Auditing ‘ahead of the curve’

In de rubriek De PASkamer komen kleine auditdiensten aan het woord. Dit keer bunq, dat zichzelf geen bank, maar een technologiebedrijf met een bankvergunning noemt. Dat vraagt om een andere manier van auditen. Niet achteraf controleren, maar vooruitkijken. Hoe ziet internal audit eruit in een organisatie die sneller wil bewegen dan de markt? In gesprek met Ahmed Al-Hilli, head of Internal Audit.

Wat voor soort bank is bunq?

“bunq is geen traditionele bank. We zijn opgericht vanuit de missie om bankieren opnieuw uit te vinden. Niet vanuit het perspectief van de bank, maar vanuit de gebruiker. En binnen bunq noemen we die gebruiker geen klant, maar ‘user’. Of, in de interne terminologie: Eva. En de interne klant heet Adam. Voor bunq begint alles bij Eva. Wat maakt haar leven makkelijker? Welk probleem lossen we voor haar op? Die vraag geldt voor productontwikkeling, maar net zo goed voor internal audit. We zien onszelf vooral als een technologiebedrijf met een bankvergunning. Niet als een bank die technologie gebruikt. Dat verschil is belangrijk. De architectuur is vanaf het begin flexibel, schaalbaar en datagedreven opgezet. Dat maakt het mogelijk om snel nieuwe functionaliteiten te ontwikkelen en aan te passen.”

Wat merkt een gebruiker daarvan?

“De gebruiker krijgt meer regie. Je kunt zelf bepalen hoe je je financiële leven inricht: budgetteren, investeren, functies toevoegen of weghalen, inzicht krijgen in je geldstromen. En dat alles in één app. Die app staat niet stil. Iedere paar maanden introduceren we nieuwe functionaliteiten. We kijken voortdurend naar wat gebruikers nodig hebben. Waar gaan ze naartoe? Wat vinden ze belangrijk? Daar passen we de app op aan.”

Wat betekent dat voor internal audit?

“We kunnen het ons niet veroorloven om achter de feiten aan te lopen. Audits moeten vooruitkijken, want iets controleren dat al veranderd is, heeft weinig zin. Daarom zijn we bij bunq vroeg betrokken bij nieuwe producten, functionaliteiten, markten en regelgeving. Als een nieuwe functie bijna live gaat, beoordelen we of alles werkt en de risico’s beheerst zijn. Bij tekortkomingen geven we direct feedback. Ook houden we externe ontwikkelingen scherp in de gaten, bijvoorbeeld wanneer een bank een boete krijgt in een andere markt. Dan onderzoeken we wat daarvan relevant is voor bunq.”

“Onze audits verlopen snel, meestal binnen vier tot vijf weken. Al tijdens het proces delen we wekelijks inzichten met het management”

Hoe ziet jullie internal auditfunctie eruit?

“Bij bunq hebben de drie lijnen unieke namen: de eerste lijn heet ‘promise keepers’, de tweede ‘ground control’ en de derde ‘system checkers’. In plaats van een traditionele internal auditafdeling zien we onszelf als system checkers: wij stellen vast of de systemen achter onze ‘raket’ goed werken. De auditfunctie is georganiseerd rond zes ownerships, waaronder compliance, operationele veerkracht, wet- en regelgeving, infrastructuur, AI en data, en groei. Vooral groei is bij bunq een onderscheidend auditdomein. We analyseren waar de organisatie naartoe groeit, of dat verantwoord gebeurt en hoe we groei kunnen ondersteunen. Elke auditor is verantwoordelijk voor een eigen domein met heldere KPI’s. Jaarlijks voert het team circa 40 tot 45 system checks uit, aangevuld met veel ad-hocanalyses. Het komt geregeld voor dat het management vraagt om snel mee te kijken bij nieuwe lanceringen, dan moet het auditteam direct kunnen schakelen.”

Doen jullie alles zelf?

“We doen niet alles zelf, maar werken met co-sourcing: we besteden daarbij overigens nooit een volledige audit uit en blijven zelf eindverantwoordelijk. Externe expertise wordt alleen ingezet bij complexe kwesties zoals groei, cybersecurity of specifieke regelgeving. Met onze partners zijn duidelijke afspraken gemaakt: hun hulp moet snel beschikbaar zijn, idealiter binnen een paar dagen tot uiterlijk een week.”

Hoelang duurt een system check bij bunq?

“Onze audits verlopen snel, meestal binnen vier tot vijf weken. Al tijdens het proces delen we wekelijks inzichten met het management, zodat problemen direct aangepakt kunnen worden. We controleren daarna of de oplossing daadwerkelijk goed is doorgevoerd. Die snelle werkwijze vereist dat de organisatie ons als Audit accepteert. Data vormen daarbij het fundament. Ze laten direct zien waar issues zitten, waardoor discussies vooral over de oplossing gaan. In plaats van steekproeven analyseren we de volledige populatie met zelfontwikkelde tooling. De kern ligt niet bij de bevinding zelf, maar bij het achterhalen van de onderliggende oorzaak: zonder root cause is er geen echte bevinding.”

