“Zoek collega’s op bij andere organisaties”

Pas op de plaats is een rubriek waarin auditors van kleine auditdiensten aan het woord komen. Dit keer Lizet Hage, internal auditor bij de Rotterdamse Electrische Tram nv (RET) en lid van de PAS Commissie van het IIA.

Vertel eens over de internal auditfunctie (IAF) van de RET?

“De RET bestaat al bijna 150 jaar en is sinds 2007 een verzelfstandigd bedrijf, dat zorgt voor het openbaar vervoer in de regio Rotterdam. De gemeente Rotterdam en de Metropoolregio Rotterdam Den Haag zijn onze enige aandeelhouders. Behalve het verzorgen van het vervoer met bus, tram, metro en fast ferry, zorgt de RET ook voor de beschikbaarheid van de benodigde infrastructuur en voertuigen. We zeggen daarom ook wel dat we NS én Prorail in een bedrijf zijn.
De IAF van de RET is in 2012 opgezet en bestaat uit één internal auditor. Ik ben in 2015 gestart als internal auditor bij de RET en heb de IAF verder ontwikkeld, zowel op het gebied van auditprocessen, kwaliteitsborging als de samenwerking met de auditcommissie en de tweede lijn.”

Welk type onderzoeken voert de IAF uit?

“De IAF van de RET voert operational, compliance en IT-audits uit op de beheersing van belangrijke risicogebieden. Dit zijn zowel audits waarbij assurance wordt verstrekt als audits waarbij inzicht wordt gegeven in het verbeterpotentieel. Veel audits zijn enkel gericht op de beoordeling van de opzet en het bestaan van de beheersingsmaatregelen en slechts deels op de werking.”

Voeren jullie tweedelijnstaken uit?

“Voor de beeldvorming: de tweede lijn is, net als de IAF, niet ruim bezet. De focus lag in 2015, toen ik bij de RET startte, op financiële risico’s en beheersing. Dit verschoof na verloop van tijd naar in control in de bredere zin van het woord. Zo is in 2019, mede naar aanleiding van een audit op enterprise risk management, een risk officer gestart. Vooral in de eerste jaren heb ik aandacht besteed aan tweedelijnstaken. Veel bevindingen uit oude audits waren niet opgelost. Het was zinvoller eerst mee te denken over de opvolging hiervan dan om nieuwe audits uit te voeren. Ik ben toen ook gestart met het betrekken van de controllers bij de audits. Inmiddels vervullen zij steeds meer een adviserende rol met betrekking tot het bewaken van de acties. Dit zorgt ervoor dat ik nu meer tijd kan besteden aan het uitvoeren van audits. Sommige auditactiviteiten zijn overigens vergelijkbaar met tweedelijns taken bij andere organisaties. Dit is het gevolg van de huidige onvolwassenheid van de interne beheersing. Zo kan een audit het startpunt zijn voor een inventarisatie van risico’s in een proces en het bepalen van de belangrijkste controls.“

Met welke uitdagingen krijg je als kleine IAF te maken?

“De beperkte capaciteit is uiteraard de grootste uitdaging. Dit vraagt om het continu afwegen van de inzet en de activiteiten van de IAF om relevant en van toegevoegde waarde te blijven.”

Maakt u gebruik van co-sourcing?

“Ja, we huren externe capaciteit in door middel van co-sourcing. In de praktijk komt dit neer op ongeveer 0,5 fte per jaar. Zo kunnen wij specifieke kennis in huis halen, bijvoorbeeld voor een IT-audit.”

Hoe blijft u op de hoogte?

“Informatie over ontwikkelingen in de organisatie krijg ik door inzage in de stukken voor directievergaderingen, via overleg met collega’s (waaronder elke twee weken met de CFO) en via de wandelgangen. Van dat laatste was het afgelopen jaar door corona helaas minder sprake. Vaktechnisch informeer ik mij onder andere via bijeenkomsten zoals die de IIA PAS Commissie organiseert. Ook hierbij merk je dat het een bijzonder jaar was door de virtuele ontmoetingen. Het is mooi om te zien hoe goed het onderling uitwisselen van informatie alsnog mogelijk is gemaakt.”

Hoe vindt kwaliteitsborging plaats?

“Allereerst door afstemming met de auditee(s) voor en na afloop van elke opdracht. Daarnaast is onderdeel van de co-sourcing het laten uitvoeren van reviews en het sparren over de aanpak van audits. Dat houdt mij scherp. Carlo Bavius van ARC People vervult deze rol nu meerdere jaren, en hij heeft met mij meegedacht over hoe je als kleine IAF kunt voldoen aan het IPPF en op welke manier je meer impact kunt hebben. Dit heeft ertoe geleid dat in het voorjaar van 2020 de externe kwaliteitstoetsing met een goed resultaat is doorlopen. Een mijlpaal waar ik trots op ben en die bevestigt dat de kwaliteitsborging goed op orde is.”

Algemene informatie
Aantal fte organisatie: 3500 (medewerkers en inhuur)
Aantal fte IAF: 1
Rapporteert aan: CEO en auditcommissie

Wat maakt het werken in een kleine IAF leuk?

“In mijn geval – als eenpitter – zijn dat aan de ene kant de korte lijnen en goede samenwerking met de directie, het management en de auditcommissie, en aan de andere kant de grote variatie in mijn taken. Die taken lopen uiteen van het opstellen van het auditjaarplan, de auditplannen, tot het uitvoeren of reviewen van de audits. Ik leer nog steeds over de RET, een mooi en dynamisch bedrijf.”

Welke adviezen hebt u voor andere IAF’s?

“Zoek collega’s op bij andere organisaties en leer van elkaar. Vanuit de PAS Commissie stimuleren wij het onderling delen van kennis en ervaring. Een blik buiten de eigen organisatie kan enorm helpen.”

Wat is de ambitie van de IAF op de langere termijn?

“Ook de komende jaren staat de RET IAF voor het leveren van maximale toegevoegde waarde met de beperkte beschikbare capaciteit. De coronacrisis helpt daarbij niet. De financiën van de RET staan vanwege de sterke afname van reizigers flink onder druk. Dat heeft ook effect op de mogelijkheden voor toekomstige versterking van de IAF.”