De interne dijkbewaking van waterschappen

Ook als PDF te downloaden

De toegevoegde waarde van het ‘three lines’ model voor waterschappen

Voor veel waterschappen was 2025 het eerste ‘echte’ jaar waarin het dagelijks bestuur zelf verantwoording aflegde over de rechtmatigheid. Dat leverde een opvallend beeld op. Bij diverse waterschappen lagen de fouten en onzekerheden boven de verantwoordingsgrens. Bij ruim de helft van de waterschappen zat het bruto bedrag op meer dan driekwart van de grens of eroverheen. En de oorzaak is bijna overal dezelfde: inkoop en contractbeheer. Met dit artikel willen we waterschappen die worstelen met het beheersen van de bedrijfsvoering de helpende hand bieden vanuit ons vakgebied.

Three lines of defence

Het ‘three lines of defence’ model kwam begin deze eeuw in opkomst als denkmodel voor de inrichting van de interne beheersing (AO/IC) van organisaties. Eén jaar na de oprichting van InAudit publiceerde het internationale IIA dit model, waarna het snel brede opvolging kreeg als dé standaard voor de inrichting van risicobeheersing. Het model onderkende de volgende verdedigingslinies:

• 1e lijn - Operationeel management (primair verantwoordelijk voor de eigen procesbeheersing)
• 2e lijn - Risicomanagement (ook: compliance en andere controlfuncties)
• 3e lijn - Interne audit

Het model werd al snel gezaghebbend en is inmiddels in veel auditcharters en in Europese richtlijnen voor de financiële sector terug te vinden.

Three lines

Hoewel het ‘three lines of defence’ model (“3LoD”) snel werd geaccepteerd en geïmplementeerd, gaf het ook enig ongemak en soms reden voor ‘landjepik’, ‘terugtrekken achter de dijken’ en andere discussies over de afbakening. In december 2013 schreef (emeritus) professor Leen Paape in MCA Management Control & Accounting hierover een interessante column, waarin hij pleitte om wel ‘totaalvoetbal’ te blijven spelen met de drie linies. In 2020 verving het IIA het 3LoD-model door het ‘Three lines’ model, met als doel meer nadruk te leggen op governance, samenwerking en het realiseren van de organisatiedoelstellingen.

Daarmee wordt ook de dijkanalogie interessanter. In het nieuwe model is de interne auditfunctie niet zozeer de dromer: de laatste dijk die pas nat wordt als alles al is misgegaan. Ze lijkt eerder op de dijkbewaking en de periodieke beoordeling van de keringen. Niet de laatste barrière dus, maar het onafhankelijke oog dat de zwakke plekken ziet voordat het water komt. Waterschappen weten als geen ander hoe waardevol dat is.

Wij denken dan ook dat het ‘three lines’ model een toegevoegde waarde kan hebben voor waterschappen.

De interne beheersing van waterschappen

We hebben recent de jaarverslagen 2025 van alle 21 waterschappen bestudeerd. Daarbij hebben we ons vooral gericht op de vraag of we al iets van een ‘three lines’ model terugzien in de huidige governance. Dat is veelal niet het geval. Het model wordt een enkele keer genoemd als beoogd groeimodel, maar er blijkt een behoorlijke diversiteit te bestaan in de manier waarop de interne beheersing wordt vormgegeven. Een kanttekening is wel op zijn plaats: we baseren ons op wat de waterschappen zelf in hun jaarverslag schrijven. Wat daar niet in staat, kan in de praktijk best bestaan.

Inkoop als structurele zwakke plek

Het duidelijkste signaal komt uit de rechtmatigheidsverantwoording. De fouten zijn bij veel waterschappen opvallend gelijksoortig: contracten die na de einddatum stilzwijgend doorlopen, overschrijding van de geraamde opdrachtwaarde, raamcontracten waarvan de uitnutting niet wordt bijgehouden en enkelvoudig onderhands gunnen waar meervoudig of Europees aanbesteden had gemoeten. Vaak werken die fouten ook nog meerdere jaren door. Daarnaast ontstaat begrotingsonrechtmatigheid doordat het algemeen bestuur niet tijdig wordt geïnformeerd over overschrijdingen.

De inkoop is bij veel waterschappen decentraal belegd: budgethouders kopen zelf in, contractbeheer is niet centraal georganiseerd en de systemen schieten tekort. De verbijzonderde interne controle (“VIC”) vangt dan achteraf op wat in de eerste lijn niet wordt geborgd. In termen van onze dijken: de slaper staat voortdurend onder water, omdat de waker lekt.

Risicomanagement is veelal een proces, maar geen centrale functie

Risicomanagement komt in alle jaarverslagen voor als verplichte paragraaf (‘weerstandsvermogen en risicomanagement’). Vrijwel alle jaarverslagen bevatten daarin een lange lijst met zeer relevante risico’s: cyberaanvallen, uitval van gemalen en zuiveringen, netcongestie, PFAS, krapte op de arbeidsmarkt. De risico’s worden meestal netjes gekwantificeerd, vaak met een Monte Carlo-simulatie, en getoetst aan het weerstandsvermogen. Dat is bij de meeste waterschappen ruim.

