Moet AI in het kwaliteitsmanagementsysteem dat de NVKM van uw kantoor vraagt? Het korte antwoord: ja, zodra uw kantoor AI gebruikt bij assurance- of samenstelopdrachten of bij het beheer van het kwaliteitssysteem zelf. De NVKM noemt AI nergens, maar de standaard waarnaar ze verwijst, SKM1, vraagt u als kwaliteitsdoelstelling vast te leggen dat passende technologische middelen worden verkregen, geïmplementeerd, onderhouden en gebruikt (paragraaf 32, onder f). Een AI-tool is zo'n middel.
Kantoren zonder vergunning voor wettelijke controles moeten uiterlijk vanaf 1 januari 2027 aan de Nadere voorschriften kwaliteitsmanagement voldoen; tot die datum mogen ze de oude NVKS blijven toepassen (artikel 6 NVKM). Voor reguliere vergunninghouders liep die overgangstermijn op 1 januari 2026 af. OOB-kantoren werken er sinds 1 januari 2025 mee. Wie nu de risicomatrix opzet, kan de AI-tools van het kantoor er direct in opnemen. Datzelfde overzicht gebruikt u daarna voor de AI Act en de AVG.
Waar de NVKM de eisen neerlegt
De NVKM zelf is een korte regeling van tien artikelen. Artikel 5 wijst de standaarden aan waarin de eisen staan: SKM1 voor het kwaliteitsmanagementsysteem van het kantoor, SKM2 voor de opdrachtgerichte kwaliteitsbeoordeling en SKM3N met aanvullende Nederlandse bepalingen. SKM1 is de Nederlandse vertaling van de internationale standaard ISQM 1. De versie die de NVKM aanwijst, staat in de Staatscourant van 31 december 2025. Zoekt u een vindplaats, dan zoekt u dus in SKM1.
Volgens paragraaf 6 van SKM1 bestaat het systeem uit acht componenten, van governance en leiding tot het monitoring- en herstelproces. Het risico-inschattingsproces stuurt de rest. U stelt kwaliteitsdoelstellingen vast, identificeert de risico's die het bereiken ervan in de weg staan en ontwerpt daar maatregelen tegen (paragraaf 23 tot en met 26). Een verlicht regime zoals in de NVKS kent de NVKM niet. Ze is wel schaalbaar: een vereiste die door de aard van uw kantoor of uw opdrachten irrelevant is, hoeft u niet toe te passen (paragraaf 17).
Waar AI in de acht componenten landt
SKM1 is technologieneutraal: de standaard spreekt over technologische middelen in het algemeen. Vier onderdelen worden toch direct relevant zodra een medewerker een AI-tool gebruikt.
Risico-inschatting
Par. 25-27Bij het identificeren van kwaliteitsrisico's betrekt u de middelen van het kantoor, ook die van serviceproviders. Ook de geldende wet- en regelgeving telt mee (paragraaf 25, onder a). Een nieuwe AI-tool is een verandering waarop uw beleid moet reageren (paragraaf 27).
Technologische middelen
Par. 32(f)Passende technologische middelen worden verkregen, geïmplementeerd, onderhouden en gebruikt. De toelichting noemt uitdrukkelijk de IT-toepassingen die opdrachtteams direct gebruiken bij de uitvoering van opdrachten (A99).
Serviceproviders
Par. 32(h)Een serviceprovider is een persoon of organisatie buiten het kantoor die een middel levert voor het kwaliteitssysteem of voor opdrachten (paragraaf 16, onder v). Een commerciële IT-toepassing staat als voorbeeld in de toelichting, met de toevoeging dat het kantoor zelf verantwoordelijk blijft (A105).
Monitoring en evaluatie
Par. 35-38 en 53Het monitoring- en herstelproces gaat na of de maatregelen werken (paragraaf 35 tot en met 38). De eindverantwoordelijke evalueert het systeem ten minste jaarlijks (paragraaf 53).
De toelichting bij paragraaf 32 gaat nog een stap verder. Een kantoor kan beleid vaststellen voor het gebruik van technologische middelen. Daarin legt het bijvoorbeeld de kwalificaties of de training vast die iemand nodig heeft voor een IT-toepassing die gegevens analyseert (A104). Daar passen een AI-beleid en een AI-training in het kwaliteitssysteem.
De NBA en NOREA leggen die verbinding zelf ook. Volgens hun leidraad AI Toegepast van juni 2026 valideert de accountantsorganisatie de AI-toepassingen die de externe accountant in de controle gebruikt mede in het kader van de NVKM.
