De audit staat al maanden in de agenda. Toch verandert er iets zodra de datum dichterbij komt.
Documenten worden opgevraagd. Openstaande acties worden nagelopen. Iemand probeert te achterhalen waarom een risico vorig jaar als acceptabel is beoordeeld. Een collega zoekt naar de meest recente versie van een overzicht. Ondertussen ontstaat discussie over wat daadwerkelijk is uitgevoerd en wat alleen ooit is afgesproken.
De audit is nog niet begonnen, maar de druk is al voelbaar.
Die spanning wordt vaak gezien als een logisch gevolg van toetsing. Toch ontstaat terugkerende auditstress meestal niet op het auditmoment zelf. De audit brengt vooral onduidelijkheden bij elkaar die in de maanden daarvoor verspreid zijn geraakt.
Waarom auditdruk zo snel oploopt
Compliance wordt vaak gedragen door mensen die ook andere verantwoordelijkheden hebben. Dat werkt zolang de context gedeeld blijft en vragen direct kunnen worden beantwoord.
De kwetsbaarheid ontstaat wanneer risico’s, besluiten en acties verspreid raken over gesprekken, documenten, e-mails en persoonlijke herinneringen.
Een risico is ooit besproken, maar de afweging staat nergens helder vast. Een maatregel is uitgevoerd, maar het is niet direct zichtbaar wat er precies is veranderd. Een verbeteractie heeft de status afgerond, terwijl onduidelijk blijft of het beoogde effect ook is bereikt.
Tijdens een audit moeten deze losse onderdelen ineens één samenhangend beeld vormen. Dan blijkt dat de informatie er vaak wel is, maar dat de relaties ertussen ontbreken.
Auditstress is daarom vaak een samenhangsprobleem.
Het risico achter de stress
De zichtbare druk bestaat uit zoeken, afstemmen en herstellen. Daaronder ligt een fundamenteler risico: de organisatie weet onvoldoende zeker of het eigen risicobeeld nog klopt.
Meestal ontbreekt informatie niet volledig. Er zijn risico-overzichten, notulen, actielijsten, beleidsdocumenten en bewijsstukken. Alleen is niet altijd zichtbaar waarom een maatregel is gekozen, wie het resterende risico heeft geaccepteerd en wat met eerdere verbeterpunten is gebeurd.
Wanneer die verbanden ontbreken, wordt uitleg afhankelijk van degene die toevallig de geschiedenis kent. Dat maakt niet alleen de audit kwetsbaar, maar ook de besluitvorming gedurende het jaar.
Voor de besluitvorming zit het werkelijke risico namelijk niet in een ontbrekend document. Het zit in de vraag of eerdere keuzes nog rusten op actuele en herleidbare informatie. Als die onderbouwing pas rond een audit wordt gereconstrueerd, kan in de tussenliggende periode op een onvolledig beeld zijn gestuurd.
De audit veroorzaakt dat risico niet. Zij kan wel het moment worden waarop het niet langer buiten beeld blijft.
Waarom gangbare oplossingen weinig veranderen
De eerste reactie op auditdruk is vaak meer voorbereiding.
Er wordt een auditmap gemaakt, een checklist rondgestuurd en collega’s wordt gevraagd ontbrekende stukken aan te leveren. Soms worden gesprekken vooraf doorgenomen, zodat betrokkenen weten welke onderwerpen aan bod kunnen komen.
Dat kan helpen om de audit ordelijker te laten verlopen. Het verlaagt alleen zelden de structurele druk.
Een auditmap brengt informatie tijdelijk bij elkaar, maar herstelt niet automatisch de betekenis tussen die informatie. Een checklist helpt om onderwerpen niet te vergeten, maar maakt eerdere afwegingen niet vanzelf opnieuw uitlegbaar.
Een andere reflex is om één persoon verantwoordelijk te maken voor de volledige voorbereiding. Dat lijkt efficiënt, maar concentreert vooral de afhankelijkheid.
Die persoon wordt de vertaler tussen verschillende overzichten, herinneringen en interpretaties. De voorbereiding slaagt dan dankzij individuele inspanning, niet dankzij een betrouwbaar gezamenlijk beeld.
