Blog Archives

Introductie en aanleiding

Jorg Voeten en Sander van Oosten kennen elkaar al geruime tijd. Dit gesprek kwam tot stand na enkele posts van Sander. Daarin schreef Sander over de toegenomen verantwoordelijkheden in ons werkveld en benoemde hij de vele risico’s en de nieuwe wetgeving die op ons afkomen. In dit gesprek gaat Jorg in op de consequenties van deze ontwikkelingen; voor het Risk & Compliance veld in brede zin én voor zijn verantwoordelijke rol als Head of Risk & Compliance bij CM.com.

Loopbaan en ervaring

Jorg heeft een rijke carrière in Risk & Compliance, met eerdere functies bij KPMG, KPN en Exact. Hij denkt dat zijn brede ervaring hem helpt om Risk & Compliance te verbinden met de bedrijfsstrategie: “Ik heb altijd raakvlakken gehad met of ben betrokken geweest bij de business. Ik ben niet een traditionele Risk & Compliance manager, puur acterend vanuit de second line van het three lines model, denk ik. Ik heb een bedrijfskundige achtergrond en ben bij veel operationele processen betrokken geweest.” Deze combinatie van kennis en praktijkervaring maakt dat hij Risk & Compliance niet als geïsoleerde domeinen ziet. Zijn functie vraagt om zowel overzicht als diepgang, omdat hij voortdurend moet schakelen tussen strategisch beleid en operationele details.

Cultuur en organisatie

CM.com is een fintech-organisatie met vier business units. Jorg rapporteert direct aan de CFO en onderhoudt daarnaast informele lijnen met de CEO en de Raad van Commissarissen (via de audit committee). CM.com heeft een mooie en bijzondere cultuur, die vrijheid en ondernemerschap stimuleert. “Het motto is: doe wat je leuk vindt, doe waar je goed in bent en draag bij”. Dat vraagt ook om duidelijke kaders, die de vrijheid in perspectief van bijvoorbeeld goed ondernemerschap en wetgeving plaatst. Daar zit af en toe een spanningsveld, want compliance en risicomanagement zijn niet de eerste onderwerpen waar iemand in sales bijvoorbeeld aan denkt. In zijn ogen kan risicomanagement, bijvoorbeeld via ISO-certificeringen, juist een driver voor sales zijn, als trust enabler van de CM.com diensten.

Jorg ziet verschillen in volwassenheid binnen de organisatie, meestal logisch verklaard doordat het een nieuwe of overgenomen business unit betreft. Dit vraagt soms een andere benadering van het Risk & Compliance team. Minder volwassen teams, of waar nieuwe onderwerpen relevant worden, worden vanuit het Risk & Compliance team meer ondersteund in de implementatie, daar waar het team zich meer richt op testen van de interne beheersing (internal controls) bij meer volwassen teams. Zijn eigen team bestaat uit Risk & Compliance specialisten met diverse achtergronden, en door de hoeveelheid thema’s die er op hen afkomen, is prioriteren essentieel.

Risk & Compliance: what’s in the name?

Als het over Compliance gaat, geeft Jorg aan dat hij Compliance als één van de invalshoeken van Risicomanagement beschouwt, net zo goed als security een invalshoek kan zijn, of de business objectives. “Uiteraard is Compliance meer dan alleen het voldoen aan regels.” Jorg onderstreept het belang van bedrijfswaarden en integriteit. En er komt steeds meer nadruk te liggen op het kunnen aantonen van de kwaliteit van de diensten of het aantoonbaar ‘in control’ zijn ten aanzien van het voldoen aan wetten.

Over accountability zegt Jorg: “De veronderstelling is soms, dat als je Riskmanager bent, dat jij de risico’s managet. In mijn ogen is dat een misvatting. Wij moeten het proces van risico managen faciliteren, de methodologie en het enterprise risk management systeem inrichten, onderhouden en verbeteren, maar de verantwoordelijkheid voor het managen van risico’s ligt bij de business zelf.”

