Toezicht op de kwaliteitstoetsingen
Het Toezichtsorgaan op de Kwaliteitstoetsingen (TKT) draagt er zorg voor dat alle toetsingen, dus ook die door derde partijen, tijdig plaatsvinden en dat deze kwalitatief goed worden uitgevoerd. Hiertoe analyseert het TKT alle toetsingsrapporten en beoordeelt het eindoordeel. Ook behandelt het TKT verzoeken tot uitstel van toetsing. De taken en bevoegdheden van het Toezichtsorgaan zijn beschreven in het Reglement Kwaliteitstoetsing van IIA Nederland
- Overzicht getoetste organisaties
- Toetsende organisaties
- Leerpunten kwaliteitstoetsingen
- Document Oordeelsvorming
- Veelgestelde vragen
- Reglement
Overzicht getoetste organisaties
Hieronder staan de organisaties waarvan bij IIA Nederland bekend is dat ze een externe kwaliteitstoetsing met voldoende resultaat hebben laten uitvoeren conform het Reglement Kwaliteitstoetsing van IIA Nederland, door het College Kwaliteitstoetsingen of een derde partij.
Als uw organisatie een externe kwaliteitstoetsing heeft laten uitvoeren conform de internationale standaarden van het IIA en in deze lijst wenst te worden opgenomen, stuur uw gegevens (incl. kopie van het toetsingsrapport en e-mailadres van de contactpersoon) dan naar toezicht@iia.nl onder vermelding van ‘Kwaliteitstoetsing’.
Een overzicht van alle getoetste organisaties met voldoende resultaat vindt u hier.
2023
| Organisatie | Getoetst door: | Standaarden |
| AkzoNobel | Kwaliteitstoetsingen IIA Nederland (KIN) | IPPF |
| Corbion N.V. | ONE Risk Advisory | IPPF |
| Parteon | ONE Risk Advisory | IPPF |
Toetsende organisaties
Hieronder het overzicht van alle organisaties die gekwalificeerd zijn om de kwaliteitstoetsingen uit te voeren en die u kunt inschakelen om de kwaliteitstoetsing bij uw organisatie uit te voeren.
| Naam organisatie | Contactpersoon |
| ARC People | Carlo Bavius |
| BDO | Emanuel van Zandvoort |
| Deloitte | Rob de Leeuw |
| EY | Will Weerts |
| ONE Risk Advisory | Robert Bogtstra |
| IIA Nederland | Bob van Kuijck |
| KOA (Alleen voor KOA-leden) | Robert Vogelsang |
| KPMG | Bart van Loon |
| KPMG | Pieter van Ark |
| Protiviti | Fred Pranata |
| PwC | Jan Driessen |
| Mazars | Michel Kee |
Leerpunten kwaliteitstoetsingen
IIA Nederland heeft, mede op verzoek van het Toezichtsorgaan Kwaliteitstoetsingen, een analyse gemaakt van de resultaten van alle in 2019-2020 uitgevoerde externe kwaliteitstoetsingen. Deze resultaten zijn gepubliceerd in het rapport 'Leerpunten uit de externe kwaliteitstoetsingen 2019-2020'. De continue evaluatie en verbetering van de dienstverlening is een belangrijk kenmerk van professionele organisaties. Dergelijke reflectie en ontwikkeling draagt sterk bij aan het vertrouwen in en de toegevoegde waarde van de dienstverlening. Dit geldt ook voor internal auditfuncties (IAF’s). De beroepsnormen van het Instituut van Internal Auditors (IIA) hebben dan ook een verplicht programma voor kwaliteitsbewaking en -verbetering. Hier hoort tevens een externe, onafhankelijke kwaliteitstoetsing bij, die tenminste eens in de vijf jaar dient plaats te vinden. Dit rapport beschrijft de resultaten van de analyse van de uitgevoerde externe kwaliteitstoetsingen in 2019 en 2020. Een soortgelijke analyse is eerder uitgevoerd in 2018. Naast het rapport zijn de resultaten dit jaar ook te zien in een PowerBI. Met mogelijke selecties per Standaard, op hoofd- en detailniveau, en naar omvang van de IAF, kan daarmee nog beter worden bekeken welke aandachtspunten voor de lezer van waarde kunnen zijn. Het IIA geeft met dit rapport handvatten aan IAF’s voor een volgende stap in hun kwaliteitsverbetering. Daarnaast is dit rapport een hulpmiddel voor IAF’s bij de voorbereiding op een externe kwaliteitstoetsing.Leerpunten uit de externe kwaliteitstoetsingen 2019-2020
English: Lessons Learned from External Quality Assessments 2019-2020
Document Oordeelsvorming
Het TKT heeft met het ‘Document Oordeelsvorming, Handleiding voor de kwaliteitsbeoordeling van de internal auditfunctie’ (DO) aanvullende guidance uitgegeven voor de toepassing en toetsing van de Standaarden. Per Standaard wordt aangeven welke (kritieke) criteria er zijn om aan de Standaard te voldoen en in welke situaties in de toetsing een ‘partially conform’ en ‘does not conform’ wordt gegeven.
