Hoe de SRA met AI omgaat: richtlijnen en risico's

1. De kern: hier ligt het meeste materiaal

Van de vier Nederlandse beroeps- en branchekoepels heeft de SRA het meest over AI gepubliceerd — met afstand. Vier whitepapers in één serie, een PE-ontwikkelthema, ruim vijftien cursussen, een nieuwe commissie met AI in portefeuille, en een aangekondigde praktijkhandreiking. Wie lid is, heeft het meeste al betaald en gebruikt het waarschijnlijk niet.

2. Wie de SRA is en hoe de toetsing werkt

De SRA is geen samenwerkingsverband in juridische zin maar een vereniging: naar eigen omschrijving "de grootste vereniging van accountantskantoren in Nederland" en "dé kennis- en kwaliteitspartner van accountantskantoren voor het mkb".

Cijfers volgens de SRA gebaseerd op gegevens uit februari 2026. Aanvullend: 80% van de reguliere vergunninghouders is SRA-lid, en de gezamenlijke omzet van de SRA-kantoren bedraagt 2,3 miljard euro.

Belangrijk voor de verhouding met de NBA: die is complementair, niet concurrerend. De NBA is de publiekrechtelijke beroepsorganisatie; de SRA is een private ledenvereniging met een geaccrediteerd toetsingssysteem. De SRA noemt als formele relaties: accreditatie via de NBA, een informatieovereenkomst met de AFM, een toezichtarrangement met het BFT, en een koepelovereenkomst met de Belastingdienst.

De SRA-Review

De SRA doet collegiale kwaliteitstoetsing bij haar leden, "coachend" getoetst op opzet, bestaan en werking van het kwaliteitsbeheersingssysteem. Het reviewstelsel is geaccrediteerd door de Raad voor Toezicht van de NBA. In 2025 waren er 216 bezoeken: 135 ontwikkelgesprekken, 42 reguliere toetsingen, 15 hertoetsingen en 24 ballotagetoetsingen.

3. De vier whitepapers over AI

Wat er per deel in zit

Deel 1 — de basisprincipes. Gaat over de algemene werking van generatieve AI en taalmodellen, wat niet-deterministische modellen zijn, het "geheugen" van AI, en wat een effectieve prompt maakt. Daarna toepassingsdomeinen en de technische maatregelen die de werking van AI-oplossingen kunnen verbeteren. Dit is het deel dat je aan een medewerker geeft die nog nooit met AI heeft gewerkt. Voor dezelfde stof met meer technische diepte: zie Wat gebeurt er met jouw data.

Deel 2 — wet- en regelgeving. Behandelt nieuwe en bestaande Europese verordeningen over het gebruik van software, waaronder AI-oplossingen, en de rechten én verplichtingen van zowel aanbieders als gebruikers. Dat onderscheid is precies het onderscheid dat in de AI-verordening bepaalt welke verplichtingen je hebt — zie Welke rol heeft jouw kantoor.

Deel 3 — kansen en risico's. De kernframing staat letterlijk in de teaser en is de scherpste formulering die wij bij een beroepsorganisatie hebben gevonden:

"Hoewel AI zeer waardevol kan zijn, bestaan er ook risico's bij het gebruiken van AI. De technologie werkt namelijk anders dan men gewend is van traditionele software."

Dat is de hele zaak in één zin. Traditionele software doet elke keer hetzelfde; AI niet. Wie AI beheerst zoals hij zijn boekhoudpakket beheerst, beheerst hem verkeerd.

Deel 4 — in beleid. Het meest praktische deel. De inhoudsopgave staat volledig in de teaser: toezichthouder AFM, de AI Act, Data Privacy Impact Assessment (DPIA), integratie van AI, Shadow AI, de Data Act, een stappenplan naar beleid, en vragen die je kunt stellen aan de (AI-)leverancier. Dat is dezelfde agenda als het stappenplan en AI-leveranciers kiezen in deze reeks — lees ze naast elkaar.

Na de serie volgt een SRA-Praktijkhandreiking "AI in de praktijk", met "praktische voorbeelden van toepassingen en prompts". Aangekondigd voor het najaar van 2026; per augustus 2026 nog niet verschenen en ook niet vermeld op de pagina met verwachte publicaties. Houd die in de gaten: een praktijkhandreiking heeft binnen de SRA meer gewicht dan een whitepaper.

