“We willen de organisatie in beweging brengen”

Ruim tweeënhalf jaar geleden startten Fleur Sommer en Sigrid Fiering als het nieuwe internal auditteam bij hogeschool Saxion. Zij hebben de functie opnieuw vormgegeven en geprofessionaliseerd. Een gesprek over de uitdagingen, impact en de toekomst van de interne auditfunctie bij Saxion.

Kunnen jullie iets vertellen over de interne auditfunctie bij Saxion?

Fleur Sommer: “De interne auditfunctie bestaat al langer en was in eerste instantie onderdeel van het bureau Control. Toen wij tweeënhalf jaar geleden begonnen lag er wel een jaarplan, maar eigenlijk geen vastgelegde werkwijzen. We zijn toen gewoon gestart: kijken wat er lag, wat we konden oppakken, op onze manier, en waar de prioriteiten lagen. Zo hebben we verbinding gezocht met directeuren en portefeuillehouders om zorgen en aandachtspunten te inventariseren en gebouwd aan nieuwe overlegstructuren.”

Sigrid Fiering: “We zijn begonnen met het ontwikkelen en formuleren van onze missie en visie. Wij streven naar een werkwijze waarin professionaliteit, verbinding en het creëren van beweging centraal staan. De eerste audit die we als duo uitvoerden, ging over strategische personeelsplanning. We kozen hierbij voor een vernieuwende aanpak, met workshops in plaats van de traditionele individuele interviews. We bouwden steeds al doende aan onze eigen werkwijzen. Het audit charter is in die periode letterlijk gezamenlijk en werkenderwijs ontstaan. Uiteindelijk kom je dan ook bij het jaarplan uit en stelden we onszelf de vraag hoe en met wie wij dit nu willen ontwikkelen. Die manier van ontwikkelen legden we dan meteen vast in het charter, evenals alle rapportagelijnen daaromheen.”

Hoe is de functie nu georganiseerd?

Fleur: “Wij zijn met zijn tweeën: samen goed voor 1,55 fte. We werken verspreid over de locaties Deventer en Enschede en deels ook vanuit huis. We vallen organisatorisch onder de dienst Control, Finance & Audit (CFA), maar functioneel rapporteren we rechtstreeks aan het college van bestuur (CvB).”

Sigrid: “De auditfunctie is klein, maar stevig gepositioneerd. Ons doel is duidelijk: we willen – door onafhankelijk onderzoek – beweging creëren en verbeteringen in gang zetten die bijdragen aan de strategische prioriteiten binnen Saxion. We zijn hierbij wel realistisch. Als bijvoorbeeld bovenop het jaarplan een aanvullend auditverzoek binnenkomt, moet wel bepaald worden wat dat voor de verdere praktische uitvoering van het auditplan betekent. Dit betekent mogelijk een ingetekende audit van het jaarplan halen of uitstellen. Dan moet je bijvoorbeeld aangeven dat je maximaal vijf onderzoeken op jaarbasis kunt uitvoeren. Je bent met zijn tweeën naast de operationele uitvoer van audits namelijk ook bezig met het opstellen van het jaarplan, het schrijven van het jaarverslag, het coördineren van externe audits en het monitoren van de aanbevelingen. Daar gaat ook tijd in zitten.”

Sigrid Fiering: “Het is van belang dat je je altijd bewust bent van de onafhankelijke plek en rol van internal audit en hier consequent naar handelt”

Op welke manier waarborgen jullie de onafhankelijkheid?

Sigrid: “Dat was in het begin best een uitdaging, omdat er nog zoveel te ontwikkelen was, werd er regelmatig aan ons getrokken om mee te werken in de operatie. We hebben soms behoorlijk standvastig moeten zijn. Het is heel belangrijk om op je eigen plek te blijven staan en steeds helder aan te geven: dít is onze rol, hier ligt onze grens, anders raak je op den duur echt je onafhankelijkheid kwijt.”

Is het audit charter hierbij belangrijk?