Het Document Oordeelsvorming is onderdeel van de verdere professionalisering van de externe kwaliteitstoetsing aan het IPPF van het IIA. Het dient als guidance voor de diverse toetsende partijen die voor de IAF’s in Nederland de externe kwaliteitstoetsing uitvoeren. De externe kwaliteitstoetsing is verplicht (eens in de vijf jaar) voor alle organisaties waarvan een internal auditor lid is van IIA Nederland. Het DO geeft aan hoe de Standaarden en Gedragscode te interpreteren en in welke situaties een ‘DNC’ of ‘PC’ van toepassing is.
Met het DO wil het TKT borgen dat het resultaat van een bepaalde toetsing hetzelfde is, ongeacht de toetsende partij en de toetser. Het document is in consultatie met de toetsende partijen opgesteld. Het IIA acht een dergelijk instrument belangrijk en passend bij de huidige status van de internal auditfunctie in Nederland, zoals die onder meer tot uiting komt in de Code Corporate Governance.
Uiteraard blijft het DO een levend document en zijn opmerkingen en suggesties van harte welkom; het verzoek is deze door te geven aan peter.hartog@iia.nl.
Het Document Oordeelsvorming is zodanig uitgewerkt en besproken, dat het de status van checklist voorbij is. Alle leden krijgen met het openbaar gemaakte document aanvullende handvatten aangereikt om aan de Standaarden te voldoen. Vanaf heden is het niet alleen voor alle toetsers, maar ook voor alle getoetsten duidelijk op welke wijze de invulling van de Standaarden beoordeeld wordt.
Net als voor de toetsers, geldt ook voor de IAF zelf, dat deze guidance niet als een ‘mathematische afvinklijst’ kan worden gebruikt. Altijd dient de context van de organisatie en de IAF daarbinnen in overweging te worden genomen. Eigenlijk geldt dus het principe ‘pas toe of leg uit’; er kunnen goede redenen zijn om aspecten anders in te vullen en te waarderen. Belangrijk is dat dat op een bewuste manier gebeurt – het Document Oordeelsvorming geeft daartoe de handvatten.
Veelgestelde vragen
A. De toetsende partijen en toetsers
Zijn de leden van het IIA verplicht om de kwaliteitstoetsing te laten uitvoeren door Kwaliteitstoetsingen IIA Nederland (KIN)?
Nee. Leden van IIA zijn verplicht om tenminste eens in de vijf jaar een externe kwaliteitstoets te laten uitvoeren. Hiervoor zijn meerdere partijen beschikbaar. Deze staan vermeld op de site.
Alle partijen die voor de externe kwaliteitstoetsingen zijn gekwalificeerd, conformeren zich aan het IPPF. Voor het IIA is het belangrijk dat de toetsing dezelfde resultaten oplevert, ongeacht de toetsende partij en de toetser(s). Hiertoe gelden eisen aan de onafhankelijkheid en deskundigheid van de toetsers. Deze eisen zijn nader uitgewerkt in het Reglement. Het Toetsingsorgaan Kwaliteitstoetsingen (TKT) ziet toe op de naleving van deze eisen.
Welke eisen zijn gesteld aan de toetsers en het toetsteam?
De toetsers dienen deskundig en onafhankelijk van de te toetsen organisatie te zijn. Toetsers dienen de cursus Quality Assessor van het IIA gevolgd te hebben (en daarmee gecertificeerd te zijn door IIA Inc.). Additioneel geldt dat toetsers een grote mate van ervaring en kennis van het IPPF (CIA kwalificatie) dienen te hebben, alsmede kennis van de branche van de, te toetsen organisatie. De teamleider van de toetser dient, aanvullend, managementervaring op Chief Audit Executive niveau te hebben. Voor kwaliteitstoetsingen aan de normenkaders van de NBA en/of NOREA zijn aanvullende specifieke vereisten van toepassing.
Wie toetst de toetser?
Het TKT ziet toe op de naleving van alle regels en voorschriften inzake de externe kwaliteitstoetsingen, inclusief de beoordeling van de onafhankelijkheid en deskundigheid van de toetsers. De CAE stelt vast dat de toetsende partij over de passende competentie en capaciteiten beschikken om de toetsing volgens de professionele standaarden te kunnen uitvoeren. De CAE zorgt er voor dat onafhankelijkheid en deskundigheid van de toetsende partij in de eindrapportage zijn toegelicht.
