Een introductie in auditing

Wat is auditing?

Een audit is een onpartijdig onderzoek dat uitmondt in een oordeel in welke mate een object overeenstemt met de daarvoor geldende norm. De keuze van het object, de norm en de mate van zekerheid worden bepaald door het doel van het onderzoek. In feite is het resultaat van een audit dus: zekerheid (meten = weten).

Hierbij moet wel worden aangetekend dat iets meer zekerheid veel meer inspanning kost. Je kunt niet alles onderzoeken met 100 % diepgang, dus er zal altijd een bepaalde mate van onzekerheid blijven. Voor de opdrachtgever en andere belanghebbenden van een audit moet daarom duidelijk zijn hoe zeker de uitspraken zijn, oftewel wat de tolerantie van de uitspraken is. Hiervoor kan gebruik gemaakt worden van statistische termen.
Andere termen voor een audit zijn scan of quick scan gebruikt. Meestal echter worden deze gebruikt voor onderzoeken met relatief minder diepgang. Een andere verwante term is review. Als men het over een review heeft, gaat het veelal over de beoordeling van documentatie. Ook een review kan worden uitgevoerd in verschillende gradaties van onafhankelijkheid (van informeel tot formeel) en diepgang (van oppervlakkige toets tot kwantitatief beoordeeld). 
Doelen van een audit kunnen heel divers zijn. Een aantal voorbeelden:

• ondersteunen van het reguliere management bij het nemen van beslissingen;
• zekerheid verkrijgen over iets waar je niet zelf een oordeel over kunt vellen (omdat je geen inzage krijgt, niet deskundig bent, geen tijd hebt, etc.);
• voldoen aan externe eisen (DNB, accountantscontrole, verzekeringskamer)
• verbeteren van de bedrijfsvoering.

Nevendoelen kunnen zijn:

• medewerkers stimuleren na te denken over hun eigen werk;
• medewerkers motiveren om hun eigen werkprocessen te verbeteren;
• kennis opdoen van elkaars processen (voorkomen hokjesgeest);
• leren van anderen;
• informele contacten tussen afdelingen verbeteren.

Het belangrijkste resultaat van een audit is een oordeel, ofwel zijn de conclusies. Omdat de opdrachtgever en andere belanghebbenden willen weten waar de conclusies op gebaseerd zijn, worden normaliter de relevante feiten ofwel de bevindingen aangegeven. De dienstverlening van de auditor kan ook een grotere reikwijdte krijgen en uitgebreid worden met:

• advies
  De auditor is eigenlijk de aangewezen persoon om adviezen te geven. Hij heeft zich immers verdiept in de materie, is deskundig op dit gebied en is onafhankelijk ten opzicht van de materie.
• implementatie
  Een flinke stap verder dan het geven van advies gaat het uitvoeren van de gegeven adviezen. De gedachte hierachter is, dat als de auditor dan zo goed weet hoe iets gedaan zou moeten worden, hij het ook maar moet doen.
• bewaking implementatie
  Bij bewaking van de implementatie gaat het niet om de uitvoering van het advies, maar puur om het vaststellen of het advies tijdig en goed wordt uitgevoerd. De auditor kan dan onafhankelijk blijven.

In de praktijk blijkt de auditor toch niet altijd de aangewezen persoon te zijn voor een uitgebreidere dienstverlening. Een paar voorbeelden:

• De auditor is deskundig als auditor, maar niet als (verander)manager. De auditor kan prima onderzoeken en de gevonden constateringen langs een meetlat (norm) leggen, maar hoe de huidige situatie te veranderen naar de gewenste situatie is een kwestie van (verander)management en daarin hoeft een auditor niet altijd ervaren te zijn.
• De auditor is lang niet altijd echt onafhankelijk. Bij een interne audit in kleinere organisatie kan dat ook meestal niet. Maar ook bij externe audits spelen er vaak commerciële belangen mee, zoals bijvoorbeeld het vergaren van andere opdrachten, al dan niet op basis van de in de audit verkregen inzichten.
• Het gebeurt ook nog wel eens dat men iemand opdracht wil geven een bepaalde verbetering door te voeren en deze persoon dan in eerste instantie een audit laat uitvoeren. In dat geval is het al van het begin af aan de bedoeling hem de opdracht te geven voor implementatie. Het voordeel hiervan voor opdrachtgever én opdrachtnemer is dan dat er dan eerst duidelijkheid komt over de huidige situatie.

Hoe moet een audit worden uitgevoerd? De gebruikelijke fasering is:

• fase 1 Opdracht
  De opdrachtgever komt met de opdrachtnemer het wat, waarover en waarom overeen. De auditor moet weten wat hij moet onderzoeken, en welke aspecten, en waarom de opdrachtgever belang heeft bij het resultaat.
• fase 2 PvA
  De opdrachtnemer (auditor of auditteam) geeft het hoe, wanneer, hoeveel, en waarmee aan. In een plan van aanpak geeft hij aan hoe hij de audit gaat uitvoeren, binnen welk tijdsbestek, hoeveel tijd hij nodig heeft, welke bronnen hij wil gebruiken, wie hij wil interviewen en welke middelen hij nodig heeft.
• fase 3 Uitvoering
  De auditor gaat volgens plan te werk, waarbij hij scherp moet bewaken of hij wel het auditdoel zal realiseren. Gaat dit niet lukken, dan overlegt hij met de opdrachtgever over bijsturende maatregelen, dan wel bijstelling van het plan.
• fase 4 Oordeelsvorming
  Op basis van alle verkregen informatie uit gesprekken, interviews, documentatie, controles, etc. trekt de auditor conclusies. Zo nodig worden nog aanvullende controles gedaan of extra inlichtingen opgevraagd.
• fase 5 Rapportage
  In de rapportage is het de kunst om scherp onderscheid te maken tussen bevindingen, conclusies en aanbevelingen. De rapportage vindt meestal plaats in de vorm van een schriftelijke rapportage, maar kan ook in presentatievorm gedaan worden aan bijvoorbeeld directie of managementteam. Groot voordeel van dit laatste is dat eventuele onduidelijkheden direct opgehelderd kunnen worden en dat de sessie direct gebruikt kan worden om verbetermaatregelen te nemen.

