Een jaar geleden benaderde de Stichting Vaktechnisch Onderzoek van het Instituut van Internal Auditors (IIA) Nederland de redactie van dit maandblad met het idee om een gezamenlijke speciale uitgave te wijden aan de internal auditfunctie (IAF). Daar hoefde de redactie niet lang over na te denken: een uitgelezen kans om de vele facetten van de IAF vanuit wetenschappelijk perspectief te belichten. De IAF heeft zich ontwikkeld tot een essentieel zintuig van de board, een voelspriet, een sonde die het topmanagement en de raad van commissarissen voortdurend belangrijke informatie geeft over de beheersing van de risico’s binnen de onderneming – risico’s die veel verder gaan dan de betrouwbaarheid van de financiële verantwoording of compliance met wet- en regelgeving, maar die ook betrekking hebben op de uitvoering van de strategie, het creëren van waarde op lange termijn en de continuïteit van de onderneming. Kortom, reden genoeg voor een speciale uitgave van het MAB.

Toen wij begonnen met de voorbereidingen voor deze uitgave, hadden wij niet kunnen vermoeden in welk een onwerkelijke situatie wij ons negen maanden later zouden bevinden. Ten tijde van dit schrijven razen het virus SARS-CoV-2 en de daardoor veroorzaakte ziekte COVID-19 als een storm over de wereld. Hele continenten zijn in lockdown. Het menselijk lijden is groot. De financieel-economische impact is immens.

Een terechte vraag die deze weken wordt gesteld: is er dan geen enkele auditor of risk manager die deze pandemie heeft zien aankomen? Het antwoord is verrassend: jawel. Na de uitbraak van het SARS-virus eind 2002 werd een pandemie door tal van auditors en risk managers als reëel risico gerapporteerd. Maar er kwam geen pandemie. Het jaar daarna ook niet. En daarna verdween de pandemie weer van de risicoagenda. Op de lijstjes met risico’s waar boards wakker van liggen, komt het woord pandemie al jaren niet meer voor. Als een onvervalste “black swan” heeft de pandemie ons zeventien jaar na SARS totaal overvallen. Het is de eerste wereldwijde oefening in crisismanagement sinds lange tijd. Een ervaring die ons de komende decennia nog goed van pas zal komen.

Wat we nu in elk geval weten is dat onze organisaties en de mensen die er werken zich, onvoorbereid en volledig verrast, binnen een ultrakorte tijd weten aan te passen aan een nieuwe werkelijkheid, met een enorme saamhorigheid, drive om elkaar te helpen en improviserend vermogen. Dat geeft hoop en moed en diep respect.

Wat betekent de crisis nu voor de IAF? Direct na het uitbreken van de crisis eind december zijn veel IAF’s gestart met speciale onderzoeken, niet alleen gericht op continuïteitsmaatregelen, maar ook op andere risico’s die in een crisis opeens een andere dimensie krijgen, waaronder fraude en cybersecurity. Onderzoeken die plaatsvinden in moeilijke omstandigheden, met zieke medewerkers, een organisatie in grote stress en internationale teams aan de grond. Veel IAF’s zijn zich aan het heroriënteren op hun rol in deze periode – en daarna. Want ook in de nasleep van de crisis zal een belangrijke rol zijn weggelegd voor de IAF. Welke rol dat is, kunnen we nog niet met zekerheid zeggen. Ik ben zeer nieuwsgierig naar de ontwikkelingen en ervaringen.

Deze speciale uitgave, die is samengesteld in het pre-coronatijdperk, omvat niet minder dan 9 artikelen en 2 prikkelende essays.

De eerste drie bijdragen beschouwen de IAF in zijn huidige context, te beginnen met een kort essay door Daco Daams en ondergetekende over het “three lines of defence”-model, geschetst vanuit een oer-Hollands perspectief.

Anna Eulerich en Marc Eulerich gaan in op de toegevoegde waarde van internal auditing. Zij doen dit op basis van een grondige literatuurstudie en geven daarmee een stevige basis voor verder onderzoek naar dit onderbelichte onderwerp.

Robert Bogtstra, Inge Garretsen en Remko Renes beschrijven de resultaten van hun onderzoek naar IAF’s bij Nederlandse beursgenoteerde ondernemingen. Zij onderzochten onder meer hoe ondernemingen zonder IAF deze afwijking van de Corporate Governance Code verklaren, en vonden dat een meerderheid van zulke ondernemingen niet voldoet aan de uitgangspunten in diezelfde code.

De volgende twee artikelen gaan over de menselijke factor binnen de IAF.