Kan een toetsende partij, met door IIA Inc. gecertificeerde toetsers, de toetsing bij een interne auditafdeling uitvoeren, als er ook RA’s en/of RE’s werkzaam zijn bij de interne audit afdeling?
Ja dat kan, echter alleen de toetsing aan het IIA normenkader. IIA Nederland is als enige geaccrediteerd door de NBA en de NOREA om namens hen kwaliteitstoetsingen uit te voeren bij interne auditdiensten met respectievelijk RA’s en RE’s. De toetsing aan de NBA e/o NOREA standaarden kunnen niet door een andere partij dan IIA Nederland worden uitgevoerd.
Welke organisatie/instellingen zijn er nog meer geaccrediteerd door de NBA om namens hen kwaliteitstoetsingen op basis van de NBA normenkaders uit te voeren?
Naast KIN, zijn ook de SRA en het samenwerkingsverband kwaliteitstoetsing overheidsauditors (KOA) geaccrediteerd door de NBA, om namens hen kwaliteitstoetsingen op basis van de NBA normenkaders uit te voeren.
Door wie worden RA’s of AA’s en RE’s die geen lid zijn van bij IIA Nederland getoetst?
Interne accountants (RA’s of AA’s) die geen lid zijn van IIA worden getoetst door de Raad voor Toezicht van de NBA. RE’s die geen lid zijn worden getoetst door NOREA.
Wat gebeurt er als ik als RA én lid van het IIA, de toetsing aan het normenkader van het IIA weiger?
Vanzelfsprekend zal dan eerst overleg plaatsvinden over de achtergronden, van u en van de verplichte toetsing aan het normenkader van het IIA. Indien u een toetsing aan het IIA-normenkader blijft weigeren, terwijl dit wel volgt uit de Standaarden, zal het IIA-Bestuur u ontzetten uit het lidmaatschap en de NBA hierover informeren. Afhankelijk van de situatie, maar zeker als u werkt voor een OOB, informeert het IIA tevens het Bestuur / Audit Commissie van uw organisatie over de ontzetting uit het lidmaatschap.
B. De gebruikte normenkaders
Wat zijn de normenkaders waaraan wordt getoetst?
Het internationale raamwerk voor de beroepsuitoefening van Internal Auditors (IPPF) van het IIA is het normenkader voor de kwaliteitstoetsing bij leden van IIA. Afhankelijk van de situatie kan, gezien de regelgeving van NBA en NOREA, tevens toetsing op basis van de relevante NBA en/of NOREA normenkaders noodzakelijk zijn.
Ik ben RA – moet dan altijd ook een toets aan de NBA-normen plaatsvinden?
Ja, volgens de Verordening op de Kwaliteitsbeoordelingen van het NBA moet dat. Hierbij dient onderscheid te worden gemaakt tussen de toetsing van het kwaliteitssysteem van de IAF en andere, persoonsgebonden NBA-normen. Voor de toetsing van het kwaliteitssysteem mag u zich onder voorwaarden alleen baseren op het IPPF. Conform art. 3 van de NV COS is namelijk een ander kwaliteitssysteem dan de Nadere voorschriften kwaliteitssystemen (NVKS) mogelijk. De voorwaarden om de toetsing uitsluitend te verrichten onder de IIA Kwaliteitsstandaarden zijn als volgt:
- Er worden geen controle- of beoordelingsopdrachten uitgevoerd, waarbij een verklaring aan externe partijen (buiten uw eigen organisatie) wordt verstrekt; Ter toelichting: de kernvraag is of sprake is van een externe werking. Daarbij wordt opgemerkt dat ook verspreiding van een verklaring aan beperkte en vooraf gedefinieerde ontvangers buiten de eigen organisatie door het NBA als externe werking wordt beschouwd.
- Het besluit de werkzaamheden uitsluitend te verrichten onder de IIA Kwaliteitsstandaarden is in het internal audit charter vastgelegd, met toestemming van het hoogste orgaan van de organisatie.
- Er is geen verwijzing naar de NV COS in het internal audit charter opgenomen.
- Er is geen verwijzing naar de NV COS in de opdrachtformuleringen en/of internal audit rapportages opgenomen.
Ook al behoeft de IAF niet volgens het NVKS te worden getoetst, dan nog moet de IAF waar één of meerdere RA’s of AA’s werken, volgens de NBA-richtlijnen wel worden getoetst aan de andere van toepassing zijnde NBA-normen, zoals VGBA, ViO en NOCLAR[1]. Die toetsing kan alleen plaatsvinden door door de NBA geaccrediteerde partijen, te weten KIN, KOA en SRA.
