De NVKM, voluit de Nadere voorschriften kwaliteitsmanagement, vervangt de NVKS als regeling voor het kwaliteitsmanagementsysteem van accountantskantoren. Voor kantoren zonder Wta-vergunning geldt de NVKM per 1 januari 2027, maar OOB-kantoren werken er sinds 2025 mee en reguliere Wta-vergunninghouders sinds 1 januari 2026. Een Wta-kantoor dat nog niet is begonnen, loopt dus al achter.
De kern van de nieuwe nadere voorschriften is geen dikker handboek. De NVKM vraagt een aantoonbare koppeling: per kwaliteitsdoelstelling een benoemd risico, een maatregel die dat risico afdekt en bewijs dat die maatregel werkt.
AI-gebruik past precies in die koppeling. Medewerkers die AI inzetten bij klantwerk brengen een kwaliteitsrisico binnen, en een vastgelegde werkwijze voor het controleren van AI-output is de beheersingsmaatregel die daarbij hoort.
Los daarvan loopt het PE-ontwikkelthema AI van de NBA, gericht op de individuele accountant in plaats van op het kantoor en gebaseerd op het principe pas toe of leg uit.
Wat is de NVKM?
De NVKM is de NBA-regeling die voorschrijft hoe een accountantskantoor zijn kwaliteitsmanagementsysteem inricht. De regeling vervangt de Nadere voorschriften kwaliteitssystemen (NVKS) en vertaalt de internationale standaard ISQM 1 naar de Nederlandse beroepsregels.
Onder de NVKM hangen drie standaarden. SKM 1 regelt wat een kantoor in zijn kwaliteitsmanagementsysteem opneemt, SKM 2 de opdrachtgerichte kwaliteitsbeoordeling en SKM 3N specifieke kantoorzaken zoals stemrechten, waarneming en verzekering.
Op 30 januari 2025 stelde het NBA-bestuur de NVKM, SKM 1 en SKM 3N vast. De publicatie in de Staatscourant volgde op 20 februari 2025.
Voor welke kantoren geldt de NVKM?
De NVKM geldt voor kantoren en accountants die assurance-opdrachten of aan assurance verwante opdrachten uitvoeren. Samenstellingsopdrachten vallen daaronder, dus een mkb-kantoor dat jaarrekeningen samenstelt, valt onder de regeling.
Een financieel adviseurs- of administratiekantoor zonder zulke opdrachten valt buiten de NVKM. Voor AI-gebruik gelden daar wel andere kaders, zoals de AVG en artikel 4 van de EU AI Act.
Binnen een NVKM-kantoor draagt een eindverantwoordelijke voor kwaliteitsmanagement de zorg voor het systeem. Een eindverantwoordelijke persoon is een accountant; een eindverantwoordelijk orgaan bestaat in meerderheid uit accountants.
Sinds wanneer geldt de NVKM voor jouw kantoor?
De NVKM geldt voor OOB-kantoren sinds 1 januari 2025, met terugwerkende kracht, voor reguliere Wta-vergunninghouders sinds 1 januari 2026 en voor alle overige kantoren per 1 januari 2027. Tot die data mochten kantoren via overgangsrecht de NVKS blijven toepassen.
Voor een Wta-kantoor is dat overgangsrecht verlopen. Werkt zo’n kantoor nog met een NVKS-handboek, dan voldoet het sinds 1 januari 2026 niet aan de regels. SKM 1 geldt dan voor het hele kantoor, inclusief de opdrachten buiten het wettelijk domein.
Voor kantoren zonder Wta-vergunning heeft de NBA een stappenplan NVKM 2027 opgezet, met een landelijk webinar in het eerste kwartaal en regionale workshops in het tweede en derde kwartaal van 2026.
Wat verandert er ten opzichte van de NVKS?
De NVKM verschuift een kantoor van kwaliteitsbeheersing naar kwaliteitsmanagement. Onder de NVKS volstond een stelsel van vaste procedures; onder de NVKM formuleert het kantoor zelf kwaliteitsdoelstellingen en de risico’s die het behalen ervan bedreigen.
SKM 1 deelt het kwaliteitsmanagementsysteem op in acht componenten:
- het risico-inschattingsproces van het kantoor
- governance en leiding
- relevante ethische voorschriften
- aanvaarding en continuering van cliëntrelaties en specifieke opdrachten
- opdrachtuitvoering
- middelen
- informatie en communicatie
- het monitoring- en herstelproces
Het verlichte regime van de NVKS bestaat onder de NVKM niet meer. SKM 1 is in plaats daarvan schaalbaar naar de aard en omstandigheden van zowel het kantoor als de opdrachten die het uitvoert.
Wat is onder de NVKM een koppeling tussen risico en maatregel?
