Internal audit draait niet om vinkjes maar om comfort

Internal audit heeft al lang het imago van ‘control testing’ en vinklijstjes achter zich gelaten. Maar hoe ziet het vak er in de praktijk uit? En hoe verschillend beleef je internal audit aan het begin van je loopbaan en na tientallen jaren ervaring? Jasmijn Platenburg en Wim Eysink in gesprek met elkaar over keuzen, toegevoegde waarde, assurance versus advies en de impact van trends als cultuur en AI.

Wim Eysink: “Jasmijn, kun je jezelf kort voorstellen?”

Jasmijn Platenburg: “Ik werk inmiddels bijna vijf jaar bij CM.com. Ooit ben ik gestart bij KPMG in de forensische hoek, met onder andere fraudeonderzoeken en risicoanalyses. Daarna ben ik als fraudemanager aan de slag gegaan bij CM.com en vorig jaar heb ik intern de overstap gemaakt naar internal audit. Dat was een bewuste keuze, waar we het vast nog over gaan hebben. Ik woon in het zuiden van het land, samen met mijn vriend en zoontje.”

Jasmijn: “Ik begreep dat jouw loopbaan een lange geschiedenis kent in audit en risk. Hoe kijk jij daarop terug?”

Wim: “Ik ben begonnen in de externe audit maar heb uiteindelijk één jaarrekening afgetekend. Daarna ben ik vrij snel richting internal audit en riskmanagement gegaan. Dat vakgebied bestond toen nauwelijks. Eerst bij Arthur Andersen en later bij Deloitte, heb ik bijgedragen aan het opbouwen van een kleine club tot honderden professionals. Altijd op het snijvlak van governance, riskmanagement en internal audit.”

Jasmijn: “Waarom maakte je de overstap van extern naar intern?

Wim: “Voor mij was internal audit simpelweg relevanter. In de externe audit werk je binnen een strak verklaringenstelsel. Als internal auditor stem je met je opdrachtgever af: wat wil je weten, waarom is dat belangrijk? Dat geeft ruimte om vooruit te kijken en echt bij te dragen aan sturing.”

Jasmijn: “Eerlijk gezegd had ik vroeger ook het beeld dat internal audit vooral control testing was. Dat leek me niets. Pas toen ik in een organisatie zag hoe breed het vak kan zijn, veranderde dat beeld. Je duikt in onderwerpen die de hele organisatie raken en denkt mee over verbetering en toekomstbestendigheid.”

End-to-end kijken

Wim: “Wat maakt internal audit voor jou persoonlijk leuk?

Jasmijn: “Het kritisch nadenken. Waarom doen we dingen zoals we ze doen? Wat gaat goed en wat kan beter? Ik heb een brede interesse en vind het leuk om me telkens in een ander onderwerp te verdiepen. En niet alleen terugkijken, maar ook vooruit: hoe kan het efficiënter, slimmer, beter?”

Wim: “Dat herken ik. Je kijkt end-to-end, over afdelingen en silo’s heen. Die onafhankelijke positie is enorm krachtig. Je bent niet verantwoordelijk voor het proces, dus je kunt er objectief naar kijken.”

Toegevoegde waarde

Jasmijn: “Waar zit volgens jou de toegevoegde waarde van internal audit ten opzichte van externe audit?”

Jasmijn Platenburg: “Eerlijk gezegd had ik vroeger ook het beeld dat internal audit vooral control testing was. Dat leek me niets”

Wim: “Externe audit is essentieel voor verantwoording: klopt de jaarrekening? Bij een onderneming zagen we ooit dat een probleem in de facturatie werd veroorzaakt door informatie die helemaal aan het begin van het proces werd vastgelegd. Niemand overzag de hele keten, waardoor mensen van het begin en het einde van het proces nooit samen aan tafel zaten. Iedereen dacht vanuit de eigen silo: dit is mijn taak, zonder zicht op wat er verderop gebeurde. Daardoor zag men aan de start niet dat een kleine toevoeging later problemen had kunnen voorkomen, terwijl de facturatie niet wist waar de oorzaak lag. Precies daar ligt de kracht van internal audit: je bespreekt het proces als één geheel en kijkt over en door de silo’s heen.”