4. Wat de SRA inhoudelijk zegt over AI-risico's

Uit de whitepaper-teasers en de eigen cursusomschrijvingen komt een consistent risicobeeld naar voren. De SRA benoemt met naam:

Opvallend is de expliciete koppeling van shadow AI en datavertrouwelijkheid aan de VGBA-beginselen. Dat is precies de juiste juridische route: het is geen apart AI-probleem maar een geheimhoudingsprobleem met een nieuwe verschijningsvorm. De SRA agendeert ook de zorg over datalocatie en verwijst in het AI-dossier naar berichtgeving dat een groot deel van de financiële sector alleen nog in Europa gehoste AI-oplossingen wil.

Wat leden er zelf over zeggen

De SRA publiceert praktijkverhalen, en die zijn nuttiger dan ze lijken omdat ze de waarborgen benoemen die kantoren in de praktijk hebben ingericht:

• Steens & Partners (twaalf medewerkers), fiscale praktijk: doorbraak-case is het analyseren van box 3-scenario's. Waarborgen: senior review van alle output die naar de klant gaat, actieve monitoring van de AI-inzet, werkwijzen vastgelegd in bijgewerkte handboeken, en verwerkersovereenkomsten. En een les die niets met AI te maken heeft: je CRM en standaardprocessen moeten goed staan, anders helpt AI je niet.
• Vermetten, controlepraktijk: het grootste resultaat is niet een technische maar een organisatorische prestatie — brede adoptie "van partner tot stagiair".
• Van Wezel Accountants: begonnen bij de cliëntacceptatieflow (van weken naar dagen), daarna een centraal datawarehouse, nu een AI-agent voor proactieve adviessignalen. Uitgangspunt: automatisering ondersteunt maar vervangt het menselijk oordeel niet, en medewerkers blijven verantwoordelijk voor verificatie en eindbeslissingen. Datasecurity vraagt volgens hen private, gecontroleerde omgevingen.

Die drie waarborgen samen — senior review op alles wat de deur uit gaat, vastlegging in het handboek, en een verwerkersovereenkomst — zijn precies de minimale set uit Menselijke controle die echt controle is.

5. AI-geletterdheid en de AI Act

De duidelijkste publieke uitspraak van de SRA hierover staat in de cursusomschrijving van AI-geletterdheid in de accountantspraktijk: de Europese AI Act stelt eisen, en medewerkers moeten AI-geletterd zijn en begrijpen wat AI wel en niet kan. De leerdoelen zijn scherp gekozen: kunnen uitleggen hoe AI-modellen werken en wat dat betekent voor betrouwbaarheid en herleidbaarheid, en de VGBA-beginselen, regelgeving en ethiek kunnen toepassen op het gebruik van AI-tools. Inhoud: AI Act, AVG, VGBA, risico's, en governance in de vorm van beleid, documentatie en audit trails.

Daarnaast is er een cursus De AI Act in de praktijk met twee concrete opbrengsten die je rechtstreeks in je dossier kunt leggen: een opzet voor een AI-register en een "evidence pack", aansluitend op je bestaande AVG-compliance. Dat zijn precies de twee artefacten die je nodig hebt om aan te tonen dat je iets doet — zie Artikel 4: AI-vaardigheden.

6. Van whitepaper naar kantoorbeleid

Whitepaper 4 is hiervoor het kerndocument, met zijn "stappenplan naar beleid". Daarnaast zijn er twee cursussen die expliciet op governance zitten: AI-strategie en governance voor vennoten (governance-kaders, investeringsbeslissingen, verandermanagement, implementatieroadmaps en self-assessment-instrumenten) en Grip op audit-tooling: de 12 AFM-bouwstenen in de praktijk — de enige plek die wij hebben gevonden waar die twaalf bouwstenen praktisch worden uitgewerkt.

7. Het PE-ontwikkelthema AI

Per 1 januari 2026 is het NBA-PE-beleid vernieuwd, met ontwikkelthema's als nieuw element. De SRA heeft daar drie thema's voor 2026 tot 2028 ingevuld, en AI is er één van (categorie "maatschappelijke ontwikkeling"), naast "DNA van de accountant" en "Risico's".

De omschrijving van het thema: "AI heeft een grote invloed op jouw werkzaamheden als accountant. Het zorgt voor verschuivingen in werkprocessen en verandert de verwachtingen van klanten." Het thema vraagt volgens de SRA voldoende kennis van AI en de bijbehorende regelgeving, plus het vermogen om AI-output kritisch te beoordelen, risico's te herkennen en tekortkomingen adequaat te adresseren.

