Blog Archives

Inmiddels al ruim 2 jaar geleden schreef ik een blog over innovatie van Internal Audit, of liever het gebrek daaraan. Korte samenvatting: de wereld verandert in een heel hoog tempo. Buiten de geopolitieke ontwikkelingen zijn de veranderingen vooral ingegeven door technische ontwikkelingen, zoals quantum computing, flash channel techniek etc. Dat deze ontwikkelingen bepalend zijn voor bedrijfsmodellen en daarmee ook voor Internal Audit, is evident. Maar wat is nu het juiste antwoord van Internal Audit op al deze ontwikkelingen? Hoe kan het vakgebied hier in meegaan en relevant blijven? Wat doet onze beroepsgroep daaraan en welke rol speelt de beroepsvereniging IIA?

Nog meer vragen

In mijn zoektocht naar antwoorden vond ik destijds voor mijzelf vooral nog meer vragen. Is data-analyse nog vernieuwend, of is er straks een Artificial Intelligence tool waar je je data invoert, de tool vervolgens zelf externe databases betrekt (het weer, verkeer etc.) en met conclusies komt die we als auditor niet hadden kunnen bedenken? Waarom is er eigenlijk nog een separate RE- en RO-opleiding (weliswaar met een gedeeld eerste jaar)? De disruptieve bedrijven zoals TESLA, Google en Spotify hebben een Internal Audit functie, maar kijkend naar wat openstaande audit vacatures bij deze bedrijven, zie je vooral de term SOx: hebben we straks alleen nog maar bestaansrecht vanwege wetgeving? Gezien de urgentie (die er wat mij betreft was), pleitte ik destijds voor een ‘deltawerkenplan’ binnen het IIA, dat het vakgebied futureproof moest gaan houden. 

En waar staan we nu?

Allereerst de ontwikkelingen. 2 jaar verder kunnen we zeker stellen dat de wereld sterk is veranderd, de impact van Corona is een evidente. De technologische ontwikkelingen lijken (mede door Corona) een versnelling te ondergaan: online vergaderen, meer online bestellen en betalen. Bedrijven die eerst succesvol waren, hebben het moeilijk en challengers zoals Picknick groeien nu tegen de klippen op. Kijkend naar vragen van onze klanten, worden de IT-auditor en IT-riskmanager binnen 2 jaar meer gevraagd dan de ‘reguliere’ auditor en riskmanager; dit geldt zowel voor vaste functies als interim posities. Ook de toezichthouders hebben duidelijk hun focus verlegd naar IT.

Een platform voor innovatie

Dan de reactie op mijn oproep: deze was gelukkig niet aan dovemans oren gericht. Het IIA reageerde positief en heeft vervolgens een innovatie commissie in het leven geroepen, met een aantal enthousiaste vrijwilligers, waaronder ikzelf. De belangrijkste ontwikkelingen zijn in kaart gebracht, inclusief de gevolgen daarvan voor het audit vakgebied. Deze zijn gecategoriseerd naar de indeling van het IIA ambition model. Dit alles is samengevat in het innovatieplatform. Per onderwerp zijn er moderators en experts die zoveel mogelijk kennis over de onderwerpen verzamelen en beschikbaar stellen (PS voor enkele onderwerpen zoekt het IIA nog experts). Ook is er ruimte voor discussie. Onderwerpen die aan bod komen zijn bijvoorbeeld RPA, agile auditing, talent shortage, artificial intelligence & robotics en zo verder.  Dit alles om de auditprofessionals zoveel mogelijk te ondersteunen in het innoveren van hun afdeling.