Een aantoonbare koppeling tussen risico en maatregel betekent dat onder de NVKM bij elke kwaliteitsdoelstelling vastligt welk kwaliteitsrisico haar bedreigt, welke beheersingsmaatregel dat risico afdekt, wie die maatregel uitvoert en waar je dat terugziet. De regeling noemt zelf de volgorde: kwaliteitsdoelstellingen vaststellen, kwaliteitsrisico’s identificeren en inschatten, beheersingsmaatregelen opzetten en implementeren, en vervolgens monitoren, herstellen en evalueren.
Het verschil met een NVKS-handboek zit in de laatste schakel. Een handboek beschrijft wat er hoort te gebeuren; een koppeling laat zien dat het gebeurt en dat tekortkomingen tot herstel leiden.
Hoe werk je een kwaliteitsrisico uit volgens de NVKM?
Een kwaliteitsrisico werk je volgens de NVKM uit in vijf velden: doelstelling, risico, maatregel, bewijs en monitoring. De tabel hieronder toont een illustratief voorbeeld uit de component opdrachtuitvoering, voor een kantoor dat samenstellingsopdrachten uitvoert.
| Veld | Uitwerking |
|---|---|
| Kwaliteitsdoelstelling | Samenstellingsopdrachten worden uitgevoerd volgens de beroepsregels en de geldende standaard. |
| Kwaliteitsrisico | Onder deadlinedruk blijft een fout in de cijfers onopgemerkt voordat de samensteller tekent. |
| Beheersingsmaatregel | Een tweede medewerker beoordeelt het concept aan de hand van een vaste checklist vóór ondertekening. |
| Bewijs | Aftekening van de beoordelaar met naam en datum in het dossier. |
| Monitoring | Jaarlijkse dossiersteekproef door de eindverantwoordelijke; bevindingen leiden tot herstelmaatregelen. |
Elk veld is controleerbaar. Een reviewer kan de aftekening opvragen en de uitkomst van de steekproef naast de maatregel leggen.
Hoeveel NVKM-vastlegging past bij een klein kantoor?
Een klein kantoor legt onder de NVKM zoveel vast als nodig is om de koppeling te kunnen laten zien, en niet meer. SKM 1 laat de uitwerking afhangen van de aard en omstandigheden van het kantoor en zijn opdrachten, dus een kantoor met twee accountants en vooral samenstellingsopdrachten werkt minder onderwerpen uitgebreid uit dan een kantoor met controleopdrachten.
De NBA baseert de ondersteuning voor kleine kantoren op de Quality Management Series van IFAC, gericht op kantoren met één tot vijf accountants. Een risicomatrix met een beperkt aantal goed uitgewerkte risico’s toont meer aan dan een uitgebreid handboek dat in de kast blijft staan.
Waarom hoort AI-gebruik in het kwaliteitsmanagementsysteem?
AI-gebruik hoort onder de NVKM in het kwaliteitsmanagementsysteem, omdat een AI-tool een technologisch middel is dat medewerkers inzetten bij de opdrachtuitvoering. SKM 1 vraagt in de component middelen dat het kantoor zorgt voor de technologische en intellectuele middelen die nodig zijn om opdrachten uit te voeren, en dat die middelen juist worden gebruikt.
Een tweede raakvlak is de component relevante ethische voorschriften. Cliëntgegevens die in een AI-tool zonder passende afspraken belanden, raken de geheimhoudingsplicht uit de VGBA.
De toepassingen van AI voor accountants lopen uiteen van het samenvatten van stukken tot het opstellen van conceptteksten, maar onder de NVKM telt vooral hoe het kantoor dat gebruik beheerst. Beheer begint bij het gebruik dat er al is: medewerkers zetten AI vaak in zonder afspraak met het kantoor, een verschijnsel dat bekendstaat als shadow AI, en het kwaliteitsrisico bestaat dan ongeacht wat het beleid zegt.
Welke kwaliteitsrisico’s brengt AI-gebruik mee?
AI-gebruik brengt vier kwaliteitsrisico’s mee die in een NVKM-risicomatrix thuishoren:
- Verzonnen cijfers of verwijzingen: een taalmodel produceert een bedrag, wetsartikel of bron die plausibel klinkt maar niet bestaat.
- Cliëntgegevens buiten het kantoor: vertrouwelijke stukken belanden in een tool zonder verwerkersovereenkomst of met training op de invoer.
- Ongelijke werkwijze: elke medewerker gebruikt een eigen tool en eigen prompts, waardoor gelijke opdrachten een ongelijke kwaliteit krijgen.
- Niet-herleidbare output: prompt en bron zijn niet vastgelegd, dus achteraf valt niet aan te tonen waarop een tekst of berekening berust.
