Interne audit of externe audit: wat is het verschil en wat heeft uw organisatie nodig?

Wat is een interne audit?

Een interne audit is een onafhankelijke toetsing die wordt uitgevoerd in opdracht van het management of de raad van bestuur van de eigen organisatie. Het doel is verbetering: de interne auditor onderzoekt of processen, systemen en maatregelen werken zoals bedoeld, en geeft aanbevelingen om zwakke punten te versterken. Het rapport is primair bedoeld voor intern gebruik.

Grote organisaties hebben vaak een eigen interne auditafdeling. Kleinere organisaties schakelen hiervoor een externe partij in die de rol van interne auditor op zich neemt. Dat geeft de onafhankelijkheid die nodig is zonder dat een vaste afdeling hoeft te worden opgebouwd. De bevindingen blijven in dat geval vertrouwelijk binnen de organisatie.

Wat is een externe audit?

Een externe audit wordt uitgevoerd door een onafhankelijke auditor die buiten de organisatie staat en rapporteert aan externe belanghebbenden: aandeelhouders, klanten, toezichthouders of andere derden. Het doel is zekerheid geven aan die buitenwereld over de betrouwbaarheid van informatie of de effectiviteit van beheersmaatregelen. Het rapport is bestemd voor gebruik buiten de organisatie.

Voorbeelden van externe audits zijn de jaarrekeningcontrole door een registeraccountant, een ISAE 3402-audit door een IT-auditor en een DigiD-beveiligingsassessment in het kader van ENSIA. In al deze gevallen concludeert een onafhankelijke partij in een formeel rapport of de situatie voldoet aan het van toepassing zijnde normenkader.

Wie voert ze uit en welk rapport levert het op?

Een interne audit wordt uitgevoerd door een interne auditfunctie of een externe partij die tijdelijk die rol vervult. Het resultaat is een intern auditrapport met bevindingen en aanbevelingen. Er is geen wettelijk voorgeschreven format, en de opdrachtgever bepaalt zelf wat er met de uitkomsten gebeurt.

Een externe audit mondt uit in een formeel assurance-rapport of verklaring, opgesteld door een gekwalificeerde onafhankelijke auditor. Dat rapport volgt een vastgesteld stramien en wordt afgegeven op basis van een erkende standaard, zoals ISAE 3402, ISAE 3000 of de NV COS voor jaarrekeningcontroles. De inhoud en de reikwijdte zijn gebonden aan die standaard.

Wat staat er in een intern auditrapport?

Een intern auditrapport heeft geen wettelijk voorgeschreven vorm, maar een goed rapport bevat altijd dezelfde onderdelen:

• Opdracht en scope: wat is onderzocht, tegen welk normenkader en over welke periode.
• Samenvatting voor het management: het totaalbeeld in een paar alinea's, met de belangrijkste risico's.
• Bevindingen: per bevinding wat er is vastgesteld, welke norm of eis het betreft, wat het risico is en hoe zwaar het weegt.
• Aanbevelingen: concreet en uitvoerbaar, met een voorgestelde prioriteit.
• Reactie van het management: wie de actie oppakt en wanneer die gereed is.

Het verschil met een extern rapport is dat een intern auditrapport geen oordeel voor derden bevat. Het is een werkdocument voor het management. Juist daarom moet het scherp en eerlijk zijn: een rapport dat alleen geruststelt, levert geen verbetering op.

Wanneer kiest u voor een nulmeting?

Een nulmeting is een specifieke vorm van interne audit waarbij de huidige situatie wordt afgezet tegen een normenkader, zonder dat er al een formeel rapport voor derden wordt opgesteld. Een nulmeting is zinvol als u wilt weten waar uw organisatie staat voordat u een certificeringstraject of een externe audit ingaat. U brengt de hiaten in kaart en kunt gericht aan verbetering werken.

Organisaties die zich voorbereiden op ISO 27001-certificering, een ISAE 3402-audit of NIS2-compliance, beginnen vaak met een nulmeting. Dat voorkomt verrassingen tijdens de formele audit en geeft het management een eerlijk beeld van de investeringen die nog nodig zijn. Een nulmeting kost minder tijd en geld dan een volledige externe audit, maar levert veel bruikbare informatie op.

Wanneer kiest u voor een certificeringsaudit of een ISAE-rapport?