- Er worden geen controle- of beoordelingsopdrachten uitgevoerd, waarbij een verklaring aan externe partijen (buiten uw eigen organisatie) wordt verstrekt; Ter toelichting: de kernvraag is of sprake is van een externe werking. Daarbij wordt opgemerkt dat ook verspreiding van een verklaring aan beperkte en vooraf gedefinieerde ontvangers buiten de eigen organisatie door het NBA als externe werking wordt beschouwd.
- Het besluit de werkzaamheden uitsluitend te verrichten onder de IIA Kwaliteitsstandaarden is in het internal audit charter vastgelegd, met toestemming van het hoogste orgaan van de organisatie.
- Er is geen verwijzing naar de NV COS in het internal audit charter opgenomen.
- Er is geen verwijzing naar de NV COS in de opdrachtformuleringen en/of internal audit rapportages opgenomen.
Ook al behoeft de IAF niet volgens het NVKS te worden getoetst, dan nog moet de IAF waar één of meerdere RA’s of AA’s werken, volgens de NBA-richtlijnen wel worden getoetst aan de andere van toepassing zijnde NBA-normen, zoals VGBA, ViO en NOCLAR[1]. Die toetsing kan alleen plaatsvinden door door de NBA geaccrediteerde partijen, te weten KIN, KOA en SRA.
Welke rol speelt het Internal Audit Ambition Model (IA AM) in de externe kwaliteitstoetsing?
Het IA AM is primair een hulpmiddel voor de periodieke zelfevaluatie, ofwel voor de interne evaluatie. Bij voorkeur vindt deze jaarlijks plaats, als onderdeel van het programma voor kwaliteitsbewaking en -verbetering, en bijvoorbeeld als basis voor het opstellen van het Jaarplan van de IAF. Met alle toetsende partijen is afgesproken dat de analyse o.b.v. het IA AM gebruikt kan worden als input voor de externe kwaliteitstoetsing. In dat geval is een zelfevaluatie, die gebruikelijk als startpunt van de externe kwaliteitstoetsing wordt gevraagd, dus niet meer nodig.
C. De vorm van de kwaliteitstoetsing
Wat is het belangrijkste verschil tussen de Self Assessment with Independent Validation (SAIV) en de volledige externe evaluatie?
Beide vormen van externe toetsing zijn gelijk als het gaat om het vaststellen van de conformiteit met de Standaarden en de Gedragscode. Het belangrijkste verschil is niet de vorm (zoals de naam wellicht suggereert), maar de scope. De volledige beoordeling bekijkt niet alleen conformiteit met de normen, maar beziet ook de efficiency en effectiviteit van de internal auditfunctie (ook t.o.v. leading practices van andere IAF’s) en de mate waarin de internal auditfunctie voldoet aan de verwachtingen van het bestuur, het senior management en het uitvoerende management, en meerwaarde biedt aan de organisatie. In de SAIV is geen of slechts beperkte aandacht voor andere gebieden dan de conformiteit.
Als ik kies voor een SAIV en zoveel mogelijk zelf wil doen, wat doet de externe toetser (validator) dan nog?
Ook in de SAIV dient een gekwalificeerde, onafhankelijke externe beoordelaar tot een gefundeerd oordeel te komen over conformiteit met de IPPF standaarden. De externe toetser beoordeelt dus de uitgevoerde, gedocumenteerde werkzaamheden van de zelfevaluatie, aan de hand van een review van de planning, uitvoering en documentatie van de evaluatie, de SAIV, inclusief het steekproefsgewijs re-performen van elementen van de evaluatie en uitvoeren van interviews met de belangrijkste stakeholders.
Kan voor een kleine IAF een vereenvoudigde toetsing plaatsvinden?
Voor alle IAF’s geldt hetzelfde normenkader. Uit de analyse van de uitgevoerde kwaliteitstoetsingen is ook gebleken dat ook kleine IAF’s prima aan het IPPF normenkader kunnen voldoen. Vanzelfsprekend zullen voor een kleine IAF de uit te voeren werkzaamheden in het kader van de externe kwaliteitstoetsing wel minder zijn.
D. Internationaal werkende organisatie
Mijn internal audit afdeling opereert internationaal. In welk land dient de kwaliteitstoetsing op de interne auditafdeling plaats te vinden?
De eis tot kwaliteitstoetsing vloeit voort uit de Standaarden van het IIA en is internationaal geldend voor IIA-leden. Toetsing dient vanuit Nederland plaats te vinden voor de internal audit werkzaamheden, die vanuit Nederland worden aangestuurd.