Goed nieuws voor de innovatie van Internal Audit

Betekent dit dat het vakgebied er nu is en mee kan gaan in de vaart der volkeren? Wat mij betreft nog niet. Er zijn nog veel audit afdelingen in Nederland die weinig voortgang boeken op de in het innovatieplatform genoemde onderwerpen. Niet alle ontwikkelingen zijn uiteraard (even) relevant voor elke internal audit afdeling, maar het begrijpen, toetsen en zelf toepassen van de relevante technologische ontwikkelingen is een absolute noodzaak om van waarde te kunnen blijven voor je organisatie. Gelukkig zie ik ook meer en meer lichtpuntjes: afdelingen die wel veel effort in innovatie steken. Kijk maar eens in het laatste AuditMagazine, waarin een aantal innovaties aan bod komt. Ook zijn er steeds meer auditafdelingen die naast assurance (vaak terugkijkend) meer insights geven en vooruitkijken, betrokken worden bij strategische besluiten en flexibele auditkalenders hebben met meer en meer ‘exotische’ onderwerpen daarop. Kortom: het vakgebied komt meer en meer in beweging en dat is goed nieuws.

Werk jij binnen een innovatieve auditafdeling?

Het werk in de commissie heeft mijzelf ook aan het denken gezet en er mij toe aangezet om een aantal handreikingen te gaan schrijven over innovatie binnen Internal Audit. Het doel is om voor een aantal belangrijke ontwikkelingen te kijken hoe auditafdelingen deze succesvol hebben geïmplementeerd. Om andere auditafdelingen te inspireren en handvatten aan te reiken aan auditfuncties die met het betreffende onderwerp willen starten. Daarom doe ik gelijk een oproep: werk jij nu binnen een innovatieve auditafdeling en wil je graag vertellen hoe jullie afdeling een specifieke innovatie handen en voeten hebben gegeven, dan kom ik graag met jou in contact.

Mocht voor sommige genoemde innovaties gelden dat je geen idee hebt wat je er als auditor mee zou moeten, dan geef ik hierbij een eerste tip: kijk eens op het IIA innovatieplatform en vraag jezelf af: ‘Zeggen de onderwerpen mij wat, zijn ze relevant voor mijn afdeling of organisatie… en zo ja: ben ik er al mee bezig?’ Veel succes!

Marc van Heese
Partner ARC People

Suzanne Walraven is onlangs gestart als Risk & Compliance expert in de rol van consultant bij één van onze opdrachtgevers. Zij schreef een blog over haar werk en over de belangrijkste thema’s en grootste kansen binnen risk en compliance.

“Goed risicomanagement gaat niet alleen over het identificeren van risico’s en het vermijden van alle risico’s, maar juist ook over het identificeren van kansen zoals digitalisering en robotisering.”

Vertel eens wat over jezelf

Na mijn Master Rechten aan de Universiteit van Utrecht ben ik gaan werken als bedrijfsjurist. Ik werd al snel gevraagd om daarnaast – naast mijn rol als bedrijfsjurist – mee te helpen bij het opzetten en testen van interne controle maatregelen met betrekking tot de financiële rapportage om aan te tonen dat de cijfers in de jaarrekening een getrouw beeld van de werkelijkheid geven (SOx compliant zijn, oftewel een in-controlverklaring). Mijn interesse voor risicobeheersing en interne controle is toen ontstaan en ben ik mij verder gaan specialiseren in dit vakgebied door verschillende rollen te vervullen (o.a. SOx specialist, internal operational auditor, risk & compliance consultant).  

Aangezien ik de afgelopen 17 jaar veel verschillende rollen heb vervuld bij grote bedrijven binnen de domeinen audit, risk en compliance, was de keuze voor ARC People snel gemaakt. Als consultant bij ARC People krijg ik de kans om mijn kennis en ervaring te delen door bij verschillende opdrachtgevers te werken en tegelijkertijd het bedrijf verder uit te bouwen op het gebied van risk en compliance. Mijn eerste opdracht stond al meteen klaar en ik ben dan ook gelijk begonnen bij mijn eerste opdrachtgever, een grote speler op het gebied van gebiedsontwikkeling, waar ik het Compliance team ga ondersteunen. 

Welke uitdagingen zie jij op het gebied van risk en compliance en hoe speel jij daarop in?

