In juli 2023 schreef Thijs Smit, Associate Partner Internal Audit Leadership bij ONE Risk Advisory, in Audit Magazine een column over de voorgestelde Global Internal Audit Standards. IIA Global publiceerde begin maart 2023 de nieuwe conceptstandaarden en presenteerde ze als een evolutie. Thijs kwam tot een andere conclusie: het is een revolutie, met goede en minder goede kanten. De nieuwe naam en de heldere opbouw vond hij een verbetering. Het meer rule based karakter, de eisen die rechtstreeks aan de board worden gesteld en de verplichte rating per bevinding vond hij zorgelijk.
Hieronder staat de column zoals hij op 3 juli 2023 verscheen in Audit Magazine, het vakblad voor internal auditors van IIA Nederland. Daarna volgt een naschrift: wat er van deze punten terechtkwam in de definitieve standaarden, die het IIA op 9 januari 2024 publiceerde.
De column: Hoezo evolutie?
Nee, deze column gaat niet over de evolutieleer van Darwin. Ik ga het hebben over de nieuwe voorgestelde regelgeving voor internal audit.
Begin maart van dit jaar publiceerde IIA Global de nieuwe conceptstandaarden. Het geheel is gepresenteerd als een evolutie. Na bestudering kom ik tot een andere conclusie: het is een regelrechte revolutie. En zoals zo vaak met revoluties kent ook deze haar goede en minder goede kanten. De minder goede kanten hebben wat mij betreft de overhand.
Er zit een aantal positieve punten in de nieuwe regelgeving maar ook meerdere gevaarlijke ontwikkelingen met mogelijk een negatieve impact op de beroepsuitoefening.
Ik begin met twee positieve punten. Het eerste punt betreft de naam. De huidige naam van de standaarden is ‘The International Standards for the Professional Practice of Internal Auditing’. De nieuwe naam wordt ‘Global Internal Audit Standards’, wat mij betreft een hele verbetering.
Het tweede positieve punt gaat over de opbouw van de standaarden. De huidige regelgeving van het IIA is niet overzichtelijk te noemen. Het bestaat uit een reeks organisch gegroeide verplichte en aanbevolen onderdelen die samen het International Professional Practices Framework (IPPF) vormen. De structuur van de nieuwe regelgeving is veel duidelijker. De voorgestelde standaarden zijn opgedeeld in vijf domeinen. Aangezien alles nog in het Engels staat heb ik de namen van de domeinen naar het Nederlands vertaald. Mijn excuses voor de soms wat amateuristische vertaling:
- domein 1: Doel van internal audit;
- domein 2: Ethiek en professionaliteit;
- domein 3: Governance van internal audit;
- domein 4: Managen van een internal auditfunctie;
- domein 5: Uitvoeren van internal auditopdrachten.
Het eerste domein bestaat uit de definitie en missie van internal audit. Domeinen 2 tot en met 5 bevatten een 15-tal principes. Domein 2 geeft de volgende 5 principes: integriteit, objectiviteit, competenties, professionaliteit en vertrouwelijkheid. Onder de 15 principes zijn 53 standaarden opgenomen. Bijvoorbeeld onder principe 1 ‘integriteit’ staan 3 standaarden, te weten:
- 1.1 eerlijkheid en moed;
- 1.2 ethische verwachtingen organisatie en
- 1.3 professionele houding.
Daarnaast zijn bij elke standaard de overwegingen genoemd die tot de standaard hebben geleid, en de manier om de naleving ervan aan te tonen. Een mooie logische opbouw van alle standaarden met een hele gedegen toelichting. Een aanzienlijke verbetering ten opzichte van nu. Tot hier het goede nieuws.
De inhoud van de nieuwe standaarden stemt me niet vrolijk. Laat ik beginnen met een algemene vaststelling. Het huidige IPPF is principle based, de voorgestelde nieuwe standaarden hebben een meer rule based-karakter. In het huidige IPPF staat ongeveer honderd keer ‘should’ en vaak worden termen gebruikt als ‘consider’ of ‘could’. In de voorgestelde standaarden is dit vaak vervangen door ‘should’, ruim driehonderd keer. Dat geeft bij het toepassen van de standaarden weinig ruimte voor eigen interpretatie. Een slechte ontwikkeling wat mij betreft.
In de voorgestelde standaarden worden rechtstreeks eisen gesteld aan de board van de onderneming. Het wordt lastig voor de chief auditor om die eisen op te leggen aan zijn raad van bestuur en/of audit committee.
Nog een discutabel punt: een rating per bevinding wordt verplicht gesteld evenals een eindoordeel voor de hele audit. We weten allemaal dat het gebruik van ratings soms kan afleiden van waar het echt om gaat, namelijk het verbeteren van de organisatie. Ik voorzie dat het invoeren van deze standaard in Nederlandse context heel lastig wordt.
Veel vakgenoten, organisaties en instituten hebben hun reacties ingediend bij IIA Global. De finale versie van de standaarden wordt verwacht in het vierde kwartaal van dit jaar.
Naschrift (oktober 2026): wat werd het in de definitieve standaarden?
