Certificeringen die ooit eens in de vijf jaar werden bijgewerkt, moeten in het AI-tijdperk vrijwel continu mee. ISACA-CEO Erik Prusch legt uit hoe de audit- en securitykoepel zichzelf opnieuw uitvindt, en waarom hij denkt dat de mens er belangrijker van wordt, niet overbodig.
De dynamiek die Erik Prusch als CEO van ISACA het meest bezighoudt aan de mensenkant, is snelheid. Waar certificeringen vroeger om de vijf jaar werden geactualiseerd, is dat ritme vandaag onhoudbaar. Updates moeten frequenter komen om mensen gekwalificeerd te houden voor het werk dat ze doen.
Dat heeft gevolgen voor het hele leermodel. Het volstaat niet langer om vier of vijf maanden te studeren, een examen te halen en jezelf klaar te verklaren, op wat doorlopende bijscholing na. Er moeten nieuwe disciplines en nieuwe leervormen bij: een webinar van een uur, een korte bijscholingscursus, andere manieren om kennis over te dragen op het tempo waarop de leden ze kunnen opnemen. Het anker zelf verandert volgens Prusch niet.
“Certificeringen blijven op dit moment de enige manier om aantoonbaar te bewijzen dat iemand de vereiste kennis bezit. Wat verandert, is de methode en de hoeveelheid tijd die nodig is.”
Drie nieuwe AI-certificeringen
Concreet vertaalt zich dat in drie nieuwe AI-certificeringen, opgehangen aan de domeinen die de organisatie al decennia bedient. Er is AAIA voor auditprofessionals, AAISM voor security management, en AAIR voor risk management.
Prusch benadrukt dat ze een aanvulling zijn, geen vervanging van de bestaande titels. Ze bouwen voort op gevestigde waarden als CISA, CISM en CISSP, zodat wie die al heeft, met de AI-laag verder kan.
De redenering erachter is dat de drempel laag moet blijven. Hoe kleiner de investering die nodig is om iemand vaardig te maken, hoe meer het werk in zekere zin gedemocratiseerd wordt. “Meer mensen kunnen dan meedoen, op een moment dat het talenttekort in de sector nijpend blijft.”
Het raamwerk als referentie
Voor Prusch is het onderliggende kader wat al die beweging bij elkaar houdt. “Zonder een basiskader zou niemand kunnen navigeren en weet je nooit waar het noorden ligt. Het kader geeft de verschillende domeinen aan die je moet aftikken, en stelt hen in staat om met vertrouwen de diepte in te gaan, in de wetenschap dat de aanpak zich over de jaren heeft bewezen. De fundamenten veranderen niet zo snel, de invulling wel.”
Honderdduizenden ogen die wereldwijd, en in real time, signaleren wat er verandert in het dreigingslandschap.
Erik Prusch, CEO ISACA
Wat ISACA daarbij onderscheidt, is volgens hem de schaal waarop het zijn producten bouwt. De organisatie telt ruim 195.000 leden, verspreid over 190 landen, en die leden bouwen vrijwillig mee aan de producten. “Honderdduizenden ogen die wereldwijd, en in real time, signaleren wat er verandert in het dreigingslandschap. Dat materiaal wordt verwerkt in de producten en weer terug gedeeld.”
AI als gereedschap én als auditobject
Een belangrijke nuance in zijn verhaal is dat AI niet alleen het object van controle is, maar ook het gereedschap. Vroeger werkte de auditpraktijk met steekproeven; via technologie kunnen die steekproeven nu groter, frequenter en vollediger worden in wat ze testen. Het inzetten van AI in de eigen praktijk is voor Prusch even belangrijk als het auditeren van AI zelf.
Dat is meteen zijn antwoord op de angst dat AI de auditor overbodig maakt. “De jobs zullen veranderen, erkent hij, omdat professionals AI gaan inbouwen in hun dagelijkse werk. De impact wordt net groter, omdat ze verder reikt.” Het is, in zijn woorden, een opwindende tijd om in dit vak te zitten.
Breder talent, andere mindsets
De democratisering heeft ook gevolgen voor wie de sector binnenkomt. De auditor kwam vroeger via een vrij vast spoor binnen. Nu moet dat breder, omdat de gevraagde vaardigheden over allerlei domeinen heen moeten kunnen reiken die vroeger niet samenkwamen. Het hoeft niet langer puur een wiskundige of informaticaprofiel te zijn.
Dat vindt Prusch net een boeiende ontwikkeling. “Andere mindsets brengen andere oplossingen, en andere vooronderstellingen over wat er moet gebeuren. Ik verwacht dat de organisatie daardoor ook haar eigen denken zal bijstellen. Het beroep wordt breder geworven, en dat is volgens mij eerder een kans dan een verlies.”
Tredmolen of echte vooruitgang?
Hier past een kritische kanttekening. Permanente hercertificering is logisch gezien het tempo van de technologie, maar het is ook precies het verdienmodel van een certificeringsorganisatie. Professionals die naar eigen zeggen ‘vijf of zeven credentials’ dragen, investeren nu al veel tijd om ‘op de rand’ te blijven. De vraag is gewettigd of een model van continue updates op termijn houdbaar is voor de individuele professional, of dat het neerkomt op een tredmolen met een risico op credential-inflatie.
Prusch: “De job wordt niet eenvoudiger, maar complexer. Audit is in dertig jaar nooit makkelijker geworden, alleen maar ingewikkelder. Bijscholing is geen administratieve last, maar de enige manier om het werk uitvoerbaar te houden.” Of dat de individuele professional ook tegen uitputting beschermt, liet het gesprek open.
De job wordt niet eenvoudiger, maar complexer. Audit is in dertig jaar nooit makkelijker geworden, alleen maar ingewikkelder.
Erik Prusch, CEO ISACA
Van de rekenmachine naar de volgende renaissance
Prusch sluit af met een anekdote die de afstand mooi illustreert. Toen hij in 1988 aan zijn eerste auditjob begon, kreeg hij een rekenmachine met een papierrol toegewezen. “Je vaardigheid werd afgemeten aan de vraag of je kon typen zonder naar de toetsen te kijken. Een fout betekende dat je opnieuw moest beginnen, want een wisknop was er niet.”
“Van daar, via Lotus Notes en Excel, naar AI die anticipeert op wat gedaan moet worden. Om maar te zwijgen over kwantum als mogelijke volgende halte.”
De echte test van het AI-tijdperk is, zo bekeken, niet of de technologie het tempo kan bijbenen. Het is of het beroep het tempo kan volgen zonder de professional uit te putten of de waarde van een credential uit te hollen. Prusch wedt op het eerste. De komende jaren zullen uitwijzen of dat optimisme terecht is.