Toenemende regeldruk en innovatie

De toenemende regeldruk, vooral vanuit Europa, vraagt volgens Jorg om slimme, pragmatische keuzes en het zoeken naar synergie tussen verschillende kaders. Jorg ziet dat de groeiende hoeveelheid regelgeving vraagt om meer capaciteit, terwijl die niet altijd beschikbaar is. “Niet alle investeringen in compliance en risk management leveren namelijk direct waarde op (zoals omzetgroei), maar ze kunnen wel essentieel zijn voor het behouden van je “license to operate”; het blijft zoeken naar de juiste balans.”

Innovatie ziet Jorg als een kans voor Risk & Compliance. “Innovatie en compliance kunnen elkaar versterken!” Jorg vertelt dat CM.com er bijvoorbeeld voor heeft gekozen om een AI managementsysteem volgens de ISO-standaard (ISO 42001) in te richten. Door als één van de eersten in Nederland zo’n systeem te implementeren, creëert zijn organisatie een “competitive edge” en een “first mover advantage”. “Dit betekent dat het voldoen aan (nieuwe) regels niet alleen wordt gezien als een verplichting, maar juist als een kans om het product betrouwbaarder, onderscheidender en aantrekkelijker te maken voor klanten”, aldus Jorg. “Een ander voordeel is, dat er door de implementatie van deze ISO-standaard al een flinke stap is gemaakt om aan de AI-Act te gaan voldoen.”

Oplossingen voor toenemende druk

Het omgaan met regeldruk, meer risico’s en groeiende verantwoordelijkheden vraagt om een combinatie van strategische keuzes, pragmatisme, innovatie en samenwerking. Jorg benadrukt dat er niet één gouden oplossing is, maar dat het een samenspel is van verschillende benaderingen die elkaar versterken.

Allereerst is het volgens Jorg essentieel om niet alleen reactief te zijn op nieuwe wet- en regelgeving, maar juist proactief te anticiperen op wat er op de organisatie afkomt. Dit betekent dat je als Risk & Compliance professional voortdurend de ontwikkelingen in het vakgebied volgt, deelneemt aan relevante netwerken en vakgroepen, en actief de dialoog zoekt met collega’s, management en externe partijen. “Ik denk dat het sowieso voor iedereen in het Risk & Compliance werkveld goed is om aan te sluiten bij of op de hoogte te blijven van ontwikkelingen, bijvoorbeeld via vakgroepen, congressen en nieuwsartikelen”, aldus Jorg. Het is ook leuk en leerzaam om persoonlijk actief bij te dragen aan ontwikkelingen in het werkveld. Zo zit Jorg in een werkgroep van de Online Trust Coalitie (een Publiek Private Samenwerking), om te komen tot “operationalisatie van Europese regelgeving: van individuele vereisten naar een herhaalbaar model”. Ook is Jorg, namens CM.com, via de Bedrijfsadviesraad als werkveldvertegenwoordiger nauw betrokken bij de ontwikkeling van de Bedrijfskunde opleiding van Avans hogeschool en neemt hij deel als gecommitteerde bij afstudeerzittingen voor Bedrijfskunde en Finance & Control opleidingen.

Een tweede belangrijke mogelijkheid is het zoeken naar synergie en standaardisatie. Jorg beschrijft hoe zijn organisatie werkt aan het in kaart brengen van overlappende eisen uit verschillende wetgevingen en normen, om zo te voorkomen dat dezelfde controlemaatregelen telkens opnieuw moeten worden ingericht. Door processen en beheersmaatregelen slim te koppelen aan meerdere kaders, wordt het werk efficiënter en overzichtelijker. “Ik geloof er echt in dat je zoveel mogelijk moet proberen om zaken eenmalig, direct goed te implementeren. Eenmaal toetsen zorgt vervolgens ervoor dat je verantwoording kunt afleggen over verschillende kaders en voor verschillende doeleinden.”

