Betere producten en diensten, hogere klanttevredenheid, efficiëntere processen… de wereld staat niet stil. Je concurrenten timmeren aan de weg. De wereld van je klanten verandert en ze stellen andere eisen of ze verwachten gewoonweg méér. Je moet je organisatie en je bedrijfsprocessen continu verbeteren om je concurrentiepositie te behouden. Je bent dus continu op zoek naar verbetermogelijkheden: hoe kun je nieuwe klanten binnen halen, hoe kun je het de bestaande klanten (nog) beter naar de zin maken, hoe kun je je producten en diensten verbeteren, hoe kun je het productieproces efficiënter maken?
Interne auditing is een geschikt middel om zowel de compliance als je bedrijfsprestaties te verbeteren. Maar in de praktijk van de interne auditing blijkt het nog wel eens lastig te zijn om die twee doelen te realiseren.
Een middelgrote verzekeringsmaatschappij
schat dat 60 % van de ICT-inspanningen
zijn gericht op compliance.
Interne audits worden gedaan om een diversiteit aan redenen. De belangrijkste zijn:
Kleine, overzichtelijke organisaties functioneren vaak prima zonder dat er op enigerlei wijze audits worden uitgevoerd. Veel organisaties (klein en groot) echter, wensen om commerciële reden een ISO 9001, 14001, 27001 of een ander certificaat. En de ISO normen eisen dat een organisatie regelmatig interne audits uitvoert om vast te stellen of het managementsysteem ook werkt. Dat wil kortweg zeggen dat:
Een audit is een onpartijdig onderzoek, dat uitmondt in een oordeel (conclusies) over de mate waarin een object (bij voorbeeld het kwaliteitsmanagementsysteem, een afdeling of een bedrijfsproces) voldoet aan de ervoor geldende norm. Als de conclusies er aanleiding toegeven, worden in de auditrapportage ook vaak aanbevelingen gegeven.
Voor een buitenstaander lijkt een audit vaak eenvoudig. Iemand komt langs, stelt een heleboel vragen, bekijkt het één en ander aan documentatie, schrijft een rapport, en klaar is Kees. Audits worden gedaan als een eenvoudige vaststelling, controle of meting niet mogelijk is. Het gaat altijd om onderzoeksobjecten, normatiek en/of problematiek die een nader onderzoek en een zekere mate van deskundigheid vergen.
Een interne audit is een audit die wordt uitgevoerd door één of meerdere medewerkers uit de eigen organisatie. In feite is het resultaat van een audit dus: zekerheid (meten = weten). Meer zekerheid kost meer inspanning. Maar die relatie is niet lineair. Voor de opdrachtgever van een audit moet duidelijk zijn met welke mate van zekerheid de conclusies zijn getrokken.
Op de vraag hoe je een interne audit doet, zijn veel antwoorden mogelijk. We gaan hieronder in op de fasering van het uitvoeren van een enkele audit en op die van het uitvoeren van een auditprogramma (een serie van interne audits binnen een bepaalde tijdspanne). Maar belangrijker dan de manier waarop een audit wordt uitgevoerd is misschien wel de opstelling (houding, attitude) van de auditor.
De gebruikelijke fasering van een interne audit is:
fase 1: Opdracht
De opdrachtgever (bijvoorbeeld de kwaliteitsmanager of de directie) geeft de interne auditor(s) opdracht. De auditor moet weten wat hij moet onderzoeken, welke aspecten, en ook waarom de opdrachtgever belang heeft bij het resultaat.
Fase 2: Plan van aanpak
De interne auditor bepaalt hoe en wanneer hij de interne audit gaat doen. In een (kort) plan beschrijft hij welke informatiebronnen hij wil gebruiken en welke documentatie, en welke interviews en middelen hij nodig heeft.
Fase 3: Uitvoering
De auditor gaat volgens plan te werk, waarbij hij scherp bewaakt of hij het gestelde auditdoel gaat realiseren. Zo niet, dan overlegt hij met de opdrachtgever over bijsturende maatregelen dan wel bijstelling van het plan.