Ik werk voor een multinational. Het hoofdkantoor is gevestigd in het buitenland. Waarom word ik ook door het IIA NL en door de NBA onderworpen aan een kwaliteitsonderzoek?
Alle leden van IIA NL dienen zorg te dragen voor een externe kwaliteitstoets aan het IIA normenkader. De NBA stelt dat RA’s die in Nederland werkzaam zijn voor een multinational, ook onderworpen zijn aan een kwaliteitsonderzoek aan de NBA-normen.
Indien mijn IAF reeds getoetst is door IIA in een ander land, is een toetsing in Nederland dan nog nodig?
In dat geval wordt in beginsel gebruik gemaakt van de bevindingen van de kwaliteitstoetsing in het andere land. Het TKT zal aan de hand van het beschikbaar te stellen kwaliteitstoetsingsrapport desgevraagd beoordelen of de Nederlandse internal audit activiteiten inderdaad deel uitmaakten van de toetsing en of de toetsing adequaat was en heeft geleid tot een “voldoet”. Daartoe is inzicht nodig in de betreffende rapportage. Indien deze rapportage niet ter beschikking wordt gesteld aan het TKT, dienen in dat geval alsnog de Nederlandse internal audit activiteiten, met IIA NL leden, te worden getoetst. E.e.a. is weergegeven in een beslissingsboom
E. De kosten en toegevoegde waarde
Wat is nog de toegevoegde waarde van een externe kwaliteitstoetsing als ik al jaarlijks een interne toetsing uitvoer?
Zoals voor alle professionele organisaties, is het goed om van tijd tot tijd door een onafhankelijke partij een spiegel te worden voorgehouden. De standaarden vereisen dit ook. Dat biedt de mogelijkheid te leren van andere good practices, voorkomt het optreden van blinde vlekken en biedt ook uw stakeholders aanvullende waarde als dat is gebeurd door een gekwalificeerde, onafhankelijke partij.
Ik doe geen assurance of daaraan verwante werkzaamheden. Waarom word ik toch onderworpen aan een kwaliteitsonderzoek?
Alle leden van IIA NL die internal audit werkzaamheden, zoals in de IIA definitie van internal audit zijn beschreven, uitvoeren, zijn verplicht de kwaliteitstoetsing door het IIA NL te laten verrichten. Wanneer er geen assurance of daaraan verwante werkzaamheden worden uitgevoerd, kan men zich afvragen of hier wel sprake is van een internal auditfunctie.
Is de uitvoering van het kwaliteitsonderzoek niet met name “form over substance”? En draagt dit wel bij aan het doel van de Internal Audit werkzaamheden?
Doorlopende verbetering van de kwaliteit is het doel dat wordt nagestreefd, en dat streven wordt niet bereikt door regels boven de inhoud te stellen. De Standaarden zijn in belangrijke mate ‘principle’-based. Bij de beoordeling zullen dus altijd de achterliggende doelen van de Standaarden leidend zijn.
Wat zijn de kosten voor een kwaliteitsonderzoek?
De prijs is afhankelijk van de omvang en soort IAF en de door de IAF verrichte werkzaamheden en natuurlijk van de specifieke afspraken die u maakt met de toetsende partij. Daarbij zal een SAIV goedkoper zijn dan een volledige externe toetsing. Het is raadzaam offertes bij meerdere toestende partijen aan te vragen. Ter indicatie: De prijs van een externe toets varieert van € 12.500,- tot € 75.000,-. Overigens wordt vooraf een plan van aanpak opgesteld op basis waarvan de kosten worden bepaald.
Hoe kan ik aan de Raad van Bestuur en/of Audit Commissie van de Raad van Commissarissen duidelijk maken wat de toegevoegde waarde van de toetsing is?
Eigenlijk is een dergelijke kwaliteitstoets een kenmerk van elke professionele organisatie. Juist vanuit het perspectief van de Raad van Bestuur (RvB) en Audit Commissie (AC) is het belangrijk om van tijd tot tijd een onafhankelijke deskundige eens mee te laten kijken. Dat geeft hen aanvullende zekerheid en biedt de organisatie de mogelijkheid te leren van anderen. We zien in de praktijk dat de RvB en AC dit zeer op prijs stellen, ook omdat dit voor hen een lastig vakgebied is, waarbij zij graag met onafhankelijke deskundigen spiegelen. Naast de toegevoegde waarde, het nut en de werkwijze zijn met name ook de positionering van de IAF en de inpassing in de organisatie belangrijke attentiepunten. Vragen die aan de orde komen bij de stakeholders zijn bijvoorbeeld:
- Hoe kun je optimaal gebruikmaken van de Internal Auditfunctie als RvB en AC?