8. Het cursusaanbod: het breedste van de sector

De SRA heeft een aparte categorie "IT, AI en Data". Een selectie, om een beeld te geven van de diepte:

• Een vierdelige reeks AI in de controlepraktijk: opdrachtacceptatie en controleplanning, risicoanalyse en interim-werkzaamheden, eindejaarscontrole, en afronding en rapportage. Dit is de enige plek waar AI per fase van de controle wordt behandeld.
• AI-geletterdheid in de accountantspraktijk — AI Act, AVG, VGBA, risico's, governance.
• De AI Act in de praktijk — levert een AI-register en een evidence pack op.
• AI-strategie en governance voor vennoten.
• Grip op audit-tooling: de 12 AFM-bouwstenen in de praktijk.
• AI-agents, RPA en IPA in de accountantspraktijk — relevant als je richting agentic AI beweegt.
• Wwft en AI: efficiënter cliëntonderzoek, met een module "veiligheid en vertrouwelijkheid: omgaan met cliëntdata en privacy". Lees dit naast het tipping-off-verbod, want dat is het risico dat hier het scherpst is.
• Begin met AI in de samenstelpraktijk en in de fiscale praktijk, plus AI in de juridische praktijk en Van dossier naar adviesrapport met AI.
• Ondersteunend: Microsoft 365 Copilot toepassen in de accountancy, Power Automate, Power BI, en data-analysemethoden om fraudesignalen te identificeren.

Daarnaast gratis webinars met praktijkverhalen van leden — waarin expliciet een "human-in-the-loop"-aanpak als onderwerp staat, naast datasecurity en de grenzen van AI in de controle — en een sparsessie "Praktische handvatten AI" met onder meer het beperken van hallucinatierisico's en het beoordelen van beschikbare AI-tools. De IT-kring heeft in september 2026 een sessie "AI — Het belang van datamanagement".

De nieuwe Commissie IT en Data

De SRA heeft de oude commissie Automatisering vervangen door een Commissie IT en Data, met vijf thema's: AI, cyberweerbaarheid, ketenintegratie, datakwaliteit en stijgende softwarekosten. Voorzitter is Sigurd Felix. De commissie is bewust samengesteld uit grote én kleine kantoren, met en zonder vergunning. Haar framing van de stand van zaken is nuchter: "AI is evolutie, geen revolutie" — de meeste kantoren zitten nog in een experimenteerfase. Genoemde toepassingen: document mining, steekproeven in de controle, tekstanalyse, het ontsluiten van advieskennis, en het automatiseren van administratieve processen.

Merk op: er is geen aparte Commissie AI. AI zit in de IT-en-data-portefeuille. Dat is een signaal over hoe de SRA het positioneert: als onderdeel van de technologieagenda, niet als apart vakgebied.

9. Cijfers: 77% van de SRA-kantoren gebruikt al AI

De SRA bouwt zelf een AI-tool: een "kantoorassistent" in cocreatie met leden, die SRA-content — handboeken, praktijkhandreikingen, signaleringen — ontsluit, uitsluitend achter de login voor SRA-kantoren. Bij de aankondiging in augustus 2026 publiceerde de SRA de uitkomsten van een ledenenquête, en dat zijn de enige harde adoptiecijfers uit de SRA-achterban die wij hebben gevonden.

Wat leden naast de SRA-content in zo'n tool willen zien, is trouwens verrassend leerzaam over waar de pijn zit: kleine kantoren noemen vooral fiscale bronnen, tuchtuitspraken en nieuws; middelgrote kantoren rekenmodellen, modelovereenkomsten en voorbeeldteksten; grote kantoren interne handboeken en vaktechnische normen.

10. SKM1 per 1 januari 2027 — en het gat met AI

De kwaliteitsinfrastructuur van de SRA draait op SKM1, de Standaard voor Kwaliteitsmanagement 1. De deadline is helder: alle kantoren moeten per 1 januari 2027 aan de richtlijnen van SKM1 voldoen. De nadruk verschuift, in de woorden van de SRA, "op kwaliteitsmanagement in plaats van kwaliteitsbeheersing".

De SRA ondersteunt dat stevig: in augustus 2026 verschenen de Handboeken Kwaliteit voor variant 2 (voor kantoren die vrijwillige controleopdrachten uitvoeren) en variant 3 (kantoren met alleen non-assurance-opdrachten), naast variant 1 voor Wta-vergunninghouders. Daarbij horen praktijkhandreikingen over de implementatie van SKM1, over schaalbaarheid, over ervaringen uit de praktijk, en een Risk Control Framework.

Nog een vaststelling die het beeld completeert: de SRA heeft geen enkel standpunt, consultatiereactie of lobbystuk over AI of digitalisering gepubliceerd, en AI staat niet in haar formele speerpunten. AI is bij de SRA een kennis- en educatiethema, geen belangenbehartigingsthema. Dat verklaart waarom er veel cursussen zijn en geen normen.

11. Wat je hiermee doet

12. Bronnen