Sigrid: “We worden gesteund door het audit charter, dat onze onafhankelijke rol en positionering expliciet aangeeft. Omdat we onder CFA vallen zijn we hier blijvend alert op. Als we een audit doen waarin die dienst een rol speelt, schakelen we altijd een externe kwaliteitsadviseur in voor reviewwerkzaamheden op het plan van aanpak en de auditrapportage. Dat is expliciet vastgelegd in ons audit charter. Het is van belang dat je je steeds bewust bent van de onafhankelijke plek en rol van internal audit en je hier steeds consequent naar handelt. Het helpt als je dit goed uitlegt en formeel vastlegt in een audit charter. Het audit charter is ook besproken en goedgekeurd tot en met het niveau van de raad van toezicht. Het CvB staat daarmee achter de werkwijze en faciliteert onze onafhankelijke positie volledig.”

Hoe bepalen jullie welke auditobjecten het meest risicovol zijn?

Fleur: “Jaarlijks, meestal in september, starten we met het ophalen van input bij directeuren, CvB-leden en een paar relevante stakeholders, zoals de chief information and security officer (CISO) en de concerncontroller. We vragen: waar liggen jullie zorgen, waar zien jullie nog kansen, waar willen jullie meer zekerheid over? Zij hebben dan de mogelijkheid om onderwerpen aan te dragen. Ook binnen CFA zetten we die vraag uit bij de businesscontrollers en het MT. Waar nodig plannen we vervolgens verdiepende gesprekken om echt tot de kern van de zorgen te komen. Aansluitend prioriteren we de onderwerpen met behulp van een scoringsmodel met een risico-inschatting op maatschappelijke impact, financieel belang, reputatie en wet- en regelgeving, in combinatie met de mate van beheersing.”

En de aansluiting van de auditplanning bij de strategische risico’s? Hoe zorgen jullie daarvoor?

Sigrid: “Naast de input uit de gesprekken kijken we zelf ook naar strategische plannen, het jaarplan en de meerjarenvisie van de organisatie, en dragen thema’s aan. Alles samen wordt door ons onderworpen aan een strategische risicoanalyse, die ook wordt afgestemd met het CvB. Vanuit die longlist kiezen we vervolgens wat in onze optiek de hoogste prioriteit moet krijgen. Daaruit rollen, beargumenteerd, de prioritaire onderwerpen voor het auditjaarplan. Hierover gaan we dan in gesprek met onze bestuurlijke opdrachtgevers.”

Wat zijn typische thema’s of auditobjecten binnen Saxion?

Fleur: “Onze audits gaan vaak over strategische of afdelingsoverstijgende onderwerpen. Voorbeelden zijn de audit op de meerjarenbegroting en de studentprognose. Maar ook thema’s als de IV/IT governance, informatieveiligheid van onderzoeksdata, en strategische personeelsplanning zijn binnen Saxion heel belangrijk. Ook spreken we regelmatig met de CISO om ontwikkelingen te bespreken of onderwerpen op te halen. En soms voeren we audits uit rond specifieke projecten, zoals de versterking van de locatie Apeldoorn of de groeiambitie in het deeltijdonderwijs.”

Speelt de landelijke hbo-ontwikkeling ook nog mee?

Fleur: “Zeker. We proberen de thema’s ook aan te laten sluiten bij landelijke ontwikkelingen binnen het hbo. En we hebben twee keer per jaar een gezamenlijk overleg met auditors van andere hogescholen. Daar wisselen we onderwerpen en ervaringen uit. Zo zien we bijvoorbeeld dat IT en dataveiligheid bij iedereen hoog op de agenda staan.”

Sigrid: “Dat gezamenlijk overleg wordt elke keer door een andere hogeschool georganiseerd. We kiezen daarvoor dan een gezamenlijk actueel thema en rond dat thema wordt dan een agenda opgesteld.”

Hoe verloopt de samenwerking met andere afdelingen zoals Compliance?