Innovatie speelt een steeds grotere rol in het omgaan met regeldruk. Jorg noemt de inzet van AI en automatisering als een manier om sneller en slimmer te werken. AI wordt gebruikt om grote hoeveelheden informatie te verwerken, wetgeving te analyseren en complianceprocessen te ondersteunen. Ook worden er agents gebouwd die medewerkers helpen om snel antwoorden te vinden op compliance-vragen, en worden monitoring- en controlprocessen steeds verder geautomatiseerd. Tegelijkertijd waarschuwt Jorg dat automatisering alleen werkt als de onderliggende processen voldoende gestandaardiseerd zijn en de data van voldoende kwaliteit is: “Ik geloof er ook in dat wij als tweedelijns team effectiever kunnen worden als de eerste lijn veel meer gaat simplificeren en standaardiseren. Als zij dezelfde werkwijzen gaan hanteren, kunnen wij ook makkelijker geautomatiseerd testwerk gaan doen.”

Een andere mogelijkheid die Jorg benoemt, is het bewust prioriteren en keuzes maken. Niet alles hoeft tegelijk en niet alles kan even diepgaand worden opgepakt. Het is belangrijk om samen met het management expliciet te bepalen welke onderwerpen prioriteit krijgen en welke (tijdelijk) minder aandacht krijgen. Dit vraagt om transparantie en het vastleggen van gemaakte keuzes, zodat achteraf duidelijk is waarom bepaalde risico’s of compliance-eisen wel of niet zijn opgepakt.

Verder benadrukt Jorg het belang van samenwerking, zowel intern als extern. Door kennis en ervaringen te delen met andere organisaties, vakgenoten en externe adviseurs, kun je sneller leren en profiteren van best practices. Ook binnen de eigen organisatie is samenwerking cruciaal: Risk & Compliance is geen solospel, maar vraagt om betrokkenheid van de business, IT, legal, Security en andere afdelingen.

Tot slot: blijf dromen en reflecteren

Als Jorg vooruitkijkt, benoemt hij: “Ik droom ervan dat Risk & Compliance binnen een paar jaar vanzelfsprekendheid zijn geworden in besluitvorming. Dat het niet als ‘moetje’ wordt ervaren en moeite kost, maar dat het de business echt helpt en als zodanig wordt gezien.”

Tot slot noemt Jorg het belang van reflectie en het durven bijstellen van de eigen aanpak. De context verandert namelijk voortdurend, en het is belangrijk om regelmatig stil te staan bij de effectiviteit van de gekozen strategieën. Soms betekent dit dat je moet accepteren dat niet alles perfect kan zijn, en dat het beter is om pragmatisch te handelen dan te streven naar volledige controle. “Eerlijk naar jezelf durven kijken. Als organisatie, maar zeker net zo belangrijk als persoon. Echt in de spiegel durven kijken en anderen aan jou die spiegel laten voorhouden. Dat is essentieel om keuzes te maken en stappen voorwaarts te zetten. Zonder reflectie is er geen groei”.

In een wereld waarin steeds meer organisaties hun data en processen naar de cloud migreren, zijn vragen rondom informatiebeveiliging en compliance rondom Cloud-oplossingen steeds urgenter. Voor internal audit afdelingen is het essentieel om een gestructureerd en erkend toetsingskader te hanteren bij het beoordelen van cloud omgevingen. De Cloud Security Alliance (CSA) biedt hiervoor een krachtig instrument: de Cloud Controls Matrix (CCM). In deze blog verkennen we hoe je de CCM kunt toepassen in internal audits en welke voordelen dit biedt. Tevens geven we een aantal praktijkvoorbeelden.

Wat is de Cloud Controls Matrix (CCM)?