- Haalt de organisatie de optimale toegevoegde waarde uit de Internal Auditfunctie?
- Hoe kan de RvB en AC vaststellen en waarborgen dat de Internal Auditfunctie de juiste dingen doet?
- Wordt er voldoende gekeken naar de hoog risico gebieden van de organisatie?
- Werkt de Internal Auditfunctie effectief samen met de externe accountant, zodat er geen overlap van werkzaamheden is en de ‘auditcoverage’ compleet en effectief is?
- Sluiten de risicoanalyse en auditplanning in voldoende mate aan op de strategie van de organisatie en de behoeften van de stakeholders?
- Is de onafhankelijkheid van de Internal Auditfunctie voldoende gewaarborgd ? - Werkt de Internal Auditfunctie professioneel conform de standaarden en de (best) practices, zoals gepubliceerd door de beroepsorganisaties?
- Hoe is de leesbaarheid, helderheid en relevantie van de communicatie en rapportages van de Internal Audifunctie?
- Is de oordeelsvorming door de Internal Auditfunctie voldoende scherp genoeg of juist te scherp? - Is de capaciteit van de Internal Auditfunctie kwalitatief en kwantitatief voldoende?
- Wordt er door de Internal Auditfunctie niet teveel of juist te weinig afstand bewaard t.o.v. de organisatie en wordt er voldoende invulling gegeven aan de adviesfunctie gezien de verwachtingen, cultuur en het volwassenheidsniveau van de organisatie?
- Hoe kun je optimaal gebruikmaken van de Internal Auditfunctie als RvB en AC?
- Haalt de organisatie de optimale toegevoegde waarde uit de Internal Auditfunctie?
- Hoe kan de RvB en AC vaststellen en waarborgen dat de Internal Auditfunctie de juiste dingen doet?
- Wordt er voldoende gekeken naar de hoog risico gebieden van de organisatie?
- Werkt de Internal Auditfunctie effectief samen met de externe accountant, zodat er geen overlap van werkzaamheden is en de ‘auditcoverage’ compleet en effectief is?
- Sluiten de risicoanalyse en auditplanning in voldoende mate aan op de strategie van de organisatie en de behoeften van de stakeholders?
- Is de onafhankelijkheid van de Internal Auditfunctie voldoende gewaarborgd ? - Werkt de Internal Auditfunctie professioneel conform de standaarden en de (best) practices, zoals gepubliceerd door de beroepsorganisaties?
- Hoe is de leesbaarheid, helderheid en relevantie van de communicatie en rapportages van de Internal Audifunctie?
- Is de oordeelsvorming door de Internal Auditfunctie voldoende scherp genoeg of juist te scherp? - Is de capaciteit van de Internal Auditfunctie kwalitatief en kwantitatief voldoende?
- Wordt er door de Internal Auditfunctie niet teveel of juist te weinig afstand bewaard t.o.v. de organisatie en wordt er voldoende invulling gegeven aan de adviesfunctie gezien de verwachtingen, cultuur en het volwassenheidsniveau van de organisatie?
F. De periodiciteit, inhoud en reikwijdte
Welke eisen zijn gesteld aan de periodiciteit van de toetsing?
Conform de IIA Standaarden en het Reglement Kwaliteitstoetsing van IIA Nederland is een externe toetsing eenmaal in de vijf jaar verplicht.
Is de inhoud van de ‘volledige toetsing’ en de SAIV gelijk?
Beide vormen van externe toetsing zijn gelijk als het gaat om het vaststellen van de conformiteit met de Standaarden en de Gedragscode. De volledige toetsing gaat echter verder dan alleen de vraag of wordt voldaan aan de normen; zij beziet ook de efficiency en effectiviteit van de interne auditactiviteit (ook t.o.v. leading practices van andere IAF’s).
Het werkveld van de internal auditor is behoorlijk divers. Worden de daarbinnen gemaakte keuzes meegenomen in het kwaliteitsonderzoek?
De scope die in het kwaliteitsonderzoek wordt onderzocht, is breed. Getoetst wordt met name aan de in de Standaarden van het IIA gedefinieerde scope van de werkzaamheden van de Internal Audit Functie. De werkelijke scope van de IAF kan overigens variëren. Uit het Audit Charter moet duidelijk blijken wat de werkzaamheden van de internal auditor inhouden. De belanghebbenden dienen ingestemd te hebben met een eventuele beperking van de scope. Afwijkingen ten opzichte van de Definitie van Internal Audit van het IIA zullen echter altijd in het kwaliteitstoetsingsrapport vermeld worden.
