Auditrapport schrijven: opbouw, bevindingen formuleren en een voorbeeld

Voor wie schrijf je een auditrapport?

Een auditrapport heeft drie lezers met drie vragen. De gecontroleerde afdeling wil weten wat er precies is gezien en wat van haar wordt verwacht. De directie wil weten of het systeem werkt en waar ze moet bijsturen. Een klant of externe auditor wil zien dat je intern kritisch kijkt en afwijkingen echt opvolgt.

Schrijf daarom zo helder dat iemand die niet bij de audit was, begrijpt wat er speelt. Een rapport dat alleen de auditor zelf snapt, wordt niet gelezen en leidt dus ook niet tot verbetering. Laat jargon en afkortingen weg, tenzij iedereen ze kent.

Welke onderdelen hoort een auditrapport te hebben?

Een vaste opbouw maakt rapporten vergelijkbaar, ook als meerdere auditors schrijven. Houd de kern op een of twee pagina's en zet detail in een bijlage. Begin met een korte samenvatting, want veel lezers komen niet verder dan de eerste alinea.

• Kopgegevens: afdeling of proces, datum, auditor, gesproken personen en het auditprogramma waar de audit bij hoort
• Scope, doel en criteria: wat je onderzocht, waarom en waartegen je toetste
• Samenvatting en conclusie: in een paar zinnen of het onderzochte deel doet wat het moet doen
• Bevindingen: afwijkingen, observaties en sterke punten, elk met bewijs
• Afspraken: wat er met elke afwijking gebeurt, door wie en wanneer
• Beperkingen: wat je niet hebt kunnen controleren, bijvoorbeeld door een steekproef of afwezigheid

Hoe formuleer je een bevinding?

Een bevinding bestaat uit vier delen die je steeds in dezelfde volgorde noteert. Het feit: wat zag of las je, met aantallen en periode. Het bewijs: welk document, register of gesprek laat dat zien. Het criterium: waarmee vergelijk je het, zoals een eigen procedure, een klanteis of een wettelijke eis. Het effect: wat betekent de afwijking voor klant, veiligheid of beheersing.

Schrijf zo precies dat een ander de controle kan herhalen. "De orderbevestiging ontbrak bij 3 van de 10 gecontroleerde orders" is bruikbaar, "de administratie is niet op orde" is een mening. Noem functies of processen in plaats van namen: het gaat om het systeem, niet om schuld.

Schrijf in de bevinding de oplossing niet voor. De auditor stelt vast wat er afwijkt, de proceseigenaar bedenkt hoe het wordt opgelost. Zo blijft de maatregel van de afdeling zelf en past hij beter bij hoe het werk echt verloopt.

Hoe bepaal je de ernst van een bevinding?

Kies een eenvoudige schaal en gebruik die elke keer hetzelfde. Veel organisaties werken met sterk punt, observatie, kleine afwijking en grote afwijking. De classificatie bepaalt hoe snel en hoe zwaar de opvolging is, dus een vaste maatstaf voorkomt discussie achteraf.

Laat auditors hun rapporten af en toe naast elkaar leggen, zodat dezelfde situatie niet bij de een klein en bij de ander groot wordt genoemd. Gecontroleerden merken zo'n verschil snel en verliezen dan vertrouwen in de uitkomst. Hulpvragen om de klasse te bepalen:

• Is het een eenmalige fout of een structureel gat in het systeem?
• Raakt het klant, veiligheid, milieu of een wettelijke eis?
• Is het eerder gezien, bij een vorige audit of in een klacht?
• Hoeveel van de steekproef wijkt af, en hoe groot was die steekproef?

Een voorbeeldbevinding uitgewerkt

Stel dat je het inkoopproces van een installatiebedrijf auditeert. Feit: bij 4 van de 12 gecontroleerde bestellingen van het afgelopen kwartaal was de ontvangstcontrole niet ingevuld. Bewijs: de ontvangstformulieren van die bestellingen en het gesprek met de magazijnmedewerker. Criterium: de eigen procedure voor inkoop en ontvangst.

Effect: materiaal is mogelijk zonder controle gebruikt, waardoor een gebrek pas bij de klant opvalt. Klasse: kleine afwijking, omdat de overige bestellingen wel zijn gecontroleerd. Afspraak: de magazijnleider neemt de controle op in de ontvangstbon en toetst dit over twee maanden met tien nieuwe bestellingen.

Vergeet de sterke punten niet

Een rapport met alleen afwijkingen voelt als een afrekening en zet de gecontroleerden in de verdediging. Noem daarom ook wat goed gaat, met hetzelfde soort bewijs: "Alle tien gecontroleerde werkinstructies waren actueel en lagen bij de machine." Zo weet de afdeling wat ze moet behouden, en kunnen andere afdelingen ervan leren.

Wees wel eerlijk. Forceer geen compliment om een harde conclusie te verzachten, want gecontroleerden voelen dat aan. Een sterk punt hoort net zo goed onderbouwd te zijn als een afwijking, met een feit, bewijs en een criterium.

Veelgemaakte fouten in een auditrapport

De meeste rapporten die weinig opleveren, mislukken op dezelfde punten. Het zijn zelden grote inhoudelijke fouten, maar kleine gewoontes die het rapport minder bruikbaar maken. Loop deze lijst langs voordat je het rapport verstuurt.

• Meningen en gissingen in plaats van feiten en bewijs
• Bevindingen zonder criterium, waardoor niemand weet waar de eis vandaan komt
• Vage actiepunten zoals "meer aandacht voor" zonder eigenaar of datum
• Een rapport van twintig pagina's zonder samenvatting
• Verrassingen: de gecontroleerde ziet de bevinding voor het eerst in het eindrapport

Wat gebeurt er na het rapport?

Bespreek het concept met de gecontroleerde voordat je het definitief maakt. Zo corrigeer je feitelijke fouten en ontstaat draagvlak voor de acties. Leg daarna per afwijking een eigenaar, een maatregel en een deadline vast, en verstuur het rapport binnen de termijn die je in het auditprogramma hebt afgesproken.

Een afwijking sluit je pas als de maatregel is uitgevoerd en het effect is gecontroleerd. Neem dezelfde punten bij de volgende audit opnieuw mee. Vat de uitkomsten van het jaar samen voor de directiebeoordeling: welke thema's keren terug, welke acties lopen achter en wat besluit de directie?

Zo ondersteunt BrydgeOne dit

In de module Audits plan je interne audits en leg je bevindingen vast. De maatregelen volg je op in Acties, zodat elke afwijking een eigenaar en een deadline houdt. De Auditklaar-check laat per onderdeel van de norm zien wat er nog ontbreekt, en de Directiebeoordeling stelt de managementreview samen uit live data.