Th&ma 2022-1

TH MA themahogeronderwijs.org
tweedelijnsrollen van het management, om te garanderen
dat het auditwerk relevant is en aansluit op de strategische
en operationele behoeften van de instelling.
De interne audit geeft aan het bestuursorgaan onafhankelijke
en objectieve zekerheid over de geschiktheid en de
effectiviteit van de interne beheersing, de governance en het
risicomanagement. De bevindingen uit audits gaan behalve
naar het auditcomité ook naar het management en het
bestuursorgaan, om continue verbetering te bevorderen en
te faciliteren.
Inzicht en verbetermogelijkheden
De interne audit voert auditwerkzaamheden uit op het
gebied van interne beheersing, risicomanagement en governance.
Zoals hiervoor beschreven gebeurt dit in opdracht
van het auditcomité, onafhankelijk van het management.
Interne audits creëren enerzijds inzicht in de effectiviteit
en efficiency van een bepaald proces en in de mate van
naleving van wet- en regelgeving. Anderzijds resulteren zij
in verbetermogelijkheden die het management kan gebruiken
om het proces en de kwaliteit te verbeteren. Om de
uitkomsten om te zetten in scores maken intern auditors
gebruik van auditratingmodellen of maturiteitsmodellen.
Vooral bij die laatste is het mogelijk om het door de hogeschool
gewenste maturiteitsniveau af te zetten tegen de
huidige situatie.
Om auditdomeinen te selecteren die relevant zijn voor de
hogeschool en bijdragen aan kwaliteitsverbetering, is kennis
van de ontwikkelingen in het hogeronderwijslandschap en
van noden van de hogeschool essentieel.
Zij resulteren in
verbetermogelijkheden
die het management
kan gebruiken
Om een audit te selecteren inventariseert de interne audit
allereerst alle auditeerbare processen binnen de hogeschool.
Dit resulteert bijvoorbeeld in een audituniversum, zoals te
zien in Figuur 2.
Het getoonde audituniversum laat een indeling tot op drie
niveaus zien. Een verdere onderverdeling tot op vijf niveaus
resulteert in ongeveer 160 processen die binnen het bereik
van de interne audit kunnen vallen. Ook is te zien dat dit
universum drie soorten processen onderkent, namelijk
strategische, kern- en ondersteunende processen. Om uit
al deze processen een relevante topic te selecteren, voert de
intern auditor een risicoanalyse uit. Hiertoe identificeert
de intern auditor (interne en externe) gebeurtenissen met
impact op de hogeschool en schaalt hij de grootte van het
risico in op basis van de ‘waarschijnlijkheid’ dat een situatie
H
8.2
1.2
6.1
3.7
6.2
4.5
2.1
5
4.7
9
Likelihood
M
11.2
8.3
4.4
2.3
8.1
2.2
4.2
4.9
10
4.1
11.1
3.2
L
8.4
4.6
6.3
4.3
3.3-
4.8
11.3
L M H
Impact
Figuur 3 Fictieve heatmap voor prioritering van de auditopdrachten
45