De auditor stelt een eenvoudige vraag: “Wie bepaalt of dit risico acceptabel is?”
Het blijft even stil. Niet omdat niemand het antwoord weet, maar omdat meerdere antwoorden mogelijk zijn. De compliance-verantwoordelijke verwijst naar een eerder overleg. Een collega denkt dat de directie het besluit nam. In het risico-overzicht staat alleen dat het risico is geaccepteerd.
Dan volgt de vraag waarom dat op dat moment een verdedigbare keuze was. Vanaf dat moment voelt het gesprek niet meer als een toetsing van de organisatie, maar als een beoordeling van de mensen aan tafel.
Toch probeert de auditor vooral vast te stellen of afspraken, gemaakte keuzes en de dagelijkse praktijk met elkaar samenhangen.
Waarom een audit persoonlijk kan voelen
Een audit doorbreekt de vanzelfsprekendheid van het dagelijkse werk. In organisaties met korte lijnen is veel context gedeeld. Mensen weten wie ergens over gaat, waarom een uitzondering bestaat en welke afspraken informeel zijn gemaakt. Dat werkt vaak goed.
Een auditor kan er alleen niet van uitgaan dat die gedeelde context voldoende is. Daarom worden vragen gesteld die intern nauwelijks nodig lijken: wie besloot dit, waarop was dat gebaseerd en wat gebeurde er daarna?
De organisatie moet daardoor woorden geven aan werkwijzen die normaal op ervaring en onderling begrip draaien. Het ongemak wordt vervolgens gemakkelijk toegeschreven aan de auditor. De vraag voelt kritisch, terwijl vooral zichtbaar wordt dat het antwoord afhankelijk is van geheugen en interpretatie.
De reflex om het juiste antwoord te geven
Wanneer een audit als persoonlijke controle voelt, worden mensen voorzichtig. Ze geven het antwoord waarvan zij denken dat het verwacht wordt. Twijfels, uitzonderingen en informele werkwijzen blijven buiten beeld.
Vooraf worden documenten aangevuld, formuleringen aangescherpt en collega’s voorbereid op mogelijke vragen. Dat geeft tijdelijk houvast, maar versterkt ook het idee dat een audit een test is waarvoor de organisatie moet slagen.
De houding van de leiding speelt hierin een belangrijke rol. Wanneer een audit wordt gepresenteerd als een moment waarop geen bevindingen mogen ontstaan, ligt defensief gedrag voor de hand.
Een zorgvuldig geschreven procedure lost dat niet op. Op papier kan een verantwoordelijkheid helder lijken, terwijl in de praktijk meerdere mensen ervan uitgaan dat iemand anders het besluit neemt. Een maatregel kan als afgerond geregistreerd staan, terwijl niemand nog kan uitleggen wat de uitvoering heeft opgeleverd.
Waar een auditor daadwerkelijk naar kijkt
Een audit is een vorm van toetsing. De auditor verzamelt informatie en auditbewijs om te beoordelen in hoeverre de organisatie aan de geldende auditcriteria voldoet en of afgesproken werkwijzen aantoonbaar en consistent worden toegepast.
Daarbij gaat het niet alleen om de vraag of iets is vastgelegd. De auditor kijkt ook naar de samenhang tussen afspraken, keuzes en gedrag.
Hoe wordt een signaal een risico? Wie maakt de afweging? Wanneer is een maatregel voldoende?
Dat zijn geen strikvragen. Ze maken zichtbaar of keuzes bewust en herhaalbaar ontstaan, of vooral afhankelijk zijn van degee die op dat moment aanwezig is.
Een bevinding betekent daarom niet automatisch dat het werk slecht is uitgevoerd. Ze kan ook laten zien dat een logische werkwijze onvoldoende overdraagbaar of uitlegbaar is.
Structuur verandert het auditgesprek
Structuur helpt niet door ieder detail dicht te regelen. Ze helpt door de belangrijkste afwegingen vast te houden. Wie nam het besluit? Welke informatie speelde mee? Welke opvolging is afgesproken?
Wanneer die lijn zichtbaar blijft, hoeft een auditgesprek minder op geheugen te steunen. Antwoorden hoeven niet ter plekke te worden gereconstrueerd. Ook uitzonderingen en openstaande punten kunnen dan worden besproken zonder dat zij direct voelen als bewijs dat de organisatie tekortschiet.
Een vaste, centrale werkwijze kan dit ondersteunen, zolang die aansluit op het dagelijkse werk. Het doel is niet om een aparte administratieve werkelijkheid te bouwen, maar om te voorkomen dat de betekenis achter keuzes verdwijnt.
Reflectie
Dat een audit als controle voelt, zegt niet alleen iets over de audit of de auditor. Het kan vooral laten zien hoeveel van de organisatie nog rust op mondelinge afspraken, gedeelde context en individueel geheugen.
De relevante vraag is daarom niet alleen of je klaar bent voor de volgende audit. Belangrijker is of je ook zonder audit kunt uitleggen hoe keuzes tot stand komen, wie verantwoordelijkheid draagt en waarom de gekozen aanpak passend is.
Waar die uitleg tijdens het werk ontstaat, verliest de audit haar dreiging. Niet omdat er niets meer gevonden kan worden, maar omdat doorvragen niet langer voelt als betrapt worden.
Dan wordt zichtbaar of de organisatie daadwerkelijk handelt zoals zij denkt dat zij handelt.