De CSA Cloud Controls Matrix is een uitgebreide set van beheersingsmaatregelen op het gebied van informatiebeveiliging, specifiek ontwikkeld voor cloud omgevingen. Het raamwerk bevat 197 beheersingsmaatregelen, verdeeld over 17 domeinen, waaronder Governance, Risk Management, Compliance, Applicatiebeveiliging en Identity & Access Management. De CCM maakt gebruik van gangbare normen en frameworks zoals ISO 27001, NIST en GDPR, waardoor het zeer geschikt is voor organisaties die te maken hebben met uiteenlopende compliance vereisten.

Hoe pas je de CCM toe in een audit?

De toepassing van de CCM binnen een auditproces verloopt in grote lijnen als volgt (zie ook figuur 1 hieronder):

1. Scope bepalen: Stel vast welke cloud toepassingen en -diensten binnen de scope van de audit vallen.
2. Selectie relevante beheersingsmaatregelen: Selecteer, op basis van het risicoprofiel van de organisatie en de relevante wet- en regelgeving, de interne beheersingsmaatregelen uit de CCM die van toepassing zijn.
3. Toetsing en interviews: Gebruik de geselecteerde interne beheersingsmaatregelen als leidraad voor documentatie reviews, analyses en interviews met key stakeholders.
4. Gap-analyse en rapportage: Breng in kaart waar de organisatie voldoet en waar verbetermaatregelen nodig zijn. De CCM maakt het eenvoudig om bevindingen te structureren en te relateren aan erkende normen.

Wat zijn de voordelen van de CCM?

De CCM biedt verschillende voordelen:

• Toegankelijk en overzichtelijk: Ondanks de omvang is de CCM goed gestructureerd en biedt het een praktische indeling, ook voor middelgrote en kleinere organisaties.
• Erkenning en aansluiting: Het gebruik van een internationaal erkend framework geeft audits extra waarde richting klanten, leveranciers en toezichthouders.
• Flexibiliteit: De CCM is modulair inzetbaar. Dit maakt het mogelijk om te starten met de belangrijkste domeinen en later uit te breiden.
• Benchmarking: Door aansluiting bij andere normen kunnen organisaties eenvoudig hun compliance positie vergelijken met bredere standaarden.
• Pragmatische adviezen: De genoemde beheersingsmaatregelen bieden goede handvatten om bij bevindingen effectieve adviezen te geven.

Praktijkvoorbeelden:

• Cloud opslagdienst bij een accountantskantoor: Tijdens een audit bleek dat een accountantskantoor onvoldoende had geborgd dat klantdata in de cloudomgeving uitsluitend toegankelijk was voor geautoriseerde medewerkers. Door toepassing van de CCM-domeinen ‘Identity & Access Management’ en ‘Data Security & Privacy’ werd dit risico inzichtelijk gemaakt en zijn er maatregelen geadviseerd, zoals multi-factor authenticatie en periodieke beoordelingen van toegang.
• Middelgrote softwareleverancier: Een softwarebedrijf maakte gebruik van een publieke cloud omgeving voor het hosten van klantapplicaties. Met de CCM werd vastgesteld dat het bedrijf geen formeel proces had voor incident management. Door de controls uit het domein ‘Threat and Vulnerability Management’ en ‘Incident Management’ toe te passen, werd een incident response plan opgesteld en periodiek getest.
• Zorginstelling met cloudapplicaties: Een zorgorganisatie die patiëntgegevens in een SaaS-oplossing verwerkt, werd geaudit op basis van de CCM-domeinen ‘Compliance’ en ‘Privacy & Data Protection Management’. Hieruit bleek dat het verwerkingsregister onvolledig was en dat verwerkersovereenkomsten niet actueel waren. Met behulp van de CCM werden deze tekortkomingen gestructureerd aangepakt.

Conclusie

De CSA Cloud Controls Matrix biedt interne auditors een krachtig en gestructureerd hulpmiddel bij het toetsen van cloud omgevingen. De matrix maakt risico’s inzichtelijk, helpt prioriteiten stellen en ondersteunt bij het aantoonbaar voldoen aan relevante eisen. Met de opgenomen praktijkvoorbeelden wordt duidelijk hoe toepasbaar en effectief de CCM in de praktijk is.

