Hoe slimmer AI wordt, hoe belangrijker de auditor wordt
Innes Rinkes (KPN) over AI, governance en het toenemende belang van menselijk oordeel naarmate de technologie intelligenter wordt.
AI vindt in hoog tempo zijn weg naar organisaties én naar auditafdelingen. Dat levert nieuwe risico’s op, maar ook een kans om het auditvak wezenlijk te versterken. Volgens drs. Innes Rinkes RA CIA ligt de kern niet in de vraag hoeveel werk AI kan overnemen. De belangrijkere vraag is of professionals AI zo kunnen gebruiken dat hun oordeel aantoonbaar beter, breder en evenwichtiger wordt.
Daarmee komen twee ontwikkelingen samen. Organisaties zijn bezig te leren om AI veilig en verantwoord in te kunnen zetten. Tegelijkertijd moet ook Internal Audit de technologie zelf nog leren gebruiken én daarnaast onafhankelijk beoordelen of de organisatie de AI-risico’s werkelijk beheerst. Juist die dubbele rol maakt professionele scepsis rond AI-beheersing belangrijker dan ooit.
In dit interview:
✔ Waarom de grootste AI-risico’s vaak niet in het model, maar in het gebruik ervan zitten
✔ Wanneer een organisatie aantoonbaar in control is over AI
✔ Hoe AI de rol van auditor verschuift van informatieverzamelaar naar professionele beoordelaar
✔ Waarom menselijk oordeel niet minder, maar juist méér waard wordt
De grootste blinde vlek is niet AI, maar ons vertrouwen erin
Bij AI-risico’s gaat de aandacht vaak eerst uit naar de techniek: welk model wordt gebruikt, waar staan de data en welke toepassing is wel of niet goedgekeurd? Dat zijn relevante vragen, maar volgens Rinkes ligt de fundamentelere kwetsbaarheid bij de mens en de governance rondom het gebruik.
“De technologie ontwikkelt zich snel, terwijl organisaties hun beleid, verantwoordelijkheden en beheersmaatregelen veel langzamer daarop kunnen aanpassen. Medewerkers gebruiken AI dan al volop, maar het eigenaarschap van de risico’s en de controlemaatregelen daarop is nog niet helder. AI wordt schaduwtechnologie: breed gebruikt, beperkt zichtbaar en zonder duidelijke verantwoordelijkheid.”
Daar komt automation bias bij. Een overtuigend geformuleerd antwoord krijgt al snel het voordeel van de twijfel, juist omdat de uitkomst objectief of intelligent lijkt. Maar AI kan fouten maken, bronnen verkeerd interpreteren, hallucineren en conclusies produceren die onvoldoende uitlegbaar zijn. Het werkelijke risico ontstaat wanneer gebruikers stoppen met zelf nadenken.
Bij traditionele IT-implementaties worden uitkomsten uitgebreid getest door gebruikers voordat een nieuwe release live gaat. Bij AI-toepassingen lijken gebruikers die controles vaak over te slaan. De druk om snel efficiëntie- en kostenvoordelen te realiseren versterkt dat risico.
Ook datakwaliteit blijft een basisvoorwaarde. Organisaties besteden vaak veel aandacht aan de selectie van een AI-tool, terwijl de kwaliteit, herkomst en consistentie van de onderliggende gegevens minder zichtbaar zijn. Als verschillende AI-processen op verschillende databronnen steunen of nieuwe gegevens genereren, kunnen binnen één organisatie meerdere versies van de werkelijkheid ontstaan.
“AI wordt een beheersingsrisico wanneer mensen de overtuigingskracht van de uitkomst verwarren met de betrouwbaarheid ervan.”
In control is een werkwoord
Een AI-policy, een lijst met goedgekeurde tools en een governance-board zijn nuttige bouwstenen. Ze bewijzen echter niet dat een organisatie in control is. Werkelijke beheersing blijkt uit de manier waarop AI-toepassingen worden gekozen, geprioriteerd, ontwikkeld, gebruikt, gemonitord en bijgestuurd.
Rinkes vat dit samen in drie samenhangende vragen.
