Een risico-gestuurde aanpak bij interne audits, zoals gehanteerd door Borger & Burghouts, begint met het inzichtelijk maken van de eisen of het wettelijk kader dat op de organisatie van toepassing is. Hierdoor wordt de audit gericht op relevante vereisten, processen en installaties. Samen met de opdrachtgever wordt de auditfrequentie bepaald, waarbij de focus ligt op risicovolle bedrijfsactiviteiten. Dit zorgt voor efficiënte inzet van middelen en een duidelijk beeld van de nalevingsstatus, waardoor de organisatie concreet kan werken aan het minimaliseren van risico’s en het verbeteren van compliance.
Een risico-gestuurde aanpak bij een interne audit, zoals gehanteerd door Borger & Burghouts, begint met het inzichtelijk maken van managementsysteem. Een uitgangspunt kan hiervan het interne auditprogramma zijn. Mocht deze er nog niet zijn dan moet deze nog worden opgesteld.
Bij het inzichtelijk maken van het managementsysteem wordt er gekeken naar welke relevante vereisten er zijn, processen, installaties, etc. Samen met de opdrachtgever wordt bepaald wat de risicovolle bedrijfsactiviteiten zijn. Denk hierbij aan onderdelen waar afgelopen periode non-conformities met de externe audit zijn gevallen, processen/onderdelen die zijn veranderd of nieuw zijn of onderdelen waar veel medewerkers zijn gewisseld. Hier kunnen om verschillende redenen risico’s liggen en heeft het de voorkeur om ge-audit te worden. Door zo te kijken naar bedrijfsactiviteiten worden de middelen efficiënt ingezet en ontstaat er een duidelijk beeld wat de actuele nalevingsstatus is. Hierdoor kan de organisatie concreet werken aan het minimaliseren van de risico’s en een verbeteringscyclus kan ingaan. Op deze manier wordt de PDCA-cyclus gewaarborgd.