Sinds ik ben begonnen met werken in 2003, en de Nederlandse Corporate Governance Code en de Sarbanes-Oxley Act werden ingevoerd, zijn (ook niet-beursgenoteerde) bedrijven hard aan de slag gegaan met de invulling van goede corporate governance en risicobeheersing.

Als bedrijf moet je continu vooruit blijven kijken en zorgen dat je voldoende in-control blijft met de juiste balans tussen het beheersen van risico’s en identificeren danwel implementeren van controlemaatregelen. Risicomanagement gaat niet alleen over het identificeren van risico’s, maar ook over het identificeren van opportunities (bijv. digitalisering, robotisering).

De uitdagingen die ik tegenkom zijn o.a. het ontbreken van adequate risico & control frameworks, risk management tool, risicobewuste cultuur, dashboard, de werking van controle maatregelen niet aan kunnen tonen, onduidelijke rollen en verantwoordelijkheden, risico management niet geïntegreerd in de werkprocessen. 

Goed risicomanagement gaat niet alleen over het identificeren van risico’s en het vermijden van alle risico’s, maar juist ook over het identificeren van kansen (bijv. digitalisering, robotisering). Het is een continu beheersproces: welke risico’s is de organisatie bereid te nemen en hoe kunnen we die risico’s beheersen en mitigeren? Daarbij is het management verantwoordelijk voor het realiseren en bewaken van de doelstellingen tegen reële kosten en dat deze met een hoge mate van waarschijnlijkheid worden gerealiseerd. 

Je hebt ontzettend veel ervaring op het gebied van risk en compliance. Met welke thema’s krijg jij regelmatig te maken?

Het implementeren danwel professionaliseren van een risicomanagement proces. Uitgangspunt is een geïntegreerde aanpak van risico’s waaraan een organisatie is of kan worden blootgesteld in de toekomst. Risico’s zijn er in alle soorten en maten: strategische risico’s, operationele risico’s, financiële risico’s en risico’s op het gebied van non-compliance met wet- en regelgeving. Veel voorkomende risico thema’s zijn bijvoorbeeld: cyber security en dataprivacy, veranderingen in wet- en regelgeving, marktontwikkelingen, klimaatverandering, business continuity, aantrekken en behouden van de juiste mensen, reputatieschade.  

Je hebt ook een periode als auditor gewerkt. Hoe helpt de combinatie van jouw ervaring met audit, risk én compliance bij jou werkzaamheden? 

In het Three Lines model zijn de domeinen audit, risk en compliance sterk met elkaar verbonden. Soms zijn ze van elkaar afhankelijk, maar ze kunnen elkaar ook zeker versterken. De gemene delers zitten in de kennisgebieden en het denken vanuit risico’s. Binnen de financiële sector moeten audit, risk en compliance strikt van elkaar gescheiden zijn, maar daarbuiten zie ik veel dat de functies vanuit efficiency-oogpunt met elkaar gecombineerd worden. Ik zie dan ook steeds vaker risk en compliance committees, waarin alle drie de domeinen vertegenwoordigd zijn. In mijn werk krijg ik veel te maken met zowel audit als risk en compliance; door mijn ervaring kan ik meedenken op alle niveaus. Dat is een groot voordeel, want in organisaties waar de drie domeinen zich sterk hebben ontwikkeld, is juist de uitdaging ontstaan hoe de verschillende functies het beste op elkaar kunnen worden afgestemd.

Waarom heb jij gekozen voor ARC People?

Het team van ARC People bestaat uit leuke enthousiaste collega’s met veel vakinhoudelijke kennis. Doordat ieder zijn eigen expertise heeft, kunnen we elkaar helpen en versterken. En door het indrukwekkende netwerk van ARC People kunnen zij mij interessante opdrachten aanbieden. Daarnaast mag ik ook meebouwen aan het bedrijf, wat ik ontzettend leuk vind!