Er wordt nog wel eens gedacht dat een audit niet veel meer is dan het uitvoeren van een interview en het schrijven van een verslagje hierover. Maar dat is niet zo. Een audit moet uitsluitsel geven over een bepaalde vraag (of meerdere vragen). Hiervoor kunnen allerlei controlemiddelen en -technieken gebruikt worden. De “gereedschapskist” van de auditor bestaat onder meer uit:

• documentatieonderzoek (literatuur, vaktijdschriften, interne documentatie);
• het vragen van inlichtingen (schriftelijk, mondeling);
• interviews;
• verbandcontroles;
• observeren;
• steekproeven;
• totaalcontroles.

Soorten audits

Een audit is feitelijk niets anders dan een beoordeling. Er bestaan dan ook allerlei soorten audits bestaan. Een aantal voorbeelden:

onderscheiden naar aard:

• management audit;
  Heeft het management het goede beleid geformuleerd?
• compliance audit;W
  Wordt wet- en regelgeving nageleefd?
• performance audit;
  Worden de gestelde doelen gerealiseerd?
• systeem audit;
  Wordt gewaarborgd dat de doelstellingen worden gerealiseerd?

onderscheiden naar object:

• product;
• proces;
• project.

onderscheiden naar uitvoerder:

• interne audits;
• externe audits.

onderscheiden naar frequentie:

• eenmalig,
  gericht op een bepaalde toestand van een object, dus productgericht;
• doorlopend / operationeel,
  gericht op de werking van systemen (geheel van processen en middelen).

onderscheiden naar tijdshorizon:

• retrospectief,
  Hoe voldeed iets in het verleden?
• Prospectief,
  Hoe zal iets voldoen in de toekomst?

onderscheiden naar norm waarop getoetst wordt.
Er zijn ongelooflijk veel normen. Een volledige opsomming geven, is ondoenlijk en bovendien zal deze na korte tijd weer verouderd zijn. Een aantal veelvoorkomende normen waarop getoetst wordt:

• Wet Arbeidsomstandigheden (Arbo audit);
• ISO 14001 (Milieu audit);
• ISO 9001 (Kwaliteitsaudit);
• INK-managementmodel (Kwaliteitsaudit).

Een aantal audits is redelijk vastomlijnd. Deze audits zijn ingeburgerde begrippen geworden:

• certificatieaudit,
  een audit door een certificerende instelling om vast te stellen of een organisatie voldoet aan een bepaalde norm bijvoorbeeld ISO 9001, ISO 14000, VCA, etc.;
• interne kwaliteitsaudit volgens ISO 9001:2008,
  een audit om vast te stellen of de opzet en werking van het kwaliteitssysteem goed zijn;
• financial audit / jaarrekeningcontrole,
  een audit om de betrouwbaarheid van de financiële verslaggeving vast te stellen;
• EDP-audit,
  een audit om de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking vast te stellen;
• operational audit,
  een audit om de effectiviteit en efficiency van de beheersmaatregelen vast te stellen.

Normen & checklists

Normen en checklists spelen een belangrijke rol bij audits. Een audit is niet zo maar een beoordeling. De norm waartegen beoordeeld wordt, moet duidelijk zijn. Deze moet niet zomaar ter discussie kunnen worden gesteld. Bij een audit gaat het niet om de mening van een auditor. Het is zijn vak om objectief conclusies te trekken en duidelijk te maken waarop deze conclusies zijn gebaseerd. Randvoorwaarde hierbij is dat er objectieve normen zijn, oftewel normen die algemeen erkend zijn, status hebben, gedocumenteerd zijn.
Andere criteria zijn:

• relevantie,
  • de norm moet in het kader van het auditdoel ter zake zijn;
• toereikendheid,
  • de norm of normen moeten volledig zijn;
• eenduidigheid,
  • de norm moet toetsbaar zijn, liefst kwantitatief;
  • de norm moet nauwkeurig zijn.

Niet altijd zijn voor een audit objectieve normen beschikbaar. Het is dan zaak om bij de opdrachtformulering (fase 1) met de opdrachtgever vast te stellen op basis waarvan conclusies worden getrokken. Het gevaar bij subjectieve normen is het ontstaan van interpretatieverschillen. Subjectieve normen zijn alleen acceptabel indien er geen andere normen beschikbaar zijn én de rationaliteit van het onderzoek dit verlangt.
Aan de hand van checklists kan uiteengerafeld worden wat er gecontroleerd moet worden. Gevaar hierbij is dat de checklists worden gebruikt als vinklijst. Als alles maar “een vinkje” krijgt, dan zit het goed. Terwijl het heel goed kan zijn, dat een aantal zaken van de checklist niet van toepassing of minder relevant is, zodat het ontbreken van een aantal vinkjes nog steeds tot een positieve beoordeling zou moeten leiden. Andersom kan het voorkomen dat elk individueel item een vinkje krijgt, maar dat het geheel toch niet goed in elkaar zit, wat zou moeten leiden tot een negatieve beoordeling.
Checklist zijn dus niet meer dan een nuttig hulpmiddel. Vooral ook bij subjectieve normen kan het opstellen van een checklist nuttig zijn. Hiermee maakt de auditor voor zichzelf, zijn opdrachtgever en auditees  helder waar op getoetst wordt.