Een certificeringsaudit is aan de orde als uw organisatie een erkend certificaat wil behalen, zoals ISO 27001 of ISO 9001. Certificering geeft externen zekerheid over uw werkwijze en is in veel sectoren een vereiste bij aanbestedingen of als leverancierseis. De audit wordt uitgevoerd door een geaccrediteerde certificerende instelling.

Een ISAE-rapport is de juiste keuze als uw klanten of hun accountants zekerheid willen over de beheersing bij uw organisatie als dienstverlener. ISAE 3402 is specifiek bedoeld voor serviceorganisaties die processen of systemen uitvoeren voor anderen. ISAE 3000 wordt gebruikt voor andere assurance-opdrachten die niet onder een specifiekere standaard vallen, zoals een privacy-assessment of een NIS2-audit.

Wat maakt een auditor onafhankelijk?

Onafhankelijkheid is de kern van elke audit, intern en extern. Een auditor is onafhankelijk als hij geen belang heeft bij de uitkomst en niet zijn eigen werk beoordeelt. In de praktijk betekent dat:

• de auditor heeft de maatregelen die hij toetst niet zelf ontworpen of ingericht;
• de auditor heeft geen verantwoordelijkheid in de lijn voor het onderzochte proces;
• de auditor rapporteert aan een niveau boven het onderzochte proces, zoals de directie of de raad van commissarissen;
• de auditor kan bevindingen opschrijven zonder druk vanuit de organisatie.

Voor externe audits gelden daarnaast beroepsregels. Een Register EDP-Auditor (RE) is bijvoorbeeld gebonden aan de gedrags- en beroepsregels van NOREA. Daarom voert Assurency geen interne audit uit op een managementsysteem dat wij zelf hebben ingericht. In dat geval dragen wij de audit over aan een onafhankelijke partner.

Organisaties zonder interne auditfunctie

Veel middelgrote organisaties hebben geen vaste interne auditafdeling. Toch kan de behoefte bestaan om processen of systemen onafhankelijk te laten toetsen, buiten de reguliere lijnorganisatie om. In dat geval kan een externe partij de rol van interne auditor tijdelijk invullen. Die partij rapporteert dan aan het management, niet aan een externe derde.

Dit is een veelgebruikte aanpak bij organisaties die willen weten of hun IT-beheersing voldoende is, of die zich willen voorbereiden op een externe audit of toezichtsinspectie. De interne auditpartij werkt op basis van een auditplan dat samen met het management wordt vastgesteld. De bevindingen blijven vertrouwelijk en zijn uitsluitend bedoeld voor intern gebruik en verbetering.

Een interne auditfunctie inrichten

Wilt u zelf een interne auditafdeling of auditfunctie opzetten, dan zijn dit de bouwstenen:

• Een auditcharter: een door de directie vastgesteld document met het mandaat, de bevoegdheden en de onafhankelijke positie van de auditfunctie.
• Een rapportagelijn naar de directie en bij voorkeur ook naar de raad van commissarissen of een auditcommissie.
• Een risicogebaseerd auditplan: welke processen en systemen worden wanneer onderzocht, op basis van de grootste risico's.
• Competenties: voor IT-onderwerpen zijn IT-auditkennis en kennis van normenkaders als ISO 27001 of NIS2 nodig.
• Kwaliteitsborging: een vaste werkwijze, dossiervorming en periodieke evaluatie. Internationaal geven de Global Internal Audit Standards van het IIA hiervoor de richting.

Voor veel middelgrote organisaties is een volledige afdeling niet nodig. Een tussenvorm werkt dan vaak beter: één interne coördinator die het auditplan bewaakt, en een externe partij die de audits uitvoert. Zo heeft u de onafhankelijkheid en de kennis, zonder vaste bezetting.

Wat heeft uw organisatie nodig?

De keuze tussen interne en externe audit hangt af van het doel. Wilt u intern verbeteren en weten waar de zwakke plekken zitten: kies dan voor een interne audit of nulmeting. Wilt u zekerheid geven aan klanten, aandeelhouders of toezichthouders: dan is een externe audit de aangewezen weg. Beide vormen sluiten elkaar niet uit. Veel organisaties beginnen intern en stappen daarna over op een formeel extern rapport zodra de organisatie er klaar voor is.

Laatst bijgewerkt: 20 oktober 2026