Benieuwd onze specialisten voor uw organisatie kunnen betekenen? Bekijk het overzicht van onze diensten >

In mijn werk als Recruitment Consultant bij ARC People heb ik dagelijks contact met auditors, risicomanagers en compliance officers, zowel op freelancebasis als in loondienst. Vanzelfsprekend is het afgelopen Coronajaar ook op ons bureau van invloed geweest. Werving & selectie procedures werden on hold gezet, interim opdrachten werden vroegtijdig beëindigd en trainee-aanvragen werden uitgesteld. Ik besloot uit te zoeken of freelancers interesse zouden hebben in een overstap naar loondienst en ik leerde een mooie les!

“Ik ging het gesprek aan met freelancers uit ons netwerk, enkele mooie vaste vacature in de armslag ter bespreking.”

Onvermijdelijke overstap

Het was voor ons spannend of dit een initiële ‘paniekreactie’ van klanten was of toch structureler van aard. Het bleek gelukkig het eerste want terugkijkend op 2020 hebben we alsnog veel mooie vacatures kunnen vervullen, evenals enkele uitgebreide co- en outsourcing trajecten mogen uitvoeren. Ook bleek de behoefte aan tijdelijke inhuur nog steeds daar, zij het wel in minder grote getale. Hierdoor bekroop mij de gedachte dat als er binnen de ARC-doelgroep, over de hele linie minder behoefte aan tijdelijke inhuur was – freelancers mogelijk interesse zouden hebben in een overstap naar loondienst. Immers, behoefte aan meer zekerheid in onzekere tijden leek me een goed voor te stellen overweging! Redelijk overtuigd van deze gedachte ben ik vervolgens het gesprek aangegaan met ons eigen freelance netwerk om mijn ‘gelijk’ te toetsen, enkele mooie vaste vacatures in de armslag ter bespreking.

Uitgaan van je eigen kracht, ook in onzekere tijden

Niets bleek minder waar en mijn aanname onterecht. En natuurlijk, het specialisme van de ARC-doelgroep speelt hierbij een grote rol. Daar blijft – ook in Corona tijd – vraag naar. Maar klanten worden wel kritischer en de markt verschuift van vraag- naar meer aanbodgestuurd. Echter, geen enkele freelancer waarmee ik hierover sprak bleek geïnteresseerd. Nee, men wilde ‘het even afwachten’, ‘was in gesprek met’ of ‘bezig met’. Want de vrijheid van eigen baas zijn ruil je niet zomaar in. Nee, je gaat je onderscheiden, zet door, netwerkt, bent gericht op samenwerken en vergroot je kennis met certificeringen of anderzijds. En pas als dat allemaal geen nieuwe opdracht oplevert, dan zou het misschien kunnen dat… Binnen ons eigen uitgebreide netwerk van interim professionals heeft slechts een enkele freelancer de overstap gemaakt naar een vaste baan.

Vrijheid versus vastigheid. Afgaan op je eigen kunnen, uitgaan van je eigen kracht, ook in onzekere tijden. Mooie les!

Wil jij altijd de nieuwste vacature en interim opdrachten in jouw mailbox ontvangen? We houden je graag op de hoogte! Schrijf je in voor de ARC Interimdesk.

Internal audit functies, groot of klein, willen aantoonbare kwaliteit leveren. Dé kwaliteit-lakmoesproef voor internal audit is de 5-jaarlijkse (vanuit het IIA verplichte) externe kwaliteitstoets tegen de IIA Standards. Waar het voor grote audit functies vaak al een flinke uitdaging is om te voldoen aan de kwaliteitsvereisten, is het dat voor kleinere internal audit functies zeker. Maar al te vaak komt het voor dat internal audit functies hoopvol de kwaliteitstoets ingaan, helaas soms met een negatief eindresultaat tot gevolg. 

“Waar het voor grote audit functies vaak al een flinke uitdaging is om te voldoen aan de kwaliteitsvereisten, is het dat voor kleinere internal audit functies zeker.”