Er waren al veel spanningen in de wereld: de inval van Rusland in Oekraïne in 2022, de dreiging van een oorlog in Azië (China met Taiwan, spanningen in de Zuid-Chinese zee), een richting van politiek (extreem) rechts in Europa, etc. Na de verkiezing van Trump komen daar nieuwe oorlogsdreigingen (Groenland, Iran) en handelsbarrières bovenop. Wat vroeger een zekerheid leek (bijvoorbeeld Amerika is onze vriend) is tegenwoordig op zijn best twijfelachtig. Aanvullend spelen er klimaatrisico’s en onduidelijkheid over Europese wetgeving (zie het CSRD dossier). Kortom de VUCA wereld (Volatility, Uncertainty, Complexity en Ambiguity) is in alle hevigheid losgebarsten. Het is onzekerheid troef in de bestuurskamers van organisaties.

De beroepsverenging (en veel van haar leden) ziet zichzelf graag als trusted advisor van de board. Door niet enkel hindsight en insight te bieden maar wellicht ook foresight. Door niet alleen focus te leggen op bedreigingen, maar ook op kansen. Als er één moment is waarop Internal Audit relevant kan worden als trusted advisor, dan is het toch nu. Alleen focus op ‘standaard’ onderwerpen en processen door Internal Audit is in deze tijd wel wat karig, maar ook zeker risicovol. Je hoort wel eens: je kan met een goedgekeurde jaarrekening failliet gaan. Dus wat is de toegevoegde waarde van een externe accountant? Als de internal auditor in deze tijd niet oplet, kan dit ook voor hem gaan gelden. Dat gevaar is er zeker wanneer de internal auditor vooral de focus legt op de intern gerichte processen. Je kunt dan een situatie hebben waarbij al je uitgebrachte auditrapporten een positief oordeel hebben, terwijl de organisatie ‘in brand’ staat onder invloed van alle externe ontwikkelingen. Dan heb je wellicht toch de verkeerde auditonderwerpen gekozen (of de audits niet goed uitgevoerd, maar daar gaan we maar even niet vanuit).

Macro-economische en geopolitieke onzekerheid staat in de ‘Risk in focus 2025’ op nummer 5 in de lijst van belangrijkste risico’s, volgens de Chief Audit Executives in Europa. Mijns inziens is dit wat laag maar mogelijk ligt dit aan het feit dat de enquête hiervoor al in het eerste half jaar van 2024 is gehouden[1].

Aan welke onderwerpen kun je dan denken, die meer toegevoegde waarde hebben in deze turbulente wereld? En waar zou je dan de accenten op kunnen leggen? Hieronder volgt een aantal suggesties.

In hoeverre de onderwerpen allemaal relevant zijn, is uiteraard afhankelijk van verschillende factoren, zoals de soort organisatie, in welke markten de organisatie actief is, hoe internationaal georiënteerd etc. Onderstaande opsomming zal dan ook niet overal van toepassing zijn.

Risicomanagement

Start met een audit naar (strategisch) risicomanagement. Om onzekerheid het hoofd te bieden en passende maatregelen te kunnen nemen, is een strategische risicoanalyse onontbeerlijk. Internal Audit zou dus een audit kunnen uitvoeren naar het strategisch risicomanagement binnen de organisatie. Relevante vragen in deze audit kunnen zijn: is deze analyse er, wie voert deze uit, wie zijn betrokken en in welke rol, welke externe deskundigheid wordt gebruikt (personen of rapportages), etc. Allemaal vragen die de kwaliteit van de analyse kunnen beïnvloeden.

