Misverstand 1: “QAIP is een policy.”
Nee, QAIP is een programma. Het beschrijft niet wat het beleid is, maar hoe je voortdurend toetst of de IA-functie haar eigen beleid naleeft. Een policy zegt “wij doen audits volgens IIA Standards”. QAIP zegt “wij toetsen elk kwartaal of we onze audits inderdaad zo deden, en als we daarvan afwijken, leggen we vast waarom.”
Misverstand 2: “Het is een jaarcheck.”
De vijfjarige externe quality assessment (EQA) is wat de IIA verplicht. QAIP is wat je daartussen doet. Het is doorlopend: ongoing monitoring (peer-review per engagement, kwaliteitsmetrieken per kwartaal) plus periodic self-assessment (jaarlijks gestructureerd). Niet “een keer per jaar erbij pakken.”
Misverstand 3: “Het is een tool.”
Er zijn audit-management-suites die QAIP-modules aanbieden. Nuttig, niet noodzakelijk. We hebben mid-cap functies gezien die QAIP perfect runnen met een Excel-template + een SharePoint-folder. Het draait om het ritueel: peer-review na elk engagement, kwartaal-rapportage, jaarlijkse self-assessment. De tool is secundair.
Misverstand 4: “Het is voor de externe assessor.”
Dat is het foutmotief dat het meest aanricht. Als QAIP wordt gerund voor de EQA-toets over vijf jaar, verliest het zijn waarde. De primaire doelgroep is intern: de Chief Audit Executive (CAE) die zicht wil houden op de kwaliteit van zijn eigen team. De EQA-assessor toetst dat, maar het is niet voor de toets bedoeld.
Wat het wél is.
Een gestructureerd geheugen van wat goed ging en wat anders moet. Klein. Routinematig. Direct toepasbaar. De CAE die er rust mee heeft, zegt aan het eind van het kwartaal: “Wij hebben deze drie engagements gedaan, hier zijn drie peer-review-opmerkingen, hier de drie KPI’s, en hier de actie voor volgend kwartaal.” Geen paginaspaper.