In jaarverslagen van kleine vennootschappen wordt bovendien vaak niet of onvoldoende uitgelegd of en waarom een IAF ontbreekt. Hierdoor lopen deze organisaties het risico dat ze geen volledig inzicht hebben in de effectiviteit van hun processen van risicomanagement, beheersing en governance en het evalueren en verbeteren hiervan. Organisaties zonder IAF missen daarbij onder meer onafhankelijk en deskundig inzicht voor de Raad van Commissarissen (RvC) en Raad van Bestuur (RvB) en mogelijkheden tot organisatieverbetering. Dit stellen Bogtstra en Renes naar aanleiding van de onderzoeksuitkomsten.
Een IAF kan ook voor kleinere organisaties van grote meerwaarde zijn. De onderzoekers bepleiten dat organisaties nooit te klein zijn voor een internal auditfunctie, zolang de ambities maar passen bij de grootte en het doel van de organisatie. Er hoeft geen hele interne auditafdeling voor te worden ingericht. Kleine organisaties kunnen ook kiezen voor een IAF door middel van outsourcing. Dan creëren ze niet alleen inzicht op basis van specialistische kennis en ervaring, maar beschikken bovendien over een frisse blik van ‘buiten’.
Toename auditactiviteiten
De algemene trend is gelukkig wel dat het aantal beursgenoteerde ondernemingen met een internal auditfunctie toeneemt. In de Corporate Govenance Code speelt de IAF in toenemende mate een belangrijke rol en mede naar aanleiding van de herziene Code heeft een aantal organisaties al aangegeven in de loop van 2017 te starten met een eigen internal auditfunctie.
In het onderzoek is echter niet alleen gekeken naar de vraag of een IAF aanwezig is bij organisaties, ook is onderzocht welke internal auditactiviteiten worden uitgevoerd. Het is hoopgevend om te zien dat ook bij organisaties zonder IAF wordt gewerkt aan versteviging van de interne beheersing. Er wordt meer nagedacht over ‘tweedelijns’ activiteiten, zoals risk management en internal control. Ook worden steeds meer internal audit ’deelactiviteiten’ uitgevoerd, zoals het vaststellen van de effectiviteit van een control framework.
De onderzoekers pleiten voor transparantie over de opzet en werkwijze van de IAF. Organisaties moeten uitleggen op welke wijze de IAF is ingericht, er vervolgens naar handelen (comply) en uitleggen wanneer ze hier niet aan willen of kunnen voldoen (explain). Alleen dan kunnen stakeholders zich een goed beeld vormen van de bijdrage van de internal auditfunctie aan het succes van de organisatie.
Bekijk hier de presentatie van Robert Bogtstra en Remko Renes die ze gaven tijdens het IIA Congres.