Interne Audit

Interne audit bij UGent

De universiteit is verplicht om een systeem van risicobeheer, controle en corporate governance te hebben. Als onderdeel hiervan verschaft interne audit redelijke zekerheid aan de Raad van Bestuur en het management dat

• risico's worden geïdentificeerd en beheerst
• financiële, bestuurlijke en operationele informatie accuraat, betrouwbaar en tijdig is
• activiteiten in overeenstemming zijn met beleid en procedures en toepasselijke wet- en regelgeving.

Het algemene doel van interne audit is om waarde toe te voegen en de activiteiten van de universiteit te verbeteren.

Interne audit heeft een auditcharter dat werd goedgekeurd door de Raad van Bestuur. Het doel van het auditcharter is het vastleggen van de reikwijdte, verantwoordelijkheden en autoriteit van de interne auditfunctie binnen de universiteit. Het definieert de missie, basisprincipes, doelstellingen, taken en verantwoordelijkheden van het auditcomité en de interne auditdienst. Het charter fungeert als een leidraad voor de zowel de interne auditoren als voor de organisatie als geheel, en zorgt voor duidelijkheid en begrip omtrent interne audit. 

Lees het auditcharter

Wettelijke basis

Volgens het besluit van de Vlaamse Regering van 9 oktober 2015 het zijn de bestuursorganen verantwoordelijk voor de risicoanalyse en het risicomanagement van de universiteit. Het kan daartoe beroep doen op een systeem van interne controle en interne audit.

De evaluatie van het door de instelling gevoerde risicomanagement is een opdracht van de regeringscommissaris, in overleg met de externe controleactoren en het Rekenhof., zoals voorzien in art. IV.96. van de Codex Hoger Onderwijs. 

Al in 2011 besliste de Raad van Bestuur om een dienst interne audit op te richten.

Reikwijdte

De universiteit met al haar activiteiten, haar wettelijke entiteiten en de samenwerkingsverbanden die het aangaat vallen binnen de reikwijdte van interne audit. 

Interne audit evalueert nooit personen; wel activiteiten, processen en de organisatie van de universiteit.

Het UZ Gent heeft een eigen interne auditfunctie met een eigen exclusief audituniversum of werkterrein.

(Meer)jarenplan

De risico's van de universiteit worden in kaart gebracht en regelmatig bijgewerkt in een meerjarenplan. Op basis daarvan wordt een auditjaarplan opgesteld met een voldoende spreiding van opdrachten over de te auditeren activiteiten en entiteiten. Dit wordt goedgekeurd door de Raad van Bestuur.

De dienst voert daarnaast ook opvolgingsaudits, ad hoc en consultancy-opdrachten uit.

Audit proces

Een volledige auditcyclus bestaat uit de volgende stappen:

• planning en voorbereiding
• uitvoering van de audit (opstartvergadering, analyse van documenten en processen, interviews met belanghebbenden, …)
• rapportering van de audit (met bevindingen, aanbevelingen) aan de belanghebbenden, het Auditcomité, het Bestuurscollege en uiteindelijk de Raad van Bestuur
• opvolging van de actieplannen

Kwaliteitsbewaking

Na elke audit volgt een tevredenheidsmeting bij de geauditeerden. Driejaarlijks wordt een zelfevaluatie uitgevoerd onder de leden van het Auditcomité. Om de vijf jaar wordt de interne auditdienst extern geauditeerd. De volgende externe evaluatie is gepland voor 2026.

In de conclusies van de externe audit wordt bevestigd dat de dienst Interne Audit werkt volgens de standaarden en goede praktijken van het Instituut van Interne Auditoren (IIA), de Global Internal Audit Standards.

Risicobeheer via Three Lines Model

Het risicobeheer is gebaseerd op een model met drie verdedigingslinies:

1. Eerstelijnsrollen situeren zich in de operationele eenheid zelf door risicobewustzijn en relevante controles;
2. Tweedelijnsrollen worden waargenomen door specialisten die het management ondersteunen zoals
   • risicomanager
   • financial controller
   • data privacy officer
   • milieucoördinator
   • preventie-adviseur
   • IT security officer;
3. De derdelijnsrol wordt uitgevoerd door interne audit.

Samenwerking en single audit

Interne audit werkt samen met de tweedelijnsrollen.

