De auditrevolutie: hoe AI het vakgebied hervormt

Wat is de impact en ontwikkeling van artificial intelligence (AI) op het auditvak? Ruben Kamstra, junior auditor bij InAudit, en Jean-Pierre Thöni, hoofd internal audit bij NIBC Bank, gaan hierover met elkaar in gesprek.

Ruben Kamstra: “Heel leuk Jean-Pierre dat je met mij in gesprek wil over de impact en ontwikkeling van AI op het auditvak. Om mee af te trappen: heeft AI al concrete veranderingen met zich meegebracht binnen jouw organisatie of is deze vraag nog prematuur?”

Jean-Pierre Thöni: “Bij NIBC Bank zie ik dat AI al breed wordt toegepast, zowel in de business als in toenemende mate binnen audit. Hypotheek- en spaarprocessen zijn door de invloed van AI veranderd. Waar een bankmedewerker vroeger handmatig klantinformatie verzamelde, vindt dit nu grotendeels geautomatiseerd plaats met behulp van AI. Dit heeft geleid tot efficiëntere processen binnen de bank. Ook binnen audit merk ik de impact. Grote datasets zijn snel met elkaar te vergelijken en ‘uitbijters’ worden eenvoudig gesignaleerd. Dit bespaart veel tijd, vooral bij repetitieve taken. Daardoor kunnen we ons richten op complexere vraagstukken.”

Jean-Pierre: “Vergeleken met twee jaar geleden zijn de verschillen in de auditmethodologie duidelijk, en ik verwacht dat de verdere ontwikkeling van AI dit alleen maar zal versnellen. AI maakt ons werk enerzijds efficiënter en makkelijker, maar vraagt anderzijds ook om nieuwe kennis en alertheid op AI-gerelateerde risico’s. Dankzij AI kunnen we data sneller verwerken, beter verbanden leggen en meer relevante inzichten genereren. Dit stroomlijnt het auditproces en helpt ons beter om te gaan met de toenemende complexiteit en hoeveelheid data binnen de organisatie.”

Technische kennis

Ruben: “Betekent dat ook dat de processen een stuk technischer van aard zijn geworden door de tijd heen? Vergt dit meer diepgaande kennis en kunde van de internal auditor?”

Jean-Pierre: “Ik merk dat er veel technische kennis nodig is bij de huidige ontwikkelingen. We kunnen AI niet uitsluitend als een black box beschouwen. Het werken met en het toepassen van AI moet voor mij en mijn team controleerbaar en verantwoordbaar plaatsvinden. Binnen het auditteam zijn er enkele IT-auditors die hier veel affiniteit mee hebben, maar uiteindelijk is het essentieel dat iedereen de AI-basisprincipes kent. Desalniettemin ontbreekt soms nog specifieke kennis om applicaties écht te doorgronden. Om de benodigde kennis binnen het team verder te vergroten, kijken we bijvoorbeeld naar co-sourcing of staff rotation met specialisten uit de eerste of tweede lijn.”

Jean-Pierre: “AI maakt ons werk enerzijds efficiënter en makkelijker, maar vraagt anderzijds ook om nieuwe kennis en alertheid op AI-gerelateerde risico’s”

Ruben: “Gegeven de toenemende ontwikkelingen op het gebied van AI, zie je dan ook dat verwachtingen vanuit stakeholders, de toezichthouder en de business veranderen als het gaat om het toepassen van AI door de internal auditfunctie?”