Kwaliteitsrisico's die AI aan uw risicomatrix toevoegt
Een risicomatrix wordt pas bruikbaar als de risico's concreet zijn. Deze vier komen bij AI vaak terug, elk met de maatregel die er gewoonlijk bij hoort.
Een onjuist antwoord dat overtuigend klinkt
Een taalmodel noemt een bedrag, een fiscale regel of een uitspraak die niet bestaat. Die belandt ongecontroleerd in een samenstelopdracht of een controledossier. De maatregel is een vaste controlestap op de output, plus vastleggen wie het resultaat heeft getoetst.
Cliëntgegevens in een publieke tool
Een medewerker plakt een grootboek of een loonstrook in een gratis chatbot. Dat raakt de geheimhoudingsplicht uit artikel 16 VGBA. Die valt onder de relevante ethische voorschriften, waar SKM1 een eigen component voor heeft. Werk met een lijst toegestane tools en een zakelijk account met verwerkersovereenkomst.
Een leverancier die het model wijzigt
De tool die u vorig jaar beoordeelde, draait inmiddels op een ander model of verwerkt gegevens op een andere locatie. Bekijk de voorwaarden per tool op een vast moment per jaar opnieuw.
Gebruik dat niemand heeft gemeld
AI-functies in een boekhoudpakket of in Microsoft 365 gaan aan zonder dat iemand ze als middel heeft beoordeeld. Een register waarin elke tool een eigenaar heeft, maakt dat zichtbaar.
Wat de AI Act en de AVG aan dezelfde inventarisatie toevoegen
Paragraaf 25 vraagt u de geldende wet- en regelgeving mee te nemen in de risico-inschatting. Voor AI zijn dat vooral de AI Act en de AVG. Beide vragen grotendeels naar gegevens die u voor de NVKM al verzamelt: welke tool, van welke leverancier, waarvoor, met welke gegevens en onder wiens toezicht.
AI ActSinds 2 februari 2025 neemt elk kantoor dat AI gebruikt maatregelen voor de AI-geletterdheid van zijn medewerkers (Artikel 4). Dat sluit aan op de training waar SKM1 in A104 naar verwijst. Een chatbot richting cliënten moet sinds 2 augustus 2026 melden dat het AI is; die plicht ligt bij de aanbieder van de chatbot (Artikel 50, lid 1). De zwaardere plichten voor gebruiksverantwoordelijken uit Artikel 26 gelden alleen voor hoog-risico-AI. Voor de systemen uit Bijlage III gaan ze pas op 2 december 2027 in. AI in de controle-, samenstel- en adviespraktijk valt daar in de regel buiten. Waarom, leest u in is AI in de accountancy hoog-risico. De uitzondering zit in uw eigen bedrijfsvoering: AI die sollicitanten beoordeelt of filtert, valt onder Bijlage III, punt 4, onder a.
AVGVerwerkt een AI-tool persoonsgegevens van cliënten of medewerkers, dan is de leverancier meestal verwerker en sluit u een verwerkersovereenkomst (artikel 28 AVG). De verwerking hoort in uw verwerkingsregister (artikel 30 AVG); hoe dat zich verhoudt tot een AI-register, staat in moet een AI-systeem in het verwerkingsregister staan. Levert de verwerking waarschijnlijk een hoog risico op voor de mensen om wie het gaat, dan voert u eerst een DPIA uit (artikel 35 AVG). De afweging staat in wanneer een DPIA verplicht is.
Doet uw kantoor wettelijke controles, dan komt er een laag bij. De AFM beschreef in december 2025 wat zij verwacht van beheerst gebruik van audit-tooling, in twaalf bouwstenen. Voor het vertrouwelijkheidsvraagstuk rond ChatGPT en Copilot is er een apart stuk over AI-beleid op een accountantskantoor.
Stappenplan voor kleine kantoren vóór 1 januari 2027
Het NBA-stappenplan van 5 maart 2026 richt zich op kantoren met maximaal vijf accountants die geen wettelijke controles uitvoeren en geen deel uitmaken van een netwerk. Voor die kantoren is dit een werkbare volgorde om AI mee te nemen.
Inventariseer de AI-tools
Leg per tool vast wie hem gebruikt, waarvoor, welke gegevens erin gaan en wie de leverancier is. Neem ook de AI-functies in pakketten mee die u al jaren gebruikt.