Inkoop (zekerheid van leveranciers en prijs)

Door alle ontwikkelingen kan het voor sommige in te kopen producten & diensten de vraag zijn of de leveranties wel gegarandeerd zijn en blijven en of de condities wel gelijk blijven. Belangrijke vragen bij een dergelijke audit kunnen zijn: zijn alle strategische inkopen bekend, zijn de criteria voor wat strategisch nog even relevant, zijn de alternatieven in kaart gebracht, zijn er exit-plannen om bij een leverancier weg te kunnen, wat is de invloed van transportkosten op de in te kopen producten, is de gehele keten (en zijn daarmee afhankelijkheden) van het in te kopen product en de daarbij behorende risico’s duidelijk, voldoet de inkoop aan alle in- en externe ESG eisen, etc.

Voorraad

Dit onderwerp borduurt verder op het vorige: zijn de benodigde strategische voorraden bekend, worden deze goed gemonitord, is er bij het voorraadbeheer rekening gehouden met de producten die in ontwikkeling zijn, is er rekening gehouden met sterk fluctuerende vraag in de markt, etc. Voor dienstverleners waarbij de capaciteit sterk afhankelijk is van human resources gelden andersoortige vragen: kan er snel op of af worden geschaald, tegen welke kosten, is er andersoortige expertise nodig, hoe snel kan die eigen worden gemaakt, etc.

Productielocaties

Evident een belangrijk onderwerp, uiteraard heel actueel gezien de handelsbarrières maar ook de fysieke toegang wordt een steeds relevanter thema. Denk aan bijvoorbeeld een oorlog in Taiwan. Toegang tot een productiefaciliteit is dan nagenoeg onmogelijk. Denk bij een audit naar dit onderwerp onder meer aan: welke criteria zijn bepalend voor het openen van een nieuwe productiefaciliteit en worden deze altijd gehanteerd (denk bijvoorbeeld aan toegang tot betaalbare energie), hoe mobiel is een productiefaciliteit (kunnen machines relatief eenvoudig worden weggehaald), is er een markt om de faciliteit eventueel te verkopen indien noodzakelijk?

Lobby

Het beïnvloeden van overheden is van alledag. Dat kan op verschillende manieren: via een eigen lobbyist, door aan te sluiten bij een brancheorganisatie met een eigen lobby, PR etc. Een audit kan beginnen met de vraag of lobbyen relevant en haalbaar is voor de organisatie.

Beleggingen

Sommige organisaties hebben beleggingen behorend bij de primaire dienstverlening (o.a. verzekeraars), sommige organisaties hebben dit vanuit overtollig cash. Met beleggen bedoelen we hier geen strategische deelnemingen (zie het onderwerp Deelnemingen verderop in dit artikel). Door alle ontwikkelingen is het duidelijk dat de beurs zeer volatiel kan zijn. Afgelopen week was er sprake van een echte rollercoaster en het einde is nog niet in zicht. Aandachtspunten voor een audit kunnen zijn: zijn er stresstesten uitgevoerd, zijn de mogelijke gevolgen besproken in de juiste gremia, zijn er wijzigingen doorgevoerd, hoe wordt er gemonitord, kan er snel worden gehandeld, wat zijn de afhankelijkheden hierbij van derde partijen, welke afspraken zijn gemaakt bij fiduciair management, wordt daarover gerapporteerd en wie beoordeelt dit, hoe wordt er gehedged, zijn er beleggingen met margin calls, wordt de complexiteit van het financiële product goed doorgrond. Misschien herinnert u zich nog de collateralized debt obligations (CDO’s, in het Nederlands herverpakte kredieten) uit de kredietcrisis van 2008.

Valutarisico’s

Dit risico spreekt voor zich. Belangrijke punten die hier kunnen spelen zijn: welke valutarisico’s zijn er, welke zijn gehedged en welke niet en hoe, wordt bij inkoop of sales rekening gehouden met valutarisico’s, zijn hier interne richtlijnen voor vastgelegd.