Fleur: “Binnen Saxion kennen we geen aparte complianceafdeling. Onze dienst bestaat enerzijds uit project control en anderzijds uit business control en concern control. We hebben veel ingezet om de communicatie met en onze aanwezigheid bij die afdelingen een boost te geven. Met concern control hebben we vaste afstemmomenten. Daarnaast weten zij ons inmiddels ook goed te vinden, dus het werkt beide kanten op. Met business control hebben we een monitoringsysteem ontwikkeld voor de opvolging van auditaanbevelingen.”

Sigrid: “Wij coördineren het proces van opvolging van aanbevelingen en koppelen de uitkomsten terug aan het CvB. Wij vragen business control om de aanbevelingen uit te zetten binnen hun lijn. De auditee geeft vervolgens aan wat er met de aanbevelingen binnen zijn academie of dienst is gebeurd. De business controller doet daar een toets op en dat oordeel komt dan weer terug bij ons. Het geheel rapporteren wij aan en bespreken wij met het CvB. Op deze manier werk je dus naar een situatie toe dat je meerdere partijen binnen de organisatie betrekt bij het opvolgen en monitoren van auditaanbevelingen.”

Fleur: “De capaciteit om elke audit aan een follow-up te onderwerpen is er met 1,55 fte in eerste instantie niet. Dan is dit een effectieve manier om aandacht te besteden aan (toetsing op) de opvolging van aanbevelingen.”

Fleur Sommer: “We zijn zelf aan zet en heel vrij om de rol en het werk vorm te geven zoals wij dat willen. Dat is echt het leuke aan een kleine auditfunctie”

Hebben jullie een voorbeeld van een audit die impact heeft gehad op beleid of processen?

Fleur: “De audit op de meerjarenbegroting en de studentprognose is daar een goed voorbeeld van. Daar bleek de afstemming tussen twee diensten niet optimaal. We hebben beide diensten samengebracht in een workshop, waarin ze gezamenlijk risico’s, knelpunten en verbeteracties bespraken.”

Sigrid: “Het resultaat was niet alleen een helder auditrapport dat soepel afgestemd kon worden, maar vooral concrete afspraken. Een jaar later hoorden we terug dat de samenwerking merkbaar verbeterd was. Een ander voorbeeld is de audit op de businesscase voor de locatie Apeldoorn. We hebben de stuurgroep gefaciliteerd in een gezamenlijke risicoworkshop. Dat leidde tot het gedeelde inzicht in welke prioriteiten er lagen en welke acties hiervoor nodig waren. Bijvoorbeeld het vormgeven van een portfolio board en het herijken van de businesscase. Dat is ook daadwerkelijk opgepakt. Wij geloven niet dat een audit op zichzelf de wereld verandert, maar je kunt wel de beweging op gang brengen door mensen gericht op een thema in gesprek te laten gaan.”

Wat is het meest uitdagend aan een kleine auditfunctie?

Fleur: “Dat je toch wat kwetsbaarder bent. Als een van ons uitvalt, mis je een sparringpartner, het vier-ogenprincipe. En we hebben geen grote organisatie om op terug te vallen. Een ander aspect is dat je jezelf op de kaart moet blijven zetten. Als de structuur eenmaal staat, vraagt deze ook onderhoud, energie en inzet.”

Sigrid: “Daarnaast moet de motivatie intrinsiek uit jezelf komen, je moet met elkaar de scherpte en energie erin houden. Wij zijn een van de weinige professionals op auditgebied. We moeten zelf dus kritisch blijven, elkaar scherp houden, kennis van buiten halen en onze producten op waarde schatten.”

Wat zijn de voordelen van een compacte auditafdeling?

Fleur: “We zijn zelf aan zet en heel vrij om de rol en het werk vorm te geven zoals wij dat willen. Dat is echt het leuke aan een kleine auditfunctie.”