Jasmijn: “Inderdaad. Je bent vaak de enige functie die de organisatie integraal bekijkt. Niet alleen finance, maar ook operations, IT, compliance en cultuur.”

Internal audit of internal control

Jasmijn: “Internal audit wordt vaak geassocieerd met control. Is dat terecht?”

Wim: “Dat is een hardnekkig misverstand. Natuurlijk test je soms controls, maar het echte vraagstuk ligt op boardniveau: zijn de risico’s afgedekt, waar moet de organisatie op kunnen vertrouwen? Assurance en controls zijn geen rem, het is juist wat maakt dat je gas kunt geven.”

Jasmijn: “Bij ons zit assurance vooral op gereguleerde processen, zoals die binnen onze betaaldienstverlening. Daarnaast doen we veel insightopdrachten. Dan gaat het niet om een oordeel, maar om inzicht: hoe doen we het en waar kunnen we verbeteren? De kernvraag is: wat gebeurt er als het fout gaat? Wat zijn de mogelijke gevolgen op het vlak van financiën, reputatie of toezicht? Als de impact groot is, doen wij een aanbeveling en monitoren we de opvolging. Uiteindelijk wil je de organisatie in beweging krijgen; het rapport is niet het doel, maar een middel. Eigenlijk willen we vóór het rapport de organisatie al tot actie hebben aangezet.”

Wim: “Is internal audit volgens jou een ‘carrièrevak’?”

Jasmijn: “Ik denk niet zo ver vooruit in termen van titels of functies. Voor mij is belangrijk dat ik nu iets doe waar ik energie van krijg en veel van leer. Internal audit is een breed vakgebied en zit dicht tegen het management aan. Je ziet hoe besluiten tot stand komen en leert omgaan met verschillende stakeholders. Dat is sowieso waardevol, wat een volgende stap ook mag zijn.”

Wim: “Vroeger werd internal audit door external audit gezien als een stap terug. Die tijd is echt voorbij. Het vak heeft zich enorm ontwikkeld en is stevig verankerd in governance. De toegevoegde waarde is inmiddels breed erkend.”

Jasmijn: “Welke trends zie je in het vakgebied?”

Wim: “Er wordt veel gesproken over cultuur, data-analyse en realtime auditing. Maar dat zijn geen doelen op zich. De vraag moet altijd zijn: wat heeft de organisatie nodig? Cultuur nemen wij bijvoorbeeld in elke audit mee, niet als aparte ‘cultuuraudit’, maar als rode draad.”

Wim Eysink: “Het grootste risico is niet dat AI verkeerd wordt gebruikt, maar dat het niet wordt gebruikt”

Jasmijn: “En AI? Is dat een hype of gamechanger?”

Wim: “AI is absoluut relevant, mits je het bewust inzet. Het grootste risico is niet dat AI verkeerd wordt gebruikt, maar dat het niet wordt gebruikt. Tegelijkertijd kan AI geen professioneel oordeel vervangen. Die verantwoordelijkheid blijft bij de auditor.”

Jasmijn: “Wij gebruiken AI al voor brainstormen, analyses en rapportages. Het helpt enorm, maar je moet zelf blijven nadenken. Blind vertrouwen is geen optie. Daarnaast voeren wij momenteel een audit uit naar de adoptie van AI binnen CM.com. Wij erkennen inderdaad het risico als organisaties hier onvoldoende aandacht aan besteden.”

Tot slot: wat geeft jullie energie in het vak?

Jasmijn: “Als je ziet dat er echt iets gebeurt met je werk. Dat inzichten worden opgepakt en leiden tot verandering.”

Wim: “Precies. Als internal audit serieus wordt genomen en bijdraagt aan betere besluitvorming. Dan weet je waarvoor je het doet.”