Om dit te voorkomen, kiezen veel kleinere internal audit functies ervoor om de noodzakelijke kwaliteitsreviews te laten uitvoeren door een externe partij als co-sourcing partner. ARC People neemt dan de operationele review van bijvoorbeeld het (concept)audit plan, het dossier en het rapport op zich. Hiermee wordt kwaliteit geborgd tot in de operationele/dagelijkse processen van de internal audit functie. Ervaring leert dat dit essentieel is om gedurende het jaar compliant te werken aan de IIA Standards. ARC People is uiteraard geaccrediteerd door het IIA om kwaliteitstoetsingen uit te voeren, om zo de nodige kennis op het vlak van de IIA Standards in te kunnen brengen. 

Verder spreekt het voor zich dat de reviews uitgevoerd worden door ervaren, door de wol geverfde professionals, desgewenst op CAE level. Als laatste zorgen we dat de reviews op een geformaliseerde en gestandaardiseerde wijze plaatsvinden op vaste punten in het audit-proces én bijvoorbeeld tijdens het opstellen van het audit universe, audit jaarplan en het uitvoeren van de jaarlijkse QAIP (Quality Assessment & Improvement Program). 

IIA Standards compliance vereist maatwerk

Voldoen aan de IIA Standaarden betekent overigens niet dat iedere internal audit functie op dezelfde manier moet worden ingericht. De diversiteit aan organisaties is enorm, net als de wijze waarop internal audit functies zijn ingericht. Het voldoen aan de IIA vereisten betekent dus dat ook hier maatwerk is vereist en de nodige ervaring en inzicht op welke manier de naleving het meest efficiënt kan worden gerealiseerd. Al met al flink wat kwaliteitsvereisten, waar nieuwe en bestaande audit functies een behoorlijke klus aan hebben. Jezelf laten bijstaan door een professionele partij is eerder vanzelfsprekend dan optioneel.

Benieuwd wat we kunnen betekenen voor uw organisatie? Neem dan contact met mij op via carlo@arcpeople.nl of 06 400 50 555. Ik vertel je er graag meer over.

Lees hier ook het eerste deel van deze blogserie >

DNB heeft met ingang van 2021 een nieuwe data-gedreven en geautomatiseerde aanpak om doelmatig en gestructureerd toezicht te kunnen houden op pensioenfondsen: ATM (Actualisatie Toezicht Methodologie). Het is een aanpak om het toezicht dynamischer te maken, waardoor sneller ingespeeld kan worden op ontwikkelingen. 

Hoe werkt de DNB toezichtaanpak?

De pensioenfondsen worden ingedeeld in een impactklasse. Iedere impactklasse kent een eigen intensiteit van het toezicht. Bij de uitvoering van de toezichtstaken en derhalve ook bij de indeling van de impactklassen is proportionaliteit een belangrijk uitgangspunt. Ook complexiteit speelt een belangrijke rol.

Om prioriteiten te bepalen, worden op basis van informatieverzameling de risico’s bepaald. Door te werken met automatische scores en het afdwingen van onderbouwing bij afwijken van deze automatische scores, is het toezicht consistent en zijn onderlinge vergelijkingen mogelijk.

In een basisprogramma (BP) dat op alle pensioenfondsen van toepassing is, wordt een oordeel verkregen over het risicoprofiel (risiconiveau en -beheersing). Dit vormt het startpunt voor een eventuele verdieping in een risico-gebaseerd programma (RP).

Onderstaand een schematische weergave van het basisprogramma, dat op alle pensioenfondsen van toepassing zal zijn. Bij de aanpak wordt vanuit 5 risicogebieden, de beheersing van 17 risico’s beoordeeld. 

Wat betekent dit voor u?

Omdat het toezicht meer data-gedreven wordt, zullen ook de middelgrote en kleine fondsen de verantwoordingsrapportages over het financieel en organisatorisch ‘in control’ zijn, op orde moeten hebben, zodat bij de informatie-uitvraag van DNB, transparant en duidelijk inzicht kan worden gegeven in gevraagde data en beheersing van de risico’s. Voor een aantal pensioenfondsen betekent dit dat de kwaliteit van (risico)managementrapportages omhoog moet. Te denken valt onder meer aan een beter inzicht in de beheersing van strategische en niet financiële risico’s, waaronder IT.