IAF’s zetten steeds vaker niet-auditors in. Zij kunnen specifieke expertise in het team brengen, maar missen vaak auditervaring en zijn niet altijd onafhankelijk. Gijs Hendrix, Jack Wai, Judith Tjin A Sioe, Martina Hener-Schaminée en Wim Ottema deden onderzoek naar de inzet van niet-auditors langs drie dimensies: competenties en kwaliteit, onafhankelijkheid en objectiviteit, en selectie en beloning. De auteurs noemen onder meer onboarding en training, supervisie en betrokkenheid van het leadership, en het onderhouden van goede contacten met de organisatie als “better practices”.

Bob van Kuijck en Violaine Paresi onderzochten de persoonlijkheidskarakteristieken van internal auditors en komen tot de slotsom dat auditors op een aantal verrassende karakteristieken afwijkend scoren in vergelijking met andere professionals: internal auditors zijn opener, extraverter en consciëntieuzer dan hun peers, maar niet per definitie aardiger.

De volgende drie artikelen gaan over actuele ontwikkelingen die de IAF doormaakt.

Zo ondergaan veel IAF’s een transitie van compliance audits naar performance audits, van ex post naar ex ante. Hans Strikwerda beschouwt deze ontwikkeling vanuit het perspectief van internal audit zelf, vanuit de theory of the firm, en vanuit het perspectief van ondernemingsbestuur. Hij voert aan dat de IAF in een mistige wereld een belangrijke bondgenoot zou moeten zijn van de raad van commissarissen in het maatschappelijk streven naar een hogere en meer duurzame productiviteit.

De volgende bijdrage is van Michel Vlak, Arthur Verkerke en ondergetekende. Het gaat over de manier waarop IAF’s omgaan met digitalisering en dataficering. Ofschoon veel IAF’s investeren in digitale vaardigheden en tools voor data-analyse dreigt een kloof te ontstaan tussen de IAF en de rest van de organisatie, die vaak verder is met de adoptie van technologie en data. Het artikel bevat een casusbeschrijving van de Accountsdienst Rijk (ADR).

Een recente, door technologie gedreven ontwikkeling die ook de IAF raakt, is de opkomst van artificial intelligence (AI) voor de ondersteuning van essentiële processen in de organisatie. Aditya Vasan Srinivasan en Mona de Boer gaan in op een belangrijke vraag: wat is er nodig om AI-algoritmen echt te kunnen vertrouwen? De auteurs beschrijven de factoren die daarop van invloed zijn, enerzijds tijdens het trainen en testen van AI-algoritmen, en anderzijds tijdens de validatie en exploitatie daarvan.

Hierna volgen twee bijdragen over de werkwijze van de IAF in de praktijk.

Arno Nuijten, Mark van Twist en Cokky Hilhorst gaan in op het deaf effect, een pakkende term voor het herkenbare fenomeen dat het management waarschuwingen en signalen van de IAF soms voor kennisgeving aanneemt en feitelijk negeert. De auteurs onderzochten de dynamiek die dan kan ontstaan en vonden drie manieren waarop auditors op het deaf effect kunnen reageren: iedereen nogmaals proberen te overtuigen, de formele kaart spelen, of rekening houden met de belangen van het management. De laatste aanpak lijkt het meest effectief.

Fusies en overnames zijn aan de orde van de dag, maar wonderlijk genoeg wordt de IAF daarbij zelden betrokken. Antoine van Vlodorp verdedigt de stelling dat de IAF veel waarde kan toevoegen als zij in de juiste fasen van het overnameproces wordt ingezet: bij het structureren van de deal, de due diligence, de integratiefase en de evaluatiefase. Dit zijn juist de fasen waar vooral sprake is van operationele risico’s en waar de IAF zowel de assurance- als de consultancyrol kan aannemen.

Hartog en Paape (2020) sluiten deze uitgave af met een prikkelend essay over de rol van de IAF in een wereld die volatiel, onzeker, complex en dubbelzinnig is, en waarin innovatie essentieel is om te kunnen overleven. Hoe doet de IAF het aan het begin van de S-curve?

De artikelen in deze speciale uitgave geven een caleidoscopisch beeld van de IAF dat elke MAB-lezer zal kunnen boeien. Daarnaast leveren zij een bijdrage aan de bestaande onderzoeksliteratuur en aan eventueel toekomstig onderzoek over dit onderwerp.

Deze publicatie is tot stand gekomen in samenwerking met de Stichting Vaktechnisch Onderzoek van het Instituut van Internal Auditors Nederland. De redactie houdt zich uiteraard aanbevolen voor suggesties en opmerkingen naar aanleiding van dit bijzondere nummer van het MAB.

Een woord van dank zou ik willen richten tot de auteurs van de artikelen in deze editie, en tot Peter Hartog en Chris Knoops voor de zeer prettige samenwerking bij het redigeren van deze speciale uitgave. Ik wens u veel plezier bij het lezen van deze uitgave en, indien van toepassing, veel succes bij de praktische aanwending ervan in het post-coronatijdperk.