Verder groeien met behulp van het Ambition Model

In 2024 is het Internal Audit Ambition Model voor internal auditfuncties grondig herzien. Wat zijn de achterliggende principes? In hoeverre sluit het aan op de nieuwe internationale standaarden? En hoe wordt dit model toegepast én gewaardeerd in de praktijk? We spreken Peter Hartog en Els Heesakkers, namens IIA Nederland nauw betrokken bij de herijking van het model, hierover. Barbara Lieuwen, die tijdens haar RO-opleiding onderzoek deed naar het gebruik van dit model in de non-profitsector, schuift ook aan.

Wat is het idee achter het Internal Audit Ambition Model? Wat was het oorspronkelijke doel?

Peter Hartog: “Het Internal Audit Ambition Model (IA AM) is in essentie een instrument om gestructureerd te reflecteren. Toen we het ontwikkelden, wilden we af van het idee dat volwassenheid altijd een lineair groeipad is. In plaats daarvan draait dit model om bewuste ambitie: wat is voor jóuw auditfunctie passend en relevant? Soms betekent dat streven naar level 5, maar soms is level 3 voldoende. Dat hangt af van je opdracht, je sector, de context en de volwassenheid van je organisatie. We willen auditfuncties aanmoedigen om hun eigen ontwikkelpad te formuleren, gebaseerd op realisme en impact – niet op theoretische perfectie.”

Els Heesakkers: “Dat pragmatische uitgangspunt sprak mij meteen aan. Bij Achmea gebruiken we het model als strategische gids. Het stelt ons in staat om periodiek te reflecteren op de koers van onze auditfunctie, zowel inhoudelijk als organisatorisch. Wat het extra krachtig maakt, is dat het niet alleen intern richting geeft, maar ook helpt in de communicatie met stakeholders. Je kunt heel concreet laten zien waar je staat, waar je naartoe werkt en waarom je bepaalde keuzen maakt.”

Wat waren de belangrijkste aanleidingen voor de update in 2024?

Els: “De wereld om ons heen verandert continu. Denk aan digitalisering, data-ethiek, cyberdreigingen en ESG-verplichtingen. Internal audit moet daarop inspelen, en het model moet die realiteit weerspiegelen. In 2024 hebben we daarom nieuwe thema’s toegevoegd zoals AI, cybersecurity en duurzaamheid. Ook hebben we het model expliciet verbonden met de nieuwe global internal audit standards (GIAS), zodat het aansluit bij internationale terminologie en structuur. Tegelijk hebben we de ‘eigen kleur’ van het model behouden: het blijft een self-assessmentinstrument om de volle breedte van de auditfunctie te evalueren, meer dan alleen de naleving van de standaarden.”

Peter: “En dat laatste is cruciaal. Het IA AM is niet bedoeld als vervanging van of check op naleving van de Standaarden, maar als aanvullend framework, gericht op kwaliteit en ontwikkeling van een internal auditfunctie. In internationale overleggen horen we dat steeds meer landen zoeken naar manieren om ‘beyond conformance’ te gaan. Dat het model nu is opgenomen als voorbeeld van een maturity-assessment in de nieuwe Quality Assessment Manual van IIA Global, is voor ons een erkenning dat we iets waardevols in handen hebben. Het nodigt uit om niet alleen te toetsen of je ‘voldoet’, maar vooral hoe je waarde toevoegt en vooruitkijkt.”

Barbara, jij hebt onderzoek gedaan naar het Ambition Model. Wat viel je op?

Barbara: “Goed om vooraf aan te geven: mijn onderzoek is uitgevoerd vóór de herijking van 2024. Dus ik heb naar de vorige versie van het IA AM en de hierbij behorende Application Guide gekeken. Mijn centrale vraag was: draagt het IA AM bij aan formele én materiële kwaliteit van auditfuncties? Formeel wil zeggen: voldoet een functie aan de standaarden? Materieel wil zeggen: levert het ook echt toegevoegde waarde? Bij ambitieniveau 3 van het IA AM zou een IAF in grote lijnen compliant moeten zijn aan de IPPF Standaarden. Ik ontdekte dat het model bijna 70% van de oude IPPF Standaarden dekt. Dit betekent dat gebruikers er niet vanuit kunnen gaan dat het resultaat van een self assessment met het IA AM hetzelfde resultaat oplevert als een externe toetsing. Dit is belangrijk omdat uit mijn onderzoek blijkt dat sommige gebruikers hier wel vanuit gingen. Het is goed dat het IIA dit nu anders communiceert.”

Peter: “Dat zou inderdaad een misvatting zijn. Het IA AM is bedoeld om ambities te formuleren, niet om in detail de naleving met de Standaarden te verifiëren. Daar zijn andere checklists voor. In de nieuwe Application Guide van het IIA staat meer expliciet dat het model niet ieder detail van de GIAS dekt en tegelijk ook andere elementen meeneemt. Het biedt dus richting, geen volledigheid van de requirements. Dat moet je helder uitleggen aan gebruikers. En dat doen we inmiddels ook in trainingen en toelichtingen.”

Hoe wordt het model concreet in de praktijk gebruikt?

Peter: “Het model is verrassend veelzijdig. Je kunt het inzetten bij het jaarplan om te bepalen waar je als auditfunctie sterker wilt worden. Of bij een meerjarenstrategie om ontwikkeldoelen te formuleren. Zelf heb ik het bij de SVB gebruikt in een sessie waarbij zowel MT-leden als teamleden het model invulden. Het verschil in beoordeling leidde tot een goed gesprek over wederzijdse verwachtingen en verbeterpunten. Je haalt de auditpraktijk even uit de waan van de dag.”

