Een auditrapport met twintig bevindingen kan vaktechnisch uitstekend zijn. Alle risico’s zijn benoemd, oorzaken geanalyseerd en aanbevelingen geformuleerd. Toch kan na bespreking in de auditcommissie één belangrijke vraag blijven hangen: waar moeten we ons nu werkelijk zorgen over maken?
Daar zit wat mij betreft een interessante uitdaging voor Internal Audit. Onze toegevoegde waarde zit niet alleen in het constateren wat er niet goed gaat. Juist het duiden van onzekerheid, het leggen van verbanden en het vooruitkijken helpt bestuur en auditcommissie om betere keuzes te maken.
Van bevinding naar bestuurlijk vraagstuk
Stel, ter illustratie, dat een organisatie twintig openstaande auditbevindingen heeft. Een aantal acties loopt achter, verschillende bevindingen hebben een hoge classificatie en het management rapporteert periodiek over de voortgang. Op papier is er dus veel informatie. Maar weet de auditcommissie daarmee ook of de organisatie daadwerkelijk meer risico loopt?
Misschien zijn meerdere bevindingen terug te voeren op één structureel probleem: onvoldoende eigenaarschap. Misschien blijven acties openstaan omdat management en Internal Audit fundamenteel anders denken over de mate van risico. Of misschien is iedereen druk met het sluiten van bevindingen, terwijl ondertussen nieuwe risico’s ontstaan.
Dan zijn twintig bevindingen het symptoom, maar niet noodzakelijk de kern van het probleem dat bestuurlijke aandacht vraagt.
Via insight naar foresight
Een eerste noodzakelijke stap is wat mij betreft het verschaffen van insight, waarbij verbanden worden gelegd tussen audituitkomsten en zichtbaar wordt gemaakt wat daaronder zit. Kortom: er wordt dan niet alleen gerapporteerd dát problemen zich voordoen, maar ook geduid waarom ze terugkeren en wat dat zegt over de organisatie.
Maar daar hoeft het niet te stoppen.
Stel dat verschillende audits laten zien dat eigenaarschap diffuus is, besluitvorming regelmatig vertraagt en tijdelijke oplossingen structureel worden. Die observaties zeggen iets over vandaag. De interessantere vraag kan dan zijn: wat betekenen deze signalen voor morgen?
Wat gebeurt er bijvoorbeeld als de organisatie verder groeit, een grote transformatie start of meer processen uitbesteedt? Kan een beheersingsprobleem dat vandaag nog hanteerbaar is dan materieel worden?
Daar komt foresight in beeld. Niet als voorspelling en zeker niet als glazen bol, maar als het gestructureerd doordenken van signalen, trends en mogelijke toekomstige risico’s. Interessant is daarom niet alleen welke bevindingen openstaan, maar ook welke kant het risicobeeld op beweegt.
Dat past bij de ontwikkeling die de GIAS voor Internal Audit beschrijven. Assurance, advice, insight en foresight worden in de Purpose Statement gezamenlijk genoemd. De recente IIA Netherlands Practice Guide koppelt foresight namelijk onder meer aan environmental scanning, strategische planning, risk-based planning en forward-looking communicatie met stakeholders.
Durven we ook te rapporteren wat we nog niet zeker weten?
Het concreet invullen van foresight vraagt wel iets anders van Internal Audit. Auditors zijn gewend om evidence te verzamelen en tot een onderbouwd oordeel te komen. Terecht. Maar toekomstige ontwikkelingen laten zich niet met dezelfde zekerheid auditen als bestaande beheersmaatregelen.
Juist daar zit een professioneel spanningsveld. Foresight mag geen speculatie worden. Tegelijkertijd kan wachten op volledige zekerheid betekenen dat een relevant signaal pas wordt gerapporteerd wanneer het risico zich al heeft gematerialiseerd.
Een foresight-perspectief kan daarom expliciet maken: welke ontwikkeling zien we, waarop baseren we dat, wat zou de mogelijke impact kunnen zijn en welke onzekerheden bestaan nog? Methoden als horizon scanning, scenarioanalyse en early warning indicators kunnen daarbij ondersteunen. Dezelfde eisen aan professionaliteit, onderbouwing en zorgvuldigheid blijven gelden.
Van rapporteren naar het goede gesprek
Niet iedere audit hoeft strategisch of toekomstgericht te worden. Als een kritieke control niet werkt, moet Internal Audit dat gewoon helder rapporteren.
Periodieke rapportages door de Internal Audit Functie bieden een kans om boven individuele bevindingen uit te stijgen. Bij zo’n periodieke, overstijgende rapportage zouden we ons de volgende drie vragen kunnen stellen:
- Wat weten we?
- Welke patronen zien we?
- En wat zouden die kunnen betekenen voor wat eraan komt?
Dan ontstaat een natuurlijke beweging van assurance, via insight naar foresight, zonder dat daar noodzakelijk drie verschillende rapportages voor nodig zijn.
Een goede Internal Audit-rapportage bevat wat mij betreft dan ook niet vooral veel informatie. Zij brengt scherpte aan in wat nu belangrijk is en maakt zichtbaar wat morgen belangrijk kán worden. Want uiteindelijk heeft een auditcommissie weinig aan twintig goed geformuleerde bevindingen als de 21e vraag de belangrijkste blijkt te zijn.
Transparantieverklaring: Voor het opstellen van deze blog is gebruikgemaakt van AI ter ondersteuning van analyse, structurering en redactie. De inhoud, conclusies en eindredactie zijn door een menselijke auteur beoordeeld, aangevuld en gevalideerd.
Kijkt uw auditcommissie vooral naar achteren of ook vooruit?
Herkent u het spanningsveld tussen vaktechnisch volledig rapporteren en bestuur en auditcommissie inzicht geven in wat mogelijk voor hen ligt?
Vanuit ARC People gaan we daar graag vrijblijvend over in gesprek. Neem contact met ons op.
