Zoekresultaten

< Terug Opdracht (Senior) auditor ADR Per direct 30 tot 36 uur per week Den Haag / Hybride Maximaal € 24.762,95 per maand SOLLICITEER Ferocia zoekt, in samenwerking met KPMG, 17 Senior Auditors en 18 Auditors voor controlewerkzaamheden binnen de wettelijke controletaak bij de Rijksoverheid. Het gaat om opdrachten binnen de financial audit, met werkzaamheden voor departementen, agentschappen en andere organisatieonderdelen binnen de Rijksoverheid. Wil jij bijdragen aan de kwaliteit, rechtmatigheid en betrouwbaarheid van de financiële verantwoording binnen de publieke sector? Dan komen we graag met je in contact. Wat vragen we? Voor de rol van Senior Auditor: minimaal WO werk- en denkniveau afgeronde opleiding (Register) Accountancy of vergelijkbaar minimaal 4 jaar recente ervaring met financiële audits Voor de rol van Auditor: minimaal HBO werk- en denkniveau afgeronde opleiding Accountancy of vergelijkbaar minimaal 2 jaar recente ervaring met financiële audits Ervaring met inkoopprocessen, rechtmatigheidscontroles, aanbestedingswetgeving, subsidiedossiers, USK, departementale jaarrekeningen of agentschappen is een duidelijke pré. Wat bieden we Voor de Senior Auditor bedraagt de maximale all-in maandbeloning € 24.762,95. Voor de Auditor bedraagt de maximale all-in maandbeloning € 15.445,97. De genoemde bedragen betreffen een maximale bruto all-in beloning op basis van detachering. De exacte samenstelling en voorwaarden worden persoonlijk toegelicht. Praktisch Start: vanaf 1 september of 1 oktober 2026 Duur: tot uiterlijk 15 maart 2027 Omvang: 30-36 uur per week Locatie: voornamelijk Den Haag, soms Utrecht of elders Hybride werken mogelijk, met aanwezigheid op locatie Opdracht op basis van detachering Interesse of ken je iemand die past? Neem contact op met Terri Stuijfbergen-Beens via 085-0608598 of terri.stuijfbergen@ferocia.nl.

Ontdek wanneer het uitbesteden van audits slim is, hoe je grip houdt en kwaliteit borgt. Inclusief tips voor co-sourcing, contracten en KPI’s. Alle blogs Co- en outsourcing Uitbesteden van audits Wanneer het slim is, hoe je het regelt en waar je op móét letten Het uitbesteden van audits klinkt aantrekkelijk: extra capaciteit, specialistische kennis en een frisse blik. Toch is het geen eenvoudige keuze. Zonder duidelijke regie ontstaat al snel ruis, lopen kosten uit de pas of verslapt de aandacht voor opvolging. Wie het goed wil doen, begint bij de vraag waarom uitbesteden waarde toevoegt, bepaalt zorgvuldig wat er extern belegd wordt en borgt de kwaliteit vanaf de eerste opdrachtformulering tot en met de laatste verbeteractie. In dit stuk lees je wanneer uitbesteden wel werkt, welke vormen effectief zijn, hoe je onafhankelijkheid en governance organiseert en hoe je stuurt op resultaat in plaats van op uren. Waarom zou je audits uitbesteden? De meest gehoorde reden is schaarste. Teams hebben piekbelasting door reorganisaties, verschuivende behoeften vanuit de opdrachtgever of uitlopende audits, terwijl de jaarplanning gewoon gerealiseerd moet worden. Het uitbesteden van audits helpt dan om het tempo vast te houden zonder concessies te doen aan kwaliteit. Een tweede motief is de behoefte aan specialistische kennis. IT-auditing, cybersecurity, privacy, data-analyse of ESG-audits vragen om ervaring die niet elke interne auditafdeling dagelijks inzet. Door tijdelijk expertise in te kopen, voorkom je dat je team maanden moet investeren in leercurves, terwijl de risico’s nu aandacht vragen. Ook objectiviteit speelt mee. Een externe auditor kijkt met minder bedrijfsblindheid naar processen en durft eerder een ongemakkelijke vraag te stellen. Dat levert scherpere bevindingen op en vaak ook een betere aansluiting op wat bestuur en toezichthouders willen weten. Belangrijk is dat uitbesteden nooit de verantwoordelijkheid verlegt naar de uitbestedende partij. De regie over de werkwijze, templates, communicatie met de organisatie blijft binnen de internal auditfunctie zelf. De externe partij levert capaciteit, kennis en methodiek; de interne auditfunctie behoudt het stuur, bepaalt de prioriteiten en bewaakt de kwaliteit. Wie dat onderscheid helder houdt, ervaart uitbesteden niet als uit handen geven, maar als een manier om de eigen auditdoelen beter en sneller te realiseren. Hoe kun je uitbesteden? (de werkbare modellen) Organisaties kiezen doorgaans uit drie werkvormen. De meest laagdrempelige is projectmatige uitbesteding: één duidelijke opdracht, bijvoorbeeld een IT-audit, een privacyreview of een audit op het inkoopproces. Deze aanpak is ideaal bij piekdrukte of een afgebakende expertisebehoefte. Wie structureel wil versterken, kiest vaak voor co-sourcing. Interne en externe auditors vormen dan één team, hanteren één planning en leveren één rapport. De aanpak combineert continuïteit met kennisoverdracht: interne auditors groeien mee in methodiek en tooling, externe collega’s leren de organisatie sneller doorgronden. Tot slot is er de (deels) uitbestede auditfunctie. Daarbij neemt een externe partij geheel of gedeeltelijk de internal auditfunctie over. De regie blijft bij het bestuur en de uitvoering wordt door de externe partij georganiseerd. Wie net begint, doet er goed aan klein te starten. Een afgebakend project maakt zichtbaar wat de samenwerking oplevert en waar de frictie zit. Op basis van die ervaring schaal je eventueel gericht op naar een structureel model. Governance en onafhankelijkheid: de randvoorwaarden Een effectieve samenwerking begint met helder eigenaarschap. De directie en de auditcommissie blijven eindverantwoordelijk voor het auditplan en de opvolging van bevindingen. De tweede lijn levert input en deelt risicobeelden. De internal auditfunctie is verantwoordelijk voor uit uitvoeren van relevante, deugdelijke en doelmatige audits. Leg vast dat de externe partij geen tegenstrijdige werkzaamheden uitvoert. Wie een proces ontwerpt of implementaties begeleidt, kan niet in dezelfde periode datzelfde domein beoordelen op beheersing en effectiviteit. Toegang en integriteit vragen eveneens aandacht. Externe auditors hebben volledige toegang nodig tot systemen, data en medewerkers. Regel dat vooraf, inclusief geheimhouding, datalocatie, bewaartermijnen en versleuteling. Heldere afspraken maak je niet pas aan het einde van de opdracht of als er iets mis is gegaan, maar direct bij de start van de samenwerking. Regel bijvoorbeeld vooraf hoe de externe partij de haar Quality Assurance organiseert. Denk bijvoorbeeld aan naar de manier waarop dossiers intern worden gereviewd en zorg dat je zelf ook kunt meekijken in werkprogramma’s en dossiervorming. Transparantie is hier geen luxe, maar een basisvoorwaarde voor vertrouwen. Selectie van je auditpartner: waar let je op? De beste pitch is een dossier dat spreekt. Vraag niet alleen om mooie slides, maar om geanonimiseerde voorbeeldrapporten, volledig doorlopen werkprogramma’s en zicht op de gebruikte tooling. Past de aanpak bij jouw sector en risicotaal? Sluiten bevindingen aan op root causes in plaats van symptomen? En zijn aanbevelingen concreet genoeg om binnen jouw organisatie te realiseren? Kijk verder dan het cv van de partner: wie staat er daadwerkelijk op de vloer, hoeveel senioriteit is er in het kernteam en hoe is continuïteit geborgd als het druk wordt? Minstens zo belangrijk is de cultuurfit. Een strakke methodiek is waardevol, maar landt alleen als de toon en het tempo aansluiten bij je organisatie. Dat ontdek je niet in een offerte, maar in de praktijk. Overweeg om bijvoorbeeld een proof-of-concept te organiseren met een echte scope en echte deadlines. Werk samen door alle fasen heen, van intake tot conceptrapport, en evalueer daarna scherp op kwaliteit, tijdigheid, samenwerking en impact. Contracteren van een externe partij Een duidelijk contract voorkomt discussies achteraf en versnelt het werk vooraf. Begin met een scherpe doelomschrijving en reikwijdte van de opdracht. Beschrijf processen, locaties, systemen en standaarden en leg vast hoe de auditcharter zich verhoudt tot interne policy’s en wettelijke eisen. Spreek af welke deliverables je krijgt: het auditprogramma, tussentijdse updates, een managementletter, een concept- en eindrapport en de presentatie aan het managementteam of de auditcommissie. Maak afspraken over doorlooptijden per fase, inclusief afhankelijkheden zoals dataleveringen en interviewplanning. Leg kwaliteitscriteria vast, bijvoorbeeld het aantal fouten in de conceptrapportage en de wijze waarop het dossier wordt opgebouwd en bewaard. Privacy en security vragen om specifieke clausules. Denk aan een verwerkersovereenkomst, dataclassificatie, versleuteling, toegangsbewaking en duidelijke regels over dataretentie en vernietiging. Wie uitbesteden gebruikt om de interne functie te versterken, borgt kennisoverdracht contractueel. Dat kan door co-creatie van normenkaders, overdracht van methodieken, dashboards en gerichte training van het interne team. Neem een helder escalatiemechanisme op, met vaste doorlooptijden en een duidelijke lijn naar het management. En vergeet het einde niet: een exit-plan zorgt dat data worden teruggegeven, openstaande bevindingen worden overgedragen en de auditkalender zonder hapering doorgaat. Commercieel werkt een vaste prijs vaak het beste bij een goed afgebakende scope. Waar flexibiliteit nodig is, help je jezelf met een strak change-proces: elke wijziging krijgt een beoordeling op risico, impact, planning en kosten, zodat bestuurders bewust kiezen. KPI’s en SLA’s die sturen op waarde Uren vertellen weinig. Sturen op waarde begint bij indicatoren die iets zeggen over tijdigheid, kwaliteit, relevantie en effect/impact. Kijk naar het percentage audits dat op planning wordt opgeleverd, naar de doorlooptijd per fase en naar het aantal reviews dat nodig is om het conceptrapport te finaliseren. Meet of aanbevelingen aansluiten bij de kern van het probleem in plaats van bij symptomen. De impact zie je uiteindelijk terug in opvolging: hoe snel worden maatregelen geïmplementeerd en wat is er daadwerkelijk verbetert bij vervolgaudits? Vergeet de samenwerking niet. Een korte vergadering onder proceseigenaren en het interne auditteam geeft inzicht in de kwaliteit van communicatie en kennisoverdracht. Spreek drempelwaarden af en koppel er verbeteracties aan. Als audits structureel te laat zijn, volgt automatisch een gezamenlijke root-cause-analyse en een verbeterplan met concrete acties. Een praktijkvoorbeeld Stel: een middelgrote retailer versnelt de digitalisering met een nieuw e-commerceplatform. De interne auditcapaciteit is beperkt en IT-kennis schaars. De auditcommissie kiest voor co-sourcing op twee sporen. IT-gerelateerde audits worden projectmatig uitbesteed, inclusief data-analyse op logbestanden en autorisaties. Tegelijkertijd investeert de organisatie in kennisopbouw: twee interne auditors leren in de praktijk hoe zij IT-normenkaders opstellen en data-extracties uitvoeren. Contractueel zijn vaste prijzen per audit afgesproken, duidelijke KPI’s op tijdigheid en kwaliteit en een minimale acceptatiegraad van aanbevelingen door het management. De rapportage volgt het interne format en elke conceptfase eindigt met een interactieve sessie met proceseigenaren. Na een half jaar is de doorlooptijd aantoonbaar gedaald en voeren de interne auditors zelfstandig een vervolg-audit uit met hergebruikte methodes. Bevindingen worden sneller opgevolgd omdat de aanbevelingen zijn geschreven in de risicotaal van de organisatie. De auditcommissie besluit de samenwerking uit te breiden naar vendor risk management, maar borgt tegelijk de onafhankelijkheid door advies- en assurance-activiteiten strikt te scheiden. Het stappenplan, maar dan zonder checklist Wie verantwoord wil uitbesteden, begint met een scherpe doelstelling. Gaat het om capaciteit, specialistische kennis of versnelling? Koppel dat doel aan de risicogebaseerde auditplanning en kies vervolgens het model dat daarbij past. Een beperkte, afgebakende opdracht is een verstandige start. Laat de markt zien wat zij kan, maar zet je eigen kwaliteitskaders ernaast. Vervolgens leg je afspraken vast in een solide contract, inclusief privacy- en securityclausules, duidelijke doorlooptijden en expliciete kennisoverdracht. Richt governance in met heldere rollen, een strakke escalatielijn en vaste reviewmomenten. Bewaak de scope en maak het opvolgen van aanbevelingen onderdeel van de opdracht. Tot slot evalueer je niet alleen het rapport, maar het hele proces: wat kon sneller, wat kon scherper en welke templates of methodes verdienen een update? Op die manier wordt elke uitbestede audit ook een investering in je eigen functie. Conclusie: uitbesteden van audits is geen doel, het is een onderbouwde keuze Uitbesteden van audits werkt wanneer je het gebruikt om je eigen functie te versterken. Houd de regie, kies bewust voor een model dat past bij je doelen en borg onafhankelijkheid en kwaliteit in elke stap. Contracteer op resultaten, niet op inspanning, en schrijf aanbevelingen in de taal van je organisatie. Begin klein, leer snel en schaal op waar het rendeert. Zo vergroot je niet alleen de kwaliteit en snelheid van je audits, maar vooral het lerend vermogen van de organisatie. Wie daar vandaag mee begint, zet morgen al de eerste stap naar aantoonbaar effectievere beheersing. Vrijblijvend sparren of het uitbesteden van audits is voor jouw organisatie is en zo ja, welke vorm dat het meest passend is? Neem contact met ons op via telefoon of e-mail, of start direct een chat via het gele tekstbolletje rechtsonder. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Volg de opleiding Gedrag- en cultuuronderzoek van Ferocia en Habeo+ en leer hoe je gedrag en cultuur professioneel kan onderzoeken en zo echt het verschil kan maken! Postbacheloropleiding Gedrag- en cultuuronderzoek voor financials Duur Studiekosten PE-punten 5 maanden € 4.950,- 48 Inschrijven Ontdek of deze opleiding bij je past. Schrijf je nu in voor de gratis proefles op 16 november a.s. van 09:00 tot 16:00 uur te locatie Utrecht of digitaal. Opleiding Gedrag- en cultuuronderzoek voor financials Gedrag en cultuur zijn geen zachte bijzaak meer, maar een tastbaar risicogebied binnen internal auditing, control en risicomanagement. Het IIA benoemt dit expliciet in het Topical Requirement over Organizational Behavior. Gedrag en cultuur wat niet in lijn is met de strategie, beleid, regels en procedures kan direct schadelijke gevolgen hebben. Daarom moet je als auditor, controller of risicomanager gedrag en cultuur net zo kritisch beoordelen als andere risico’s binnen governance, risk & control. Wat leer je tijdens de opleiding Gedrag- en cultuuronderzoek voor financials ? Tijdens de postbacheloropleiding Gedrag- en cultuuronderzoek voor financials leer je hoe je gedrag en organisatiecultuur professioneel onderzoekt en effectief verbindt aan risico’s, beheersing, compliance en doelrealisatie. Je ontwikkelt jezelf van een professional die ‘ziet dat er iets speelt’ naar een auditor, controller of risicomanager die dit onderbouwd kan analyseren, duiden en bespreekbaar maken met impact. Je bouwt een praktische onderzoekstoolkit op waarmee je heldere onderzoeksvragen kan formuleren, focusgroepen kan begeleiden en gedragsobservaties kan uitvoeren. Vervolgens leer je kwalitatieve data analyseren met o.a. thematische en rodedradenanalyse, eventueel ondersteund door AI. Tot slot oefen je met valideren via workshops en overtuigend rapporteren, zodat je bevindingen leiden tot actie. Waarom kiezen voor de opleiding Gedrag- en cultuuronderzoek voor financials ? Je kiest voor deze postbacheloropleiding Gedrag- en cultuuronderzoek voor financials omdat gedrag en cultuur steeds vaker doorslaggevend zijn voor het succes van internal audits, risicomanagement en control. Deze opleiding maakt het verschil tussen aanvoelen en onderbouwen. Je leert gedrag en cultuur concreet, objectief en professioneel onderzoeken en er overtuigend over rapporteren. Geen abstracte theorie, maar direct toepasbare kennis en vaardigheden, ontwikkeld en begeleid door ervaren professionals. Je werkt aan een eigen praktijkonderzoek, krijgt intensieve feedback en vergroot zichtbaar je impact op governance, risicobeheersing en verandering binnen jouw organisatie. Waarom kiezen voor Ferocia en Habeo+? Ferocia is expert in internal auditing, risicomanagement en control. Onze kracht ligt in het vertalen van complexe theorie naar praktische toepassingen die direct waarde toevoegen binnen jouw organisatie. Onze docenten zijn verbonden aan toonaangevende hogescholen en universiteiten en brengen hun praktijkervaring mee in de opleiding. We werken volgens het principe van inspiratie, co-creatie en prestatie, zodat je leert in een omgeving waar kennisdeling, samenwerking en persoonlijke groei centraal staan. Na afloop beschik je niet alleen over waardevolle inzichten, maar ook over concrete instrumenten en vaardigheden om daadwerkelijk impact te maken op risicobeheersing. Je kunt de opleiding volgen in Apeldoorn, Breda, Den Haag of Utrecht, en de colleges zijn desgewenst ook online te volgen. Zo heb je maximale flexibiliteit in hoe en waar je studeert. Wil jij je ontwikkelen in gedrag en cultuur waarmee je écht het verschil maakt? Schrijf je dan nu in voor de postbacheloropleiding Gedrag- en cultuuronderzoek voor financials en investeer in jouw professionele groei. Praktische informatie Doelgroep Werkvorm Tijdsinvestering Studiekosten Resultaat Je bent werkzaam als auditor, controller, risk officer, compliance officer, medewerker AO/IC, kwaliteitsmedewerker of accountant en van jou wordt verwacht dat je gedrag en cultuur onderzoekt of meeneemt in je advies? Dan is deze leergang een logische volgende stap in je ontwikkeling. De opleiding bestaat uit zes bijeenkomsten van één dag (op locatie of online) en wordt afgesloten met een examen. Daarnaast volg je drie e-learningmodules en werk je intensief aan een eigen onderzoek naar gedrag en cultuur binnen je organisatie. Reken op ongeveer 8 tot 10 uur zelfstudie per week. De opleiding is praktijkgericht en blended van opzet. Je volgt: Zes klassikale dagen (op locatie of online) Drie e-learningmodules Intensieve coaching op je eigen praktijkonderzoek Je combineert klassikale bijeenkomsten met gerichte e-learningmodules en praktijkcoaching rondom je eigen onderzoek naar gedrag en cultuur. De e-learning biedt vooraf een stevige theoretische basis, zodat je tijdens de bijeenkomsten de focus kunt leggen op toepassen: werken met casuïstiek, oefenen met rollenspellen en het ontwikkelen van vaardigheden zoals interviewen, analyseren en rapporteren. Tijdens de coachingsmomenten werk je één-op-één of in kleine groepen aan de opzet en uitvoering van je onderzoek, met gerichte feedback van ervaren docenten. Na afronding van de opleiding kun je: cultuur en gedrag professioneel onderzoeken als internal auditor, risicomanager of controller; zelfstandig een onderzoek uitvoeren op het gebied van gedrag en cultuur; naar aanleiding van een reguliere audit of controle een oorzaakanalyse uitvoeren naar gedrag en cultuur; concrete onderzoeksvragen formuleren over soft controls en gedragsrisico’s; onderzoekstechnieken toepassen zoals interviews, observaties en thematische analyse in relatie tot gedrag en cultuur; gedragsdata analyseren en vertalen naar bruikbare inzichten; effectief rapporteren over cultuur en gedrag, inclusief validatie met stakeholders; en je eigen rol als auditor, controller of risicomanager versterken met meer impact op verandering en gedrag. De investering in de opleiding bestaat uit twee onderdelen: opleidingskosten en arrangementskosten. Hieronder vind je een overzicht van de kosten en betalingsmogelijkheden: Opleidingskosten: € 4.950,- (vrijgesteld van btw) Arrangementskosten: € 438,- (excl. 9% btw) Voor aanvang van de opleiding ontvang je een factuur. Je kunt ervoor kiezen om de opleidingskosten in kwartaaltermijnen te betalen. In dat geval geldt een toeslag van 5% op het totaalbedrag van de opleidingskosten. Wat eerdere deelnemers zeggen Sanne de Vries Internal Auditor "De opleiding heeft mijn blik op audits fundamenteel veranderd. Ik kijk nu niet alleen naar processen en controls, maar begrijp veel beter welk gedrag daaronder ligt en hoe cultuur resultaten beïnvloedt." Mark Jansen Risk manager "Deze opleiding gaf mij concrete handvatten om lastige gesprekken over gedrag en cultuur professioneel te voeren. Vooral de koppeling tussen theorie en praktijkcases vond ik enorm waardevol." Laura van dn Berg Senior adviseur interne controle "Ik ben mij door de opleiding veel bewuster geworden van mijn eigen rol en gedrag in verandertrajecten. De inzichten over groepsdynamiek en informele patronen pas ik inmiddels dagelijks toe." Inzichten Hoe technologie onze opleidingen en trainingen vernieuwt. Van e-learning tot hybride classroom en realistische simulaties In deze blog laten we zien hoe technologie ons helpt om leren niet alleen efficiënter, maar vooral effectiever te maken. We laten zien hoe we e-learning inzetten waar het werkt, hoe onze hybride classroom trainingen flexibiliteit bieden zonder in te leveren op kwaliteit en waarom realistische simulaties zorgen voor echte leermomenten. Want of je nu start met auditing of al jarenlang riskmanager bent, blijven leren is essentieel. En dat moet dus wel goed geregeld zijn. De ti 20 sep 2025 5 minuten om te lezen Auditmethodiek 2.0: Een gestructureerde aanpak voor effectieve internal audits De wereld van internal audit verandert razendsnel: digitalisering, strengere regelgeving en hogere verwachtingen van stakeholders maken... 10 sep 2025 17 minuten om te lezen Opleiding operational auditing Lopen onze processen eigenlijk wel beheerst? Gaan we onze doelen wel halen dit jaar? En is onze interne controle robuust genoeg? Zomaar... 13 aug 2025 5 minuten om te lezen Meer weten over of direct inschrijven voor de opleiding Gedrag- en cultuuronderzoek voor financials? Brochure Adviesgesprek Inschrijven

Leer audits ontwerpen én uitvoeren met Auditmethodiek 2.0: een gestructureerde, praktijkgerichte en AI-ondersteunde aanpak voor effectieve internal audits. Training Auditmethodiek 2.0 Duur Studiekosten PE-punten 4 dagdelen € 1.395,- 18 Inschrijven Training Auditmethodiek 2.0 Internal auditors staan onder druk om sneller, scherper en aantoonbaar waardevoller te werken. Organisaties verwachten audits die niet alleen methodologisch deugdelijk zijn, maar ook aansluiten op de informatiebehoefte van bestuur, directie en management. Tegelijkertijd moeten auditresultaten herkenbaar zijn voor de organisatie en leiden tot concrete verbetering. In deze praktijkgerichte training leer je werken met Auditmethodiek 2.0: een gestructureerde en AI-ondersteunde aanpak voor het ontwerpen en uitvoeren van effectieve internal audits. De methodiek helpt auditors om audits relevant, deugdelijk en doelmatig op te zetten, met een duidelijke koppeling tussen kennisbehoefte, scope, auditdoelstelling, referentiemodel, testplan en rapportage. Tijdens de training werk je stap voor stap aan een auditontwerp voor een audit binnen je eigen organisatie. Zo vertaal je de methodiek direct naar je eigen praktijk. Wat leer je tijdens de training Auditmethodiek 2.0? Tijdens de training leer je hoe je een audit opzet volgens de uitgangspunten van Auditmethodiek 2.0. Je begint bij het scherp krijgen van de kennisbehoefte van de opdrachtgever en werkt vervolgens toe naar een volledig auditontwerp met scope, afbakening, auditdoelstelling, referentiemodel, testplan en planning. Je leert hoe je een audit relevant maakt voor de opdrachtgever, hoe je een deugdelijk normenkader opstelt en hoe je het veldwerk zodanig voorbereidt dat bevindingen later goed herleidbaar en reproduceerbaar zijn. Daarbij is expliciet aandacht voor het verschil tussen systeemtoetsen en performancetoetsen, het gebruik van triangulatie en het toepassen van AI-agents ter ondersteuning van het auditproces. Onderwerpen die aan bod komen zijn onder meer: het vertalen van de kennisbehoefte van de opdrachtgever naar een scherpe auditdoelstelling; het bepalen van scope en afbakening; het opstellen van een referentiemodel met beheersdoelstellingen, risico’s en beheersmaatregelen; het ontwikkelen van een testplan; het samenstellen van een auditontwerp; de aansluiting tussen auditontwerp, veldwerk, datamatrix en rapportage; het gebruik van de SPROA-methodiek voor bevindingen en verbeteracties; en de inzet van AI-agents om de kwaliteit en efficiëntie van audits te verhogen. Waarom kiezen voor de training Auditmethodiek 2.0? Direct toepasbaar: je werkt tijdens de training aan een auditontwerp voor je eigen organisatie. Praktische methodiek: je leert een concrete aanpak die je direct kunt gebruiken bij het voorbereiden en uitvoeren van internal audits. Focus op kwaliteit: de training helpt je audits op te zetten die relevant, deugdelijk en doelmatig zijn. AI-ondersteund werken: je ontdekt hoe AI-agents kunnen ondersteunen bij onder meer auditdoelstellingen, beheersdoelstellingen, risico’s, beheersmaatregelen en testplannen. Waarom kiezen voor Ferocia? Ferocia is specialist in audit, risk en control. Wij combineren inhoudelijke diepgang met praktische toepasbaarheid, zodat auditors niet alleen leren hoe een audit methodologisch goed wordt opgezet, maar ook hoe zij met hun werk aantoonbaar waarde toevoegen aan de organisatie. Onze aanpak is gebaseerd op inspiratie, co-creatie en prestatie. Dat betekent dat je niet alleen kennis opdoet, maar actief werkt aan een concreet resultaat: een auditontwerp dat je in je eigen praktijk kunt gebruiken. Door de combinatie van vakinhoudelijke expertise, praktijkcases, interactieve werkvormen en AI-ondersteuning krijg je handvatten om audits sneller, scherper en effectiever uit te voeren. Wil jij audits ontwerpen én uitvoeren die scherper, sneller en beter onderbouwd zijn? In de training Auditmethodiek 2.0 leer je hoe je met een gestructureerde en AI-ondersteunde aanpak komt tot audits die direct toepasbaar zijn in je eigen organisatie. Praktische informatie Doelgroep Werkvorm Tijdsinvestering Studiekosten Resultaat Je bent werkzaam als (operational, IT- of financial) auditor, accountant, controller, risk officer, compliance officer, medewerker AO/IC, kwaliteitsmedewerker of proceseigenaar en van jou wordt verwacht dat je audits ontwerpt en uitvoert die relevant, deugdelijk en doelmatig zijn. Deze training helpt je om je auditmethodiek te versterken en in de praktijk te werken met een gestructureerde aanpak voor effectieve internal audits. De tijdsinvestering bedraagt ongeveer 18 uur. Dit is inclusief lesdagen, e-learning en praktijkopdrachten. In deze training werken we met innovatieve e-learnings, cases, rollenspellen en praktijkopdrachten. Je werkt zowel zelfstandig als in teamverband. Daarnaast deel je tijdens de bijeenkomsten jouw ervaringen met mededeelnemers die werkzaam zijn bij andere bedrijven. Door het interactieve karakter van de training ontstaat een sterk lerend effect. Je kunt de bijeenkomsten van deze training via onze mixed classrooms zowel fysiek als digitaal bijwonen. Na afronding van de training ontvang je een certificaat van deelname. Indien je PE-plichtig bent ontvang je 18 PE-punten. De studiekosten bedragen € 1.395,- (all-in en vrij van BTW). Wat eerdere deelnemers zeggen Feriha Orhan Senior operational auditor "We hebben heel veel geleerd van het uitvoeren van een praktijkaudit met ons eigen team hebben!" Leo Verbaan Adviseur internal audit "De training heeft ons geholpen beter voorbereid te zijn op de auditmethodiek van de toekomst!" Wilko van der Peijl Internal auditor "De sterke combinatie van theorie en praktijk zorgt ervoor dat ik auditmethodiek beter begrijp en direct kan toepassen!" Inzichten Hoe technologie onze opleidingen en trainingen vernieuwt. Van e-learning tot hybride classroom en realistische simulaties In deze blog laten we zien hoe technologie ons helpt om leren niet alleen efficiënter, maar vooral effectiever te maken. We laten zien hoe we e-learning inzetten waar het werkt, hoe onze hybride classroom trainingen flexibiliteit bieden zonder in te leveren op kwaliteit en waarom realistische simulaties zorgen voor echte leermomenten. Want of je nu start met auditing of al jarenlang riskmanager bent, blijven leren is essentieel. En dat moet dus wel goed geregeld zijn. De ti 20 sep 2025 5 minuten om te lezen Auditmethodiek 2.0: Een gestructureerde aanpak voor effectieve internal audits De wereld van internal audit verandert razendsnel: digitalisering, strengere regelgeving en hogere verwachtingen van stakeholders maken... 10 sep 2025 17 minuten om te lezen Meer weten of direct inschrijven? Brochure Adviesgesprek Inschrijven

