Dwayne Valkenburg: “Een auditor zonder AI-kennis kan straks zijn werk niet meer volwaardig doen”

“We gaan het vak op een andere manier doen, want we gaan steeds meer op AI leunen. Maar ik denk dat het vak juist veel belangrijker gaat worden dan het nu al is, en uiteindelijk gewoon groter,” zegt Dwayne Valkenburg over de toekomst van de auditor.

Als voorzitter van ISACA Netherlands en co-founder van AuditAgent bouwt Dwayne zelf de AI-tools waarmee hij dagelijks werkt, en dat geeft hem een ongewoon scherpe blik op wat AI eigenlijk kost, wie er de controle over houdt en waar het vak van de auditor naartoe beweegt. Dat maakt zijn verhaal relevant voor het bredere onderzoek naar innovatie in security, waarin de vraag hoe je AI invoert vaak zwaarder weegt dan de vraag of je het doet.

​​Deze aflevering van Security Innovation Stories maakt deel uit van een speciale reeks rond CyberSec Netherlands (9 en 10 september, Jaarbeurs). ISACA Netherlands en CyberSec werken samen vanuit een gedeelde focus op kennisdeling in de security- en auditwereld. Dwayne Valkenburg, voorzitter van ISACA Netherlands, spreekt dit jaar zelf op CyberSec over zijn ervaring met het bouwen van een eigen AI-stack voor IT-audit.

Nieuwe technologie kost banen, maar levert óók banen op

Dwayne ziet vooral kansen in hoe AI het dagelijkse werk van de auditor verandert. Het valideren van bewijsstukken tegen beheersmaatregelen, vaak honderden controles per kwartaal, noemt hij zelf “het minst leuke werk in het vak van IT-audit.” Juist dat soort taken leent zich volgens hem goed voor automatisering, zodat auditors meer tijd overhouden voor de gevallen die daadwerkelijk aandacht verdienen.

Hij ziet ook waarom die omslag niet vanzelf gaat. Auditors komen vaak rechtstreeks van de collegebanken, waar ze volgens hem vooral leren “over risico’s praten, niet over innovaties.” Dat verklaart een reflex die hij bij zichzelf en vakgenoten herkent: “als auditor kijk je toch vooral vanuit risico naar innovatie, en te weinig vanuit de mogelijkheden die het biedt.” Voor Dwayne is dat geen tekortkoming, het is simpelweg hoe het vak historisch is opgebouwd, en precies iets waar hij binnen ISACA graag aandacht voor vraagt.

Om uit te leggen waarom hij daar niet somber van wordt, verwijst hij naar econoom Joseph Schumpeter en diens theorie van creatieve destructie: elke technologische doorbraak maakt oude banen overbodig, maar brengt nieuwe banen voort. “Dat zag je met het internet, met de auto, met het vliegtuig,” zegt Dwayne, en hij verwacht hetzelfde patroon bij AI. Zijn conclusie is optimistisch: “Ik denk dat ons werk als auditors veel belangrijker gaat worden.”

​De rekening die niemand op tijd ziet aankomen

Wie met AI-modellen werkt, onderschat volgens Dwayne bijna altijd de werkelijke kosten. Bij een klant met honderden controles die in één keer gevalideerd moeten worden, waarschuwt hij: “Bij AWS Bedrock ben je echt al gauw 8.000, 9.000 euro kwijt voor één druk op de knop.”

Hij vergelijkt het met de vroege dagen van Uber, waarin een ritje een paar euro kostte voordat de prijzen langzaam stegen. Met AI-agents gebeurt volgens Dwayne hetzelfde: “Je denkt dat je 200 euro of 100 euro voor een Cloud Max betaalt, maar eigenlijk zit je voor 8.000 dollar aan tokenkosten elke maand te verbrassen.”

​De Borg van de techwereld

Die tokenkosten zijn niet het enige risico waar Dwayne voor waarschuwt: “Wie AI-functionaliteit bouwt bovenop de diensten van grote techpartijen, zet zich ook vast aan spelregels die hij zelf niet in de hand heeft.”

Dwayne noemt dat zelf een risky business en verklaart het met een beeld uit Star Trek: de Borg, een buitenaardse beschaving die andere volken niet bestrijdt maar assimileert, hun technologie overneemt en hen omvormt tot onderdeel van het eigen collectief. “Resistance is futile,” is hun vaste zin, en Dwayne herkent dat patroon in hoe grote techbedrijven omgaan met kleinere innovaties. Zodra een koppeling of functionaliteit succesvol blijkt, wordt die simpelweg overgenomen en ingebouwd als standaardonderdeel van het eigen product. Hij illustreert dat met de koppeling die zijn team bouwde tussen Figma en een eigen product, tot het moment dat Claude zijn eigen ontwerpfunctie lanceerde en die koppeling in één klap overbodig maakte.

De big tech is gewoon de Borg. Ze assimileren je, en resistance is futile.

Lokale modellen als tegenwicht voor de Borg

Om dat risico te vermijden, kiest Dwayne ervoor om AI-modellen lokaal te draaien op een eigen server, in plaats van te bouwen op de infrastructuur van een grote aanbieder. Dat levert twee dingen op: onafhankelijkheid van spelregels die van bovenaf kunnen veranderen, én geen tokenkosten, omdat alles op eigen hardware draait. Net zo belangrijk is dat vertrouwelijke klantdata daarmee niet bij een externe partij belandt.

Zijn advies aan CISO’s en auditors die zelf willen starten is simpel: ga het gewoon proberen, in plaats van te wachten tot een externe partij het uitlegt. Hij trekt daarbij de vergelijking met Excel in de jaren negentig, waarvan de mogelijkheden destijds ook pas echt duidelijk werden voor wie er zelf mee ging werken.

Je moet het gewoon proberen, en niet steunen op externe partijen die je vertellen hoe je het moet doen. Als je het zelf probeert, leert je team het ook inzetten, en zie je de kansen in je eigen processen om het beter te gebruiken.

​Weten wat je AI-model doet, dat is waar het voor Dwayne om draait

​Voor Dwayne begint cyberweerbaarheid bij eigenaarschap: weten wat een AI-model doet, waar data naartoe gaat en wat een tool werkelijk kost, in plaats van blind te vertrouwen op de beloftes van grote leveranciers. Hij combineert die voorzichtigheid met een nuchter optimisme over het vak zelf: het vak van auditor verdwijnt volgens hem niet, het wint aan gewicht naarmate organisaties meer op AI gaan bouwen.

Resistance is futile, dus je kunt maar beter zelf snappen hoe het werkt.