Interne auditing: veel compliance, weinig verbetering

Betere producten en diensten, hogere klanttevredenheid, efficiëntere processen… de wereld staat niet stil. Je concurrenten timmeren aan de weg. De wereld van je klanten verandert en ze stellen andere eisen of ze verwachten gewoonweg méér. Je moet je organisatie en je bedrijfsprocessen continu verbeteren om je concurrentiepositie te behouden. Je bent dus continu op zoek naar verbetermogelijkheden: hoe kun je nieuwe klanten binnen halen, hoe kun je het de bestaande klanten (nog) beter naar de zin maken, hoe kun je je producten en diensten verbeteren, hoe kun je het productieproces efficiënter maken?
Interne auditing is een geschikt middel om zowel de compliance als je bedrijfsprestaties te verbeteren. Maar in de praktijk van de interne auditing blijkt het nog wel eens lastig te zijn om die twee doelen te realiseren.

Waarom doen organisaties interne audits?

Een middelgrote verzekeringsmaatschappij
schat dat 60 % van de ICT-inspanningen
zijn gericht op compliance.

Interne audits worden gedaan om een diversiteit aan redenen. De belangrijkste zijn:

• Compliance
  Veel organisaties moeten aan tal van normen, wetten, regels en richtlijnen voldoen. Er zijn zowel regels die extern worden opgelegd door overheid en toezichthoudende organisatie, als regels die binnen de eigen organisatie worden afgesproken. Compliance is simpelweg het naleven van beide. Met interne audits wordt hierop controle gehouden.
• Verbetering
  Wanneer een organisatie groter, onoverzichtelijker en complexer wordt, is interne auditing een nuttig instrument om inzicht te krijgen in het reilen en zeilen van de organisatie en om op basis van die inzichten verbetermaatregelen te nemen.

Kleine, overzichtelijke organisaties functioneren vaak prima zonder dat er op enigerlei wijze audits worden uitgevoerd. Veel organisaties (klein en groot) echter, wensen om commerciële reden een ISO 9001, 14001, 27001 of een ander certificaat. En de ISO normen eisen dat een organisatie regelmatig interne audits uitvoert om vast te stellen of het managementsysteem ook werkt.  Dat wil kortweg zeggen dat:

• de interne en externe stakeholders van de organisatie met hun eisen en wensen zijn geïnventariseerd.
• de risico’s onderkend worden en de directie besloten heeft hoe hiermee om te gaan.
• aantoonbaar is, dat wordt voldaan aan de interne norm die door de organisatie zelf is bepaald, op basis van de desbetreffende norm.

Wat zijn interne audits?

Een audit is een onpartijdig onderzoek, dat uitmondt in een oordeel (conclusies) over de mate waarin een object (bij voorbeeld het kwaliteitsmanagementsysteem, een afdeling of een bedrijfsproces) voldoet aan de ervoor geldende norm. Als de conclusies er aanleiding toegeven, worden in de auditrapportage ook vaak aanbevelingen gegeven.
Voor een buitenstaander lijkt een audit vaak eenvoudig. Iemand komt langs, stelt een heleboel vragen, bekijkt het één en ander aan documentatie, schrijft een rapport, en klaar is Kees. Audits worden gedaan als een eenvoudige vaststelling, controle of meting niet mogelijk is. Het gaat altijd om onderzoeksobjecten, normatiek en/of problematiek die een nader onderzoek en een zekere mate van deskundigheid vergen.
Een interne audit is een audit die wordt uitgevoerd door één of meerdere medewerkers uit de eigen organisatie. In feite is het resultaat van een audit dus: zekerheid (meten = weten). Meer zekerheid kost meer inspanning. Maar die relatie is niet lineair. Voor de opdrachtgever van een audit moet duidelijk zijn met welke mate van zekerheid de conclusies zijn getrokken.

Hoe doe je interne audits?

Op de vraag hoe je een interne audit doet, zijn veel antwoorden mogelijk. We gaan hieronder in op de fasering van het uitvoeren van een enkele audit en op die van het uitvoeren van een auditprogramma (een serie van interne audits binnen een bepaalde tijdspanne). Maar belangrijker dan de manier waarop een audit wordt uitgevoerd is misschien wel de opstelling (houding, attitude) van de auditor.