Deelnemingen

Het hebben van deelnemingen kan diverse positieve zaken brengen, zoals het in huis halen van kennis, vergroten van de markt, uitschakelen van concurrentie etc. Maar uiteraard kunnen deelnemingen in deze VUCA wereld ook leiden tot extra risico’s. Bijvoorbeeld doordat de deelneming actief is in een specifiek land en/of een risicovolle mede-aandeelhouder kent uit een land dat op een sanctielijst staat of daarop kan komen te staan. Vergezocht? Er zijn al genoeg bedrijven die hun deelnemingen in Rusland voor een appel en een ei van de hand hebben moeten doen. Aandachtspunten bij deelnemingen zijn onder andere: zijn alle deelnemingen in kaart, zijn alle mede-aandeelhouders bekend, zijn er afspraken gemaakt over toetreding van nieuwe aandeelhouders in de deelneming, welke afdeling monitort deze zaken binnen de organisatie, wat is de maximale financiële impact bij een gedwongen verkoop, wat is het afbreukrisico, etc.

Veiligheid personeel

Mede door de social media kan er razendsnel negatieve berichtgeving ontstaan over bedrijven, met alle mogelijke gevolgen van dien voor de werknemers. Een schokkend voorbeeld daarvan is de recente moord op een bestuurder van een Amerikaanse zorgverzekeraar, die werd beschuldigd van het weinig vergoeden van zorgkosten. Punten van aandacht zijn: is er een analyse gemaakt van mogelijke risicogebieden; denk aan geografische risicogebieden, gevaarlijk klantcontact, naar buiten toe zichtbaar personeel etc. Wordt social media gemonitord (wordt er negatief gesproken over onze organisatie), is er awareness bij relevante medewerkers, is er een PR dan wel marketing afdeling die dit in scope heeft etc. Voorbeeld: militairen die te tracken zijn via een hardloop-app.

Bovenstaande lijst is vast en zeker uit te breiden, zeker als gekeken wordt naar specifieke bedrijfskenmerken. In de eerder genoemde risicoanalyse kan hier dieper op in worden gegaan.

Afhankelijk van het onderwerp en de diepgang van de audit, kan het raadzaam c.q. noodzakelijk zijn om specifieke expertise in te huren om alle relevante risico’s van dat onderwerp boven tafel te krijgen en beheersmaatregelen te kunnen beoordelen. Een matig uitgevoerde audit door gebrek aan kennis voegt maar beperkt waarde toe en kan afbreuk doen aan de reputatie van Internal Audit.

Uiteraard moet er ook aandacht blijven voor het going concern en daarmee de meer reguliere onderwerpen. Maar een kalender met alle processen bekijken in 3 jaar is niet meer afdoende. Er zal meer met een strategische bril naar de auditplanning moeten worden gekeken.

Drs. Marc van Heese RO RE CIA is partner bij ARC People en is onder andere verantwoordelijk partner voor diverse aan ARC People geoutsourcete risk- en auditfuncties.

[1] https://www.iia.nl/SiteFiles/Risk%20in%20Focus%202025.pdf

De Toepassing van Process Mining in Internal Audit: Kansen en Mogelijkheden

Door de snelle ontwikkeling van technologieën komen steeds meer middelen beschikbaar die ingezet kunnen worden om processen beter te doorgronden, wat kansen biedt voor internal audit. Eén van de veelbelovende technologieën die de laatste jaren op de voorgrond is getreden, is Process Mining. Hoewel Process Mining zich tot nu toe vooral heeft gericht op proces-efficiëntie en -automatisering, biedt de technologie ook veel kansen in het kader van internal audit.

Er zijn veel mogelijkheden om diepgaand inzicht te krijgen in bedrijfsprocessen en deze te optimaliseren door het gebruik van Process Mining, zeker door de toename van beschikbare data. In deze blog bespreken we hoe Process Mining kan worden toegepast in internal audits en welke kansen dit biedt.

Wat is Process Mining?

