AI en de NVKM: zo past AI-gebruik in je kwaliteitssysteem

Op 1 januari 2027 vervalt het overgangsrecht van de NVKM. Vanaf die datum werkt ook het kantoor zonder Wta-vergunning, en dus de typische samenstelpraktijk, met een kwaliteitssysteem volgens de Nadere voorschriften kwaliteitsmanagement. Dat maakt 2026 het implementatiejaar: het jaar waarin doelstellingen, risico's en beheersingsmaatregelen op papier moeten komen.

Tegelijk klopt AI op de deur van diezelfde praktijk. Veel kantoren vragen zich af of ze dat nu al in hun kwaliteitssysteem moeten regelen. Het antwoord is ja. Het goede nieuws: AI-gebruik past verrassend netjes in de systematiek die je toch al aan het bouwen bent.

Wat er op 1 januari 2027 moet staan

De NVKM vervangt de NVKS en brengt de internationale ISQM-aanpak naar elk kantoor. De kern: je stelt kwaliteitsdoelstellingen vast, je identificeert en schat kwaliteitsrisico's in, je zet beheersingsmaatregelen op en je monitort het geheel, met herstelmaatregelen waar nodig. Daar komt een jaarlijkse evaluatie van de effectiviteit bij; de eerste volgt na afloop van het boekjaar waarin je systeem draait.

Een verlicht regime voor kleine kantoren is er niet meer, maar het systeem is wel schaalbaar. Je houdt rekening met de aard en omvang van je kantoor en je opdrachten. Een samenstelkantoor hoeft niets te beschrijven over assurance, en de NBA benadrukt dat je geen software hoeft aan te schaffen: uitwerken in Word of Excel volstaat. Begin bij je kernrisico's in plaats van tachtig risico's op te schrijven.

Voor kleine kantoren publiceerde de NBA in maart 2026 bovendien een stappenplan met acht stappen, van projectleider aanwijzen tot monitoring inrichten. Wie in de tweede helft van 2026 begint, heeft dus een concreet spoorboekje.

Geef AI een plek in dezelfde systematiek

Sinds juni 2026 ligt er een duidelijk antwoord op de vraag óf AI in je kwaliteitssysteem thuishoort. In hun gezamenlijke leidraad over AI-toepassing schrijven NBA en NOREA dat een accountantsorganisatie de vereisten aan AI-gebruik moet opnemen in het kwaliteitsbeheersingssysteem, met voor elke AI-toepassing een expliciete risicoanalyse.

In NVKM-termen is dat vertrouwd terrein. AI-tooling valt onder de component middelen, en je doorloopt dezelfde route als voor elk ander middel: wat wil ik ermee bereiken, wat kan er misgaan, welke maatregel zet ik daartegenover? De leidraad benoemt de risico's die je in elk geval afdekt: een black box die je niet kunt verantwoorden, AI-output die op zichzelf als controle-informatie wordt gebruikt, en cliëntdata die in de gratis versies van publieke chatbots belandt.

Wij vinden dat je AI daarmee niet als bedreiging hoeft te behandelen. Een risico dat je benoemt, inschat en afdekt is precies wat de NVKM van je vraagt; het verschil tussen verantwoord en onverantwoord AI-gebruik zit niet in de technologie, maar in de vraag of je het beheerst. Houd daarnaast de EU AI-verordening in het vizier, die vanaf augustus 2027 grotendeels van kracht moet zijn. Wat die van kleinere organisaties vraagt lees je in ons artikel over de EU AI-verordening.

Van risico naar maatregel: dit leg je vast

Werk je met een AI-koppeling op je boekhoudpakket, dan schrijven de beheersingsmaatregelen zichzelf bijna.

Wie gebruikt de koppeling, en met welke rechten. Leg vast welke medewerkers toegang hebben en wat ze mogen. Bij Exact AI Connect stel je schrijfrechten per rol in, zet je medewerkers desgewenst op alleen-lezen en begrens je het aantal wijzigingen per dag. Hoe je dat inricht lees je in ons artikel over rechten instellen.

Een bevestigingsstap vóór elke wijziging. De AI voert nooit ongevraagd iets door: elke aanmaak of wijziging is eerst een voorstel dat een medewerker expliciet bevestigt. Dat is een beheersingsmaatregel zoals de NVKM die bedoelt, en hij zit in het systeem zelf in plaats van in een instructie die iemand kan vergeten.

Een leveranciersbeoordeling. Behandel de AI-koppeling zoals elke serviceorganisatie waarmee je werkt. Vraag naar ISO 27001-certificering en een onafhankelijke pentest; Exact AI Connect heeft beide. Vraag ook door op data-opslag. Bij Essentials wordt geen financiële data opgeslagen: elke vraag gaat rechtstreeks naar het boekhoudpakket. Bij Analytics draaien de grote analyses op een beveiligde kopie van de administratie binnen de EU, die verwijderd wordt zodra je stopt.

Vastlegging van het gebruik. De leidraad wil dat herleidbaar is hoe AI-uitkomsten zijn beoordeeld en gebruikt: welke prompts, welke verificatiestappen, welke conclusie. Begin praktisch, met een vaste set controlevragen die het kantoor heeft gevalideerd. Zo groeit vanzelf de promptcatalogus waar de leidraad om vraagt, en weet elke medewerker welke vragen binnen het beleid vallen.

Draai het om: AI als bondgenoot van je monitoring

Dezelfde leidraad beschrijft AI niet alleen als te beheersen risico, maar ook als hulpmiddel bij de kwaliteitsbeheersing zelf. AI mag dossierdocumentatie signaleren op inconsistenties en ontbrekende onderbouwing, zolang de toepassing alleen suggesties doet en niets zelfstandig aanpast. En het NBA-stappenplan benadrukt dat monitoring schaalbaar mag zijn, passend bij de omvang en risico's van je kantoor.

Daar komt een praktisch voordeel bij dat zelden wordt genoemd. AI-gebruik via een koppeling met vaste rechten en een bevestigingsstap is reproduceerbaar gedrag, en reproduceerbaar gedrag kun je beschrijven, toetsen en evalueren. Losse knip-en-plaksessies in een gratis chatbot kun je dat niet. Het kantoor dat zijn AI-gebruik kanaliseert, heeft bij de jaarlijkse evaluatie meer te laten zien met minder werk.

Voorbeeldprompts voor je promptcatalogus

Gevalideerde controlevragen zijn de eerste bouwsteen van beheerst AI-gebruik. Ze passen in vrijwel elk samensteldossier:

Staan er in deze administratie boekingen op de vraagpostenrekening?

Welke grootboekrekeningen wijken dit jaar meer dan 25 procent af van vorig jaar?

Welke debiteuren staan langer dan 60 dagen open?

Zet de aansluitcontroles voor het dossier op een rij: btw-rubrieken, tussenrekeningen, debiteuren/crediteuren-ouderdom.

Wil je het zelf proberen? Start gratis met Exact AI Connect →