Internal audit investeert steeds meer in data analytics en digitalisering
De groeiende technologische mogelijkheden om data te verzamelen, beoordelen en analyseren spoort audit leiders aan om hun traditionele auditmodellen en –benaderingen opnieuw onder de loep te nemen. Dat blijkt uit onderzoek van Protiviti. Vooral datagedreven besluitvorming wordt steeds populairder – twee derde van de interne auditafdelingen maakt tegenwoordig gebruik van een vorm van data analytics in hun auditprocessen. Toch is er volgens de onderzoekers nog een lange weg te gaan.
Voor het onderzoek, genaamd de ‘Internal Audit Capabilities and Needs Survey 2017’, werden wereldwijd meer dan 900 interne audit professionals gevraagd om inzicht te geven in hun ambities en volwassenheid op het gebied van data analytics. In de elfde editie van het jaarlijkse onderzoek wordt op data analytics ingezoomd omdat het onderwerp over de jaren heen is uitgegroeid tot een mainstream onderdeel van geavanceerde interne audit activiteiten. “Het tempo waarmee onze wereld verandert heeft een drastische impact op hoe organisaties werken. Interne audit professionals moeten in staat zijn nieuwe tools en technieken toe te passen om risico’s te begrijpen en deze risico’s te managen. Het gebruik van geavanceerde data analytics technieken is verreweg de belangrijkste best practice voor de toekomst”, stelt Brian Christensen, Executive Vice President bij Protiviti.
Het onderzoek toont aan dat data analytics steeds meer voet aan de grond krijgt in het interne audit domein – twee van de drie afdelingen maken gebruik van data analytics technieken als onderdeel van het audit proces, op zoek naar verbeteringen, inefficiënties en waardevolle inzichten die verborgen zitten in de interne werkstromen en culturele gewoonten. 73% van de respondenten geeft aan dat de vraag naar data analytics diensten ter versterking van de auditprocessen in vergelijking met vorig jaar is toegenomen. 20% spreekt zelfs van een sterke stijging. Bij bedrijven waar data analytics een vast onderdeel van de governance structuur uitmaakt (bijvoorbeeld een apart team of speciale afdeling) lag de stijging van de vraag een stuk hoger, met 80% die aangeeft een stijging te hebben waargenomen en waarvan 11% een ‘sterke toename’ rapporteert.
Data analytics volwassenheid
Ondanks de snelle toename in de vraag naar data analytics en de omarming daarvan in interne auditafdelingen, blijkt uit het onderzoek dat de volwassenheid nog relatief laag is. De meeste afdelingen bevinden zich met data analytics nog in de kinderschoenen - een grote meerderheid van de respondenten dicht hun capaciteiten een lage volwassenheid toe. Slechts 10% van de respondenten geeft aan dat de prestaties van zijn of haar bedrijf tot de twee hoogste volwassenheidsniveaus van de gehanteerde vijfpuntsschaal behoren: Managed (het proces wordt gemanaged aan de hand van data verkregen uit vastgestelde meetmethoden) en Optimised (het gebruik van data analytics leidt tot bewuste procesverbeteringen).
De lage volwassenheid leidt volgens de auteurs tot opportuniteitskosten. Uit de onderzoeksresultaten blijkt dat interne audit afdelingen die gebruik maken van data analytics gemiddeld een waarde van 6,9 behalen, wat volgens de onderzoekers betekent dat investeringen zich uitbetalen. “Veel van de organisaties die al data analytics inzetten in hun auditafdelingen beginnen aanzienlijke waarde te ervaren in hun resultaten”, stelt Christensen. Organisaties met een aparte analytics-afdeling behalen gemiddeld een waarde van 7,7, terwijl organisaties die zich in de hoogste volwassenheidsniveaus bevinden een waarde van 8,1 rapporteren. “Zij maken nadrukkelijker gebruik van analytics als onderdeel van de auditplannen en -processen, wat hen in staat stelt hier meer waarde uit te halen”, stellen de onderzoekers.
“Hoewel ze ten opzichte van branchegenoten in de minderheid zijn, realiseren interne auditafdelingen met volwassen auditprogramma’s indrukwekkende voordelen. Deze voordelen zijn onder meer betere risicobeoordelingen, effectievere tracking van fraude-indicatoren en de belangrijkste operationele indicatoren, het mogelijk maken van een realtime overzicht van organisatierisico’s, en het uitvoeren van risico-gebaseerde audits”, vertelt Christensen.
Bij data analytics vormt continue monitoring een cruciaal gebied om het kaf van het koren te scheiden. Deze benadering, die auditafdelingen helpt bij het meer proactief bedienen van hun bedrijf – in tegenstelling tot traditionele manieren van werken – kan op verschillende dimensies van toegevoegde waarde zijn. Bij de bestrijding van digitale en cyberrisico’s wordt continue monitoring zelfs gezien als mogelijke game changer.
Van de auditafdelingen die analytics gebruiken, past slechts 37% continue monitoring toe. Bij de organisaties die de volwassenheidsniveaus ‘managed’ en ‘optimised’ hebben behaald ligt de adoptie van continue monitoring veel hoger, met 62%. Naarmate de technologie voor continue monitoring steeds verder ontwikkeld wordt, wordt het voor steeds meer bedrijven haalbaar om deze in te gaan zetten, aldus de auteurs. Op het moment heeft slechts 15% van de afdelingen “zeer volwassen” continue monitoring processen in huis, die organisatiebreed worden ingezet. “De ontwikkelingen zijn veelbelovend, maar op het gebied van continue auditing is meer vooruitgang nodig”, aldus Christensen.
Aan boord springen
Tegen de achtergrond van het snelgroeiende technologielandschap en de ontwikkelingen vanuit het data science veld, zijn veel auditbestuurders en –managers hun analytics capaciteiten aan het vergroten. Van de groep respondenten die nog geen gebruik maakt van data analytics in het auditproces, zegt twee derde (64%) dit in de komende twee jaren te gaan introduceren, terwijl van de respondenten die data analytics al hebben omarmd 34% aangeeft plannen te hebben om het analyticsteam uit te breiden.
Voordat de stap gezet kan worden naar een meer volwassen audit proces met gebruik van data analytics, moeten bedrijven eerst een aantal obstakels overwinnen. Zo is het uitzoeken waar bepaalde data opgeslagen is voor 60% van de organisaties een uitdaging, en kampt 56% met systeembeperkingen. De bron – de data zelf – is eveneens een uitdaging, aangezien slechts 22% van de organisaties aangeeft dat de kwaliteit van hun data ‘goed’ of ‘uitstekend’ is. Andere veelgenoemde obstakels zijn onder meer een gebrek aan gedefinieerde protocollen voor het verzamelen en gebruiken van data, het onvermogen om data objectief te analyseren en verouderde IT-systemen, die data warehousing en de latere analyse ernstig beperken.
Op basis van de onderzoeksresultaten en ruim tien jaar ervaring in het interne audit domein, doen experts van Protiviti in het rapport enkele aanbevelingen, die kunnen helpen bij het bouwen van meer verfijnde analytics processen en het overwinnen van de obstakels. Centraal in het advies staat een duidelijke analytics-strategie, in combinatie met betrokkenheid vanuit het management. Dit omvat onder meer een roadmap, een duidelijke business case en plannen om te investeren in bepaalde vaardigheden, tools en expertise. Deze plannen moeten bovendien rekening houden met de verwachting dat de vraag naar analytics de komende jaren alleen maar zal stijgen.
Bij het bepalen van hun agenda’s voor de toekomst, wordt de besluitmakers aangeraden om begrip te hebben voor de beperkingen die samenhangen met budgetten en middelen, evenals met de dagelijkse werkzaamheden, die mogelijk de verdere ontwikkeling van de interne audit volwassenheid in de weg staan. Het gebruik van zorgvuldig gekozen en goed opgezette pilotprogramma’s is hierin cruciaal, vooral bij afdelingen waar zelfs een eenvoudige demonstratie van de kracht van analytics al veel invloed kan uitoefenen.
Bovendien worden teams gestimuleerd op zoek te gaan naar verschillende manieren om de toegang tot data van goede kwaliteit te vergroten en om protocollen te implementeren die zorgen voor goede data management. Ook staan zij voor de keuze of zij een team van experts (champions) willen samenbrengen of een juist een aparte afdeling voor data analytics willen opzetten. Tot slot moeten er stappen worden gezet om het succes / de ROI van analytische inspanningen meetbaar te maken.
“Het gebruik van data analytics kan overweldigend zijn voor organisaties. Er kunnen beperkingen zijn vanuit budgetten en middelen, werknemers moeten leren werken met nieuwe technologie en nieuwe processen moeten worden ontwikkeld. We hebben ontdekt dat bedrijven een startpunt moeten kiezen en de hulp in moeten schakelen die zij nodig hebben, zodat zij uiteindelijk hun interne auditafdelingen daadwerkelijk kunnen optimaliseren”, concludeert Christensen.