Ontdek hoe je een ISAE 3402-verklaring effectief inricht en onderhoudt. En voorkom dat het een papieren tijger wordt zonder strategische waarde. Alle blogs TPM ISAE 3402 verklaring Zo haal je echt waarde uit je ISAE 3402-verklaring. Van verplicht vinkje naar integraal onderdeel van je interne beheersing De vraag is zelden of je een ISAE 3402-verklaring nodig hebt. Zeker niet als je organisatie diensten levert die impact hebben op de beheersing van klanten. De echte uitdaging zit in de hoe: Hoe richt je die verklaring zo in dat het geen jaarlijks hoofdpijndossier wordt? Hoe zorg je dat de controls niet alleen op papier kloppen, maar ook in de praktijk werken? En hoe maak je er een instrument van waar je organisatie echt beter van wordt? Want dat kan! Want als je ISAE 3402 slim aanpakt, levert het veel meer op dan een ‘groen vinkje’ voor de accountant. ISAE 3402 verklaring Zo haal je echt waarde uit je ISAE 3402-verklaring. Van verplicht vinkje naar integraal onderdeel van je interne beheersing De vraag is zelden of je een ISAE 3402-verklaring nodig hebt. Zeker niet als je organisatie diensten levert die impact hebben op de beheersing van klanten. De echte uitdaging zit in de hoe: Hoe richt je die verklaring zo in dat het geen jaarlijks hoofdpijndossier wordt? Hoe zorg je dat de controls niet alleen op papier kloppen, maar ook in de praktijk werken? En hoe maak je er een instrument van waar je organisatie echt beter van wordt? Want dat kan! Want als je ISAE 3402 slim aanpakt, levert het veel meer op dan een ‘groen vinkje’ voor de accountant. ISAE 3402: meer dan compliance Veel organisaties zien de ISAE 3402-verklaring nog altijd als een verplicht nummer. Iets wat je doet voor de auditor, of voor een klant die het nu eenmaal vraagt. Daardoor belanden ze in een jaarlijks repeterend patroon: Documenten verzamelen Control descriptions actualiseren Risicoanalyse herzien (maar vaak alleen oppervlakkig) Testplan afronden vóór de deadline En zodra de controle erop zit? Dan verdwijnt het hele framework weer in een digitale la. Tot volgend jaar. Zonde . Want wie ISAE 3402 serieus en strategisch inzet, creëert een structuur die: inzicht geeft in de volwassenheid van processen; houvast biedt aan klanten en toezichthouders; en rust en zekerheid geeft binnen je eigen organisatie. Dan wordt ISAE geen last, maar een kans. De drie grootste valkuilen Om die stap te maken, moet je eerst begrijpen waar het meestal misgaat. Drie valkuilen zie je in veel trajecten terug: 1. Je bouwt voort op verouderde processen Een klassieke fout: bij de (her)inrichting van het ISAE-framework neem je het bestaande procesmodel als uitgangspunt. Handig, denk je. Maar stel jezelf eens deze vragen: Zijn je processen sinds de vorige verklaring veranderd? Is er sprake van automatisering, hybride werken of outsourcing? Is je dienstverlening verschoven naar andere producten of markten? Als het antwoord op één van deze vragen ‘ja’ is, dan is je oude procesmodel geen stevig fundament meer en sluit je verklaring niet langer aan bij de praktijk. 2. De control descriptions zijn onbegrijpelijk Te technisch, te abstract of juist zo gedetailleerd dat niemand er nog chocola van kan maken. De control descriptions zijn het hart van je verklaring. En als die niet goed zijn, klopt de rest ook niet. Een goede control voldoet aan drie eisen: Begrijpelijk : proceseigenaren moeten snappen waar de control over gaat. Toetsbaar : auditors moeten objectief kunnen vaststellen of de control werkt. Toepasbaar : de control moet realistisch uitvoerbaar zijn binnen het proces. Kwaliteit zit dus niet in de hoeveelheid, maar in de scherpte ervan. Vijf heldere, werkende controls zijn waardevoller dan twintig wollige maatregelen die niemand echt uitvoert. 3. Geen eigenaarschap in de lijn Zolang ISAE 3402 ‘iets is van audit of compliance’, zal het nooit echt gaan leven. Je wilt dat proceseigenaren zich verantwoordelijk voelen voor hun beheersmaatregelen. Dat zij snappen waarom die controls er zijn. En dat zij zelf actief bijdragen aan het onderhoud en de verbetering ervan. Zonder dat eigenaarschap verwordt je verklaring tot een papieren tijger. Mooi op papier, maar nutteloos in de praktijk. Zo til je ISAE 3402 naar een hoger niveau De stap van compliance naar continu verbeteren vraagt om een andere mindset en aanpak. Onderstaande tips helpen je op weg: 1. Begin opnieuw met je risicoanalyse Laat de bestaande versie even voor wat die is. En stel jezelf en je team opnieuw de fundamentele vraag: Wat zijn de risico’s in onze dienstverlening vandaag, met deze klanten, deze processen en deze systemen? Breng die risico’s concreet in kaart. Ga daarbij verder dan alleen financiële of operationele risico’s. Kijk ook naar: Technologische risico’s (bijv. afhankelijkheid van platforms of integraties) Organisatorische risico’s (bijv. personele krapte, hybride werken) Reputatierisico’s (bijv. bij een datalek of foutieve rapportage) Pas als je deze risico’s scherp hebt, kun je ook passende en effectieve controls formuleren. 2. Breng je controls naar de praktijk Laat niet alleen de audit- of complianceafdeling de controls beschrijven. Leg ze voor aan de mensen die het werk doen. Vraag hen: “Wat betekent deze control voor jouw werkdag?” Als ze het niet kunnen uitleggen, werkt de control niet. Dan is er of iets mis met de formulering of met de uitvoerbaarheid. Beide zijn een probleem en bieden tegelijk een kans om te verbeteren. Door proceseigenaren actief te betrekken, verhoog je de acceptatie en de kwaliteit van je controls. 3. Veranker ISAE in je governance Een ISAE-framework moet niet losstaan van de rest van je organisatie. Integendeel. Integreer je controls in bestaande managementprocessen, bijvoorbeeld: Koppel controls aan bestaande KPI’s en dashboards. Neem beheersmaatregelen op in kwartaalrapportages. Bespreek knelpunten structureel in RvB- of MT-overleggen. Zo houd je het onderwerp levend. En voorkom je dat het alleen in het voorjaar relevant is, als de audit eraan komt. ISAE 3402 is nooit ‘af’ Nieuwe technologieën, nieuwe klanten, nieuwe eisen van toezichthouders, alles verandert voortdurend. Dat betekent ook dat je ISAE-verklaring een levend document moet zijn. Niet een set documenten die je jaarlijks afvinkt, maar een dynamisch framework dat meebeweegt met je organisatie. Dat vraagt om: Continu herijken van je risico’s en controls. Periodieke reflectie op de effectiviteit van je beheersmaatregelen. Een cultuur waarin eigenaarschap voor beheersing breed wordt gedragen. Zie het als een kans: organisaties die hun ISAE 3402 slim inzetten, bouwen aan veerkracht, klantvertrouwen en interne rust. Ze kunnen met recht zeggen: wij zijn ‘in control’. Tot slot: zie ISAE als hefboom, niet als hinderpaal Een goed ingericht ISAE 3402-framework kost tijd en aandacht. Maar het levert ook veel op: Meer grip op je processen Beter onderbouwde keuzes Hogere klanttevredenheid Meer rust bij management en bestuur Of je nu net begint met een verklaring of al jaren een framework hebt: er valt altijd winst te behalen. Maar dan moet je wel durven kijken. En durven verbeteren. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Ontdek hoe Behavioral Auditing 2.0 met AI snel diep inzicht biedt in gedrag en cultuur binnen controlframeworks. Maak organisatiegedrag auditbaar. Alle blogs Gedrag en cultuur Behavioral Auditing 2.0 Gedrag en cultuur in relatie tot risicobeheersing Ferocia heeft samen met Jan Otten Behavioral Auditing 2.0 ontwikkeld. D e vernieuwde methode voor het uitvoeren van gedragsaudits. Krijg diep inzicht in mentale modellen, drijfveren en overtuigingen achter gedrag. Net zo krachtig als voorheen, maar nu nog simpeler, sneller en AI-ondersteund. Een praktische aanpak om invulling te geven aan de IIA Topical Requirement for Organizational Behavior. De eerste generatie Behavioral auditing, ontwikkeld door Jan Otten en Inge van der Meulen, gaf organisaties al inzicht in gedrag en cultuur. Het bracht onderstromen aan het licht: waarom blijven verbetertrajecten steken, ondanks heldere rapporten? Waarom verzanden veranderingen, ook al zijn rollen en processen op papier logisch ingericht? Antwoorden lagen zelden in nog een procedure of nog een training, maar in wat mensen werkelijk doen, gestuurd door gewoonten, groepsdynamiek, onuitgesproken normen en impliciete aannames. Wat maakt Behavioral Auditing 2.0 vernieuwend? Behavioral auditing 2.0 is op twee manier vernieuwd: het gebruik van geavanceerde AI-modellen waardoor de audit simpel en sneller uitgevoerd kan worden met behoud van dezelfde kwaliteit en diepgang; en de expliciete koppeling tussen de beheerscultuur en het controlframework waardoor het herkenbaarder en dicht bij het werk van een internal auditor komt te staan. Behavioral Auditing 2.0 is de doorontwikkeling van de vertrouwde gedragsaudit, waarin de volledige kwalitatieve data-analyse is vervangen door een AI‑gestuurde aanpak. De kern blijft identiek: diep inzicht in mentale modellen, drijfveren en overtuigingen achter gedrag, op basis van rijke interviewdata. In plaats van handmatig coderen, clusteren en thematiseren, laat Behavioral Auditing 2.0 dit werk doen door geavanceerde AI‑modellen die grote hoeveelheden interview transcripten razendsnel analyseren. Deze modellen herkennen patronen, thema’s en sentimenten die voorheen veel uren denkarbeid vroegen, met een consistentie en reproduceerbaarheid die handmatige analyse vaak niet haalt. De geavanceerde AI-modellen zet de transcripten om in een gestructureerd, doorlopend narratief dat qua opbouw en scherpte aansluit bij de verhalen die auditors eerder handmatig maakten. Dat narratief is nog steeds volledig opgebouwd uit letterlijke citaten uit de interviews, zodat de stem van de organisatie hoorbaar blijft en direct als input kan dienen voor de validatieworkshop. Waar de auditor voorheen diep in de codering en classificatie van fragmenten moest duiken, verschuift de focus nu naar duiding, toetsing en dialoog met de organisatie. De geavanceerde AI-modellen leveren in minuten een eerste, rijk onderbouwd narratief en thematische indeling op, waardoor de auditor zijn expertise kan inzetten waar die de meeste waarde heeft: interpretatie, risicoweging en het ontwerpen van interventies. De essentie van Behavioral Auditing blijft volledig behouden: inductieve gedragsanalyse, stevige onderbouwing en herkenbare narratieve die beweging in organisaties op gang brengen. Behavioral Audit 2.0 levert deze kwaliteit nu in een fractie van de tijd, met minder doorlooptijd, lagere analysekosten en meer ruimte voor reflectie en interactie met bestuur, management en medewerkers Daarbij focust Behavioral Auditing 2.0 zich specifiek op de vraag: is onze (beheers)cultuur congruent met ons controlframework? Oftewel, als we kijken naar de formeel ingerichte beheersmaatregelen om risico te mitigeren, en naar hoe de cultuur binnen de organisatie hoe medewerkers werkelijk met deze beheersmaatregelen omgaan, herkennen we dan een logisch, samenhangend geheel? Of staat het controlframework en de cultuur op gespannen voet met elkaar? Die vraag lijkt simpel, maar is het niet. Want het controlframework is meer dan een set maatregelen. Het is een netwerk van checks, autorisaties, routines, dashboards, normenkaders en verwachtingen. En “(beheers)cultuur” is meer dan een slogan op een poster. Het is hoe mensen in de praktijk betekenis geven aan regels, hoe zij onder tijdsdruk keuzes maken, wie zich veilig voelt om iets te zeggen, wie elkaar aanspreekt, en wat er gebeurt als iemand wél een grens trekt. Met andere woorden: het is “de manier waarop we hier de dingen doen”, en precies daar zitten zowel de kracht als de kwetsbaarheid van beheersing. Neem het vierogenprincipe. In veel organisaties is dat een beheersmaatregel in het controlframework. Maar stel dat de cultuur zo is ingericht dat elkaar aanspreken ongemakkelijk is. Dat feedback snel als kritiek wordt ervaren. Dat medewerkers liever vermijden dan confronteren, omdat “gedoe” interne conflicten oplevert of omdat er toch niets mee gebeurt. Dan verandert het vierogenprincipe van een beheersmaatregel in een ritueel. Er wordt wel gekeken, maar niet echt gezien. De tweede handtekening wordt gezet omdat dat nu eenmaal moet, niet omdat er een inhoudelijke dialoog plaatsvindt. Formeel klopt het. Gedragsmatig is het een leeg omhulsel. Het kan ook precies andersom. Een organisatie kan zichzelf graag beschrijven als “betrokken, mensgericht en gebaseerd op vertrouwen”. Maar ondertussen bestaat het controlframework uit een dicht netwerk van microcontroles, dubbele registraties, autorisaties op de kleinste handelingen en escalatieprocedures die vooral wantrouwen communiceren. Medewerkers ervaren: “ze geloven ons niet.” En wat doet dat met gedrag? Mensen gaan slimmer worden in het systeem in plaats van beter in het werk. Ze gaan afvinken, verstoppen, omzeilen, ‘netjes’ rapporteren wat veilig is. De formele stapel groeit, de werkdruk stijgt, en de echte risico’s verhuizen naar de schaduw. Het controlframework is ontworpen als bescherming, maar wordt beleefd als controle op de persoon. Ook hier: een mismatch tussen wat we zeggen en wat we doen. Behavioral Auditing 2.0 maakt precies deze eventuele mismatch zichtbaar. Niet door er een extra vragenlijst over cultuur naast te leggen, maar door het controlframework te analyseren en de beheerscultuur te onderzoeken en te beoordelen in welke mate deze congruent zijn. Dat deze beweging nodig is, is inmiddels ook expliciet terug te zien in de ontwikkeling van het vak. Het IIA heeft in het kader van de Global Internal Audit Standards een Topical Requirement voor Organizational Behavior gepubliceerd. Organisatiegedrag is niet langer een vage bijlage bij ‘culture’, maar een te auditen risicodomein. Slecht uitgelijnd gedrag kan tot slechte uitkomsten leiden, zelfs als de intenties goed zijn, en vraagt daarom om governance-, risk- en controlprocessen die je net zo serieus beoordeelt als andere risico’s. Het Topical Requirement biedt een minimum-baseline. Het vraagt dat auditors op drie niveaus kijken: governance, risk management en controls rondom organisatiegedrag. Kijk je naar de governance-eisen, dan gaat het onder meer om de rol van board en senior management: is er heldere accountability voor gedragsverwachtingen, en bestaan er processen om alignment tussen gedragsinzichten en organisatiedoelen te monitoren en bij te sturen. Dat is precies waar Behavioral Auditing 2.0 antwoord op geeft. Niet door te vragen of “tone at the top” ergens in een code staat, maar door te onderzoeken welk gedrag daadwerkelijk wordt beloond, welke dilemma’s managers in het echt tegenkomen, en hoe besluitvorming, aanspreekbaarheid en voorbeeldgedrag uitpakken in de operatie. Op risk managementniveau vraagt het IIA onder meer of de organisatie een aanpak heeft om gedragsrisico’s te managen, of monitoring van organisatiegedrag adequaat en tijdig is, of gaps tussen verwacht en daadwerkelijk gedrag (incl. root causes) consequent worden gecommuniceerd. Ook hier sluit Behavioral Auditing 2.0 naadloos aan, juist omdat het vertrekpunt niet is “wat is het gewenste gedrag?”, maar “wat gebeurt er nu, en welke aannames sturen dat?” En op het niveau van controls vraagt het IIA dat organisaties processen hebben om risicovolle gedragspatronen te identificeren en te