Combinatiefunctie internal audit en risicomanagement
Een inrichting waarbij internal audit (de derde lijn) en risicomanagementactiviteiten (de tweede lijn) onder één verantwoordelijke vallen, meestal het hoofd internal audit. De Global Internal Audit Standards staan dat toe met waarborgen; bij banken, pensioenfondsen en, vanaf 30 januari 2027, verzekeraars onder Solvency II is het niet toegestaan.
Bron: IIA Global Internal Audit Standards 2024 (Standards 2.2 en 7.1); IIA Statement of Position Three Lines Model (2026); Internal Audit Monitor 2021 en 2025
In het Three Lines Model is risicomanagement een tweedelijnsfunctie en internal audit de onafhankelijke derde lijn. Toch combineren organisaties de twee regelmatig onder één hoofd. De Internal Audit Monitor 2021 telde in de jaarverslagen over 2020 vijf Nederlandse beursvennootschappen met zo'n combinatiefunctie; volgens de Internal Audit Monitor 2025 waren het er in 2024 vier. Bij externe kwaliteitstoetsingen zagen de onderzoekers de combinatie vaker, vooral bij kleinere organisaties en organisaties met een nog onvolwassen tweede lijn.
Voor een combinatie pleit dat beide functies werken voor bestuur en raad van commissarissen en dat hun werk in elkaars verlengde ligt. Bestuurders krijgen één samenhangend beeld van de interne beheersing, in één taal en met één aanspreekpunt, en voor kleinere organisaties levert het efficiëntie op. Daartegenover staat de onafhankelijkheid van de derde lijn: internal audit kan geen onafhankelijke assurance geven op activiteiten waarvoor zij zelf verantwoordelijk is.
De Global Internal Audit Standards staan toe dat de Chief Audit Executive ook andere rollen vervult, mits de board de mogelijke aantasting van de onafhankelijkheid erkent en er waarborgen worden afgesproken. Voor de gebieden onder de Chief Audit Executive moet assurance op een andere manier worden geregeld, bijvoorbeeld door een objectieve, deskundige externe partij die onafhankelijk aan de board rapporteert. Bij assurance op een activiteit waarvoor een auditor in de voorgaande twaalf maanden verantwoordelijk was, gaan de Standards ervan uit dat de objectiviteit is aangetast. Het Statement of Position van het IIA over het Three Lines Model (juli 2026) vraagt daarnaast een vastgelegde taakverdeling, goedkeuring van de bredere rol door de board en openheid daarover. In het Nederlandse two-tier-model gaat het om de raad van bestuur en de raad van commissarissen met de auditcommissie.
In de financiële sector gelden strengere regels. Bij banken wordt de auditfunctie met geen andere functie gecombineerd, bij pensioenfondsen niet met een andere sleutelfunctie, en verzekeraars onder Solvency II mogen haar tot en met 29 januari 2027 alleen onder strikte voorwaarden combineren en vanaf 30 januari 2027 niet meer.
ONE Risk Advisory helpt organisaties bij een verantwoorde inrichting van de combinatie, met een heldere taakverdeling, passende waarborgen en onafhankelijke assurance op het risicomanagement.
Laatst bijgewerkt:
Verwante dienst Internal Audit
Veelgestelde vragen
Mag het hoofd internal audit ook risicomanagement leiden?
Onder de Global Internal Audit Standards wel, met waarborgen: de board erkent de mogelijke aantasting van de onafhankelijkheid, de taakverdeling ligt vast en voor het risicomanagement wordt assurance door een andere onafhankelijke partij geregeld. Bij banken, pensioenfondsen en vanaf 30 januari 2027 bij verzekeraars onder Solvency II is de combinatie niet toegestaan.
Hoe vaak komt een combinatiefunctie voor bij beursvennootschappen?
In de jaarverslagen weinig: volgens de Internal Audit Monitor 2025 hadden in 2024 vier Nederlandse beursvennootschappen een functie die internal audit en risicomanagement combineert. Bij externe kwaliteitstoetsingen zagen de onderzoekers de combinatie vaker dan de jaarverslagen laten zien.