De Internal Audit Monitor 2021 volgt de Internal Audit functie (IAF) bij Nederlandse beursvennootschappen over de boekjaren 2016 tot en met 2020. Robert Bogtstra en Inge Garretsen (ONE Risk Advisory) en Remko Renes (Nyenrode Business Universiteit) schreven het rapport op verzoek van IIA Nederland; het verscheen in 2022. Naast de ontwikkeling in aantallen en verschijningsvormen gaat deze editie in op de kwaliteit van de uitleg wanneer een IAF ontbreekt, en op een onderwerp waarover in de praktijk veel discussie is: de combinatie van internal audit en risicomanagement in één functie.
Van 52% naar 67% in vier jaar
Het aandeel Nederlandse beursvennootschappen met een Internal Audit functie steeg van 52% eind 2016 naar 67% eind 2020. De groei was al zichtbaar in de jaren 2010 tot en met 2016, maar was het sterkst van 2016 op 2017. De onderzoekers verbinden dat met de herziene Corporate Governance Code van 2016, die veel aandacht aan internal audit gaf. Daarna vlakte de stijging af.
| Beursindex | Eind 2016 | Eind 2020 |
|---|---|---|
| AEX | 100% | 100% |
| AMX | 77% | 95% |
| AScX | 39% | 68% |
| Lokale fondsen | 10% | 21% (6 van 29) |
| Totaal | 52% | 67% |
Alle AEX-fondsen en vrijwel alle AMX-fondsen hadden eind 2020 een IAF. Bij de AScX steeg het aandeel van 39% naar 68%, bij de lokale fondsen van 10% naar 21%. In 2020 kwamen er drie nieuwe Internal Audit functies bij, waarvan twee bij nieuwkomers op Euronext Amsterdam die al een functie hadden. Twee vennootschappen kondigden aan in 2021 een IAF in te richten of opnieuw in te richten.
Uitleggen waarom er geen IAF is
De Code werkt volgens pas toe of leg uit. Wie afwijkt van een principe of best practice bepaling, legt uit hoe en waarom, of de afwijking tijdelijk is en wanneer de vennootschap de bepaling weer wil naleven, en welke alternatieve maatregel is genomen en hoe die het doel van de bepaling bereikt. Voor de IAF is best practice bepaling 1.3.6 het ankerpunt: zonder interne auditdienst beoordeelt de raad van commissarissen jaarlijks of adequate alternatieve maatregelen zijn getroffen en of een eigen dienst nodig is. De toelichting bij de Code maakt een eigen dienst tot uitgangspunt en noemt uitbesteding een adequaat alternatief als de omvang van de vennootschap zich niet leent voor een eigen dienst. Een beperkte omvang is op zichzelf dus nog geen gemotiveerde uitleg.
In de praktijk schoot de uitleg vaak tekort. Het eerdere onderzoek van de auteurs over boekjaar 2018, in 2020 gepubliceerd in het Maandblad voor Accountancy en Bedrijfseconomie, vond slechts drie beursvennootschappen met een uitleg die aan de criteria van de Code voldeed. De Monitor 2021 stelt vast dat de kwaliteit sindsdien nauwelijks verbeterde. De meeste vennootschappen zonder IAF volstonden met de vaststelling dat de omvang van de organisatie beperkt is, zonder te zeggen of het dan gaat om omzet, aantal medewerkers, locaties, geografische spreiding of iets anders. Twee vennootschappen gaven over 2020 helemaal geen uitleg.
Ook de Monitoring Commissie Corporate Governance Code legde in haar rapport over boekjaar 2020 (december 2021) de nadruk op de kwaliteit van de rapportage: naleving is geen afvinkexercitie, en standaardteksten passen daar slecht bij. Een goede uitleg beschrijft daarom niet alleen welke alternatieve maatregelen er zijn, maar ook waarom die volstaan voor het doel van de bepaling en hoe ze bijdragen aan goed ondernemingsbestuur. Inmiddels is het beeld verbeterd: volgens de Internal Audit Monitor 2025 laat op één na geen enkele beursvennootschap het ontbreken van een IAF nog onverklaard.
Internal audit en risicomanagement combineren: geen taboe, wel voorwaarden
Het combineren van internal audit en risicomanagement wordt vaak als onwenselijk gezien. In het three lines model is risicomanagement een tweedelijnsfunctie en internal audit de onafhankelijke derde lijn. Wie beide samenvoegt, raakt aan de onafhankelijkheid en objectiviteit van de auditfunctie.
In de jaarverslagen over 2020 meldden vijf Nederlandse beursvennootschappen dat risicomanagement en internal audit onder één verantwoordelijke persoon vallen. Zij benadrukten daarbij dat de verantwoordelijkheid voor risicomanagement in de eerste lijn ligt en dat het risicomanagementwerk van de auditfunctie ondersteunend is. Wat dat werk precies omvat, en waarom voor een combinatie is gekozen, bleek uit de jaarverslagen niet altijd.