mitigeren, dat er een duidelijke toon en communicatie over verwacht gedrag is, dat er meld- en escalatiemechanismen bestaan met bescherming, dat incentives en consequenties aligned zijn met doelen, dat issue management bestaat om misaligned gedrag te corrigeren en te escaleren en dat training, onboarding en talentprocessen gedragsverwachtingen ondersteunen. Met andere woorden: gedrag moet niet alleen “besproken” worden, het moet ontworpen worden in de manier waarop je mensen aanneemt, beoordeelt, beloont, corrigeert en beschermt. Hier wordt de waarde van Behavioral Auditing 2.0 zichtbaar: het maakt dit hele pakket toetsbaar, zonder te vervallen in vaagheid. Het helpt auditors om niet te blijven hangen in algemene cultuurwoorden, maar om scherp te kijken naar de consistentie tussen het controlframework en cultuur. De kernboodschap is daarom: in control zijn is niet het hebben van maatregelen, maar het hebben van maatregelen die passen bij de cultuur, of het ontwikkelen van een cultuur die de maatregelen kan dragen. Behavioral Auditing 2.0 brengt die twee werelden bij elkaar. Het legt bloot waar je controlframework en je beheerscultuur elkaar versterken, en waar ze elkaar ondermijnen. En precies daarin geeft het concreet invulling aan het Topical Requirement van het IIA: het maakt organisatiegedrag auditbaar, bespreekbaar en verbeterbaar, met dezelfde professionaliteit die we gewend zijn bij andere risicodomeinen. Wie dat eenmaal ziet, gaat anders kijken naar “de oplossing”. Niet automatisch meer controls toevoegen, maar eerst begrijpen wat er gebeurt. Soms blijkt dat je cultuur best volwassen is, maar dat je systeem nog in een wantrouwmodus staat. En soms blijkt dat je systeem prima is, maar dat je cultuur niet veilig genoeg is om het systeem te laten werken. En misschien is dat wel de grootste winst van Behavioral Auditing 2.0: het brengt beheersing terug naar waar het uiteindelijk altijd over gaat. Niet over papier, maar over keuzes. Niet over regels, maar over gedrag. Niet over hoe het hoort, maar over hoe het werkt. Hoe Ferocia gedrag en cultuur binnen jouw organisatie versterkt Wij ondersteunen organisaties op drie manieren: 1. Opleiding en training We leiden internal auditors, controlllers en risicomanagers op tot echte professionals die zelfstandig onderzoek kunnen uitvoeren naar gedrag en cultuur. Denk aan onze postbacheloropleiding Gedrag- en cultuuronderzoek voor financials. 2. Tijdelijke inzet van auditors en risicoprofessionals Heb je tijdelijk capaciteit nodig voor de uitvoering van een behavioral audit? Wij leveren ervaren auditors die direct inzetbaar zijn. 3. Werving en selectie Op zoek naar een nieuwe internal auditor die gespecialiseerd is in gedrag en cultuur om je team te versterken? Wij helpen je met het vinden van de juiste professional. Iemand die niet alleen inhoudelijk sterk is, maar ook past bij jouw organisatiecultuur. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

ISO 27001 praktisch toepassen? Ontdek hoe je met een slimme aanpak meer grip, minder ruis en betere beveiliging krijgt. Geen vinklijst, maar voorsprong. Alle blogs IT-beheersing ISO 27001 ISO 27001 in de praktijk: van vinklijst naar waardecreatie Informatiebeveiliging is allang geen uitsluitend IT-feestje meer. Bestuurders worden aangesproken op datalekken, klanten eisen zekerheid in de keten en toezichthouders letten scherper dan ooit op besturing en continuïteit. ISO 27001 helpt die druk om te zetten in grip. Niet met nog een stapel documenten, maar met een werkend managementsysteem dat past bij de organisatie, de risico’s en de ambities. In deze blog nemen we je mee langs de essentie van ISO 27001, de vernieuwingen uit de 2022-revisie en vooral, hoe je het verschil maakt in de dagelijkse praktijk van audit, risk en control. Wat ISO 27001 wel is (en wat niet) De kern van ISO 27001 is eenvoudig en herkenbaar: bepaal wat je wilt beschermen, beoordeel je risico’s, kies passende beheersmaatregelen en verbeter continu. De norm is opgebouwd rond de Plan–Do–Check–Act-cyclus en stelt eisen aan context, leiderschap, planning, ondersteuning, uitvoering, prestatiemeting, interne audit, managementreview en verbetering. In de ISO-standaard staat een set informatiebeveiligingsmaatregelen waaruit je onderbouwd selecteert. Het gaat dus niet om het afvinken van elk punt dat je tegenkomt, maar om het maken van keuzes die passen bij je eigen risico’s. Dat is meteen de belangrijkste misvatting die veel organisaties hebben: ISO 27001 is risicogedreven, niet controlegedreven. De Statement of Applicability (SoA) is daarom geen bijlage achterin, maar het dagelijkse stuurdocument waarin je vastlegt welke maatregelen je wel en niet toepast, met redenen onderbouwd en met vastgelegd eigenaarschap. Die risicogedreven aanpak vraagt om discipline en om realisme. Het heeft geen toegevoegde waarde om elk denkbaar risico met ingewikkelde formules te kwantificeren als het management vooral behoefte heeft aan duidelijke scenario’s, heldere drempelwaarden en beslispunten. De kracht van ISO 27001 zit juist in het verbinden van beleid, processen en gedrag. Pas als teams weten wie waarvoor verantwoordelijk is, hoe ze afwijkingen dienen te melden en wanneer ze moeten escaleren, ontstaat echte beheersing. Wat is er veranderd in 2022? De 2022-revisie heeft de structuur aangescherpt en de maatregelen geactualiseerd. In plaats van een losse lijst werk je nu met vier duidelijke domeinen: organisatorisch, mensgericht, fysiek en technologisch. Nieuwe maatregelen sluiten beter aan op moderne risico’s, zoals ontwikkelen met security-by-design, het gebruik van cloudservices en de paraatheid van ICT voor bedrijfscontinuïteit. Denk aan onderwerpen als threatintelligence, configuratiemanagement, informatie-verwijdering, data-masking, data-lekkagepreventie, monitoringactiviteiten, webfiltering, fysieke beveiligingsmonitoring en secure coding. De toevoeging van attributen, labels die aangeven met welk concept of welke eigenschap een maatregel samenhangt, maakt het eenvoudiger om de SoA logisch te ordenen en om KPI’s te koppelen aan wat je werkelijk belangrijk vindt. De praktische uitkomst is dat de ISO-standaard beter aansluit op hoe organisaties vandaag werken: cloud-gebaseerd, in ketens en met agile teams. Tegelijkertijd ligt de lat hoger. Aantoonbaarheid telt. Je zult moeten laten zien dat maatregelen niet alleen bestaan op papier, maar dat ze ook effectief zijn in de praktijk. De businesscase: waarom dit meer is dan certificeren Organisaties investeren in ISO 27001 om meerdere redenen, en die zijn niet allemaal extern gedreven. Natuurlijk helpt het bij het aantonen van beheersing richting klanten, leveranciers en toezichthouders. Maar net zo belangrijk is de interne winst: minder dubbel werk, duidelijk eigenaarschap en besluitvorming op basis van feiten in plaats van aannames. Incidenten zullen nooit helemaal verdwijnen, maar een goed ingericht managementsysteem beperkt de impact en verkort de hersteltijd. Wie ISO 27001 inzet als middel om prestaties te verbeteren, wint het meest. Dat vraagt om meer dan een project richting certificering; het vraagt om verankering in de organisatie en in de besturing. De norm wordt dan geen formaliteit, maar een taal om met elkaar te praten over risico’s, prioriteiten en keuzes. Een route die werkt, zonder stapels lijstjes Het begint met een scope die klopt. Te breed maakt het onwerkbaar, te smal maakt het zinloos. Koppel de scope daarom aan de waardeketen: welke processen, locaties, systemen en ketenpartners dragen direct bij aan de waarde die je levert? Zodra die afbakening staat, volgt een gesprek over context en belanghebbenden. Wat zijn de strategische doelen, wat is de risk appetite, welke wettelijke en contractuele eisen gelden? Het is opvallend hoeveel duidelijkheid ontstaat als je dit inzichtelijk maakt; veel discussies later in het traject verdwijnen dan vanzelf. Daarna komt governance. Leg beleid, rollen en beslisprocessen vast, maar houd het licht en bruikbaar. Benoem wie beslist over risicoacceptatie, wie eigenaar is van specifieke maatregelen en hoe afwijkingen worden geregistreerd en opgevolgd. Kies vervolgens een risicomethodiek die past bij je organisatie. Je hoeft niet te vervallen in schijnnauwkeurigheid met mathematische modellen; scenario’s die het management herkent werken vaak beter. Een goede inventarisatie van informatie-assets, van applicaties tot integraties en uitbestede diensten, maakt de analyse concreet. Koppel elk asset aan een eigenaar en leg vast wat de vertrouwelijkheid, integriteit en beschikbaarheid betekenen in die context. De SoA is hiervoor het geëigende document. Selecteer maatregelen op basis van risico’s en leg per maatregel de scope, de eigenaar, de manier van testen en de indicatoren vast. Daarmee wordt de SoA een werkdocument dat richting geeft aan prioriteiten en dat teams helpt om keuzes uit te leggen. De implementatie volgt dan stukje bij beetje, ingeweven in de bestaande processen: wijzigingsbeheer, toegangsbeheer, back-ups, logging, incidentafhandeling, leveranciersmanagement en secure development. Training en bewustwording zijn geen losse campagnes, maar onderdeel van de manier van werken. Teams moeten weten wat ze doen, waarom ze het doen en wanneer ze hulp inschakelen. Tot slot maak je de cirkel rond met meten, interne audits en managementreviews. Niet om achteraf vinger te wijzen, maar om continu te verbeteren. Kies een paar sturende indicatoren en bespreek die structureel. Laat data het gesprek leiden, leg besluiten vast en borg de opvolging. De rol van Internal Audit: toetsen op effectiviteit Internal Audit voegt de meeste waarde toe waar naleving overgaat in inzicht en leren. Het begint bij de vraag of de gekozen maatregelen logisch voortkomen uit de risico’s. Sluit een maatregel aan op het proces, of is het een generiek voorschrift dat vooral werk toevoegt? Vervolgens kijk je naar de werking in de praktijk. Wordt de maatregel consequent toegepast en is het gedrag geborgd? In veel gevallen helpt het om data centraal te zetten: denk aan doorlooptijden van patches, trends in mislukte aanmeldingen, resultaten van hersteltests of de doorlooptijd van kritieke kwetsbaarheden vanaf ontdekking tot fix. Zulke gegevens helpen om conclusies te onderbouwen en om verbeteracties scherp te formuleren. Zachte factoren tellen ook. Hoe reageren teams op incidenten? Is er ruimte om fouten te melden zonder gezichtsverlies? Worden lessons learned zichtbaar toegepast in procedures en tools? Door aandacht te hebben voor cultuur en gedrag krijgt de auditbevinding meer diepte en is de kans op duurzame verbetering groter. Vergeet ten slotte de keten niet. Contractuele afspraken met leveranciers zijn belangrijk, maar ze zeggen weinig als je niet ook de feitelijke prestaties volgt. Vraag rapportages op, bespreek openstaande bevindingen en test waar nodig cruciale maatregelen zelf. Meten wat ertoe doet en ernaar sturen Meten heeft alleen zin als je ernaar stuurt. Veel organisaties verdrinken in dashboards, maar missen richting. Kies daarom enkele indicatoren die iets zeggen over snelheid, herstelvermogen en discipline. Doorlooptijden van patches per risicoklasse geven bijvoorbeeld inzicht in wendbaarheid. Herstelpercentages en hersteltijden bij back-ups vertellen of je klaar bent voor het moment dat het misgaat. Toegangsbeheer laat zich goed volgen via uitzonderingen op het least-privilege-principe en de snelheid waarmee accounts na uitdiensttreding worden beëindigd. In de keten kun je kijken naar het aandeel kritieke leveranciers met een actueel assurance-rapport en naar de veroudering van openstaande bevindingen. In DevOps-omgevingen zegt het percentage ‘builds’ dat wordt geblokt door kritieke kwetsbaarheden veel over de volwassenheid van secure development. Het gaat niet om veel meten, maar om gericht meten en consistent bespreken en waar nodig verbeteren. Veelgemaakte fouten en hoe je ze voorkomt De eerste valkuil is beginnen vanuit maatregelen in plaats van vanuit risico’s. Het levert een papieren werkelijkheid op, maar geen betere beveiliging. Start daarom bij de waardestromen en de scenario’s die je het meest pijn kunnen doen. Een tweede valkuil is het zien van het ISMS als documentenset. Zonder duidelijke koppeling naar processen en gedrag is het vooral window-dressing. Koppel elke maatregel aan een eigenaar, een moment in het proces en een manier van toetsen. Een derde misser is het beperken van de scope tot IT. Informatie zit overal: in processen, in mensen en in de keten. Betrek daarom ook afdelingen zoals HR, Legal, Inkoop en Operations en maak beveiliging organisatie breed. Een vierde probleem is een SoA die niet stuurt, bijvoorbeeld omdat hij alleen bestaat uit ja/nee-vinkjes. Voeg de reden van keuze, de scope, de testwijze en de KPI’s toe. Dan wordt het een volwaardig stuurdocument. Tot slot worden leveranciers vaak onderschat. Cloud en uitbesteding verplaatsen het risico niet; ze veranderen het. Leg eisen vast, toets de praktijk en plan een exit. Daarmee voorkom je verrassingen als de relatie verandert of eindigt. ISO 27001 in een agile en cloud-realiteit Agile en DevOps vragen om snelheid. Dat lijkt lastig te combineren met aantoonbare beheersing, maar in de praktijk versterken ze elkaar als je het goed inricht. Beveiligingsregels leg je vast als code. Baselines voor configuratie worden templates, waardoor afwijkingen automatisch aan het licht komen. De SoA koppel je aan pipelines en monitoring, zodat bewijsmateriaal ontstaat terwijl teams hun werk doen. In cloudomgevingen werkt het principe van gedeelde verantwoordelijkheid alleen als het expliciet is. Documenteer wat de provider doet en wat jij moet doen, en toets beide delen. Secure coding veranker je in de Definition of Done en je zet geautomatiseerde scans in om kwetsbaarheden vroeg te vinden. Infrastructure-as-Code behandel je net zo serieus als applicatiecode, inclusief reviews en scheiding van rollen. ISO 27001 schrijft niet voor hoe je dit precies doet, maar eist dat je kunt aantonen dat het werkt. Dat geeft ruimte om snelheid en beheersing te combineren. Integratie met privacy en continuïteit Veel organisaties combineren ISO 27001 met ISO 27701 en ISO 22301. Dat is logisch, want privacy en continuïteit raken direct aan informatiebeveiliging. Door beleid, rollen en KPI-structuren te koppelen, voorkom je dubbel werk en creëer je één besturingscyclus. Een datalek wordt dan niet alleen gezien als beveiligingsincident, maar ook als privacy-kwestie met meldplichten en als test voor je crisisorganisatie. Zo ontstaat samenhang die in audits zichtbaar waarde toevoegt. Morgen beginnen zonder grote woorden Als je morgen wilt beginnen, hoef je geen grote campagne te starten. Het helpt om vijf scenario’s te benoemen die je absoluut wilt voorkomen, bijvoorbeeld verlies van klantdata, langdurige uitval van een belangrijk systeem of misbruik van een admin-account. Leg vast waarom deze scenario’s belangrijk zijn, wie eigenaar is en welke maatregelen al bestaan. Werk je asset-inventaris bij voor de processen die hierop ingrijpen en wijs eigenaars toe. Pak de SoA erbij en breng hem op orde: beschrijf per maatregel de reden van toepassing, de scope, de eigenaar, de manier van toetsen en de indicatoren. Kies vervolgens een handvol stuurindicatoren en plan een vast overleg waarin je de trends bespreekt en besluiten vastlegt. Laat een interne audit uitvoeren op ontwerp en werking van enkele cruciale ketenprocessen, bijvoorbeeld klant-onboarding of change-management. Oefen ten minste één herstelscenario en vertaal de uitkomsten naar verbeteracties. Kijk tot slot naar de afspraken met leveranciers: staan beveiligingseisen, auditrechten en exit-criteria helder genoeg in de contracten en worden ze ook nageleefd? Tot slot ISO 27001 is geen certificaat om in de hal op te hangen. Het is een manier van werken waarin risico’s, maatregelen en gedrag elkaar versterken. Met een scherpe scope, een SoA die richting geeft en audits die de effectiviteit van maatregelen toetsen, groeit informatiebeveiliging uit tot wat het moet zijn: een enabler van je strategie. Wie vandaag begint met kleine, gerichte stappen, merkt snel dat gesprekken over beveiliging minder defensief worden en dat keuzes beter zijn onderbouwd. Dat is de echte winst: minder ruis, meer resultaat. Wil je sparren over je ISO-aanpak, je SoA laten aanscherpen of een interne audit laten uitvoeren op je ISMS? Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