Verzonnen cijfers zijn het bekendste risico. Een AI hallucinatie ontstaat doordat een taalmodel het meest waarschijnlijke vervolg op een tekst genereert, niet het juiste. In de periode dat ik intensief met ChatGPT werkte, kwam ik consistent bronnen en cijfers tegen die bij verificatie niet bestonden.
Weeg per AI-risico kans en impact, zoals bij elk ander kwaliteitsrisico. Een conceptmail aan een cliënt heeft een ander risicoprofiel dan een toelichting bij de jaarrekening, en de controle beweegt daarop mee.
Hoe wordt controle op AI-output een beheersingsmaatregel?
Controle op AI-output wordt een beheersingsmaatregel in de zin van de NVKM zodra vastligt wie controleert, waartegen, op welk moment en waar het bewijs staat, en zodra het kantoor periodiek toetst of die controle werkt. Zonder die vastlegging blijft controle een goede gewoonte van individuele medewerkers.
Een gedocumenteerde werkwijze voor AI-output bevat vijf elementen:
- Bepaal per taak of AI is toegestaan, met welke tool en met welke gegevens, afgestemd op het risicoprofiel van die taak.
- Leg vast wie de output controleert en tegen welke bron, zoals de administratie, de wettekst of het dossier.
- Controleer AI-output met een hoog risicoprofiel vóór verzending aan de cliënt, door een ander dan degene die de prompt schreef.
- Documenteer in het dossier dat de controle is uitgevoerd, met naam van de controleur en datum.
- Evalueer jaarlijks met een steekproef of de controle werkt, en pas de werkwijze aan bij tekortkomingen.
Die werkwijze vult alle vijf velden uit de voorbeeldtabel: doelstelling, risico, maatregel, bewijs en monitoring. Uit mijn jaren bij grootbanken neem ik het four-eyes principe mee naar AI-werk: niets gaat de deur uit zonder tweede controle.
In mijn eigen workflow log ik prompts en outputs, zodat ik later kan herleiden wat er is gebeurd. Feitencheck op bronnen en cijfers is iets waar ik zelf scherper in kan worden, en ik zie veel professionals tegen dezelfde valkuil aanlopen. Juist die stap hoort daarom in een vastgelegde werkwijze, zodat de principes van verantwoord AI gebruik in een accountantskantoor een toetsbare vorm krijgen.
Wat hebben de PE-ontwikkelthema’s met de NVKM te maken?
De PE-ontwikkelthema’s hebben formeel niets met de NVKM te maken. De NVKM regelt het kwaliteitsmanagementsysteem van het kantoor, de permanente educatie de ontwikkeling van de individuele accountant.
Sinds 1 januari 2026 werkt de NBA met drie ontwikkelthema’s voor 2026 tot en met 2028: AI, DNA van de accountant en Risico’s. Een accountant kiest elk jaar per thema: pas toe, met leerdoelen in het PE-portfolio, of leg uit waarom niet. Volgens de NBA zijn de thema’s geen extra verplicht PE-onderwerp.
Het puntensysteem met door de NBA goedgekeurde cursussen verdween al in 2021, toen het portfoliosysteem voor alle accountants ging gelden. Sindsdien legt een accountant in het portfolio vast wat hij wil leren en hoe, in plaats van punten te verzamelen.
De twee sporen raken elkaar in de uitvoering. Een beheersingsmaatregel voor AI-output werkt alleen als medewerkers AI-output kunnen beoordelen, en een leerdoel daarover in het PE-portfolio ondersteunt precies die vaardigheid. Een derde, wettelijk spoor is AI-geletterdheid onder artikel 4 van de EU AI Act, sinds 27 juli 2026 een inspanningsverplichting om maatregelen te nemen die de AI-geletterdheid van medewerkers ondersteunen.
Waar begint AI-implementatie in een accountantskantoor?
AI-implementatie in een accountantskantoor begint met een inventarisatie van het AI-gebruik dat er al is, getoetst aan de kwaliteitsrisico’s die de NVKM vraagt te beheersen. Daarna volgt de vastgelegde werkwijze, en ten slotte de opname van die werkwijze in de monitoring van het kwaliteitsmanagementsysteem.
Een AI-nulmeting voor accountantskantoren van LearnLLM brengt die eerste stap in kaart: welke tools medewerkers gebruiken, met welke gegevens, en welk risicoprofiel dat per tool oplevert tegen de eigen kwaliteitsrisico’s en de geheimhoudingsplicht.
De AI-richtlijn, de promptbibliotheek en de controlepunten zelf ontstaan in een traject voor AI implementatie in de accountancy, afgestemd op de NBA-beroepsregels en opgezet om direct in het kwaliteitsmanagementsysteem te passen. Wie een kantoor zonder Wta-vergunning leidt, heeft tot 1 januari 2027 om de NVKM, het kwaliteitsmanagementsysteem en het AI-gebruik op elkaar af te stemmen.
