Internal Audit functie (IAF)
De onafhankelijke functie binnen een organisatie die de opzet en de werking van de interne risicobeheersings- en controlesystemen beoordeelt en bestuur en raad van commissarissen daarover zekerheid en advies geeft. In de Nederlandse Corporate Governance Code staat de functie in principe 1.3; de beroepsnormen zijn de Global Internal Audit Standards van het IIA.
Bron: Nederlandse Corporate Governance Code 2025, principe 1.3; IIA Global Internal Audit Standards 2024; Internal Audit Monitor 2025
Een Internal Audit functie (IAF) geeft het bestuur en de raad van commissarissen onafhankelijk inzicht in hoe goed de organisatie haar risico's beheerst. Volgens principe 1.3 van de Nederlandse Corporate Governance Code heeft de functie als taak de opzet en de werking van de interne risicobeheersings- en controlesystemen te beoordelen. Het bestuur is verantwoordelijk voor de functie en de raad van commissarissen houdt er toezicht op. De bepalingen 1.3.1 tot en met 1.3.6 gaan onder meer over benoeming en ontslag van de leidinggevende interne auditor, het werkplan, de rapportage aan bestuur en auditcommissie en een beoordeling door een onafhankelijke derde partij, ten minste eens per vijf jaar.
Een IAF kent verschillende vormen. De meeste beursvennootschappen hebben een eigen functie met een Chief Audit Executive in dienst. Daarnaast komen co-sourcing voor, waarbij een eigen hoofd internal audit wordt aangevuld met externe specialisten, volledige uitbesteding, een combinatie met risicomanagement onder één verantwoordelijke en een functie met een beperkte reikwijdte. Heeft een beursvennootschap geen interne auditdienst, dan beoordeelt de raad van commissarissen volgens best practice bepaling 1.3.6 jaarlijks of adequate alternatieve maatregelen zijn getroffen en of een eigen dienst nodig is.
De Internal Audit Monitor volgt de functie bij Nederlandse beursvennootschappen sinds 2016. Volgens de editie 2025 had in 2024 circa 72% van de in Nederland gevestigde beursvennootschappen een IAF: 58 van de 81, tegen 52% in 2016. Alle AEX-fondsen hebben er een; de sterkste groei zat bij de kleinere AScX-fondsen, van 39% naar 68%. Volledige uitbesteding bleef een uitzondering.
Buiten de beurs schrijft de wet een auditfunctie per sector voor, onder meer bij banken, verzekeraars en pensioenfondsen. Voor andere organisaties is een IAF een keuze van bestuur en toezichthouders.
ONE Risk Advisory voert de Internal Audit Monitor uit in samenwerking met IIA Nederland en Nyenrode Business Universiteit, en helpt organisaties bij het inrichten, versterken en laten toetsen van hun Internal Audit functie.
Laatst bijgewerkt:
Verwante dienst Internal Audit
Veelgestelde vragen
Is een Internal Audit functie verplicht voor beursvennootschappen?
Niet wettelijk. De Corporate Governance Code gaat uit van een eigen interne auditdienst, maar werkt volgens pas toe of leg uit: zonder eigen dienst beoordeelt de raad van commissarissen jaarlijks of adequate alternatieve maatregelen zijn getroffen (best practice bepaling 1.3.6). De toelichting noemt uitbesteding een adequaat alternatief als de omvang zich niet leent voor een eigen dienst. Voor banken, verzekeraars en pensioenfondsen geldt wel een wettelijke plicht.
Hoeveel beursvennootschappen hebben een Internal Audit functie?
Volgens de Internal Audit Monitor 2025 had in 2024 circa 72% van de in Nederland gevestigde beursvennootschappen een Internal Audit functie, 58 van de 81. In 2016 was dat 52%.
Wat is het verschil tussen de Internal Audit functie en de externe accountant?
De externe accountant controleert de jaarrekening en rapporteert daarover aan aandeelhouders en de buitenwereld. De Internal Audit functie werkt voor bestuur en raad van commissarissen en beoordeelt breder hoe de organisatie haar strategische, operationele, compliance- en verslaggevingsrisico's beheerst.