Process Mining is een technologie die gebruik maakt van data-analyse en een algoritme om bedrijfsprocessen in kaart te brengen en te analyseren. Het maakt gebruik van loggegevens die worden gegenereerd door IT-systemen om een gedetailleerd beeld te krijgen van hoe processen daadwerkelijk verlopen. Dit stelt auditors in staat om afwijkingen van de (papieren) opzet, inefficiënties en risico’s te identificeren, die anders moeilijk te detecteren zouden zijn voor de gehele populatie.

Toepassing in Internal Audit

Met Process Mining kunnen auditors processen visualiseren zoals ze in werkelijkheid plaatsvinden. Deze visualisaties geven een betrouwbaarder beeld dan inzichten die zijn verkregen door het afnemen van interviews. Dit helpt bij het identificeren van knelpunten, work arounds en inefficiënties. Door deze inzichten kunnen auditors gerichte aanbevelingen doen voor procesverbeteringen.
Vanwege het gedetailleerde inzicht dat auditors krijgen in de werkelijke processtromen, kunnen zij potentiële risico’s beter identificeren en beoordelen. Dit helpt bij het ontwikkelen van effectievere risicobeheersingsstrategieën. Process Mining kan ook helpen bij het identificeren van inefficiënte stappen in processen. Door deze stappen te optimaliseren, kunnen organisaties kosten besparen en de algehele efficiëntie verbeteren.

Kansen voor Internal Audits

De integratie van Process Mining in internal audits biedt tal van kansen. Door gebruik te maken van feitelijke data in plaats van steekproeven en interviews, kunnen auditors nauwkeurigere en betrouwbaardere bevindingen presenteren. Process Mining automatiseert veel van de data-analyse, waardoor audits sneller kunnen worden uitgevoerd zonder in te boeten aan kwaliteit. In plaats van periodieke audits, maakt Process Mining het ook mogelijk om processen continu te monitoren en real-time inzichten te verkrijgen. Door afwijkingen en risico’s vroegtijdig te detecteren, kunnen organisaties proactief maatregelen nemen om problemen te voorkomen.

Process Mining bestaat al geruime tijd, maar door de toename in verwerkings- en opslagcapaciteit is het momentum nu in een stroomversnelling geraakt. Dit heeft de kansen voor internal audit om gebruik te gaan maken van Process Mining aanzienlijk vergroot, waardoor auditors nog effectiever en efficiënter kunnen werken.

Hoe start je met Process Mining

Het implementeren van Process Mining in jouw organisatie kan aanvankelijk overweldigend lijken, maar door de volgende vier stappen te volgen, kun je een goede start maken:

Stap 1: Identificeer de juiste processen

Kies de processen die het meest geschikt zijn voor de toepassing van een Process Mining-analyse. Dit kunnen processen zijn die van cruciaal belang zijn voor je organisatie, die regelmatig problemen vertonen of die bijzonder complex zijn. Voorwaarde hierbij is dat er logging plaatsvindt van de activiteiten die worden uitgevoerd in de systemen die het proces ondersteunen.

Stap 2: Verzamel de benodigde data

Verzamel de loggegevens die door je IT-systemen worden gegenereerd. Deze data bevatten de tijdsbepaling, activiteiten en andere relevante informatie die nodig is om de processen in kaart te brengen. Vaak is er nog wel enige data opschoning nodig om de data klaar te maken om ingeladen te worden in de Process Mining tool.

Stap 3: Gebruik Process Mining tools

Maak gebruik van Process Mining-software om de verzamelde data te analyseren en te visualiseren. Er zijn verschillende tools beschikbaar op de markt, zoals Celonis, Disco en UiPath. Het advies is om klein te beginnen en bijvoorbeeld eerst een toetsing uit te voeren met Disco, een zeer gebruiksvriendelijke tool, om de mogelijkheden te onderzoeken.

Stap 4: Analyseer de resultaten en implementeer verbeteringen

Analyseer de visualisaties en resultaten om inefficiënties, knelpunten en afwijkingen te identificeren. Gebruik deze inzichten om gerichte verbeteringen door te voeren in je processen en om de naleving van regelgeving te waarborgen.