Vraagt werken bij bunq om een specifiek profiel?

“Ja, iedereen wordt aangenomen om problemen aan te pakken, waarbij technische kennis en een ‘get-shit-done’-mentaliteit centraal staan. Diploma’s of titels zijn minder belangrijk, het draait om wat iemand meebrengt om daadwerkelijk oplossingen te realiseren. Kandidaten krijgen casussen om te testen of ze bij onze werkwijze passen en andersom. Voor auditors is datageletterdheid cruciaal, maar het gaat verder: je moet data kunnen analyseren, scherpe vragen kunnen stellen en heldere conclusies kunnen trekken. Die drie vaardigheden vormen samen de kern.”

Wat kun je je in een klein auditteam niet permitteren te missen?

“Probleemoplossend vermogen. Data-analyse is de basis, maar niet voldoende. Je moet begrijpen wat de data zeggen, de juiste vragen stellen en de conclusie vertalen naar actie. En communicatie is minstens zo belangrijk. Als je een complexe bevinding niet eenvoudig kunt uitleggen aan mensen zonder data-achtergrond, voeg je onvoldoende waarde toe.”

bunq won in november 2025 de IIA Internal Audit Innovation Award. De jury prees onder meer de focus op waardecreatie. Hoe hebben jullie dat vormgegeven?

“De prijs bevestigde onze visie: audit is geen doel, maar een middel om bunq sterker en meer in control te maken, met voordeel voor onze gebruikers. Technologie speelt hierbij een grote rol. We zetten dashboards, data-analyse en AI-agenten in om sneller en scherper inzicht te bieden. AI is niet alleen auditobject, maar ook instrument. Er zijn nu dertien AI-agenten actief binnen Audit. Eén maakt automatisch een kick-offpresentatie op basis van het auditplan en relevante documenten, een andere agent scant welke beleidsstukken relevant zijn en waarom. Dit levert veel tijdwinst op, een presentatie maken duurt normaal een uur, de agent doet het in seconden. Per agent beoordelen we de kosten en baten. Is er geen echte waarde, dan stoppen we ermee. Deze ontwikkeling vergde veel experimenteren en mislukken, maar daardoor weten we nu wat werkt.”

Hoe ziet jullie auditrapportage eruit?

“Niet als een rapport van 30 pagina’s. Onze rapportages zijn kort en overzichtelijk. Wie meer verdieping zoekt, kan via dashboards en data verder kijken. We rapporteren maandelijks aan het management en de supervisory board, en elk kwartaal aan het audit committee. Op één pagina maken we duidelijk waar de grootste risico’s liggen, wat de belangrijkste resultaten zijn en wat dit betekent voor de strategie.”

“Iedereen wordt aangenomen om problemen aan te pakken, waarbij technische kennis en een ‘get-shit-done’-mentaliteit centraal staan”

Wat zijn de belangrijkste dilemma’s voor het hoofd van een kleine auditfunctie?

“De scope van audits is bij bunq nooit vanzelfsprekend door de snelle veranderingen binnen de organisatie. Bij elk begin van een audit heroverwegen we de reikwijdte, en soms passen we deze zelfs tijdens het proces aan. Ons auditplan is geen vaststaand jaarplan, maar wordt ieder kwartaal opnieuw geëvalueerd. Het hele team denkt actief mee over de prioriteiten voor het komende kwartaal. Zo bepalen we waar we het meeste waarde kunnen toevoegen. Vervolgens bespreken we de plannen met het management, de supervisory board en het audit committee.”

Hoe bepaal je waar je capaciteit inzet?

“We starten vanuit ownerships, risicoanalyse en het audit universe, maar tijdens audits ontstaan soms nieuwe vragen. Dan bekijken we welke expertise op dat moment nodig is en halen die erbij. Capaciteit draait dus vooral om de juiste skills op het juiste moment, niet alleen om fte’s.”

Welke boodschap geef je mee aan auditors die een kleine auditfunctie leiden in een snelgroeiende organisatie?

“Omarm technologie en wees niet bang om te experimenteren, ook als het niet altijd meteen lukt. Kijk vooruit, want echte waarde ontstaat door je te richten op toekomstige ontwikkelingen. Zorg dat je als auditor dicht bij het bestuur en management zit, zodat je begrijpt waar de organisatie naartoe gaat. Breng je bevindingen overtuigend. Laat niet alleen zien wat er misging, maar vooral wat de oplossing oplevert. Bij ons staat Eva centraal: elke bevinding begint en eindigt met haar.”