Fasering van de audit

De gebruikelijke fasering van een interne audit is:

fase 1: Opdracht
De opdrachtgever (bijvoorbeeld de kwaliteitsmanager of de directie) geeft de interne auditor(s) opdracht. De auditor moet weten wat hij moet onderzoeken, welke aspecten, en ook waarom de opdrachtgever belang heeft bij het resultaat.
Fase 2: Plan van aanpak
De interne auditor bepaalt hoe en wanneer hij de interne audit gaat doen. In een (kort) plan beschrijft hij welke informatiebronnen hij wil gebruiken en welke documentatie, en welke interviews en middelen hij nodig heeft.
Fase 3: Uitvoering
De auditor gaat volgens plan te werk, waarbij hij scherp bewaakt of hij het gestelde auditdoel gaat realiseren. Zo niet, dan overlegt hij met de opdrachtgever over bijsturende maatregelen dan wel bijstelling van het plan.
Fase 4: Oordeelsvorming
Op basis van alle verkregen informatie uit waarnemingen, interviews, documentatie, controles etc. trekt de auditor conclusies. Zo nodig worden nog aanvullende controles gedaan of wordt extra informatie opgevraagd.
Fase 5: Rapportage
In de rapportage is het van belang scherp onderscheid te maken tussen bevindingen, conclusies en aanbevelingen. Bevindingen zijn relevante feiten. Deze moeten door alle partijen als juist en volledig worden erkend. Als dat niet het geval is, dan is aanvullend onderzoek nodig. De conclusies dienen logisch voort te komen uit de bevindingen. De rapportage kan schriftelijk, maar ook in presentatievorm plaatsvinden. Groot voordeel hiervan is dat eventuele onduidelijkheden direct opgehelderd kunnen worden en dat de sessie direct gebruikt kan worden voor het treffen van verbetermaatregelen.

De opvolging van de audit oftewel het uitvoeren van de verbetermaatregelen maakt geen deel uit van de audit. Het is wel gebruikelijk dat de interne auditors vaststellen of de afgesproken verbetermaatregelen zijn uitgevoerd en of hiermee het gewenste effect is bereikt. Vaak maakt dit deel uit van een volgende audit.

Fasering van het auditprogramma

Meestal is een interne audit geen eenmalige actie, maar onderdeel van een auditprogramma. De interne audits worden dan op een regelmatige basis uitgevoerd. Hieraan moet natuurlijk wel leiding worden gegeven. Deze rol kan liggen bij de kwaliteitsmanager, bij de directie of in geval van grotere organisaties, bij een auditmanager.

Fase 1: Plan
Er wordt een concept auditprogramma opgesteld door de leidinggevende. Dit plan wordt goedgekeurd door het management. Hiermee wordt toestemming gegeven (zowel aan de interne auditors zelf als aan de mensen die geïnterviewd worden), om informatie op te vragen danwel tijd te besteden. In het auditprogramma of anderszins wordt afgesproken wie, wanneer naar de organisatie communiceert over de audits en hoe dat gebeurt.
Fase 2 Uitvoering
De leidinggevende start de afgesproken interne audits op door het verstrekken van de auditopdracht aan de betreffende interne auditor(s). Hij bewaakt dat de interne audits tijdig, effectief en efficiënt worden uitgevoerd.
Fase 3 Control
Een goed gebruik is dat er een samenvattende rapportage wordt gemaakt die inzicht geeft in de bestede tijd, in de rode draad in onderliggende auditrapportages en in uitgevoerde verbeteractiviteiten, zodat er tevens inzicht is in de kosten/baten balans van de interne auditactiviteiten. Deze rapportage wordt besproken door het management van de organisatie. Dit stelt vast in welke mate het auditplan effectief en efficiënt is uitgevoerd en geeft eventueel aanwijzingen voor de volgende cyclus van het auditprogramma.

