Organisatieverandering blijft een uitdaging. Mislukte verandertrajecten halen met enige regelmaat de voorpagina’s van de kranten. Veranderen blijft echter noodzakelijk om organisaties aan te passen aan nieuwe omstandigheden en nieuwe technologische mogelijkheden. Bovendien zijn de voorpagina’s van kranten geen afspiegeling van de realiteit: een succesvolle verandering heeft immers geen nieuwswaarde. Falende verandertrajecten zijn echter een groot risico voor de organisatie. Als Internal Auditfunctie (IAF) kun je bijdragen aan de realisatie van succesvolle verandertrajecten door deze projecten te auditen.
De IAF en projectaudits
Hoe kan een IAF zich het beste organiseren om haar organisatie inzake projecten van assurance en advies te voorzien? Ik ben ervan overtuigd dat wat je belangrijk maakt binnen de IAF, succesvol zal zijn. In dat kader begint het volgens mij met het structureel toewijzen van specifieke auditcapaciteit aan het auditen van projecten. Dit kan zowel in kleine als in grote IAF’s.
Door een specifieke persoon verantwoordelijk te maken voor de coördinatie van projectaudits binnen je IAF, laat je nadrukkelijk zien dat de IAF structureel wil bijdragen aan de beheersing van de projectrisico’s en daarmee het succes van projecten binnen de organisatie.
Organisatie projectaudits bij Travelex
In mijn organisatie, Travelex, met wereldwijd 9.000 fte en een IAF van 22 fte, hebben we gekozen voor het aanstellen van een fulltime ‘Head of Internal Audit Projects and Emerging Risks’ naast de drie ‘regionale’ Heads of Internal Audit en het ‘Head of Internal Audit IT’. Het ‘Head of Internal Audit Projects and Emerging Risks’ is, zoals de naam doet vermoeden, verantwoordelijk voor de aanpak en methodologie van onze projectaudits en het signaleren en auditen van ‘emerging risks’.
Het ‘Head of Internal Audit Projects and Emerging Risks’ woont als ‘toehoorder zonder stemrecht’ de vergaderingen bij van het ‘Business Transformation Office (BTO)’ van Travelex, dat binnen de organisatie verantwoordelijk is voor de beoordeling en goedkeuring van alle ideeën, haalbaarheidsstudies en ‘business cases’ van projecten, zowel lokaal, regionaal als wereldwijd. Ze woont tevens vergaderingen bij van de stuurgroep van de belangrijkste strategische projecten binnen Travelex.
Hierdoor krijgt de IAF continu inzicht in de aard, omvang en risico’s van geplande en lopende projecten. Als onderdeel van de periodieke risicoanalyse en herijking van het auditplan, worden de risico’s van alle geplande en lopende projecten beoordeeld. Op basis van de periodieke risicoanalyse worden elk kwartaal een aantal projectaudits uitgevoerd. Projectaudits worden uitgevoerd door regionale en IT-auditors onder aansturing van het ‘Head of Internal Audit Projects and Emerging Risks’.
Team Internal Audit Travelex
Methodologie projectaudits
In 2017 hebben we geïnvesteerd in het ontwikkelen van een projectauditmethodologie. Alle auditors zijn getraind op het hanteren van deze methodologie. Deze bestaat uit een aantal punten.
Elke auditor:
- Heeft goed inzicht in de redenen waarom bepaalde projecten succesvol zijn en waarom andere mislukken.
- Is op de hoogte van de belangrijkste risico’s van projecten.
- Kent de belangrijkste overeenkomsten en verschillen tussen traditioneel (Waterfall) en Agile projectmanagement.
- Is op de hoogte van de minimum set aan beheersmaatregelen voor zowel Waterfall als Agile projecten.
- Kan omgaan met standaard (voorbeeld) werkprogramma’s die zijn ontwikkeld voor projectaudits. (We hebben standaard werkprogramma’s voor het auditen van de verschillende fasen van projecten, waarbij de focus ligt op projectgovernance, pre-go-live en post-implementation).
- Weet hoe de resultaten van projectaudits het beste kan rapporteren. (Op onderdelen wijken de auditrapporten van projectaudits af van de normale auditrapporten naar aanleiding van operational, compliance en IT-audits).
Het ‘Head of Internal Audit Projects and Emerging Risks’ rapporteert elk kwartaal over de gerapporteerde projectaudits (als separaat onderdeel van de IAF kwartaalrapportage) aan de Raad van Bestuur en het Audit & Risk Committee van de Raad van Commissarissen.
Stappenplan projectaudits
Wil als IAF in je organisatie op een gestructureerde en continu basis invulling geven aan projectauditing, dan kun je het volgende stappenplan volgen:
- Maak één persoon binnen je IAF verantwoordelijk voor de projectauditaanpak en -methodologie.
- Zorg dat je als IAF kennis neemt van de rapportages en besluitvorming inzake projecten binnen je organisatie, bij voorkeur door belangrijke vergaderingen bij te wonen.
- Alloceer in het jaarplan expliciet capaciteit aan projectauditing. Wanneer nog niet bekend is welke projecten zullen worden geaudit, maak dan gebruik van placeholders en vul deze op kwartaalbasis in.
- Zorg voor een gedegen projectauditmethodologie en werkprogramma’s.
- Train het gehele auditteam zodat ze: een goede kennis hebben van de risico’s van projecten, de verschillen in projectaanpak kunnen herkennen, hiermee weten om te gaan en de methodologie en werkprogramma’s kunnen hanteren.
- Rapporteer naar de Raad van Bestuur en de Auditcommissie expliciet over je projectaudits en de continue monitoring van de strategische projecten van de organisatie.
Voor meer praktische tips wil ik je verwijzen naar de IIA publicatie ‘Project Auditing; Handvatten voor de internal auditor’.
Succes met het auditen van jouw projecten!
Auteur: Antoine van Vlodorp is Hoofd Internal Audit bij Travelex en bestuurslid van IIA Nederland.