Neem ze op in de risico-inschatting
SKM1 par. 25Koppel elke tool aan de kwaliteitsdoelstellingen die hij raakt, zoals opdrachtuitvoering, ethische voorschriften of middelen. Benoem per tool de kwaliteitsrisico's.
Kies de maatregelen
SKM1 par. 26Een AI-beleid met de toegestane tools, een controlestap op de output, verwerkersovereenkomsten en een training voor wie de tools gebruikt.
Leg de wettelijke toets vast
AI Act art. 4, AVG art. 35Noteer per tool of de AI Act of de AVG iets extra vraagt, zoals AI-geletterdheid of een DPIA. Bij een chatbot voor cliënten controleert u of de leverancier de AI-melding regelt.
Evalueer jaarlijks
SKM1 par. 53Neem de AI-tools mee in de monitoring en de jaarlijkse evaluatie. Werk het overzicht bij zodra een tool verandert.
Hoe u de jaarlijkse evaluatie onderbouwt
Bij de evaluatie komt de eindverantwoordelijke tot een conclusie, bijvoorbeeld dat het systeem een redelijke mate van zekerheid geeft dat de doelstellingen van het kwaliteitsmanagementsysteem worden bereikt (paragraaf 54). Voor AI betekent dat: u kunt laten zien welke tools er waren, welke risico's u zag, welke maatregelen u nam en of die werkten.
Drie stukken maken dat concreet: een actueel overzicht van de AI-tools met eigenaar en leverancier, het AI-beleid met de datum van de laatste herziening en een lijst van wie welke training heeft gevolgd. Datzelfde dossier legt u voor als een cliënt, een verzekeraar of een kwaliteitstoetser ernaar vraagt.
Veelgestelde vragen
Staat AI in de NVKM?
Nee, niet bij naam. SKM1 is technologieneutraal. AI valt onder de technologische middelen van paragraaf 32, onder f. Een externe AI-tool hoort daarnaast bij de middelen van serviceproviders (paragraaf 32, onder h). Gebruikt uw kantoor AI bij assurance- of samenstelopdrachten, dan hoort het in uw risico-inschatting.
Geldt de NVKM ook voor een klein samenstelkantoor?
Ja, uiterlijk vanaf 1 januari 2027. Kantoren zonder Wta-vergunning mogen de NVKS tot die datum blijven toepassen, als hun kwaliteitssysteem voldeed aan de eisen die tot en met 2024 golden (artikel 6 lid 2 NVKM). Een verlicht regime is er niet, maar de eisen zijn schaalbaar naar de aard en omstandigheden van uw kantoor en uw opdrachten (SKM1 paragraaf 17).
Is een AI-leverancier een serviceprovider onder SKM1?
Ja, als zijn tool wordt gebruikt in het kwaliteitssysteem of bij opdrachten. SKM1 noemt een commerciële IT-toepassing als voorbeeld van een middel van een serviceprovider (A105). U blijft zelf verantwoordelijk voor uw kwaliteitssysteem, dus u beoordeelt of de tool geschikt is (paragraaf 32, onder h).
Telt de AI Act mee in de risico-inschatting voor de NVKM?
Ja. Paragraaf 25 van SKM1 vraagt u bij het identificeren van kwaliteitsrisico's de geldende wet- en regelgeving te betrekken. Daar hoort de AI Act bij zodra uw kantoor AI gebruikt. De lat ligt voor accountancy-AI meestal laag: AI-geletterdheid (Artikel 4) geldt altijd, de hoog-risicoplichten zelden.
Moet ik een DPIA doen voor AI op mijn kantoor?
Nee, niet standaard. Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de mensen van wie u gegevens verwerkt (artikel 35 AVG). Een AI-schrijfhulp zonder cliëntgegevens haalt die drempel zelden. Analyseert een tool op grote schaal financiële gegevens van particulieren, dan maakt u de afweging wel.
Eén overzicht voor de NVKM, de AI Act en de AVG
De drie kaders beginnen bij dezelfde vraag: welke AI-tools gebruikt uw kantoor, van wie komen ze en wie let erop. Met dat overzicht staat het AI-deel van uw risicomatrix er grotendeels vóór 1 januari 2027.
In het AI-register van AIComplianceHub legt u per tool de leverancier en het gebruik vast. Met een gratis account registreert u vijf systemen, vaak genoeg voor de AI-tools van een klein kantoor; een eigenaar per tool toewijzen kan in een betaald pakket.