Audit-tooling en AI: kunt u aantonen dat u het beheerst?

Bijna elk accountantskantoor werkt intensief met audit-tooling. Data-analyse op het grootboek, DataSnipper voor het aansluiten van documenten, tools die steekproeven trekken, en steeds vaker generatieve AI: Copilot in Word, een chatbot die een memo samenvat. Dat zijn goede hulpbronnen bij de controle. De AFM zegt het zelf ook: geavanceerde tools verbeteren de kwaliteit van de controle.

Maar de vraag verschuift. Het gaat niet meer om óf u tools gebruikt, maar om de vraag die een toezichthouder of vergunninghouder stelt: kunt u aantonen dat u ze beheerst?

Wat de AFM verwacht

In december 2025 publiceerde de AFM haar verkennend onderzoek naar audit-tooling bij elf kantoren met een reguliere vergunning, twee oob-accountantsorganisaties en acht leveranciers. Daaruit kwamen 12 bouwstenen voor beheerst gebruik van audit-tooling, gegroepeerd in vier randvoorwaarden:

1. Risicomanagement en beheersing op orde: een raamwerk voor informatiebeveiliging, geformaliseerd beleid voor tooling, en monitoring van het effect op de controlekwaliteit.
2. Input-data zijn relevant en betrouwbaar: IT-werkzaamheden bij de cliënt, aansluiting van data op de administratie, en een vastgelegd ETL-proces.
3. De tool wordt beheerst geïmplementeerd: kennis die meegroeit, tooling die is ingebed in controlestrategie en controleplan, en uitkomsten die goed worden opgevolgd.
4. (Gen)AI wordt beheerst toegepast: veilige inzet met grip op data, uitkomsten die verifieerbaar of reproduceerbaar zijn, en een externe accountant die eindverantwoordelijk blijft.

Die laatste drie zijn de kern voor AI. Een model dat bij dezelfde vraag twee verschillende antwoorden geeft, levert pas controle-informatie op als iemand het resultaat kan natrekken. En “de tool zei het” is geen onderbouwing in een dossier.

De AFM kondigde aan dat zij in 2026 de inzet van audit-tooling bij controleopdrachten daadwerkelijk gaat toetsen. Wat in 2025 een verkenning was, wordt dus toezicht.

SKM1 maakt het onderdeel van uw kwaliteitsmanagement

Daarnaast is er de Standaard voor Kwaliteitsmanagement 1 (SKM1). Kantoren met een reguliere vergunning moesten die per 1 januari 2026 in opzet hebben ingericht, voor overige kantoren geldt 1 januari 2027 (SRA).

SKM1 is risicogericht: u bepaalt zelf welke kwaliteitsrisico’s er zijn en welke maatregelen daarop antwoorden. Technologische middelen, serviceproviders en monitoring zijn daarin expliciete onderdelen. Wie audit-tooling en AI gebruikt, moet die dus ook in het kwaliteitsmanagementsysteem terugzien: als risico, met een maatregel, een eigenaar en monitoring.

En de AI Act

Tot slot de Europese AI Act. Twee artikelen raken elk kantoor dat AI gebruikt:

• Artikel 4, AI-geletterdheid (sinds 2 februari 2025): u neemt maatregelen zodat medewerkers die met AI werken voldoende begrijpen wat ze doen. De Digital Omnibus heeft dit in 2026 verduidelijkt: het gaat om passende maatregelen, niet om een gegarandeerd niveau per persoon. Maar maatregelen moeten er wel zijn.
• Artikel 50, transparantie (sinds 2 augustus 2026): regels over het kenbaar maken van AI-interactie en door AI gegenereerde inhoud.

Ook de AFM verwacht dat het beleid voor AI deze eisen meeneemt.

Waar het in de praktijk wringt

Wie deze drie kaders naast elkaar legt, ziet dat de lastige vragen vaak niet technisch zijn. Een paar die vaak blijven liggen:

• Welke tools gebruiken we eigenlijk? De audit-software staat in het beleid, maar Copilot, een vertaaltool of een chatbot die medewerkers zelf gebruiken vaak niet.
• Wie is verantwoordelijk? Voor de inkoop is het geregeld, voor de werking en de updates van een tool soms niet.
• Klopt het dossier met het beleid? Een beleid dat zegt dat uitkomsten worden getoetst, is pas iets waard als die toetsing in het dossier terug te vinden is.
• Wat doet de leverancier met onze data? Contracten met leveranciers van AI-tools zijn niet altijd op die vraag beoordeeld.

Geen van deze vragen is onoplosbaar. Maar je moet ze eerst zien.

De AI in Control quick scan

Daarvoor heb ik de AI in Control quick scan ontwikkeld. De scan beantwoordt één vraag: kan het kantoor aantonen dat het audit-tooling en AI beheerst inzet, en zo niet, wat ontbreekt er en wat moet eerst?

De scan toetst aan 28 eisen uit de AFM-bouwstenen, SKM1 en de AI Act. Uw kantoor beantwoordt per eis gerichte vragen: met tekst, door te dicteren, of door beleidsstukken en contracten toe te voegen. Liever vertellen dan invullen kan ook: u beschrijft hoe een controle met uw tools verloopt, en de scan verdeelt dat verhaal over de eisen. Voor de bouwstenen die op opdrachtniveau spelen, nemen we samen twee of drie afgeronde dossiers door.

De scan doet per eis een voorstel voor status, gap en prioriteit. Dat voorstel telt pas mee als ik het als registeraccountant heb beoordeeld en geparafeerd. Precies wat de AFM van u vraagt bij AI: de mens blijft eindverantwoordelijk.

U krijgt een overzicht van alle eisen met status en prioriteit, per gap een onderbouwing met verwijzing naar uw eigen antwoorden en documenten, en een maatregelplan met eigenaar en datum. Bruikbaar richting uw vergunninghouder en bij een toetsing.

De scan is geen assurance-opdracht en geeft geen oordeel over individuele controledossiers. Hij laat zien waar uw kwaliteitsmanagementsysteem voor tooling en AI tekortschiet, zodat u gericht kunt verbeteren.

Drie vragen om morgen te stellen

Ook zonder scan kunt u beginnen. Stel in uw volgende kwaliteitsoverleg deze drie vragen:

1. Hebben we een volledige lijst van alle tools en AI die op kantoor worden gebruikt, ook buiten de controle?
2. Kunnen we voor één afgerond dossier laten zien hoe de uitkomsten van een tool zijn getoetst?
3. Wie is bij ons eindverantwoordelijk voor tooling en AI, en weet die persoon dat?

Twijfelt u bij een van de drie? Dan is dit een goed moment om te kijken waar u staat. Bekijk de demo of neem contact op.