Een herpositionering van de interne auditfunctie bij gemeenten
De afgelopen jaren hebben veel gemeenten geïnvesteerd in het versterken van hun interne beheersing. De invoering van de rechtmatigheidsverantwoording door het college, toenemende eisen aan governance en de groeiende complexiteit van gemeentelijke taken hebben interne controle en interne audit nadrukkelijker op de agenda gezet.
Veel gemeenten zijn daarbij gestart vanuit rechtmatigheid: kunnen we aantonen dat we voldoen aan wet- en regelgeving en dat de financiële verantwoording rechtmatig en getrouw tot stand komt? Die vraag blijft uiteraard belangrijk. Tegelijkertijd groeit de behoefte aan een breder beeld. Functioneert de organisatie als geheel voldoende beheerst? Worden risico’s tijdig gezien? En werken processen, rollen en verantwoordelijkheden in de praktijk zoals bedoeld? Daarmee verschuift de interne auditfunctie van een vooral rechtmatigheidsgericht instrument naar een bredere onafhankelijke assurance- en adviesfunctie.
Dit artikel verkent wat die ontwikkeling vraagt van positionering, scope en samenwerking met andere waarborgfuncties.
De spanning in de gemeentelijke praktijk
In veel gemeenten is sprake van een herkenbaar spanningsveld. Aan de ene kant moet richting raad en accountant worden aangetoond dat de financiële verantwoording op orde is. Aan de andere kant willen college en directie weten of de organisatie daadwerkelijk “in control” is.
Die behoeften liggen in elkaars verlengde, maar zijn zeker niet hetzelfde. Rechtmatigheid gaat vooral over naleving en verantwoording. Beheersing kijkt breder: naar processen, sturing, rolverdeling, samenwerking tussen eerste en tweede lijn en het vermogen om risico’s tijdig bij te sturen.
Juist daardoor krijgt de interne auditfunctie vaak verschillende rollen toebedeeld: als verlengstuk van de verbijzonderde interne controle, als voorportaal van de accountant of als sparringpartner voor management, directie of college. Wanneer deze rollen niet expliciet worden onderscheiden, ontstaat verwarring. De functie wordt dan al snel (te) smal ingezet.
De kernvraag is daarom niet alleen welke audits worden uitgevoerd, maar vooral welke rol de interne auditfunctie binnen de gemeentelijke governance moet vervullen.
Van interne controle naar interne audit
Een belangrijke voorwaarde voor herpositionering is het onderscheid tussen interne controle en interne audit. Interne controle toetst of processen, transacties en beheersmaatregelen voldoen aan afgesproken kaders. Denk aan controles op rechtmatigheid, financiële juistheid, naleving van procedures en dossiervorming.
Interne audit heeft een bredere opdracht. De interne auditfunctie beoordeelt niet alleen of regels zijn gevolgd, maar ook of processen, risicomanagement en beheersmaatregelen effectief zijn ingericht en werken. Waar interne controle vooral afwijkingen signaleert, onderzoekt interne audit ook patronen en oorzaken.
Daarvoor is onafhankelijkheid nodig. Interne audit moet ook management, directie en tweede lijn kritisch kunnen beoordelen. Zonder die rolzuiverheid wordt de interne auditfunctie onderdeel van het systeem dat zij eigenlijk onafhankelijk moet toetsen.
De gemeentelijke vertaling van interne audit
Volgens het Institute of Internal Auditors is interne audit een onafhankelijke assurance- en adviesfunctie die waarde toevoegt door governance, risicomanagement en interne beheersing te evalueren en te verbeteren. In de gemeentelijke praktijk betekent dit dat de interne auditfunctie meerdere belanghebbenden bedient.
De raad heeft belang bij betrouwbare verantwoording en goede governance. Het college heeft behoefte aan onafhankelijke informatie over bestuurlijke beheersing. De directie wil weten of processen, sturing en risicobeheersing goed functioneren. Het lijnmanagement is eigenaar van processen en verbetermaatregelen, maar niet de opdrachtgever van de interne auditfunctie. Onderstaande figuur maakt dat beeldend inzichtelijk.
Een volwassen interne auditfunctie beweegt dus niet alleen verticaal richting accountant en raad. Zij heeft ook horizontale waarde richting college en directie: niet alleen controleren of de verantwoording klopt, maar ook inzicht geven in de vraag of de organisatie als geheel beheerst functioneert.
Verbreding van de audit scope
Als de rol van de interne auditfunctie breder wordt, moet ook de audit scope daarop aansluiten. Rechtmatigheid en getrouwheid worden dan ingebed in een breder perspectief op interne beheersing.
In een meer volwassen inrichting richt de interne auditfunctie zich bijvoorbeeld op:
- de opzet én werking van processen, procedures en richtlijnen;
- de naleving van beheersmaatregelen in de praktijk;
- de samenwerking en rolzuiverheid tussen eerste en tweede lijn;
- de invulling van kaderstellende, monitorende en rapporterende rollen door de tweede lijn;
- structurele tekortkomingen, zoals rolonduidelijkheid, versnipperde sturing of gebrekkige opvolging.