1. Weten we waar en waarvoor AI wordt gebruikt?
Zonder actueel inzicht in toepassingen, modellen, gebruikers en processen is risicogebaseerde beheersing onmogelijk. Iedere ontwikkeling of implementatie zou daarom moeten beginnen met een helder doel, een businesscase, eigenaarschap, risicoafwegingen en de beoogde beheersmaatregelen. Dit om te voorkomen dat pas na ingebruikname duidelijk wordt dat de toepassing niet uitlegbaar, niet passend bij de bedrijfscultuur en waarden, of niet beheersbaar is. Heb je dit proces goed ingericht, dan kun je later juist versnellen in je ontwikkeling en implementatie.
2. Begrijpen we de risico’s in de gebruikscontext?
Niet iedere AI-toepassing vraagt hetzelfde niveau van controle. Een interne samenvatting met Copilot verschilt wezenlijk van AI die kredietbeslissingen, medische diagnoses of HR-besluiten ondersteunt. Het model alleen bepaalt het risico niet. Doel, context, gegevens, gebruikers en de invloed van de output op besluitvorming zijn minstens zo bepalend. In de EU AI Act is dat ook heel duidelijk zo vastgelegd.
3. Blijft menselijke verantwoordelijkheid betekenisvol?
Human oversight is meer dan een formele goedkeuring achteraf. De professional moet de uitkomst begrijpen, kunnen betwisten en daadwerkelijk kunnen afwijken. Als een medewerker slechts op “akkoord” klikt, terwijl het oordeel feitelijk al door het model is bepaald, bestaat er wel een menselijke handeling maar geen betekenisvolle menselijke controle.
“Werkelijk in control zijn betekent niet dat alle risico’s verdwijnen. Het betekent dat de organisatie weet welke risico’s zij neemt, deze continu volgt en kan aantonen hoe zij ingrijpt wanneer de toepassing of de context verandert.”
De praktische toets
Een organisatie is pas aantoonbaar in control als zij niet alleen kan laten zien wat het beleid voorschrijft, maar ook: welke AI in welke context wordt gebruikt, wie de eigenaar is, hoe risico’s zijn geclassificeerd, hoe outputs worden gevalideerd, hoe afwijkingen worden gemonitord en wie corrigerend kan optreden.
Verdieping: AI in Control | Voor accountants en auditors
Samen met drs. Vincent Wanders RA verzorgt Rinkes voor Sijthoff Accountants Academy de cursus AI in Control | Voor accountants en auditors. In één dag leer je hoe je AI-toepassingen verantwoord beoordeelt, data-integriteit bewaakt en met meer zekerheid adviseert over de betrouwbare inzet van AI binnen organisaties. Met praktische toepassingen, een concrete usecase en een bijdrage van gastspreker Karim Zemouri, Data Driven Auditor bij KPN.
AI verschuift audit van verzamelen naar oordelen
AI verandert Internal Audit vooral doordat het schaarse tijd vrijmaakt voor het deel van het vak dat niet eenvoudig te automatiseren is. Documentanalyse, risico-identificatie, steekproefselectie, procesbeschrijvingen, interviewsamenvattingen en eerste conceptteksten kunnen steeds sneller worden ondersteund. Daardoor verschuift de toegevoegde waarde van de auditor.
“Historisch besteedden auditors veel tijd aan het verzamelen en ordenen van informatie. AI kan een groot deel daarvan versnellen. De auditor van de toekomst besteedt daardoor minder tijd aan zoeken en meer tijd aan interpreteren, doorvragen en professioneel oordelen.”
Dat vraagt niet alleen om technische basiskennis, maar vooral om scherpere verwachtingen vooraf. Wat denk je als auditor aan te treffen? Welke informatie zou die verwachting bevestigen of juist ontkrachten? Welke bron is leidend? Waar wijkt de AI-analyse af van het bewijs? Door die vragen vóór de analyse expliciet te maken, wordt AI geen automatische conclusiemachine maar een instrument voor professioneel-kritische reflectie.
De auditor hoeft geen data scientist te worden. Wel moet hij of zij voldoende begrijpen van data, modellen, beperkingen, validatie en beheersmaatregelen om de betrouwbaarheid van een toepassing en haar uitkomsten te kunnen beoordelen. Wanneer is het met AI gevonden bewijs voldoende in relatie tot je auditdoelstelling?
“Hoe intelligenter de technologie wordt, hoe belangrijker menselijk oordeel, ethiek en onafhankelijk toezicht worden.”