Els: “Wij hebben het bij Achmea ingezet om de young professionals vanuit hun optiek mee te laten denken over de ontwikkeling van de afdeling. Het valt op hoe anders zij kijken naar thema’s als datagedrevenheid in combinatie met hr en ontwikkelpotentieel. Het model maakt dat verschil zichtbaar en bespreekbaar met MT-leden. Bovendien helpt het richting te geven aan de ontwikkeltrajecten van individuele teamleden.”

Barbara: “En in de non-profitsector, waar auditfuncties vaak klein zijn en zich soms moeten legitimeren, biedt het model structuur en taal. Het helpt om bestuurders uit te leggen waarom bepaalde investeringen nodig zijn. Je vertaalt abstracte ambities naar concrete ontwikkelpunten.”

Barbara, je had ook kritische kanttekeningen. Welke?

Barbara: “De grootste is de omvang van het model, zeker op niveau 4 en 5. Alleen daar al staan 124 ‘essentiële activiteiten’, dat zijn activiteiten die een IAF moet uitvoeren om een bepaald ambitieniveau te realiseren. Het model lijkt hier voorschrijvend. Dat maakt het model soms overweldigend, vooral voor kleinere internal auditfuncties. Uit mijn onderzoek blijkt dat mensen worstelen met de vraag: wat is nú echt essentieel? Wat draagt écht bij aan meerwaarde? Dat vraagt om meer duiding of clustering van onderwerpen.”

Peter: “Die feedback nemen we serieus. Cruciaal is dat het model die factoren benoemt die essentieel zijn voor de meerwaarde van de IAF. Wellicht zijn er punten onnodig. Het is belangrijk om, net als eerder, samen met gebruikers en experts te kijken naar de relevantie en naar meer duiding. Wellicht met kernitems, optionele verdiepingen of sectorspecifieke accenten.”

Els: “We zien level 4 en 5 vooral als goede voorbeelden. Die kun je als IAF per organisatie specifiek maken voor je eigen context. Niet alle onderwerpen zullen voor iedereen even relevant zijn, dus durf daarin ook keuzen te maken. Vanuit gebruikers en vanuit de externe kwaliteitstoetsers zijn we juist bevraagd om good practices aan te vullen op level 4 en 5.”

Barbara, jij bracht ook een nieuwe bril op het model aan?

Barbara: “Ja, ik heb in mijn onderzoek onderscheid gemaakt tussen intern en extern gerichte auditfuncties voor de beoordeling van een selectie van de essentiële activiteiten van ambitieniveau 4. Deze essentiële activiteiten moeten namelijk bijdragen aan verhoging van de materiële kwaliteit van de IAF. Wat bleek: intern gerichte functies die werken voor interne afnemers ervaren het model als waardevoller dan extern gerichte functies die ook externe afnemers hebben. Dat verschil was significant. Het zegt iets over de aansluiting van het model op verschillende auditrollen. Misschien is het tijd om niet alleen naar sector, maar ook naar functietype te differentiëren.”

Els: “Dat is inderdaad een interessante gedachte. Wij vergelijken onszelf als verzekeraar graag met andere instellingen uit de sector, maar de functie-invulling verschilt soms net zo sterk als tussen sectoren. Een focus op functieoriëntatie om je afdeling te benchmarken kan daar inzicht in bieden.”

Barbara, er kwam uit je onderzoek ook een bredere behoefte naar boven toch?

Barbara: “Zeker. De publieke sector kent geen governancecode zoals het bedrijfsleven. Dat maakt het lastiger om de rol van internal audit goed te positioneren. In gesprekken hoor ik vaak hoe auditors moeten ‘strijden’ voor hun toegevoegde waarde. Het IA AM kan daarbij helpen, mits het goed wordt toegelicht. Maar er is meer nodig: dialoogsessies, handreikingen, misschien zelfs een publieke governancecode waarin de rol van internal audit wordt verankerd.”

Peter Hartog: “Alleen door ervaringen te delen en samen te reflecteren, houden we het model relevant en waardevol”

Peter: “De Commissie Decentrale Overheid van het IIA werkt aan zulke initiatieven. Kijkend naar het IA AM: we hebben gezegd geen sectorspecifiek model (tool) te ontwikkelen, maar denken wel aan het verdiepen van sectorspecifieke aspecten in bijvoorbeeld dialoogsessies, op basis van een benchmark waarbij iedere deelnemer het model invult. Of aan een addendum, zoals ook de GIAS een addendum voor de publieke sector heeft.

Wat willen jullie de lezers meegeven?

Els: “Durf het model te gebruiken als vertrekpunt voor een constructieve dialoog, niet als beoordelingsinstrument. Het grootste effect bereik je wanneer je het als team bespreekt: waar willen we naartoe? Wat past bij onze missie?”

Barbara: “En wees je bewust van wat het model wel en niet is. Verwachtingsmanagement is essentieel. Het model geeft richting, maar geen garanties. Laat het een katalysator zijn voor inzicht, niet voor afvinken.”

Peter: “Tot slot: blijf feedback geven. Alleen door ervaringen te delen en samen te reflecteren, houden we het model relevant en waardevol voor de hele beroepsgroep. Want dat is uiteindelijk waar het om draait: ontwikkeling, kwaliteit en betekenisvol auditen.”