Het financiële plaatje is daarmee goed afgedekt. Maar of de beheersmaatregelen achter die risico’s ook echt werken, komt in de jaarverslagen veelal niet duidelijk naar voren. Dat geldt vooral voor de niet-financiële risico’s, zoals cyber, assets, uitvoeringskracht en integriteit. Sommige waterschappen schrijven dat ook eerlijk op: risicomanagement ‘krijgt steeds meer vorm’, of de risico-inschatting is ‘gebaseerd op subjectieve aannames’. In sommige jaarverslagen zien we dat er een coördinator risicomanagement is aangesteld, al dan niet voor een project. De CISO-functie zien we als het gaat om informatiebeveiliging wat vaker terug. Een integrale risicomanagementfunctie, die overkoepelend monitort en rapporteert aan de directie, zien we in de jaarverslagen evenwel nauwelijks terug. Wel blijkt uit sommige verslagen dat concerncontrol deze taak oppakt: interne controle aansturen, risico’s bewaken. Omdat concerncontrol veelal primair een financiële functie vervult, is het niet vreemd dat het risicomanagement vooral financieel is gericht, terwijl de doelstellingen en de risico’s van een waterschap veel breder zijn.

De derde lijn ontbreekt grotendeels en assurance is versnipperd

In de jaarverslagen wordt soms wel gesproken over een ‘derde lijn’. Bij vijf waterschappen vervult concerncontrol een soort quasi-derdelijnsrol, en een enkel waterschap noemt de ‘verbijzonderde interne controle’ (“VIC”) zelf de derde lijn. Maar dezelfde functie combineert dan vaak adviseren, de regie op de VIC, doelmatigheidsonderzoek en soms zelfs beleidseigenaarschap. Dat staat op gespannen voet met onafhankelijkheid. En een VIC is een financieel-procesmatige controle op rechtmatigheid, geen risicogebaseerde audit van de organisatie. In andere jaarverslagen wordt het ‘three lines’ model genoemd als uitgangspunt of ambitie, maar als het dan gaat om de invulling, dan wordt het beeld troebel. Een zelfstandige interne auditfunctie volgens de standaarden van het IIA zijn we in geen enkel jaarverslag tegengekomen.

Bij de waterschappen is er evenwel geen tekort aan assurance en toezicht. Naast de externe accountant en de rekenkamer zijn er doelmatigheidsonderzoeken op grond van artikel 109a van de Waterschapswet en een reeks sectorale audits. Bij één waterschap liepen in één jaar een BIO/AVG-audit, een peer review zorgplicht, een audit op archiefbeheer, een WPG-audit, ENSIA, een 109a-onderzoek naar projectbeheersing en drie rekenkameronderzoeken. Dat gebeurde zonder overkoepelende auditfunctie of auditcommissie, en dus waarschijnlijk grotendeels los van elkaar. Niemand geeft het bestuur dan één samenhangend beeld van wat goed werkt, wat niet, en of aanbevelingen ook echt worden opgevolgd.

De business case voor een onafhankelijke IAF

In het ‘three lines’ model staat de interne auditfunctie (“IAF”) los van de eerste en tweede lijn en rapporteert zij aan het hoogste toezichthoudende orgaan. Bij financiële instellingen is zo’n functie zelfs wettelijk verplicht. Bij een waterschap ligt het voor de hand dat de IAF rapporteert aan het algemeen bestuur, bijvoorbeeld via een auditcommissie. Dat is meer dan een formaliteit. Het dagelijks bestuur legt sinds kort zelf verantwoording af over de rechtmatigheid. Het algemeen bestuur moet die verantwoording beoordelen, maar heeft daarvoor nauwelijks onafhankelijke informatie. Ongeveer de helft van de jaarverslagen noemt een auditcommissie, maar een auditcommissie zonder interne auditfunctie is afhankelijk van de accountant en het management. Er is dan niemand die de commissie onafhankelijk voedt.

Een IAF begint bij het in beeld brengen van een audit universe, met alle belangrijke organisatieonderdelen en bedrijfsprocessen. Op basis van een risico-inschatting wordt de frequentie van de audits bepaald. Een belangrijke meerwaarde van de IAF is dat zij overzicht heeft over de gehele organisatie. Op de jaarkalender staan dan ook niet-financiële onderwerpen zoals contractmanagement, projectbeheersing, de beheersing van ketenrisico’s en informatiebeveiliging. Met de introductie van het ‘three lines’ model hoeft een nog beperkt ingerichte risicomanagementfunctie ook geen issue te zijn. Naar analogie van het totaalvoetbal kan de verdediging het middenveld wel ondersteunen. Wel met één spelregel: adviseren mag, de taken van het middenveld overnemen niet. Een IAF die zelf de VIC uitvoert of eigenaar wordt van beleid, verliest haar onafhankelijkheid, en daarmee haar waarde.