Na afloop neemt de spanning af. De documenten worden opgeborgen en het dagelijkse werk krijgt weer voorrang. Bij een volgende audit kunnen dezelfde vragen terugkeren, zolang het onderliggende probleem niet is veranderd.
Structuur begint vóór de audit
Minder auditstress vraagt daarom niet in de eerste plaats om intensievere voorbereiding. Het vraagt om een andere manier van werken tussen audits in.
Structuur betekent niet dat alles uitgebreid moet worden gedocumenteerd. Het betekent dat de belangrijkste relaties zichtbaar blijven op het moment dat keuzes worden gemaakt.
Een risico krijgt bestuurlijke betekenis zodra duidelijk wordt welke keuze de organisatie erover maakt. Wordt het verminderd, geaccepteerd, gevolgd of later opnieuw beoordeeld? Een maatregel wordt beter uitlegbaar wanneer zichtbaar is welk risico zij beïnvloedt en wie verantwoordelijk is voor de uitvoering en beoordeling.
Voor betrouwbare opvolging moet na uitvoering van een actie ook duidelijk zijn wat het resultaat betekent en of verdere aandacht nodig blijft.
Waar tijd en capaciteit beperkt zijn, werkt een beperkte maar consequente structuur beter dan uitgebreide administratie die alleen rond audits wordt bijgewerkt. Het doel is niet om meer informatie op te slaan, maar om te voorkomen dat betekenis verloren gaat.
Uitlegbaarheid als vorm van risicobeheersing
Uitlegbaarheid wordt vaak gezien als iets dat vooral nodig is voor een auditor. In werkelijkheid is zij in de eerste plaats nuttig voor de organisatie zelf.
Wanneer keuzes uitlegbaar zijn, hoeft minder te worden gereconstrueerd. Zichtbaar eigenaarschap voorkomt discussie over wie aan zet is. De samenhang tussen risico’s, maatregelen en besluiten maakt duidelijker waar de echte onzekerheid zit.
Dat verbetert niet alleen de auditvoorbereiding, maar ook de kwaliteit van risicobesluiten.
Een audit hoeft niet te bevestigen dat alles foutloos verloopt. Wel vraagt zij om een samenhangend en navolgbaar beeld van wat de organisatie wist, welke afweging zij maakte en hoe zij daarop heeft gehandeld.
Ook een onvolledig werkende maatregel of bewust geaccepteerd risico kan uitlegbaar zijn, zolang de keuze zichtbaar blijft en opnieuw beoordeeld kan worden wanneer omstandigheden veranderen.
Wanneer deze samenhang tijdens het werk beschikbaar blijft, hoeft zij rond de audit niet opnieuw te worden opgebouwd. Daardoor ontstaat ruimte om te bespreken of de gekozen aanpak nog werkt, in plaats van vooral te reconstrueren wat er eerder is gebeurd.
Tooling kan daarbij ondersteunen, maar pas nadat duidelijk is welke samenhang behouden moet blijven. Zonder dat uitgangspunt ontstaat vooral een andere opslagplaats.
Verder lezen
- De risicoanalyse: Een onmisbaar instrument voor elke ondernemer
- Van incident naar verbetering: de kracht van een effectief incidentmanagementproces voor compliance-incidenten
- Een interne audit werkt pas als mensen durven zeggen wat niet klopt
- Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt
Reflectie
Auditstress zegt vaak minder over de audit dan over de periode ervoor.
De relevante vraag is daarom niet alleen waarom een audit spanning oproept. Interessanter is welke onzekerheden door de audit ineens tegelijk zichtbaar worden.
Moet informatie worden teruggezocht omdat zij verspreid staat? Hangt uitleg af van één persoon? Zijn besluiten wel genomen, maar niet herkenbaar vastgehouden? Wordt pas onder tijdsdruk duidelijk welke acties nog openstaan?
Dat zijn geen problemen die door de auditor worden veroorzaakt. Het zijn signalen over de manier waarop risico’s, keuzes en opvolging in het dagelijkse werk zijn georganiseerd.
Wie die signalen serieus neemt, hoeft de audit niet kleiner of eenvoudiger te maken. Die maakt de organisatie minder afhankelijk van het auditmoment.
De rust ontstaat dan niet doordat er minder vragen worden gesteld, maar doordat de antwoorden al onderdeel zijn van hoe de organisatie werkt.
Geef een reactie