Jean-Pierre: “NIBC Bank staat onder toezicht van De Nederlandsche Bank en de Autoriteit Financiële Markten. Met hen vindt regelmatig overleg plaats over AI-gerelateerde ontwikkelingen. Hoewel toezichthouders nog geen expliciete AI-regelgeving hebben opgelegd, is er wel een duidelijke visie op de veranderende control environment door AI en de rol van financiële instellingen richting interne en externe stakeholders. We willen nu al anticiperen op toekomstige AI-regelgeving, zowel binnen de bank als binnen audit. Zo willen we nu al kunnen verantwoorden hoe AI is ingebed in onze auditprocessen en -methodologie. Om hier goed op in te spelen, hebben we een aangepaste IA-strategie ontwikkeld waarin ook de visie op AI bij internal audit expliciet is uiteengezet. Daarbij bezien we onder meer de impact van AI binnen het auditvak, wat dit betekent voor opleidingen en samenwerking met de eerste en tweede lijn. Ook neem ik zitting in commissies die zich primair met AI-ontwikkelingen binnen NIBC Bank bezighouden.”

Synergie en samenwerking

Ruben: “Klopt dat ik in je verhaal hoor dat er dus veel meer vanuit synergie samengewerkt wordt? Juist omdat er expertise nodig is vanuit verschillende vakgebieden en het gebruik van AI toenemende technische en juridische componenten met zich meebrengt? Zie je die verandering naar meer synergie en samenwerking ook terug in de wissel- en samenwerking van de verschillende lijnen binnen NIBC Bank?”

Jean-Pierre: “De samenwerking tussen de lijnen binnen NIBC Bank is intensiever en meer geïntegreerd dan voorheen. Waar voorheen het risk control & governance framework in essentie alleen door de eerste en tweede lijn werd ontwikkeld, is nu ook de derde lijn steeds meer betrokken bij de inrichting van processen. Die veranderen door AI. Bij nieuwe AI-gerelateerde controls denken de three lines vanaf het begin samen na over de impact en inrichting. Dit versterkt onze derdelijnsrol in de organisatie en leidt uiteindelijk tot betere oplossingen vanuit diverse expertises.”

Ruben: “Verwacht je dat de ontwikkelingen rondom AI deze samenwerking hebben versneld of liggen hier ook andere redenen aan ten grondslag?”

Jean-Pierre: “Ik denk dat deze ontwikkelingen zeker bijdragen aan een versnelling van de samenwerking binnen organisaties. Tegelijkertijd zie ik dat er de afgelopen jaren bij internal-auditafdelingen sowieso al een verschuiving heeft plaatsgevonden van pure assurance naar een meer adviserende rol. Waar vroeger de focus vooral lag op het identificeren van grote tekortkomingen binnen een organisatie, wordt nu veel meer meegedacht met de business en de organisatie over het verbeteren van beheersingsconcepten en de uitrol van nieuwe technologieën, zoals AI. AI is hierin een belangrijke aanjager, maar de trend naar meer samenwerking en advisory was al ingezet.”

Ruben: “Ik ben nog niet zo lang actief binnen het auditvakgebied, maar ik merk dat de internal auditfunctie steeds meer als sparringpartner wordt beschouwd. De klant waardeert het enorm als wij niet alleen over de vloer komen voor het uitvoeren van een controle en het aanleveren van een rapportage, maar juist ook als we een consulterende rol innemen. Wanneer je deze rol als internal auditfunctie inneemt, voeg je denk ik de meeste waarde toe aan de business.”

Jean-Pierre: “Door de toepassing van AI ontstaat er ook meer ruimte om als sparringpartner voor businessmanagers op te treden, omdat de repetitieve en administratieve taken voor een groot deel door AI overgenomen kunnen worden. Hierdoor kunnen auditors zich meer richten op stakeholdermanagement en andere kerntaken.”

AI: gewoon doen

Ruben: “Binnen InAudit zijn we ook actief bezig om te experimenteren met AI. We zijn een kleinere organisatie en doen wat binnen onze mogelijkheden ligt. Onze roadmap en toekomstvisie zijn erop gericht om uiteindelijk offline een model te laten draaien. Met behulp van dit soort modellen en tools hopen we in de toekomst grotere sets data te kunnen verwerken en efficiencyslagen te behalen. Dit is een proces dat we stapsgewijs aanpakken en waarin we steeds verder bouwen op eerdere ontwikkelingen. We zijn nu echt van start gegaan met het uitwerken en opstarten van deze initiatieven.”

