KPMG Conferentie: Technology enabled Internal Audit

Hoe is het gesteld met de kennis en het toepassen van technologie en data-analyse? In diverse onderzoeken onder Internal Auditfuncties (IAF) geven respondenten aan hier mee bezig te zijn. Bij veel organisaties staat dit nog in de kinderschoenen en ligt de ambitie (veel) hoger. 

Nadat de oorspronkelijke eindejaarsconferentie van eind december 2021 door toen geldende coronamaatregelen niet kon doorgaan was het nu eindelijk zover. Ongeveer dertig Chief Audit Executives (CAE’s) en andere Internal Auditors met interesse in technologie en data-driven audits hadden zich verzameld in de conferentiezaal van KMPG om de inspirerende en leerzame presentaties aan te horen van topsprekers als Prof. dr. Edo Roos Lindgreen, Prof. dr. Sander Klous, Diego Ashruf, Ronald Koorn en Paul Hamaker. Dagvoorzitters waren Prof. dr. Philip Wallage en Huck Chuah. 

Ontwikkelingen van data en technologie op internal audit
Edo Roos Lindgreen, professor in Data science in auditing, beet de spits af op de conferentie met zijn presentatie over de impact van data en technologie op Internal Audit. In zijn presentatie lag de focus vooral op crises. Deze leiden tot regelgeving, wat uiteindelijk resulteert in werk voor Internal Auditors om te valideren of de implementatie conform de regelgeving is. Wat is/wordt de rol van de Internal Auditor? Welke rol spelen data en technologie? De hoeveelheid (extra) werk maakt data-driven/ system-driven audit onvermijdelijk. De tools en technieken worden steeds beter, maar tussen droom en daad staan wetten in de weg en praktische bezwaren. Wat betekent dit voor CAE’s? Volgens Edo is het investeren in een team, mensen die het leuk vinden om zich in deze tools en technieken te verdiepen, enorm belangrijk. Tot slot, “de baan van Internal Auditor zal altijd blijven bestaan, want crisissen zullen altijd komen en gaan”. 

Toekomst van emerging technologies
Na de presentatie van Edo Roos Lindgreen, was het podium voor Sander Klous. Hoogleraar Big Data Ecosystems for Business and Society aan de Universiteit van Amsterdam en partner in Data & Analytics bij KPMG Advisory in Nederland.  

Hij gaf aan dat data science niet als wetenschap moet worden gezien maar een operationele activiteit, die interne auditors net als andere operationele activiteiten kunnen auditen door te kijken naar de risico’s en beheersmaatregelen. Daarbij is het ook goed om te kijken naar welke waarde data science genereert. Sander nam de deelnemers mee in de ontwikkeling van data science binnen organisaties van opportunity driven, centralized (Data office) naar het ontstaan van een Hub & Spoke. Het is de bedoeling dat de hub uiteindelijk een coördinerende rol bevat. Sander ziet vaak in de praktijk dat centralisatie niet goed wordt afgemaakt waardoor de stap naar Hub & Spoke lastiger wordt. Een centrale hub kan de Internal Auditor juist helpen in de meer technologie en data gedreven audit aanpak. Het is daarbij voor de interne audit functie (IAF) belangrijk om mensen met een juiste achtergrond en kennis in dienst te hebben. Verder legt hij de methodology voor het meten/auditen van een algoritme uit en welke uitdagingen daar aan vast zitten.

Tot slot nam Sander de deelnemers van de conferentie mee in de wereld van digital twins, de volgende hype na Big Data en AI. Een digital twin is een representatie van de ‘echte wereld’ en kan gedrag nabootsen als reactie op meerdere signalen. Digital Twins maken simulaties van multi-factor beslissingsprocessen mogelijk, rekening houdend met menselijke besluitvorming, financiële en andere risico- en operationele modellen en end-to-end processen (o.a. process mining) wat kansen biedt voor IAF’s. 

GRC-technologie in relatie tot internal Audit
Na de koffiepauze was het tijd voor Diego Ashruf, director bij KPMG IT Advisory de deelnemers van de conferentie meenam in de wereld van governance, risk en compliance (GRC) technologie.
Diego peilt op een interactieve manier en aan de hand van een aantal vragen de kennis over wat GRC betekent voor de Internal Auditors en wat de grootste uitdaging rond GRC is voor de auditors. De deelnemers in de zaal laten weten dat stakeholders veelal een beperkt begrip hebben van GRC, er veel (handmatige) beheersmaatregelen zijn en een geïntegreerde rapportage ontbreekt. Diego legt uit hoe een GRC-tool kan ondersteunen in je GRC-reis. Het begint met het leggen van de basis door het definiëren van GRC context leidende principes, reikwijdte en rollen & verantwoordelijkheden binnen je organisatie. Nadat de basis is neergelegd kunnen de vervolgstappen worden genomen voor het operationaliseren van het risk & control framework. Digitaliseer en centraliseer je controleschema in een GRC-platform is zijn advies. 

Volgens Diego is het belangrijk om af te stappen van Excel en te kiezen voor een GRC-tool, het liefst een ‘Cloud’ gebaseerde oplossing waar data analyse een geïntegreerd onderdeel van is en waar het platform vanaf ieder apparaat te benaderen is. Als organisatie hoef je natuurlijk niet meteen alles klaar hebben staan. Vanaf Excel kan je langzaam afbouwen en alles onder een paraplu krijgen. 

Vervolgens liet Diego aan de hand van een klantcasus zien hoe Sofy GRC (KPMG GRC tool) door internal auditors gebruikt kan worden.