De schaal is wat hij is, de interpretatie is wat verzandt.
IIA Standard 1320 schrijft vier mogelijke uitkomsten voor: Full Conformance, General Conformance, Partial Conformance en Non-Conformance. Op papier is de hiërarchie duidelijk. In een EQA-rapport-presentatie aan de audit committee verandert die helderheid binnen vijf minuten in semantische discussies over één woord: General.
Het knelpunt: General Conformance betekent dat de IA-functie de standard “in essentie” volgt, met op onderdelen tekortkomingen die niet wezenlijk afbreuk doen aan het eindresultaat. Partial Conformance betekent dat er substantiële tekortkomingen zijn die het eindresultaat wel beïnvloeden. Het verschil zit dus niet in of er tekortkomingen zijn (dat is bij beide), maar in de impact.
Drie criteria waarop wij het verschil vaststellen.
In onze EQA’s hanteren wij drie toetsen om General van Partial te scheiden:
- Reikwijdte van de afwijking. Eenmalig of structureel? Een gemiste documentatie-stap in één engagement is General. Het structureel ontbreken van een independence-attestatie is Partial.
- Impact op de assurance-conclusie. Zou de afwijking, indien gecorrigeerd, leiden tot een andere uitkomst voor het audit committee? Zo ja, dan is dat Partial.
- Detectie- en correctievermogen. Heeft de functie zelf het probleem opgemerkt en gerepareerd, of is het pas in de EQA aan het licht gekomen? Het tweede tilt het richting Partial.
Waarom het ertoe doet.
Het verschil staat letterlijk in jaarverslag, in het Internal Audit Charter, en in toezichtsdialogen met DNB en AFM. General Conformance betekent dat het audit committee zonder kanttekeningen kan rapporteren. Partial Conformance vraagt om een concreet remediation-plan met deadlines. Voor een Chief Audit Executive (CAE)-overgang of een DORA-readiness-traject is dat verschil materieel.
Onze ervaring: van de zes EQA’s die we in 2025 hebben uitgevoerd, eindigden er vier in General Conformance, één in Partial en één in Non. In alle Partial- en Non-rapporten waren de root-causes structureel: te dunne bemensing, geen onafhankelijke QA, of een charter dat het mandaat onvoldoende afdekte.
Tot slot.
De boodschap voor CAE’s: behandel General Conformance als de norm, niet als prestatie. En accepteer Partial als signaal, niet als oordeel. Het rapport is geen rapportcijfer, het is een diagnose.