• Omdat het werkterrein van interne audit zo uitgebreid is wordt ook soms een beroep gedaan op externe auditoren.
• Er wordt ook samengewerkt met externe controle-actoren zoals het Rekenhof, de bedrijfsrevisor, de regeringscommissaris en het departement financiën en begroting. Deze stemmen hun werkzaamheden op elkaar af, wisselen ervaringen en informatie uit en bouwen daarop voort, met respect voor elkaars opdrachten en bevoegdheden. Dit noemt men single audit.

Organisatiestructuur

De interne audit (het Auditcomité en de dienst interne audit) is een staffunctie van de Raad van Bestuur, waardoor de onafhankelijkheid van de functie verzekerd wordt.

Auditcomité

Het Auditcomité telt 5 leden, waarvan drie leden uit de Raad van Bestuur en twee externe leden zonder binding met de universiteit. De leden zijn door de Raad van Bestuur aangesteld voor een periode van 4 jaar.

Dienst interne audit

De dienst interne audit bestaat uit 3 interne auditoren, allen werknemers van UGent.

Vertrouwelijkheid

Het uitgangspunt is dat alle verkregen informatie als vertrouwelijk wordt behandeld. Auditrapporten zijn steeds vertrouwelijk.

De interne auditoren en de leden van het Auditcomité hebben discretieplicht en zijn onderhevig aan de ethische code van het Instituut van Interne Auditoren (zie domein 2 van de Global Internal Audit Standards).

Verwerking van persoonsgegevens

Persoonsgegevens kunnen worden verwerkt in het kader van audits (bv. de registratie van wie een interview werd afgenomen) of gerelateerde activiteiten (bv. de identificatie van de aanwezigen in een verslag van een auditcomité). Dit gebeurt steeds overeenkomstig het EU-recht voor gegevensbescherming Verordening (EU) 2016/679 en op basis van het gerechtvaardigd belang van de UGent.  

Indien nodig gebeurt het verzamelen van persoonsgegevens door de (interne) auditoren onder het gezag van het auditcomité en steeds met een specifiek doel binnen de assurance- en advieswerkzaamheden van de Interne Audit. Het doel van die verwerking kan onder meer zijn het identificeren, koppelen, beoordelen, registreren, bewaren van relevante informatie. 

Interne audit neemt op fysiek, technisch en organisatorisch vlak gepaste maatregelen om een veiligheidsniveau te garanderen dat aangepast is aan de risico’s. Het uitgangspunt is dat verzamelde persoonsgegevens enkel worden bewaard binnen de dienst Interne Audit. Op ‘need to know’-basis voor de rapportering naar het Auditcomité en de bestuursorganen, en in het kader van het single audit overleg kan hiervan worden afgeweken. Wanneer wordt samengewerkt met externe partners wordt van hen verwacht dat ze het van toepassing zijnde UGent beleid vóór aanvang van de werkzaamheden onderschrijven. 

Identificatie- en contactgegevens (bv. naam en voornaam, e-mailadres, studentennummer), werk- of studentengegevens (bv. functietitel, functieklasse, tewerkstellingspercentage, studievoortgang), zakelijke gegevens (bv. BTW-nummer, firmanaam, IBAN-nummer), IT-gegevens (bv. IP-adres, identificatiecode toestel) zijn een niet-limitatieve opsomming van persoonsgegevens die kunnen worden verwerkt. 

Persoonsgegevens worden maximaal 15 jaar na de datum waarop de assurance- of advieswerkzaamheid volledig is beëindigd, gewist (bv. werkdocumenten van een audit), tenzij de verwerking kan gekaderd worden binnen de bestuurlijke en beleidsinformatie waarop andere bewaartermijnen van toepassing zijn (bv. een auditrapport wordt onbeperkt in de tijd bewaard) of wanneer dit langer nodig is met het oog op eventuele vervolgstappen of lopende procedures.

De UGent treedt op als verwerkingsverantwoordelijke. 

Lees meer over hoe de UGent omgaat met privacy.

Vragen over de verwerking van uw persoonsgegevens door Interne Audit kan u stellen via interneaudit@ugent.be. U kunt voor al uw vragen, opmerkingen en suggesties ook direct contact opnemen met de functionaris voor gegevensbescherming van de UGent via privacy@ugent.be.

Contact

Dienst Interne Audit
Campus Aula
Universiteitsstraat 8
9000 Gent
T 09 264 83 33
E interneaudit@UGent.be