< Terug Vacature Lead Risk monitoring Bovemij Per direct 32 tot 40 uur per week Nijmegen / Hybride € 60.028,- tot € 104.700,- per jaar SOLLICITEER Over Bovemij Bovemij Group is de specialist in alles wat met mobiliteit te maken heeft. Met de merken Bovemij Verzekeringen, Autotrust, ENRA en RDC helpen zij bedrijven succesvol ondernemen. Omdat ze volop in beweging zijn, heeft Bovemij mensen nodig die uitdagingen niet uit de weg gaan: vooruitdenkers en –doeners! Over de functie Als Lead Risk monitoring geef je leiding aan het monitoringsteam binnen de tweede lijn en speel je een sleutelrol in het versterken van de interne beheersing binnen Bovemij. Je bent verantwoordelijk voor de coördinatie en kwaliteitsbewaking van de werkzaamheden op het gebied van risicobeheersing, met een bijzondere focus op IT, informatiebeveiliging en procesrisico’s. Je draagt actief bij aan het verder opbouwen van een toekomstbestendig control framework en het aantoonbaar ‘in control’ zijn van de organisatie. Je stuurt twee collega’s aan binnen het monitoringsteam en zorgt voor een heldere taakverdeling, begeleiding en inhoudelijke afstemming. Daarnaast werk je zelf ook mee in het uitvoeren van monitoring en toetsing van beheersmaatregelen. Je bent inhoudelijk aanspreekpunt, rapporteert op duidelijke en overtuigende wijze aan de eerste lijn en begeleidt audits, waaronder die van toezichthouders zoals DNB en RDW. Een belangrijk aspect van je rol is het stroomlijnen en verder ontwikkelen van de GRC-tool (ServiceNow). Je borgt de aansluiting op de processen en zorgt ervoor dat de tooling slim en toegankelijk wordt ingezet ter ondersteuning van risicobeheersing en verantwoording. In dit kader ben je ook voorzitter van het functioneel overleg rondom ServiceNow, waarin je de afstemming met betrokken stakeholders coördineert en initiatieven voor doorontwikkeling begeleidt. Je werkt nauw samen met de leads van Risk en Compliance en met de business, en fungeert als bruggenbouwer tussen de eerste en tweede lijn. Je weet mensen mee te nemen in het belang van structurele beheersing, signaleert verbetermogelijkheden en zet deze om in concrete acties. Je levert daarmee een tastbare bijdrage aan de professionalisering van de risicofunctie van Bovemij. Wat ga je doen? Je coördineert het monitoringsteam en zorgt voor een heldere taakverdeling, inhoudelijke aansturing en begeleiding van de teamleden. Je bent aanspreekpunt binnen de afdeling en bewaakt de voortgang en kwaliteit van de werkzaamheden. Je ontwikkelt en beheert tweede lijns monitoringsplannen en toetst of de interne beheersmaatregelen binnen de eerste lijn effectief zijn ingericht en werken zoals bedoeld. Je voert zelf ook toetsingen en reviews uit op beheersmaatregelen binnen zowel IT- als operationele processen, waarbij je let op aspecten als juistheid, volledigheid, tijdigheid, integriteit en vertrouwelijkheid. Je rapporteert helder en overtuigend over de uitkomsten van monitoring aan proceseigenaren en het lijnmanagement, en helpt hen bij het doorvoeren van verbetermaatregelen. Je begeleidt audits en reviews op het gebied van onder meer informatiebeveiliging, DORA, en het normenkader van toezichthouders zoals de RDW en DNB. Je bent verantwoordelijk voor de doorontwikkeling van de GRC-tool (ServiceNow). Je zorgt voor een slimme en toegankelijke inzet van het systeem en bewaakt de aansluiting op het Bovemij Control Framework. Je fungeert als verbindende schakel tussen de tweede lijn en de business. Je weet collega’s in de eerste lijn mee te nemen in het belang van structurele risicobeheersing en draagt bij aan een risicobewuste organisatiecultuur. Je denkt actief mee over procesverbetering en levert input aan het management over trends, risico’s en beheersingsvraagstukken binnen de organisatie. Collega Chantal over de functie van risk monitoring specialist binnen Bovemij “Het mooie aan deze functie is dat je niet alleen toetst, maar ook echt meedenkt. Over risico’s, over processen, over tooling – én over hoe je anderen daarin meeneemt. Je bent inhoudelijk betrokken, maar ook adviserend en verbindend.” Ze vervolgt: “Je gaat de hele organisatie door en leert daardoor veel collega’s kennen. Je kunt daadwerkelijk impact maken, omdat er nog veel te bouwen is. Je wordt gestimuleerd om ideeën aan te dragen, en daar wordt ook wat mee gedaan.” En over het team zegt ze: “We werken fijn samen, met vragen kunnen we altijd bij elkaar terecht. We zijn een divers team en iedereen brengt kennis en ervaring mee, waardoor we veel van elkaar kunnen leren.” Wie zoeken we? Je hebt een hbo- of wo-werk- en denkniveau en minimaal drie jaar ervaring in een vergelijkbare (coördinerende) functie. Leidinggevende ervaring is een pré. Kennis van en ervaring met een GRC-tool is vereist; ervaring met ServiceNow is hierbij een pré. Je bent communicatief sterk en schakelt gemakkelijk met verschillende lagen binnen de organisatie. Je weet complexe onderwerpen toegankelijk te maken en anderen mee te nemen in het belang van risicobeheersing. Daarbij stel je je proactief en resultaatgericht op: je werkt zelfstandig, maar bent tegelijkertijd een echte teamspeler die verbinding zoekt en eigenaarschap toont. Wat bieden we? Een salaris van maximaal € 104.700,- per jaar (inclusief vakantiegeld en 13de maand, exclusief winstdeling). En uitstekende secundaire arbeidsvoorwaarden. Denk daarbij aan een thuiswerkvergoeding, internetvergoeding, een vergoeding voor thuiswerkfaciliteiten, 200 uur vakantie op basis van 40 uur en de mogelijkheid om jaarlijks uren bij te kopen, een extra vrije dag op je verjaardag, reiskostenvergoeding, een fietsplan, een collectieve zorgverzekering, korting op de aanvullende ziektekostenverzekering, korting op particuliere verzekeringen, ruime leer- en ontwikkelingsmogelijkheden en een beschikbare premieregeling bij Zwitserleven met gedeeltelijke inleg voor de werkgever. Maar bovenal een prettige werkomgeving met leuke collega’s! Over ons Ferocia levert verschillende diensten op het gebied van audit, controlen risicomanagement. Zo bemiddelen we in (interim-)professionals, waarbij we ons onderscheiden met onder meer ons uitgebreide netwerk en scherpe tarieven. Daarnaast ontzorgen onze ervaren consultants organisaties bij vraagstukken op het gebied van sturing en beheersing; van coaching van raden van bestuur tot implementatie van beheersmaatregelen in complexe omgevingen. Ook biedt Ferocia open en inhouse opleidingen en trainingen op voorgenoemde gebieden. Dit alles doen we vanuit het principe ‘inspiratie, co-creatie, prestatie’. Lijkt deze functie je wat en herken je jezelf in het geschetste profiel? Of heb je vragen over deze functie? Solliciteer dan direct of neem contact op met Terri Stuijfbergen-Beens (085-0608598, terri.stuijfbergen@ferocia.nl ). Is deze functie toch niks voor jou? Check dan ook onze andere vacatures ! Ken je een andere topper bij wie deze functie zou passen? Dan komen we daarmee graag in contact! En vanzelfsprekend stellen we daar wat tegenover. Als je tip leidt tot plaatsing, dan belonen we je met een mooie finder's fee!daarmee graag in contact! En vanzelfsprekend stellen we daar wat tegenover. Als je tip leidt tot plaatsing, dan belonen we je met een mooie finder's fee!

< Terug Vacature Risk monitoring specialist Bovemij Per direct 36 tot 40 uur per week Nijmegen / Hybride € 51.652,- tot € 87.948,- per jaar SOLLICITEER Over Bovemij Bovemij verbindt de 10.000 Nederlandse mobiliteitsbedrijven met de 10 miljoen consumenten. Zo helpt Bovemij de consument aan betrouwbare mobiliteit en de branche succesvol ondernemen. Bovemij biedt oplossingen die branche en consument dichter bij elkaar brengen. Van verzekeringen tot financieringen, van data tot online portalen. Zo versterken we de band van rijdend Nederland, en helpen we Nederland vooruit. Over de functie Als junior/medior risk officer binnen Bovemij maak je onderdeel uit van het team Risk binnen de afdeling Risk & Compliance en speel je een centrale rol in het versterken van de interne beheersing. Je houdt scherp toezicht op de werking van interne beheersmaatregelen binnen de belangrijkste processen en draagt actief bij aan het aantoonbaar ‘in control’ zijn van de organisatie. Je werkt nauw samen met proceseigenaren in de eerste lijn en helpt hen bij het verbeteren van beheersmaatregelen. Je toetst of deze beheersmaatregelen voldoende effectief zijn en overtuigt waar nodig de business van het belang van structurele risicobeheersing. Een van de focuspunten binnen deze functie ligt op risico’s rondom IT en informatiebeveiliging, maar je krijgt ook te maken met bredere procesrisico’s. Je denkt mee over procesinrichting, helpt bij het opstellen van testplannen voor de eerste lijn en ontwikkelt monitoringsplannen voor de tweede lijn. Het team AO/IC, waar je deel van uitmaakt, is eigenaar van de GRC-tool (ServiceNow). Jij speelt hierin een sleutelrol: je beheert het systeem, denkt mee over doorontwikkeling en zorgt ervoor dat de tooling op een slimme en toegankelijke manier wordt ingezet binnen de organisatie. Binnen de afdeling is veel ruimte voor professionele en persoonlijke groei. Samen met je team neem je regelmatig deel aan intervisiesessies onder begeleiding van een externe teamcoach, waarbij kennisdeling en reflectie centraal staan. Wat ga je doen? Je adviseert de eerste lijn bij het opstellen van testplannen en het aantonen van de werking van beheersmaatregelen. Je stelt monitoringsplannen op om de effectiviteit van beheersmaatregelen te toetsen. Je toetst en beoordeelt de kwaliteit van beheersmaatregelen binnen IT- en operationele processen en rapporteert hierover. Je bent medeverantwoordelijk voor de doorontwikkeling en het beheer van de GRC-tool (ServiceNow). Je fungeert als inhoudelijk sparringpartner bij vraagstukken op het gebied van risicobeheersing, procesinrichting en compliance. Je draagt bij aan het vergroten van risicobewustzijn en het structureel verbeteren van de controlomgeving. Je werkt samen met collega’s binnen Risk, Compliance én de business. Collega Chantal over de functie “Het mooie aan deze functie is dat je niet alleen toetst, maar ook echt meedenkt. Over risico’s, over processen, over tooling – én over hoe je anderen daarin meeneemt. Je bent inhoudelijk betrokken, maar ook adviserend en verbindend.” Ze vervolgt: “Je gaat de hele organisatie door en leert daardoor veel collega’s kennen. Je kunt daadwerkelijk impact maken, omdat er nog veel te bouwen is. Je wordt gestimuleerd om ideeën aan te dragen, en daar wordt ook wat mee gedaan.” En over het team zegt ze: “We werken fijn samen, met vragen kunnen we altijd bij elkaar terecht. We zijn een divers team en iedereen brengt kennis en ervaring mee, waardoor we veel van elkaar kunnen leren.” Wie zoeken we? Minimaal één tot twee jaar relevante werkervaring. Kennis van IT-control (of de bereidheid om dit snel eigen te maken). Je bent communicatief sterk en schakelt gemakkelijk met verschillende lagen binnen de organisatie. Je weet anderen mee te nemen in het belang van risicobeheersing. Je stelt je proactief en resultaatgericht op: je werkt zelfstandig, maar bent tegelijkertijd een echte teamspeler die verbinding zoekt en eigenaarschap toont. Wat bieden we? Een salaris van maximaal € 87.948,- per jaar (inclusief vakantiegeld en 13de maand, exclusief winstdeling). En uitstekende secundaire arbeidsvoorwaarden. Denk daarbij aan een thuiswerkvergoeding, internetvergoeding, een vergoeding voor thuiswerkfaciliteiten, 200 uur vakantie op basis van 40 uur en de mogelijkheid om jaarlijks uren bij te kopen, een extra vrije dag op je verjaardag, reiskostenvergoeding, een fietsplan, een collectieve zorgverzekering, korting op de aanvullende ziektekostenverzekering, korting op particuliere verzekeringen, ruime leer- en ontwikkelingsmogelijkheden en een beschikbare premieregeling bij Zwitserleven met gedeeltelijke inleg voor de werkgever. Maar bovenal: een prettige werkomgeving met leuke collega’s! Over ons Ferocia is het enige bureau in Nederland dat volwaardige dienstverlening levert op het gebied van interim en consultancy, opleidingen en trainingen, en werving en selectie, binnen de vakgebieden internal audit, control en risicomanagement. Wij bieden deze disciplines afzonderlijk aan én combineren ze waar nodig — alles onder één dak. Dat is de kracht van complete dienstverlening! Lijkt deze functie je wat en herken je jezelf in het geschetste profiel? Of heb je vragen over deze functie? Solliciteer dan direct of neem contact op met Terri Stuijfbergen-Beens (085-0608598, terri.stuijfbergen@ferocia.nl ). Is deze functie toch niks voor jou? Check dan ook onze andere vacatures ! Ken je een andere topper bij wie deze functie zou passen? Dan komen we daarmee graag in contact! En vanzelfsprekend stellen we daar wat tegenover. Als je tip leidt tot plaatsing, dan belonen we je met een mooie finder's fee!