Het IIA publiceerde de definitieve Global Internal Audit Standards op 9 januari 2024. Ze gelden sinds 9 januari 2025 en vervangen de International Standards for the Professional Practice of Internal Auditing, de Code of Ethics en de andere verplichte onderdelen van het IPPF uit 2017. Op de voorgestelde standaarden kwamen volgens het IIA bijna 19.000 opmerkingen binnen, uit 1.600 reacties op de consultatie. Sinds 9 januari 2025 zijn de standaarden ook het kader voor de externe kwaliteitstoetsing (EQA), die een Internal Audit functie ten minste eens per vijf jaar laat uitvoeren. In de tabel staat per punt uit de column wat de definitieve tekst zegt.
| Punt uit de column | Definitieve tekst (9 januari 2024) |
|---|---|
| De naam | Het werd Global Internal Audit Standards, de naam die Thijs een verbetering vond. |
| De opbouw | Vijf domeinen, vijftien principes en 52 standaarden (in de voorgestelde standaarden 53). Elke standaard heeft Requirements, Considerations for Implementation en Examples of Evidence of Conformance. |
| Principe 1, integriteit | Principle 1 Demonstrate Integrity, met de standaarden 1.1 Honesty and Professional Courage, 1.2 Organization’s Ethical Expectations en 1.3 Legal and Ethical Behavior. |
| Principle based of rule based | “Must” staat voor een onvoorwaardelijke eis. “Should” staat in de Considerations for Implementation en beschrijft werkwijzen die de voorkeur hebben, maar niet verplicht zijn. |
| Eisen aan de board | De requirements in Domein III zijn gericht aan de Chief Audit Executive (CAE). Wat de board en het senior management doen, staat per standaard als essential condition. De CAE moet dit domein met hen bespreken. |
| Rating per bevinding en eindoordeel | Elke bevinding moet naar significantie worden geprioriteerd, volgens de methodologie van de CAE (standaard 14.3). Elke opdracht krijgt een conclusie (standaard 14.5). Een ratingschaal voor die conclusie is niet verplicht; de toelichting bij 14.5 noemt er een als voorbeeld. |
In de column noemt Thijs de raad van bestuur en het audit committee. Hoe de board in Nederland moet worden gelezen, werkte IIA Nederland op 9 september 2026 uit in een toelichting op de toepassing van de standaarden in het Nederlandse two-tier systeem. Het bestuur bestaat daarin uit twee organen: de raad van bestuur en de raad van commissarissen met de auditcommissie. Het toezicht op de Internal Audit functie uit Principe 8 ligt bij de auditcommissie.
Over Thijs Smit
Thijs Smit is Associate Partner Internal Audit Leadership bij ONE Risk Advisory, registeraccountant en Certified Internal Auditor. Hij was Chief Audit Executive bij zes bedrijven en werkte behalve in Den Haag, Amsterdam en Utrecht ook in Brussel en Londen. Bij IIA Nederland was hij ruim 25 jaar commissielid, bestuurslid en voorzitter van het bestuur. Daarnaast was hij vijf jaar bestuurslid van de European Confederation of Institutes of Internal Auditing (ECIIA), waarvan twee jaar als voorzitter, en van 2009 tot 2013 bestuurslid van het wereldwijde IIA.
Bij het verschijnen van de column stelde Audit Magazine hem voor als auditconsultant en gastdocent bij de Universiteit van Amsterdam en Nyenrode Business Universiteit, en als voormalig CAE bij onder meer PostNL, Corus, Ahold, SNS Reaal en SHV. Meer over Thijs staat op onze teampagina.
Veelgestelde vragen
Wat zijn de Global Internal Audit Standards?
De Global Internal Audit Standards zijn de wereldwijde beroepsstandaarden voor internal audit van The Institute of Internal Auditors (IIA). Ze zijn gepubliceerd op 9 januari 2024 en gelden sinds 9 januari 2025. Ze vervangen de International Standards for the Professional Practice of Internal Auditing en de andere verplichte onderdelen van het IPPF uit 2017, en bestaan uit vijf domeinen, vijftien principes en 52 standaarden.
Waarom noemde Thijs Smit de nieuwe standaarden een revolutie?
Volgens Thijs Smit veranderden de conceptstandaarden van maart 2023 niet alleen de opbouw, maar ook het karakter van de standaarden: van principle based naar meer rule based, met eisen die rechtstreeks aan de board zijn gericht en een verplichte rating per bevinding en eindoordeel per audit. De nieuwe naam en de heldere opbouw zag hij wel als verbetering.
Zijn ratings van bevindingen verplicht onder de Global Internal Audit Standards?
Standaard 14.3 vraagt dat internal auditors elke bevinding beoordelen op significantie en prioriteren volgens de methodologie van de Chief Audit Executive. Standaard 14.5 vraagt per opdracht een conclusie. Een vaste ratingschaal schrijven de standaarden niet voor; de toelichting bij 14.5 noemt een schaal als voorbeeld.
Waar verscheen de column Hoezo evolutie?
In Audit Magazine, het vakblad voor internal auditors van IIA Nederland, op 3 juli 2023 in de rubriek Columns.
Verder lezen
- Global Internal Audit Standards: wat is er nieuw?, ons bericht van 21 maart 2023 over de voorgestelde standaarden
- Readiness Check op de Global Internal Audit Standards (januari 2024)
- Thijs Smit opent NBA-interviewreeks Getekend
- Een goed Internal Audit Plan, door Robert Bogtstra en Thijs Smit
- In onze kennisbank: Principes (voorheen Core Principles) en Auditbevinding
Wilt u weten hoe uw Internal Audit functie zich verhoudt tot de Global Internal Audit Standards, of wilt u met Thijs spreken over een kwaliteitstoetsing? Neem contact met ons op.