gezet. In de organisatie als geheel is veel ruimte voor initiatieven om jezelf te ontplooien. Door vertrouwen is er nog meer ruimte”

Welke impact heeft corona gehad op de organisatie?

“Qua onderwijs moesten veel docenten om richting het digitale werken. Hier zijn ze niet altijd voldoende voor opgeleid en getraind. Er was wel ondersteuning vanuit bijvoorbeeld ICT, maar het was een uitdaging om overzicht te houden. Het kost veel energie voor docenten om te zien of studenten bij de les zijn en of de lesstof overkomt. De kwaliteit van het onderwijs (leerrendement) was daarom een uitdaging. Studenten gaven aan dat onderwijs leuk is, maar dat ze toch voornamelijk naar school komen om vrienden te zien en de sociale interactie te hebben. Ze voelden zich door corona wat meer eenzaam.”

Hoe werd daarop ingespeeld?

“Docenten schonken meer aandacht aan kwetsbare jongeren en de thuissituatie van deze jongeren. Jongeren hebben ook niet altijd gelegenheid om thuis te studeren. Daarom werden bijvoorbeeld laptops uitgedeeld en een mogelijkheid om op locatie lessen te volgen. Docenten zelf zeiden dat ze zich minder verbonden voelden met de organisatie, doordat ze informele momenten, zoals bij de koffieautomaat, misten.

En de invloed van corona op de auditafdeling?

“Wij deden eerst onderzoek op locatie. Met inachtneming van de maatregelen konden we alsnog naar locatie komen, maar we zijn door corona toch geswitcht naar online onderzoek. De enige manier om daar goed in te worden, is door het te doen. Er zijn best practices gedeeld binnen ROC’s en we zijn aan de slag gegaan. De wat meer pittige gesprekken zijn fijner om fysiek te doen.”

“Ook wij hadden tijdens corona aandacht voor de thuissituatie. De eerste week van corona gaven we medewerkers de tijd om te kijken wie wanneer thuis moest zijn, in de tweede week bepaalden we de inrichting en in de derde week was er aandacht voor cultuur. Als we bij elkaar komen moet het bijvoorbeeld niet alleen over werk gaan. We organiseerden online borrels, verjaardagsfeesten, et cetera, voor binding.”

Wat is uw grootste nachtmerrie als CAE?

“Ik probeer zo min mogelijk nachtmerries te hebben. Als ik iets wil realiseren dan neem ik daar vijf tot tien jaar de tijd voor. Uitdagingen waren: hoe ga ik de afdeling positioneren, wat worden de banden met de raad van toezicht, hoe gaan we als derde lijn gezien worden? Dit zijn geen nachtmerries, maar uitdagingen waarbij ik systematisch werk naar de realisatie ervan.”

Wat zou u wel anders willen zien?

“We moeten veel tijd stoppen in het three lines model om verantwoordelijkheden juist te beleggen. Soms lijkt het alsof de eerste lijn denkt alleen verantwoordelijk te zijn voor het lesgeven. Andere afdelingen en diensten zouden dan verantwoordelijk zijn voor het risicomanagement. Als er iets is dan fiksen zij het. Maar eigenlijk moet iedereen zijn eigen cirkeltje afmaken. Risicomanagement is onderdeel van elke managementcyclus. Ik hoor weleens: ‘Audit doen jullie toch? Daar hoeven wij dan toch geen beeld van te hebben?’ Maar de hele PDCA-cyclus moet door iedereen worden afgemaakt.”

“De eerste lijn is verantwoordelijk voor het risicomanagement, de tweede lijn ondersteunt bij risicomanagement en de derde lijn geeft aanvullende zekerheid. Ik zou graag tot duidelijke verantwoordelijkheden en een duidelijke inrichting komen. Geduld is een schone zaak, juist in het onderwijs.”

Waar bent u het meest trots op?

“Op mijn team. Het verdelen van thema’s en verantwoordelijkheden in portefeuilles heeft mij veel rust gegeven. Het nieuwe CvB heeft mij ook rust gegeven. Zij monitoren vanuit dialoog én geven vertrouwen. Er zijn mooie stappen gezet. In de organisatie als geheel is veel ruimte voor initiatieven om jezelf te ontplooien. Door vertrouwen is er nog meer ruimte. Het is aan jou als individuele medewerker om te kijken hoe je deze ruimte pakt. Hierdoor heb ik de afgelopen jaren een groei kunnen doormaken, ik heb veel kunnen doen. Ik ben er trots op dat ik bij Zadkine mag werken!”