Opstelling van de auditor

De opstelling (houding, attitude) van de interne auditor is erg van belang. Stel je voor:

Situatie 1
Iemand komt bij je langs. Je weet niet precies waarvoor. Van je baas moet je meewerken. Hij vraagt van alles over procedures en regelgeving die binnen jouw afdeling gelden. Je legt uit hoe er gewerkt wordt en op welke manier regels soms wel en soms niet worden toegepast. Van de auditor krijg je tijdens het gesprek geen reactie. Je vraagt je af of hij jouw afdeling, jouw processen en de regelgeving goed begrijpt. Uit de vragen maak je op dat hij een van te voren opgestelde checklist afwerkt.
Achteraf krijg je van je baas te horen dat in het auditrapport staat dat binnen jouw afdeling een aantal regels niet goed wordt toegepast (zoals je zelf hebt aangegeven). Er wordt een aanbeveling gedaan waarmee je niets kunt. Het kost de nodige gesprekken om uit te leggen waarom de bewuste regels niet toegepast (kunnen) worden en dat de aanbevelingen niet zullen helpen om de resultaten van de afdeling te verbeteren.

Situatie 2
Door je baas word je in het afdelingsoverleg op de hoogte gesteld dat er een audit gehouden wordt. In het overleg wordt kort besproken wat het doel hiervan is, wie de audit uitvoert en welke informatie hij nodig heeft.
Je krijgt een vergaderverzoek en een mail met uitleg over de audit en welke informatie de auditor van je wil. Vooraf belt de auditor je op en hij vraagt enkele documenten op. Hij stelt veel vragen, luistert goed naar jouw antwoorden en reageert hierop met vervolgvragen en start een discussie als je aangeeft bepaalde regels niet toe te passen. Duidelijk is dat de auditor een gesprekspartner is op niveau. Jullie brainstormen kort over mogelijkheden om naleving van de regelgeving te verbeteren en worden het eens over de reikwijdte van de regelgeving. De auditor spreekt met je af wanneer je wordt geïnformeerd en op welke manier. Je noteert tijdens het gesprek een aantal actiepunten voor jezelf om verbeteringen door te voeren die binnen jouw scope liggen. Het interview was inspannend, maar ook interessant. Het concept auditrapport krijgt je in te zien en je heeft één klein commentaarpunt.

De verschillen zitten voor een deel in communicatie en in kennisniveau van de auditor, maar vooral ook in de houding. In situatie 1 is de auditor een controleur; in situatie 2 een gesprekspartner en adviseur die je helpt maar ook uitdaagt om je resultaten (inclusief compliance) te verbeteren.

Auditing voor compliance of verbetering?

Regelgeving en aantoonbaar aan deze regelgeving voldoen worden voor steeds meer organisaties belangrijk. Interne audits gericht op compliance zijn op een gegeven moment onvermijdelijk. Denk bijvoorbeeld aan de privacy wetgeving. Bij het niet voldoen hieraan, kunnen boetes fors oplopen. Op dat moment moet de auditor zijn rode potlood gebruiken. Als het gaat om het niet naleven van een interne norm, kunnen er twee dingen aan de hand zijn:

• De regels en het toezicht hierop zijn niet goed geïmplementeerd. Het belang ervan kent onvoldoende draagvlak.
• De interne norm is niet goed gekozen en is niet in het belang van de organisatie
   

De auditor dient in dit geval te signaleren, dat de interne norm niet nageleefd wordt en het aan de organisatie om hier lessons learned uit te trekken.

Volwassenheid van de organisatie bepaalt juiste auditaanpak

Voor een goede auditaanpak is het van belang rekening te houden met de volwassenheid van de organisatie en de aanpak te laten evolueren met de groei in volwassenheid. Dat is de essentie van de verbetercyclus.
Daarnaast is het zaak ervoor te zorgen dat het auditen geen sleur wordt. Interne audits worden voorspelbaar en gaan steeds minder effect opleveren.
Als interne auditing wordt opgestart binnen een organisatie is het raadzaam in het eerste jaar (of de eerste paar jaren) vooral te letten op de aantoonbaarheid van de werking van het management systeem en de verbetercyclus. Dat is belangrijker dan het blind naleven van de interne norm.

Wat zijn de succesfactoren voor interne auditing?