De waterschappen beheren gezamenlijk investeringsprogramma’s van honderden miljoenen per jaar. De afgelopen jaren zijn de lasten voor burgers aanzienlijk gestegen vanwege de uitdagingen waar waterschappen voor staan. Een beperkte verbetering in de realisatie of in de beheersing van contractwaarden weegt dan snel op tegen de kosten van een auditfunctie. Bovendien waren de inkoopproblemen bij een aantal waterschappen al uit eerdere jaren bekend. Een IAF had die eerder en preventief kunnen agenderen. Ook het maatschappelijk draagvlak voor de lastenstijging hangt af van aantoonbaar goed beheer.

Daarnaast hebben de waterschappen te maken met nieuwe wettelijke eisen (denk aan de Cyberbeveiligingswet, milieu- en omgevingswetten, etc.). De Cyberbeveiligingswet maakt cyberrisicobeheer bovendien expliciet een verantwoordelijkheid van het bestuur. De IAF kan door middel van audits of reviews inzicht geven in de voortgang, vóórdat de toezichthouder komt kijken.

Geen extra dijk, maar betere dijkbewaking

Een terechte vraag is of een IAF niet gewoon nóg een controlelaag is. Eén waterschap schrijft in zijn jaarverslag dat ‘aantoonbaar betrouwbaar zijn’ steeds meer werk oplevert. Dat signaal nemen we serieus. Een goed ingerichte IAF stapelt daarom geen assurance, maar bundelt die. Zij stemt haar agenda af met die van de accountant en de rekenkamer, programmeert de 109a-onderzoeken en houdt één overzicht bij van alle aanbevelingen en de opvolging daarvan. Als de accountant kan steunen op het werk van de IAF, kan dat zelfs controlewerk schelen. Zo wordt de bestaande inspanning effectiever, in plaats van groter.

Het bemensen van de IAF

Toegegeven, het vinden van geschikte mensen met de juiste auditkwalificaties is lastig. Daar weten we alles van. En veel waterschappen hebben tussen de 300 en 700 fte, wat voor een volwaardige eigen IAF met voldoende specialistische kennis al snel aan de kleine kant is. Maar er zijn meerdere mogelijkheden om een interne auditfunctie in te vullen of op te starten: Zie tabel 1 in de pdf.

Voor een eigen IAF moet je al snel denken aan een team van ten minste drie personen: een manager en twee seniors met ieder eigen competenties (bijvoorbeeld op IT, de opkomst van AI of juist het assetmanagement van het waterschap).

We zien ook vaak dat interne medewerkers met een eigen set aan kennis en ervaring doorgroeien naar een interne auditfunctie. Het is wel belangrijk dat de audit manager is opgeleid als CIA, RO, RE of RA, om invulling te kunnen geven aan de professionele beroepsstandaarden en een goede gesprekspartner te kunnen zijn.

Uitbesteding van de IAF

Als InAudit hebben we ons bedrijfsmodel ingericht op de uitbesteding van de interne auditfunctie. Vooral voor kleinere organisaties is het vaak prettig om ontzorgd te worden voor wat betreft de auditfunctie, maar wel te kunnen steunen op een professionele aanpak, ervaren mensen en een frisse blik van buiten. Wij bieden continuïteit en zijn gespecialiseerd in een proportionele aanpak, zodat de kosten niet eens zoveel hoger hoeven te zijn dan die van een intern aangetrokken professional. Ook zijn we bij klanten betrokken in de vorm van co-sourcing en gedeelde diensten.

In de jaarverslagen zien we terug dat veel waterschappen worstelen met de beschikbare capaciteit als het gaat om het verder professionaliseren van de interne beheersing. Bij één waterschap bleven de uren voor interne controle bijna een kwart achter bij de begroting, door vacatures en verloop. Elders werden aanbevelingen van de rekenkamer niet doorgevoerd door gebrek aan capaciteit. Als partner van het IIA, enthousiast en deskundig op het gebied van interne beheersing, zijn we graag bereid om u te helpen!

Samen de dijken versterken

De risico’s waarmee de waterschappen te maken hebben, zijn voor een groot deel gedeeld: cyber, de uitval van kritische assets, netcongestie, PFAS, de KRW-deadline van 2027 en de afhankelijkheid van gezamenlijke organisaties zoals Het Waterschapshuis en de belastingsamenwerkingen. Waterschappen werken al op veel terreinen samen, van gezamenlijke aanbestedingen tot een gezamenlijke rekenkamer. Waarom dan niet ook bij de interne audit door samen te werken met InAudit?

Wij gaan daarover graag het gesprek aan, met de waterschappen zelf en met het IIA. InAudit voor een nog betere dijkbewaking! Kom 27 oktober naar de Dag van het Waterschap & Internal Audit: een inspirerend netwerk‑ én learning experience speciaal voor internal auditors binnen de waterschappen.

Meer informatie over dit event