Het kwaliteitsonderzoek betreft ook de dossiervorming door de interne auditfunctie. Hoe wordt daar in de praktijk mee omgegaan?
Het is van belang dat uit de audit dossiers op basis van “evidence” duidelijk wordt, welke audit werkzaamheden zijn uitgevoerd en de conclusies kunnen worden herleid uit de onderliggende evidence (de audittrail). Vanuit de professionaliteit van de IAF is, zeker met de toegenomen regel- en wetgeving, volledigheid van dossiervorming en transparantie van groot belang, waarbij het dossier ook dient om verantwoording af te kunnen leggen voor het werk van de IAF.
Kan het kwaliteitsonderzoek leiden tot opmerkingen over het functioneren van de Audit Commissie van de Raad van Commissarissen?
Ja, dat kan. Het reglement van de Audit Commissie en het Charter van een IAF worden in het onderzoek betrokken. In deze documenten behoort namelijk de relatie tussen Internal Audit en de Audit Commissie vastgelegd te zijn. Als bijvoorbeeld geconstateerd wordt dat de Audit Commissie niet optimaal gebruikmaakt van de IAF dan zal dit zeker opgemerkt worden. Ook punten ter versterking van het functioneren van de Audit Commissie en de IAF zullen aan de orde kunnen komen. Een voorbeeld van een aanbeveling die ook op prijs werd gesteld door een Audit Commissie, was om de IAF te betrekken bij de opleiding van de leden van de Audit Commissie. Daarnaast is het voor de onafhankelijke positionering van een IAF ‘good practice’ dat de Audit Commissie betrokken is bij de aanname, de beoordeling en het ontslag van het hoofd IAF.
G. De werkwijze
Hoe kan ik mij het best voorbereiden op een kwaliteitsonderzoek?
Het beste kan dat met behulp van een self-assessment. De Standaarden vereisen ook een periodieke interne toetsing; bij voorkeur wordt deze jaarlijks uitgevoerd; deze kan dan dienen als startpunt en input voor de externe toetsing. Voor de interne toetsing zijn verschillende mogelijkheden en hulpmiddelen. Een zeer bruikbaar tool voor de interne toetsing is het IA Ambition Model, ook omdat de resultaten daarvan, in de vorm van een ‘spiderweb’ en/of barchart ook erg geschikt zijn voor bespreking met de RvB en AC. Andere hulpmiddelen zijn het Document Oordeelsvorming (waarin de diverse Standaarden nader zijn geconcretiseerd) en het handboek Quality Assurance (deze is te bestellen bij IIA).
Wat is het tijdsbeslag voor mijn afdeling?
Dat hangt af van de vorm (in een SAIV doet de organisatie meer zelf) en van de mate waarin het Quality Assessment & Improvement Program (QA&IP) is ontwikkeld. Als er periodieke interne toetsingen plaatsvinden, kunnen deze worden gebruikt als input voor de externe toetsing. Hierbij wordt vermeld dat elke CAE eigenlijk al een goed gefundeerd inzicht in de inhoud en werking van het QA&IP en de eventuele tekortkomingen zou moeten hebben voordat een externe kwaliteitstoets start. Soms gebruiken CAE’s de toets om hier meer inzicht in te krijgen. Gebruikelijk is dat het hoofd van de IAF (en enkele direct betrokken internal auditors) tijdens de toetsing enkele dagdelen beschikbaar zijn. Daarnaast zullen diverse interviews met de stakeholders en auditors plaatsvinden en een aantal dossiers worden onderzocht, waarbij het van belang is dat de betrokken auditors beschikbaar zijn. In de planningsfase van de toetsing wordt de tijdsplanning nader gekwantificeerd. Het onderzoek ter plaatse duurt ongeveer een week.
In de kwaliteitstoetsing vinden interviews plaats met stakeholders zoals de Voorzitter Auditcommissie, CEO, CFO en soms de externe accountant. Wat is het nut daarvan en is men verplicht daaraan zijn medewerking te verlenen?
Deze interviews geven de onderzoekers inzicht in het functioneren van een IAF vanuit het perspectief van belanghebbenden en andere assuranceproviders; daarbij hebben zij ook rollen in het goed laten functioneren van de IAF. In het algemeen verlenen stakeholders overigens graag hun medewerking aan de interviews, omdat men overtuigd is van de toegevoegde waarde van het kwaliteitsonderzoek en men graag ook eens van andere deskundigen hoort dat hun interne auditors werken conform de geldende beroepsnormen.
H. (Verspreiding van de) Resultaten
Ik ben het niet eens met de conclusie van de kwaliteitstoetsing. Hoe kan ik daar tegen bezwaar aantekenen?