De auditor wordt gebruiker én onafhankelijke beoordelaar
De nieuwe positie van Internal Audit is dubbel. Auditafdelingen zetten AI zelf in om grondiger en efficiënter te werken. Tegelijkertijd verwachten bestuurders en commissarissen onafhankelijke zekerheid over de vraag of AI verantwoord wordt ingezet, risico’s voldoende worden beheerst en besluiten uitlegbaar en verantwoordbaar blijven.
Die dubbele rol maakt eigen governance binnen de auditfunctie essentieel. Een auditafdeling kan moeilijk geloofwaardig assurance geven over AI als zij haar eigen toepassingen, databronnen, validatie en verantwoordelijkheden niet aantoonbaar ook zelf beheerst. Professionele scepsis geldt dus niet alleen voor de organisatie, maar ook voor de AI-output in het eigen auditproces.
Nieuwe regelgeving en normen vergroten de behoefte aan onafhankelijke beoordeling, maar de bijdrage van Internal Audit gaat verder dan compliance. De auditor kan toetsen of beleid in de praktijk werkt, of eigenaarschap werkelijk wordt genomen en of menselijke controle meer is dan een vinkje in het proces.
AI maakt het oordeel breder en evenwichtiger
Rinkes merkt in zijn eigen werk dat AI niet alleen snelheid toevoegt. De technologie maakt het mogelijk om grotere gegevenspopulaties te analyseren, verbanden eerder te zien en alternatieve verklaringen te onderzoeken. Daarmee kan audit completer en grondiger worden.
Een tweede effect is minstens zo belangrijk: AI kan de natuurlijke zoekrichting van de auditor corrigeren. Auditors zijn getraind om afwijkingen en tekortkomingen te vinden. Een brede analyse laat ook zien wat aantoonbaar goed gaat. Daardoor ontstaat een evenwichtiger oordeel, mits de auditor de analyse valideert en niet automatisch overneemt.
De grootste verrassing is volgens Rinkes echter de ontwikkeling van AI als sparringpartner. “AI helpt mij niet alleen om sneller tot tekst of analyses te komen. Het kan mijn aannames uitdagen, tegenargumenten formuleren en perspectieven aanreiken die ik zelf nog niet had overwogen. Daardoor stel ik betere vragen.”
De kern van het vak blijft menselijk
AI begrijpt context niet zoals mensen dat doen. Het heeft geen verantwoordelijkheidsgevoel, geen ethisch kompas en geen professionele moed. Het kan informatie combineren en patronen herkennen, maar niet zelfstandig bepalen welk belang in een concrete situatie zwaarder moet wegen of welke onzekerheid bestuurlijk aanvaardbaar is.
Daar ligt de blijvende waarde van de auditor: belangen wegen, nuances herkennen, onzekerheid benoemen, verantwoordelijkheid nemen en een onafhankelijk oordeel vormen. De toekomst van audit ligt daarom niet in een keuze tussen menselijke expertise en kunstmatige intelligentie, maar in een beheerste combinatie van beide.
“AI zal het auditwerk fundamenteel veranderen, maar het vervangt niet de kern van ons vak. Uiteindelijk blijft vertrouwen gebaseerd op menselijk oordeel.”
Lees ook: Vincent Wanders RA over AI-onderzoek in de accountancy: ‘Maak er geen paniekreactie van’
Over drs. Innes Rinkes RA CIA
Innes Rinkes is Audit Manager bij KPN en actief op het snijvlak van internal audit, governance, technologische innovatie en interne beheersing. Daarnaast is hij lid van de Taskforce AI Kwaliteitsborging van het NBA, voorzitter van de Professional Practice Group Fraude van het Institute of Internal Auditors en tevens actief als quality assessor en docent permanente educatie. Lees meer over zijn expertise en cursussen.
Verdieping: AI in Control | Voor accountants en auditors
Samen met drs. Vincent Wanders RA verzorgt Rinkes voor Sijthoff Accountants Academy de cursus AI in Control | Voor accountants en auditors. In één dag leer je hoe je AI-toepassingen verantwoord beoordeelt, data-integriteit bewaakt en met meer zekerheid adviseert over de betrouwbare inzet van AI binnen organisaties. Met praktische toepassingen, een concrete usecase en een bijdrage van gastspreker Karim Zemouri, Data Driven Auditor bij KPN.