De interne audit uitbesteden of niet? 5 factoren om bij stil te staan.

Of je nu aan de slag gaat met het thema kwaliteit, informatiebeveiliging, milieu, arbo & veiligheid of voedselveiligheid: de interne audit is een verplicht onderdeel bij iedere managementsysteemnorm. Interne audits moeten zowel voorafgaand aan een initiële certificering worden uitgevoerd, als in de jaren erna terugkerend als onderdeel van het ‘onderhoud’ van het managementsysteem (en het behouden van de certificering). 

De laatste jaren zien we steeds meer de trend dat organisaties de interne audit uitbesteden aan een onafhankelijke externe partner. Dit heeft een aantal oorzaken, zoals gebrek aan tijd, gebrek aan (interne) kennis en onafhankelijkheid van het te auditen proces en de collega’s. In dit artikel zoomen we daar verder op in.

Wanneer je te maken hebt met een managementsysteemnorm, dan kom je op gegeven moment in aanraking met de verplichte interne audit. Interne audits zijn als het ware controles die je doet om er zeker van te zijn dat je processen goed lopen, om ‘bewijs’ te verzamelen waarmee je aantoonbaar maakt dat je ‘in control’ bent en om te signaleren waar verbeterpunten zitten. De uitkomsten van interne audits vormen de input voor aanpassing van je beleid, doelstellingen en beheersmaatregelen en daarmee voor continue verbetering.

Een certificering vraagt om een interne auditplanning. Je dient interne audits namelijk periodiek uit te blijven voeren (minimaal jaarlijks). Met een goede planning stel je als organisatie zeker dat alle onderdelen van het managementsysteem, processen en afdelingen gedurende de 3-jarige geldigheidsperiode van je certificaat aan bod komen. De laatste jaren zien we steeds meer de trend dat organisaties kiezen voor het uitbesteden van de interne audit aan een onafhankelijke externe partner. Dat heeft te maken met een aantal factoren:

Een belangrijke factor die in veel organisaties genoemd wordt als hoofdreden voor het uitbesteden van de interne audit is de factor tijd. Binnen veel organisaties is een rol zoals bijvoorbeeld KAM-coördinator, Security Officer of Health & Safety Officer een bijrol die iemand naast zijn reguliere functie uitvoert. Het uitvoeren van de verplichte interne audit is in dat geval vaak ‘bijzaak’ en het is nu eenmaal algemeen bekend dat iedereen het te druk heeft voor ‘bijzaken’. Door uitbesteding van de interne audit aan een externe specialist, kunnen de eigen medewerkers zich blijven focussen op hun kerntaken en hoeven zij geen extra rol te vervullen die tijd kost en buiten hun comfortzone ligt.

Wie een interne audit uit wil voeren heeft voldoende kennis van de norm en van het te auditeren proces nodig. In veel organisaties is die kennis (met name de normkennis) beperkt of onvoldoende aanwezig. Verder is voor het uitvoeren van een goede interne audit ook van belang dat de interne auditor over voldoende ‘auditskills’ beschikt.

Zowel normkennis als auditskills kunnen aan medewerkers worden bijgebracht in de vorm van trainingen. Toch kiezen veel organisaties ervoor om een externe adviseur in te schakelen met ruime kennis en ervaring. Dit komt in veel gevallen de kwaliteit ten goede doordat het uitvoeren van een interne audit de corebusiness is van een externe adviseur. Daardoor wordt de audit professioneler uitgevoerd en levert deze meer nuttige output op. Een externe adviseur heeft bovendien een bepaalde mate van routine in het uitvoeren van een audit en weet precies hoe een interne audit in zijn werk gaat. Dit geeft enerzijds zekerheid dat de interne audit conform planning wordt uitgevoerd, zodat wordt voldaan aan de eisen van de norm en anderzijds is het onder aan de streep vaak ook nog goedkoper. De externe adviseur loopt immers op efficiënte wijze door het proces heen en heeft ruime kennis van zaken.

Interne audits mogen worden uitgevoerd door medewerkers van de eigen organisatie. Daar hangen echter wel een aantal voorwaarden aan:

Om hieraan te kunnen voldoen is de interne audit uitbesteden bij veel organisaties de beste, en soms enige, optie. Wanneer de interne audit uit wordt gevoerd door een onafhankelijke externe adviseur is in elk geval zeker dat de auditor geen belang heeft bij de resultaten. Op die manier komt er objectieve en representatieve informatie uit de audit.

Die onafhankelijkheid die gepaard gaat met het uitbesteden van de interne audit, is ook om een andere reden handig: namelijk onpartijdigheid ten opzichte van collega’s. Doordat de audit wordt uitgevoerd door een externe adviseur is er geen sprake van (interne) belangenverstrengeling. De auditor kan daardoor kritisch zijn. Veel kritischer dan een interne collega die de rol van auditor krijgt vaak is of durft te zijn.

Het gevolg is dat audits eerlijker en vollediger zijn en objectieve en representatieve informatie opleveren. Bovendien worden bevindingen van externe adviseurs eerder ter harte genomen dan die van een interne collega. Daarbij geldt namelijk het principe ‘vreemde ogen dwingen’.

Een vijfde factor, die in de huidige tijd vanwege o.a. de coronacrisis steeds vaker van invloed is, is het werken op afstand. Veel collega’s werken op afstand, wat het auditeren een stuk lastiger maakt dan wanneer dit ‘gewoon’ op de bedrijfslocatie plaatsvindt. Zeker voor iemand waarvoor de interne audit geen dagelijkse kost is, kan dit een struikelblok zijn.

Mede door de coronacrisis is de digitalisering snel gegaan in auditland. Audits werden ineens alleen ‘remote’, want organisaties wilden hun certificering niet verliezen. Daardoor zag je dat het ook steeds vaker voorkwam dat organisaties daarbij hulp inschakelden van een externe partner om een interne audit op afstand uit te laten voeren.

Herken je één of meerdere factoren uit dit artikel? En zie je wel een oplossing in het uitbesteden van de interne audit? Neem dan gerust eens contact met ons op. Onze adviseur vertelt je graag meer over de mogelijkheden van de interne audit. Waar het gewenst/noodzakelijk is om interne audits op afstand uit te laten voeren, is dat ook mogelijk. De adviseurs van CertificeringsAdvies Nederland hebben hier ervaring mee en zijn in staat ook op afstand hun meerwaarde te leveren.