< Terug Vacature Risk officer Bovemij Per direct 32 tot 40 uur per week Nijmegen / Hybride € 60.028,- tot € 104.700,- per jaar SOLLICITEER Over Bovemij Bovemij Group is de specialist in alles wat met mobiliteit te maken heeft. Met de merken Bovemij Verzekeringen, Autotrust, ENRA en RDC helpen zij bedrijven succesvol ondernemen. Omdat ze volop in beweging zijn, heeft Bovemij mensen nodig die uitdagingen niet uit de weg gaan: vooruitdenkers en –doeners! Over de functie Als risk officer binnen Bovemij maak je onderdeel uit van het team Risk binnen de afdeling Risk & Compliance en fungeer je als strategische sparringpartner voor directeuren, managers en proceseigenaren. Je speelt een sleutelrol in het versterken van integraal risicomanagement binnen één of meerdere businessunits. Samen met je collega uit het team Compliance geef je richting aan de risico- en compliancecyclus en werk je actief aan het vergroten van risicobewustzijn binnen de organisatie. Je werkt nauw samen met de eerste lijn, waar risicomanagement al stevig is verankerd. Daar bevinden zich ervaren processpecialisten en GRC-specialisten die risicobeheersing structureel onderdeel hebben gemaakt van hun dagelijkse werk. Dat stelt jou in staat om je te richten op de verdieping: het aanscherpen van de risicodialoog en het adviseren bij complexe afwegingen. Je voert risico- en compliance-assessments uit, formuleert passende maatregelen en denkt actief mee over risico’s die buiten de vastgestelde risk appetite vallen. Daarbij neem je collega’s mee in de nut en noodzaak van effectieve risicobeheersing en lever je zo een directe bijdrage aan een organisatie die aantoonbaar in control is. Binnen de afdeling is veel ruimte voor professionele en persoonlijke groei. Samen met je team neem je regelmatig deel aan intervisiesessies onder begeleiding van een externe teamcoach, waarbij kennisdeling en reflectie centraal staan. Wat ga je doen? Je treedt op als risicopartner voor de eerste lijn en coördineert risico- en compliance-assessments binnen één of meerdere businessunits. Deze assessments voer je uit samen met de compliance officer. Je legt de resultaten van de assessments vast in de GRC-tool. Je collega van het team AO/IC draagt zorg voor het testen en monitoren van de beheersmaatregelen. Je adviseert over passende risk responses voor risico’s die buiten de risicobereidheid vallen. Je rapporteert onafhankelijk – zowel mondeling als schriftelijk – over bruto- en nettorisico’s en over de effectiviteit van beheersmaatregelen. Collega Inge over de functie van risk officer binnen Bovemij “Wat mij direct opviel, is de informele sfeer. Je kunt hier echt jezelf zijn. Iedereen wordt gelijk behandeld, ongeacht je functie. Tijdens mijn sollicitatiegesprek vroegen ze niet alleen wat ik kan, maar ook wie ik ben en wat ik leuk vind om te doen. Die oprechte interesse zie ik dagelijks terug bij collega’s – even vragen hoe het met je gaat, gewoon oprecht.” Naast de inhoudelijke uitdaging, waardeert Inge vooral de samenwerking binnen het team: “We hebben per kwartaal intervisie. Dat zorgt voor openheid en transparantie. Je kunt je kwetsbaar opstellen, en dan word je geholpen.” Ook de korte lijnen noemt ze typerend: “Het is nog een overzichtelijke organisatie. Je loopt gewoon even bij iemand langs.” En tot slot: “Het team is superdivers en hulpvaardig – dat maakt het werk extra prettig.” Wie zoeken we? Je hebt een hbo- of wo-werk- en denkniveau en beschikt over minimaal drie jaar aantoonbare ervaring in een vergelijkbare functie binnen het risicodomein. Je weet hoe je risicomanagement op een professionele manier toepast binnen organisaties en voelt je thuis in een omgeving waar inhoud en samenwerking hand in hand gaan. Je bent communicatief sterk en schakelt gemakkelijk met verschillende lagen binnen de organisatie. Je weet mensen met elkaar te verbinden, kunt zelfstandig opereren en neemt verantwoordelijkheid voor je werk. Tegelijkertijd ben je een echte teamspeler die gericht is op resultaat én op het bouwen aan langdurige relaties binnen de organisatie. Je voelt je thuis in een cultuur waar eigenaarschap, betrokkenheid en gezamenlijke doelen centraal staan. Wat bieden we? Een salaris van maximaal € 104.700,- per jaar (inclusief vakantiegeld en 13 de maand, exclusief winstdeling). En uitstekende secundaire arbeidsvoorwaarden. Denk daarbij aan een thuiswerkvergoeding, internetvergoeding, een vergoeding voor thuiswerkfaciliteiten, 200 uur vakantie op basis van 40 uur en de mogelijkheid om jaarlijks uren bij te kopen, een extra vrije dag op je verjaardag, reiskostenvergoeding, een fietsplan, een collectieve zorgverzekering, korting op de aanvullende ziektekostenverzekering, korting op particuliere verzekeringen, ruime leer- en ontwikkelingsmogelijkheden en een beschikbare premieregeling bij Zwitserleven met gedeeltelijke inleg voor de werkgever. Maar bovenal een prettige werkomgeving met leuke collega’s! Over ons Ferocia levert verschillende diensten op het gebied van audit, controlen risicomanagement. Zo bemiddelen we in (interim-)professionals, waarbij we ons onderscheiden met onder meer ons uitgebreide netwerk en scherpe tarieven. Daarnaast ontzorgen onze ervaren consultants organisaties bij vraagstukken op het gebied van sturing en beheersing; van coaching van raden van bestuur tot implementatie van beheersmaatregelen in complexe omgevingen. Ook biedt Ferocia open en inhouse opleidingen en trainingen op voorgenoemde gebieden. Dit alles doen we vanuit het principe ‘inspiratie, co-creatie, prestatie’. Lijkt deze functie je wat en herken je jezelf in het geschetste profiel? Of heb je vragen over deze functie? Solliciteer dan direct of neem contact op met Terri Stuijfbergen-Beens (085-0608598, terri.stuijfbergen@ferocia.nl ). Is deze functie toch niks voor jou? Check dan ook onze andere vacatures ! Ken je een andere topper bij wie deze functie zou passen? Dan komen we daarmee graag in contact! En vanzelfsprekend stellen we daar wat tegenover. Als je tip leidt tot plaatsing, dan belonen we je met een mooie finder's fee!

Agile auditing maakt internal audits sneller en relevanter. Ontdek waarom wendbaarheid essentieel is voor auditors in een snel veranderende wereld. Alle blogs Internal auditing Agile auditing Risico’s veranderen sneller dan ooit. Organisaties worden wendbaarder, kortcyclischer en klantgerichter. En dat heeft directe gevolgen voor de manier waarop je als internal auditor je werk doet. De klassieke auditaanpak; zorgvuldig, diepgaand en vaak maanden onderweg schiet steeds vaker tekort. Niet omdat deze inhoudelijk niet klopt, maar omdat de wereld waarbinnen audits plaatsvinden inmiddels wel is veranderd. Agile auditing is het antwoord op die veranderde context. Wat is agile auditing? Verandering is de enige constante geworden. Organisaties opereren in een dynamische wereld waarin digitale transformaties, maatschappelijke verwachtingen en geopolitieke verschuivingen in hoog tempo op elkaar inwerken. Ook de risico’s waar zij mee te maken krijgen, ontwikkelen zich razendsnel. De klassieke auditaanpak, met vaste draaiboeken, lange voorbereidingstijden en rapporten die pas na maanden verschijnen, past niet meer bij die realiteit. Agile auditing is ontstaan als antwoord op deze veranderende context. Het is geen modieuze hype of cosmetische aanpassing van bestaande auditprocessen. Het is een fundamenteel andere manier van werken en denken. Een aanpak die is geïnspireerd op de principes van agile werken, zoals we die kennen uit softwareontwikkeling en projectmanagement, maar dan toegepast op het auditvak. De kern van agile auditing? Flexibiliteit: De audit volgt niet meer één rigide plan, maar past zich aan op basis van voortschrijdend inzicht. Iteratie: Er wordt gewerkt in korte, herhaalbare cycli met tussentijdse evaluatiemomenten. Samenwerking: Stakeholders worden vanaf de start betrokken en blijven continu aangesloten bij de audit. Transparantie: Bevindingen worden direct gedeeld, zodat verbeteringen sneller kunnen worden doorgevoerd. Waardecreatie: Niet het eindrapport, maar het effect op de organisatie is het ultieme doel. De agile auditor laat zich niet meer uitsluitend leiden door planning & control-cycli, maar anticipeert op urgente vraagstukken, verschuivende prioriteiten en risico’s die zich van de ene op de andere dag kunnen aandienen. Denk aan cyberdreigingen, plotselinge uitval in internationale ketens, reputatierisico’s of maatschappelijke druk rondom ESG-thema’s. Waarom kan agile auditing interessant zijn voor jouw organisatie? Voor veel organisaties voelt ‘agile’ nog als een buzzwoord. Maar wie zich verdiept in de uitgangspunten van agile auditing, ziet al snel dat het precies dat is wat nodig is in de praktijk: sneller schakelen, dichter op de business zitten, beter aansluiten bij de snelheid van besluitvorming. We zetten drie concrete voordelen op een rij: 1. Sneller en relevanter inzicht Traditionele audits duren vaak maanden, van voorbereiding tot rapportage. Tegen de tijd dat de uitkomsten op tafel liggen, is de realiteit alweer veranderd. Agile auditing maakt het mogelijk om sneller te starten en tussentijds waarde toe te voegen. Denk aan korte sprints waarin gericht op één risicogebied wordt ingezoomd. Of aan real-time feedbackloops, waarbij management direct kan handelen op basis van voorlopige bevindingen. 2. Meer betrokkenheid vanuit de business In agile audits wordt de auditee niet pas bij het eindrapport betrokken, maar vanaf dag één. De audit wordt geen verrassing achteraf, maar een gedeeld leerproces. Die co-creatie zorgt niet alleen voor meer draagvlak, maar ook voor scherpere inzichten en snellere opvolging. Audits worden zo niet iets ‘dat je overkomt’, maar iets waar je actief aan bijdraagt. 3. Beter inspelen op snel veranderende risico’s Sommige risico’s, zoals cultuurverandering, technologische disruptie of ketenafhankelijkheid zijn zo dynamisch dat een traditionele auditaanpak niet volstaat. Agile auditing maakt het mogelijk om die thema’s sneller te adresseren, voortgang te monitoren en flexibel bij te sturen. Voor organisaties die werken met scrumteams, zelforganiserende afdelingen of kortcyclische besluitvorming, is agile auditing bovendien een natuurlijke aanvulling. De auditor wordt een gesprekspartner die meebeweegt, in plaats van een controlerende partij die achteraf oordeelt. Onze visie op agile auditing Bij Ferocia zien we agile auditing niet als een tegenhanger van de klassieke audit, maar als een aanvulling. De essentie van ons vak, onafhankelijkheid, objectiviteit en vakmanschap blijft overeind. Wat verandert, is de vorm waarin we waarde leveren. Onze visie rust op vier pijlers: 1. Audit is een continu proces Risico’s stoppen niet zodra de audit is afgerond. Daarom zien wij agile auditing als een doorlopend proces van dialoog, reflectie en bijsturing. Agile auditing ondersteunt dat met kortcyclische momenten van feedback en interactie. 2. De auditor als partner in verandering De tijd dat de auditor uitsluitend ‘de politieagent van de organisatie’ was, ligt achter ons. De auditor van nu is een kritische vriend: onafhankelijk, maar niet afstandelijk. Betrokken, maar niet bevooroordeeld. Een partner die niet alleen risico’s signaleert, maar ook helpt om beweging te creëren. 3. Pragmatisme boven perfectionisme Natuurlijk blijft zorgvuldigheid essentieel. Maar in een agile audit zijn ‘good enough’ en ‘just in time’ ook belangrijk. Je hoeft niet alles 100% uit te zoeken voordat je een voorlopige conclusie deelt. Juist door sneller feedback te geven, kun je als auditor meer waarde toevoegen en eerder impact maken. 4. Leren staat centraal Agile auditing draait om het vergroten van het lerend vermogen van de organisatie. Door samen te reflecteren op risico’s, controles en gedrag, groeit de risicobewustwording. Auditing wordt daarmee een motor van continue verbetering. Hoe kan Ferocia je helpen bij agile auditing? De stap naar agile auditing vraagt om een andere mindset en een andere manier van werken. Bij Ferocia begeleiden we organisaties en auditors bij deze transitie, zowel in de vorm van opleidingen als via interim- en consultancytrajecten. 1. Opleidingen en trainingen Onze opleidingen zijn ontworpen om auditors stap voor stap vertrouwd te maken met de principes en praktijk van agile auditing. In onze trainingen besteden we aandacht aan: Scrum en agile principes toegepast op auditprocessen Stakeholdermanagement in een kortcyclische omgeving Tools en technieken om sneller tot inzichten te komen Soft skills zoals co-creatie, communicatie en iteratief adviseren We werken met realistische praktijkcases en simulaties, zodat deelnemers meteen kunnen oefenen met het toepassen van agile technieken binnen hun eigen context. 2. Interim en consultancy Heb je tijdelijk extra capaciteit nodig of wil je een agile auditproject uitvoeren met ondersteuning van een ervaren auditor? Onze consultants staan klaar. Ze brengen niet alleen vakinhoudelijke expertise mee, maar ook ervaring met agile werken in verschillende sectoren, van overheid en zorg tot finance en industrie. We helpen auditafdelingen om agile werkmethoden te implementeren, auditprocessen te herontwerpen en teams te begeleiden in de praktijk. Daarbij zorgen we altijd voor maatwerk: geen dogmatisch agile, maar precies die vorm die past bij jouw organisatie. Tot slot Agile auditing is geen doel op zich, maar een manier om als auditor relevant te blijven in een wereld die steeds sneller verandert. Het stelt je in staat om als volwaardige sparringpartner op te treden binnen een dynamische omgeving met oog voor snelheid, samenwerking en impact. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Ontdek hoe Auditmethodiek 2.0 auditors helpt sneller, relevanter en effectiever te auditen met AI-ondersteuning. Verhoog direct de kwaliteit van je audit. Alle blogs Internal auditing Auditmethodiek 2.0 Een gestructureerde aanpak voor effectieve internal audits. De wereld van internal audit verandert razendsnel: digitalisering, strengere regelgeving en hogere verwachtingen van stakeholders maken dat traditionele auditmethoden steeds vaker tekortschieten. Auditteams moeten niet alleen controleren, maar ook richting geven en direct waarde toevoegen aan de organisatie. Auditmethodiek 2.0 is ontwikkeld om precies dat te doen: een gestructureerde, AI-ondersteunde aanpak die audits relevant, deugdelijk en doelmatig maakt en daarmee direct bijdraagt aan effectieve risicobeheersing en doelrealisatie. Auditmethodiek 2.0 Ferocia heeft Auditmethodiek 2.0 ontwikkeld om auditors en auditmanagers te helpen voldoen aan de snel stijgende eisen van het vak. Organisaties verwachten tegenwoordig snelle, bruikbare inzichten die direct bijdragen aan effectieve risicobeheersing en doelrealisatie. In de praktijk gaat dit nog vaak mis: voorbereidingen duren te lang of blijven te oppervlakkig, het taalgebruik tussen audit en organisatie sluit niet aan, bevindingen in rapportages worden niet herkend of erkend en actielijsten groeien zonder zichtbaar resultaat. Auditmethodiek 2.0 biedt hiervoor een gestructureerde, praktijkgerichte oplossing. De methodiek doorloopt drie fasen: voorbereiding, veldwerk en rapportage, en vertaalt elke stap naar concrete werkwijzen, ondersteund door speciaal ontwikkelde AI-agents die snelheid en kwaliteit verhogen. De methodiek sluit naadloos aan op de Global Internal Audit Standards (GIAS), zet de opdrachtgever centraal zonder concessies aan onafhankelijkheid en zorgt voor rapportages waar de organisatie daadwerkelijk verder mee kan. Auditmethodiek 2.0 is ontwikkeld voor auditors en auditmanagers die efficiënt relevante en kwalitatief hoogwaardige audits willen uitvoeren. Met deze methodiek krijgen zij een bewezen aanpak in handen die inspeelt op de informatiebehoefte van de organisatie en verbeteringen versnelt. Kwaliteitseisen voor audits Een goede internal audit voldoet aan drie fundamentele kwaliteitseisen: relevantie, deugdelijkheid en doelmatigheid. Deze eisen vormen samen de basis voor audits die daadwerkelijk bijdragen aan effectieve risicobeheersing en doelrealisatie. Relevantie De audit sluit aan op de kennisbehoefte van de opdrachtgever. Alleen wanneer de audit goed is afgestemd op de vragen en zorgen van de opdrachtgever, levert de audit bruikbare inzichten op. Relevantie begint bij een grondige verkenning van de informatiebehoefte van de opdrachtgever: wat moet deze audit opleveren en waarom is dat nu van belang? Deugdelijkheid De audit is methodologisch goed onderbouwd. Dat betekent dat de uitkomsten zijn gebaseerd op meerdere bronnen en dat de gevolgde werkwijze transparant en herleidbaar is. Een deugdelijke audit gebruikt een logisch opgebouwd referentiemodel, een goed doordacht testplan en past triangulatie toe bij de gegevensverzameling. Hierdoor ontstaan conclusies die overtuigend zijn. Doelmatigheid De audit wordt uitgevoerd met een efficiënte inzet van tijd en middelen. Er is een goede verhouding tussen de scope en diepgang van de audit enerzijds en de capaciteit en doorlooptijd anderzijds. Doelmatigheid vraagt om scherpe keuzes: niet alles hoeft onderzocht te worden. De audit moet snel tot de kern komen, zonder overbodige inspanning of vertraging. Auditmethodiek 2.0 is ontwikkeld om gericht invulling te geven aan deze kwaliteitseisen. De drie fasen van een audit Een effectieve audit doorloopt drie opeenvolgende fasen: voorbereiding, veldwerk en rapportage. In de voorbereidingsfase wordt de basis gelegd voor een succesvolle uitvoering. De auditor voert een vooronderzoek uit, inventariseert de kennisbehoefte van de opdrachtgever, stelt de scope en afbakening vast, formuleert de auditdoelstelling en stelt een referentiemodel, testplan en auditplanning op. Dit mondt uit in een door de opdrachtgever goedgekeurd auditontwerp. Zo wordt geborgd dat de audit relevant is en op een deugdelijke en doelmatige manier wordt uitgevoerd. De veldwerkfase draait om het systematisch verzamelen en analyseren van gegevens. De auditor past de in het testplan vastgelegde onderzoeksmethoden toe, zoals interviews, documentanalyses en observaties. De verzamelde gegevens worden vastgelegd in een datamatrix, die de basis vormt voor onderbouwde conclusies. In de rapportagefase worden de bevindingen vertaald naar heldere conclusies en, waar nodig, verbeteracties. Door bevindingen te bespreken met de opdrachtgever en eventueel de proceseigenaar, en samen oorzaken en verbeteracties te formuleren, ontstaat draagvlak voor opvolging. Binnen Auditmethodiek 2.0 wordt deze fase versterkt door het gebruik van de SPROA-systematiek en het faciliteren van workshops gericht op het achterhalen van oorzaken, zodat verbeteracties structureel effect hebben. Fase 1: Voorbereiding De voorbereidingsfase van Auditmethodiek 2.0 bestaat uit acht opeenvolgende stappen die samen waarborgen dat audits relevant, deugdelijk en doelmatig worden uitgevoerd. Stap 1. Uitvoeren vooronderzoek Het vooronderzoek vormt het startpunt van de audit en heeft als doel om in korte tijd een helder beeld te krijgen van het auditobject, de mogelijke problematiek en het krachtenveld. Dit vormt de basis voor een goed gefundeerde scope en afbakening. De auditor beantwoordt daarbij drie clusters van vragen: Auditobject Wat is de aard en functie van het auditobject? Uit welke deelobjecten bestaat het auditobject? Welke aspecten zijn van belang? Welke functionarissen spelen een rol? Welke (wettelijke en interne) kaders zijn van toepassing? Problematiek Welke (mogelijke) problemen spelen er? Wat zijn de achtergronden of oorzaken van deze problemen? Welke bijdrage moet de audit leveren? Krachtenveld Welke interne en externe factoren hebben invloed op de audit? Welke belangen, verwachtingen en gevoeligheden spelen er bij stakeholders? De auditor combineert in deze stap twee methoden om bovenstaande vragen te beantwoorden: Documentstudie, zoals beleidsstukken, procesbeschrijvingen, werkinstructies, rapportages, risicoregisters en relevante wet- en regelgeving. Interviews met sleutelpersonen, zoals proceseigenaren, teamleiders, en coördinatoren. AI kan in deze stap ondersteunen bij het snel in beeld brengen van mogelijke objectkenmerken, problemen en belanghebbenden. Met Ferocia’s AI-client kan dit op drie niveaus: door alleen het auditobject in te voeren, de branche te vermelden voor gerichtere output, of interne documenten toe te voegen. Hoe meer informatie u deelt, hoe specifieker de output, maar ook hoe meer (en mogelijk gevoeligere) gegevens u prijsgeeft. Stap 2. Inventariseren kennisbehoefte De tweede stap in de voorbereidingsfase is het inventariseren van de kennisbehoefte bij de opdrachtgever. Door middel van een interview met de opdrachtgever en eventueel de proceseigenaar wil de auditor achterhalen wat het doel is van het auditobject, wat eventuele problematiek is waar tijdens de audit rekening mee moet worden gehouden en welke inzichten de opdrachtgever verwacht. Om dit scherp te krijgen, beantwoordt de auditor samen met de opdrachtgever drie clusters van vragen: Auditobject Wat is volgens de opdrachtgever het doel van het auditobject? Welke aspecten zijn volgens de opdrachtgever van belang? Problematiek Welke incidenten hebben zich voorgedaan? Welke (mogelijke) problemen ziet de opdrachtgever? Waar maakt de opdrachtgever zich zorgen over? Verwachte inzichten Welke specifieke vragen moet de audit volgens de opdrachtgever beantwoorden? Wat gaat de opdrachtgever met deze inzichten doen? Bij het bepalen van de kennisbehoefte is het relevant om onderscheid te maken tussen twee typen audits, de systeemtoets en de performancetoets. Een systeemtoets richt zich op de kwaliteit van de beheersing die moet waarborgen dat doelstellingen structureel worden gerealiseerd. Een performancetoets richt zich op de doelrealisatie zelf: worden operationele doelstellingen behaald, klopt de jaarrekening en wordt voldaan aan wet- en regelgeving? Systeemtoets vs. performancetoets De kennisbehoefte kan afkomstig zijn van een intern gerichte opdrachtgever, zoals de raad van bestuur, directie of management, of van een extern gerichte opdrachtgever, zoals de raad van commissarissen of de externe accountant. Intern gerichte opdrachtgevers kiezen vaker voor systeemtoetsen, omdat deze inzicht geven in de kwaliteit van de beheersing en daarmee concrete handvatten bieden om processen en risicobeheersing verder te verbeteren. Extern gerichte opdrachtgevers hebben doorgaans meer behoefte aan performancetoetsen, zodat zij de resultaten kunnen vergelijken met andere organisaties of met de uitkomsten van eerdere audits. Soorten kennisbehoefte Overigens is de praktijk minder zwart-wit dan hierboven geschetst. Zo stellen sommige regels (zoals NEN-normen) ook eisen aan het systeem en toetst de externe accountant, voorafgaand aan de controle van de jaarrekening, het totstandkomingsproces van de jaarrekening, om zodoende inzicht te krijgen in de risico’s. Stap 3. Vaststellen scope en afbakening Het vaststellen van de scope en afbakening is een belangrijke stap in de voorbereidingsfase van de audit en is gebaseerd op de uitkomsten van het vooronderzoek en het gesprek met de opdrachtgever. Het bepaalt waar het onderzoek zich op richt en welke onderdelen bewust buiten beschouwing blijven. Een heldere scope verhoogt de kans dat de audit aansluit op de kennisbehoefte van de opdrachtgever, zorgt voor focus en voorkomt onnodig werk. Scope De scope beschrijft welk auditobject en welke aspecten binnen de reikwijdte van de audit vallen en waarom. Auditobject: dit is waar je naar kijkt. Een auditobject kan bijvoorbeeld een proces, afdeling, project, systeem of thema zijn. Aspect: dit is hoe je naar het auditobject kijkt. Hierbij gaat het om de invalshoek, zoals tijdigheid, klantvriendelijkheid, doelmatigheid of compliance met wet- en regelgeving. Scope Afbakening De afbakening beschrijft welke gerelateerde auditobjecten en aspecten buiten de audit vallen en waarom. Dit kan bijvoorbeeld zijn omdat ze niet relevant zijn voor de actuele kennisbehoefte, omzet ze recent al onderzocht zijn, of omdat er onvoldoende middelen beschikbaar zijn om ze te onderzoeken. Het expliciet vaststellen van de afbakening is minstens zo belangrijk als het vaststellen van de scope: het voorkomt onduidelijkheid en teleurstelling bij de opdrachtgever wanneer onderwerpen achteraf buiten beschouwing blijken te zijn gebleven. Stap 4. Formuleren auditdoelstelling De vierde stap in de voorbereidingsfase is het formuleren van de auditdoelstelling. Deze stap volgt logisch op het vaststellen van de scope en afbakening, omdat de doelstelling direct gebaseerd is op het gekozen auditobject, aspecten en het beoogde gebruik van de resultaten door de opdrachtgever. Een duidelijke auditdoelstelling zorgt voor richting tijdens de uitvoering van de audit en helpt om verwachtingen tussen auditor en opdrachtgever vooraf helder af te stemmen. Zo wordt voorkomen dat het onderzoek te breed of te smal wordt uitgevoerd of dat de opdrachtgever niet verder kan met de uitkomsten. De auditdoelstelling bestaat uit vier onderdelen: Het auditobject, inclusief eventuele deelobjecten. De aspecten die binnen de scope vallen (bijvoorbeeld tijdigheid, klantvriendelijkheid, doelmatigheid of compliance met wet- en regelgeving). De opdrachtgever, die de resultaten van de audit ontvangt en ermee aan de slag gaat. De relevantie (wat de opdrachtgever met de resultaten van de audit wil bereiken, bijvoorbeeld het onderbouwd kunnen besluiten of een proces geoptimaliseerd of uitbesteed moet worden). De auditdoelstelling wordt geformuleerd volgens het vaste stramien: “Het doel van de audit is vaststellen in hoeverre [auditobject] waarborgt dat [aspecten], teneinde [opdrachtgever] in staat te stellen [relevantie].” Voorbeeld Het doel van de audit is vaststellen in hoeverre het campagnebeheerproces waarborgt dat marketingcampagnes effectief, doelgroeppgericht en conform wet- en regelgeving worden uitgevoerd, teneinde de marketingmanager in staat te stellen de interne beheersing te verbeteren. Ook in deze stap kan AI ondersteuning bieden. Voor het formuleren van een heldere auditdoelstelling heeft Ferocia een AI-agent ontwikkeld. Door het auditobject, de aspecten die binnen de scope vallen en de opdrachtgever in te voeren, genereert de AI-agent direct een zorgvuldig geformuleerde doelstelling die voldoet aan de vereiste opbouw. Stap 5. Opstellen referentiemodel De auditdoelstelling vormt het uitgangspunt voor het opstellen van het referentiemodel. Dit model beschrijft de norm waartegen de werkelijkheid wordt getoetst. Het kan worden gebaseerd op bestaande risk- en controlframeworks (zoals COSO, INK of ISO), wet- en regelgeving (zoals AVG, DORA of Wft) of andere relevante theorieën, modellen en best practises. Het referentiemodel wordt niet achter het bureau opgesteld, maar in nauwe samenwerking met de opdrachtgever en/of de proceseigenaar. De eerste lijn is immers verantwoordelijk voor de kwaliteit van de risicobeheersing die moet waarborgen dat doelstellingen gerealiseerd worden. Co-creatie vergroot de kans dat de eerste lijn het referentiemodel herkent, erkent en er daadwerkelijk mee aan de slag gaat. Het referentiemodel bestaat bij een systeemtoets uit zes elementen: Auditobjecten Beheersdoelstellingen Risico’s Classificatie risico’s Beheersmaatregelen Classificatie beheersmaatregelen Auditobjecten Een auditobject is het (deel)object waarop dit deel van de audit zich richt. Dit kan bijvoorbeeld een proces, afdeling, project, systeem of thema zijn. Beheersdoelstellingen Een beheersdoelstelling beschrijft het gewenste resultaat van de interne beheersing. Een beheersdoelstelling wordt altijd gekoppeld aan een auditobject en geformuleerd als: “Beheersmaatregelen bieden een redelijke mate van zekerheid dat […].” Ook in deze stap kan AI ondersteuning bieden. Voor het formuleren van heldere beheersdoelstellingen heeft Ferocia een AI-agent ontwikkeld. Door de aspecten uit de auditdoelstelling een voor een in te voeren, genereert de AI-agent direct per aspect een zorgvuldig geformuleerde beheersdoelstelling die voldoet aan de vereiste opbouw. Risico’s Een risico is een mogelijke gebeurtenis die het behalen van de beheersdoelstelling in gevaar kan brengen. Een risico wordt altijd opgebouwd uit drie elementen: Gebeurtenis: wat kan er misgaan? Oorzaak: waardoor kan dit misgaan? Gevolg: wat is de impact als het misgaat? Doorgaans betreft dit het niet behalen van de beheersdoelstelling. Formuleer risico’s als volgt: “Er bestaat een risico dat [gebeurtenis], als gevolg van [oorzaak], wat kan leiden tot [gevolg].” Classificatie risico’s Risico’s worden geclassificeerd op basis van kans en impact. Kans geeft aan hoe waarschijnlijk het is dat het risico zich daadwerkelijk voordoet. Dit kan variëren van zeer onwaarschijnlijk tot zeer waarschijnlijk. Impact beschrijft de ernst van de gevolgen als het risico zich voordoet. Dit kan variëren van verwaarloosbare gevolgen tot zeer ernstige of onherstelbare gevolgen. Er wordt gewerkt met een vijfpuntsschaal voor zowel kans als impact. Door kans en impact met elkaar te vermenigvuldigen, ontstaat een risicoscore tussen 1 en 25. Hoe hoger de score, hoe groter de prioriteit om het risico te beheersen. Beheersmaatregelen Per risico worden een of meer beheersmaatregelen vastgesteld. Deze maatregelen zijn erop gericht het risico te mitigeren door óf de kans op het optreden van de oorzaak te verkleinen, óf de impact van het gevolg te beperken. Daarmee vergroten beheersmaatregelen de waarschijnlijkheid dat de beheersdoelstellingen daadwerkelijk worden gerealiseerd. Ze vormen de kern van effectieve risicobeheersing. We hanteren bij het formuleren van beheersmaatregelen de volgende opbouw: “[Wie] [wat] [wanneer] aan de hand van [waarmee] en [vastlegging].” Classificatie van beheersmaatregelen Beheersmaatregelen worden geclassificeerd op basis van hun rol in het beheersingsproces: Preventief: voorkomt dat een fout of incident optreedt. Detectief: signaleert dat er iets fout is gegaan. Correctief: corrigeert fouten of herstelt de situatie. Referentiemodel bij een systeemtoets Voorbeeld Auditobject: proces voor