Iedereen praat over data, aldus Pieter de Kok, maar het is tijd om ook iets te gaan doen.

Discussie Column 02 februari 2022

Data Praat

We kunnen over van alles praten. Thuis praten we over The Voice, mijn kinderen hebben hierover veel vragen. We praten nog steeds over Covid19, maar vooral over de onrust die dat veroorzaakt op school. Drie weken vrij en na drie dagen les iedereen weer naar huis gestuurd, na de zoveelste klasuitbraak. Wel schoolonderzoeken en toetsen. De schoolstress.
We praten ook over Rusland en Oekraïne, over leiders die anno 2022 nog steeds op het wereldtoneel kunnen acteren en de macht hebben om duizenden mensenlevens te verwoesten.

Op kantoor praten we eigenlijk over exact dezelfde thema's, tijdens de lunchpauzes, (weer) terug bij het koffiezetapparaat en gedurende de Teams-sessies. We praten ook over data.
Een tijdje terug hadden we aantal mensen van de NBA op kantoor. Ging ook over data. Over welke ontwikkelingen er rondom data in de audit zijn. We praten met hogescholen over data en hoe data robuuster, meer significant, onderdeel moet worden van de opleiding. We praten met softwarepartijen over data. We praten met elkaar, als team over data. Iedereen praat over data. Ik praat ook met collega-kantoren over data.

Ik hoor en lees regelmatig dat er partijen zijn die de 'audit' opnieuw gaan uitvinden, daarmee nu bezig schijnen te zijn, met een 'schone lei' omdat er steeds meer data is. Omdat er techniek is. Omdat? Data Praat.
Wij zijn in 2021 een werkgroepje Machine Learning (ML) in de audit begonnen. Data-analisten uit mijn team, verrijkt met een nieuwe data scientist-collega, bewapend met forse ambitie, uren en budget voor licenties en trainingen.

Er zijn twee uitkomsten mogelijk: Er komt helemaal niets uit, omdat we ML (en in de hype slipstream dan ook maar AI) volstrekt niet nodig hebben om toereikende, waardevolle assurance af te geven, of er komt waanzinnig veel uit.
Als er waanzinnig veel uit komt, dan moet het in termen zijn van nieuwe auditinzichten. Dan praten we feitelijk over 'betere' assurance. Effectiever, efficiënter, waardevoller.
Dan zien we straks in het werkveld betere beschrijvende analyses (wat is er gebeurd in de transactiebak?), betere diagnostische bevindingen (waarom is er een afwijking, wat is er gebeurd), betere voorspellende bevindingen (wat gaat er gebeuren; continuïteit).

Afgaande op het enthousiasme van iedereen met wie we praten, denk ik echter dat het vooral in mijn deel van de sector bij Data Praat blijft. Ik verwacht dat de miljard(en) onderzoeksbudgetten van de big four (USA, Canada, China, India) op het gebied van ML/AI wel iets gaan opleveren. De paar ton van Coney Minds is dan een druppel, stelt weinig voor. In de rest van de sector is er geen bereidheid om echt te investeren.
Daar blijft 'data praat' vooral praat over bestaande technieken van data-analyse, process mining en data-visualisatie. En eerlijk is eerlijk, ook in het nu, in het heden, bij ons, bij anderen, hoe gedreven de ambities ook zijn: écht succesvol aan de slag gaan met bestaande technieken is (en blijft) een hele worsteling.

Niet alleen op de inhoud, maar ook rondom thema's als onboarding van nieuwe mensen, kennisdeling en behoud van data-analisten voor de accountancy. Mensen willen best data-analyse leren, maar niet per se in de accountancysector.

Ik voorzie nog talloze discussies (met de AFM, nu het toezicht is overgedragen en 'breder' en 'dieper' wordt) over de vraag of process mining daadwerkelijk assurance is voor de beoordeling effectiviteit interne beheersing binnen de COS. (Ik zie alleen maar process mining in dossiers vanuit 'Understand The Process'.) Over hoeveel klassieke steekproeven, deelwaarnemingen en data-point testing we eerst moeten doen, voordat we een dataset durven te gebruiken in de audit. Nog even en dan is die dataset zo klassiek platgeslagen, dat er geen data praat meer nodig is. En zo is er nog een groot aantal vraagstukken.

Er is ook goed nieuws. Jarenlang was het mantra "Bij geen effectieve ITGC's, kunnen we niets met data". In de tientallen workshops en trainingen die ik heb gegeven was dat de dooddoener, voordat ik ook maar was gestart. Alsof we in afgelopen dertig jaar ook enig echt belang/assurance aan ITGC - als onderdeel van interne beheersing raamwerk - hebben toegekend. Duizenden goedkeurende controleverklaringen zijn afgegeven zonder ook maar één effectieve beoordeling/toets van ITGC's. ITGC Praat.

Er is ook ander goed nieuws over dit onderwerp: Er is daadwerkelijk beweging in het denken en durven 'los te laten'.
Data praat. Laten we ook iets (nieuws) gaat doen. Wil je meedenken over ML in de audit/interne beheersing: Ik zoek verbinding. Wellicht komen we vooruit en ontstaat er iets moois, denk aan een zelflerend algoritme voor 'huis, tuin en keuken' fraudedetectie. Niet opschrijven wat we hebben besproken (Fraude Praat), maar iets doen.