Meer informatie kan worden verkregen in de DNB brochure: ATM, de vernieuwde toezichtaanpak.

Voor vragen over deze toezichtsaanpak, of andere vragen over pensioenfondsen kunt u terecht bij onze pensioenexpert Hans Sieraad via hans@arcpeople.nl of 06 513 892 61.

Bekijk ook onze cases voor de verhalen van onze klanten >

In Nederland kennen we ongeveer 900 internal audit functies. Dat aantal groeit nog steeds. De groei zit vooral in de kleinere audit functies. Niet alleen het aantal audit functies groeit, ook de diversiteit aan auditvragen, neemt de afgelopen jaren toe. En daarmee nemen ook de uitdagingen toe.

Klein en fijn, maar met uitdagingen

80% van de internal audit functies in Nederland bestaat uit minder dan 5 fte. Een relatief kleine audit functie kent vele voordelen. Je bent wendbaar, er zijn korte lijnen en je wordt gedwongen om de meest relevante onderwerpen te kiezen. Natuurlijk geeft het ook uitdagingen. Het is bijvoorbeeld moeilijker om in te spelen op piekbelastingen en om blijvend te beschikken over de gewenste en veranderende inhoudelijke kennis. Want de praktijk is: risico’s veranderen en komen sneller op; auditvraagstukken variëren sterker en worden steeds meer thematisch.

“Er zijn steeds nieuwe audittechnieken, waaronder data-analyse, nodig om efficiënt en relevant te blijven.”

Er zijn bijna geen ‘standaard’ audits meer, alles wordt maatwerk. Ook zijn steeds nieuwe audittechnieken (waaronder data-analyse) nodig om efficiënt en relevant te blijven. Verder is audit-innovatie noodzakelijk om met minder uren, meer resultaat te boeken. Als laatste, maar niet minder belangrijk, is het noodzakelijk om ondanks alle uitdagingen compliant te zijn aan de IIA Standards (daarover meer in mijn volgende blog).

Flexibiliteit in capaciteit én kennis zijn te organiseren

De steeds uitdagender wordende realiteit van de internal audit functie kan het hoofd worden geboden door capaciteit, flexibiliteit en kennis weloverwogen te organiseren in relatie tot de behoefte. Veelal gebeurt dat door middel van een samenwerkingsconstructie. 

Sommige audit functies kiezen voor de inzet van business auditors, dat kan een deel van de behoefte invullen. Maar vanwege de noodzakelijke afstand van de 3^e linie tot 1^e en 2^e linie zien we bij onze klanten de behoefte aan een duurzame samenwerkingsconstructie in de vorm van co-sourcing. 

Als vaste co-souringspartij kennen wij de organisatie, zijn we ingespeeld op de noodzaak om snel professionals te leveren met de juiste kennis én competenties en kunnen we de auditwerkzaamheden uitvoeren op de momenten dat dat het meest zinvol is. Capaciteit, flexibiliteit en/of specialistische kennis worden daarbij op- en afgeschaald naar behoefte. Gerichte inzet van auditspecialisten zorgt op deze manier ook voor kostenbesparingen, doorlooptijden van audits worden verkort en krapte op de arbeidsmarkt wordt ondervangen. Eén van de belangrijkste factoren om bij een co-sourcingsrelatie rekening mee te houden is een goede kennisoverdracht en -borging. Natuurlijk besteden we daar veel zorg aan, net als het onderhouden van de relatie gedurende de langjarige samenwerking.

Benieuwd hoe we uw organisatie kunnen ondersteunen bij het voldoen aan de toenemende diversiteit aan auditvragen? Neem dan contact met mij op via carlo@arcpeople.nl of 06 400 50 555. Ik vertel je er graag meer over.