afhandelen van facturen van ingehuurde ZZP’ers Beheersdoelstelling: Beheersmaatregelen bieden een redelijke mate van zekerheid dat alle facturen tijdig worden verwerkt. Risico: Er bestaat een risico dat er onvoldoende capaciteit is om de facturen van ingehuurde ZZP’ers tijdig af te handelen als gevolg van inadequate personeelsplanning, wat kan leiden tot te late betalingen. Classificatie risico: 9/25 (kans: 3/5, impact: 3/5) Beheersmaatregel: De teamleider stelt maandelijks een personeelsplanning op aan de hand van de verwachte hoeveelheid facturen en de verlofplanning en legt deze als zodanig vast in het planningssysteem. Classificatie beheersmaatregel: Preventief Het referentiemodel bij een performancetoets is eenvoudiger van opzet dan bij een systeemtoets. Waar een systeemtoets de volledige keten van beheersdoelstellingen, risico’s en beheersmaatregelen analyseert, richt een performancetoets zich uitsluitend op het vaststellen in welke mate de doelstellingen daadwerkelijk zijn behaald. Bij het formuleren van de norm doorloopt de auditor een aantal denkstappen. Deze stappen helpen om scherp te krijgen wat er écht toe doet en hoe dit meetbaar kan worden gemaakt. Het gaat hier niet om losse onderdelen die in het referentiemodel worden opgenomen, maar om een denkkader waarmee de auditor tot een heldere en toetsbare norm komt. De denkstappen zijn: Kritische succesfactor (KSF): het aspect dat bepalend is voor het succes van het auditobject, zoals tijdigheid, klantvriendelijkheid of doelmatigheid. De KSF geeft richting aan wat essentieel is om de doelstellingen te bereiken. Maatstaf: de wijze waarop de KSF meetbaar wordt gemaakt, bijvoorbeeld in percentages, aantallen of doorlooptijd in dagen. De maatstaf vertaalt de succesfactor naar een concrete meeteenheid. Norm: de streef- of grenswaarde die aangeeft wanneer de prestatie als voldoende wordt beoordeeld. Dit is de uiteindelijke toetssteen die in het referentiemodel wordt opgenomen. Voorbeeld Auditobject: proces voor afhandelen van facturen van ingehuurde ZZP’ers Kritische succesfactor: Tijdigheid Maatstaf: Aantal dagen Norm: 99% binnen 30 dagen Referentiemodel bij een performancetoets Hoewel systeemtoetsen en performancetoetsen verschillende invalshoeken hebben, kunnen zij binnen één referentiemodel worden gecombineerd. Een gecombineerde opzet biedt zowel inzicht in de kwaliteit van de interne beheersing (systeemtoets) als in de mate waarin doelstellingen daadwerkelijk worden gerealiseerd (performancetoets). Ook in deze stap kan AI waardevolle ondersteuning bieden. Ferocia heeft een AI-agent ontwikkeld die op basis van het auditobject en de beheersdoelstelling, suggesties doet voor risico’s en bijbehorende beheersmaatregelen, inclusief hun classificatie. Hoe specifieker de context wordt ingevoerd (bijvoorbeeld branche, interne werkinstructies of relevante wet- en regelgeving), hoe beter de uitvoer aansluit op de praktijk van de organisatie. Standaard identificeert de AI-agent per beheersdoelstelling tien risico’s, elk voorzien van drie beheersmaatregelen inclusief classificatie. Stap 6. Opstellen testplan Het testplan beschrijft per beheersmaatregel op welke manier (met welke methoden en bronnen) wordt vastgesteld of de maatregel is ingericht en werkt. Er zijn drie verschillende methoden om dit te onderzoeken: Observatie Inhoudsanalyse Documenten Registraties (integraal of steekproef) Ondervraging van personen (Groeps)interviews (topic based) Enquêtes De keuze voor de onderzoeksmethode hangt af van wat je op basis van de omschrijving van de beheersmaatregel wilt vaststellen. Vaak is al direct te herleiden welke methode het meest voor de hand ligt en de grootste betrouwbaarheid biedt. Voorbeeld Als uit de beheersmaatregel blijkt dat functie X een bepaalde handeling moet uitvoeren en deze moet vastleggen in systeem Y, dan is het logisch om functie X te interviewen en in systeem Y te controleren of de vastlegging daadwerkelijk plaatsvindt. Indien mogelijk kan ook observatie worden toegepast om het proces rechtstreeks waar te nemen. Tests bij systeemtoetsen worden als volgt geformuleerd: “Stel vast door middel van [methode(n) voor gegevensverzameling] dat [te toetsen beheersmaatregel] bestaat en werkt.” Tests bij performancetoetsen worden als volgt geformuleerd: “Stel vast door middel van [methode(n) voor gegevensverzameling] in hoeverre [norm].” De betrouwbaarheid van de audit wordt verhoogd door zoveel mogelijk gebruik te maken van triangulatie: het combineren van verschillende onderzoeksmethoden, bronnen en/of onderzoekers bij het beoordelen van een beheersmaatregel. Triangulatie zorgt ervoor dat bevindingen worden bevestigd vanuit meerdere invalshoeken, wat de kans op een vertekend beeld verkleint. Tijdens deze stap wordt ook een bronnenmatrix opgesteld. Een bronnenmatrix geeft in één overzicht weer welke bronnen worden gebruikt om iedere beheersmaatregel te testen. Hieruit blijkt dus ook gelijk of triangulatie is toegepast. Bronnenmatrix Het testplan wordt doorgaans in een kolom naast het referentiemodel opgenomen. Tijdens het veldwerk worden hieraan de testresultaten en conclusies toegevoegd. Testplan AI kan je helpen bij het opstellen van het testplan. Ferocia heeft een AI-agent ontwikkeld die, op basis van het referentiemodel, automatisch een eerste opzet van het testplan genereert. Stap 7. Opstellen auditplanning De auditplanning maakt concreet welke activiteiten in welke volgorde plaatsvinden, hoe lang ze duren (doorlooptijd in weken) en hoeveel tijd het auditteam eraan besteedt (bewerkingstijd in uren). Dit overzicht helpt om realistische verwachtingen te scheppen, de werkdruk te verdelen en de voortgang te monitoren. Voorbeeld auditplanning Ook wordt een urenplanning per auditor opgesteld. Deze planning laat zien hoeveel werkuren iedere auditor aan de afzonderlijke auditactiviteiten besteedt. Het totaal aantal uren in deze individuele urenplanningen moet altijd exact overeenkomen met het totaal aantal uren in de auditplanning. Voorbeeld urenplanning per auditor Stap 8. Samenstellen auditontwerp In deze laatste stap worden de resultaten van alle voorgaande fasen samengevoegd tot één integraal document: het auditontwerp. Het auditontwerp bestaat uit: Aanleiding en kennisbehoefte Auditobject Problematiek Krachtenveld Kennisbehoefte Scope en afbakening Auditdoelstelling Auditplanning Bijlage: Referentiemodel en testplan Let op! Stem het auditontwerp altijd af met de opdrachtgever. Pas na akkoord kan het veldwerk van start gaan. Fase 2: Veldwerk In de tweede fase wordt het testplan uitgevoerd. Dit houdt in dat documentanalyses en steekproeven van registraties worden uitgevoerd, en dat de geplande observaties, interviews en enquêtes plaatsvinden. Stap 1. Verzamelen van gegevens De verzamelde gegevens/data worden vastgelegd in een datamatrix. Deze matrix is gebaseerd op de bronnenmatrix. Waar in de bronnenmatrix kruisjes aangeven welke bronnen per beheersmaatregel worden geraadpleegd, bevat de datamatrix per bron de verzamelde gegevens die als basis dienen voor de analyse. Datamatrix Stap 2. Analyseren van gegevens Om de verzamelde gegevens te kunnen analyseren, worden ze geclassificeerd volgens een scoresysteem. Veelal wordt hiervoor een vierpuntsschaal gehanteerd: · (--) De beheersmaatregel bestaat niet · (-) De beheersmaatregel werkt niet altijd · (+) De beheersmaatregel werkt vrijwel altijd · (++) De beheersmaatregel werkt altijd Datamatrix met scores Het is aan te raden om deze scores samen met een collega-auditor vast te stellen. Iedere auditor beoordeelt eerst zelfstandig de beheersmaatregelen, waarna de verschillen in scores gezamenlijk worden besproken. Op deze manier wordt consensus bereikt en de objectiviteit vergroot. Op basis van de modus (meest voorkomende waarde) of mediaan (middelste waarde) wordt vervolgens het testresultaat per beheersmaatregel bepaald. Soms is dit niet goed mogelijk, omdat de scores van de verschillende bronnen te veel van elkaar afwijken. In dat geval is uitbreiding noodzakelijk. Indien dit niet mogelijk is, is het beter om niet te oordelen. Eventueel kan er nog een wegingsfactor toegepast worden, als men bijvoorbeeld van mening is dat het antwoord van de directeur zwaarder of juist minder zwaar weegt dan het antwoord van de teamleider. Datamatrix met testresultaat Let op! Het samenvoegen (oprollen) van de testresultaten per beheersmaatregel tot een of meer conclusies is aan het professionele oordeel van de auditor. De datamatrix vormt de brug tussen de test enerzijds en het testresultaat anderzijds in het testplan. Het is niet alleen een praktisch hulpmiddel om objectief te bepalen of een beheersmaatregel bestaat en werkt, maar ook een krachtig communicatiemiddel richting de opdrachtgever. Met de datamatrix kan de auditor helder onderbouwen waar bevindingen op zijn gebaseerd. Hierdoor wordt de auditrapportage volledig reproduceerbaar en ontstaat er automatisch een duidelijke audittrail. Testplan en datamatrix Fase 3: Rapportage In de derde fase staat de rapportage centraal. Deze fase bestaat uit drie hoofdstappen: het opstellen en delen van het conceptrapport, het faciliteren van een workshop om oorzaken en verbeteracties vast te stellen, en het opstellen en delen van het definitieve rapport. Aansluitend volgt de monitoring van de afgesproken verbeteracties. Stap 1. Opstellen conceptrapport Het conceptrapport bevat: Aanleiding en kennisbehoefte Scope en afbakening Auditdoelstelling Conclusies Bijlage 1: Referentiemodel Bijlage 2: Nota van bevindingen De eerste drie onderdelen en het referentiemodel kunnen grotendeels ongewijzigd uit het auditontwerp worden overgenomen. De conclusies worden gebaseerd op de testresultaten. Daarnaast wordt een nota van bevindingen opgesteld volgens de SPROA-methodiek: een gestructureerd analysekader waarmee problemen helder worden beschreven en de basis wordt gelegd voor structurele oplossingen. In het conceptrapport worden per niet-werkende beheersmaatregel de eerste drie onderdelen van SPROA opgenomen: Situatie (S): Feitelijke bevindingen van de auditor zoals deze blijken uit de datamatrix en zijn vastgelegd in de testresultaten. Probleem (P): De constatering of er daadwerkelijk sprake is van een probleem ten aanzien van de beheersing (systeemtoets) of doelrealisatie (performancetoets), bedoeld om urgentie te creëren bij de opdrachtgever. Risico (R): De mogelijke gevolgen als het probleem zich voordoet (overeenkomstig het risico in het referentiemodel). De O (Oorzaak) en A (Actie) volgen pas in het definitieve rapport. Voorbeeld nota van bevindingen (SPR) Het conceptrapport wordt gedeeld binnen de vooraf afgesproken kring, in ieder geval met de opdrachtgever. Stap 2. Organiseren workshop In de tweede stap organiseert de auditor een workshop met betrokken managers en medewerkers uit de eerste lijn. Tijdens deze sessie worden: de achterliggende oorzaken van ineffectieve beheersmaatregelen onderzocht; concrete, SMART-geformuleerde verbeteracties opgesteld (Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden); en voor elke actie een verantwoordelijke eigenaar en deadline vastgesteld. Door de verantwoordelijkheid voor de analyse en oplossingsvorming bij de eerste lijn zelf te beleggen, ontstaat meer draagvlak en eigenaarschap voor de uitvoering van de verbetermaatregelen. Stap 3. Opstellen definitief rapport In de derde stap wordt het conceptrapport aangevuld met de resultaten uit de workshop. Hiermee wordt de nota van bevindingen compleet gemaakt volgens de SPROA-methodiek, door de laatste twee onderdelen toe te voegen: Oorzaak (O): De achterliggende redenen van het probleem, zoals vastgesteld tijdens de workshop. Door de oorzaken weg te nemen, wordt een structurele oplossing mogelijk. Actie (A): De overeengekomen SMART-geformuleerde verbeteracties, inclusief de verantwoordelijke eigenaar en de afgesproken deadline. Het definitieve rapport wordt gedeeld binnen de vooraf afgesproken kring, met de opdrachtgever en andere relevante stakeholders, zodat de verbeteracties formeel zijn vastgelegd en de uitvoering kan starten. Voorbeeld nota van bevindingen (SPROA) Stap 4. Monitoring Na afronding van het definitieve rapport start de monitoringsfase. Het doel van monitoring is vaststellen of de overeengekomen verbeteracties daadwerkelijk zijn uitgevoerd en of de beoogde effecten zijn bereikt. Het gaat hierbij dus niet om het meten van inspanningen, maar om het beoordelen van effectiviteit: zijn de beheersmaatregelen nu wel in staat om het risico te mitigeren? De eerste lijn is primair verantwoordelijk voor deze monitoring. Zij leggen periodiek vast welke verbeteracties zijn afgerond en tonen aan of de beheersmaatregelen naar verwachting blijvend zullen werken. Dit noemen we ook wel first line monitoring. Indien uit de monitoring blijkt dat een maatregel nog steeds ineffectief is, wordt direct een nieuwe oorzaakanalyse uitgevoerd en worden aanvullende verbeteracties geformuleerd. De tweede lijn kan de voortgang steekproefsgewijs toetsen. De rol van de auditor (derde lijn) is het beoordelen van de kwaliteit van de eerste- en tweedelijnsmonitoring. Zo wordt gewaarborgd dat het risicobeheer structureel op orde blijft en iedere lijn haar eigen verantwoordelijkheid behoudt. Conclusie Auditmethodiek 2.0 biedt auditors een gestructureerde, praktijkgerichte aanpak waarmee audits niet alleen voldoen aan de hoogste kwaliteitseisen, maar ook aantoonbaar bijdragen aan doelrealisatie, effectieve sturing en robuuste risicobeheersing. Door de audit op te bouwen in drie fasen: voorbereiding, veldwerk en rapportage – en elke stap te ondersteunen met concrete werkwijzen, AI-tools en herkenbaar taalgebruik, wordt de kans vergroot dat de opdrachtgever de uitkomsten herkent, erkent en benut. Een belangrijk fundament hierbij is het referentiemodel, dat in co-creatie met de eerste lijn wordt opgesteld. Dit zorgt voor een gemeenschappelijk begrippenkader, verhoogt de objectiviteit en beperkt discussies over bevindingen, omdat vooraf overeenstemming is bereikt over de normen waaraan wordt getoetst. De inzet van de SPROA-methodiek in de rapportagefase en het faciliteren van workshops met de eerste lijn vergroten het draagvlak en leiden tot structurele verbeteringen. Door de monitoring bij de eerste lijn te beleggen en internal audit een toetsende rol te geven, verschuift de focus van inspanningscontrole naar effectmeting. Zo blijft het risicobeheer structureel geborgd, terwijl internal audit haar onafhankelijke rol behoudt en maximaal meerwaarde levert. Kortom: auditors die kiezen voor Auditmethodiek 2.0 zetten een belangrijke stap naar relevantere en impactvollere audits. Bronnen Bos, P. W., Korte, R. W., & Otten, J. (2017). Management control auditing: bijdragen aan doelrealisatie en verbetering . Auditing.nl . Driessen, A., & Molenkamp, A. (2012). Internal auditing: een managementkundige benadering . Vakmedianet. Hartog, P.A, Molenkamp A. & Otten J.H.M. (1992). Kwaliteit van administratieve dienstverlening: managen is integreren . Kluwer. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl