De internal-auditfunctie (IAF) is in minder dan tien jaar uitgegroeid tot een vaste pijler van goed bestuur bij Nederlandse beursvennootschappen. Het aandeel beursvennootschappen met een IAF steeg van 52% in 2016 naar circa 72% in 2024. Dat blijkt uit de Internal Audit Monitor 2025, het periodieke onderzoek van ONE Risk Advisory en Nyenrode Business Universiteit, in opdracht van IIA Nederland. Deze editie kijkt niet alleen naar de aanwezigheid en inrichting van de IAF, maar onderzoekt ook haar rol bij de nieuwe Verklaring omtrent Risicobeheersing (VOR).
Hoeveel beursvennootschappen hebben een internal-auditfunctie?
Bijna driekwart van de in Nederland gevestigde beursvennootschappen had in 2024 een internal-auditfunctie. In absolute aantallen groeide dat van 50 functies in 2016 naar 58 in 2024, terwijl het totale aantal Nederlandse beursvennootschappen in dezelfde periode daalde van 96 naar 81. Sinds 2021 is het beeld stabiel: rond 60% van de beursvennootschappen beschikt over een IAF.
Achter dat gemiddelde gaan duidelijke verschillen naar beursindex schuil. AEX- en AMX-fondsen beschikken vrijwel zonder uitzondering over een internal-auditfunctie, een stabiel en consistent beeld. De sterkste relatieve groei zit bij de kleinere fondsen: bij de AScX steeg het aandeel van 39% in 2016 naar 68% in 2024.
Belangrijk bij de interpretatie is de toegenomen transparantie in jaarverslagen. Ondernemingen die vroeger melding maakten van een IAF, geven nu vaker expliciet aan wanneer auditwerkzaamheden bij andere functies zijn belegd en daarmee niet voldoen aan de kenmerken van een volwaardige functie. Vanaf 2021 spreken we daarom beter van stabilisatie dan van krimp. In de praktijk zien wij dat bestuurders en commissarissen de IAF niet als een louter wettelijke verplichting beschouwen, maar als een partner in business die bijdraagt aan effectieve interne beheersing.
Size doesn’t matter: ook kleinere fondsen richten een IAF in
De meest genoemde reden om geen internal-auditfunctie in te richten is de beperkte omvang van de organisatie. De cijfers spreken dat tegen: juist de kleinere AScX-fondsen lieten de sterkste groei zien. De aanname dat alleen grote organisaties zich een effectieve auditfunctie kunnen veroorloven, is daarmee achterhaald.
Volledige outsourcing van de internal-auditfunctie blijft een uitzondering en schommelde over de periode 2016 tot en met 2024 tussen de vier en acht ondernemingen. Het merendeel kiest bewust voor een interne invulling, wat het belang onderstreept dat bestuurders en commissarissen hechten aan een structureel ingebedde, onafhankelijke derde lijn. In de praktijk zien we vaker co-sourcing: een vaste Chief Audit Executive (CAE) binnen de organisatie, aangevuld met externe expertise en capaciteit op flexibele basis. Een proportionele IAF is op meerdere manieren haalbaar:
- een gefaseerde opbouw, stap voor stap naar een volwaardige functie;
- een compacte basisbezetting, aangevuld met co-sourcing;
- of, voor de kleinste fondsen, volledige outsourcing.
Transparantie neemt toe: vijf good practices
Beursgenoteerde ondernemingen lichten de inrichting en werking van hun internal-auditfunctie steeds uitgebreider toe. Inmiddels laat, op een na, geen enkele onderneming het ontbreken van een IAF onverklaard, wat de werking van het pas-toe-of-leg-uit-principe bevestigt. Uit de analyse van de jaarverslagen komen vijf good practices naar voren:
- een duidelijke positionering binnen het three lines model, inclusief de verantwoordelijkheidsverdeling met de eerste en tweede lijn;
- heldere rapportagelijnen, waarbij de IAF functioneel rapporteert aan het audit committee en hierarchisch aan het bestuur;
- transparantie over scope en werkwijze, met concrete auditonderwerpen en de prioritering naar risico, waaronder strategische en ESG-gerelateerde risico’s;
- toepassing van het International Professional Practices Framework (IPPF) van het IIA;
- rapportage over een externe kwaliteitsbeoordeling (External Quality Assessment, sinds 2022 ook een vereiste in de Code) en de uitkomst daarvan.
Wat verandert er met de Verklaring omtrent Risicobeheersing (VOR)?