Lees hier ook het tweede deel van deze blogserie >

Een beetje oplettende lezer heeft het vast gezien: door een administratieve fout is de nieuwe miljoenen spits Sébastien Haller van Ajax niet opgenomen op de spelerslijst voor de Europa League en mag daarom dit seizoen niet in deze belangrijke competitie spelen. ‘Het gaat om een detail met hele grote consequenties’, zei de trainer Ten Hag. Van de spits wordt veel verwacht. Voor de beeldvorming: met een transfersom van 22,5 miljoen euro is het de duurste aankoop ooit van een Nederlandse club!

Hoe kan zoiets gebeuren, vraag je je af, als er zulke belangen spelen? Het zover mogelijk komen in de Europa League levert miljoenen op.  Met een jaaromzet van 162 miljoen zijn dat toch aanzienlijke bedragen. Ik ben gelijk maar eens gaan kijken in het jaarverslag van Ajax. Hoe zit het met risicomanagement en internal audit? Het is immers een beursgenoteerde onderneming en de Corporate Governance Code is van toepassing.

In het jaarverslag 2019/2020 vind je een uitgebreide risicoparagraaf met aandacht voor de Corporate Governance Code volgens het principe ‘comply or explain’. De 10 belangrijkste risico’s staan keurig opgesomd, inclusief de bijbehorende  beheersmaatregelen. Er is ook een three lines model, maar daar is iets geks mee aan de hand. De managers zijn de 1st line of defence. De 2nd line of defence zijn de afdelingen Finance & Control en Legal & Compliance. Er is dus geen specifieke risicomanagementfunctie (wat niet direct een issue hoeft te zijn).  Wat wel vreemd is: de afdeling Finance & Control heeft ook een rol als internal auditor, de 3rd line of defence, samen met de externe accountant. Quote uit de risicoparagraaf: “De RvC en de auditcommissie concluderen dat de ‘3rd line of defence’ naar behoren functioneert en dat daarom geen separate interne auditor nodig is.“

Je gaat het pas zien als je het doorhebt

Uit het jaarverslag is niet op te maken of er binnen de afdeling Finance & Control scheiding is tussen de uitvoerders van de 2^e lijns werkzaamheden en de 3^e lijnswerkzaamheden, maar duidelijk is dat het governance systeem op een cruciaal punt niet heeft gewerkt. Is het risico nooit geïdentificeerd, is er geen beheersmaatregel gedefinieerd, of heeft deze nooit gewerkt? Achteraf is het de koe in de kont kijken, maar wellicht is een separate functie van risicomanager en een functie van internal auditor toch niet zo’n gek idee? Om met een groot ajacied te spreken: “je gaat het pas zien als je het doorhebt”. Dat geldt zeker ook voor interne beheersing.

Als liefhebber van deze vakgebieden en voetbal (van Ajax), bied ik Ajax graag onze diensten aan en om de tegenvaller van de Haller-casus een klein beetje te compenseren, tegen een gereduceerd tarief. Een vrijblijvende sparringssessie over een gedegen én efficiënte inrichting van de three lines kan altijd.

Dit laatste geldt natuurlijk ook voor andere organisaties. Neem gerust even contact op via marc@arcpeople.nl of 06 52 07 31 62.

Wanneer auditors de werking van een IT- of bedrijfsproces vast willen stellen, nemen ze vaak een deelwaarneming. Op Internet zijn talloze voorbeelden te vinden van tabellen die aangeven hoeveel posten minimaal beoordeeld moeten worden, afhankelijk van hoe vaak een proces in een jaar wordt uitgevoerd (zie bijvoorbeeld het Control Framework Horizontaal Toezicht Zorg, geraadpleegd op 24 november 2020). Een deelwaarneming is geen steekproef. Omdat met een deelwaarneming doorgaans minder posten worden gecontroleerd, is de zeggingskracht stukken lager dan wat met een steekproef mogelijk is. In dit artikel wordt toegelicht hoe een statistische steekproef zou kunnen worden gebruikt om een uitspraak te doen over de werking van een proces. Ingegaan wordt op de vraag wat een steekproef precies is, uit welke stappen die bestaat en welke alternatieven er zijn.