Fase 4: Oordeelsvorming
Op basis van alle verkregen informatie uit waarnemingen, interviews, documentatie, controles etc. trekt de auditor conclusies. Zo nodig worden nog aanvullende controles gedaan of wordt extra informatie opgevraagd.
Fase 5: Rapportage
In de rapportage is het van belang scherp onderscheid te maken tussen bevindingen, conclusies en aanbevelingen. Bevindingen zijn relevante feiten. Deze moeten door alle partijen als juist en volledig worden erkend. Als dat niet het geval is, dan is aanvullend onderzoek nodig. De conclusies dienen logisch voort te komen uit de bevindingen. De rapportage kan schriftelijk, maar ook in presentatievorm plaatsvinden. Groot voordeel hiervan is dat eventuele onduidelijkheden direct opgehelderd kunnen worden en dat de sessie direct gebruikt kan worden voor het treffen van verbetermaatregelen.
De opvolging van de audit oftewel het uitvoeren van de verbetermaatregelen maakt geen deel uit van de audit. Het is wel gebruikelijk dat de interne auditors vaststellen of de afgesproken verbetermaatregelen zijn uitgevoerd en of hiermee het gewenste effect is bereikt. Vaak maakt dit deel uit van een volgende audit.
Meestal is een interne audit geen eenmalige actie, maar onderdeel van een auditprogramma. De interne audits worden dan op een regelmatige basis uitgevoerd. Hieraan moet natuurlijk wel leiding worden gegeven. Deze rol kan liggen bij de kwaliteitsmanager, bij de directie of in geval van grotere organisaties, bij een auditmanager.
Fase 1: Plan
Er wordt een concept auditprogramma opgesteld door de leidinggevende. Dit plan wordt goedgekeurd door het management. Hiermee wordt toestemming gegeven (zowel aan de interne auditors zelf als aan de mensen die geïnterviewd worden), om informatie op te vragen danwel tijd te besteden. In het auditprogramma of anderszins wordt afgesproken wie, wanneer naar de organisatie communiceert over de audits en hoe dat gebeurt.
Fase 2 Uitvoering
De leidinggevende start de afgesproken interne audits op door het verstrekken van de auditopdracht aan de betreffende interne auditor(s). Hij bewaakt dat de interne audits tijdig, effectief en efficiënt worden uitgevoerd.
Fase 3 Control
Een goed gebruik is dat er een samenvattende rapportage wordt gemaakt die inzicht geeft in de bestede tijd, in de rode draad in onderliggende auditrapportages en in uitgevoerde verbeteractiviteiten, zodat er tevens inzicht is in de kosten/baten balans van de interne auditactiviteiten. Deze rapportage wordt besproken door het management van de organisatie. Dit stelt vast in welke mate het auditplan effectief en efficiënt is uitgevoerd en geeft eventueel aanwijzingen voor de volgende cyclus van het auditprogramma.
De opstelling (houding, attitude) van de interne auditor is erg van belang. Stel je voor:
Situatie 1
Iemand komt bij je langs. Je weet niet precies waarvoor. Van je baas moet je meewerken. Hij vraagt van alles over procedures en regelgeving die binnen jouw afdeling gelden. Je legt uit hoe er gewerkt wordt en op welke manier regels soms wel en soms niet worden toegepast. Van de auditor krijg je tijdens het gesprek geen reactie. Je vraagt je af of hij jouw afdeling, jouw processen en de regelgeving goed begrijpt. Uit de vragen maak je op dat hij een van te voren opgestelde checklist afwerkt.
Achteraf krijg je van je baas te horen dat in het auditrapport staat dat binnen jouw afdeling een aantal regels niet goed wordt toegepast (zoals je zelf hebt aangegeven). Er wordt een aanbeveling gedaan waarmee je niets kunt. Het kost de nodige gesprekken om uit te leggen waarom de bewuste regels niet toegepast (kunnen) worden en dat de aanbevelingen niet zullen helpen om de resultaten van de afdeling te verbeteren.
Situatie 2
Door je baas word je in het afdelingsoverleg op de hoogte gesteld dat er een audit gehouden wordt. In het overleg wordt kort besproken wat het doel hiervan is, wie de audit uitvoert en welke informatie hij nodig heeft.
