Van gedachte-experiment naar auditvisie: hoe AI de interne auditfunctie verandert 

Wat als de interne auditfunctie van een organisatie over tien jaar volledig door kunstmatige intelligentie wordt uitgevoerd? KPMG-partner Huck Chuah stelt bewust een radicale vraag. Niet omdat hij dit als eindbeeld voor zich ziet, maar om scherp te krijgen welke delen van internal audit AI kan ondersteunen en waar professioneel oordeel onmisbaar blijft.

Het aantal interne auditfuncties in Nederland groeit. Steeds meer organisaties, van ziekenhuizen en woningcorporaties tot kleine verzekeraars en beursgenoteerde bedrijven, richten een eigen interne auditfunctie in, een onafhankelijke toetsings- en assurancefunctie die beoordeelt of processen, risico’s en interne beheersing goed werken en daarover rapporteert aan de raad van bestuur en auditcommissie. Tegelijkertijd neemt de complexiteit van risico’s toe, worden regelgevingseisen zwaarder en stijgt de verwachting over de diepgang van de analyses die de functie oplevert. Voor Huck Chuah, partner bij KPMG Advisory en hoofd van de internal audit services-praktijk, is dat de context waarbinnen de vraag naar AI onvermijdelijk wordt. ‘Het gaat er niet om hoe geavanceerd de technologie is’, zegt hij, ‘maar of je het juiste niveau van autonomie kiest voor de juiste taak, en bereid blijft om verantwoordelijkheid te nemen voor de uitkomst.’ 

De radicale vraag als kompas 

De intellectuele basis voor zijn aanpak komt van Sander Klous, hoogleraar AI & Audit aan de Universiteit van Amsterdam en partner bij KPMG. Hij startte begin 2025 het zogeheten Zero Person Company-experiment, een onderzoek van KPMG en de UvA naar de vraag of een organisatie volledig door AI-agents kan worden aangestuurd. De conclusie was helder: agents die brede, complexe bestuurlijke rollen vervullen gaan afdwalen en hallucineren. De aanpak werkt alleen als werkprocessen nauwgezet worden opgesplitst in kleine, strak gedefinieerde deeltaken, met voor elk een eigen agent. Precies die conclusie is het vertrekpunt voor hoe Chuah de toekomst van internal audit ziet. ‘We zijn gaan brainstormen: stel dat de interne auditfunctie over tien jaar volledig door AI-agents wordt uitgevoerd, hoe ziet die er dan uit?’ Om die vraag te beantwoorden, moet het werk volledig worden ontleed, van elke afzonderlijke substap die een auditor dagelijks zet tot en met op het niveau van functies of rollen. 

Substap voor substap 

Het auditproces bestaat ruwweg uit voorbereiding en planning, veldwerk, rapportage en follow-up. Voor elk van die fasen is te onderzoeken welke deeltaken door agents kunnen worden ondersteund. Neem de voorbereidingsfase. Wie zich voorbereidt op een audit, pakt traditioneel het dossier van de vorige cyclus erbij, spreekt een of twee mensen om de scope te bepalen en zoekt uit welke documentatie er al is. Dat kost tijd: relevante informatie is vaak verspreid over dossiers, eerdere rapporten, beleidsdocumentatie en systemen. Een agent doorzoekt diezelfde documenten in een fractie van de tijd, haalt de meest relevante passages eruit en maakt een gerichte samenvatting als input voor de volgende stap. Daarnaast filtert de AI-agent externe bronnen op betrouwbare informatie die relevant zijn voor de voorbereiding. ‘Wat je vroeger deed met uren desktop-onderzoek, kan een agent in minuten doen’, zegt Chuah. ‘En je haalt er meer uit, omdat een agent veel completer is, en niet moe wordt of een pagina overslaat.’ 

Van impliciete naar expliciete kennis 

Wat dat vraagt, is dat het werk wordt ontleed tot op het niveau van afzonderlijke handelingen. Dat heeft een neveneffect dat verder gaat dan automatisering: kennis die jarenlang impliciet bleef in de hoofden van ervaren auditors, bijvoorbeeld over de afbakening van een audit en over de criteria die een risico relevant maken, moet expliciet worden gemaakt om agents gericht aan te sturen. Die formalisering is op zichzelf al waardevol, ongeacht de AI. Hetzelfde geldt voor de veldwerkfase, het hart van elke audit. Waar een auditor traditioneel een interview afneemt en daaruit bevindingen destilleert, kan een agent tegelijkertijd tientallen beleidsdocumenten, eerdere rapporten en andere databronnen doorzoeken en die in samenhang analyseren. Dit biedt een extra dimensie op het onderzoek. Verbanden en root-casues die in handmatige analyse minder snel zichtbaar worden, komen zo eerder boven water. ‘Met AI kun je veel sneller een veelvoud aan bronnen met elkaar in verband brengen’, zegt Chuah. ‘Voor internal audit, een functie die in essentie draait om het tijdig signaleren van de juiste risico’s, is dat geen operationele winst maar een strategische.’ 

