De eerste Internal Audit Monitor bracht in kaart welke Nederlandse beursvennootschappen een Internal Audit functie (IAF) hebben, hoe die is ingericht en hoe ondernemingen zonder IAF dat uitleggen. Een dergelijk totaaloverzicht bestond tot dan niet. Robert Bogtstra (ONE Risk Advisory) en Remko Renes (Nyenrode Business Universiteit) voerden het onderzoek uit in opdracht van de Stichting Vaktechnisch Onderzoek van IIA Nederland. Het rapport verscheen op 16 januari 2018 en beschrijft de stand van eind 2016, het jaar waarin de herziene Nederlandse Corporate Governance Code de IAF een prominente plaats gaf. Dat jaar is sindsdien het vertrekpunt van de reeks.
Hoeveel beursvennootschappen hadden een Internal Audit functie?
Eind 2016 beschikte 52% van de Nederlandse beursvennootschappen over een Internal Audit functie. Het beeld verschilde sterk naar omvang: alle twintig AEX-fondsen hadden een IAF, bij de lokale fondsen waren het er twee van de 29. Ten opzichte van 2010 was het aantal functies in alle indices gestegen.
| Beursindex | 2010 | Eind 2016 |
|---|---|---|
| AEX | 81% | 20 van 20 (100%) |
| AMX | 15 van 22 (68%) | 18 van 22 (82%) |
| AScX | 7 van 20 (35%) | 9 van 23 (39%) |
| Lokale fondsen | geen gegevens | 2 van 29 (7%) |
| Totaal | 49 van 94 (52%) |
Zeven vennootschappen, samen 7% van het totaal, maakten bekend dat zij in de loop van 2017 met een Internal Audit functie zouden starten, mede naar aanleiding van de herziene Code. Van de overige vennootschappen zonder IAF lichtte niet iedereen dat toe: 15% van alle beursvennootschappen gaf geen uitleg. Een deel daarvan betrof zogenoemde slapende of lege beursvennootschappen.
Van volwaardige functie tot losse auditwerkzaamheden
Internal Audit functies bleken er in soorten en maten te zijn, wat goed te verklaren is uit verschillen in omvang en type organisatie. Bij de meeste beursvennootschappen ging het om een volwaardige, zelfstandige functie: een Chief Audit Executive in dienst van de vennootschap, die rapporteert aan het bestuur en toegang heeft tot de auditcommissie. Het onderzoek ging uit van de definitie van het IIA en verwees naar het Internal Audit Ambition Model van IIA Nederland, waarin een volwaardige functie ten minste het derde van vijf niveaus haalt. Daarnaast zag het onderzoek andere verschijningsvormen:
- een functie die volledig is uitbesteed aan een externe dienstverlener;
- een functie die internal audit en risicomanagement onder één verantwoordelijke combineert;
- een functie met een beperkte reikwijdte, bijvoorbeeld alleen operationele audits op projecten of alleen bepaalde regio’s;
- auditwerkzaamheden zonder formele functie, zoals reviews van het control framework door de financiële afdeling of een auditprogramma dat controllers uitvoeren.
Bij een beperkte reikwijdte vallen onderdelen, activiteiten of regio’s buiten het werk van internal audit. Bestuurders en commissarissen moeten hun informatie daarover dan uit andere bronnen halen. Volledige uitbesteding vonden de onderzoekers niet wenselijk, omdat de eindverantwoordelijkheid voor de functie niet effectief bij een derde kan liggen. Zij adviseerden een Chief Audit Executive in eigen dienst, zo nodig aangevuld met externe specialisten. De combinatie met risicomanagement noemden zij werkbaar onder voorwaarden, met als kanttekening dat internal audit dan geen assurance kan geven op het risicomanagement dat zij zelf uitvoert. De Internal Audit Monitor 2021 werkte dat onderwerp verder uit.
De toelichting bij de Code noemt uitbesteding overigens een adequaat alternatief wanneer de omvang van de vennootschap zich niet leent voor een eigen interne auditdienst, mits raad van commissarissen en auditcommissie er volgens de bepalingen van principe 1.3 bij betrokken blijven. In de praktijk bleef volledige uitbesteding een uitzondering: volgens de Internal Audit Monitor 2025 ging het in de jaren 2016 tot en met 2024 steeds om vier tot acht ondernemingen.
Size doesn’t matter
De belangrijkste boodschap van het onderzoek was dat omvang geen reden hoeft te zijn om af te zien van een Internal Audit functie. Kleinere beursfondsen zonder IAF noemden grofweg twee argumenten: een eigen functie zou te duur zijn, en de waarde voor de organisatie zou beperkt zijn. Bij nadere beschouwing berust die afweging volgens de onderzoekers meestal op een misverstand. Ook het idee dat een geloofwaardige functie minimaal drie medewerkers nodig heeft, bleek in de interviews hardnekkig, terwijl praktisch maatwerk en een groeimodel goed mogelijk zijn.