Wat zijn steekproeven?

Bij een steekproef wordt een beperkt aantal posten gecontroleerd. Het aantal moet groot genoeg zijn om een statistisch verantwoorde uitspraak over de hele populatie te kunnen doen. In een geldsteekproef wordt die populatie gevormd door de bedragen die in de jaarrekening worden genoemd. In een postensteekproef bestaat de populatie uit het aantal keren dat zich een gebeurtenis heeft voorgedaan, bijvoorbeeld hoe vaak een proces in een periode is uitgevoerd. In dit artikel gaat het uitsluitend over de postensteekproef. Gecontroleerd wordt dan of een beheersingsmaatregel in alle onderzochte gevallen effectief is geweest, bijvoorbeeld of de impact van een wijzigingsverzoek correct is bepaald.

De populatie bestaat uit een aantal elementen waarvan de kenmerken worden bepaald. In het eerder genoemde voorbeeld zijn de elementen de verzameling wijzigingsverzoeken en is het bepalen van de impact een kenmerk. In een steekproef wordt een uitspraak gedaan of een kenmerk van een element goed of fout is en op basis hiervan statistisch getoetst of het aantal fouten in de populatie onder een vooraf vastgestelde grens ligt. Statistici spreken dan van een Bernoulli-experiment. Die uitspraak wordt met een bepaalde betrouwbaarheid gedaan. Omgekeerd aan de betrouwbaarheid is de kans dat het oordeel over de hele populatie verkeerd is. Gebruikelijk is een betrouwbaarheid van 95%. Dat betekent dat in hooguit 5% van de gevallen de auditor ten onrechte een goedkeurend oordeel geeft. Verder gaat het oordeel gepaard met een bepaalde nauwkeurigheid, oftewel de schatting van het aantal fouten in de populatie. Gebruikelijk is dat ten hoogste 1% fouten in de populatie acceptabel is. Accountants spreken in plaats van nauwkeurigheid over materialiteit.

Het uitvoeren van een steekproef is aan een aantal spelregels gebonden. Ten eerste moet duidelijk zijn welke elementen tot de populatie behoren en welke niet. Ten tweede mag geen misverstand bestaan hoe kenmerken gemeten worden en wanneer die als ‘goed’ worden bestempeld. Ten derde worden elementen willekeurig en onafhankelijk van de kenmerken geselecteerd om te controleren. Tot slot mag een element pas worden goedgekeurd als voldoende informatie is verzameld om te kunnen concluderen dat aan alle criteria is voldaan.

Stappenplan

Benieuwd naar de zes stappen van een goede steekproef? Download hier het volledige artikel.

Door: Wout Schiphorst, interim consultant via ARC People

Bron: auditinfo.nl

Deze tekst wordt ter beschikking gesteld onder de Creative Commons licentie Naamsvermelding-NietCommercieel-GelijkDelen 4.0 Internationaal (CC BY-NC-SA 4.0). De volledige tekst van de licentie is te lezen op: https://creativecommons.org/licenses/by-nc-sa/4.0/legalcode.nl

DNB is de laatste jaren aan het versnellen als het gaat om het verdiepen en specifiek maken van het toezicht. Een aantal recente publicaties van DNB laat zien hoe dat toezicht er in de toekomst uitziet. Zo ook de recent verschenen DNB publicatie “Visie op toezicht 2021 – 2024”. Dit is een interessante publicatie voor onder toezicht staande instellingen, omdat het aangeeft hoe een onder toezicht staande instelling in kan spelen op die veranderende manier van toezicht. Na het lezen van deze publicatie is duidelijk dat er behoorlijk wat werk aan de winkel is voor deze instellingen.

ARC People helpt een aanzienlijk aantal banken, verzekeraars en pensioenfondsen met deze vraagstukken vanuit zowel het risicomanagementperspectief als internal audit perspectief. Benieuwd naar onze visie? Neem dan contact op met één van onze partners >