Je krijgt een vergaderverzoek en een mail met uitleg over de audit en welke informatie de auditor van je wil. Vooraf belt de auditor je op en hij vraagt enkele documenten op. Hij stelt veel vragen, luistert goed naar jouw antwoorden en reageert hierop met vervolgvragen en start een discussie als je aangeeft bepaalde regels niet toe te passen. Duidelijk is dat de auditor een gesprekspartner is op niveau. Jullie brainstormen kort over mogelijkheden om naleving van de regelgeving te verbeteren en worden het eens over de reikwijdte van de regelgeving. De auditor spreekt met je af wanneer je wordt geïnformeerd en op welke manier. Je noteert tijdens het gesprek een aantal actiepunten voor jezelf om verbeteringen door te voeren die binnen jouw scope liggen. Het interview was inspannend, maar ook interessant. Het concept auditrapport krijgt je in te zien en je heeft één klein commentaarpunt.
De verschillen zitten voor een deel in communicatie en in kennisniveau van de auditor, maar vooral ook in de houding. In situatie 1 is de auditor een controleur; in situatie 2 een gesprekspartner en adviseur die je helpt maar ook uitdaagt om je resultaten (inclusief compliance) te verbeteren.
Regelgeving en aantoonbaar aan deze regelgeving voldoen worden voor steeds meer organisaties belangrijk. Interne audits gericht op compliance zijn op een gegeven moment onvermijdelijk. Denk bijvoorbeeld aan de privacy wetgeving. Bij het niet voldoen hieraan, kunnen boetes fors oplopen. Op dat moment moet de auditor zijn rode potlood gebruiken. Als het gaat om het niet naleven van een interne norm, kunnen er twee dingen aan de hand zijn:
De auditor dient in dit geval te signaleren, dat de interne norm niet nageleefd wordt en het aan de organisatie om hier lessons learned uit te trekken.
Voor een goede auditaanpak is het van belang rekening te houden met de volwassenheid van de organisatie en de aanpak te laten evolueren met de groei in volwassenheid. Dat is de essentie van de verbetercyclus.
Daarnaast is het zaak ervoor te zorgen dat het auditen geen sleur wordt. Interne audits worden voorspelbaar en gaan steeds minder effect opleveren.
Als interne auditing wordt opgestart binnen een organisatie is het raadzaam in het eerste jaar (of de eerste paar jaren) vooral te letten op de aantoonbaarheid van de werking van het management systeem en de verbetercyclus. Dat is belangrijker dan het blind naleven van de interne norm.
Het resultaat van interne audits valt nogal eens tegen. Soms doordat de conclusies en aanbevelingen voorspelbaar zijn. Soms doordat de resultaten niet geaccepteerd worden en er dus niets met de aanbevelingen wordt gedaan. De tijd die gespendeerd is aan de interne audit is dan weggegooid geld.
Een audit moet objectief zijn, dat wil zeggen, het resultaat moet onafhankelijk zijn van de persoon die de audit uitvoert. De auditor moet onafhankelijk zijn, dat wil zeggen, hij mag geen belang hebben bij het auditresultaat.
Er gelden allerlei spelregels bij het uitvoeren van een audit. U zou de indruk kunnen krijgen dat een audit een betrekkelijk mechanisch, herhaalbaar proces is. Niets is minder waar.
Audits zijn dus lang niet altijd succesvol. Wat maakt een audit succesvol?
Interne auditing is natuurlijk geen doel op zich. Je moet daarom van te voren vaststellen welke doelen je ermee wilt bereiken en hoeveel inspanning je eraan wenst te besteden. En je moet het instrument interne auditing afwegen tegen alternatieven.
Verder moet u periodiek vaststellen wat de audits hebben gekost, maar vooral ook wat ze hebben opgeleverd. Daarvoor stel je de volgende vragen:
Hoe scherper je van te voren vaststelt welke doelen je met interne auditing wenst te bereiken en wat je daarvoor over hebt, des te beter kun je achteraf de balans opmaken. Met alleen compliance valt de balans meestal niet positief uit. Verbeteren loont!