Vooral dat laatste punt is belangrijk. Een interne auditfunctie die alleen individuele afwijkingen rapporteert, benut haar potentieel onvoldoende. De bestuurlijke waarde ontstaat wanneer audits patronen zichtbaar maken. Niet alleen: deze controle is niet uitgevoerd. Maar ook: waarom lukt het de organisatie structureel niet om deze beheersmaatregel goed te laten werken?
Daarmee verschuift interne audit van constateren naar duiden. Die duiding helpt college en directie om gerichter te sturen op verbetering.
Interne audit voor college en directie
De verbreding van de audit scope leidt vanzelf tot de vraag voor wie de interne auditfunctie werkt. Steeds meer gemeenten zetten de interne auditfunctie ook in ten behoeve van college en directie.
Dat kan via organisatiebrede of thematische audits, 213a-achtige onderzoeken of reflecties op bestuurlijke beheersing. Deze ontwikkeling is logisch: het college draagt bestuurlijke verantwoordelijkheid voor rechtmatigheid en beheersing en heeft daarvoor onafhankelijke informatie nodig.
Tegelijk vraagt dit om scherpe afbakening. Niet elk onderzoek hoort thuis bij interne audit. Beleidsvoorbereiding, beleidsevaluatie, rekenkameronderzoek en managementadvies hebben ieder een eigen doel en positie. Wanneer die rollen door elkaar lopen, verliest de interne auditfunctie aan onafhankelijkheid en geloofwaardigheid.
Daarom is het belangrijk vooraf vast te leggen voor welke typen onderzoeken de interne auditfunctie optreedt als onafhankelijke evaluator.
Samenhang met accountant en andere onderzoeken
Een volwassen interne auditfunctie opereert niet in isolement. Gemeenten hebben te maken met accountantscontroles, rekenkameronderzoeken, ENSIA, ISO-audits, inspecties, en andere interne onderzoeken.
Zonder samenhang ontstaat overlap. Verschillende partijen kijken dan naar vergelijkbare onderwerpen, terwijl andere risico’s onvoldoende aandacht krijgen. Herpositionering vraagt daarom om bewuste keuzes in combined assurance. Waar auditeert de interne auditfunctie zelf? Waar wordt gesteund op werkzaamheden van anderen? Welke onderzoeken zijn gericht op bestuurlijke beheersing? En welke werkzaamheden zijn vooral relevant voor accountantsreliance?
Door deze afwegingen expliciet te maken, kan de interne auditfunctie gerichter worden ingezet op onderwerpen waar onafhankelijke duiding het meeste toevoegt.
Wanneer is een interne auditfunctie volwaardig?
Een volwaardige interne auditfunctie laat zich niet definiëren met één uniforme blauwdruk. Gemeenten verschillen in omvang, risicoprofiel en volwassenheid van de beheersingsorganisatie. Wel zijn er kenmerken die steeds terugkomen.
Een volwaardige interne auditfunctie:
- heeft een duidelijk mandaat en een onafhankelijke positie;
- heeft een heldere rol richting raad, college, directie, management en accountant;
- richt zich niet alleen op rechtmatigheid en getrouwheid, maar ook op de werking van de beheersingsorganisatie;
- beoordeelt zowel de opzet als de werking van processen en beheersmaatregelen;
- rapporteert niet alleen afwijkingen, maar ook patronen en oorzaken;
- opereert in samenhang met accountant, rekenkamer en andere onderzoeken.
Een interne auditfunctie is dus niet volwaardig omdat er audits worden uitgevoerd. Zij is volwaardig wanneer zij onafhankelijk, gestructureerd en zichtbaar bijdraagt aan betere governance, risicobeheersing en interne beheersing.
Scan als hulpmiddel voor het gesprek
Omdat gemeenten verschillen in volwassenheid, is herpositionering geen kwestie van één standaardmodel invoeren. Een integrale scan kan helpen om de huidige situatie scherp te krijgen. Daarbij gaat het onder meer om mandaat, onafhankelijkheid, scope, samenwerking tussen lijnen, kwaliteitsborging en toegevoegde waarde voor college en directie.
Zo’n scan dwingt geen oordeel “goed” of “fout” af, maar faciliteert het gesprek over de huidige positie en de logische volgende stap.
Tot slot
De interne auditfunctie bij gemeenten is duidelijk in beweging. De rechtmatigheidsverantwoording heeft de aandacht voor interne beheersing versterkt, maar vormt idealiter niet het eindpunt van die ontwikkeling.
De volgende stap is dat gemeenten bewuste keuzes maken over positionering, scope en governance. Niet alleen om aan te tonen dat processen rechtmatig verlopen, maar vooral om beter zicht te krijgen op de vraag of de organisatie als geheel beheerst functioneert.
Een goed gepositioneerde interne auditfunctie helpt bestuur, college en directie om verder te kijken dan individuele afwijkingen. Zij maakt patronen zichtbaar, beoordeelt de werking van beheersmaatregelen en brengt samenhang aan in het bredere assurance-landschap. Niet door méér te controleren, maar door scherper te kijken naar hoe de organisatie functioneert.