Het rapport gaf bestuurders en commissarissen van kleinere fondsen een aantal routes mee:
- starten met ondersteuning vanuit de eigen organisatie, bijvoorbeeld door medewerkers uit de control-organisatie een deel van het auditwerk te laten doen;
- een groeimodel hanteren in plaats van direct een volledige functie in te richten, bijvoorbeeld door te beginnen met de effectiviteit van het control framework op deelgebieden;
- co-sourcing: een hoofd internal audit in vaste dienst, aangevuld met externe specialisten wanneer dat nodig is;
- en als er toch geen eigen dienst komt, een goede uitleg van de reden en van de alternatieve maatregelen.
Het woord tussenoplossing is daarbij bewust gekozen: na een praktische start hoort de functie door te groeien naar volwassenheid. Om de waarde van een IAF te bepalen, kunnen bestuurders en commissarissen zich onder meer afvragen of beheersmaatregelen inefficiënt of ineffectief kunnen zijn, of er behoefte is aan onafhankelijke zekerheid daarover, of bestuur en auditcommissie voldoende informatie hebben, of er de laatste jaren onvoorziene verliezen of fraude waren, en of er grote organisatieveranderingen gepland staan.
Latere edities bevestigen die boodschap. Juist bij de kleinere AScX-fondsen steeg het aandeel met een Internal Audit functie het sterkst, van 39% in 2016 naar 68% in 2024.
Van Commissie Peters tot de Code van 2016
De positie van internal audit in de Nederlandse governance groeide in twintig jaar sterk. De Veertig aanbevelingen van de Commissie Peters (1997) noemden internal audit nog niet. De eerste Corporate Governance Code (Code Tabaksblat, 2003) sprak van de interne accountant, die functioneert onder de verantwoordelijkheid van het bestuur. De aangepaste Code van 2008 (Commissie Frijns) introduceerde de interne auditor, gaf die toegang tot de externe accountant en de voorzitter van de auditcommissie, en vroeg de auditcommissie jaarlijks te evalueren of er behoefte is aan een interne auditor als die functie ontbreekt.
De herziene Code van 2016 (Commissie Van Manen) gaf de Internal Audit functie een eigen principe, 1.3, met bepalingen over benoeming en ontslag, beoordeling, het werkplan, de uitvoering, de rapportage en het ontbreken van een interne auditdienst. Het principe beschrijft de taak: de opzet en de werking van de interne risicobeheersings- en controlesystemen beoordelen. Het bestuur is verantwoordelijk voor de functie, de raad van commissarissen houdt er toezicht op. Ontbreekt een interne auditdienst, dan beoordeelt de raad van commissarissen volgens best practice bepaling 1.3.6 jaarlijks, mede op advies van de auditcommissie, of adequate alternatieve maatregelen zijn getroffen en of een eigen dienst nodig is, en neemt hij de conclusies op in zijn verslag.
Die bepalingen gelden nog steeds. De Code van december 2022, van toepassing vanaf boekjaar 2023, voegde in best practice bepaling 1.3.2 toe dat het functioneren van de interne audit functie ten minste eens per vijf jaar wordt beoordeeld door een onafhankelijke derde partij. De Code van 2025 liet principe 1.3 ongewijzigd en voegde de Verklaring omtrent Risicobeheersing toe. Sinds 3 februari 2026 is de Code van 2025 wettelijk aangewezen via het Besluit inhoud bestuursverslag; zoals altijd geldt pas toe of leg uit.
Hoe de reeks verderging
De Internal Audit Monitor volgt de ontwikkeling sindsdien. In 2020 verscheen een tussenmeting over 2016 tot en met 2018 in het Maandblad voor Accountancy en Bedrijfseconomie: het aandeel met een IAF steeg naar 64%. Volgens de Internal Audit Monitor 2021 was het aandeel beursvennootschappen met een IAF eind 2020 gestegen naar 67%; die editie ging ook in op de kwaliteit van de uitleg en op de combinatie van internal audit en risicomanagement. Volgens de Internal Audit Monitor 2025 had in 2024 circa 72% van de in Nederland gevestigde beursvennootschappen een Internal Audit functie: 58 van de 81.
Over het onderzoek
Het onderzoek bracht de stand per eind 2016 in kaart met deskresearch in publiek beschikbare documenten, zoals jaarverslagen en corporate governance-verklaringen, aangevuld met interviews over de verschijningsvormen. De populatie bestond uit de Nederlandse beursvennootschappen in de AEX, de AMX en de AScX en de lokale fondsen. De cijfers over 2010 zijn ontleend aan het onderzoek van Johan Scheffe in Audit Magazine (2011). Het rapport is uitgegeven door IIA Nederland; gebruik van de tekst is toegestaan met bronvermelding.
Download het rapport: Internal Audit Monitor 2017 (PDF)
Wilt u weten welke vorm van een Internal Audit functie past bij de omvang van uw organisatie, of hoe co-sourcing of een groeimodel in uw situatie uitpakt? Neem gerust contact met ons op.