Vanzelfsprekend bespreekt u dit in eerste instantie met de externe kwaliteitstoetser. Daarna kunt u dit kenbaar maken bij het TKT. Het TKT zal dit nader onderzoeken. In de derde plaats kunt u bij het IIA Bestuur een klacht indienen. Naast de mogelijkheid om klachten in te dienen bij het bestuur, kan iedere belanghebbende een klacht indienen bij de Raad van Tucht van IIA Nederland, die belast is met de behandeling van klachten tegen leden van IIA Nederland overeenkomstig het Reglement op de Tuchtrechtspraak voor leden van IIA Nederland.
Op welke wijze komt de conclusie tot stand?
De zwaarte van de bevindingen van de toetsing is bepalend. Het TKT ziet toe op een consistente toepassing; om deze vooraf zoveel mogelijk te borgen, heeft het TKT het Document Oordeelsvorming uitgegeven. Dit is primair bedoeld als instrument voor de toetsers (zodat iedereen een vergelijkbare situatie, gelijk waardeert), maar is beschikbaar voor alle leden.
Hoe verloopt de distributie van het rapport?
Het rapport wordt door de toetsende partij verzonden aan het hoofd van de IAF (CAE). Er wordt verwacht dat deze voor de verdere interne distributie zorgt (naar de CEO, de Audit Commissie en andere interne betrokkenen) en het rapport (binnen één maand na de afronding van de kwaliteitstoetsing) naar het TKT stuurt. Indien het TKT vragen heeft over de gehanteerde werkwijze of uitkomst, kan zij contact opnemen met de toetsende partij e/o CAE. De CAE van de getoetste organisatie wordt over dit voornemen geïnformeerd door het TKT.
Worden de resultaten van de onderzoeken (in geanonimiseerde vorm) met derden gedeeld?
Op de (openbare) website van IIA worden de getoetste organisaties gepubliceerd, met het jaar waarin de IAF de externe kwaliteitstoetsing heeft ondergaan.
Wat krijgt de Raad voor Toezicht van de NBA te horen van de toetsingen door het IIA?
Namens het bestuur van IIA Nederland stelt het TKT periodiek het bestuur van NBA en/of het bestuur van NOREA op de hoogte van IAF’s waar IIA Nederland leden heeft, die de titel RA, AA en/of RE dragen, waar een externe kwaliteitstoetsing is uitgevoerd met of zonder een kwaliteitstoetsing zoals beschreven in de regelgeving van de NBA en/of NOREA.
I Een negatieve uitkomst
Wat zijn de gevolgen wanneer een oordeel “voldoet niet” of “voldoet gedeeltelijk” wordt verkregen?
In dat geval zal de IAF de gelegenheid krijgen om een verbeterplan op te stellen en te implementeren. In geval van “Voldoet niet” dient binnen 12 maanden een volledige hertoetsing plaats te vinden. In geval van “Voldoet gedeeltelijk” dient binnen 12 maanden een hertoetsing van de verbeterpunten te bevestigen dat de IAF alsnog “Voldoet”.
En als de uitkomst van de hertoetsing weer niet goed is?
Als na de hertoetsing het oordeel nog steeds “Voldoet niet” of ‘Voldoet gedeeltelijk’ is, zal het TKT dit melden aan het Bestuur van IIA. In het bestuur zal besluitvorming plaats vinden over de te nemen maatregelen. In het uiterste geval zal de maatregel bestaan uit de ontzetting uit het lidmaatschap van de betreffende leden / IAF. Het bestuur van IIA zal de CAE in kennis stellen van deze maatregel. Afhankelijk van de situatie, maar zeker als u werkt voor een OOB, informeert het IIA ook het Bestuur en Audit Commissie van uw organisatie over de ontzetting uit het lidmaatschap.
Reglement
Het reglement op de kwaliteitstoetsing voor interne auditors is vastgesteld in de bijeenkomst van de Algemene Ledenvergadering van het Instituut van Internal Auditors Nederland op 16 mei 2019. Dit reglement is van toepassing op alle leden van IIA Nederland die werkzaam zijn als interne auditor.
- Reglement op de kwaliteitstoetsing van interne auditfuncties per 16-05-2019
- Nadere voorschriften voor externe kwaliteitstoetsing per 16-05-2019
- Regulations concerning external quality assessment of internal audit functions (IIA Netherlands) from 16-05-2019
- Additional Requirements for the External Quality Assessment (IIA Netherlands) from 16-05-2019
- EQA requirements for a Dutch IAF reporting to a CAE abroad
- Selectiecriteria
- Nadere Voorschriften Kwaliteitssystemen (NVKS) NBA per 1-1-2018
- Inventarisatieformulier
- Inventory form