De belangrijkste vernieuwing in de in 2025 geactualiseerde Nederlandse Corporate Governance Code is de Verklaring omtrent Risicobeheersing (VOR), verplicht voor boekjaren vanaf 1 januari 2025. Met de VOR legt het bestuur publiekelijk verantwoording af over de opzet, werking en effectiviteit van het risicobeheersings- en interne beheersingssysteem, op vier gebieden: de betrouwbaarheid van de financiële verslaglegging, de betrouwbaarheid van de niet-financiële verslaglegging, de operationele risico’s en de compliance-risico’s.
Volgens de IIA Practice Guide heeft de internal-auditfunctie hierin geen uitvoerende verantwoordelijkheid. Vanuit haar onafhankelijke positie kan zij wel bijdragen, bijvoorbeeld met audits op specifieke risicogebieden, audits van het risicomanagementproces, een beoordeling van de kwaliteit van de tweede lijn, advies over de onderbouwing en implementatie, en een review van de concept-VOR.
Welke rol speelt internal audit bij de VOR in de praktijk?
Voor de Internal Audit Monitor 2025 is een enquête uitgevoerd onder hoofden van internal auditfuncties in augustus en september 2025. Van de 34 voor de analyse meegenomen functies geeft 85% aan betrokken te zijn bij de VOR. De bijdrage sluit meestal aan bij bestaand auditwerk: audits die input leveren voor de verklaring. De onderstaande tabel toont de gerapporteerde bijdragen.
| Bijdrage van de internal-auditfunctie aan de VOR | % van respondenten |
|---|---|
| Audits op de beheersing van specifieke risicogebieden | 68% |
| Audits van het risicomanagementproces | 65% |
| Audits op de kwaliteit van tweedelijnsfuncties | 62% |
| Beoordeling van de concept-VOR | 44% |
| Advies over onderbouwing of implementatie van de VOR | 44% |
| Formele assurance op (delen van) de VOR | 21% |
| Geen bijdrage of niet betrokken | 15% |
Formele assurance op de VOR of delen daarvan komt voorlopig bij ongeveer een op de vijf functies voor (21%). Dat is verklaarbaar: definities, normenkaders en bewijsvoering zijn voor de operationele en compliance-risico’s in veel organisaties nog in ontwikkeling. Voor het merendeel van de respondenten heeft de VOR niet geleid tot wezenlijk andere werkzaamheden; geen enkele respondent meldt een fundamentele wijziging van het auditwerk. De twee grootste uitdagingen die de hoofden IAF noemen, zijn het duiden van begrippen als zekerheid en effectiviteit, en het verzamelen van voldoende en geschikt bewijs om de verklaring op een deugdelijke grondslag te onderbouwen.
Wat betekent dit voor uw organisatie?
Drie adviezen komen uit het onderzoek naar voren. Investeer in interne auditcapaciteit, want de dominantie van interne functies bevestigt de ervaren toegevoegde waarde van inhouse expertise. Gebruik outsourcing en co-sourcing strategisch, vooral bij kleinere fondsen of voor schaarse, specialistische kennis. En wees transparant over de gemaakte keuzes en de waarborgen voor goed bestuur bij een alternatief model.
Voor de VOR geldt: behandel de verklaring niet uitsluitend als een formele rapportageverplichting, maar als een kans om risicomanagement en interne beheersing aantoonbaar te versterken. Door de internal-auditfunctie tijdig en bewust te betrekken, wordt de kwaliteit van de verklaring hoger en ontstaat een consistent, onderbouwd verhaal richting stakeholders.
Over de Internal Audit Monitor
De Internal Audit Monitor verschijnt periodiek, met eerdere edities in 2017 en 2022. ONE Risk Advisory voert het onderzoek uit in samenwerking met Nyenrode Business Universiteit, in opdracht van IIA Nederland. De editie 2025 is geschreven door Robert Bogtstra en Inge Garretsen (ONE Risk Advisory) en Remko Renes (Nyenrode Business Universiteit). Het onderzoek is gebaseerd op twee bronnen: een analyse van openbare jaarverslagen over de periode 2016 tot en met 2024, en een enquête onder hoofden van internal auditfuncties, uitgevoerd in augustus en september 2025.
Wilt u weten wat een internal-auditfunctie voor uw organisatie kan betekenen, of hoe co-sourcing, een external quality assessment of de onderbouwing van uw VOR in uw situatie uitpakt? Neem gerust contact met ons op.