Jean-Pierre: “Ga gewoon met AI aan de slag en experimenteer. Natuurlijk ga je een keer onderuit, maar juist dan leer je”

Jean-Pierre: “Ik ben zelf bepaald geen digital native, maar je moet wel blijven meegaan in AI-ontwikkelingen. Ik heb ervaren dat dit in het begin wat onwennig voelt en zelfs tot wat terughoudendheid leidde. Maar je merkt al snel hoeveel je hiervan leert en oppakt, en hoe waardevol het is om hierin mee te bewegen. Wat je terecht zegt: je moet het gewoon doen. Ga er gewoon mee aan de slag en experimenteer. Natuurlijk ga je een keer onderuit, maar juist dan leer je. Uiteindelijk merk je hoe snel je groeit en hoe dat toegevoegde waarde brengt voor je organisatie.”

Ruben: “Daar kan ik mij zeker in vinden. Ik merk in onze organisatie dat wanneer AI resultaat oplevert, mensen sneller starten met het adopteren en overnemen van dit soort ontwikkelingen. Omdat ze daadwerkelijk veranderingen zien die van toegevoegde waarde zijn. Ik denk dat het relevant is om niet te wollig over dit onderwerp te blijven praten. Wij vinden het daarnaast belangrijk om niet meteen te starten met implementatie, omdat er wel degelijk risico’s bij implementatie komen kijken.”

Jean-Pierre: “Bij elke audit assignment bekijken we nu standaard of AI inzetbaar is in de planning en het veldwerk. Soms kan dat niet, maar bij de toetsing van datasets vergelijken we de AI-resultaten met de traditionele werkwijze. AI levert sneller inzichten op met vergelijkbare resultaten en lagere kosten. Vooral bij grotere opdrachten met veel data zien we duidelijke efficiëntiewinst.”

Ruben: “Zo kan de IA-functie zich richten op wat echt belangrijk is, met een consulterende rol en als sparringpartner. Tegelijkertijd merk ik als junior auditor dat het ook waardevol is om door documentatie te akkeren en daar ervaring in op te doen. Voor young professionals is het denk ik ook goed om het proces van A tot Z meerdere keren te hebben doorlopen voordat we richting automatisering gaan. Daar ligt nog een kans om de werkzaamheden goed te begrijpen, te weten wat er verwacht wordt en tegelijkertijd te adopteren.”

Toekomstige AI-kaders

Ruben: “Ik denk ook dat we gaan zien dat er nieuwe referentiemodellen en kaders ontstaan, net als nieuwe wet- en regelgeving. Dat zie je bijvoorbeeld bij de AI Act. Wat heeft internal audit wat jou betreft nodig om zich goed voor te bereiden op deze toekomstige AI-kaders?”

Jean-Pierre: “Ik denk dat er steeds meer disciplines betrokken raken bij dit onderwerp. Hoewel ons team op dit moment vooral bestaat uit de traditionele auditprofielen – RO, RE, RA – is praktische kennis van bijvoorbeeld een data-architect of jurist ook waardevol. Die samenwerking bestaat op dit moment wel, maar is vooral nog ad hoc van aard. Richting de toekomst zou het waardevol zijn om dit structureel te integreren, bijvoorbeeld via staff rotation of co-sourcing met organisaties die deze expertise al in huis hebben.”

Skills van de toekomstige auditor

Ruben: “Welke nieuwe skills worden daarbij van internal auditors verwacht?”