Het resultaat van interne audits valt nogal eens tegen. Soms doordat de conclusies en aanbevelingen voorspelbaar zijn. Soms doordat de resultaten niet geaccepteerd worden en er dus niets met de aanbevelingen wordt gedaan. De tijd die gespendeerd is aan de interne audit is dan weggegooid geld.
Een audit moet objectief zijn, dat wil zeggen, het resultaat moet onafhankelijk zijn van de persoon die de audit uitvoert. De auditor moet onafhankelijk zijn, dat wil zeggen, hij mag geen belang hebben bij het auditresultaat.
Er gelden allerlei spelregels bij het uitvoeren van een audit. U zou de indruk kunnen krijgen dat een audit een betrekkelijk mechanisch, herhaalbaar proces is. Niets is minder waar.
Audits zijn dus lang niet altijd succesvol. Wat maakt een audit succesvol?

• Een kwalitatief goed onderzoek
  Een audit is bovenal een objectief en onafhankelijk oordeel.
  Het voorkomen van subjectiviteit kan onder meer door:
  • een goede voorbereiding van de audit;
  • elk feit te registeren en pas later conclusies te trekken;
  • de beoordeling alleen op feiten te baseren;
  • meer dan één auditor in te zetten.
• Een kwalitatief goede auditor
  Kundigheid en vaardigheden zijn van belang, zoals de beheersing van interviewtechnieken, het omgaan met weerstand en goede mondelinge en schriftelijke vaardigheden.
  Communicatie is van bijzonder belang. Communicatie is meer dan praten en luisteren. Houd vooral rekening met het volgende:
  • Non-verbale communicatie is vaak van grotere invloed dan verbale communicatie.
  • De auditor moet zich ervan bewust zijn, dat wat hij probeert over te dragen, niet één op één overkomt bij de geïnterviewde. De context van de auditor is een andere dan die van de geïnterviewde.
  • Een auditor heeft een andere achtergrond dan een geïnterviewde. Woorden kunnen daardoor een andere lading hebben.
• De mate van acceptatie van het resultaat
  Een goede audit heeft actie tot gevolg. Aanbevelingen die de interne auditor doet, worden alleen dan opgevolgd als men het eens is met de conclusies. Zo niet, dan ontstaan er discussies over het auditrapport. Het is belangrijk dat de bevindingen waarop de conclusies zijn gebaseerd kloppen en het complete beeld weergeven. Tevens is het belangrijk dat (vervelende) conclusies en aanbevelingen niet als een complete verrassing komen. De auditor kan er tijdens de uitvoering van de audit al veel aan doen om acceptatie voor conclusies en aanbevelingen te krijgen.
• Inbedding van interne auditing in het verbeterproces
  Een audit kan in de plan-do-check-act cyclus van besturingsprocessen gepositioneerd worden in de “check”. Een check die de manager van het besturingsproces niet zelf uitvoert maar laat uitvoeren.
  De auditor kan wezenlijke invloed uitoefenen op de gehele cyclus door de wijze waarop hij de manager van het proces weet te stimuleren tot (verbeter)acties. Dit kan natuurlijk door het geven van adviezen (een aanzet voor de “act”), maar vooral ook door managers en medewerkers te enthousiasmeren en hen aan te zetten om (nog) betere prestaties te behalen.

Compliance natuurlijk, maar vooral ook verbetering!

Interne auditing is natuurlijk geen doel op zich. Je moet daarom van te voren vaststellen welke doelen je ermee wilt bereiken en hoeveel inspanning je eraan wenst te besteden. En je moet het instrument interne auditing afwegen tegen alternatieven.
Verder moet u periodiek vaststellen wat de audits hebben gekost, maar vooral ook wat ze hebben opgeleverd. Daarvoor stel je de volgende vragen:

• Houden we ons aan de regels en zo nee, welke risico’s lopen we dan?
• Welke verbeteringen hebben we, dank zij de audits, doorgevoerd?
• Wat heeft dat opgeleverd in termen van hogere klanttevredenheid en efficiency?

Hoe scherper je van te voren vaststelt welke doelen je met interne auditing wenst te bereiken en wat je daarvoor over hebt, des te beter kun je achteraf de balans opmaken. Met alleen compliance valt de balans meestal niet positief uit. Verbeteren loont!