Het opstellen van een Internal Audit Plan lijkt eenvoudig: bepaal de belangrijkste risico’s, selecteer audits en verdeel de beschikbare capaciteit. In werkelijkheid is auditplanning een van de complexere onderdelen van het vak.
Standard 9.4 van de Global Internal Audit Standards verlangt dat het plan is gebaseerd op een gedocumenteerde beoordeling van de strategieën, doelstellingen en risico’s van de organisatie, aangevuld met input van Board en senior management en het professionele oordeel van de Chief Audit Executive (CAE).
Daar zitten belangrijke nuances in.
Begin niet bij het risk register
Een veelvoorkomende valkuil is dat Internal Audit het enterprise risk register als audit universe gebruikt en vervolgens de hoogste risico’s vertaalt naar audits. Dat is te eenvoudig.
Het vertrekpunt zijn de strategie en doelstellingen van de organisatie. De relevante vraag is niet alleen waar de grootste risico’s zitten, maar vooral: wat probeert de organisatie te bereiken en waar kan dat misgaan?
Strategische veranderingen, grote investeringen, nieuwe technologie of wijzigingen in het businessmodel kunnen nog nauwelijks zichtbaar zijn in het formele risicoregister, terwijl daar juist belangrijke assurancevraagstukken liggen.
Daarom zijn de strategie van de onderneming en het risk register belangrijke input voor de eigen assessment van internal audit als basis voor het Audit Plan.
Stakeholders leveren input, maar bepalen het plan niet
Gesprekken met bestuur, Audit Committee en senior management zijn essentieel. Zij zien ontwikkelingen die niet altijd uit formele documentatie blijken.
Maar er is een belangrijk verschil tussen input ophalen en de auditagenda laten bepalen door de stakeholders. Een plan dat uitsluitend aansluit bij managementwensen kan belangrijke risico’s missen. Een puur technisch risicogestuurd plan kan juist onvoldoende aansluiten bij wat Board en Audit Committee nodig hebben.
De kwaliteit zit in het combineren van beide perspectieven.
Kijk naar coverage, niet alleen naar audits
Een sterk auditplan maakt niet alleen duidelijk welke audits worden uitgevoerd, maar ook welke belangrijke risico’s daarmee worden afgedekt.
Niet ieder hoog risico hoeft ieder jaar door Internal Audit te worden onderzocht. Er kan recente assurance beschikbaar zijn, een andere assurance provider kan beter gepositioneerd zijn of een onderwerp kan bewust worden uitgesteld.
Maar die keuze moet uitlegbaar zijn.
Standard 9.4 verlangt bovendien dat de CAE communiceert wanneer high-risk areas niet in het plan worden opgenomen en wat de gevolgen zijn wanneer beperkte capaciteit de audit coverage beperkt.
Daarmee wordt ook duidelijk dat capaciteit niet ongemerkt het risicobeeld mag bepalen. Eerst komt de vraag welke assurance nodig is; daarna welke mensen, competenties en middelen daarvoor nodig zijn.
Betrek de totale assurance coverage
Internal Audit opereert niet alleen. Risk Management, Compliance, Security, Privacy, externe accountants en andere assurance providers kunnen delen van het risicolandschap afdekken.
Een volwassen auditplanning kijkt daarom niet uitsluitend naar Internal Audit coverage, maar naar de bredere assurance coverage van de organisatie. Dat helpt overlap te voorkomen en juist gaps zichtbaar te maken.
Een jaarplan is geen statisch plan
Standard 9.4 spreekt nadrukkelijk over een dynamic plan. De jaarlijkse risicoanalyse is slechts het minimum.
Een goed plan moet daarom zo zijn ingericht dat het snel kan worden aangepast, bijvoorbeeld bij een periodieke herijking (maand of kwartaal). Veranderingen in strategie, risico’s, systemen of organisatie kunnen aanleiding zijn audits naar voren te halen, uit te stellen, te vervangen of de scope aan te passen.
Een Internal Audit Plan is daarmee eerder een rolling portfolio of assurance priorities dan een vaste kalender voor twaalf maanden.
Professioneel oordeel blijft doorslaggevend
Risicoscores, stakeholderinterviews, eerdere audits en assurance maps leveren belangrijke input. Maar een Internal Audit Plan is uiteindelijk geen mathematische uitkomst.
De essentie is het professionele oordeel van de CAE over waar Internal Audit met schaarse capaciteit de meeste relevante assurance en insight kan bieden.
Een sterk auditplan laat daarom logisch zien: wat de organisatie wil bereiken, welke risico’s dat bedreigen, waar assurance nodig is, welke assurance al beschikbaar is en waarom Internal Audit bepaalde onderwerpen wel of niet onderzoekt.
Dan is het Internal Audit Plan niet simpelweg een lijst met audits, maar een belangrijk instrument voor de governance van de organisatie waarbij de focus gericht is op het effectief inzetten van de audit capaciteit.