De AFM onderzocht zes grote banken, vier grote verzekeraars en vijf grote financieel dienstverleners. De toezichthouder analyseerde hun auditjaarplannen en uitgevoerde audits over 2025 en verdiepte de bevindingen tijdens sessies bij de ondernemingen. Daarbij keek de AFM naar drie onderwerpen: naleving van gedragstypische wet- en regelgeving, organisatiecultuur en toekomstige risico’s op schending van het klantbelang.
Banken op niveau
Bij banken en verzekeraars zijn de auditfuncties volgens de AFM over het algemeen volwassen en professioneel ingericht. Auditplanning, uitvoering en rapportage verlopen gestructureerd en consistent. Op de drie onderzochte onderwerpen scoren banken en verzekeraars gemiddeld ruim boven de 4 op een schaal van 6.
Cultuur en risico’s
Voor banken en verzekeraars ligt de belangrijkste ontwikkelopgave bij het expliciet evalueren van de bijdrage van interne audit aan de organisatiecultuur en het waarborgen van voldoende kennis over toekomstige risico’s. Volgens de AFM is niet altijd inzichtelijk of deze onderwerpen daadwerkelijk onderdeel zijn van de evaluaties van de auditfunctie.
Dienstverleners verschillen
Bij grote financieel dienstverleners lopen de vormen van onafhankelijke toetsing en assurance sterk uiteen. Deze ondernemingen zijn veelal niet wettelijk verplicht een onafhankelijke interne auditfunctie in te richten. In verschillende gevallen wordt een functie wel als interne audit aangemerkt, terwijl die niet volledig voldoet aan de kenmerken van een onafhankelijke derde lijn.
Onafhankelijkheid
De AFM constateert bij deze ondernemingen vooral tekortkomingen op het gebied van onafhankelijkheid, positionering en professionaliteit. In verschillende gevallen beoordelen medewerkers processen waarvan zij onvoldoende onafhankelijk zijn. Ook ontbreekt soms een formeel auditmandaat of wordt slechts beperkt volgens algemeen geaccepteerde auditstandaarden gewerkt. Volgens de AFM kunnen zulke functies daarom niet als volwaardige interne auditfunctie worden aangemerkt.
Beperkt aantal audits
Ook professioneel ingerichte auditfuncties bij financieel dienstverleners hebben volgens de AFM een aandachtspunt. Het aantal uitgevoerde audits is daar relatief beperkt en onderwerpen die rechtstreeks raken aan het klantbelang krijgen niet altijd voldoende prioriteit in de auditplanning.
Capaciteit soms beperkt
In een aantal gevallen sluit de omvang van de auditfunctie niet aan bij de omvang en complexiteit van de organisatie. Bij internationaal georganiseerde auditfuncties wordt capaciteit bovendien vooral ingezet voor groepsprioriteiten, waardoor Nederlandse toezichtprioriteiten minder aandacht krijgen. Ook is kennis over onderwerpen als klantbelang, productgovernance en gedrag niet altijd voldoende aanwezig.
Klantbelang onderbelicht
Het gevolg is volgens de AFM dat belangrijke consumentenrisico’s niet altijd zichtbaar terugkomen in de auditpraktijk. Operationele risico’s, IT en governance worden veelvuldig geaudit, maar er is minder expliciete aandacht voor de vraag of producten, processen en besluitvorming daadwerkelijk bijdragen aan goede klantuitkomsten.
AI in opmars
Binnen interne audit ziet de AFM een duidelijke beweging naar het gebruik van AI en data-analyse. Steeds meer functies gebruiken geavanceerde analysetools om risico’s te identificeren, afwijkingen te signaleren en audits efficiënter in te richten. Volgens de toezichthouder draagt dat bij aan de slagkracht en diepgang van de auditfunctie.
Kwaliteit blijft leidend
Tegelijk moet de auditkwaliteit volgens de AFM leidend blijven. Bij het gebruik van technologie moeten principes als integriteit, volledigheid en juistheid van informatie in acht worden genomen en moet de onafhankelijkheid van de derde lijn gewaarborgd blijven. De AFM merkt daarbij op dat niet altijd de meest complexe of AI-gedreven analyses de meeste waarde opleveren.
Eén op 150
Als goed praktijkvoorbeeld noemt de AFM auditfuncties die werken volgens de internationale standaarden van het Institute of Internal Auditors en voldoende capaciteit hebben. Bij zulke functies ziet de toezichthouder veelal een bezetting van ongeveer één auditor per 150 medewerkers, onder leiding van een onafhankelijke chief audit executive.
Integraal oordeel
Een aantal auditfuncties geeft periodiek een integraal oordeel over de interne beheersing, bijvoorbeeld ieder kwartaal. De AFM noemt dit een waardevolle ontwikkeling, omdat zo’n overkoepelend oordeel bestuur en toezichthouders beter inzicht geeft in de staat van de organisatie.
Download hier het rapport.
Geef een reactie