Sigrid: “En de snelheid en autonomie. Lean en mean: we kunnen snel schakelen, hoeven niet ellenlang in grote groepen te vergaderen en hebben professionele vrijheid om onze aanpak te bepalen, nieuwe dingen te proberen, uiteraard in afstemming met de opdrachtgevers. Die lijnen zijn allemaal heel direct. Dat maakt het werk ontzettend leuk. Een hechte samenwerking in het team is daarbij cruciaal. We vullen elkaar goed aan, hebben verschillende kwaliteiten en vertrouwen elkaar volledig. Daarom kunnen we efficiënt werken en met plezier ons vak uitoefenen.”

Hoe blijven jullie op de hoogte en je professioneel ontwikkelen?

Sigrid: “Het netwerk is heel belangrijk, omdat je daar veel hoort. Tijdens de sessies met collega-auditors binnen het hoger onderwijs wisselen we kennis uit en bespreken we actuele thema’s. Daarnaast volgen we trainingen, bijvoorbeeld over artificial intelligence (AI) en datatoepassingen. En we hebben contact met externe collega’s en bureaus die we kunnen raadplegen bij bepaalde vraagstukken.”

Fleur: “We spreken veel met business controllers, lopen mee met lunchwandelingen, horen op die manier heel veel. Ik geef zelf – als registeraccountant – ook les op aanvraag bij de hbo-opleiding Accountancy voor vierdejaars studenten. Dat dwingt me om kennis actueel te houden en helpt om vanuit een ander perspectief naar audit te kijken.”

Wat is de toekomst van de interne auditfunctie bij Saxion?

Fleur: “Er staat wel een verandering op de rol. Saxion wil een nieuwe organisatiestructuur inrichten en gaat daarbij fors terug in het aantal academies en diensten.”

Raakt dat jullie werk?

Sigrid: “Er komt naar verwachting een grote nieuwe dienst Bedrijfsvoering, waar onder meer financiën, control, hrm en delen van marketing en communicatie onder vallen. Voor audit betekent dat een noodzakelijke verschuiving. We kunnen niet onder die nieuwe dienst Bedrijfsvoering blijven vallen, want dan zouden we onze onafhankelijke positie verliezen. Het ligt voor de hand dat we als stafafdeling direct onder het CvB komen te vallen. Dat versterkt onze onafhankelijke positie, maar de verbinding die we nu zo mooi hebben staan met de controllers en de accounts binnen de organisatie willen we behouden.”

Fleur: “De kracht hoe wij onze functie uitoefenen zit juist in de verbinding. We brengen mensen en posities samen om de bedrijfsvoering te versterken. We horen bij de organisatie, we doen mee, we begrijpen de context. Dat willen we behouden, ook als de structuur verandert.”

Welke ontwikkelingen in het auditvak willen jullie meer gaan toepassen?

Sigrid: “Zonder twijfel AI. We werken inmiddels met Copilot en experimenteren met het laten genereren van samenvattingen en rode draden uit onze data. Ook gebruiken we AI voor conceptteksten en referentiekaders. Dat scheelt tijd, maar we blijven kritisch: AI begrijpt de politieke en menselijke nuance niet altijd. De kunst is om te bepalen waar AI waarde toevoegt. We vragen ons bij elke stap af: kan dit sneller, slimmer of beter met AI? En kunnen we het verantwoord inzetten zonder dat vertrouwelijke informatie op straat komt te liggen? Saxion staat daarin niet alleen. Binnen het auditnetwerk van hogescholen wisselen we hier ook veel over uit. Iedereen experimenteert ermee, maar stap voor stap. Je moet klein beginnen, testen en telkens bijstellen. Uiteindelijk kan AI veel betekenen voor het vak, mits je het bewust en transparant gebruikt.”

Wat willen jullie collega-auditors in het hoger onderwijs meegeven?

Fleur: “Blijf dicht bij de organisatie. Audit is geen controlerende functie op afstand, maar een middel om mensen en processen in beweging te krijgen.”

Sigrid: “Door vanuit je onafhankelijke rol samen te werken met de organisatie, bijvoorbeeld door workshops en gesprekken te faciliteren, waarbij je wél steeds kritisch durft te zijn, maak je echt impact. Dat is waar wij het voor doen.”