Orkestleider boven de agents 

Voor elke substap een eigen agent bouwen is één ding. Maar losse agents die ieder hun eigen taak uitvoeren, maken nog geen samenhangend auditproces. De volgende vraag is dan ook hoe agents informatie uitwisselen en wie het geheel coördineert. Bij verdergaande automatisering kan een regielaag helpen om afzonderlijke toepassingen met elkaar te laten samenwerken, de volgorde te bewaken en informatie overdraagbaar te maken tussen stappen. Chuah hanteert hiervoor de metafoor van de dirigent en het orkest. Zo kan een samenhangender auditproces ontstaan dan met losse hulpmiddelen alleen. ‘Op het moment dat je dat hebt, heb je een process flow’, zegt Chuah. Dat geheel, de bibliotheek van agents plus de orchestratielaag, is wat KPMG de AI Factory for Internal Audit noemt.  
De agents in die bibliotheek zijn herbruikbaar en inzetbaar voor uiteenlopende functies en organisaties, maar worden altijd aangepast aan de specifieke context van de klant. KPMG beschrijft die als een soort junior auditor: een hulpmiddel dat repeterende taken kan overnemen en grote delen van een auditwerkprogramma kan voorbereiden, maar altijd onder menselijke supervisie werkt. Kritieke stappen vragen review en goedkeuring. Komt het systeem er niet uit, dan moet het onzekerheid signaleren in plaats van een antwoord te hallucineren. Het bouwen van de agents vraagt om een multidisciplinair team van domeinkennis, technische bouwcapaciteit en IT-auditexpertise. ‘Die mix van disciplines is wat nodig is om dit te kunnen bouwen’, zegt Chuah. 

De mens blijft eindverantwoordelijk 

De kwaliteitsborging zit ingebakken in de architectuur. Wie AI inzet voor analyses waarop bestuurlijke beslissingen worden gebaseerd, moet op elk moment kunnen achterhalen welke bron heeft geleid tot welke analyse en welke conclusie. Traceerbaarheid, betrouwbaarheid, transparantie, veiligheid en uitlegbaarheid zijn geen bijzaak, maar randvoorwaarden voor verantwoord gebruik van AI in audit. Elke AI-toepassing heeft de neiging om soms plausibel klinkende maar onjuiste informatie te produceren, en auditing is een domein waar dat direct consequenties heeft. ‘Je kunt agents bouwen die controleren of andere agents hun werk goed hebben gedaan. Die kritisch vragen: klopt dit? Verifieer het nog eens.’ De auditor blijft daarnaast ‘als human in the loop’ altijd eindverantwoordelijk. ‘Rapportage aan de raad van bestuur of de auditcommissie vereist altijd een persoon die er echt voor staat’, zegt Chuah. ‘Verantwoording afleggen over bevindingen en oordelen kun je niet aan een agent overlaten.’ 
Internal audit krijgt daarmee ook een dubbele opdracht. De functie gebruikt AI om het eigen werk beter te organiseren, maar moet tegelijk onafhankelijk toetsen hoe AI elders in de organisatie wordt ingezet. Zijn de data op orde? Zijn uitkomsten uitlegbaar? Is menselijk toezicht geregeld? En is duidelijk wie verantwoordelijk is wanneer een toepassing fouten maakt? Daarmee toetst internal audit niet alleen wat AI oplevert, maar ook of de organisatie die systemen verantwoord inricht, beheerst en inzet. 

Van point solution naar enterprise-wide 

‘Als je AI optimaal wil benutten, heb je idealiter een systeem waar alles aan elkaar gekoppeld is binnen een organisatie. Dit zodat je enterprise-wide AI gaat toepassen’, zegt Chuah. Maar dat vraagt om enorme investeringen, breed mandaat en een return on investment die vooraf moeilijk te bepalen is. Veel organisaties raken daardoor verlamd. Wat Chuah ziet is vele organisaties beginnen per functie, met een point solution, wat suboptimaal is. ‘Of het nu HR is, inkoop of marketing: elke functie bestaat uit deeltaken die je aan agents kunt overdragen’, zegt Chuah. ‘Maar nog beter is dat AI integraal wordt uitgerold binnen een organisatie, dat is de visie die wij onze klanten meegeven.’ Zijn de afzonderlijke agents eenmaal ingericht, dan ontstaat de mogelijkheid om een overkoepelende orchestrating agent boven de point solutions te zetten, die ze met elkaar verbindt en zo enterprise-wide analyses mogelijk maakt. Maar of zo’n AI-traject slaagt, hangt niet alleen af van de technologie, maar ook van cultuur en gedrag. 

AI is geen hype 

Wie een AI-traject succesvol wil doorlopen, moet volgens Chuah op drie lagen tegelijk sturen. De eerste is technologie en processen: agents bouwen vraagt om een multidisciplinair team, en in de praktijk ontbreekt de technische bouwcapaciteit het vaakst. Vervolgens komen de mensen: auditors moeten leren AI-output kritisch te beoordelen, beperkingen te herkennen en vaste momenten van review en reflectie in het auditproces in te bouwen. De derde is governance: wie bepaalt de doelstellingen, wie is eindverantwoordelijk als een agent iets fout doet? ‘Dat zijn geen technische vragen maar organisatorische’. Als je alleen op de technologie let, kom je er niet’, aldus Chuah. AI is volgens hem ook geen hype. Net als dat het niet de vraag is óf agents werk gaan overnemen of anders inrichten, maar wanneer. ‘Regie voeren op AI, een visie en een roadmap bepalen: dat adviseer ik alle organisaties’, zegt Chuah. ‘Begin, ook als nog niet alles zeker is.’ Niet om de auditfunctie zoveel mogelijk te automatiseren, maar om meer ruimte te maken voor wat internal audit werkelijk onderscheidt: professioneel oordeel, onafhankelijke toetsing en een scherpe blik op de risico’s die er echt toe doen.