Jean-Pierre: “De skillset van een auditteam moet altijd adaptief zijn om nieuwe auditing- en advisoryconcepten te kunnen oppakken. Dat verandert niet per se door AI. Wat wél verandert, is de skillset van de internal auditfunctie als geheel. Het is belangrijk om kennis vanuit verschillende disciplines te betrekken. Ik zeg niet dat de auditor van de toekomst met name kwantitatieve kennis moet hebben of uitsluitend specialistische vaardigheden moet bezitten. Maar iemand met een pure technische achtergrond is van toegevoegde waarde binnen een auditteam. Dat klinkt misschien wat idealistisch, maar daar moeten we wel naartoe.”

Ruben: “Ik kan me voorstellen dat het soms nog wat voelt als tasten in het duister, juist omdat het allemaal nieuw en complex is. Het is niet altijd eenvoudig om een goede governance op te zetten in een veranderende en complexe omgeving.”

Jean-Pierre: “Er zijn momenteel nog geen duidelijke kaders of referenties die mij als auditor ondersteunen op het gebied van AI. NIST en ISO geven weliswaar enige richting, maar dat is eigenlijk alles. Er is nog geen specifieke regelgeving die aangeeft hoe de internal auditfunctie aan AI moet voldoen. We bevinden ons echt nog aan de voorkant van deze ontwikkelingen.”

Ruben: “Ik merk in onze organisatie dat wanneer AI resultaat oplevert, mensen sneller starten met het adopteren en overnemen van dit soort ontwikkelingen”

Risico’s, uitdagingen en kansen

Ruben: “Zie je door AI-ontwikkelingen specifieke (extra) risico’s opspelen binnen NIBC Bank waarvan je denkt: hier kunnen we als internal auditfunctie echt iets betekenen en van toegevoegde waarde zijn?”

Jean-Pierre: “Ik zie op dit moment voornamelijk nog dat de kennis binnen het auditteam verder versterkt moet worden. Aan het begin van het jaar hebben we het auditplan vastgesteld met aandacht voor AI. Binnen het team is er behoefte aan specifieke kennis over hoe we AI en data-analyse kunnen toepassen in ons auditwerk. Er is al veel over gediscussieerd, geëxperimenteerd en toegepast, maar ons gevoel is dat we aan de vooravond staan van verdere doorontwikkeling.”

Ruben: “Geloof jij dat internal auditfuncties AI op een verantwoorde manier kunnen adopteren? En zie je die adoptie dan meer als een bewuste en afgewogen keuze? Of eerder als een noodzaak?”

Jean-Pierre: “Het is onomkeerbaar. De ontwikkelingen gaan zo snel dat we daarop moeten anticiperen en actie ondernemen. Daar ontkomen we niet aan. Maar dat is juist ook het mooie aan dit vak. We kunnen niet onze kop in het zand steken en doen alsof er niets gebeurt. Het is eigenlijk een revolutie, ook binnen het auditvak.”

Ruben: “Op het moment dat je niet meegaat in deze revolutie, blijf je automatisch achter. Daarom zou ik het ook eerder een noodzaak noemen dan een keuze. We gaan daarnaast ook graag mee, want deze toepassingen bieden een hoop kansen en mogelijkheden. Heb jij, vanuit je jarenlange ervaring, nog een slotadvies dat je wil meegeven aan de jongere generatie als het gaat om het flexibel meebewegen op de arbeidsmarkt? Zeker ook met het oog op de toekomst en de revolutie waarin we ons inmiddels bevinden?”

Jean-Pierre: “Het belangrijkst vind ik het onderhouden van contacten en een goed netwerk. Zorg dat je zichtbaar bent binnen het vakgebied en deel je ervaringen. Zelf heb ik in commissies gezeten bij het IIA. Het is waardevol om ook vanuit andere disciplines te horen hoe zaken bij andere organisaties worden aangepakt. Hoe competent je ook bent, blijf niet in een silo werken. Ik stimuleer mijn medewerkers om zich ook buiten NIBC Bank te profileren. Soms vraagt dat om het overwinnen van enige schroom, maar het is zonde als kennis en ervaring niet gedeeld worden. Ga dus actief naar buiten.”