De praktijk laat meer combinaties zien dan de jaarverslagen. Bij externe kwaliteitstoetsingen zagen de onderzoekers vaker functies die internal audit combineren met enterprise risk management of met specifieke controleteams, en veel auditfuncties voeren in meer of mindere mate risicomanagementactiviteiten uit, zoals het faciliteren van risicoanalyses en workshops. Dat komt het meest voor bij kleinere organisaties en bij organisaties met een nog onvolwassen tweede lijn, maar ook bij organisaties die juist ver gevorderd zijn in hun interne beheersing. De onderzoekers zagen twee vormen: dezelfde mensen doen auditwerk en coördinerend of faciliterend risicomanagementwerk, of aparte subteams werken onder één hoofd, waarbij het risicomanagementteam ook adviseert.
Voor een combinatie pleit volgens het rapport dat beide functies bestaan voor het bestuur en de raad van commissarissen en dat hun werk in elkaars verlengde ligt. Bestuurders willen steeds vaker één geïntegreerd beeld van de interne beheersing, in één taal en met één aanspreekpunt, en voor kleinere organisaties levert één hoofd efficiëntie op: minder afstemming, minder overlap en minder lacunes. Daartegenover staat dat de onafhankelijkheid van de derde lijn gewaarborgd moet blijven. Internal audit kan geen onafhankelijke assurance geven op activiteiten waarvoor zij zelf verantwoordelijk is of was, en neemt geen verantwoordelijkheid voor beheersmaatregelen of de risicobereidheid. Wil het bestuur assurance op het risicomanagement, dan ligt een onafhankelijke derde partij voor de hand.
De conclusie van het rapport: een combinatie van internal audit en risicomanagement is vanuit onafhankelijkheid geen taboe en kan in sommige situaties goed aansluiten op de behoefte van bestuurders aan heldere inzichten in de interne beheersing, maar vraagt wel compenserende maatregelen. Vanuit governance blijven twee aparte functies het uitgangspunt; een combinatie kan passen tijdens een ontwikkelfase of, onder voorwaarden, structureel.
Hoe staat het er nu voor?
Sinds het rapport zijn de kaders duidelijker geworden. De Global Internal Audit Standards, van kracht sinds 9 januari 2025, staan toe dat de Chief Audit Executive ook andere rollen vervult, mits de board de mogelijke aantasting van de onafhankelijkheid erkent en er waarborgen worden afgesproken. In het Nederlandse two-tier-model gaat het dan om de raad van bestuur en de raad van commissarissen met de auditcommissie. Voor de gebieden die onder de Chief Audit Executive vallen, moet assurance op een andere manier worden geregeld, bijvoorbeeld door een objectieve, deskundige externe partij die onafhankelijk aan de board rapporteert. Bij assurance op een activiteit waarvoor een auditor in de voorgaande twaalf maanden verantwoordelijk was, gaan de Standards ervan uit dat de objectiviteit is aangetast.
In juli 2026 publiceerde het IIA twee Statements of Position, over het Three Lines Model en over de rol van internal audit bij enterprise risk management. Volgens het tweede neemt de Chief Audit Executive geen besluiten over risicoresponsen en draagt daarvoor ook geen verantwoordelijkheid. Het eerste vraagt bij een auditfunctie die ook tweedelijnswerk doet om een vastgelegde taakverdeling, goedkeuring van die bredere rol door de board, openheid daarover en assurance door een andere onafhankelijke partij op het overlappende gebied.
Voor financiële instellingen gelden strengere regels. Bij banken wordt de auditfunctie volgens de Europese bankregels met geen enkele andere functie gecombineerd. Bij pensioenfondsen is de auditfunctie niet te combineren met een andere sleutelfunctie. Verzekeraars onder Solvency II mogen haar tot en met 29 januari 2027 alleen onder strikte voorwaarden combineren, en vanaf 30 januari 2027 niet meer.
Voor beursvennootschappen buiten de financiële sector blijft de conclusie van het rapport staan. Wie internal audit en risicomanagement combineert, legt de taakverdeling en de waarborgen vast in het charter, laat de bredere rol goedkeuren door bestuur en raad van commissarissen, en regelt onafhankelijke assurance op het risicomanagement.
Hoe de reeks verderging
De Internal Audit Monitor 2017 was de eerste editie, met de stand van 2016 als vertrekpunt. Volgens de Internal Audit Monitor 2025 had in 2024 circa 72% van de in Nederland gevestigde beursvennootschappen een Internal Audit functie; die editie onderzoekt ook de rol van de IAF bij de Verklaring omtrent Risicobeheersing.
Over het onderzoek
Net als de eerdere edities is de Internal Audit Monitor 2021 gebaseerd op publieke informatie: de jaarverslagen over 2020 en de samenstelling van de beursindices AEX, AMX en AScX en de lokale fondsen. Door wijzigingen in die samenstelling, zoals nieuwe noteringen en vertrek van de beurs, zijn de vergelijkende cijfers over 2016 tot en met 2019 herberekend. Drie vennootschappen hadden bij het onderzoek nog geen jaarverslag over 2020 gepubliceerd en tellen niet mee. Het rapport is uitgegeven door IIA Nederland en ONE Risk Advisory; gebruik van de tekst is toegestaan met bronvermelding.
Download het rapport: Internal Audit Monitor 2021 (PDF)
Wilt u weten hoe u de combinatie van internal audit en risicomanagement goed borgt, of welke inrichting van de Internal Audit functie bij uw organisatie past? Neem gerust contact met ons op.